projekt_2524_Projektovy_zamer_detailny

V súlade s Vyhláškou 401/2023 Z.z. je dokument I-02 Projektový zámer určený na rozpracovanie detailných informácií prípravy projektu, aby bolo možné rozhodnúť o pokračovaní prípravy projektu, pláne realizácie, alokovaní rozpočtu a ľudských zdrojov.

109

110

\\

\\

\\

Dokument Projektový zámer v zmysle vyššie uvedenej vyhlášky a v zmysle výzvy: Podpora v oblasti kybernetickej a informačnej bezpečnosti na regionálnej úrovni – verejná správa, číslo výzvy: PSK-MIRRI-611-2024-DV-EFRR (ďalej len „výzva“), na základe ktorej má mesto Liptovský Mikuláš záujem podať žiadosť o nenávratný finančný príspevok (ďalej len ŽoNFP) bude obsahovať: manažérske zhrnutie, motiváciu a rozsah projektu, zainteresované strany, ciele projektu a merateľné ukazovatele, návrh organizačného zabezpečenia projektu, alternatívy, opis obmedzení, predpokladov a tolerancií, opis požadovaných výstupov, náhľad architektúry, opis rozpočtu, detailný popis nákladov a prí

117

118

nosov, postup a spôsob nacenenia projektu, harmonogram projektu a zoznam rizík a závislostí (ako príloha projektového zámeru).

119

120

V zmysle usmernenia MIRRI SR sa v projektovej dokumentácii (ani v ŽoNFP) nešpecifikujú detailne konkrétne riziká a dopady a nezverejňuje sa podrobná dokumentácia toho, kde sú najväčšie riziká IT systémov a uvádzajú sa iba oblasti identifikovaných rizík a dopadov. Rovnako sú v zmysle usmernenia MIRRI SR manažérske produkty napísané všeobecne.

121

122

**2.1 Použité skratky a pojmy**

**~ **

**~ **

(% class="wrapped" %)

(% class="" %)|(((

P.

č.

)))|(((

SKRATKA

/POJEM

)))|(((

POPIS

)))

(% class="" %)|(((

1

)))|(((

API

)))|(((

Application programming interface

)))

(% class="" %)|(((

2

)))|(((

BPMN

)))|(((

Business Process Model and Notation

)))

(% class="" %)|(((

3

)))|(((

CSRÚ

)))|(((

Centrálna správa referenčných údajov

)))

(% class="" %)|(((

4

)))|(((

DMS

)))|(((

Document management system

)))

(% class="" %)|(((

5

)))|(((

EDR

)))|(((

Endpoint Detection and Response

)))

(% class="" %)|(((

6

)))|(((

EÚ

)))|(((

Európska únia

)))

(% class="" %)|(((

7

)))|(((

HW a SW

)))|(((

Hardware a Software

)))

(% class="" %)|(((

8

)))|(((

HLD

)))|(((

High level dizajn – vysokoúrovňový dizajn napr architektúru, bezpečnosť

)))

\\

(% class="wrapped" %)

(% class="" %)|(((

9

)))|(((

IaaS

)))|(((

Infrastructure as a service

)))

(% class="" %)|(((

10

)))|(((

IAM

)))|(((

Identity and Access Management

)))

(% class="" %)|(((

11

)))|(((

IKT

)))|(((

Informačno-komunikačné technológie

)))

(% class="" %)|(((

12

)))|(((

IS RR

)))|(((

Informačný systém pre riadenie rizík

)))

(% class="" %)|(((

13

)))|(((

IS VS

)))|(((

Informačný systém verejnej správy

)))

(% class="" %)|(((

14

)))|(((

AD

)))|(((

Active directory.

)))

(% class="" %)|(((

15

)))|(((

KPI

)))|(((

Key performance indicator – Kľúčové indikátory, prostredníctvom ktorých sa meria naplnenie cieľov projektu.

)))

(% class="" %)|(((

16

)))|(((

LLD

)))|(((

Low level dizajn – nízkoúrovňový dizajn napr. pre architektúru, bezpečnosť. Obsahuje detailné dizajny až na úrovní nastavení parametrov

)))

(% class="" %)|(((

17

)))|(((

BCM

)))|(((

Business Continuity Management

)))

(% class="" %)|(((

18

)))|(((

MIRRI

)))|(((

Ministerstvo investícií, regionálneho rozvoja a informatizácie Slovenskej republiky

)))

(% class="" %)|(((

19

)))|(((

MV SR

)))|(((

Ministerstvo vnútra SR

)))

(% class="" %)|(((

20

)))|(((

NKIVS

)))|(((

Národná koncepcia informatizácie verejnej správy

)))

(% class="" %)|(((

21

)))|(((

OOÚ

)))|(((

Ochrana osobných údajov

)))

(% class="" %)|(((

22

)))|(((

PO

)))|(((

Plán obnovy a odolnosti

)))

(% class="" %)|(((

23

)))|(((

OVM

)))|(((

Orgán verejnej moci

)))

(% class="" %)|(((

24

)))|(((

PaaS

)))|(((

Platform as a service

)))

(% class="" %)|(((

25

)))|(((

PILOT

)))|(((

PILOT - Prevádzka riešenia na vybraných aktéroch na produkčnom prostredí.

)))

(% class="" %)|(((

26

)))|(((

PoC

)))|(((

PoC - Implementovaný prototyp riešenia nasadený do produkčnej prevádzky a overený E2E testami minimálne s využitím mockov

)))

(% class="" %)|(((

27

)))|(((

PR

)))|(((

Projektové riadenie

)))

(% class="" %)|(((

28

)))|(((

ROLLOUT

)))|(((

ROLLOUT - Postupné pripájanie ostatných aktérov na produkčnom prostredí.

)))

(% class="" %)|(((

29

)))|(((

RFO

)))|(((

Register fyzických osôb

)))

(% class="" %)|(((

30

)))|(((

RPO

)))|(((

Register právnických osôb

)))

(% class="" %)|(((

31

)))|(((

SFTP

)))|(((

SSH File Transfer Protocol

)))

(% class="" %)|(((

32

)))|(((

SLA

)))|(((

Service level agreement

)))

(% class="" %)|(((

33

)))|(((

SOAP

)))|(((

Simple Object Access Protocol

)))

(% class="" %)|(((

34

)))|(((

SOAR

)))|(((

Security orchestration, automation and response

)))

(% class="" %)|(((

35

)))|(((

SR

)))|(((

Slovenská republika

)))

(% class="" %)|(((

36

)))|(((

ŠÚ SR

)))|(((

Štatistický úrad Slovenskej republiky

)))

(% class="" %)|(((

37

)))|(((

VÚC

)))|(((

Vyšší územný celok alebo iný povoľovací orgán

)))

(% class="" %)|(((

38

)))|(((

PR

)))|(((

Projektové riadenie

)))

(% class="" %)|(((

39

)))|(((

VÚC

)))|(((

Vyšší územný celok alebo iný povoľovací orgán

)))

(% class="" %)|(((

40

)))|(((

LMS

)))|(((

Log management systém

)))

(% class="" %)|(((

41

)))|(((

SIEM

)))|(((

Security information and event management

)))

(% class="" %)|(((

42

)))|(((

SOC

)))|(((

Security Operation Center – dohľadové centrum

)))

(% class="" %)|(((

43

)))|(((

AD Tier model

)))|(((

Model Active Directory vrstiev

)))

(% class="" %)|(((

44

)))|(((

SOC-as-a- Service

)))|(((

Dohľadové centrum kybernetickej bezpečnosti prevádzkované kvalifikovanými bezpečnostnými profesionálmi

)))

\\

(% class="wrapped" %)

(% class="" %)|(((

47

)))|(((

NGFW

)))|(((

Firewall next generation

)))

(% class="" %)|(((

48

)))|(((

PZS

)))|(((

Prevádzkovateľ základnej služby

)))

(% class="" %)|(((

49

)))|(((

MLM

)))|(((

Mesto Liptovský Mikuláš

)))

(% class="" %)|(((

50

)))|(((

OvZP MLM

)))|(((

Organizácia v zriaďovateľskej pôsobnosti Mesta Liptovský Mikuláš

)))

(% class="" %)|(((

51

)))|(((

MCA

)))|(((

Multikriteriálna analýza

)))

(% class="" %)|(((

52

)))|(((

MKB

)))|(((

Manažér kybernetickej bezpečnosti

)))

(% class="" %)|(((

53

)))|(((

CGISS

)))|(((

Informačný systém samosprávy

)))

(% class="" %)|(((

54

)))|(((

CGDISS

)))|(((

Registratúrny systém

)))

(% class="" %)|(((

55

)))|(((

ISCSRU

)))|(((

Informačný systém centrálnej správy referenčných údajov

)))

(% class="" %)|(((

56

)))|(((

KIB

)))|(((

Kybernetická a informačná bezpečnosť

)))

**~ **

**2.2 Konvencie pre typy požiadaviek (príklady)**

**~ **

**V rámci projektu budú definované tri základné typy požiadaviek:**

534

535

**Funkčné (používateľské) požiadavky majú nasledovnú konvenciu:**

**Fxx**

F – funkčná požiadavka IDxx – číslo požiadavky

540

541

== {{id name="projekt_2524_Projektovy_zamer_detailny-Nefunkčné(kvalitatívne,výkonové-NonFunctionalRequirements-NFR)požiadavkymajúnasledovnúkonvenciu:Nxx"/}}Nefunkčné (kvalitatívne, výkonové - Non Functional Requirements - NFR) požiadavky majú nasledovnú konvenciu: Nxx ==

542

543

N – nefukčná požiadavka (NFR) IDxx – číslo požiadavky

544

545

== {{id name="projekt_2524_Projektovy_zamer_detailny-Technicképožiadavkymajúnasledovnúkonvenciu:"/}}Technické požiadavky majú nasledovnú konvenciu: ==

**Txx**

T – technická požiadavka IDxx – číslo požiadavky

\\

\\

= {{id name="projekt_2524_Projektovy_zamer_detailny-3.DEFINOVANIEPROJEKTU"/}}3. DEFINOVANIE PROJEKTU =

**~ **

**~ **3.1 Manažérske zhrnutie

**~ **

**~ **

Jedným zo strategickým cieľov koncepcie kybernetickej bezpečnosti schválenej vládou Slovenskej republiky je otvorený, bezpečný a chránený národný kybernetický priestor, ktorý zabezpečí vybudovanie dôvery v spoľahlivosť a bezpečnosť štátu a to najmä kritickej infraštruktúry a komunikačnej infraštruktúry, ako aj istoty, že táto bude plniť svoje funkcie a slúžiť národným záujmom aj v prípade kybernetického útoku. Súčasné kybernetické útoky nie sú už len fiktívnou hrozbou. Prostredníctvom nich sú ohrozované nielen súkromné spoločnosti, ale aj kritická infraštruktúra štátu. Nedostatky v zabezpečení ochrany informácií zvyšujú riziko straty dôvery v štát a znižujú reputáciu krajiny. Je preto nevyhnutné prijať dôsledné opatrenia na zabezpečenie bezpečnosti krajiny v tejto oblasti a ochranu nielen dôležitých informačných systémov, ale aj informácií, ktoré sú vo veľkej miere, v rámci implementácie efektívnej verejnej správy, teda aj v sektore „Verejnej správy" poskytované, ukladané a vymieňané v kybernetickom priestore. Zavedením správnych opatrení je možné minimalizovať riziká, ktoré kybernetický priestor prináša, a to hlavne:

566

567

* odcudzenie, zneužitie alebo strata dôvernosti a/alebo dostupnosti osobných a inak citlivých údajov,

\\

* poškodenie dobrého mena,

\\

* znefunkčnenie vybraných služieb, a ďalšie.

\\

Mesto Liptovský Mikuláš (MLM), ďalej ako PZS vstupuje do tohto projektu v súlade so Zákonom 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov (ďalej len ZoKB) a Zákonom 95/2019 o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov (ďalej len ZoITVS). V IT odvetví sa neustále zvyšuje frekvencia a sofistikovanosť útokov a ako nevyhnutná podmienka pre udržanie zákonmi požadovanej bezpečnosti je udržateľnosť zavedených bezpečnostných opatrení, ktorá sa dá dosiahnuť iba nepretržitým dohľadom a vyhodnocovaním kybernetickej bezpečnosti.

580

581

PZS má zavedenú dokumentačnú a základnú procesnú časť v zmysle ZoKB a ZoITVS, ale na zabezpečenie udržateľnosti a dotiahnutie procesov kybernetickej a informačnej bezpečnosti potrebuje implementovať potrebné nástroje, vypracovať detailné dokumenty a nastaviť ďalšie procesy. Vzhľadom na finančné možnosti mesta sa tento projekt javí ako jediná možnosť prostredníctvom, ktorej môže MLM v najbližších rokoch získať v potrebnom rozsahu nástroje a zaviesť procesy pre zabezpečenie súladu so zákonmi.

582

583

Projekt bude realizovaný s cieľom implementovať nevyhnutnú ochranu pred hrozbami v oblasti informačnej a kybernetickej bezpečnosti a zároveň zavedie dlhodobý systém riadenia informačnej bezpečnosti.

584

585

Výsledkom realizácie projektu bude inštalácia, odladenie a zavedenie systému na riadenie rizík, systému na riadenie kontinuity, systému na riadenie kapacít, systému na monitorovanie a auditovanie infraštruktúry IKT, nasadenie LMS, na nástrojov SIEM a zriadenie dohľadového centra ( SOC). Systémy budú úzko naviazané na organizačné opatrenia v zmysle systému pre riadenie bezpečnostných incidentov a opatrení z neho vyplývajúcich a zároveň budú v plnej miere korešpondovať s výsledkami auditu kybernetickej bezpečnosti vykonaného koncom roka 2023 na MLM.

\\

Rovnako ciele projektu v úzkej miere korešpondujú s výsledkami auditu KB, ktorý bol vykonaný v MLM koncom roka 2023. Naplnením cieľov projektu bude zabezpečený súlad so stratégiou kybernetickej bezpečnosti MLM ako PZS a jeho bezpečnostnými politikami. Zároveň implementované opatrenia budú podporené školeniami, vzdelávaním a motivačným navýšením finančného ohodnotenia, odmeňovacím systémom vlastných personálnych kapacít pre udržanie a stabilizáciu personálu.

\\

Výsledky projektu zabezpečia :

\\

Detailný a spoľahlivý prehľad o bezpečnosti IT prostredia, ktoré je prevádzkované u PZS ( Mesto LM ), na základe implementovaných opatrení a vyhodnocovacieho nástroja, ktorý je nevyhnutný na včasné reakcie na kybernetické bezpečnostné ohrozenia.

598

599

Zabezpečenie kontroly dodržiavania bezpečnostných politík zo strany zamestnancov, administrátorov, osôb zastávajúcich niektorú z bezpečnostných rolí a dodávateľov.

600

601

Zabezpečenie vyššej ochrany dátovej infraštruktúry vstupnou bránou, ktorá zabezpečí monitorovanie a filtrovanie prichádzajúcej či odchádzajúcej sieťovej komunikácie na základe vopred stanovených bezpečnostných zásad PZS.

602

603

Zaznamenávanie udalostí a monitorovanie sietí a informačných systémov implementáciou centrálneho nástroja na zaznamenávanie činnosti sietí a informačných systémov a ich používateľov zabezpečujúceho dohľad nad sieťami a informačnými systémami.

604

605

Zabezpečenie procesu detekcie kybernetických bezpečnostných incidentov prostredníctvom nástroja na detekciu kybernetických bezpečnostných incidentov, ktorý umožňuje v rámci sietí a informačných systémov a medzi sieťami a informačnými systémami overenie a kontrolu prenášaných dát.

606

607

Súlad určených požiadaviek PZS na zabezpečenie kontinuity riadenia kybernetickej bezpečnosti pri vzniku kybernetického bezpečnostného incidentu z vypracovanej stratégie a krízových plánov na zabezpečenie dostupnosti siete a informačného systému po narušení alebo zlyhaní v dôsledku kybernetického bezpečnostného incidentu na základe vykonanej analýzy dopadov kybernetického bezpečnostného incidentu na základnú službu.

\\

Ciele projektu

Ciele projektu sú definované v súlade s Národnou koncepciou informatizácie verejnej správy (ďalej len „NKIVS“): Zvýšenie kvality organizácie KIB

614

615

Zvýšenie kvality riadenia rizík KIB

\\

Zaznamenávanie udalostí a monitorovanie

620

621

Riešenie kybernetických bezpečnostných incidentov Zabezpečenie riadenia prístupov

622

623

Zabezpečenie bezpečnosti prevádzky IS a sietí vrátane sieťovej a komunikačnej bezpečnosti Zabezpečenie kontinuity prevádzky IS prevádzkovateľa PZS

624

625

Dané ciele budú dosiahnuté realizáciou hlavnej aktivity projektu - Realizácia opatrení na zvýšenie úrovne informačnej a kybernetickej bezpečnosti.

\\

Cieľová skupina – interní zamestnanci mesta Liptovský Mikuláš, obyvatelia mesta Liptovský Mikuláš, podnikateľské subjekty a ostatné právnické osoby pôsobiace na území

630

631

mesta Liptovský Mikuláš.

632

633

Realizáciou aktivít projektu dosiahne mesto Liptovský Mikuláš naplnenie hlavného cieľa, ktorým je zvýšenie informačnej a kybernetickej bezpečnosti a zabezpečenia

634

635

ochrany údajov a elektronických dát, ktoré sú využívané mestom, jeho organizáciami, zamestnancami ako aj občanmi.

\\

**Projekt je v súlade s intervenčnou stratégiou programu Slovensko 2021-2027 v nasledovných oblastiach:**

640

641

* **súlad projektu so špecifickým cieľom: 2 (opatrenie 1.2.1)**

642

* **súlad s očakávanými výsledkami definovanými v Partnerskej dohode pre špecifický cieľ RSO 26**

643

* **súlad s definovanými typmi oprávnených aktivít v rámci výzvy.**

644

645

Realizáciou projektu budú naplnené nasledovné merateľné ukazovatele: PO095 / PSKPSOI12 – cieľová hodnota 1

646

647

PR017 / PSKPRCR11 – cieľová hodnota 100

Miesto realizácie:

Mesto Liptovský Mikuláš.

652

653

Predpokladaný rozpočet projektu (oprávnené priame výdavky) je: 441 644,97 EUR s DPH

654

655

V prípade, že by malo mesto Liptovský Mikuláš investovať do dobudovania kybernetickej bezpečnosti vlastné finančné prostriedky, je prakticky nereálne zrealizovať všetky povinnosti podľa zákona o kybernetickej bezpečnosti a zákona o informačných systémoch verejnej správy, nakoľko ide o pomerne vysoké náklady v krátkom časovom období.

656

657

S ohľadom na to, že inštitúcie verejnej správy majú limitované finančné zdroje na boj s kyberútokmi, a súčasne je ich povinnosťou dodržiavať ustanovenia zákona o kybernetickej bezpečnosti vyhlásilo MIRRI SR Výzvu, ktorá má umožniť aj inštitúciám ako mestu Liptovský Mikuláš získať prostriedky na ochranu informačných systémov a dosiahnutie kybernetickej bezpečnosti na najvyššej úrovni pri minimálnych nákladoch.

658

659

Sumarizácia hlavných parametrov hodnotenia predkladaného hodnotenia projektu:

\\

(% class="wrapped" %)

(% class="" %)|(((

**P**

**.**

**č.**

)))|(((

**Názov hodnotiaceho kritéria**

672

)))|(((

673

**Parametre v projekte**

)))|(((

**Zdroj**

)))

(% class="" %)|(((

**1**

)))|(((

Miera rizík ohrozujúcich úspešnú realizáciu projektu.

681

)))|(((

682

V rámci projektu bolo identifikovaných menej ako 10 % rizík z celkového počtu identifikovaných rizík v ŽoNFP je s vysokou závažnosťou, ktoré ohrozujú úspešnú realizáciu projektu.

683

)))|(((

684

viď príloha č. 1 projektového zámeru

\\

I_01_PRILOHA_1_REGISTER_RIZIK-

689

690

aZAVISLOSTI_Projekt_KIBLM.xlsx, ktorý tvorí aj prílohu ŽoNFP.

)))

(% class="" %)|(((

**2**

)))|(((

Administratívne, odborné a prevádzkové kapacity žiadateľa

696

)))|(((

697

Žiadateľ disponuje a plánuje (v súlade s podmienkami výzvy) dostatočné odborné kapacity s náležitou odbornou spôsobilosťou a know-how na riadenie a implementáciu projektu v danej oblasti.

698

699

Popis zabezpečenia prevádzky riešenia je reálny, t. j. žiadateľ

700

701

disponuje a plánuje (v súlade s podmienkami výzvy) personálne kapacity pre zabezpečenie prevádzky riešenia.

702

)))|(((

703

Informácie o projektovom tíme sú uvedené v kapitole 9 projektového zámeru.

Prílohou ŽoNFP sú:

\\

- Skeny pracovných zmlúv

\\

- Životopisy

)))

(% class="" %)|(((

**3**

)))|(((

Miera oprávnenosti výdavkov

\\

projektu.

)))|(((

Všetky oprávnené aktivity vychádzajú z bodu 2 Výzvy a prílohy 8 Výzvy, ktorá definuje oprávnené podaktivity.

725

)))|(((

726

V rámci projektu budú realizované nasledovné oprávnené podaktivity:

- organizácia KIB,

\\

- riadenie rizík KIB,

\\

- riadenie prístupov,

\\

- riadenie kybernetickej a informačnej bezpečnosti vo vzťahoch s tretími stranami

\\

- bezpečnosť pri prevádzke informačných systémov a sietí,

\\

- sieťová a komunikačná bezpečnosť,

\\

- zaznamenávanie udalostí a monitorovanie,

\\

-riešenie kybernetických bezpečnostných incidentov,

\\

- kontinuita prevádzky.

\\

Ceny jednotlivých výdavkov premietnutých do rozpočtu boli získané na základe prieskumu trhu. Dokumentácia prieskumu trhu tvorí prílohy ŽoNFP.

)))

(% class="" %)|(((

**4**

)))|(((

Dôležitosť kybernetickej

\\

bezpečnosti u žiadateľa a

\\

potenciálny dopad

\\

kybernetických incidentov.

782

)))|(((

783

V zmysle kapitoly 3.2.5 PODPORA V OBLASTI KIB NA REGIONÁLNEJ

784

785

ÚROVNI uvedenej v prílohe 2 Výzvy boli identifikované jednotlivé kategórie.

786

)))|(((

787

§ 24 ods. 2 písm. a) – kategória: I.

\\

§ 24 ods. 2 písm. b) a c) – kategória: II.

\\

§ 24 ods. 2 písm. d) – kategória: III.

\\

§24 ods. 2 písm. e) – kategória: I.

)))

\\

**~ **

== {{id name="projekt_2524_Projektovy_zamer_detailny-3.2Motiváciaarozsahprojektu"/}}3.2 Motivácia a rozsah projektu ==

**~ **

Mesto Liptovský Mikuláš je právnickou osobou (IČO: 00315524) zapísanou v registri organizácií vedenom Štatistickým úradom Slovenskej republiky v zmysle § 3 ods. 1 písmena b) zákona č. 523/2004 Z. z. o rozpočtových pravidlách verejnej správy a o zmene a doplnení niektorých zákonov v znení neskorších predpisov, t.j. ide o subjekt vo verejnej správe, konkrétne územnej samospráve. Zároveň je mesto Liptovský Mikuláš zaradené v registri prevádzkovateľov základných služieb podľa zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov (ďalej len

811

812

„zákon o kybernetickej bezpečnosti“) v sektore Verejná správa (viď: [[https:~~/~~/www.nbu.gov.sk/7276-sk/zoznam-zakladnych-sluzieb/>>url:https://www.nbu.gov.sk/7276-sk/zoznam-zakladnych-sluzieb/||shape="rect"]]), t.j. je poskytovateľom základnej služby (ďalej len PZS).

813

814

Z uvedeného vyplýva o.i. skutočnosť, že mesto Liptovský Mikuláš má povinnosť realizovať a financovať opatrenia kybernetickej a informačnej bezpečnosti (ďalej len KIB) definované najmä v zákonoch o kybernetickej bezpečnosti a v zákone 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov (ďalej len „zákon o ISVS“) a ďalších súvisiacich predpisoch.

815

816

MLM ako správca a prevádzkovateľ informačného systému samosprávy je povinný okrem iného zaistiť aj primeranú ochranu spracúvaných informácií voči kybernetickým hrozbám aj v súlade s povinnosťami vyplývajúcimi z ustanovení zákona č.69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov.

817

818

Pri rozhodovaní o potrebe implementovaných opatrení v prostredí MLM je potrebné zohľadniť fakt morálnej a fyzickej opotrebovanosti existujúcich bezpečnostných technológií a samozrejme aj výsledky auditu KB z konca roka 2023. Nevyhnutnosť dobudovania pracoviska dohľadového centra odôvodňuje aj skutočnosť pretrvávajúcich a systematických kybernetických útokov na systémy prevádzkované samosprávami.

819

820

Súčasné bezpečnostné mechanizmy v oblasti monitoringu a hodnotenia zraniteľnosti implementované v samosprávach tvoria základ, ktorý si vyžaduje ďalší rozvoj pre zaistenie primeranej ochrany spracúvaných informácií voči kybernetickým hrozbám a zároveň zabezpečenie súladu s povinnosťami vyplývajúcimi z ustanovení zákona č.69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov. Okrem legislatívnych požiadaviek je nevyhnutné brať do úvahy aj aktuálny stav, ktorá je z časti spôsobený neschopnosťou včasnej detekcie možného kybernetického útoku z dôvodu absentujúcich bezpečnostných opatrení, chýbajúcich analytických nástrojov a nedostatku kvalitných zdrojov bezpečnostne relevantných záznamov.

\\

== {{id name="projekt_2524_Projektovy_zamer_detailny-3.2.1Hlavnýpopisproblému"/}}3.2.1 Hlavný popis problému ==

**~ **

Mesto Liptovský Mikuláš má ku dňu spracovania tohto projektového zámeru realizovaný interný audit kybernetickej bezpečnosti, ktorý bol vypracovaný na základe overení koncom roka 2023 a má spracované samohodnotenie. Z uvedeného auditu vyplýva nevyhnutnosť realizácie opatrení kybernetickej bezpečnosti,

829

830

nakoľko Mesto Liptovský Mikuláš nedosahuje požadovaný súlad s požiadavkami zákona o kybernetickej bezpečnosti, vyhlášky 362/2018 Z. z. Mesto Liptovský Mikuláš ako poskytovateľ základnej služby vykonáva iba niektoré procesy na základe schválenej a vydanej dokumentácie, v zmysle požiadaviek Vyhlášky č. 362/2018 Z. z.

831

832

Hlavným problémom, ktorému mesto Liptovský Mikuláš ako PZS čelí je teda vyriešenie problému s nedostatočnou úrovňou zabezpečenia v oblasti informačnej a kybernetickej bezpečnosti tak, aby po realizovaní potrebných opatrení KIB bol dosiahnutý čo najvyšší súlad v oblasti príslušných predpisov KIB a súčasne aby boli administratívne a technologické náležitosti KIB realizované tak, aby plnili svoje úlohy v čo najväčšom rozsahu nie len v rámci implementácie projektu, ale aj v rámci jeho rutinnej prevádzky (t.j. v rámci udržateľnosti projektu i po nej). Rovnako je potrebné, aby opatrenia KIB boli realizované tak, že budú pripravené na ďalší rozvoj IT technológií PZS, a aby ich bolo možné flexibilne rozširovať bez ohrozenia prevádzkovaných i zamýšľaných IT systémov.

833

834

Z auditu kybernetickej bezpečnosti (okrem iného) vyplynuli nasledovné skutočnosti:

\\

1. **Nedostatočná **identifikácia zraniteľnosti, identifikácia hrozieb, identifikácia a analýzy rizík s ohľadom na aktívum, určenia vlastníka rizika

839

1. **Nedostatočné **určenie cieľovej doby obnovy jednotlivých procesov, siete a informačných systémov a aplikácií, a to najmä určením doby obnovy prevádzky, po ktorej uplynutí je po kybernetickom určenia cieľového bodu obnovy jednotlivých procesov, siete a informačných systémov základnej služby a aplikácií, a to najmä určením najnižšej úrovne poskytovania služieb, ktorá je dostatočná na používanie, prevádzku a správu siete a informačného systému a zachovanie kontinuity základnej služby testovania a vyhodnocovania jednotlivých procesov riadenia kontinuity činností a realizácie opatrení na zvýšenie odolnosti sietí a informačných systémov základnej služby bezpečnostnom incidente obnovená najnižšia úroveň poskytovania základných služieb

840

1. **Nedostatočné **riadenie kybernetickej bezpečnosti a informačnej bezpečnosti vo vzťahoch s tretími stranami sa pri uzatvorení zmluvy s treťou stranou podľa § 19 ods. 2 zákona analyzujú riziká dodávateľských služieb, spôsobom podľa § 6.

841

1. **Nedostatočné **zaznamenávanie a vyhodnocovanie prevádzkových záznamov

842

1. Technické zraniteľnosti informačných systémov ako celku **sa nedostatočne identifikujú **prostredníctvom nástroja určeného na detegovanie existujúcich zraniteľností programových prostriedkov a ich častí.

843

1. Procesy riadenia záplat a aktualizácií **nie sú pravidelne **zdokumentované.

844

1. Zaznamenávanie udalostí a monitorovanie sietí a informačných systémov sa **neuskutočňuje **implementáciou centrálneho nástroja na zaznamenávanie činnosti sietí a informačných systémov a ich používateľov zabezpečujúceho dohľad nad sieťami a informačnými systémami.

845

1. **Neexistuje nástroj **na automatizované zaznamenávanie činnosti sietí a informačných systémov a ich používateľov, ktorý umožňuje vytvárať prevádzkové záznamy a zaznamenávať rizikové udalosti.

846

1. Prevádzkové záznamy nie sú zabezpečené podľa štandardu SIEM.

847

1. Za monitorovanie prevádzkových záznamov, ich vyhodnocovanie a vykonanie nahlásenia podozrivej aktivity **nie je jednoznačne zodpovedný **na to poverený zamestnanec prevádzkovateľa základnej služby alebo zamestnanec tretej strany, ak je jej táto činnosť zverená.

848

1. Proces detekcie kybernetických bezpečnostných incidentov **sa nezabezpečuje **prostredníctvom nástroja na detekciu kybernetických bezpečnostných incidentov, ktorý umožňuje v rámci sietí a informačných systémov a medzi sieťami a informačnými systémami overenie a kontrolu prenášaných dát.

849

1. Proces zberu a vyhodnocovania kybernetických bezpečnostných incidentov **sa nezabezpečuje **prostredníctvom nástroja na zber a nepretržité vyhodnocovanie kybernetických bezpečnostných udalostí.

850

851

S ohľadom na vyššie uvedené bude teda predmetom projektu riešenie problematiky z nasledovných oprávnených oblastí podľa výzvy:

852

853

* organizácia KIB,

854

* riadenie rizík KIB,

855

* riadenie prístupov,

856

* riadenie kybernetickej a informačnej bezpečnosti vo vzťahoch s tretími stranami

857

* bezpečnosť pri prevádzke informačných systémov a sietí,

858

* sieťová a komunikačná bezpečnosť,

859

* zaznamenávanie udalostí a monitorovanie,

860

* riešenie kybernetických bezpečnostných incidentov,

861

* kontinuita prevádzky.

\\

== {{id name="projekt_2524_Projektovy_zamer_detailny-3.2.2Biznisprocesy"/}}3.2.2 Biznis procesy ==

**~ **

Zvýšenie spôsobilosti dohľadového centra je kľúčové pre zabezpečenie informačnej bezpečnosti a ochranu pred kybernetickými hrozbami pre samosprávy ako centrálneho bodu zberu a spracovania citlivých dát, ktorý predstavuje základ celého procesu poskytovanie štandardných služieb a elektronických služieb pre PO a FO v pôsobnosti MLM. Realizáciou projektu dôjde k zvýšeniu spôsobilosti v nasledujúcich oblastiach:

870

871

Rýchlejšia detekcia a reakcia na hrozby: Zlepšenie schopnosti identifikácie a reakcie na kybernetické hrozby v reálnom čase. To zahŕňa lepšiu analýzu logov, monitorovanie udalostí a upozornení, a automatizáciu procesov pre rýchlejšiu identifikáciu a potlačenie hrozieb.

872

873

Rozšírená analýza hrozieb: Vytvorenie a zdokonalenie analytických schopnosti pre hĺbkovú analýzu kybernetických hrozieb implementáciou nástrojov na analýzu malvéru, rozpoznávanie správania útočníkov a predikcia budúcich hrozieb.

874

875

Lepšie využitie technológií: Integrácia a efektívne využívanie nových technológii a nástrojov, ako sú strojové učenie a automatizácia. To umožní rýchlejšie a presnejšie identifikovať hrozby a zároveň zníženie manuálnych úkonov.

876

877

Zlepšenie spolupráce a komunikácia:

\\

Posilnenie spolupráce medzi tímami v rámci organizácie, vrátane oddelení IT, prevádzky a vedenia, aby sa lepšie zdieľali informácie o hrozbách a koordinovali sa reakcie na incidenty.

882

883

Odbornosť a školenia: Posilnenie spôsobilosti tímu dohľadového centra prostredníctvom odborných školení a certifikácií. Udržiavanie členov tímu oboznámených s najnovšími hrozbami a postupmi, a dobudovanie interného tímu náborom odborníkov na kybernetickú bezpečnosť.

884

885

Kontinuálne zlepšovanie procesov: Pravidelné preskúmavanie a zlepšovanie pracovných postupov a procesov na základe skúseností získaných po implementácií opatrení a počas detekcie a riešenia incidentov, implementáciou nástrojov a zvyšovaním znalostného štandardu členov tímu.

886

887

Zabezpečenie finančných a personálnych zdrojov: Zabezpečenie dostatočného financovania, personálnych a technických zdrojov pre efektívne fungovanie implementovaných opatrení.

888

889

Kontinuálna analýza úspešnosti: Monitorovanie úspešnosti dohľadového centra v detekcii, reakcii a prevencii kybernetických hrozieb pomocou merateľných ukazovateľov výkonu. Tieto údaje sa potom môžu použiť na ďalšie zlepšenie schopností dohľadového centra.

890

891

Pripravenosť na nové technológie a trendy: Pripravenosť na nové technológie, trendy a taktiky kybernetických útokov a prispôsobovať sa im v čo najkratšom čase.

892

893

Sledovanie právnych a regulačných požiadaviek: Zabezpečiť, aby činnosti po implementácii opatrení boli v súlade s platnými právnymi a regulačnými požiadavkami týkajúcimi sa ochrany údajov a kybernetickej bezpečnosti.

894

895

Tieto aktivity pomôžu interného tímu a dohľadovému centru k vytvoreniu efektívneho a odolného systému na identifikáciu, monitorovanie a riešenie kybernetických hrozieb s cieľom ochrany organizácie pred potenciálnymi útokmi.

896

897

== {{id name="projekt_2524_Projektovy_zamer_detailny-3.2.3Oblastizameraniaprojektu"/}}3.2.3 Oblasti zamerania projektu ==

**~ **

Projekt sa primárne zaoberá oblasťou zabezpečenia opatrení KIB v zmysle zákona o kybernetickej bezpečnosti, zákona o ISVS a vyhlášky 326/2018 Z. z.. Ako bude uvedené ďalej, tento projekt má priamy dopad na všetky ISVS a technologické platformy (viď prístup k projektu), ktoré sú určené na poskytovanie základnej služby mesta Liptovský Mikuláš, nakoľko výsledky projektu budú ochraňovať všetky IS pred potenciálnymi hrozbami kybernetickej a informačnej bezpečnosti.

902

903

== {{id name="projekt_2524_Projektovy_zamer_detailny-3.2.4Rozsahprojektu"/}}3.2.4 Rozsah projektu ==

904

905

**~ **__Zoznam jednotlivých komponentov projektu__ __:__

906

907

1. __Riadenie kontinuity činností (BCM)__

908

1. __Vypracovanie analýzy funkčných dopadov a posúdenie dodávateľských vzťahov__

909

1. __SW pre riadenie a identifikáciu rizikovej analýzy a kontinuity činností + implementácia__

910

1. __SW pre LMS a eArchiv SW + implementácia__

911

1. __SW nástroj pre zber dát 200 Mbps + implementácia__

912

1. __Dodávka Firewall - ového riešenia__

913

1. __Migrácia FW a vertikálna segmentácia siete__

914

1. __AD Tier model (PAM)__

915

1. __Základné školenie obsluhy__

\\

__Stručný popis komponentov, ktoré sú predmetom projektu__ __:__

\\

1. __Riadenie kontinuity činností (BCM)__

\\

* Vypracovanie kontinuity činností v zmysle ZoKB – riadenie kontinuity činností (BCM) v zmysle zákona č. 69/2018 z. a vyhlášky 362/2018 Z. z. (§17), v rovine riadenia, revízie a aktualizácie potrebnej dokumentácie v súvislosti s implementovanými opatreniami KB. Kontinuita činností musí obsahovať minimálne:

928

929

plán kontinuity na stanovenie požiadaviek a zdrojov,

930

931

plán reakcie na incidenty a plány havarijnej obnovy prevádzky, scenáre udalostí s negatívnym vplyvom na činnosti organizácie, postupy zálohovania a obnovy siete a informačných systémov, politiku a ciele kontinuity,

932

933

metodiku analýzy funkčných dopadov,

934

935

stratégiu riadenia kontinuity vrátane evakuačných postupov, plán údržby a kontroly BCM.

\\

\\

2. Vypracovanie analýzy funkčných dopadov a posúdenie dodávateľských vzťahov

942

943

*

944

** Identifikácia rôznych kategórií procesov na základe ich kritickosti a posúdiť ich vzájomné závislosti,

\\

* Určenie potenciálnych dôsledkov (škody/straty) pri rôznych dobách trvania kritických situácií,

949

* Identifikácia potenciálne dopady vyplývajúce z možného prerušenia činností a stanoviť výšku: funkčných dopadov,

finančných dopadov,

dopadov spôsobených stratou údajov a dokumentov.

954

955

Príprava takých postupov a vytvorenie takých podmienok, ktoré zabezpečia v prípade krízovej situácie vo vopred stanovenom rozsahu a čase návrat k fungovaniu organizácie v normálnom režime,

956

957

3. SW pre riadenie a identifikáciu rizikovej analýzy a kontinuity činností

958

959

*

960

** časovo neobmedzená licencia pre neobmedzený počet používateľov,

961

962

-vrátane implementácia SW pre riadenie a identifikáciu rizikovej analýzy a kontinuity činností +vypracovanie prvotnej analýzy rizík a šablón. SW pre identifikáciu a riadenie rizík musí umožňovať vykonávať revízie a aktualizáciu analýzy rizík, riadiť riziká, aktíva, zraniteľnosti a hrozby systémom, ktorý dokumentuje históriu a je auditovateľný. SW musí byť typu klient – server nasadený na serveroch prevádzkovateľa bez závislosti na cloudových službách, aktualizáciách cez internet a inom komerčnom programovom vybavení okrem operačného systému a webového prehliadača.

\\

\\

\\

__4. SW pre LMS a eArchiv SW__

971

972

vrátane implementácie komponenty SysMon bude zabezpečené zvýšenie úrovne výpovednej hodnoty log záznamov serverov s OS Windows Server, čím dôjde k zjednodušeniu a zrýchleniu manažmentu incidentov. Úlohou komponentu LMS je poskytnúť funkcionalitu centrálneho úložiska log záznamom a zároveň umožní vykonávať nad zozbieranými údajmi vyhodnocovacie a notifikačné funkcionality za účelom včasnej notifikácie administrátorov o možnom vzniku incidentu. Komponent eArchív spracuje výstupy LMS, elektronicky ich podpisuje (vrátane časovej pečate), archivuje a umožňuje aplikovať retenčné politiky.

973

974

__5. SW nástroj pre zber dát 200 Mbps__

975

976

*

977

** platnosť licencie minimálne 12 mesiacov,

978

** vrátane implementácie, konfigurácie, ladenie SW nástroja pre zber dát

\\

Implementáciou Software - ového nástroja pre zber dát bude zabezpečené aktívne sledovanie diania na sieti a v informačných systémoch prevádzky základnej služby Prevádzkovateľa ako aj podporných systémoch. Na monitorovaní sa môžu podieľať aj zamestnanci IT oddelenia. Cieľom je včas rozpoznať kybernetický útok alebo náznak potencionálneho vniknutia do systémov a sietí tak, aby bolo možné útoku či zlyhaniu siete zabrániť alebo prijať opatrenia, aby sa takýmto útokom či zlyhaním minimalizovali následky. Zároveň umožňuje jednotlivé útoky analyzovať a vyhodnocovať.

983

984

__6.Dodávka Firewall - ového riešenia__

985

986

*

987

** zabezpečenie ochrany dátovej infraštruktúry vstupnou bránou, ktorá zabezpečí monitorovanie a filtrovanie prichádzajúcej či odchádzajúcej sieťovej komunikácie na základe vopred stanovených bezpečnostných zásad organizácie. Brána firewall predstavuje bariéru medzi dôveryhodnou a nedôveryhodnou sieťou, akou je napríklad internet. Implementácia dvoch úrovní FW umožní realizovať vertikálnu segmentáciu siete s ukončením segmentov na firewalloch podľa ich kategorizácie a zároveň umožní optimalizáciu nákladov na udržateľnosť.

\\

__7. Migracia FW a vertikálna segmentácia siete__

__

__

Migrácia FireWall-ov a doplnenie NGFW funkcionalít predstavuje začlenenie nových prvkov dátovej infraštruktúry do existujúcej dátovej infraštruktúry s definovaním nových pravidiel komunikácie a ochrany. Vertikálna segmentácia počítačovej siete je potrebná ako prvok rozvoja informačnej bezpečnosti a riadenia prístupu. Rozdeľuje virtuálne segmenty podľa ich kategorizácie medzi jednotlivé vrstvy firewallov. Tento prístup umožňuje riadiť dátové toky prevádzky medzi podsieťami na základe podrobných pravidiel. Zavedenie vertikálnych virtuálnych segmentov siete zlepšuje možnosti monitorovania sieťovej komunikácie, zvýšenie výkonu, lokalizáciu technických problémov ako aj zvýšenie úrovne informačnej bezpečnosti. Segmentácia siete mitiguje možnosti neoprávneným používateľom alebo útočníkom v získaní prístupu k digitálnemu vlastníctvu.

\\

__8. AD Tier model (PAM)__

\\

Model Active Directory vrstiev vytvára delenie informačného systému a používateľských a administrátorských účtov na základe toho, aké zdroje spravujú. Administrátori s kontrolou nad užívateľskými pracovnými stanicami sú oddelení od tých, ktorí riadia aplikácie alebo spravujú servery prevádzky základnej služby. Implementuje sa obmedzenie prístupu podľa úrovní, so zabezpečením, aby vysoko privilegované účty nemali prístup k menej bezpečným zdrojom. Tento princíp vhodne dopĺňa segmentáciu siete a zároveň predstavuje ďalší stupeň ochrany pred napr. útokom typu ransomware."

\\

__9. Základné školenie v potrebnom rozsahu na implementované opatrenia__

1009

1010

Potreba jednotlivých komponentov cieľovej architektúry vychádza z výsledkov auditu KB a potreby naplnenia legislatívnych požiadaviek. Jednotlivé komponenty architektúry sú bližšie popísané v dokumente ŽoNFP, kde je uvedená podrobnejšia technická špecifikácia a požiadavky na jednotlivé komponenty, spoločne s motiváciou, odôvodnením a účelom týchto komponentov.

1011

1012

Realizácia projektu sa dotkne nasledovných subjektov:

1013

1014

Mesto Liptovský Mikuláš ako PZS

1015

1016

Interní zamestnanci mesta Liptovský Mikuláš, zamestnanci v rozpočtových a príspevkových organizáciách v zriaďovateľskej pôsobnosti mesta Liptovský Mikuláš

1017

1018

Občania, podnikatelia a iné subjekty využívajúce základné služby mesta Liptovský Mikuláš IS externých subjektov, ktoré sú poskytované ako služba pre mesto Liptovský Mikuláš

\\

== {{id name="projekt_2524_Projektovy_zamer_detailny-3.2.5Motiváciaaobmedzeniapredosiahnutiecieľovprojektu"/}}3.2.5 Motivácia a obmedzenia pre dosiahnutie cieľov projektu ==

1023

1024

**~ **Hlavnou motiváciou je realizácia opatrení KIB definovaných v zákone o kybernetickej bezpečnosti a v zákone o ISVS. Vďaka realizácii týchto opatrení budú IS mesta Liptovský Mikuláš (a to primárne najmä tie, ktoré zabezpečujú prevádzku základnej služby) chránené v maximálnej možnej miere pred kybernetickým incidentom, ktorý by mohol mať na poskytovanie základnej služby a prevádzku IS mesta Liptovský Mikuláš nasledovný dopad:

\\

(% class="" %)|(((

**Dopad kybernetickéh o bezpečnostné ho**

1030

1031

**incidentu v závislosti**

)))|(((

**K**

**a t e g ó ria**

)))|(((

**Vysvetlenie**

)))

(% class="" %)|(((

§ 24 ods. 2 písm. a) zákona 69

/2018 Z.z.

\\

Počet používateľov základnej služby zasiahnutých kybernetickým bezpečnostný m incidentom.

)))|(((

I.

)))|(((

Mesto Liptovský Mikuláš má 6 ISVS (MetaIS) a poskytuje informácie v rámci elektronických služieb formou elektronických formulárov. Incident môže ohrozovať dostupnosť, pravosť, integritu, dôvernosť prenášaných alebo spracúvaných údajov alebo ich prístupnosť. Počet osôb využívajúcich ISVS je podľa údajov zo Štatistického úradu SR ([[http:~~/~~/datacube.statistics.sk/>>url:http://datacube.statistics.sk/||shape="rect"]])je 30 162.

1051

1052

Počet podnikateľských subjektov (právnické osoby, FO podnikatelia a živnostníci, z Mesta Liptovský Mikuláš ([[https:~~/~~/egov.>>url:https://egov.mikulas.sk/||shape="rect"]] [[mikulas.sk/>>url:https://egov.mikulas.sk/||shape="rect"]]) je 9381 . Mesto Liptovský Mikuláš ako prevádzkovateľ základnej služby - informačného systému CG ISS (Informačný systém samosprávy), ktorý obsahuje v sebe moduly, ktoré obsahujú dotknuté údaje. Ide o moduly objednávky (3462 dokladov za rok 2023), fakturácia - dodávatelia (11947 zápisov), fakturácia -odberatelia (4703 zápisov), zmluvy (976 zápisov), úradná tabuľa (20 zápisov), obyvatelia a moduly pre daň z nehnuteľností a miestne poplatky. Ak by bol systém nefunkčný 2 týždne v čase vyrubovania, platenia daní a poplatkov, dotýkal by sa teoreticky viac ako 50000 osôb. Súčasťou systému je aj modul zverejňovania na úradnej tabuli mesta a CUET, zmlúv, čo sa týka všetkých obyvateľov mesta.

)))

(% class="" %)|(((

§ 24 ods. 2 písm. b) zákona 69

/2018 Z.z.

Dĺžka trvania kybernetickéh o bezpečnostné ho incidentu (čas pôsobenia kybernetickéh o bezpečnostné ho incidentu) a/alebo § 24 ods. 2 písm. c) zákona Geografické rozšírenie kybernetickéh o bezpečnostné ho incidentu.

)))|(((

II.

)))|(((

Mesto prevádzkuje informačný systém CG ISS pre mesto a jeho organizácie v zriaďovateľskej pôsobnosti. Ak uvažujeme len informačný systém CG ISS, čo je 239 používateľov a v prípade kybernetického incidentu sa predpokladá nedostupnosť na 2 týždne, čo by znamenalo cca 239 * 8hod * 14 dní - 26 768 hodín. Ak uvažujeme, že v prípade kybernetického incidentu sa nedostupnosť odzrkadlí na všetkých zamestnancoch mesta a jeho organizácii v zriaďovateľskej pôsobnosti, čo predstavuje cca 1045 *8 hod * 14 dní - 117 040 hodín.

1065

)))

1066

(% class="" %)|(((

1067

§ 24 ods. 2 písm. d) zákona 69

/2018 Z.z.

Stupeň narušenia fungovania základnej služby.

)))|(((

II I.

)))|(((

V prípade nefunkčnosti informačných systémov nie je k dispozícii náhradné riešenie.

1076

)))

1077

(% class="" %)|(((

1078

§ 24 ods. 2 písm. e) zákona 69

/2018 Z.z.

\\

Rozsah vplyvu kybernetického bezpečnostné ho incidentu na hospodárske alebo spoločenské činnosti štátu

)))|(((

I.

)))|(((

Nefunkčnosť systémov mesta Liptovský Mikuláš má priamy vplyv na hospodárske alebo spoločenské činnosti. Nefunkčnosť ISVS má priamy súvis na finančné operácie medzi MÚ LM a organizáciami v zriaďovateľskej pôsobnosti, dodávateľov a odberateľov, štátnymi inštitúciami ( napr. sociálne a zdravotné poisťovne, daňový úrad...). Úspešný kybernetický útok, ktorého cieľom by bolo získanie dát z MÚ LM môže viesť a pravdepodobne aj bude viesť k úniku osobných údajov a následnému porušeniu práv dotknutých osôb. Vzhľadom na znenie §104 zákona č.: 18/2018 Z. z. a obdobné sankcie uvedené v GDPR môže vzniknúť škoda jednak MÚ LM ale aj niektorému podniku napojenému na ISVS až do výšky 20 mil. €. Vychádzajúc z praxe a známych prípadov porušenia zákona na ochranu osobných údajov na území Slovenska môže takto jednému užívateľovi ISVS vzniknúť škoda prevyšujúca 250 000 €.

)))

**~ **

== {{id name="projekt_2524_Projektovy_zamer_detailny-Projektjeformulovanýtak,abypojehorealizáciinastalčonajväčšísúladzabezpečeniakybernetickejainformačnejbezpečnostisozákonomokybernetickejbezpečnosti,svyhláškou362/2018Z.z.asozákonomoISVS."/}}Projekt je formulovaný tak, aby po jeho realizácii nastal čo najväčší súlad zabezpečenia kybernetickej a informačnej bezpečnosti so zákonom o kybernetickej bezpečnosti, s vyhláškou 362/2018 Z. z. a so zákonom o ISVS. ==

1094

1095

**Obmedzenia projektu:**

**~ **

Z hľadiska technického, personálneho, odborného, ale ani legislatívneho neevidujeme žiadne obmedzenia, ktoré by mohli ovplyvniť úspešnú realizáciu projektu.

1100

1101

== {{id name="projekt_2524_Projektovy_zamer_detailny-3.3Zainteresovanéstrany/Stakeholder"/}}3.3 Zainteresované strany/Stakeholder ==

\\

(% class="" %)|(((

ID

)))|(((

AKTÉR / STAKEHOLDER

)))|(((

SUBJEKT

**~ **

(názov / skratka)

)))|(((

ROLA

**~ **

(vlastník procesu/ vlastník dát/zákazník/ užívateľ …. člen tímu atď.)

1121

)))|(((

1122

Informačný systém (MetaIS kód a názov ISVS)

)))

(% class="" %)|(((

1

)))|(((

Administrátor IT

)))|(((

Mesto Liptovský Mikuláš

1130

)))|(((

1131

Zabezpečuje prevádzku IT systémov mesta Liptovský Mikuláš

1132

)))|(((

1133

isvs_9923 CGISS isvs_9931 CGDISS isvs_9932 CG eGOV isvs_6309 Modul DMS isvs_9936 CG GISam

1134

1135

isvs_11637 Webové sídlo Mesta Liptovský Mikuláš

**~ **

isvs_5836 Informačný systém centrálnej správy referenčných údajov verejnej správy

)))

(% class="" %)|(((

2

)))|(((

Manažér kybernetickej bezpečnosti

1145

)))|(((

1146

Mesto Liptovský Mikuláš

1147

)))|(((

1148

Zodpovedný za KIB mesta Liptovský Mikuláš

1149

)))|(((

1150

isvs_9923 CGISS isvs_9931 CGDISS isvs_9932 CG eGOV isvs_6309 Modul DMS isvs_9936 CG GISam

1151

1152

isvs_11637 Webové sídlo Mesta Liptovský Mikuláš

**~ **

isvs_5836 Informačný systém centrálnej správy referenčných údajov verejnej správy

)))

(% class="" %)|(((

3

)))|(((

Zamestnanec MsÚ Liptovský Mikuláš

1162

)))|(((

1163

Mesto Liptovský Mikuláš

1164

)))|(((

1165

Využíva IS mesta Liptovský Mikuláš

1166

)))|(((

1167

isvs_9923 CGISS isvs_9931 CGDISS isvs_9932 CG eGOV isvs_6309 Modul DMS isvs_9936 CG GISam

1168

1169

isvs_11637 Webové sídlo Mesta Liptovský Mikuláš

**~ **

isvs_5836 Informačný systém centrálnej správy referenčných údajov verejnej správy

)))

(% class="" %)|(((

4

)))|(((

Zamestnanci organizácii v zriaďovateľskej pôsobnosti mesta Liptovský Mikuláš

1179

)))|(((

1180

Mesto Liptovský Mikuláš

1181

)))|(((

1182

Využíva IS mesta Liptovský Mikuláš

1183

)))|(((

1184

isvs_9923 CGISS isvs_9931 CGDISS isvs_9932 CG eGOV isvs_6309 Modul DMS isvs_9936 CG GISam

1185

1186

isvs_11637 Webové sídlo Mesta Liptovský Mikuláš

**~ **

isvs_5836 Informačný systém centrálnej správy referenčných údajov verejnej správy

)))

(% class="" %)|(((

5

)))|(((

Občan / podnikateľ

)))|(((

\\

)))|(((

Využíva služby poskytované mestom Liptovský Mikuláš prostredníctvom jeho IS

1201

)))|(((

1202

isvs_9923 CGISS isvs_9931 CGDISS isvs_9932 CG eGOV isvs_6309 Modul DMS isvs_9936 CG GISam

1203

1204

isvs_11637 Webové sídlo Mesta Liptovský Mikuláš

**~ **

isvs_5836 Informačný systém centrálnej správy referenčných údajov verejnej správy

)))

(% class="" %)|(((

6

)))|(((

Poskytovateľ IT služieb

)))|(((

\\

)))|(((

Poskytuje služby IS pre mesto Liptovský Mikuláš

1218

)))|(((

1219

isvs_9923 CGISS isvs_9931 CGDISS isvs_9932 CG eGOV isvs_6309 Modul DMS isvs_9936 CG GISam

1220

1221

isvs_11637 Webové sídlo Mesta Liptovský Mikuláš

**~ **

isvs_5836 Informačný systém centrálnej správy referenčných údajov verejnej správy

)))

(% class="" %)|(((

7

)))|(((

OVM

)))|(((

\\

)))|(((

Poskytuje alebo konzumuje údaje IS mesta Liptovský Mikuláš v podobe dátových zdrojov, otvorených dát alebo vo forme služieb resp. rozhraní

1235

)))|(((

1236

isvs_9923 CGISS isvs_9931 CGDISS isvs_9932 CG eGOV isvs_6309 Modul DMS isvs_9936 CG GISam

1237

1238

isvs_11637 Webové sídlo Mesta Liptovský Mikuláš

**~ **

isvs_5836 Informačný systém centrálnej správy referenčných údajov verejnej správy

1243

)))

1244

1245

**3.4 Ciele projektu**

**~ **

Ciele projektu sú definované v súlade s Národnou koncepciou informatizácie verejnej správy (ďalej len „NKIVS“) a súčasne sú definované tak, aby boli v súlade s očakávanými výsledkami definovanými v Partnerskej dohode Slovenskej republiky na roky 2021 – 2027 (ďalej len „Partnerská dohoda“) pre špecifický cieľ RSO 1.2. Definície cieľov rovnako vychádzajú z národnej stratégie kybernetickej bezpečnosti na roky 2021 až 2025.

1250

1251

Partnerská dohoda definuje špecifický cieľ RSO 1.2 Využívanie prínosov digitalizácie pre občanov, podniky, výskumné organizácie a orgány verejnej správy a konkrétne opatrenie: 1.2.1 Podpora v oblasti informatizácie a digitálnej transformácie, oblasť - Kybernetická a informačná bezpečnosť, pričom hlavným cieľom podpory je aj zabezpečenie kybernetickej bezpečnosti v súlade so Stratégiou digitálnej transformácie Slovenska. Stratégia digitálnej transformácie v oblasti kybernetickej bezpečnosti odkazuje na Národnú stratégiu kybernetickej bezpečnosti vydanú Národným bezpečnostným úradom (ďalej len „NBÚ“) Národná koncepcia informatizácie verejnej správy určuje v rámci prioritnej osi 4 Kybernetická a informačná bezpečnosť strategickú prioritu Kybernetická

1252

1253

a informačná bezpečnosť.

\\

Splnenie tejto strategickej priority má byť dosiahnuté nasledujúcimi dvoma cieľmi:

1258

1259

Cieľ 4.1 Zvýšenie schopnosti včasnej identifikácie kybernetických incidentov vo verejnej správe

1260

1261

Cieľ 4.2 Posilniť ľudské kapacity a vzdelávanie v oblasti kybernetickej a informačnej bezpečnosti patriace pod prioritnú os 4 Kybernetická a informačná bezpečnosť.

1262

1263

Z vyššie uvedených cieľov je pre projekt dôležitý cieľ 4.1 a v súlade sním je aj nižšie citovaný strategický cieľ.

1264

1265

Národná stratégia kybernetickej bezpečnosti na roky 2021 až 2025, ktorá vychádza z Partnerskej dohody definuje vo vzťahu k verejnej správe nasledovný strategický cieľ:

1266

1267

4.1 Dôveryhodný štát pripravený na hrozby.

1268

1269

V definícii tohto strategického cieľa uvádza, cit:

1270

1271

„Kybernetická bezpečnosť je zodpovednosťou každého obyvateľa Slovenskej republiky, no bezpečnosť nemôže fungovať bez existencie mechanizmov na národnej úrovni, ktoré určujú politiku kybernetickej bezpečnosti, systém jej riadenia, ale aj procesy na detekciu a riešenie kybernetických bezpečnostných incidentov, budovanie odborných kapacít a šírenie situačného a bezpečnostného povedomia. Zároveň štát musí pri budovaní dôveryhodnosti vykonávať vyššie uvedené aktivity v súlade s Ústavou Slovenskej republiky a ostatnými zákonmi a vstupovať do základných ľudských práv a slobôd len v nevyhnutnej miere.“

\\

Cieľový stav uvedeného strategického cieľa je v Národnej stratégii kybernetickej bezpečnosti na roky 2021 až 2025 stanovený nasledovne, cit.:

1276

1277

„Vybudovanie dostatočného odborného personálneho základu pre systém riadenia informačnej a kybernetickej bezpečnosti nielen na národnej, ale aj sektorovej úrovni. Spolupráca štátu s občanom na úrovni poskytovania dostatočných informácií a odporúčaní a realizácia krokov, ktoré občan reálne pocíti ako zvýšenie vlastnej bezpečnosti a bezpečnosti národného kybernetického priestoru. Vytvorenie a používanie certifikačných schém na široké portfólio typov výrobkov, procesov a služieb. Kvalitnejšie technické, organizačné a personálne zabezpečenie, založené na využívaní moderných prístupov ku kybernetickej bezpečnosti pri detekcii a riešení kybernetických bezpečnostných incidentov. Vybudovanie spôsobilostí na detekciu a riešenie kybernetických bezpečnostných incidentov na všetkých úrovniach. Efektívna spolupráca zainteresovaných subjektov na všetkých úrovniach riešenia informačnej a kybernetickej bezpečnosti. Dobre nastavený proces technickej, ale aj politickej atribúcie kybernetických bezpečnostných incidentov.

1278

1279

Systematické a kontinuálne riadenie rizík kybernetickej bezpečnosti v jednotlivých sektoroch. Zlepšenie detekcie a zisťovania kybernetických bezpečnostných incidentov na sektorovej úrovni, zlepšenie a zjednodušenie nahlasovania kybernetických bezpečnostných incidentov nielen zo strany povinných subjektov, ale aj v rovine dobrovoľných hlásení. Podpora spôsobilostí subjektov v oblasti riadenia kontinuity činností.“

1280

1281

Všetky ciele projektu sú v súlade s vyššie uvedenými strategickými dokumentmi:

(% class="" %)|(((

ID

)))|(((

\\

\\

\\

\\

Názov cieľa

)))|(((

Názov strategického cieľa*

1297

)))|(((

1298

Spôsob realizácie strategického cieľa

)))

(% class="" %)|(((

**1**

)))|(((

**Zvýšenie kvality organizácie KIB**

1304

)))|(((

1305

Dôveryhodný štát pripravený na hrozby (Realizovanie opatrení kybernetickej a informačnej bezpečnosti)

1306

)))|(((

1307

Riadenie kontinuity činností (BCM).

\\

Vypracovanie analýzy funkčných dopadov a posúdenie dodávateľských vzťahov.

\\

SW pre riadenie a identifikáciu rizikovej analýzy a kontinuity činností + implementácia.

)))

(% class="" %)|(((

**2**

)))|(((

**Zvýšenie kvality riadenia rizík KIB**

1321

)))|(((

1322

Dôveryhodný štát pripravený na hrozby (Realizovanie opatrení kybernetickej a informačnej bezpečnosti)

1323

)))|(((

1324

Riadenie kontinuity činností (BCM).

\\

Vypracovanie analýzy funkčných dopadov a posúdenie dodávateľských vzťahov.

\\

SW pre riadenie a identifikáciu rizikovej analýzy a kontinuity činností + implementácia.

)))

(% class="" %)|(((

**3**

)))|(((

**Zaznamenávanie udalostí a monitorovanie**

1338

)))|(((

1339

Dôveryhodný štát pripravený na hrozby (Realizovanie opatrení kybernetickej a informačnej bezpečnosti)

1340

)))|(((

1341

SW pre LMS a eArchiv SW a implementácia.

\\

SW nástroj pre zber dát 200 Mbps a implementácia. Dodávka Firewall - ového riešenia.

1346

1347

Migracia FW a vertikálna segmentácia siete. AD Tier model (PAM).

1348

1349

Základné školenie v potrebnom rozsahu na implementované opatrenia.

)))

(% class="" %)|(((

**4**

)))|(((

**Riešenie kybernetických bezpečnostných incidentov**

1355

)))|(((

1356

Dôveryhodný štát pripravený na hrozby (Realizovanie opatrení kybernetickej a informačnej bezpečnosti)

1357

)))|(((

1358

SW pre LMS a eArchiv SW a implementácia.

\\

SW nástroj pre zber dát 200 Mbps a implementácia. Dodávka Firewall - ového riešenia.

1363

1364

Migracia FW a vertikálna segmentácia siete. AD Tier model (PAM).

1365

1366

Základné školenie v potrebnom rozsahu na implementované opatrenia.

)))

(% class="" %)|(((

**5**

)))|(((

**Zabezpečenie riadenia prístupov**

1373

)))|(((

1374

Dôveryhodný štát pripravený na hrozby (Realizovanie opatrení kybernetickej a informačnej bezpečnosti)

1375

)))|(((

1376

SW pre LMS a eArchiv SW a implementácia.

\\

SW nástroj pre zber dát 200 Mbps a implementácia. Dodávka Firewall - ového riešenia.

1381

1382

Migracia FW a vertikálna segmentácia siete. AD Tier model (PAM).

1383

1384

Základné školenie v potrebnom rozsahu na implementované opatrenia.

)))

(% class="" %)|(((

**6**

)))|(((

**Zabezpečenie bezpečnosti prevádzky IS a sietí vrátane sieťovej a komunikačnej bezpečnosti**

1390

)))|(((

1391

Dôveryhodný štát pripravený na hrozby (Realizovanie opatrení kybernetickej a informačnej bezpečnosti)

1392

)))|(((

1393

SW pre LMS a eArchiv SW a implementácia.

\\

SW nástroj pre zber dát 200 Mbps a implementácia. Dodávka Firewall - ového riešenia.

1398

1399

Migracia FW a vertikálna segmentácia siete. AD Tier model (PAM).

1400

1401

Základné školenie v potrebnom rozsahu na implementované opatrenia.

)))

(% class="" %)|(((

**7**

)))|(((

**Zabezpečenie kontinuity prevádzky IS prevádzkovateľa PZS**

1407

)))|(((

1408

Dôveryhodný štát pripravený na hrozby (Realizovanie opatrení kybernetickej a informačnej bezpečnosti)

1409

)))|(((

1410

SW pre LMS a eArchiv SW a implementácia.

\\

SW nástroj pre zber dát 200 Mbps a implementácia. Dodávka Firewall - ového riešenia.

1415

1416

Migracia FW a vertikálna segmentácia siete. AD Tier model (PAM).

1417

1418

Základné školenie v potrebnom rozsahu na implementované opatrenia.

1419

)))

1420

1421

**~* Definícia strategického cieľa vychádza zo strategického cieľa v Národnej stratégii kybernetickej bezpečnosti a nadväzuje na prioritný cieľ Národnej koncepcie informatizácie verejnej správy.**

\\

**3.5 Merateľné ukazovatele (KPI)**

(% class="" %)|(((

ID

)))|(((

**~ **

**~ **

**~ **

**~ **

Názov cieľa

)))|(((

Názov ukazovateľa (KPI)

)))|(((

Popis ukazovateľa

)))|(((

Merná jednotka

)))|(((

AS IS

merateľné hodnoty (aktuálne)

)))|(((

TO BE

Merateľné hodnoty (cieľové hodnoty)

)))|(((

Spôsob ich merania

)))|(((

Pozn.

)))

(% class="" %)|(((

**1**

)))|(((

PO095

)))|(((

Verejné inštitúcie podporované v

1464

)))|(((

1465

Počet verejných inštitúcií, ktoré sú

)))|(((

Verejné

)))|(((

0

)))|(((

1

)))|(((

Identifikácia počtu realizácie opatrení KIB pre inštitúciu –

)))|(((

Typ

)))

(% class="" %)|(((

\\

)))|(((

/

**~ **

PSKPS

)))|(((

rozvoji kybernetických služieb,

)))|(((

**~ **

podporované za

)))|(((

inštitúcie

)))|(((

\\

)))|(((

\\

)))|(((

splnenie súladu KIB so zákonom o kybernetickej bezpečnosti

)))|(((

ukazovat eľa:

)))

(% class="" %)|(((

\\

)))|(((

**~ **

OI12

)))|(((

**~ **

produktov a procesov

)))|(((

účelom rozvoja a

modernizácie

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

a zákonom o ISVS

)))|(((

Výstup

)))

(% class="" %)|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

Čas plnenia merateľného ukazovateľa projektu:

)))|(((

\\

)))

(% class="" %)|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

kybernetických

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))

(% class="" %)|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

Fyzické ukončenie realizácie hlavných aktivít projektu

)))|(((

\\

)))

(% class="" %)|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

služieb, produktov, procesov a

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))

(% class="" %)|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

zvyšovania

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))

(% class="" %)|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

vedomostnej úrovne napríklad v

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))

(% class="" %)|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

kontexte opatrení

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))

(% class="" %)|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

smerujúcich k elektronickej

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))

(% class="" %)|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

bezpečnosti verejnej

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))

(% class="" %)|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

správy.

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))

(% class="" %)|(((

**2**

)))|(((

PR017

)))|(((

Používatelia nových a vylepšených

1724

)))|(((

1725

Používatelia nových a vylepšených

)))|(((

Používatelia

/rok

)))|(((

0

)))|(((

100

)))|(((

Sumarizácia počtu používateľov nových a vylepšených

)))|(((

Typ

)))

(% class="" %)|(((

\\

)))|(((

/

**~ **

PSKPR

)))|(((

verejných digitálnych služieb,

1749

)))|(((

1750

verejných digitálnych služieb,

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

digitálnych služieb – bude určené počtom prístupov v IAM,

**~ **

Databázou používateľov v oblasti KIB.

)))|(((

ukazovat eľa:

)))

(% class="" %)|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

výsledok

)))

(% class="" %)|(((

\\

)))|(((

CR11

)))|(((

produktov a procesov

)))|(((

produktov a procesov

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

V prípade mesta LM ide o počet používateľov, ktorí využívajú IS mesta LM.

)))|(((

\\

)))

(% class="" %)|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

Čas plnenia merateľného ukazovateľa projektu:

)))|(((

\\

)))

(% class="" %)|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

v rámci udržateľnosti projektu.

)))|(((

\\

)))

**3.5.1 Špecifikácia potrieb koncového používateľa**

**~ **

Z pohľadu MLM je koncovým používateľom IT oddelenie a sekundárne zamestnanci MLM, občania, podnikateľské subjekty pôsobiace na území mesta, ktoré očakávajú, že nebude vplyvom kybernetických útokov dochádzať k výpadkom prevádzky IS mesta a tým sa de facto znefunkční

1848

1849

poskytovanie základnej služby MLM. Z výsledkov samohodnotenia a interného auditu vyplynuli definície potrieb a požiadaviek na realizáciu opatrení KIB, v ktorých MLM ako PZS dosahuje najvyšší nesúlad v zmysle zákona o kybernetickej bezpečnosti, zákona o ISVS a vyhlášky 362/2018 Z. z. Ide o:

1850

1851

1. **Nedostatočná **identifikácia zraniteľnosti, identifikácia hrozieb, identifikácia a analýzy rizík s ohľadom na aktívum, určenia vlastníka rizika

1852

1. **Nedostatočné **určenie cieľovej doby obnovy jednotlivých procesov, siete a informačných systémov a aplikácií, a to najmä určením doby obnovy prevádzky, po ktorej uplynutí je po kybernetickom určenia cieľového bodu obnovy jednotlivých procesov, siete a informačných systémov základnej služby a aplikácií, a to najmä určením najnižšej úrovne poskytovania služieb, ktorá je dostatočná na používanie, prevádzku a správu siete a informačného systému a zachovanie kontinuity základnej služby testovania a vyhodnocovania jednotlivých procesov riadenia kontinuity činností a realizácie opatrení na zvýšenie odolnosti sietí a informačných systémov základnej služby bezpečnostnom incidente obnovená najnižšia úroveň poskytovania základných služieb

1853

1. **Nedostatočné **riadenie kybernetickej bezpečnosti a informačnej bezpečnosti vo vzťahoch s tretími stranami sa pri uzatvorení zmluvy s treťou stranou podľa § 19 ods. 2 zákona analyzujú riziká dodávateľských služieb, spôsobom podľa § 6.

1854

1. **Nedostatočné **zaznamenávanie a vyhodnocovanie prevádzkových záznamov

1855

1. Technické zraniteľnosti informačných systémov ako celku **sa nedostatočne identifikujú **prostredníctvom nástroja určeného na detegovanie existujúcich zraniteľností programových prostriedkov a ich častí.

1856

1. Procesy riadenia záplat a aktualizácií **nie sú pravidelne **zdokumentované.

1857

1. Zaznamenávanie udalostí a monitorovanie sietí a informačných systémov sa **neuskutočňuje **implementáciou centrálneho nástroja na zaznamenávanie činnosti sietí a informačných systémov a ich používateľov zabezpečujúceho dohľad nad sieťami a informačnými systémami.

1858

1. **Neexistuje nástroj **na automatizované zaznamenávanie činnosti sietí a informačných systémov a ich používateľov, ktorý umožňuje vytvárať prevádzkové záznamy a zaznamenávať rizikové udalosti.

1859

1. Prevádzkové záznamy nie sú zabezpečené podľa štandardu SIEM.

1860

1. Za monitorovanie prevádzkových záznamov, ich vyhodnocovanie a vykonanie nahlásenia podozrivej aktivity **nie je jednoznačne zodpovedný **na to poverený zamestnanec prevádzkovateľa základnej služby alebo zamestnanec tretej strany, ak je jej táto činnosť zverená.

1861

1. Proces detekcie kybernetických bezpečnostných incidentov **sa nezabezpečuje **prostredníctvom nástroja na detekciu kybernetických bezpečnostných incidentov, ktorý umožňuje v rámci sietí a informačných systémov a medzi sieťami a informačnými systémami overenie a kontrolu prenášaných dát.

1862

1. Proces zberu a vyhodnocovania kybernetických bezpečnostných incidentov **sa nezabezpečuje **prostredníctvom nástroja na zber a nepretržité vyhodnocovanie kybernetických bezpečnostných udalostí.

1863

1864

Podrobne boli špecifikované požiadavky na realizáciu v rámci prieskumu trhu na realizáciu opatrení nasledovne:

\\

\\

\\

== {{id name="projekt_2524_Projektovy_zamer_detailny-1.Riadeniekontinuityčinností(BCM)"/}}1. Riadenie kontinuity činností (BCM) ==

**~ **

**~ **

Vypracovanie kontinuity činností v zmysle ZoKB – riadenie kontinuity činností (BCM) v zmysle zákona č. 69/2018 Z. z. a vyhlášky 362/2018 Z. z. (§17), Kontinuita činností musí obsahovať minimálne:

1879

1880

plán kontinuity na stanovenie požiadaviek a zdrojov,

1881

1882

plán reakcie na incidenty a plány havarijnej obnovy prevádzky, scenáre udalostí s negatívnym vplyvom na činnosti organizácie, postupy zálohovania a obnovy siete a informačných systémov, politiku a ciele kontinuity,

1883

1884

metodiku analýzy funkčných dopadov,

1885

1886

stratégiu riadenia kontinuity vrátane evakuačných postupov, plán údržby a kontroly BCM.

\\

\\

**2.Vypracovanie analýzy funkčných dopadov a posúdenie dodávateľských vzťahov **Minimálne požiadavky na analýzu dopadov

\\

== {{id name="projekt_2524_Projektovy_zamer_detailny-Analýzadopadovmusí:"/}}Analýza dopadov musí: ==

**~ **

* identifikovať rôzne kategórie procesov na základe ich kritickosti a posúdiť ich vzájomné závislosti,

\\

* určiť potenciálne dôsledky (škody/straty) pri rôznych dobách trvania kritických situácií,

\\

* stanoviť maximálne akceptovateľné doby prerušenia (MTO),

\\

* stanoviť minimálne ciele kontinuity podnikania (MBCO),

\\

* určiť cieľové časy obnovy (RTO) a cieľové body obnovy (RPO),

\\

identifikovať potenciálne dopady vyplývajúce z možného prerušenia činností a stanoviť výšku:

1921

1922

funkčných dopadov, finančných dopadov,

1923

1924

dopadov spôsobených stratou údajov a dokumentov.

1925

1926

pripraviť také postupy a vytvoriť také podmienky, ktoré zabezpečia v prípade krízovej situácie vo vopred stanovenom rozsahu a čase návrat k fungovaniu organizácie v normálnom režime,

1927

1928

identifikovať zdroje a prostriedky na obnovu procesov so zásadným vplyvom na kontinuitu činností organizácie na základe hodnoty RTO procesu v min. tomto typovom rozsahu zdrojov:

ľudia,

aplikácie / databázy,

1933

1934

údaje uložené v elektronickej podobe (nezahrnuté v aplikáciách a databázach), údaje uložené na papierovom médiu,

1935

1936

IT a komunikačné zariadenia, komunikačné kanály,

ostatné vybavenie,

vybavenie a infraštruktúra, pracovný kapitál.

\\

\\

\\

**3. SW pre riadenie a identifikáciu rizikovej analýzy a kontinuity činností a implementácia **Informačný systém pre identifikáciu a riadenie rizík musí spĺňať tieto funkčné vlastnosti:

1949

1950

správa aktív – vedenie zoznamu aktív subjektu, vrátane ich vlastníkov a hodnoty,

1951

1952

správa zraniteľností – vedenie zoznamu rozpoznaných zraniteľností, vrátane ich vlastníkov, správa hrozieb – vedenie zoznamu rozpoznaných hrozieb,

1953

1954

správa opatrení – vedenie zoznamu opatrení potrebných na ošetrenie rizík,

1955

1956

správa vzťahov – evidencia rozpoznaných vzťahov medzi aktívami a zraniteľnosťami,

1957

1958

správa rizík – identifikácia a ohodnotenie rizík na základe pravdepodobností hrozieb, uplatňovaných opatrení a dopadov na subjekt, semikvantitatívna, prípadne kvantitatívna metóda hodnotenia významnosti rizík,

1959

1960

číselné ohodnotenie pravdepodobnosti hrozieb a účinnosti opatrení, významnosť rizík vyjadrená číselne a následne kategorizovaná,

1961

1962

import aktív a hrozieb zo súboru (napr. súbor vo formáte CSV).

\\

Užívateľské rozhranie a výstupy musia spĺňať tieto požiadavky:

\\

pre interakciu s používateľom musí byť k dispozícií webové rozhranie v plnej podpore slovenského jazyka bez špeciálnych nárokov na webový prehliadač,

1971

1972

výstupy musia byť realizované vo forme prehľadov a zostáv vo formáte PDF vyhotovené v slovenskom jazyku vrátane šablón a komentárov, IS musí umožňovať riadiť prístup užívateľov k obsahu analýzy rizík.

1973

1974

Správa používateľov musí umožňovať:

\\

evidenciu používateľov oprávnených pristupovať k subjektom a identifikovať, manažovať ich riziká, integráciu na systémy správy používateľov aspoň na úrovni LDAP alebo MS ActiveDirectory

1979

1980

prideľovanie rolí oprávneným používateľom s rôznym stupňom oprávnení.

\\

\\

IS pre identifikáciu a riadenie rizík musí umožňovať vykonávať revízie a aktualizáciu analýzy rizík, riadiť riziká, aktíva, zraniteľnosti a hrozby systémom, ktorý dokumentuje históriu a je auditovateľný. IS musí byť typu klient – server nasadený na serveroch prevádzkovateľa bez závislosti na cloudových službách, aktualizáciách cez internet a inom komerčnom programovom vybavení okrem operačného systému a webového prehliadača.

1987

1988

Súčasťou dodávky je aj Implementácia SW pre riadenie a identifikáciu rizikovej analýzy a kontinuity činností +vypracovanie prvotnej analýzy rizík a šablón

1989

1990

**4.SysMon, LMS a eArchiv**

1991

1992

Účelom danej aktivity je zvýšenie úrovne výpovednej hodnoty denníkov udalostí serverovej infraštruktúry postavenej na OS Windows Server, implementácia nástroja pre centrálny zber log záznamov s funkcionalitou ako generovanie notifikácií, poskytovanie prehľadov a reportov, možnosti konfigurovania retenčných politík a funkcionality exportu zozbieraných údajov za účelom ich archivácie.

1993

1994

SysMon so skupiny nástrojov Sysinternals je efektívny nástroj vhodný pre administrátorské účely ale aj manažment bezpečnostných incidentov implementovateľný automatizovane prostredníctvom GPO. Sysmon rozširuje množinu zaznamenaných denníkov udalostí a zároveň v týchto denníkoch udalostí adresne rozširuje množinu informácií a tým významne zvyšuje ich výpovednú hodnotu. Objednávateľ plánuje nástroj nasadiť minimálne na všetky servery prevádzky základnej služby ako aj podporné systémy vybavené OS MS Windows Server.

1995

1996

LMS plánuje obstarávateľ nasadiť ako samostatný nástroj tvoriaci dátovú základňa pre zber, analýzu a archiváciu denníkov udalostí. V tejto architektúre sú log záznamy zbierané z jednotlivých zdrojov priamo do LMS. LMS automatizovane vykonáva analytické činnosti nad zozbieranými údajmi ako sú odfiltrovanie udalostí s nízkou výpovednou hodnotou, vyhodnocovanie výskytu udalostí naznačujúcich možné bezpečnostné riziko a následné notifikovanie. Ďalej LMS poskytuje funkcionality ako funkcionalita dashboardov a reportovania a funkcionalitu retenčných politík. Systém Log manažment musí poskytovať aj automatizovateľnú funkcionalitu exportu zozbieraných údajov.

\\

\\

\\

Súčasťou riešenia je dlhodobé úložisko údajov zozbieraných prostredníctvom LMS vo forme služby s nasledovnými požiadavkami na funkčnosť a kompatibilitu:

2005

2006

Vytváranie a overenie elektronického podpisu pre zachovanie integrity archivovaných údajov s nižšie uvedenými požiadavkami bude zabezpečené produktom, ktorý umožňuje automatizovaným systémom vytvárať a overovať kvalifikovaný elektronický podpis a pečať v zmysle európskeho nariadenia eIDAS a platnej slovenskej legislatívy. :

2007

2008

Funkcionalita automatického vytvárania a overovania zdokonaleného elektronického podpisu a overovania kvalifikovaného elektronického podpisu a časovej pečiatky.

2009

2010

Minimálna softvérová kompatibilita s: Windows Server 2019, MS .NET framework 4.8, MS IIS 10. Kompatibilné s eID a QSCD zariadeniami s a podpora rozhraní CSP a PKCS#11.

2011

2012

Kompatibilné s: PKCS #11: Cryptographic Token Interface Standard a Microsoft Crypto API / Cryptographic Service Provider. Softvérové riešenie s súlade s Nariadením EÚ č. 910/2014 – eIDAS.

2013

2014

Podporované šifrovacie algoritmy minimálne v rozsahu: SHA-224, SHA-256, SHA-384, SHA-512 SHA3-224, SHA3-256, SHA3-384, SHA3-512, RSA, DSA, ECDSA, RIPEMD128, RIPEMD160, RIPEMD256.

2015

2016

Podporované elektronické formáty: ZIP, RAR, XML, XMLDataContainer / XML formuláre alebo formáty spracovateľné externou aplikáciou.

2017

2018

Podporované šifrovacie štandardy: X.509 Public Key Certificates, CMS Advanced Electronic Signatures, XML Advanced Electronic Signatures, Electronic Signature Policies, ASiC, ZEPf,Trust-service Status List, Dôveryhodný zoznam, Time-Stamp Protocol, OCSP.

2019

2020

Podporované formáty elektronického podpisu CAdES-BES, CAdES-EPES, CAdES-T, CAdES-X, CAdES-A CAdES-B-B, CAdES-B-T, CAdES-B- LT, CAdES-B-LTA XAdES-BES, XAdES-EPES, XAdES-T, XAdES-X, XAdES-A XAdES-B-B, XAdES-B-T, XAdES-B-LT, XAdES-B-LTA PAdES- BES, PAdES-EPES, PAdES-T, PAdES-LTV PAdES-B-B, PAdES-B-T, PAdES-B-LT, PAdES-B-LTA XAdES_ZEP s dátovými objektmi typu XML,

2021

2022

zložený elektronický podpis, Integritný podpis.

2023

2024

Súlad so štandardmi: ETSI TS 101 733, ETSI TS 103 173, ETSI TS 101 903, ETSI TS 103 171, ETSI TS 102 778, ETSI TS 103 172, ETSI TS

2025

2026

102 918, ETSI TS 103 174, ETSI TS 119 612, ETSI TR 102 272, RFC 5280, RFC 3161, RFC 6960.

2027

2028

Kompatibilné s komunikačnými štandardami: SOAP 1.2, WS-I Basic Profile 1.1, WSS SOAP Message Security 1.0, SOAP Message Transmission Optimization Mechanism.

\\

\\

Produkt bude dodaný ako služba s požadovanou funkcionalitou.

\\

\\

\\

Archiváciu elektronicky podpísaných dokumentov s nižšie uvedenými požiadavkami bude zabezpečená produktom, ktorý rozširuje takmer ľubovoľný DMS (Document Management System) o schopnosť udržiavať dlhodobú overiteľnosť archivovaných dokumentov podpísaných kvalifikovaným elektronickým podpisom a pečaťou (QES). Riešenie je určené najmä pre stredné a veľké organizácie, ktoré potrebujú dlhodobo archivovať dokumenty podpísané kvalifikovaným elektronickým podpisom a pečaťou.

2043

2044

Funkcionalita pre zachovanie dlhodobej overiteľnosti archivovaných dokumentov podpísaných zdokonaleným elektronickým podpisom, kvalifikovaným elektronickým podpisom a časovou pečiatkou.

2045

2046

Integračné rozhranie pre DMS systémy

2047

2048

Minimálna softvérová kompatibilita s: Windows Server 2019

2049

2050

Súlad so štandardmi ETSI pre elektronický podpis a štandardmi NBÚ SR

\\

\\

Produkt bude dodaný ako služba s požadovanou funkcionalitou.

\\

== {{id name="projekt_2524_Projektovy_zamer_detailny-5.SWprezberdát200Mbps-splatnosťou12mesiacov"/}}5. SW pre zber dát 200 Mbps - s platnosťou 12 mesiacov ==

\\

Centralizovaný integrovaný sieťový bezpečnostný nástroj pre zber dát a aktívne sledovanie diania v lokálnej počítačovej sieti a v informačných systémoch prevádzky základnej služby Prevádzkovateľa ako aj podporných systémoch. Na monitorovaní sa budú na úrovni L1 podieľať zamestnanci IT oddelenia

2065

2066

a pre potreby úrovní L2 a L3 Prevádzkovateľ plánuje obstarať externého dodávateľa formou SLA služieb z vlastných zdrojov. Cieľom je včas rozpoznať kybernetický útok alebo náznak potencionálneho vniknutia do systémov a sietí tak, aby bolo možné útoku či zlyhaniu siete zabrániť alebo prijať opatrenia, aby sa takýmto útokom či zlyhaním minimalizovali následky. Zároveň jednotlivé útoky analyzovať a vyhodnocovať. Na základe vyššie uvedených záverov bude vybrané a do testovacej prevádzky zavedené centralizované integrované sieťové bezpečnostné softvérové vybavenie, kde Prevádzkovateľ identifikoval nasledovné minimálne funkčné požiadavky:

2067

2068

Predpokladaný objem sieťovej komunikácie na analýzu – **200Mbps**

2069

2070

Multiplatformová podpora zdrojových zariadení pre zber dátových tokov a logov Využívanie funkcionalít strojového učenia

2071

2072

Funkcionalita detekcie narušenia – IDS vrátane znalostných databáz pre IDS Korelačná funkcionalita nad zozbieranými údajmi

2073

2074

Napojenie na znalostné databázy ako databázy škodlivých IP adries a Threat Intelligence Rozšírená klasifikácia aktív a ich rolí – Tagovanie

2075

2076

Prijímanie a spracovanie log záznamov s možnosťou generovania bezpečnostných udalostí – min 150 EPS Aktívna sieťová detekcia malware, aktivít útočníka v sieti, aktivít typu C&C

2077

2078

Zaznamenávanie paketov na základe vstupných podmienok Monitorovanie interakcií v sieťach a „Lateral movement“

2079

2080

Detekcia škodlivých súborov pomocou hashovania a detekčných signatúr

2081

2082

Prevencia úniku informácií (DLP) na základe vytvárania signatúr a tagovania Možnosť vykonávania prediktívnych analýz a analýz zmien v sieti

Funkcionalita NBA

Možnosť vytvárania incidentov a ich následnej správy Notifikačná funkcionalita formou emailu

2087

2088

Interpretácia údajov formou web rozhrania (dashboard)

2089

2090

Funkcionalita generovania reportov s možnosťou definovania vlastných pravidiel Podpora integrácie s MS Active Directory

2091

2092

== {{id name="projekt_2524_Projektovy_zamer_detailny-Preocenenietohtokomponentupredpokladámepodporuzabezpečeniaprevádzkyzostranydodávateľalenpodobumax.12mesiacov.Ďalšie4rokybudezabezpečenátátoslužbavlastnýmikapacitami."/}}Pre ocenenie tohto komponentu predpokladáme podporu zabezpečenia prevádzky zo strany dodávateľa len po dobu max. 12 mesiacov. Ďalšie 4 roky bude zabezpečená táto služba vlastnými kapacitami. ==

**~ **

**~ **

**~ **

**~ **

**~ **

**6. Dodávka Fiewall-ového riešenia**

**~ **

Súčasťou dodávky riešenia sú zariadenia s nasledujúcimi parametrami :

\\

2ks HW Firewall pre Internet Edge vrstvu

\\

Zariadenie montovateľné do dátového rozvádzača, veľkosť max. 1RU , min. 1x management port, min. 8 x GE RJ45 portov, min 4x SFP, min 1 x USB 3.0 Type-A, min. 150GB interného dátového úložiska, RAM min 16GB.

2117

2118

Min. priepustnosť FW: 2 Gbps ,min. počet súčasných FW spojení: 190 000, min. počet nových spojení za sekundu: 14 000 , min. počet súčasných VPN spojení: 140, podpora IDS/IPS.

2119

2120

Priepustnosť FW + AVC IPS – min. 2 Gbps

2121

2122

Podpora/záruka od výrobcu pre výmenu zariadenia v prípade poruchy 1 rok, 24x7. SW podpora a platnosť licencií minimálne 1 rok. Výmena zariadení min. v režime 8x5.

\\

\\

\\

2ks HW Firewall pre DC vrstvu

\\

Zariadenie montovateľné do dátového rozvádzača, veľkosť max. 1RU , min. 1x management port, min. 8 x GE RJ45 portov, min 8 x 1/10G SFP+, min 1 x USB 3.0 Type-A, min. 850GB interného dátového úložiska, RAM min 2x32GB.

2135

2136

Min. priepustnosť FW: 9 Gbps ,min. počet súčasných FW spojení: 1 400 000, min. počet nových spojení za sekundu: 80 000 , min. počet súčasných VPN spojení: 1900, podpora IDS/IPS.

2137

2138

Priepustnosť FW + AVC IPS – min. 9 Gbps, priepustnosť TLS min 3 Gbps.

2139

2140

Podpora/záruka od výrobcu pre výmenu zariadenia v prípade poruchy 1 rok, 24x7. SW podpora a platnosť licencií minimálne 1 rok. Výmena zariadení min. v režime 8x5.

2141

2142

Redundantný zdroj napájania.

\\

\\

== {{id name="projekt_2524_Projektovy_zamer_detailny-7.MigráciaFWavertikálnasegmentácia"/}}7. Migrácia FW a vertikálna segmentácia ==

\\

Obstarávateľ plánuje zavedenie nového firewallového HW a SW vybavenia v High Availability režime a v architektúre dvoch vrstiev.

2153

2154

Iniciálnym krokom je analýza prostredia súčasného firewallu, kontrola pravidiel z pohľadu ich využívania a bezpečnosti prevádzky a ich následná optimalizácia. Až po tomto kroku bude nasledovať migrácia FW pravidiel na nové firewallové vybavenie ale už v zmysle segmentovania do dvoch vrstiev.

2155

2156

Prvá vrstva bude slúžiť ako „Internet Edge“ firewall a bude vybavená NGFW funkcionalitami (URL filtrovanie, inšpekcia šifrovanej prevádzky, integrované IPS, pokročilá detekcia malwaru a funkcia Threat intelligence). Tieto funkcionality zároveň predstavujú samostatný bezpečnostný nástroj a sú hodnotným zdrojom informácií pri riešení bezpečnostných incidentov. Ďalej bude jej úlohou poskytovať služby VPN koncentrátora, poskytovať MFA autorizáciu pre používateľov VPN a budú tu ukončené DMZ a špinavé siete (typu WIFI pre hostí) tak aby došlo k ich oddeleniu od interných sietí.

2157

2158

Bežné interné siete budú ukončené na 2. vrstve firewallov (DC vrstva) bez funkcionalít NGFW a budú tu ukončené všetky ostatné interné sieťové segmenty, ktoré podľa rizikovosti nebudú ukončené na prvej vrstve firewallov. V tejto architektúre budú všetky sieťové segmenty ukončené, riadené a kontrolované firewallom.

2159

2160

== {{id name="projekt_2524_Projektovy_zamer_detailny-8.ADTiermodel(PAM)"/}}8. AD Tier model (PAM) ==

**~ **

Slúži na zvýšenie úrovne informačnej bezpečnosti rozdelením infraštruktúry Microsoft Active Directory do viacerých vrstiev podľa klasifikácie jednotlivých aktív vo vrstvách. Model definuje minimálne tri vrstvy, ktoré vytvárajú zóny na oddelenie správy rizikovejších aktív ako pracovné stanice od cenných aktív ako napr. servery prevádzky základnej služby, DB servery, radič domény a podobne. Model zároveň definuje dedikované prístupy pre privilegované účty do jednotlivých vrstiev a obmedzuje prestupy medzi vrstvami. Zabráni tak útočníkovi ktorý sa zmocnil oprávnení používateľa s nízkymi oprávneniami aby eskaloval oprávnenie pre užívateľa s vysokými privilégiami a prevzal kontrolu nad hodnotnejším aktívom. Predmetné rozdelenie infraštruktúry Microsoft Active Directory bude na základe rovnakých vstupných premenných zavedené aj na úrovni vertikálnej segmentácie siete medzi dve úrovne firewallov.

2165

2166

Tier 0 – najvyššia úroveň zahŕňa servery prevádzky základnej služby, kritické aplikačné servery, radiče domény. Tier 1 – je určená pre doménové member servery a aplikačné servery

2167

2168

Tier 2 – je určená pre koncových užívateľov pracovné stanice.

\\

== {{id name="projekt_2524_Projektovy_zamer_detailny-9.Zaškolenieobsluhyvpotrebnomrozsahuprevšetkykomponenty"/}}9. Zaškolenie obsluhy v potrebnom rozsahu pre všetky komponenty ==

**~ **

Predpokladaný rozsah školení vybraných pracovníkov v počte max.5 počas min. 5 dní ( 40 hodín )

\\

== {{id name="projekt_2524_Projektovy_zamer_detailny-3.6Rizikáazávislosti"/}}3.6 Riziká a závislosti ==

2181

2182

Zoznam rizík a závislostí je detailne rozpracovaný v prílohe tohto dokumentu č. 1: Zoznam rizík a závislostí. Tento zoznam bude počas celej realizácie projektu aktualizovaný.

\\

== {{id name="projekt_2524_Projektovy_zamer_detailny-3.7Stanoveniealternatívvbiznisovejvrstvearchitektúry"/}}3.7 Stanovenie alternatív v biznisovej vrstve architektúry ==

2187

2188

V rámci biznisovej vrstvy architektúry sme porovnávali 3 variantné alternatívy riešenia súčasného stavu. Na základe identifikovaného rozsahu problému v projektovom zámere boli stanovené tri rôzne riešenia. Ako najefektívnejšia bola vybraná Alternatíva č. 3, taká, kt. pokrýva procesy a výsledky auditu KB a celú problematiku KB komplexne.

\\

== {{id name="projekt_2524_Projektovy_zamer_detailny-Alternatíva1-Ponechaniesúčasnéhostavu"/}}Alternatíva 1 - Ponechanie súčasného stavu ==

**~ **

Prvou alternatívou je ponechanie existujúceho stavu ochrany informačných systémov a ochranu informácií v súčasnom prostredí MLM a prevádzkovaných informačných systémov a zabezpečenie kybernetickej bezpečnosti ponechať v riešení existujúcich zmlúv SLA a interných kapacít MLM. Zachovanie pôvodného stavu nezabezpečí povinnosť ochrany informácií a informačných aktív a je v plnom rozpore s povinnosťami vyplývajúcimi zo zákona č.69/2018

2197

2198

Z.z. o KB. Rovnako dôjde k obmedzenému odstráneniu negatívnych zistení výsledkov auditu, dôsledkom čoho dôjde aj k podstatnému zvýšeniu rizika pre vznik bezpečnostných incidentov bez ich prípadnej včasnej eliminácie.

\\

\\

== {{id name="projekt_2524_Projektovy_zamer_detailny-Alternatíva2–ImplementáciaopatrenívzmyslezisteníaudituKBvpodmienkaMLMsplnýmexternýmzabezpečenímslužiebdohľadovéhocentra"/}}Alternatíva 2 – Implementácia opatrení v zmysle zistení auditu KB v podmienka MLM s plným externým zabezpečením služieb dohľadového centra ==

**~ **

Táto alternatíva predstavuje komplexné a systémové riešenie voči kybernetickým útokom resp. voči politicky motivovaným kampaniam. Zabezpečí zavedenie systémových opatrení a zároveň vytvorí predpoklady pre včasné reakcie na kybernetické útoky a hrozby. Realizáciou tohoto opatrenia sa zabezpečí systémové riešenie reakcie na kybernetické útoky a naplnia sa zákonom stanovené úlohy v oblasti kybernetickej bezpečnosti. Realizáciou tejto alternatívy dôjde k naplneniu predpokladov pre odstráneniu negatívnych zistení výsledkov auditu KB v podmienka MLM.

\\

\\

Hlavné prínosy tejto alternatívy predstavuje:

\\

* technické vybavenie, ktorým sa zabezpečí zvýšenie viditeľnosti a kvality zbieraných a vyhodnocovaných informácií z informačných systémov, zvýšenie miery automatizácie a rozsahu procesov životného cyklu kybernetických incidentov a s tým spojené zníženie chybovosti ľudského faktoru.

\\

* personálne zabezpečenie je riešené externe na základe zmluvy SLA po implementácii projektu, čím sa zvýši spôsobilosť.

2223

* procesná spôsobilosť zabezpečená vytvorením detailných postupov práce a dokumentácie, čím sa zabezpečí automatizácia a zníži chybovosť ľudského

\\

== {{id name="projekt_2524_Projektovy_zamer_detailny-Alternatíva3–ImplementáciaopatrenívzmyslezisteníaudituKBvpodmienkaMLMsexternýmzabezpečenímslužiebdohľadovéhocentrapočastestovacejprevádzkyanáslednýmprechodomzabezpečeniaslužiebdohľadovéhocentravlastnýmikapacitami"/}}Alternatíva 3 – Implementácia opatrení v zmysle zistení auditu KB v podmienka MLM s externým zabezpečením služieb dohľadového centra počas testovacej prevádzky a následným prechodom zabezpečenia služieb dohľadového centra vlastnými kapacitami ==

2228

2229

Táto alternatíva predstavuje komplexné a systémové riešenie voči kybernetickým útokom resp. voči politicky motivovaným kampaniam. Zabezpečí zavedenie systémových opatrení a zároveň vytvorí predpoklady pre včasné reakcie na kybernetické útoky a hrozby. Realizáciou tohoto opatrenia sa zabezpečí systémové riešenie reakcie na kybernetické útoky a naplnia sa zákonom stanovené úlohy v oblasti kybernetickej bezpečnosti. Realizáciou tejto alternatívy dôjde k naplneniu predpokladov pre odstráneniu negatívnych zistení výsledkov auditu KB v podmienka MLM.

2230

2231

Hlavné prínosy tejto alternatívy predstavuje:

\\

* technické vybavenie, ktorým sa zabezpečí zvýšenie viditeľnosti a kvality zbieraných a vyhodnocovaných informácií z informačných systémov, zvýšenie miery automatizácie a rozsahu procesov životného cyklu kybernetických incidentov a s tým spojené zníženie chybovosti ľudského faktoru.

2236

* personálne zabezpečenie je riešené externe len počas implementácie projektu, čím sa zvýši spôsobilosť a následne sa ušetria finančné prostriedky nakoľko bude minimalizované využívanie externých kapacít poskytovaných tretími stranami.

2237

* procesná spôsobilosť zabezpečená vytvorením detailných postupov práce a dokumentácie, čím sa zabezpečí automatizácia a zníži chybovosť ľudského

\\

== {{id name="projekt_2524_Projektovy_zamer_detailny-3.8Multikriteriálnaanalýza"/}}3.8 Multikriteriálna analýza ==

2242

2243

Výber alternatív prebieha prostredníctvom MCA zostavenej na základe kapitoly Motivácia a rozsah projektu, ktorá obsahuje ciele MLM, jeho požiadavky a obmedzenia pre dosiahnutie uvedených cieľov.

2244

2245

Niektoré (nie všetky) kritériá, môžu byť označené ako KO kritériá. KO kritériá označujú biznis požiadavky na riešenie, ktoré sú z hľadiska rozsahu identifikovaného problému a motivácie nevyhnutné pre riešenie problému a všetky akceptovateľné alternatívy ich tak musia naplniť. Alternatívy, ktoré nesplnia všetky KO kritériá, môžu byť vylúčené z ďalšieho posudzovania. KO kritériá nesmú byť technologické (preferovať jednu formu technologickej implementácie voči druhej)

Kritériá pre MCA

(% class="" %)|(((

\\

)))|(((

KRITÉRIUM

)))|(((

ZDÔVODNENIE KRIÉRIA

)))|(((

OBČAN/ PODNIK ATEĽ

)))|(((

Prac ovník MLM

)))|(((

Samo správa MLM

)))

(% class="" %)|(((

Biznis vrstva

)))|(((

Kritérium A (KO) Kvalitnejšie a rýchlejšie riadenie kybernetickej bezpečnosti,

2266

)))|(((

2267

Nový systém by mal výrazne skvalitniť poskytovanie služieb kybernetickej ochrany pre IS v MLM.

)))|(((

X

)))|(((

X

)))|(((

X

)))

(% class="" %)|(% rowspan="2" %)(((

2276

Stanove né alternatí vy

2277

)))|(((

2278

Monitorovanie kritických informačných systémov

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))

(% class="" %)|(((

Kritérium B (KO)

)))|(((

Automatizácia výkonu

)))|(((

X

)))|(((

X

)))|(((

X

)))

(% class="" %)|(((

\\

)))|(((

Zníženie administratívnej náročnosti a zvýšenie efektívnosti detekcie bezpečnostných incidentov.

2303

)))|(((

2304

administratívnej náročnosti a zvýšenie efektívnosti detekcie bezpečnostných incidentov.

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))

(% class="" %)|(((

\\

)))|(((

Kritérium C (KO)

\\

Zber štruktúrovaných údajov o stave kybernetickej bezpečnosti IS.

2320

)))|(((

2321

Kvalitné a efektívne riadenie kybernetickej bezpečnosti sa dá zabezpečiť iba pomocou monitoringu štruktúrovaných informácií na základe ktorých sa dajú prijímať rýchle a kvalifikované rozhodnutia.

)))|(((

X

)))|(((

X

)))|(((

X

)))

(% class="" %)|(((

\\

)))|(((

Kritérium D (KO)

)))|(((

Úspora finančných nákladov počas prevádzky nasadených opatrení

)))|(((

\\

)))|(((

\\

)))|(((

X

)))

\\

Vyhodnotenie MCA

(% class="" %)|(((

Zo zn am krit érií

)))|(((

Al te rn at íva

)))|(((

Spôsob dosiahnutia

)))|(((

Alt er na tív a 2

)))|(((

Spôsob dosiahnutia

)))|(((

Alt er na tív a 3

)))|(((

Spôsob dosiahnutia

)))

(% class="" %)|(((

\\

)))|(((

1

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))

(% class="" %)|(((

Krit éri um A

)))|(((

nie

)))|(((

alternatíva 1 je zachovanie súčasného stavu bez realizácie projektu

)))|(((

áno

)))|(((

Implementáciou alternatívy 2 sa zabezpečí kvalitnejšie a rýchlejšie riadenie kybernetickej bezpečnosti, Monitorovanie kritických informačných systémov.

)))|(((

áno

)))|(((

Implementáciou alternatívy 3 sa zabezpečí kvalitnejšie a rýchlejšie riadenie kybernetickej bezpečnosti.

2392

2393

Monitorovanie kritických informačných systémov.

)))

(% class="" %)|(((

Krit éri um B

)))|(((

nie

)))|(((

alternatíva 1 je zachovanie súčasného stavu bez realizácie projektu

)))|(((

áno

)))|(((

Implementácia alternatívy 2 sa zabezpečí zníženie administratívnej náročnosti a zvýšenie efektívnosti detekcie bezpečnostných incidentov.

)))|(((

áno

)))|(((

Implementácia alternatívy 3 sa zabezpečí zníženie administratívnej náročnosti a zvýšenie efektívnosti detekcie bezpečnostných incidentov.

)))

(% class="" %)|(((

Krit éri um C

)))|(((

nie

)))|(((

alternatíva 1 je zachovanie súčasného stavu bez realizácie projektu

)))|(((

áno

)))|(((

Implementáciou alternatívy 2 monitoringu

\\

štruktúrovaných informácií bude možné prijímať rýchle a kvalifikované rozhodnutia.

)))|(((

áno

)))|(((

Implementáciou alternatívy 3 monitoringu

\\

štruktúrovaných informácií bude možné prijímať rýchle a kvalifikované rozhodnutia.

)))

(% class="" %)|(((

Krit éri um D

)))|(((

nie

)))|(((

alternatíva 1 je zachovanie súčasného stavu bez realizácie projektu

)))|(((

áno

)))|(((

Poskytnutím externých služieb dohľadového centra dôjde k výraznému navýšeniu finančných prostriedkov MLM vynaložených pre tretie strany k zabezpečeniu prevádzky implementovaných opatrení

)))|(((

nie

)))|(((

Zabezpečením služieb dohľadového centra internými kapacitami nedôjde výraznému navýšeniu finančných prostriedkov MLM k zabezpečeniu prevádzky implementovaných opatrení

2447

)))

2448

2449

Na základe vyhodnotenia MCA analýzy vychádza Alternatíva 2 ako jediná, ktorá spĺňa všetky požiadavky.

\\

== {{id name="projekt_2524_Projektovy_zamer_detailny-3.9Stanoveniealternatívvaplikačnejvrstvearchitektúry"/}}3.9 Stanovenie alternatív v aplikačnej vrstve architektúry ==

**~ **

Alternatívy na úrovni aplikačnej architektúry reflektujú alternatívy vypracované na základe „nadradenej" architektonickej biznis vrstvy, pričom vďaka uplatneniu nasledujúcich princípov aplikačná vrstva architektúry dopĺňa informácie k alternatívam stanoveným pomocou biznis architektúry. Ako najvýhodnejšiu z danej analýzy považujeme Alternatívu 2. Výber Aplikačnej architektúry reflektuje výber nadradenej biznis architektúry.

2458

2459

== {{id name="projekt_2524_Projektovy_zamer_detailny-3.10Stanoveniealternatívvtechnologickejvrstvearchitektúry"/}}3.10 Stanovenie alternatív v technologickej vrstve architektúry ==

2460

2461

**~ **Výber alternatívy na úrovni technologickej a bezpečnostnej vrstvy architektúry kopíruje výber alternatívy č. 2 na základe MCA. Riešenie bude prevádzkované čiastočne na HW infraštruktúre MLM a čiastočne na dodanej novej HW infraštruktúre a s úspešným uchádzačom bude podpísaná zmluva o dielo.

\\

= {{id name="projekt_2524_Projektovy_zamer_detailny-4.POŽADOVANÉVÝSTUPY(PRODUKTPROJEKTU)"/}}4. POŽADOVANÉ VÝSTUPY (PRODUKT PROJEKTU) =

**~ **

Výstupom projektu je funkčný, stabilný, efektívny, bezpečný systém, ktorý sa dosiahne doplnením SW a HW infraštruktúry. Zabezpečenie zavedenia systémových opatrení a zároveň vytvorenie predpokladov pre včasné reakcie na kybernetické útoky a hrozby. Realizáciou týchto opatrenia sa zabezpečí systémové riešenie reakcie na kybernetické útoky a naplnia sa zákonom stanovené úlohy v oblasti kybernetickej bezpečnosti. Realizáciou tohto projektu dôjde k naplneniu predpokladov pre odstráneniu negatívnych zistení výsledkov auditu KB v podmienka MLM.

2470

2471

Výstupom bude aj dodanie dokumentácie, inštalačnej príručky a pokynov na inštaláciu (úvodnú/opakovanú), prevádzkový opis a pokyny pre servis, údržbu a diagnostiku, pokyny na obnovu pri výpadku alebo havárii (BCM).

\\

Realizácia projektu bude v zmysle vyhlášky ÚPVII č. 85/2020 Z. z. pozostávať z uvedených etáp: Analýza a dizajn,

2476

2477

Nákup technických prostriedkov, programových prostriedkov a služieb Implementácia a testovanie,

Nasadenie

\\

\\

|(((

**Etapa**

)))|(((

**Požadované výstupy**

)))

(% class="" %)|(((

**Analýza a dizajn**

)))|(((

**Úvodná správa (Projektový iniciálny dokument, ďalej ako „PID“) pre všetky funkčné oblasti**

\\

- Zoznam požiadaviek

\\

- Akceptačné kritériá

\\

- Rámcová špecifikácia riešenia (Popis produktu,

\\

- Technologická architektúra – časť systémová architektúra

\\

- Bezpečnostná architektúra

\\

- Stratégia testovania

\\

- Plán testovania

\\

- Testovacie scenáre a prípady **Detailná funkčná špecifikácia riešenia**

2526

2527

- detailný popis funkcionality a biznis požiadaviek,

\\

**Detailná technická špecifikácia, pre všetky systémy samostatne**

\\

- technická architektúra – časť fyzická architektúra

\\

- Plán testovania

\\

- Testovacie scenáre a prípady

\\

- Plán Implementácie

)))

(% class="" %)|(((

**Implementácia a testovanie**

)))|(((

**Implementácia:**

)))

(% class="" %)|(((

\\

)))|(((

- Implementácia a integrácia systémov pre všetky funkčné oblasti samostatne

)))

(% class="" %)|(((

\\

)))|(((

- Úvodná konfigurácia systému podľa reálnych biznis procesov pre testovacie účely

)))

(% class="" %)|(((

\\

)))|(((

- Vybudovanie testovacieho prostredia, jeho nasadenie a oživenie diela pre všetky systémy a pre všetky funkčné oblasti samostatne

)))

(% class="" %)|(((

\\

)))|(((

- Implementácia procesov

)))

(% class="" %)|(((

\\

)))|(((

**Testovanie:**

)))

(% class="" %)|(((

\\

)))|(((

**Zrealizovanie testovania minimálne v nasledovnom rozsahu:**

)))

(% class="" %)|(((

\\

)))|(((

- Funkčné testy

)))

(% class="" %)|(((

\\

)))|(((

- Bezpečnostné testy

)))

(% class="" %)|(((

\\

)))|(((

- Záťažové testy

)))

(% class="" %)|(((

\\

)))|(((

- Používateľské akceptačné testovanie

)))

(% class="" %)|(((

**Nasadenie**

)))|(((

**Nasadenie do produkcie:**

\\

- Príprava produkčného prostredia

\\

- Administratívna príprava produkčného prostredia (procesy, dokumentácia)

\\

- Inštalácia riešenia do produkčného prostredia

\\

- Sprístupnenie riešenia v produkčnom prostredí vybraným používateľom

2624

)))

2625

2626

= {{id name="projekt_2524_Projektovy_zamer_detailny-5.NÁHĽADARCHITEKTÚRY"/}}5. NÁHĽAD ARCHITEKTÚRY =

**~ **

Za účelom zvýšenia úrovne zavedených postupov a opatrení týkajúcich sa kybernetickej a informačnej bezpečnosti (KIB) v MLM je potrebné konsolidovať existujúcu bezpečnostnú architektúru a dobudovať dohľadovú službu, implementáciou nových a inováciou existujúcich bezpečnostných nástrojov a procesov, a to najmä v nasledovných oblastiach:

2631

2632

kybernetická ochrana a bezpečnostný monitoring a identifikácia bezpečnostných incidentov,

2633

2634

riadenie bezpečnostných incidentov, ochrana proti externým hrozbám,

2635

2636

ochrana dát, dátových prenosov a komunikácie, zvyšovanie bezpečnostného povedomia,

2637

2638

implementácia bezpečnostných opatrení na zabezpečenie súladu so zákonom a výsledkami auditu KB

\\

Služby a funkcie uvedené v tejto kapitole poskytujú z dôvodu, že sa jedná o projekt kybernetickej bezpečnosti len základné informácie a základný architektonický rámec riešenia, ktoré by malo byť implementované projektom. Budúce riešenie zabezpečenia informačnej a kybernetickej bezpečnosti sa bude skladať najmä z nasledovných funkcií:

2643

2644

**Kybernetická ochrana a detekcia škodlivých aktivít a bezpečnostných incidentov: **Bezpečnostný monitoring IS, platforiem, aplikácií a používateľských činností a aktivít. Monitoring sietí, monitoring činností a aktivít privilegovaných používateľov.

2645

2646

**Riadenie bezpečnostných incidentov: **Identifikácia a hlásenie bezpečnostných incidentov, registrácia, kategorizácia a klasifikácia bezpečnostných incidentov. Akceptácia bezpečnostných incidentov a určenie riešiteľov. Analýza a vyšetrovanie bezpečnostných incidentov a zber dôkazov.

2647

2648

Riešenie bezpečnostných incidentov a obnova prevádzky, uzatvorenie bezpečnostných incidentov, vyhodnotenie bezpečnostných incidentov, zavedenie do KB DB, spätná väzba a poučenie sa z bezpečnostného incidentu.

2649

2650

**Zvýšenie ochrany pred útokmi z externého prostredia: **Ochrana pred malware a ransomware, manažment bezpečnosti sietí, manažment bezpečnostných konfigurácií (implementácia systému pre jednotnú správu a deployment bezpečnostných politík a bezpečnostných konfigurácií).

2651

2652

**Ochrana dát, dátových prenosov a komunikácie: **Bezpečnosť virtualizovaných prostredí, ochrana dát na úrovni databáz a dátových úložísk, ochrana dát na úrovni koncových zariadení. Riadenie SW záplat (Patch management), manažment zraniteľností.

2653

2654

**Zvýšenie ochrany pred útokmi z externého prostredia: **Ochrana pred malware a ransomware. Manažment bezpečnosti sietí, manažment bezpečnostných konfigurácií.

\\

Aktuálna schéma riešenia :

2659

2660

[[image:attach:image-2024-4-30_15-36-15.png||height="400"]]

\\

== {{id name="projekt_2524_Projektovy_zamer_detailny-Jednotlivéfunkciebudúzabezpečovaťnasledujúcekomponentyarchitektúryriešenia:"/}}Jednotlivé funkcie budú zabezpečovať nasledujúce komponenty architektúry riešenia: ==

(% class="" %)|(((

\\

)))

(% class="" %)|(((

\\

)))|(((

\\

)))

**~ **__Zoznam jednotlivých komponentov projektu__ __:__

\\

1. __Riadenie kontinuity činností (BCM)__

2680

1. __Vypracovanie analýzy funkčných dopadov a posúdenie dodávateľských vzťahov__

2681

1. __SW pre riadenie a identifikáciu rizikovej analýzy a kontinuity činností + implementácia__

2682

1. __SW pre LMS a eArchiv SW + implementácia__

2683

1. __SW nástroj pre zber dát 200 Mbps + implementácia__

2684

1. __Dodávka Firewall - ového riešenia__

2685

1. __Migrácia FW a vertikálna segmentácia siete__

2686

1. __AD Tier model (PAM)__

2687

1. __Základné školenie obsluhy__

2688

2689

__Stručný popis komponentov, ktoré sú predmetom projektu__ __:__

2690

2691

1. __Riadenie kontinuity činností (BCM)__

\\

* Vypracovanie kontinuity činností v zmysle ZoKB – riadenie kontinuity činností (BCM) v zmysle zákona č. 69/2018 z. a vyhlášky 362/2018 Z. z. (§17), v rovine riadenia, revízie a aktualizácie potrebnej dokumentácie v súvislosti s implementovanými opatreniami KB. Kontinuita činností musí obsahovať minimálne:

2696

2697

plán kontinuity na stanovenie požiadaviek a zdrojov,

2698

2699

plán reakcie na incidenty a plány havarijnej obnovy prevádzky, scenáre udalostí s negatívnym vplyvom na činnosti organizácie, postupy zálohovania a obnovy siete a informačných systémov, politiku a ciele kontinuity,

2700

2701

metodiku analýzy funkčných dopadov,

2702

2703

stratégiu riadenia kontinuity vrátane evakuačných postupov, plán údržby a kontroly BCM.

2704

2705

2. Vypracovanie analýzy funkčných dopadov a posúdenie dodávateľských vzťahov

2706

2707

*

2708

** Identifikácia rôznych kategórií procesov na základe ich kritickosti a posúdiť ich vzájomné závislosti,

\\

* Určenie potenciálnych dôsledkov (škody/straty) pri rôznych dobách trvania kritických situácií,

2713

* Identifikácia potenciálne dopady vyplývajúce z možného prerušenia činností a stanoviť výšku: funkčných dopadov,

finančných dopadov,

dopadov spôsobených stratou údajov a dokumentov.

2718

2719

Príprava takých postupov a vytvorenie takých podmienok, ktoré zabezpečia v prípade krízovej situácie vo vopred stanovenom rozsahu a čase návrat k fungovaniu organizácie v normálnom režime,

2720

2721

3. SW pre riadenie a identifikáciu rizikovej analýzy a kontinuity činností

2722

2723

*

2724

** časovo neobmedzená licencia pre neobmedzený počet používateľov,

2725

2726

-vrátane implementácia SW pre riadenie a identifikáciu rizikovej analýzy a kontinuity činností +vypracovanie prvotnej analýzy rizík a šablón. SW pre identifikáciu a riadenie rizík musí umožňovať vykonávať revízie a aktualizáciu analýzy rizík, riadiť riziká, aktíva, zraniteľnosti a hrozby systémom, ktorý dokumentuje históriu a je auditovateľný. SW musí byť typu klient – server nasadený na serveroch prevádzkovateľa bez závislosti na cloudových službách, aktualizáciách cez internet a inom komerčnom programovom vybavení okrem operačného systému a webového prehliadača.

2727

2728

__4. SW pre LMS a eArchiv SW__

2729

2730

vrátane implementácie komponenty SysMon bude zabezpečené zvýšenie úrovne výpovednej hodnoty log záznamov serverov s OS Windows Server, čím dôjde k zjednodušeniu a zrýchleniu manažmentu incidentov. Úlohou komponentu LMS je poskytnúť funkcionalitu centrálneho úložiska log záznamom a zároveň umožní vykonávať nad zozbieranými údajmi vyhodnocovacie a notifikačné funkcionality za účelom včasnej notifikácie administrátorov o možnom vzniku incidentu. Komponent eArchív spracuje výstupy LMS, elektronicky ich podpisuje (vrátane časovej pečate), archivuje a umožňuje aplikovať retenčné politiky.

2731

2732

__5.SW nástroj pre zber dát 200 Mbps__

2733

2734

*

2735

** platnosť licencie minimálne 12 mesiacov,

2736

** vrátane implementácie, konfigurácie, ladenie SW nástroja pre zber dát

\\

Implementáciou Software - ového nástroja pre zber dát bude zabezpečené aktívne sledovanie diania na sieti a v informačných systémoch prevádzky základnej služby Prevádzkovateľa ako aj podporných systémoch. Na monitorovaní sa môžu podieľať aj zamestnanci IT oddelenia. Cieľom je včas rozpoznať kybernetický útok alebo náznak potencionálneho vniknutia do systémov a sietí tak, aby bolo možné útoku či zlyhaniu siete zabrániť alebo prijať opatrenia, aby sa takýmto útokom či zlyhaním minimalizovali následky. Zároveň umožňuje jednotlivé útoky analyzovať a vyhodnocovať.

2741

2742

__6. Dodávka Firewall - ového riešenia__

2743

2744

1.

2745

1*. zabezpečenie ochrany dátovej infraštruktúry vstupnou bránou, ktorá zabezpečí monitorovanie a filtrovanie prichádzajúcej či odchádzajúcej sieťovej komunikácie na základe vopred stanovených bezpečnostných zásad organizácie. Brána firewall predstavuje bariéru medzi dôveryhodnou a nedôveryhodnou sieťou, akou je napríklad internet. Implementácia dvoch úrovní FW umožní realizovať vertikálnu segmentáciu siete s ukončením segmentov na firewalloch podľa ich kategorizácie a zároveň umožní optimalizáciu nákladov na udržateľnosť.

2746

2747

__7. Migracia FW a vertikálna segmentácia siete__

2748

2749

Migrácia FireWall-ov a doplnenie NGFW funkcionalít predstavuje začlenenie nových prvkov dátovej infraštruktúry do existujúcej dátovej infraštruktúry s definovaním nových pravidiel komunikácie a ochrany. Vertikálna segmentácia počítačovej siete je potrebná ako prvok rozvoja informačnej bezpečnosti a riadenia prístupu. Rozdeľuje virtuálne segmenty podľa ich kategorizácie medzi jednotlivé vrstvy firewallov. Tento prístup umožňuje riadiť dátové toky prevádzky medzi podsieťami na základe podrobných pravidiel. Zavedenie vertikálnych virtuálnych segmentov siete zlepšuje možnosti monitorovania sieťovej komunikácie, zvýšenie výkonu, lokalizáciu technických problémov ako aj zvýšenie úrovne informačnej bezpečnosti. Segmentácia siete mitiguje možnosti neoprávneným používateľom alebo útočníkom v získaní prístupu k digitálnemu vlastníctvu.

2750

2751

__8. AD Tier model (PAM)__

2752

2753

Model Active Directory vrstiev vytvára delenie informačného systému a používateľských a administrátorských účtov na základe toho, aké zdroje spravujú. Administrátori s kontrolou nad užívateľskými pracovnými stanicami sú oddelení od tých, ktorí riadia aplikácie alebo spravujú servery prevádzky základnej služby. Implementuje sa obmedzenie prístupu podľa úrovní, so zabezpečením, aby vysoko privilegované účty nemali prístup k menej bezpečným zdrojom. Tento princíp vhodne dopĺňa segmentáciu siete a zároveň predstavuje ďalší stupeň ochrany pred napr. útokom typu ransomware."

2754

2755

__ 9.Základné školenie v potrebnom rozsahu na implementované opatrenia__

2756

2757

Potreba jednotlivých komponentov cieľovej architektúry vychádza z výsledkov auditu KB a potreby naplnenia legislatívnych požiadaviek. Jednotlivé komponenty architektúry sú bližšie popísané v dokumente ŽoNFP, kde je uvedená podrobnejšia technická špecifikácia a požiadavky na jednotlivé komponenty, spoločne s motiváciou, odôvodnením a účelom týchto komponentov.

2758

2759

= {{id name="projekt_2524_Projektovy_zamer_detailny-6.LEGISLATÍVA"/}}6. LEGISLATÍVA =

**~ **

Projekt nepredpokladá potrebu legislatívnych zmien pre naplnenie cieľov a dodanie výstupov projektu. V tejto kapitole sú vymenované legislatívne normy, ktoré sa týkajú informačných systémov verejnej správy a agendy Národného centra zdravotníckych informácií. Zoznam neobsahuje usmernenia a technické predpisy. Zoznam legislatívnych noriem v tomto dokumente iba orientačný.

2764

2765

Zákon Národnej rady Slovenskej republiky č. 145/1995 Z. z. o správnych poplatkoch v znení neskorších predpisov, Zákon č. 71/1967 Zb. o správnom konaní (správny poriadok) v znení neskorších predpisov.

2766

2767

Zákony a vyhlášky týkajúce sa eGovernmentu:

\\

Zákon č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov v znení neskorších predpisov Zákon č. 343/2015 Z. z. o verejnom obstarávaní a o zmene a doplnení niektorých zákonov v znení neskorších predpisov Zákon č. 357/2015 Z. z. o finančnej kontrole a audite a o zmene a doplnení niektorých zákonov v znení neskorších predpisov Zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe

2772

2773

Vyhláška ÚPVII č. 78/2020 Z. z. o štandardoch pre informačné technológie verejnej správy Zákon č. 540/2001 Z. z. o štátnej štatistike

2774

2775

Zákon č. 211/2000 Z. z. o slobodnom prístupe k informáciám (zákon o slobode informácií)

\\

Zákon č. 177/2018 Z. z. o niektorých opatreniach na znižovanie administratívnej záťaže využívaním informačných systémov verejnej správy a o zmene a doplnení niektorých zákonov (zákon proti byrokracii)

2780

2781

Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti Vyhláška ÚPVII č. 85/2020 Z. z. o riadení projektov

2782

2783

Zákon č. 275/2006 Z. z. o informačných systémoch verejnej správy,

\\

Výnos č. 55/2014 Z. z. o štandardoch pre informačné systémy verejnej správy,

\\

Výnos č. 478/2010 Z. z. o základnom číselníku úsekov verejnej správy a agend verejnej správy,

\\

Zákon č. 305/2013 Z. z. o elektronickej podobe výkonu pôsobnosti orgánov verejnej moci a o zmene a doplnení niektorých zákonov (zákon o e- Governmente),

2796

2797

Vyhláška MF SR č. 275/2014 Z. z. o zaručenej konverzii. Zákon č. 215/2002 Z. z. o elektronickom podpise,

2798

2799

Výnos MV SR č. 525/2011 Z. z. o štandardoch pre elektronické informačné systémy na správu registratúry, Zákon č. 125/2015 Z. z. o registri adries a o zmene a doplnení niektorých zákonov,

2800

2801

Metodika Jednotný dizajn manuál elektronických služieb verejnej správy (dostupným na [[https:~~/~~/www.mirri.gov.sk/sekcie/oddelenie-behavioralnych-inovacii>>url:https://www.mirri.gov.sk/sekcie/oddelenie-behavioralnych-inovacii/jednotny-dizajn-manual-elektornickych-sluzieb-verejnej-spravy/index.html||shape="rect"]]

2802

2803

[[/jednotny-dizajn-manual-elektornickych-sluzieb-verejnej-spravy/index.html>>url:https://www.mirri.gov.sk/sekcie/oddelenie-behavioralnych-inovacii/jednotny-dizajn-manual-elektornickych-sluzieb-verejnej-spravy/index.html||shape="rect"]] )

\\

Metodické pokyny, usmernenia a príručky zverejnené na [[https:~~/~~/metais.vicepremier.gov.sk/help>>url:https://metais.vicepremier.gov.sk/help||shape="rect"]].

\\

Pri tvorbe, vývoji a implementácii diela dodržiavať bezpečnostné požiadavky špecifikované v Metodike pre systematické zabezpečenie organizácií verejnej správy v oblasti informačnej bezpečnosti (dostupná na [[https:~~/~~/www.csirt.gov.sk/wp-content/uploads/2021/08/MetodikaZabezpeceniaIKT_v2.1.pdf?>>url:https://www.csirt.gov.sk/wp-content/uploads/2021/08/MetodikaZabezpeceniaIKT_v2.1.pdf?csrt=3181741314547744407||shape="rect"]] [[csrt=3181741314547744407>>url:https://www.csirt.gov.sk/wp-content/uploads/2021/08/MetodikaZabezpeceniaIKT_v2.1.pdf?csrt=3181741314547744407||shape="rect"]] ),

2812

2813

Vyhláška Ministerstva investícií, regionálneho rozvoja a informatizácie Slovenskej republiky č. 546/2021 Z. z., ktorou sa mení a dopĺňa vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 78/2020 Z. z. o štandardoch pre informačné technológie verejnej správy v znení neskorších predpisov

2814

2815

Vyhláška Ministerstva investícií, regionálneho rozvoja a informatizácie Slovenskej republiky č. 547/2021 Z. z. o elektronizácii agendy verejnej správy

\\

Vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 179/2020 Z. z. ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy

\\

== {{id name="projekt_2524_Projektovy_zamer_detailny-7.HARMONOGRAMJEDNOTLIVÝCHFÁZPROJEKTUaMETÓDAJEHORIADENIA"/}}7. HARMONOGRAM JEDNOTLIVÝCH FÁZ PROJEKTU a METÓDA JEHO RIADENIA ==

\\

(% class="" %)|(((

ID

)))|(((

FÁZA/AKTIVITA

)))|(((

ZAČIATOK

**~ **

(odhad termínu)

)))|(((

KONIEC

**~ **

(odhad termínu)

)))|(((

POZNÁMKA

)))

(% class="" %)|(((

1.

)))|(((

Prípravná fáza a Iniciačná fáza

)))|(((

9/2024

)))|(((

12/2024

)))|(((

Podpísanie zmluvy o NFP

**~ **

Spustenie procesov VO

)))

(% class="" %)|(((

2.

)))|(((

Realizačná fáza

)))|(((

04/2025

)))|(((

10/2025

)))|(((

Podpísanie zmlúv s dodávateľmi po ukončení VO

)))

(% class="" %)|(((

2a

)))|(((

Analýza a Dizajn

)))|(((

04/2025

)))|(((

05/2025

)))|(((

\\

)))

(% class="" %)|(((

2b

)))|(((

Nákup technických prostriedkov, programových prostriedkov a služieb

)))|(((

04/2025

)))|(((

08/2025

)))|(((

\\

)))

(% class="" %)|(((

2c

)))|(((

Implementácia a testovanie

)))|(((

08/2025

)))|(((

10/2025

)))|(((

Min. 2 mesiace test. prevádzky dohľadového centra

)))

(% class="" %)|(((

2d

)))|(((

Nasadenie opatrení

)))|(((

10/2025

)))|(((

11/2025

)))|(((

\\

)))

(% class="" %)|(((

3.

)))|(((

Dokončovacia fáza

)))|(((

11/2025

)))|(((

12/2025

)))|(((

\\

)))

(% class="" %)|(((

4.

)))|(((

Podpora prevádzky (SLA)

)))|(((

01/2026

)))|(((

01/2031

)))|(((

Možnosť obstarania SLA zmluvy pre dohľadové centrum (udržateľnosť projektu)

2937

)))

2938

2939

Ako metóda riadenia projektu bude použitá metóda „Waterall“. Táto metóda sa ukázala byť ako najvhodnejšia nakoľko svojimi charakteristikami a možnosťami plne zodpovedá požiadavkám a predstavám MLM.

2940

2941

Schéma metódy projektového riadenia:

\\

[[image:attach:image-2024-4-30_15-40-32.png||height="400"]]

\\

= {{id name="projekt_2524_Projektovy_zamer_detailny-8.ROZPOČETAPRÍNOSY"/}}8. ROZPOČET A PRÍNOSY =

2950

2951

== {{id name="projekt_2524_Projektovy_zamer_detailny-Vuvedenomprojektevychádzamepristanovenírozpočtuzprieskumutrhuapravidielstanovenýchvýzvou.Sohľadomnarozpočetprojektu(projektdo1000000,00,-EUR)nebolaspracovanáAnalýzanákladovaprínosov."/}}V uvedenom projekte vychádzame pri stanovení rozpočtu z prieskumu trhu a pravidiel stanovených výzvou. S ohľadom na rozpočet projektu (projekt do 1 000 000,00,- EUR) nebola spracovaná Analýza nákladov a prínosov. ==

\\

(% class="" %)|(((

Náklady

)))|(((

Riadenie kontinuity činností (BCM)

2959

)))|(((

2960

Vypracovanie analýzy funkčných dopadov a posúdenie dodávateľských vzťahov

2961

)))|(((

2962

SW pre riadenie a identifikáciu rizikovej analýzy a kontinuity činností + implementácia

2963

)))|(((

2964

SW pre LMS a eArchiv SW + implementácia

2965

)))|(((

2966

SW nástroj pre zber dát 200 Mbps + implementácia

2967

)))|(((

2968

Dodávka Firewall - ového riešenia

2969

)))|(((

2970

Migrácia FW a vertikálna segmentácia siete

)))|(((

AD

Tier model (PAM)

)))|(((

Základn é školenie obsluhy

2977

)))

2978

(% class="" %)|(((

2979

**Všeobecný materiál**

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))

(% class="" %)|(((

**IT - CAPEX**

)))|(((

**38 632,77 €**

)))|(((

**20 632,77 €**

)))|(((

**27 966,10 €**

)))|(((

**44 582,77 €**

)))|(((

**127 649,43 €**

)))|(((

**80 349,43**

**€**

)))|(((

**76 799,43 €**

)))|(((

**20**

**499,4**

**3 €**

)))|(((

**4**

**532,77**

**€**

)))

(% class="" %)|(((

Aplikácie

)))|(((

36 166,67 €

)))|(((

18 166,67 €

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))

(% class="" %)|(((

SW

)))|(((

\\

)))|(((

\\

)))|(((

25 500,00 €

)))|(((

42 116,67 €

)))|(((

125 183,33 €

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))

(% class="" %)|(((

HW

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

77 883,33

€

)))|(((

74 333,33 €

)))|(((

18

033,3

3 €

)))|(((

2

066,67

€

)))

(% class="" %)|(((

Mzdy (interní zamestnanci

**~ **

– pre všetky moduly)

)))|(((

2466,10 €

)))|(((

2466,10 €

)))|(((

2466,10 €

)))|(((

2466,10 €

)))|(((

2466,10 €

)))|(((

2466,10 €

)))|(((

2466,10 €

)))|(((

2466,

10 €

)))|(((

2466,10

€

)))

(% class="" %)|(((

Paušálne výdavky - nepriame výdavky projektu (pre všetky moduly)

)))|(((

30 915,14 €

(nepriame výdavky projektu)

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))

(% class="" %)|(((

**IT - OPEX- prevádzka**

)))|(((

**3 016,67 €**

)))|(((

**4 583,33 €**

)))|(((

**0,00 €**

)))|(((

**1 483,33 €**

)))|(((

**18 933,33 €**

)))|(((

**0,00 €**

)))|(((

**3 900,00 €**

)))|(((

**0,00 €**

)))|(((

**0,00 €**

)))

(% class="" %)|(((

Aplikácie

)))|(((

3 016,67 €

)))|(((

4 583,33 €

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))

(% class="" %)|(((

SW

)))|(((

\\

)))|(((

\\

)))|(((

0,00 €

)))|(((

1 483,33 €

)))|(((

18 933,33 €

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))

(% class="" %)|(((

HW

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

0,00 €

)))|(((

3 900,00 €

)))|(((

0,00 €

)))|(((

0,00 €

)))

(% class="" %)|(((

**Prínosy**

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))

(% class="" %)|(((

**Finančné prínosy**

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))

(% class="relative-table" style="width: 100.284%;" %)

3283

(% class="" %)|(((

3284

Administratívne poplatky

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))

(% class="" %)|(((

Ostatné daňové a nedaňové príjmy

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))

(% class="" %)|(((

**Ekonomické prínosy**

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))

(% class="" %)|(((

Občania (€)

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))

(% class="" %)|(((

Úradníci (€)

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))

(% class="" %)|(((

Úradníci (FTE)

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))

(% class="" %)|(((

**Kvalitatívne prínosy**

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))

(% class="" %)|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))

**Kvantitatívne prínosy**

**~ **

Výrazné zníženie nedostupnosti IS z dôvodu doplnenia HW infraštruktúry:

\\

Z dôvodu výmeny a doplnenie niektorých kľúčových HW a SW komponentov infraštruktúry sa zvýši dostupnosť IS pri prip. poruche HW . Prínos je počítaný ako rozdiel medzi súčasným stavom, kedy redundancia HW nebola zabezpečená. Stav AS-IS a TO-BE zodpovedá dosiahnutiu plnej redundancie po implementácii projektu.

\\

\\

\\

== {{id name="projekt_2524_Projektovy_zamer_detailny-Kvalitatívneprínosy"/}}Kvalitatívne prínosy ==

**~ **

Projekt vybudovanie bezpečnostného dohľadového centra v prostredí Mesta Liptovský Mikuláš prináša viaceré významné kvalitatívne prínosy v oblasti kybernetickej bezpečnosti a ochrany kritických informačných systémov:

3473

3474

__Zvýšená kybernetická ochrana__

\\

Projekt prispieva k posilneniu ochrany pred kybernetickými hrozbami a útokmi. Zvýšená schopnosť detekcie a prevencie hrozieb pomáha minimalizovať riziko kybernetických incidentov a znefunkčnenia kritických systémov. Zvýšenie kybernetickej bezpečnosti predstavuje kľúčový prvok projektu. Hlavným cieľom je zabezpečiť, že organizácia bude vystavená menej rizikám, ktoré sú spojené s rastúcimi a sofistikovanejšími kybernetickými hrozbami. Súčasné kybernetické hrozby sa neustále vyvíjajú a stávajú sa čoraz zložitejšími a nebezpečnejšími. Útoky sa objavujú na nových frontoch a využívajú nové techniky na obídenie existujúcich obranných mechanizmov. Tieto hrozby predstavujú závažné riziká pre organizáciu, ktoré môžu mať vážne dôsledky na jej činnosť a povesť. V rámci projektu bude investované do nových technológií, nástrojov a stratégií, ktoré organizácii umožnia identifikovať a eliminovať tieto hrozby na najvyššej úrovni. Vytvoríme širší a komplexnejší prístup k kybernetickej bezpečnosti, ktorý zabezpečí, že organizácia bude dobre pripravená na kybernetické hrozby všetkých druhov. Rozšírením kybernetickej bezpečnosti na vyššiu úroveň bude mať MLM možnosť brániť sa najnáročnejším útokom a minimalizovať ich škodlivé účinky. Tým bude zabezpečená ochranu aktív a dôvernosti organizácie, čo je kritické pre občanov, zamestnancov a partnerov. Zvýšená kybernetická bezpečnosť je kľúčovým prínosom projektu a bude mať široký dosah na bezpečnosť a prosperitu MLM.

3479

3480

__Rýchlejšia reakcia na hrozby__

\\

Implementácia technologických riešení a automatizácia procesov v pracovisku dohľadového centra umožní rýchlejšiu identifikáciu, analýzu a riešenie kybernetických hrozieb. Tým sa zabezpečí včasná reakcia a minimalizácia potenciálnych škôd. V rámci projektu budú implementované moderné technológie a nástroje, ktoré umožnia okamžité rozpoznanie potenciálnych hrozieb a ich priradenie do správnych kategórií. Implementáciou projektu dôjde k veľmi rýchlemu nasadeniu potrebných opatrení na minimalizáciu potenciálnych škôd. To znamená, že vďaka implementácii projektu bude MLM schopné zareagovať na hrozby rýchlejšie a účinnejšie. Výsledkom je nielen zníženie rizika pre MLM, ale aj minimalizácia možných škôd, ktoré by takéto hrozby mohli spôsobiť. Zvýšená rýchlosť a efektivita reakcie na kybernetické hrozby prinesie organizácii významný prínos, a to v podobe zníženia rizika straty dôveryhodnosti, finančných strát a poškodenia povesti. Týmto spôsobom sa projekt stáva kľúčovým opatrením v oblasti kybernetickej bezpečnosti a ochrany MLM pred hrozbami v dnešnom digitálnom svete.

3485

3486

__Spolupráca a komunikácia__

\\

Zlepšená spolupráca a komunikácia medzi rôznymi tímami v organizácii pomáha včasnému zdieľaniu informácií o hrozbách a koordinácii reakcií na kybernetické incidenty. Zlepšená spolupráca znamená, že tímy zamerané na bezpečnosť, IT, a všetky ďalšie príslušné oddelenia budú mať jednoduchší prístup k informáciám o kybernetických hrozbách. To umožní včasné a rýchle zdieľanie informácií o identifikovaných rizikách a aktuálnych situáciách.

3491

3492

Týmto spôsobom môžeme predchádzať izolovaným silám a skrátiť čas, ktorý by inak bol potrebný na vyhľadávanie dôležitých informácií. V prípade kybernetických incidentov, kedy každá sekunda záleží, umožňuje tento projekt okamžitú komunikáciu a koordináciu reakcií. Rôzne tímy sú schopné okamžite reagovať na situácie, spolupracovať na náprave incidentu a obnoviť normálnu prevádzku bez neprimeraného omeškania. Spolupráca a komunikácia sú kľúčom k efektívnemu kybernetickému bezpečnostnému procesu, a ich zdokonalenie v rámci tohto projektu posilňuje obranu MLM proti hrozbám. Zabezpečuje to, že MLM je jednotným tímom, ktorý je schopný reagovať na kybernetické hrozby s jednotným úsilím, čo vedie k zníženiu rizika a minimalizácii škôd.

3493

3494

__Zvýšená odbornosť__

\\

Projekt zahŕňa základné odborné školenia pre personál MLM, čo vedie k zvýšeniu znalostného štandardu tímu a udržiavaniu odbornosti v oblasti kybernetickej bezpečnosti.

3499

3500

__Kontinuálne zlepšovanie procesov__

3501

3502

Dohľadové centrum bude pravidelne preskúmavať a zlepšovať pracovné postupy a procesy na základe skúseností získaných počas riešenia kybernetických incidentov. Tým sa dosiahne efektívnejšia a zohľadnená reakcia na hrozby.

3503

3504

__Sledovanie právnych a regulačných požiadaviek__

\\

Projekt zabezpečí, že činnosti pracoviska dohľadového centra budú v súlade s platnými právnymi a regulačnými požiadavkami týkajúcimi sa ochrany údajov a kybernetickej bezpečnosti, čo znižuje riziko porušenia predpisov a potenciálne sankcie.

3509

3510

__Zvýšená reputácia a dôvera__

\\

Dôsledné opatrenia v oblasti kybernetickej bezpečnosti pomáhajú zvýšiť dôveru v samosprávu. Zabezpečením integrity, dôvernosti a dostupnosti dôležitých informácií a služieb v kybernetickom priestore sa zlepšuje vnímaná kvalita a spoľahlivosť samosprávy. Projekt sa zabezpečí, že MLM nebude iba pasívnym príjemcom informácií o hrozbách, ale aktívnym účastníkom v boji proti nim. Tým sa MLM stane schopnou predvídať a čeliť hrozbám s vyššou efektivitou a dôslednosťou, čím sa posilňuje celková kybernetická bezpečnosť.

\\

Celkovo projekt prispeje k vytvoreniu moderného a efektívneho systému včasnej reakcie na kybernetické hrozby v oblasti samosprávy. Zvýšená kybernetická ochrana a reaktívna schopnosť pomôžu minimalizovať riziká, ktoré kybernetický priestor predstavuje pre dôležité informácie a služby, a to nielen v oblasti MLM ale aj pre ostatné samosprávy.

3519

3520

= {{id name="projekt_2524_Projektovy_zamer_detailny-9.PROJEKTOVÝTÍM"/}}9. PROJEKTOVÝ TÍM =

3521

3522

**Pre účely realizácie projektu sa zostavuje Riadiaci výbor (RV), v minimálne nasledovnom zložení: ** Predseda RV PhDr. Michal Lavrík, PhD.

3523

3524

Biznis vlastník Ing. Dušan Močarník

3525

3526

Zástupca prevádzky Ing. Miroslav Berník

3527

3528

Zástupca prevádzky Ing. Peter Veselovský

3529

3530

Zástupca dodávateľa (dopĺňa sa až po VO / voliteľný člen)

3531

3532

Projektový manažér objednávateľa (PM) Ing. Jana Kormaníková **Zostavuje sa Projektový tím objednávateľa:**

3533

3534

kľúčový používateľ a IT architekt: Ing. Miroslav Berník

3535

3536

kľúčový používateľ a IT architekt: Ing. Peter Veselovský

3537

3538

manažér kybernetickej a informačnej bezpečnosti - Ing. Dušan Močarník Projektový manažér objednávateľa (PM) Ing. Jana Kormaníková

(% class="" %)|(((

ID

)))|(((

Meno a Priezvisko

)))|(((

Pozícia

)))|(((

Oddelenie

)))|(((

Rola v projekte

)))

(% class="" %)|(((

1.

)))|(((

Ing. Miroslav Berník

)))|(((

Referent

)))|(((

MLM oddelenie informatiky

3559

)))|(((

3560

kľúčový používateľ a IT architekt

)))

(% class="" %)|(((

2.

)))|(((

Ing. Peter Veselovský

)))|(((

Referent

)))|(((

MLM oddelenie informatiky

3570

)))|(((

3571

kľúčový používateľ a IT architekt

)))

(% class="" %)|(((

3.

)))|(((

Ing. Dušan Močarník

)))|(((

manažér kybernetickej a informačnej bezpečnosti

3579

)))|(((

3580

MLM oddelenie informatiky

3581

)))|(((

3582

manažér kybernetickej a informačnej bezpečnosti

)))

(% class="" %)|(((

4.

)))|(((

Ing. Jana Kormaníková

)))|(((

vedúca oddelenia

)))|(((

MLM oddelenia projektového a energetického manažmentu

)))|(((

Projektový manažér

)))

Uvedený projektový tím, ktorí tvoria zamestnanci MLM je garanciou úspešnej realizácie projektu po zabezpečení jeho financovania na základe ŽoNFP v rámci výzvy.

\\

= {{id name="projekt_2524_Projektovy_zamer_detailny-9.1PRACOVNÉNÁPLNE"/}}9.1 PRACOVNÉ NÁPLNE =

\\

(% class="" %)|(((

**Projektová rola:**

)))|(((

**PROJEKTOVÝ MANAŽÉR (projektová rola bude obsadená a financovaná v rámci paušálnych výdavkov)**

)))

(% class="" %)|(((

**Stručný popis:**

)))|(((

● zodpovedá za riadenie projektu počas celého životného cyklu projektu. Riadi projektové (ľudské a finančné) zdroje,

3613

3614

zabezpečuje tvorbu obsahu, neustále odôvodňovanie projektu a predkladá vstupy na rokovanie Riadiaceho výboru. Zodpovedá za

3615

3616

riadenie všetkých (ľudských a finančných) zdrojov, členov projektovému tím objednávateľa a za efektívnu komunikáciu s

3617

3618

dodávateľom alebo stanovených zástupcom dodávateľa.

3619

3620

● zodpovedá za riadenie prideleného projektu - stanovenie cieľov, spracovanie harmonogramu prác, koordináciu členov

3621

3622

projektového tímu, sledovanie dodržiavania harmonogramu prác a rozpočtu, hodnotenie a prezentáciu výsledkov a za riadenie s

3623

3624

tým súvisiacich rizík. Projektový manažér vedie špecifikáciu a implementáciu projektov v súlade s firemnými štandardami,

3625

3626

zásadami a princípmi projektového riadenia.

3627

3628

● zodpovedá za plnenie projektových/programových cieľov v rámci stanovených kvalitatívnych, časových a rozpočtovým

3629

3630

plánov a za riadenie s tým súvisiacich rizík. V prípade externých kontraktov sa vedúci projektu/ projektový manažér obvykle podieľa

3631

3632

na ich plánovaní a vyjednávaní a je hlavnou kontaktnou osobou pre zákazníka.

)))

(% class="" %)|(((

**Detailný popis**

**rozsahu**

**zodpovednosti,**

**povinností a**

**kompetencií**

)))|(((

Zodpovedný za:

● Riadenie projektu podľa pravidiel stanovených vo Vyhláške 401/2023 Z.z. o riadení projektov

3648

3649

● Riadenie prípravy, inicializácie a realizácie projektu

3650

3651

● Identifikovanie kritických miest projektu a navrhovanie ciest k ich eliminácii

3652

3653

● Plánovanie, organizovanie, motivovanie projektového tímu a monitorovanie projektu

3654

3655

● Zabezpečenie efektívneho riadenia všetkých projektových zdrojov s cieľom vytvorenia a dodania obsahu a zabezpečenie

3656

3657

naplnenie cieľov projektu

3658

3659

● Určenie pravidiel, spôsobov, metód a nástrojov riadenia projektu a získanie podpory Riadiaceho výboru (RV) pre riadenie,

3660

3661

plánovanie a kontrolu projektu a využívanie projektových zdrojov

3662

3663

● Zabezpečenie vypracovania manažérskej a špecializovanej dokumentácie a produktov v minimálnom rozsahu určenom

3664

3665

Vyhláškou 401/2023 Z.z., Prílohou č.1

3666

3667

● Zabezpečenie realizácie projektu podľa štandardov definovaných vo Vyhláške 78/2020 Z.z.

3668

3669

● Zabezpečenie priebežnej aktualizácie a verzionovania manažérskej a špecializovanej dokumentácie v minimálnom rozsahu

3670

3671

Vyhlášky 401/2023 Z.z., Prílohy č.1

3672

3673

● Vypracovanie, pravidelné predkladanie a zabezpečovanie prezentácie stavov projektu, reportov, návrhov riešení problémov

3674

3675

a odsúhlasovania manažérskej a špecializovanej dokumentácie v rozsahu určenom Vyhláškou 401/2023 Z.z., Prílohou č.1 na

rokovanie RV

● Riadenie a operatívne riešenie a odstraňovanie strategických / projektových rizík a závislostí

3680

3681

● Predkladanie návrhov na zlepšenia na rokovanie Riadiaceho výboru (RV)

3682

3683

● Zabezpečenie vytvorenia a pravidelnej aktualizácie BC/CBA a priebežné zdôvodňovanie projektu a predkladanie na

rokovania RV

● Celkovú alokáciu a efektívne využívanie ľudských a finančných zdrojov v projekte

3688

3689

● Celkový postup prác v projekte a realizuje nápravné kroky v prípade potreby

3690

3691

● Vypracovanie požiadaviek na zmenu (CR), návrh ich prioritizácie a predkladanie zmenových požiadaviek na rokovanie RV

3692

3693

● Riadenie zmeny (CR) a prípadné požadované riadenie konfigurácií a ich zmien

3694

3695

● Riadenie implementačných a prevádzkových aktivít v rámci projektov.

3696

3697

● Aktívne komunikuje s dodávateľom, zástupcom dodávateľa a projektovým manažérom dodávateľa s cieľom zabezpečiť

3698

3699

úspešné dodanie a nasadenie požadovaných projektových výstupov,

3700

3701

● Formálnu administráciu projektu, riadenie centrálneho projektového úložiska, správu a archiváciu projektovej dokumentácie

3702

3703

● Kontrolu dodržiavania a plnenia míľnikov v zmysle zmluvy s dodávateľom,

3704

3705

● Dodržiavanie metodík projektového riadenia,

3706

3707

● Predkladanie požiadaviek dodávateľa na rokovanie Riadiaceho výboru (RV),

3708

3709

● Vecnú a procesnú administráciu zúčtovania dodávateľských faktúr

)))

(% class="" %)|(((

**Odporúčané**

**kvalifikačné**

**predpoklady**

)))|(((

\\

)))

(% class="" %)|(((

**Poznámka**

)))|(((

\\

)))

\\

\\

(% class="" %)|(((

**Projektová rola:**

)))|(((

**IT ARCHITEKT**

)))

(% class="" %)|(((

**Stručný popis:**

)))|(((

● zodpovedá za návrh architektúry riešenia IS a implementáciu technológií predovšetkým z pohľadu udržateľnosti, kvality a nákladov,

3739

3740

za riešenie architektonických cieľov projektu dizajnu IS a súlad s architektonickými princípmi.

3741

3742

● vykonáva, prípadne riadi vysoko odborné tvorivé činnosti v oblasti návrhu IT. Študuje a stanovuje smery technického rozvoja

3743

3744

informačných technológií, navrhuje riešenia na optimalizáciu a zvýšenie efektívnosti prostriedkov výpočtovej techniky. Navrhuje

3745

3746

základnú architektúru informačných systémov, ich komponentov a vzájomných väzieb. Zabezpečuje projektovanie dizajnu, architektúry

3747

3748

IT štruktúry, špecifikácie jej prvkov a parametrov, vhodnej softvérovej a hardvérovej infraštruktúry podľa základnej špecifikácie riešenia.

3749

3750

● zodpovedá za spracovanie a správu projektovej dokumentácie a za kontrolu súladu implementácie s dokumentáciou. Môže tiež

3751

3752

poskytovať konzultácie, poradenstvo a vzdelávanie v oblasti svojej špecializácie. IT architekt, projektant analyzuje, vytvára a konzultuje

3753

3754

so zákazníkom riešenia na úrovni komplexných IT systémov a IT architektúr, najmä na úrovni aplikačného vybavenia, infraštruktúrnych

3755

3756

systémov, sietí a pod. Zaručuje, že návrh architektúry a/alebo riešenia zodpovedá zmluvne dohodnutým požiadavkám zákazníka v

3757

3758

zmysle rozsahu, kvality a ceny celej služby/riešenia.

)))

(% class="" %)|(((

**Detailný popis**

**rozsahu**

**zodpovednosti,**

**povinností a**

**kompetencií**

)))|(((

Zodpovedný za:

● Navrhovanie architektúry IT riešení s cieľom dosiahnuť najlepšiu efektivitu.

3774

3775

● Transformovanie cieľov, prísľubov a zámerov projektu do tvorby reálnych návrhov a riešení.

3776

3777

● Navrhovanie takých riešení, aby poskytovali čo najvyššiu funkčnosť a flexibilitu.

3778

3779

● Posudzovanie vhodnosti navrhnutých riešení s ohľadom na požiadavky projektu.

3780

3781

● Zodpovednosť za technické navrhnutie a realizáciu projektu.

3782

3783

● Zodpovednosť za vytvorenie technickej IT dokumentácie a jej následná kontrola.

3784

3785

● Zodpovednosť za definovanie integračných vzorov, menných konvencií, spôsobov návrhu a spôsobu programovania.

3786

3787

● Definovanie architektúry systému, technických požiadaviek a funkčného modelu (Proof Of Concept.)

3788

3789

● Vytvorenie požiadaviek na HW/SW infraštruktúru IS

3790

3791

● Udržiavanie a rozvoj konzistentnej architektúry s dôrazom na architektúru aplikačnú, dátovú a infraštruktúru

3792

3793

● Analýzu a odhad náročnosti technických požiadaviek na vytvorenie IS alebo vykonanie zmien v IS

3794

3795

● Navrhovanie riešení zohľadňujúce architektonické štandardy, časové a zdrojové obmedzenia,

3796

3797

● Navrhovanie dátových transformácií medzi dátovými skladmi a aplikáciami

3798

3799

● Vyhodnocovanie implementačných alternatív z pohľadu celkovej IT architektúry

3800

3801

● Ladenie dátových štruktúr za účelom dosiahnutia optimálneho výkonu

3802

3803

● Prípravu akceptačných kritérií

3804

3805

● Analýza nových nástrojov, produktov a technológií

3806

3807

● Správa, rozvoj a dohľad nad dodržiavaním integračných štandardov

3808

3809

● Priebežné posudzovanie vecných výstupov dodávateľa v rámci analýzy, návrhu riešenia vrátane Detailného návrhu riešenia

3810

3811

(DNR) z pohľadu analýzy a návrhu riešenia architektúry IS

3812

3813

● Vykonáva posudzovanie a úpravu testovacej stratégie, testovacích scenárov, plánov testov, samotné testovanie a účasť na

3814

3815

viacerých druhoch testovania

3816

3817

● Vykonanie záťažových, výkonnostných a integračných testov a navrhnutie následných nápravných

3818

3819

● Nasadenie a otestovanie migrácie, overenie kvality dát a navrhnutie nápravných opatrení

3820

3821

● Participáciu na výkone bezpečnostných testov,

3822

3823

● Participáciu na výkone UAT testov,

3824

3825

● Posúdenie prevádzkovo-infraštruktúrnej dokumentácie pred akceptáciou a prevzatím od dodávateľa

3826

3827

● Aktívnu účasť v projektových tímoch a spoluprácu na vypracovaní manažérskej a špecializovanej dokumentácie a produktov

3828

3829

v minimálnom rozsahu určenom Vyhláškou 85/2020 Z.z., Prílohou č.1

3830

3831

● Plnenie pokynov projektového manažéra a dohôd zo stretnutí projektového tímu

)))

(% class="" %)|(((

**Odporúčané**

**kvalifikačné**

**predpoklady**

)))|(((

\\

)))

(% class="" %)|(((

**Poznámka**

)))|(((

\\

)))

\\

\\

(% class="" %)|(((

**Projektová rola:**

)))|(((

**KĽUČOVÝ POUŽIVATEĽ (end user)**

)))

(% class="" %)|(((

**Stručný popis:**

)))|(((

● zodpovedný za reprezentáciu záujmov budúcich používateľov projektových produktov alebo projektových výstupov a

3861

3862

za overenie kvality produktu.

3863

3864

● zodpovedný za návrh a špecifikáciu funkčných a technických požiadaviek, potreby, obsahu, kvalitatívnych a

3865

3866

kvantitatívnych prínosov projektu, požiadaviek koncových používateľov na prínos systému a požiadaviek na bezpečnosť.

3867

3868

● Kľúčový používateľ (end user) navrhuje a definuje akceptačné kritériá, je zodpovedný za akceptačné testovanie a

3869

3870

návrh na akceptáciu projektových produktov alebo projektových výstupov a návrh na spustenie do produkčnej prevádzky.

3871

3872

Predkladá požiadavky na zmenu funkcionalít produktov a je súčasťou projektových tímov

)))

(% class="" %)|(((

**Detailný popis**

**rozsahu**

**zodpovednosti,**

**povinností a**

**kompetencií**

)))|(((

Zodpovedný za:

● Návrh a špecifikáciu funkčných a technických požiadaviek

3888

3889

● Jednoznačnú špecifikáciu požiadaviek na jednotlivé projektové výstupy (špecializované produkty a výstupy) z pohľadu

3890

3891

vecno-procesného a legislatívy

3892

3893

● Vytvorenie špecifikácie, obsahu, kvalitatívnych a kvantitatívnych prínosov projektu,

3894

3895

● Špecifikáciu požiadaviek koncových používateľov na prínos systému

3896

3897

● Špecifikáciu požiadaviek na bezpečnosť,

3898

3899

● Návrh a definovanie akceptačných kritérií,

3900

3901

● Vykonanie používateľského testovania funkčného používateľského rozhrania (UX testovania)

3902

3903

● Finálne odsúhlasenie používateľského rozhrania

3904

3905

● Vykonanie akceptačného testovania (UAT)

3906

3907

● Finálne odsúhlasenie a akceptáciu manažérskych a špecializovaných produktov alebo projektových výstupov

3908

3909

● Finálny návrh na spustenie do produkčnej prevádzky,

3910

3911

● Predkladanie požiadaviek na zmenu funkcionalít produktov

3912

3913

● Aktívnu účasť v projektových tímoch a spoluprácu na vypracovaní manažérskej a špecializovanej dokumentácie a

3914

3915

produktov v minimálnom rozsahu určenom Vyhláškou 85/2020 Z.z., Prílohou č.1

3916

3917

● Plnenie pokynov projektového manažéra a dohôd zo stretnutí projektového tímu

)))

(% class="" %)|(((

**Odporúčané**

**kvalifikačné**

**predpoklady**

)))|(((

\\

)))

(% class="" %)|(((

**Poznámka**

)))|(((

\\

)))

\\

(% class="" %)|(((

**Projektová rola:**

)))|(((

**MANAŽER KYBERNETICKEJ BEZPEČNOSTI (KIB) a IT BEZPEČNOSTI (ITB)**

)))

(% class="" %)|(((

**Stručný popis:**

)))|(((

● zodpovedá za dodržanie princípov a štandardov na kybernertickú a IT bezpečnosť, za kontrolu a audit správnosti riešenia

3945

3946

v oblasti bezpečnosti.

3947

3948

● koordinuje a riadi činnosť v oblasti bezpečnosti prevádzky IT, spolupracuje na projektoch, na rozvoji nástrojov a postupov k

3949

3950

optimalizácii bezpečnostných systémov a opatrení. Stanovuje základné požiadavky, podmienky a štandardy pre oblasť bezpečnosti

3951

3952

programov, systémov, databázy či sieti. Spracováva a kontroluje príslušné interné predpisy a dohliada nad plnením týchto štandardov a

3953

3954

predpisov. Kontroluje a riadi činnosť nad bezpečnostnými testami, bezpečnostnými incidentmi v prevádzke IT. Poskytuje inštrukcie a

3955

3956

poradenstvo používateľom počítačov a informačných systémov pre oblasť bezpečnosti

3957

3958

**PODMIENKY SPRÁVNEHO a EFEKTÍVNEHO VÝKONU ČINNOSTI role Manažér KIB a ITB:**

3959

3960

1) neobmedzený aktívny prístup ku všetkým projektovým dokumentom, nástrojom a výstupom projektu, v ktorých sa opisuje predmet

3961

3962

projektu z hľadiska jeho architektúry, funkcií, procesov, manažmentu informačnej bezpečnosti a spôsobov spracúvania dát, ako aj dát

samotných.

2) rola manažér Kybernetickej a IT bezpečnosti si vyžaduje mať sprístupnené všetky informácie o bezpečnostných opatreniach

3967

3968

zavádzaných projektom v zmysle:

3969

3970

a) § 20 zákona č.69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov

3971

3972

b) ustanovení zákona č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov

)))

(% class="" %)|(((

**Detailný popis**

**rozsahu**

**zodpovednosti,**

**povinností a**

**kompetencií**

)))|(((

Zodpovedný za:

● špecifikovanie štandardov, princípov a stratégií v oblasti ITB a KIB,

3988

3989

● ak je projekt primárne zameraný na problematiku ITB a KIB – je priamo zodpovedný za špecifikáciu a analýzu funkčných

3990

3991

požiadaviek na ITB a KIB,

3992

3993

● špecifikovanie požiadaviek na ITB a KIB, kontroluje ich implementáciu v realizovanom projekte,

3994

3995

● špecifikovanie požiadaviek na bezpečnosť vývojového, testovacieho a produkčného prostredia,

3996

3997

● špecifikovanie funkčných a nefunkčných požiadaviek pre oblasť ITB a KIB,

3998

3999

● špecifikovanie požiadaviek na bezpečnosť v rámci bezpečnostnej vrstvy,

4000

4001

● špecifikovanie požiadaviek na školenia pre oblasť ITB a KIB,

4002

4003

● špecifikovanie požiadaviek na bezpečnostnú architektúru riešenia a technickú infraštruktúru pre oblasť ITB a KIB,

4004

4005

● špecifikovanie požiadaviek na dostupnosť, zálohovanie, archiváciu a obnovu IS vzťahujúce sa na ITB a KIB,

4006

4007

● realizáciu posúdenie požiadaviek agendy ITB a KIB na integrácie a procesov konverzie a migrácie, identifikácia nesúladu a návrh

riešenia

● špecifikovanie požiadaviek na ITB a KIB, bezpečnostný projekt a riadenie prístupu,

4012

4013

● špecifikovanie požiadaviek na testovanie z hľadiska ITB a KIB, realizáciu kontroly zapracovania a retestu,

4014

4015

● špecifikovanie požiadaviek na obsah dokumentácie v zmysle legislatívnych požiadaviek pre oblasť ITB a KIB, ako aj v zmysle "best

practies",

● špecifikovanie požiadaviek na dodanie potrebnej dokumentácie súvisiacej s ITB a KIB kontroluje ich implementáciu v realizovanom

projekte,

● špecifikovanie požiadaviek a konzultácie pri návrhu riešenia za agendu ITB a KIB v rámci procesu „Mapovanie a analýza

4024

4025

technických požiadaviek - detailný návrh riešenia (DNR)“,

4026

4027

● špecifikáciu požiadaviek na bezpečnosť IT a KIB v rámci procesu "akceptácie, odovzdania a správy zdroj. kódov“

4028

4029

● špecifikáciu akceptačných kritérií za oblasť ITB a KIB,

4030

4031

● špecifikáciu pravidiel pre publicitu a informovanosť s ohľadom na ITB a KIB,

4032

4033

● poskytovanie konzultácií pri tvorbe šablón a vzorov dokumentácie pre oblasť ITB a KIB,

4034

4035

● získavanie informácií nutných pre plnenie úloh v oblasti ITB a KIB,

4036

4037

● špecifikáciu podmienok na testovanie, reviduje výsledky a výstupy z testovania za oblasť ITB a KIB,

4038

4039

● konzultácie a vykonávanie kontrolnej činnosť zameranej na obsah a komplexnosť dok. z hľadiska ITB a KIB,

4040

4041

● špecifikáciu požiadaviek na bezpečnostný projekt pre oblasť ITB a KIB,

4042

4043

● realizáciu kontroly zameranej na naplnenie požiadaviek definovaných v bezp. projekte za oblasť ITB a KIB

4044

4045

● realizáciu kontroly zameranú na správnosť nastavení a konfigurácii bezpečnosti jednotlivých prostredí,

4046

4047

● realizáciu kontroly zameranú realizáciu procesu posudzovania a komplexnosti bezpečnostných rizík, bezpečnosť a kompletný popis

4048

4049

rozhraní, správnu identifikácia závislostí,

4050

4051

● realizáciu kontroly naplnenia definovaných požiadaviek pre oblasť ITB a KIB,

4052

4053

● realizáciu kontroly zameranú na implementovaný proces v priamom súvise s ITB a KIB,

4054

4055

● realizáciu kontroly súladu s planou legislatívou v oblasti ITB a KIB (obsahuje aj kontrolu leg. požiadaviek)

4056

4057

● realizáciu kontroly zameranú zabezpečenie procesu, interfejsov, integrácii, kompletného popisu rozhraní a spoločných

4058

4059

komponentov a posúdenia z pohľadu bezpečnosti,

4060

4061

● poskytovanie konzultácií a súčinnosti pre problematiku ITB a KIB,

4062

4063

● získavanie a spracovanie informácií nutných pre plnenie úloh v oblasti ITB a KIB,

4064

4065

● aktívnu účasť v projektových tímoch a spoluprácu na vypracovaní manažérskej a špecializovanej dokumentácie a produktov

4066

4067

v minimálnom rozsahu určenom Vyhláškou 85/2020 Z.z., Prílohou č.1

4068

4069

● plnenie pokynov projektového manažéra a dohôd zo stretnutí projektového tímu

)))

(% class="" %)|(((

**Odporúčané**

**kvalifikačné**

**predpoklady**

)))|(((

\\

)))

(% class="" %)|(((

**Poznámka**

)))|(((

\\

)))

(% style="letter-spacing: 0.0px;" %)**10.PRÍLOHY**

4087

4088

1. Príloha : Zoznam rizík a závislostí (Excel): 1_PRILOHA_1_REGISTER_RIZIK-a-ZAVISLOSTI_KIBLM.xlsx

Koniec dokumentu

\\

\\

\\

Wiki zdrojový kód pre projekt_2524_Projektovy_zamer_detailny

Aplikácie

Navigácia

Moje posledné úpravy

Need help?