Schvaľovanie dokumentu

1.    História dokumentu

2.    Účel dokumentu

V súlade s Vyhláškou 401/2023 Z.z. je dokument I-03 Prístup k projektu určený na rozpracovanie detailných informácií prípravy projektu z pohľadu aktuálneho stavu, budúceho stavu a navrhovaného riešenia.

Dokument Prístup k projektu v zmysle vyššie uvedenej vyhlášky má obsahovať opis navrhovaného riešenia, architektúru riešenia projektu na úrovni biznis vrstvy, aplikačnej vrstvy, dátovej vrstvy, technologickej vrstvy, infraštruktúry navrhovaného riešenia, bezpečnostnej architektúry, špecifikáciu údajov spracovaných v projekte, čistenie údajov, prevádzku a údržbu výstupov projektu, prevádzkové požiadavky, požiadavky na zdrojové kódy. Dodávané riešenie musí byť v súlade so zákonom. Zároveň opisuje aj implementáciu projektu a preberanie výstupov projektu.

2.1       Použité skratky a pojmy

3.    Popis navrhovaného riešenia

Zoznam jednotlivých modulov ( komponentov ) tvoriacich riešenie projektu :

1. Riadenie kontinuity činností (BCM)
2. Vypracovanie analýzy funkčných dopadov a posúdenie dodávateľských vzťahov
3. SW pre riadenie a identifikáciu rizikovej analýzy a kontinuity činností + implementácia
4. SW pre LMS a eArchiv SW + implementácia
5. SW nástroj pre zber dát 200 Mbps + implementácia
6. Dodávka Firewall - ového riešenia
7. Migrácia FW a vertikálna segmentácia siete
8. AD Tier model (PAM)
9. Základné školenie obsluhy

Popis modulov ( komponentov ), ktoré sú predmetom projektu :

1.Riadenie kontinuity činností (BCM)

- Vypracovanie kontinuity činností v zmysle ZoKB – riadenie kontinuity činností (BCM) v zmysle zákona č. 69/2018 Z. z. a vyhlášky 362/2018 Z. z. (§17), v rovine riadenia, revízie a aktualizácie potrebnej dokumentácie v súvislosti s implementovanými opatreniami KB. Kontinuita činností musí obsahovať minimálne:

• plán kontinuity na stanovenie požiadaviek a zdrojov,
• plán reakcie na incidenty a plány havarijnej obnovy prevádzky,
• scenáre udalostí s negatívnym vplyvom na činnosti organizácie,
• postupy zálohovania a obnovy siete a informačných systémov,
• politiku a ciele kontinuity,
• metodiku analýzy funkčných dopadov,
• stratégiu riadenia kontinuity vrátane evakuačných postupov,
• plán údržby a kontroly BCM.

2.Vypracovanie analýzy funkčných dopadov a posúdenie dodávateľských vzťahov 
- Identifikácia rôznych kategórií procesov na základe ich kritickosti a posúdiť ich vzájomné závislosti,

- Určenie potenciálnych dôsledkov (škody/straty) pri rôznych dobách trvania kritických situácií,

- Identifikácia potenciálne dopady vyplývajúce z možného prerušenia činností a stanoviť výšku: 
    - funkčných dopadov,
   -  finančných dopadov,
   -  dopadov spôsobených stratou údajov a dokumentov       .
Príprava takých postupov a vytvorenie takých podmienok, ktoré zabezpečia v prípade krízovej situácie vo vopred stanovenom rozsahu a čase návrat k fungovaniu organizácie v normálnom režime,

3.SW pre riadenie a identifikáciu rizikovej analýzy a kontinuity činností 
- časovo neobmedzená licencia pre neobmedzený počet používateľov,             
-vrátane implementácia SW pre riadenie a identifikáciu rizikovej analýzy a kontinuity činností +vypracovanie prvotnej analýzy rizík a šablón. SW pre identifikáciu a riadenie rizík musí umožňovať vykonávať revízie a aktualizáciu analýzy rizík, riadiť riziká, aktíva, zraniteľnosti a hrozby systémom, ktorý dokumentuje históriu a je auditovateľný. SW musí byť typu klient – server nasadený na serveroch prevádzkovateľa bez závislosti na cloudových službách, aktualizáciách cez internet a inom komerčnom programovom vybavení okrem operačného systému a webového prehliadača.

4.SW pre LMS a eArchiv SW         
vrátane implementácie komponenty SysMon bude zabezpečené zvýšenie úrovne výpovednej hodnoty log záznamov serverov s OS Windows Server, čím dôjde k zjednodušeniu a zrýchleniu manažmentu incidentov. Úlohou komponentu LMS je poskytnúť funkcionalitu centrálneho úložiska log záznamom a zároveň umožní vykonávať nad zozbieranými údajmi vyhodnocovacie a notifikačné funkcionality za účelom včasnej notifikácie administrátorov o možnom vzniku incidentu. Komponent eArchív spracuje výstupy LMS, elektronicky ich podpisuje (vrátane časovej pečate), archivuje a umožňuje aplikovať retenčné politiky.

5.SW nástroj pre zber dát 200 Mbps 
- platnosť licencie minimálne 12 mesiacov,
- vrátane implementácie, konfigurácie, ladenie SW nástroja pre zber dát

Implementáciou Software - ového nástroja pre zber dát bude zabezpečené aktívne sledovanie diania na sieti a v informačných systémoch prevádzky PZS ako aj podporných systémoch. Na monitorovaní sa môžu podieľať aj zamestnanci IT oddelenia. Cieľom je včas rozpoznať kybernetický útok alebo náznak potencionálneho vniknutia do systémov a sietí tak, aby bolo možné útoku či zlyhaniu siete zabrániť alebo prijať opatrenia, aby sa takýmto útokom či zlyhaním minimalizovali následky. Zároveň umožňuje jednotlivé útoky analyzovať a vyhodnocovať.

6.Dodávka Firewall - ového riešenia 
- zabezpečenie ochrany dátovej infraštruktúry vstupnou bránou, ktorá zabezpečí monitorovanie a filtrovanie prichádzajúcej či odchádzajúcej sieťovej komunikácie na základe vopred stanovených bezpečnostných zásad organizácie. Brána firewall predstavuje bariéru medzi dôveryhodnou a nedôveryhodnou sieťou, akou je napríklad
internet. Implementácia dvoch úrovní FW umožní realizovať vertikálnu segmentáciu siete s ukončením segmentov na firewalloch podľa ich kategorizácie a zároveň umožní optimalizáciu nákladov na udržateľnosť.

7.Migracia FW a vertikálna segmentácia siete

Migrácia FireWall-ov a doplnenie NGFW funkcionalít predstavuje začlenenie nových prvkov dátovej infraštruktúry do existujúcej dátovej infraštruktúry s definovaním nových pravidiel komunikácie a ochrany. Vertikálna segmentácia počítačovej siete je potrebná ako prvok rozvoja informačnej bezpečnosti a riadenia prístupu. Rozdeľuje virtuálne segmenty podľa ich kategorizácie medzi jednotlivé vrstvy firewallov. Tento prístup umožňuje riadiť dátové toky prevádzky medzi podsieťami na základe podrobných pravidiel. Zavedenie vertikálnych virtuálnych segmentov siete zlepšuje možnosti monitorovania sieťovej komunikácie, zvýšenie výkonu, lokalizáciu technických problémov ako aj zvýšenie úrovne informačnej bezpečnosti. Segmentácia siete mitiguje možnosti neoprávneným používateľom alebo útočníkom v získaní prístupu k digitálnemu vlastníctvu.

8.AD Tier model (PAM)

Model Active Directory vrstiev vytvára delenie IS a používateľských a  administrátorských účtov na základe toho, aké zdroje spravujú. Administrátori s kontrolou nad užívateľskými pracovnými stanicami sú oddelení od tých, ktorí riadia aplikácie alebo spravujú servery prevádzky základnej služby. Implementuje sa obmedzenie prístupu podľa úrovní, so zabezpečením, aby vysoko privilegované účty nemali prístup k menej bezpečným zdrojom. Tento princíp vhodne dopĺňa segmentáciu siete a zároveň predstavuje ďalší stupeň ochrany pred napr. útokom typu ransomware."

 9.Základné školenie v potrebnom rozsahu na implementované opatrenia

Potreba jednotlivých modulov ( komponentov ) cieľovej architektúry vychádza z výsledkov auditu KB  a potreby naplnenia legislatívnych požiadaviek..

4.    Architektúra riešenia projektu

Súčasný stav ( AS IS ) :

MLM ako PZS v súčasnej dobe nemá k dispozícii nástroje na dostatočnú identifikáciu zraniteľnosti, identifikáciu hrozieb, identifikáciu a analýzu rizík s ohľadom na aktívum, určenia vlastníka rizika.

MLM nemá v súčasnosti definované určenie cieľovej doby obnovy jednotlivých procesov, siete a informačných systémov a aplikácií, a to najmä určením doby obnovy prevádzky, po ktorej uplynutí je po kybernetickom určenia cieľového bodu obnovy jednotlivých procesov, siete a informačných systémov základnej služby a aplikácií, a to najmä určením najnižšej úrovne poskytovania služieb, ktorá je dostatočná na používanie, prevádzku a správu siete a informačného systému a zachovanie kontinuity základnej služby testovania a vyhodnocovania jednotlivých procesov riadenia kontinuity činností a realizácie opatrení na zvýšenie odolnosti sietí a informačných systémov základnej služby bezpečnostnom incidente obnovená najnižšia úroveň poskytovania základných služieb.

MLM nemá v súčasnej dobe zabezpečené riadenie kybernetickej bezpečnosti a informačnej bezpečnosti vo vzťahoch s tretími stranami tak, aby pri uzatvorení zmluvy s treťou stranou podľa § 19 ods. 2 zákona sa analyzovali riziká dodávateľských služieb, spôsobom podľa § 6.

Zaznamenávanie a  vyhodnocovanie prevádzkových záznamov sa v súčasnosti na MLM nevykonáva.

V súčasnej dobe sa na MLM nedostatočne identifikujú technické zraniteľnosti informačných systémov ako celku a nástroj určený na detegovanie existujúcich zraniteľností programových prostriedkov a ich častí nie je používaný.

Procesy pre riadenie záplat a aktualizácií nie sú v súčasnosti na MLM pravidelne zdokumentované.

Zaznamenávanie udalostí a monitorovanie sietí a informačných systémov sa v súčasnosti neuskutočňuje na MLM implementovaným centrálnym nástroja na zaznamenávanie činnosti sietí a informačných systémov a ich používateľov zabezpečujúceho dohľad nad sieťami a informačnými systémami.

Nástroj na automatizované zaznamenávanie činnosti sietí a informačných systémov a ich používateľov, ktorý umožňuje vytvárať prevádzkové záznamy a zaznamenávať rizikové udalosti v súčasnej dobe nie je na MLM používaný.

Prevádzkové záznamy nie sú zabezpečené na MLM štandardne ( napr. podľa technológie SIEM )

Za monitorovanie prevádzkových záznamov, ich vyhodnocovanie a vykonanie nahlásenia podozrivej aktivity nie je momentálne jednoznačne zodpovedný na to poverený zamestnanec PZS ( MLM) alebo zamestnanec tretej strany, ak je jej táto činnosť zverená.

Proces detekcie kybernetických bezpečnostných incidentov sa v súčasnosti nezabezpečuje na MLM  prostredníctvom nástroja na detekciu kybernetických bezpečnostných incidentov, ktorý umožňuje v rámci sietí a informačných systémov a medzi sieťami a informačnými systémami overenie a kontrolu prenášaných dát.

Proces zberu a vyhodnocovania kybernetických bezpečnostných incidentov sa v súčasnosti na MLM nezabezpečuje prostredníctvom nástroja na zber a nepretržité vyhodnocovanie kybernetických bezpečnostných udalostí.

Schéma súčasného stavu ( AS IS ) :

Budúci stav ( To Be ) :

Za účelom zvýšenia úrovne zavedených postupov a opatrení týkajúcich sa kybernetickej a informačnej bezpečnosti (KIB) v MLM je potrebné konsolidovať existujúcu bezpečnostnú architektúru a dobudovať dohľadovú službu, implementáciou nových a inováciou existujúcich bezpečnostných nástrojov a procesov, a to najmä v nasledovných oblastiach:

• kybernetická ochrana a bezpečnostný monitoring a identifikácia bezpečnostných incidentov,
• riadenie bezpečnostných incidentov,
• ochrana proti externým hrozbám,
• ochrana dát, dátových prenosov a komunikácie,
• zvyšovanie bezpečnostného povedomia,
• implementácia bezpečnostných opatrení na zabezpečenie súladu so zákonom a výsledkami auditu KB

Služby a funkcie uvedené v tejto kapitole poskytujú z dôvodu, že sa jedná o projekt kybernetickej bezpečnosti len základné informácie a základný architektonický rámec riešenia, ktoré by malo byť implementované projektom. Budúce riešenie zabezpečenia informačnej a kybernetickej bezpečnosti sa bude skladať najmä z nasledovných funkcií:

• Kybernetická ochrana a detekcia škodlivých aktivít a bezpečnostných incidentov: Bezpečnostný monitoring IS, platforiem, aplikácií a používateľských činností a aktivít. Monitoring sietí, monitoring činností a aktivít privilegovaných používateľov.
• Riadenie bezpečnostných incidentov: Identifikácia a hlásenie bezpečnostných incidentov, registrácia, kategorizácia a klasifikácia bezpečnostných incidentov. Akceptácia bezpečnostných incidentov a určenie riešiteľov. Analýza a vyšetrovanie bezpečnostných incidentov a zber dôkazov. Riešenie bezpečnostných incidentov a obnova prevádzky, uzatvorenie bezpečnostných incidentov, vyhodnotenie bezpečnostných incidentov, zavedenie do KB DB, spätná väzba a poučenie sa z bezpečnostného incidentu.
• Zvýšenie ochrany pred útokmi z externého prostredia: Ochrana pred malware a ransomware, manažment bezpečnosti sietí, manažment bezpečnostných konfigurácií (implementácia systému pre jednotnú správu a deployment bezpečnostných politík a bezpečnostných konfigurácií).
• Ochrana dát, dátových prenosov a komunikácie: Bezpečnosť virtualizovaných prostredí, ochrana dát na úrovni databáz a dátových úložísk, ochrana dát na úrovni koncových zariadení. Riadenie SW záplat (Patch management), manažment zraniteľností.
• Zvýšenie ochrany pred útokmi z externého prostredia: Ochrana pred malware a ransomware. Manažment bezpečnosti sietí, manažment bezpečnostných konfigurácií.

Výsledky projektu zabezpečia  :

• Detailný a spoľahlivý prehľad o bezpečnosti IT prostredia, ktoré je prevádzkované u PZS ( Mesto LM ), na základe implementovaných opatrení a vyhodnocovacieho nástroja, ktorý je nevyhnutný na včasné reakcie na kybernetické bezpečnostné ohrozenia.

• Zabezpečenie kontroly dodržiavania bezpečnostných politík zo strany zamestnancov, administrátorov, osôb zastávajúcich niektorú z bezpečnostných rolí a dodávateľov.

• Zabezpečenie vyššej ochrany dátovej infraštruktúry vstupnou bránou, ktorá zabezpečí monitorovanie a filtrovanie prichádzajúcej či odchádzajúcej sieťovej komunikácie na základe vopred stanovených bezpečnostných zásad PZS.

• Zaznamenávanie udalostí a monitorovanie sietí a informačných systémov implementáciou centrálneho nástroja na zaznamenávanie činnosti sietí a informačných systémov a ich používateľov zabezpečujúceho dohľad nad sieťami a informačnými systémami.

• Zabezpečenie procesu detekcie kybernetických bezpečnostných incidentov prostredníctvom nástroja na detekciu kybernetických bezpečnostných incidentov, ktorý umožňuje v rámci sietí a informačných systémov a medzi sieťami a informačnými systémami overenie a kontrolu prenášaných dát.

• Súlad určených požiadaviek PZS na zabezpečenie kontinuity riadenia kybernetickej bezpečnosti pri vzniku kybernetického bezpečnostného incidentu z vypracovanej stratégie a krízových plánov na zabezpečenie dostupnosti siete a informačného systému po narušení alebo zlyhaní v dôsledku kybernetického bezpečnostného incidentu na základe vykonanej analýzy dopadov kybernetického bezpečnostného incidentu na základnú službu.

Schéma po implementácii riešenia ( To Be ) :

4.1       Biznis vrstva

V rámci biznisovej vrstvy architektúry sme porovnávali 3 variantné alternatívy riešenia súčasného stavu. Na základe identifikovaného rozsahu problému v projektovom zámere boli stanovené tri rôzne riešenia. Ako najefektívnejšia bola vybraná Alternatíva č. 3, taká, kt. pokrýva procesy a výsledky auditu KB a celú problematiku KB komplexne.

Alternatíva 1 - Ponechanie súčasného stavu

Prvou alternatívou je ponechanie existujúceho stavu ochrany informačných systémov a ochranu informácií v súčasnom prostredí MLM a prevádzkovaných informačných systémov a zabezpečenie kybernetickej bezpečnosti ponechať v riešení existujúcich zmlúv SLA a interných kapacít MLM. Zachovanie pôvodného stavu nezabezpečí povinnosť ochrany informácií a informačných aktív a je v plnom rozpore s povinnosťami vyplývajúcimi zo zákona č.69/2018 Z.z. o KB. Rovnako dôjde k obmedzenému odstráneniu negatívnych zistení výsledkov auditu, dôsledkom čoho dôjde aj k podstatnému zvýšeniu rizika pre vznik bezpečnostných incidentov bez ich prípadnej včasnej eliminácie.

Alternatíva 2 – Implementácia opatrení v zmysle zistení auditu KB v podmienka MLM s plným externým zabezpečením služieb  dohľadového centra

Táto alternatíva predstavuje komplexné a systémové riešenie voči kybernetickým útokom resp. voči politicky motivovaným kampaniam. Zabezpečí zavedenie systémových opatrení a zároveň vytvorí predpoklady pre včasné reakcie na kybernetické útoky a hrozby. Realizáciou tohoto opatrenia sa zabezpečí systémové riešenie reakcie na kybernetické útoky a naplnia sa zákonom stanovené úlohy v oblasti kybernetickej bezpečnosti. Realizáciou tejto alternatívy dôjde k naplneniu predpokladov pre odstráneniu negatívnych zistení výsledkov auditu KB v podmienka MLM.

Hlavné prínosy tejto alternatívy predstavuje:

- technické vybavenie, ktorým sa zabezpečí zvýšenie viditeľnosti a kvality zbieraných a vyhodnocovaných informácií z informačných systémov, zvýšenie miery automatizácie a rozsahu procesov životného cyklu kybernetických incidentov a s tým spojené zníženie chybovosti ľudského faktoru.

- personálne zabezpečenie je riešené externe na základe zmluvy SLA po implementácii projektu, čím sa zvýši spôsobilosť.
- procesná spôsobilosť zabezpečená vytvorením detailných postupov práce a dokumentácie, čím sa zabezpečí automatizácia a zníži chybovosť ľudského faktoru.

Alternatíva 3 –  Implementácia opatrení v zmysle zistení auditu KB v podmienka MLM s externým zabezpečením služieb dohľadového centra  počas testovacej prevádzky a následným prechodom zabezpečenia služieb  dohľadového centra vlastnými kapacitami

Táto alternatíva predstavuje komplexné a systémové riešenie voči kybernetickým útokom resp. voči politicky motivovaným kampaniam. Zabezpečí zavedenie systémových opatrení a zároveň vytvorí predpoklady pre včasné reakcie na kybernetické útoky a hrozby. Realizáciou tohoto opatrenia sa zabezpečí systémové riešenie reakcie na kybernetické útoky a naplnia sa zákonom stanovené úlohy v oblasti kybernetickej bezpečnosti. Realizáciou tejto alternatívy dôjde k naplneniu predpokladov pre odstráneniu negatívnych zistení výsledkov auditu KB v podmienka MLM.

Hlavné prínosy tejto alternatívy predstavuje:

- technické vybavenie, ktorým sa zabezpečí zvýšenie viditeľnosti a kvality zbieraných a vyhodnocovaných informácií z informačných systémov, zvýšenie miery automatizácie a rozsahu procesov životného cyklu kybernetických incidentov a s tým spojené zníženie chybovosti ľudského faktoru.

- personálne zabezpečenie je riešené externe len počas implementácie projektu, čím sa zvýši spôsobilosť a následne sa ušetria finančné prostriedky nakoľko bude minimalizované využívanie externých kapacít poskytovaných tretími stranami.
- procesná spôsobilosť zabezpečená vytvorením detailných postupov práce a dokumentácie, čím sa zabezpečí automatizácia a zníži chybovosť ľudského faktoru.

4.2       Multikriteriálna analýza ( MCA )

Výber alternatív prebieha prostredníctvom MCA zostavenej na základe kapitoly Motivácia a rozsah projektu, ktorá obsahuje ciele MLM, jeho požiadavky a obmedzenia pre dosiahnutie uvedených cieľov.

Niektoré (nie všetky) kritériá, môžu byť označené ako KO kritériá. KO kritériá označujú biznis požiadavky na riešenie, ktoré sú z hľadiska rozsahu identifikovaného problému a motivácie nevyhnutné pre riešenie problému a všetky akceptovateľné alternatívy ich tak musia naplniť. Alternatívy, ktoré nesplnia všetky KO kritériá, môžu byť vylúčené z ďalšieho posudzovania. KO kritériá nesmú byť technologické (preferovať jednu formu technologickej implementácie voči druhej)

Kritériá pre MCA

Vyhodnotenie MCA

Na základe vyhodnotenia MCA analýzy vychádza Alternatíva 2 ako jediná, ktorá spĺňa všetky požiadavky.

4.3       Stanovenie alternatív v aplikačnej vrstve architektúry

Alternatívy na úrovni aplikačnej architektúry reflektujú alternatívy vypracované na základe „nadradenej" architektonickej biznis vrstvy, pričom vďaka uplatneniu nasledujúcich princípov aplikačná vrstva architektúry dopĺňa informácie k alternatívam stanoveným pomocou biznis architektúry. Ako najvýhodnejšiu z danej analýzy považujeme Alternatívu 3. Výber Aplikačnej architektúry reflektuje výber nadradenej biznis architektúry.

4.4       Stanovenie alternatív v technologickej vrstve architektúry

Výber alternatívy na úrovni technologickej a bezpečnostnej vrstvy architektúry kopíruje výber alternatívy č. 2 na základe MCA. Riešenie bude prevádzkované čiastočne na HW infraštruktúre MLM a čiastočne na dodanej novej HW infraštruktúre a s úspešným uchádzačom bude podpísaná zmluva o dielo.

4.5       Technologická vrstva

4.5.1       Prehľad technologického stavu - AS IS

Súčasné riešenie dátovej infraštruktúry sa ukazuje byť ako nedostatočné z dôvodu zabezpečenie  zvýšenej ochrany pred útokmi z externého prostredia: Ochrana pred malware a ransomware, manažment bezpečnosti sietí, manažment bezpečnostných konfigurácií (implementácia systému pre jednotnú správu a deployment bezpečnostných politík a bezpečnostných konfigurácií).

Rovnako ochrana dát, dátových prenosov a komunikácie: Bezpečnosť virtualizovaných prostredí, ochrana dát na úrovni databáz a dátových úložísk, ochrana dát na úrovni koncových zariadení nezodpovedá súčasným potrebám. 

4.5.2       Prehľad technologického stavu  – TO BE

Dodávka FireWall -ového riešenia predstavuje ochranu dátovej infraštruktúry vstupnou bránou, ktorá zabezpečí monitorovanie a filtrovanie prichádzajúcej či odchádzajúcej sieťovej komunikácie na základe vopred stanovených bezpečnostných zásad organizácie. Brána firewall predstavuje bariéru medzi dôveryhodnou a nedôveryhodnou sieťou, akou je napríklad internet. Implementácia dvoch úrovní FW umožní realizovať vertikálnu segmentáciu siete s ukončením segmentov na firewalloch podľa ich kategorizácie. Tiež zabezpečí  zvýšenú ochranu pred malware a ransomware, manažment bezpečnosti sietí, manažment bezpečnostných konfigurácií (implementácia systému pre jednotnú správu a deployment bezpečnostných politík a bezpečnostných konfigurácií).

Zároveň bude predstavovať vyššiu ochranu dát, dátových prenosov a komunikácie: Bezpečnosť virtualizovaných prostredí, ochrana dát na úrovni databáz a dátových úložísk, ochrana dát na úrovni koncových zariadení. V konečnom dôsledku umožní optimalizáciu nákladov na udržateľnosť.

4.5.1       Návrh riešenia technologickej architektúry

Návrh riešenia technologickej architektúry zodpovedá schémam uvedeným v časti 4. Architektúra riešenia projektu

4.6       Návrh riešenia infraštruktúry

Návrh riešenia infraštruktúry zodpovedá popisom a schémam uvedeným častiach 3. Popis navrhovaného riešenia

a 4. Architektúra riešenia projektu.

4.7       Bezpečnostná architektúra

 Popis súčasného stavu ( AS IS ) bezpečnostnej architektúry je popísaný v časti 4. Architektúra riešenia projektu

 Popis budúceho stavu ( TO BE ) bezpečnostnej architektúry je popísaný v časti 4. Architektúra riešenia projektu

Navrhovanej bezpečnostná architektúra s dotknutými právnymi normami a zároveň s technickými normami, ktoré stanovujú úroveň potrebnej bezpečnosti IS,  pre manipuláciu so samotnými dátami, alebo technické/technologické/personálne zabezpečenie samotnej výpočtovej techniky/HW vybavenia je v súlade s :

• Zákon č. 95/2019 Z.z. o informačných technológiách vo verejnej správe
• Zákon č. 69/2018 Z.z. o kybernetickej bezpečnosti
• Zákon č. 45/2011 Z.z. o kritickej infraštruktúre
• vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 78/2020 Z. z. o štandardoch pre informačné technológie verejnej správy
• vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 179/2020 Z. z., ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy
• vyhláška Úradu na ochranu osobných údajov Slovenskej republiky č. 158/2018 Z. z. o postupe pri posudzovaní vplyvu na ochranu osobných údajov
• Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov)
• Zákon č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov.

Úrovne bezpečnosti a spôsob zabezpečenia aktív projektu na jednotlivých vrstvách architektúry (dôvernosť, dostupnosť a integrita) je popísaná v časti 4. Architektúra riešenia projektu

Uveďte požiadavky na realizáciu Bezpečnostného projektu sú spracované v projektovom zámere

Požiadavky na používateľské role, správu prístupov a správu aplikácie sú spracované v projektovom zámere.

5.    Prevádzka a údržba

Prevádzka a údržba výstupov projektu sú spracované v projektovom zámere a časti 4. Architektúra riešenia projektu.

Prevádzka a údržba výstupov projektu nie sú predmetom ŽoNFP.

6.    Požiadavky na personál

Pre účely realizácie projektu sa zostavuje Riadiaci výbor (RV), v minimálne nasledovnom zložení:

• Predseda RV PhDr. Michal Lavrík, PhD.
• Biznis vlastník Ing. Dušan Močarník
• Zástupca prevádzky Ing. Miroslav Berník
• Zástupca prevádzky Ing. Peter Veselovský
• Zástupca dodávateľa (dopĺňa sa až po VO / voliteľný člen)
• Projektový manažér objednávateľa (PM) Ing. Jana Kormaníková

Zostavuje sa Projektový tím objednávateľa:

• kľúčový používateľ a IT architekt: Ing. Miroslav Berník
• kľúčový používateľ a IT architekt:  Ing. Peter Veselovský
• manažér kybernetickej a informačnej bezpečnosti -  Ing. Dušan Močarník
• Projektový manažér objednávateľa (PM) Ing. Jana Kormaníková

Uvedený projektový tím, ktorí tvoria zamestnanci MLM a externí spolupracovníci je garanciou úspešnej realizácie projektu po zabezpečení jeho financovania na základe ŽoNFP v rámci výzvy.

6.1 PRACOVNÉ NÁPLNE

7.    Implementácia a preberanie výstupov projektu

Výstupom projektu bude funkčný, stabilný, efektívny, bezpečný systém, ktorý sa dosiahne doplnením SW a HW infraštruktúry. Zabezpečenie zavedenia systémových opatrení a zároveň vytvorenie predpokladov pre včasné reakcie na kybernetické útoky a hrozby. Realizáciou týchto opatrenia sa zabezpečí systémové riešenie reakcie na kybernetické útoky a naplnia sa zákonom stanovené úlohy v oblasti kybernetickej bezpečnosti. Realizáciou tohto projektu dôjde k naplneniu predpokladov pre odstráneniu negatívnych zistení výsledkov auditu KB v podmienka MLM.             
Výstupom bude aj dodanie dokumentácie, inštalačnej príručky a pokynov na inštaláciu (úvodnú/opakovanú), prevádzkový opis a pokyny pre servis, údržbu a diagnostiku, pokyny na obnovu pri výpadku alebo havárii (BCM). 

      Realizácia projektu bude v zmysle vyhlášky ÚPVII č. 85/2020 Z. z. pozostávať z uvedených etáp:

• Analýza a dizajn,
• Nákup technických prostriedkov, programových prostriedkov a služieb
• Implementácia a testovanie,
• Nasadenie

Predpokladaný harmonogram realizácie projektu

Ako metóda riadenia projektu bude použitá metóda „Waterall“. Táto metóda sa ukázala byť ako najvhodnejšia nakoľko svojimi charakteristikami a možnosťami plne zodpovedá požiadavkám a predstavám MLM.

Schéma metódy projektového riadenia:

8.    Prílohy

Dokument neobsahuje prílohy.

Koniec dokumentu.