Giudica il prodotto e l'integratore come due cose diverse, in base alle prove che l'intero team può vedere.
La prima regola è confrontarli separatamente, perché stai giudicando due cose diverse. Un venditore vende un prodotto; un integratore vende la capacità di progettare, installare, configurare, documentare e supportare un sistema funzionante. I prodotti vengono testati in termini di idoneità funzionale, apertura, sicurezza e durata del supporto. Gli integratori vengono testati in base all'esperienza rilevante, alle persone che svolgeranno effettivamente il lavoro, ai loro metodi di consegna e test, alle loro pratiche di sicurezza e al modo in cui ti supporteranno dopo il passaggio di consegne. In entrambi i casi i criteri, le ponderazioni e le condizioni di superamento o rifiuto dovrebbero essere fissati prima che arrivino le proposte, le affermazioni dovrebbero essere verificate rispetto a prove piuttosto che a brochure e le dimostrazioni dovrebbero seguire i vostri scenari.
Un buon prodotto mal integrato produce un sistema scadente e anche un integratore forte non può compensare completamente un prodotto chiuso o insicuro. Alcuni fornitori svolgono entrambi i lavori, ma i due ruoli dovrebbero comunque essere valutati separatamente quando un'azienda presenta un'offerta per entrambi. Aiuta anche sapere se un integratore è indipendente o legato a particolari produttori, perché questo determina ciò che proporrà.
| Criterio | Cosa chiedere | Prove che contano |
|---|---|---|
| Idoneità funzionale | Prestazioni rispetto ai tuoi casi d'uso | Dimostrazione con script utilizzando i tuoi scenari |
| Standard aperti | Quali protocolli e modelli di dati sono supportati, in quali versioni | Elenchi di certificazioni, documentazione dell'interfaccia pubblicata |
| Accesso ai dati | Come puoi leggere, esportare e riutilizzare tutti i tuoi dati | Formati di esportazione e API documentati, testati nella dimostrazione |
| Sicurezza | Impostazioni predefinite, autenticazione, registrazione, processo di aggiornamento, gestione delle vulnerabilità | Documentazione del produttore; risposte alle domande seguenti |
| Periodo di supporto | Per quanto tempo verranno forniti gli aggiornamenti di sicurezza | Data di fine supporto dichiarata |
| Modello commerciale | Licenze, abbonamenti, cosa succede se smetti di pagare | Termini contrattuali |
Per i prodotti BACnet, il programma di certificazione BACnet Testing Laboratories (BTL) elenca i prodotti testati in modo indipendente rispetto al pacchetto di test standard. L'elenco deve corrispondere al modello del prodotto e alla versione del firmware effettivamente offerti.
Le affermazioni sulla sicurezza necessitano dello stesso esame. La guida Secure by Demand della CISA per i proprietari di tecnologia operativa suggerisce domande da porre ai produttori: se le password predefinite sono state eliminate; se i protocolli più vecchi e non sicuri sono disabilitati per impostazione predefinita; se il prodotto registra accessi e modifiche; se l'autenticazione a più fattori è inclusa nella versione di base; se è disponibile una distinta base del software; se il produttore pubblica le date di fine vita; e se il prodotto supporta standard aperti che semplificano la sostituzione o l'aggiunta di prodotti. ISASecure esegue schemi di certificazione rispetto a parti della serie ISA/IEC 62443 per componenti, sistemi e pratiche di sviluppo. Un certificato è una prova utile, ma controlla esattamente cosa copre.
Richiedi anche la data di fine del supporto di ciascun prodotto. Il Cyber Resilience Act dell’UE farà sì che i produttori lo dichiarino al momento dell’acquisto a partire da dicembre 2027, ma non c’è motivo di aspettare.
| Criterio | Cosa chiedere | Prove che contano |
|---|---|---|
| Esperienza rilevante | Progetti di tipologia, dimensione e complessità di integrazione simili | Referenze a cui rivolgersi; risultati anonimizzati |
| Squadra nominata | Chi progetterà, programmerà, commissionerà e supporterà | CV e impegno che le persone chiave rimarranno nel progetto |
| Metodo | Come gestiscono la denominazione dei punti, la pianificazione dell'interfaccia, i test e la documentazione | Script di test di esempio, documenti as-built, convenzioni di denominazione |
| Pratica di sicurezza | Accesso remoto, credenziali, gestione di modifiche e patch, sicurezza della propria rete | Descrizione scritta; disponibilità ad accettare i requisiti contrattuali |
| Supporto | Accordi di risposta, presenza locale, escalation, ricambi | Livelli di servizio e personale proposti |
| Indipendenza | Rapporti commerciali con i produttori | Dichiarazione di partnership e incentivi |
Gli argomenti contrattuali contenuti nella scheda informativa CISA e FBI di settembre 2026 sugli integratori di sistemi di controllo industriale di terze parti costituiscono buone domande per un colloquio, non solo clausole contrattuali. Chiedi a ciascun offerente come controlla l'accesso remoto, gestisce modifiche e patch, decide chi può lavorare sui tuoi sistemi e come funzioneresti e ripristineresti senza di esso. La scheda informativa è scritta per le infrastrutture critiche, ma le risposte rivelano la maturità operativa di un integratore più chiaramente di qualsiasi documento di policy.
Alcuni criteri criteri di sbarramento: l’esportazione dei dati, i requisiti minimi di sicurezza e la conformità alle specifiche possono essere superati o falliti, e nessun prezzo basso dovrebbe compensare il mancato rispetto di uno di essi. I restanti criteri devono essere ponderati prima dell'apertura delle offerte, con l'equilibrio tra qualità e prezzo concordato e messo per iscritto in anticipo. I prezzi devono quindi essere normalizzati in modo che i prodotti simili siano confrontati con quelli simili nello stesso periodo, compresi i costi ricorrenti e le esclusioni.
Le dimostrazioni sono più rivelatrici quando ogni offerente lavora attraverso gli stessi scenari, idealmente con un campione dei propri dati, e gli viene chiesto di eseguire l'esportazione davanti al pannello. Le referenze meritano più di una chiamata di cortesia: chiedi ai referenti informazioni sui problemi, come sono stati gestiti e se le persone nominate hanno davvero svolto il lavoro. E le ragioni della decisione dovrebbero essere registrate, il che la tutela e facilita il prossimo appalto.
I confronti errati falliscono in modi familiari. Valutano gli elenchi di funzionalità e non testano mai il modo in cui i prodotti eseguono le attività del proprietario. Accettano "aperto" e "sicuro" come autodescrizioni senza prove. Confrontano i primi costi mentre i costi ricorrenti differiscono. E consentono all'integratore che ha scritto le specifiche di fare un'offerta contro di essa.
Il ruolo di Pagin Consulting, in qualità di consulente Vendor Agnostic, arriva presto: i criteri, i cancelli e gli scenari dimostrativi vengono stabiliti per iscritto e inviati equamente a ogni offerente, e poi la valutazione va contro di loro. Ciascuno degli errori di cui sopra viene evitato in quella fase, molto prima che qualcuno raggiunga la sala di valutazione.
Questo articolo si collega al nostro lavoro su I nostri servizi.
Possiamo discutere come questo tema entra nel brief del progetto.
Contatta Pagin Consulting