projekt_2524_Projektovy_zamer_detailny

V súlade s Vyhláškou 401/2023 Z.z. je dokument I-02 Projektový zámer určený na rozpracovanie detailných informácií prípravy projektu, aby bolo možné rozhodnúť o pokračovaní prípravy projektu, pláne realizácie, alokovaní rozpočtu a ľudských zdrojov.

109

110

111

112

113

Dokument Projektový zámer v zmysle vyššie uvedenej vyhlášky a v zmysle výzvy: Podpora v oblasti kybernetickej a informačnej bezpečnosti na regionálnej úrovni – verejná správa, číslo výzvy: PSK-MIRRI-611-2024-DV-EFRR (ďalej len „výzva“), na základe ktorej má mesto Liptovský Mikuláš záujem podať žiadosť o nenávratný finančný príspevok (ďalej len ŽoNFP) bude obsahovať: manažérske zhrnutie, motiváciu a rozsah projektu, zainteresované strany, ciele projektu a merateľné ukazovatele, návrh organizačného zabezpečenia projektu, alternatívy, opis obmedzení, predpokladov a tolerancií, opis požadovaných výstupov, náhľad architektúry, opis rozpočtu, detailný popis nákladov a prí

114

115

nosov, postup a spôsob nacenenia projektu, harmonogram projektu a zoznam rizík a závislostí (ako príloha projektového zámeru).

116

117

V zmysle usmernenia MIRRI SR sa v projektovej dokumentácii (ani v ŽoNFP) nešpecifikujú detailne konkrétne riziká a dopady a nezverejňuje sa podrobná dokumentácia toho, kde sú najväčšie riziká IT systémov a uvádzajú sa iba oblasti identifikovaných rizík a dopadov. Rovnako sú v zmysle usmernenia MIRRI SR manažérske produkty napísané všeobecne.

118

119

**2.1 Použité skratky a pojmy**

**~ **

**~ **

(% class="wrapped" %)

|(((

P.

č.

)))|(((

SKRATKA

/POJEM

)))|(((

POPIS

)))

|(((

1

)))|(((

API

)))|(((

Application programming interface

)))

|(((

2

)))|(((

BPMN

)))|(((

Business Process Model and Notation

)))

|(((

3

)))|(((

CSRÚ

)))|(((

Centrálna správa referenčných údajov

)))

|(((

4

)))|(((

DMS

)))|(((

Document management system

)))

|(((

5

)))|(((

EDR

)))|(((

Endpoint Detection and Response

)))

|(((

6

)))|(((

EÚ

)))|(((

Európska únia

)))

|(((

7

)))|(((

HW a SW

)))|(((

Hardware a Software

)))

|(((

8

)))|(((

HLD

)))|(((

High level dizajn – vysokoúrovňový dizajn napr architektúru, bezpečnosť

)))

(% class="wrapped" %)

|(((

9

)))|(((

IaaS

)))|(((

Infrastructure as a service

)))

|(((

10

)))|(((

IAM

)))|(((

Identity and Access Management

)))

|(((

11

)))|(((

IKT

)))|(((

Informačno-komunikačné technológie

)))

|(((

12

)))|(((

IS RR

)))|(((

Informačný systém pre riadenie rizík

)))

|(((

13

)))|(((

IS VS

)))|(((

Informačný systém verejnej správy

)))

|(((

14

)))|(((

AD

)))|(((

Active directory.

)))

|(((

15

)))|(((

KPI

)))|(((

Key performance indicator – Kľúčové indikátory, prostredníctvom ktorých sa meria naplnenie cieľov projektu.

)))

|(((

16

)))|(((

LLD

)))|(((

Low level dizajn – nízkoúrovňový dizajn napr. pre architektúru, bezpečnosť. Obsahuje detailné dizajny až na úrovní nastavení parametrov

)))

|(((

17

)))|(((

BCM

)))|(((

Business Continuity Management

)))

|(((

18

)))|(((

MIRRI

)))|(((

Ministerstvo investícií, regionálneho rozvoja a informatizácie Slovenskej republiky

)))

|(((

19

)))|(((

MV SR

)))|(((

Ministerstvo vnútra SR

)))

|(((

20

)))|(((

NKIVS

)))|(((

Národná koncepcia informatizácie verejnej správy

)))

|(((

21

)))|(((

OOÚ

)))|(((

Ochrana osobných údajov

)))

|(((

22

)))|(((

PO

)))|(((

Plán obnovy a odolnosti

)))

|(((

23

)))|(((

OVM

)))|(((

Orgán verejnej moci

)))

|(((

24

)))|(((

PaaS

)))|(((

Platform as a service

)))

|(((

25

)))|(((

PILOT

)))|(((

PILOT - Prevádzka riešenia na vybraných aktéroch na produkčnom prostredí.

)))

|(((

26

)))|(((

PoC

)))|(((

PoC - Implementovaný prototyp riešenia nasadený do produkčnej prevádzky a overený E2E testami minimálne s využitím mockov

)))

|(((

27

)))|(((

PR

)))|(((

Projektové riadenie

)))

|(((

28

)))|(((

ROLLOUT

)))|(((

ROLLOUT - Postupné pripájanie ostatných aktérov na produkčnom prostredí.

)))

|(((

29

)))|(((

RFO

)))|(((

Register fyzických osôb

)))

|(((

30

)))|(((

RPO

)))|(((

Register právnických osôb

)))

|(((

31

)))|(((

SFTP

)))|(((

SSH File Transfer Protocol

)))

|(((

32

)))|(((

SLA

)))|(((

Service level agreement

)))

|(((

33

)))|(((

SOAP

)))|(((

Simple Object Access Protocol

)))

|(((

34

)))|(((

SOAR

)))|(((

Security orchestration, automation and response

)))

|(((

35

)))|(((

SR

)))|(((

Slovenská republika

)))

|(((

36

)))|(((

ŠÚ SR

)))|(((

Štatistický úrad Slovenskej republiky

)))

|(((

37

)))|(((

VÚC

)))|(((

Vyšší územný celok alebo iný povoľovací orgán

)))

|(((

38

)))|(((

PR

)))|(((

Projektové riadenie

)))

|(((

39

)))|(((

VÚC

)))|(((

Vyšší územný celok alebo iný povoľovací orgán

)))

|(((

40

)))|(((

LMS

)))|(((

Log management systém

)))

|(((

41

)))|(((

SIEM

)))|(((

Security information and event management

)))

|(((

42

)))|(((

SOC

)))|(((

Security Operation Center – dohľadové centrum

)))

|(((

43

)))|(((

AD Tier model

)))|(((

Model Active Directory vrstiev

)))

|(((

44

)))|(((

SOC-as-a- Service

)))|(((

Dohľadové centrum kybernetickej bezpečnosti prevádzkované kvalifikovanými bezpečnostnými profesionálmi

)))

(% class="wrapped" %)

|(((

47

)))|(((

NGFW

)))|(((

Firewall next generation

)))

|(((

48

)))|(((

PZS

)))|(((

Prevádzkovateľ základnej služby

)))

|(((

49

)))|(((

MLM

)))|(((

Mesto Liptovský Mikuláš

)))

|(((

50

)))|(((

OvZP MLM

)))|(((

Organizácia v zriaďovateľskej pôsobnosti Mesta Liptovský Mikuláš

)))

|(((

51

)))|(((

MCA

)))|(((

Multikriteriálna analýza

)))

|(((

52

)))|(((

MKB

)))|(((

Manažér kybernetickej bezpečnosti

)))

|(((

53

)))|(((

CGISS

)))|(((

Informačný systém samosprávy

)))

|(((

54

)))|(((

CGDISS

)))|(((

Registratúrny systém

)))

|(((

55

)))|(((

ISCSRU

)))|(((

Informačný systém centrálnej správy referenčných údajov

)))

|(((

56

)))|(((

KIB

)))|(((

Kybernetická a informačná bezpečnosť

)))

**~ **

**2.2 Konvencie pre typy požiadaviek (príklady)**

**~ **

**V rámci projektu budú definované tri základné typy požiadaviek:**

529

530

**Funkčné (používateľské) požiadavky majú nasledovnú konvenciu:**

**Fxx**

F – funkčná požiadavka IDxx – číslo požiadavky

535

536

== {{id name="projekt_2524_Projektovy_zamer_detailny-Nefunkčné(kvalitatívne,výkonové-NonFunctionalRequirements-NFR)požiadavkymajúnasledovnúkonvenciu:Nxx"/}}Nefunkčné (kvalitatívne, výkonové - Non Functional Requirements - NFR) požiadavky majú nasledovnú konvenciu: Nxx ==

537

538

N – nefukčná požiadavka (NFR) IDxx – číslo požiadavky

539

540

== {{id name="projekt_2524_Projektovy_zamer_detailny-Technicképožiadavkymajúnasledovnúkonvenciu:"/}}Technické požiadavky majú nasledovnú konvenciu: ==

**Txx**

T – technická požiadavka IDxx – číslo požiadavky

= {{id name="projekt_2524_Projektovy_zamer_detailny-3.DEFINOVANIEPROJEKTU"/}}3. DEFINOVANIE PROJEKTU =

**~ **

**~ **3.1 Manažérske zhrnutie

**~ **

**~ **

Jedným zo strategickým cieľov koncepcie kybernetickej bezpečnosti schválenej vládou Slovenskej republiky je otvorený, bezpečný a chránený národný kybernetický priestor, ktorý zabezpečí vybudovanie dôvery v spoľahlivosť a bezpečnosť štátu a to najmä kritickej infraštruktúry a komunikačnej infraštruktúry, ako aj istoty, že táto bude plniť svoje funkcie a slúžiť národným záujmom aj v prípade kybernetického útoku. Súčasné kybernetické útoky nie sú už len fiktívnou hrozbou. Prostredníctvom nich sú ohrozované nielen súkromné spoločnosti, ale aj kritická infraštruktúra štátu. Nedostatky v zabezpečení ochrany informácií zvyšujú riziko straty dôvery v štát a znižujú reputáciu krajiny. Je preto nevyhnutné prijať dôsledné opatrenia na zabezpečenie bezpečnosti krajiny v tejto oblasti a ochranu nielen dôležitých informačných systémov, ale aj informácií, ktoré sú vo veľkej miere, v rámci implementácie efektívnej verejnej správy, teda aj v sektore „Verejnej správy" poskytované, ukladané a vymieňané v kybernetickom priestore. Zavedením správnych opatrení je možné minimalizovať riziká, ktoré kybernetický priestor prináša, a to hlavne:

559

560

* odcudzenie, zneužitie alebo strata dôvernosti a/alebo dostupnosti osobných a inak citlivých údajov,

561

562

563

* poškodenie dobrého mena,

564

565

566

* znefunkčnenie vybraných služieb, a ďalšie.

567

568

569

Mesto Liptovský Mikuláš (MLM), ďalej ako PZS vstupuje do tohto projektu v súlade so Zákonom 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov (ďalej len ZoKB) a Zákonom 95/2019 o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov (ďalej len ZoITVS). V IT odvetví sa neustále zvyšuje frekvencia a sofistikovanosť útokov a ako nevyhnutná podmienka pre udržanie zákonmi požadovanej bezpečnosti je udržateľnosť zavedených bezpečnostných opatrení, ktorá sa dá dosiahnuť iba nepretržitým dohľadom a vyhodnocovaním kybernetickej bezpečnosti.

570

571

PZS má zavedenú dokumentačnú a základnú procesnú časť v zmysle ZoKB a ZoITVS, ale na zabezpečenie udržateľnosti a dotiahnutie procesov kybernetickej a informačnej bezpečnosti potrebuje implementovať potrebné nástroje, vypracovať detailné dokumenty a nastaviť ďalšie procesy. Vzhľadom na finančné možnosti mesta sa tento projekt javí ako jediná možnosť prostredníctvom, ktorej môže MLM v najbližších rokoch získať v potrebnom rozsahu nástroje a zaviesť procesy pre zabezpečenie súladu so zákonmi.

572

573

Projekt bude realizovaný s cieľom implementovať nevyhnutnú ochranu pred hrozbami v oblasti informačnej a kybernetickej bezpečnosti a zároveň zavedie dlhodobý systém riadenia informačnej bezpečnosti.

574

575

Výsledkom realizácie projektu bude inštalácia, odladenie a zavedenie systému na riadenie rizík, systému na riadenie kontinuity, systému na riadenie kapacít, systému na monitorovanie a auditovanie infraštruktúry IKT, nasadenie LMS, na nástrojov SIEM a zriadenie dohľadového centra ( SOC). Systémy budú úzko naviazané na organizačné opatrenia v zmysle systému pre riadenie bezpečnostných incidentov a opatrení z neho vyplývajúcich a zároveň budú v plnej miere korešpondovať s výsledkami auditu kybernetickej bezpečnosti vykonaného koncom roka 2023 na MLM.

576

577

578

Rovnako ciele projektu v úzkej miere korešpondujú s výsledkami auditu KB, ktorý bol vykonaný v MLM koncom roka 2023. Naplnením cieľov projektu bude zabezpečený súlad so stratégiou kybernetickej bezpečnosti MLM ako PZS a jeho bezpečnostnými politikami. Zároveň implementované opatrenia budú podporené školeniami, vzdelávaním a motivačným navýšením finančného ohodnotenia, odmeňovacím systémom vlastných personálnych kapacít pre udržanie a stabilizáciu personálu.

579

580

581

Výsledky projektu zabezpečia :

582

583

584

Detailný a spoľahlivý prehľad o bezpečnosti IT prostredia, ktoré je prevádzkované u PZS ( Mesto LM ), na základe implementovaných opatrení a vyhodnocovacieho nástroja, ktorý je nevyhnutný na včasné reakcie na kybernetické bezpečnostné ohrozenia.

585

586

Zabezpečenie kontroly dodržiavania bezpečnostných politík zo strany zamestnancov, administrátorov, osôb zastávajúcich niektorú z bezpečnostných rolí a dodávateľov.

587

588

Zabezpečenie vyššej ochrany dátovej infraštruktúry vstupnou bránou, ktorá zabezpečí monitorovanie a filtrovanie prichádzajúcej či odchádzajúcej sieťovej komunikácie na základe vopred stanovených bezpečnostných zásad PZS.

589

590

Zaznamenávanie udalostí a monitorovanie sietí a informačných systémov implementáciou centrálneho nástroja na zaznamenávanie činnosti sietí a informačných systémov a ich používateľov zabezpečujúceho dohľad nad sieťami a informačnými systémami.

591

592

Zabezpečenie procesu detekcie kybernetických bezpečnostných incidentov prostredníctvom nástroja na detekciu kybernetických bezpečnostných incidentov, ktorý umožňuje v rámci sietí a informačných systémov a medzi sieťami a informačnými systémami overenie a kontrolu prenášaných dát.

593

594

Súlad určených požiadaviek PZS na zabezpečenie kontinuity riadenia kybernetickej bezpečnosti pri vzniku kybernetického bezpečnostného incidentu z vypracovanej stratégie a krízových plánov na zabezpečenie dostupnosti siete a informačného systému po narušení alebo zlyhaní v dôsledku kybernetického bezpečnostného incidentu na základe vykonanej analýzy dopadov kybernetického bezpečnostného incidentu na základnú službu.

Ciele projektu

Ciele projektu sú definované v súlade s Národnou koncepciou informatizácie verejnej správy (ďalej len „NKIVS“): Zvýšenie kvality organizácie KIB

600

601

Zvýšenie kvality riadenia rizík KIB

602

603

604

Zaznamenávanie udalostí a monitorovanie

605

606

Riešenie kybernetických bezpečnostných incidentov Zabezpečenie riadenia prístupov

607

608

Zabezpečenie bezpečnosti prevádzky IS a sietí vrátane sieťovej a komunikačnej bezpečnosti Zabezpečenie kontinuity prevádzky IS prevádzkovateľa PZS

609

610

Dané ciele budú dosiahnuté realizáciou hlavnej aktivity projektu - Realizácia opatrení na zvýšenie úrovne informačnej a kybernetickej bezpečnosti.

611

612

613

Cieľová skupina – interní zamestnanci mesta Liptovský Mikuláš, obyvatelia mesta Liptovský Mikuláš, podnikateľské subjekty a ostatné právnické osoby pôsobiace na území

614

615

mesta Liptovský Mikuláš.

616

617

Realizáciou aktivít projektu dosiahne mesto Liptovský Mikuláš naplnenie hlavného cieľa, ktorým je zvýšenie informačnej a kybernetickej bezpečnosti a zabezpečenia

618

619

ochrany údajov a elektronických dát, ktoré sú využívané mestom, jeho organizáciami, zamestnancami ako aj občanmi.

620

621

622

**Projekt je v súlade s intervenčnou stratégiou programu Slovensko 2021-2027 v nasledovných oblastiach:**

623

624

* **súlad projektu so špecifickým cieľom: 2 (opatrenie 1.2.1)**

625

* **súlad s očakávanými výsledkami definovanými v Partnerskej dohode pre špecifický cieľ RSO 26**

626

* **súlad s definovanými typmi oprávnených aktivít v rámci výzvy.**

627

628

Realizáciou projektu budú naplnené nasledovné merateľné ukazovatele: PO095 / PSKPSOI12 – cieľová hodnota 1

629

630

PR017 / PSKPRCR11 – cieľová hodnota 100

Miesto realizácie:

Mesto Liptovský Mikuláš.

635

636

Predpokladaný rozpočet projektu (oprávnené priame výdavky) je: 441 644,97 EUR s DPH

637

638

V prípade, že by malo mesto Liptovský Mikuláš investovať do dobudovania kybernetickej bezpečnosti vlastné finančné prostriedky, je prakticky nereálne zrealizovať všetky povinnosti podľa zákona o kybernetickej bezpečnosti a zákona o informačných systémoch verejnej správy, nakoľko ide o pomerne vysoké náklady v krátkom časovom období.

639

640

S ohľadom na to, že inštitúcie verejnej správy majú limitované finančné zdroje na boj s kyberútokmi, a súčasne je ich povinnosťou dodržiavať ustanovenia zákona o kybernetickej bezpečnosti vyhlásilo MIRRI SR Výzvu, ktorá má umožniť aj inštitúciám ako mestu Liptovský Mikuláš získať prostriedky na ochranu informačných systémov a dosiahnutie kybernetickej bezpečnosti na najvyššej úrovni pri minimálnych nákladoch.

641

642

Sumarizácia hlavných parametrov hodnotenia predkladaného hodnotenia projektu:

643

644

645

(% class="wrapped" %)

|(((

**P**

**.**

**č.**

)))|(((

**Názov hodnotiaceho kritéria**

654

)))|(((

655

**Parametre v projekte**

)))|(((

**Zdroj**

)))

|(((

**1**

)))|(((

Miera rizík ohrozujúcich úspešnú realizáciu projektu.

663

)))|(((

664

V rámci projektu bolo identifikovaných menej ako 10 % rizík z celkového počtu identifikovaných rizík v ŽoNFP je s vysokou závažnosťou, ktoré ohrozujú úspešnú realizáciu projektu.

665

)))|(((

666

viď príloha č. 1 projektového zámeru

667

668

669

I_01_PRILOHA_1_REGISTER_RIZIK-

670

671

aZAVISLOSTI_Projekt_KIBLM.xlsx, ktorý tvorí aj prílohu ŽoNFP.

)))

|(((

**2**

)))|(((

Administratívne, odborné a prevádzkové kapacity žiadateľa

677

)))|(((

678

Žiadateľ disponuje a plánuje (v súlade s podmienkami výzvy) dostatočné odborné kapacity s náležitou odbornou spôsobilosťou a know-how na riadenie a implementáciu projektu v danej oblasti.

679

680

Popis zabezpečenia prevádzky riešenia je reálny, t. j. žiadateľ

681

682

disponuje a plánuje (v súlade s podmienkami výzvy) personálne kapacity pre zabezpečenie prevádzky riešenia.

683

)))|(((

684

Informácie o projektovom tíme sú uvedené v kapitole 9 projektového zámeru.

Prílohou ŽoNFP sú:

- Skeny pracovných zmlúv

- Životopisy

)))

|(((

**3**

)))|(((

Miera oprávnenosti výdavkov

projektu.

)))|(((

Všetky oprávnené aktivity vychádzajú z bodu 2 Výzvy a prílohy 8 Výzvy, ktorá definuje oprávnené podaktivity.

703

)))|(((

704

V rámci projektu budú realizované nasledovné oprávnené podaktivity:

- organizácia KIB,

- riadenie rizík KIB,

710

711

712

- riadenie prístupov,

713

714

715

- riadenie kybernetickej a informačnej bezpečnosti vo vzťahoch s tretími stranami

716

717

718

- bezpečnosť pri prevádzke informačných systémov a sietí,

719

720

721

- sieťová a komunikačná bezpečnosť,

722

723

724

- zaznamenávanie udalostí a monitorovanie,

725

726

727

-riešenie kybernetických bezpečnostných incidentov,

728

729

730

- kontinuita prevádzky.

731

732

733

Ceny jednotlivých výdavkov premietnutých do rozpočtu boli získané na základe prieskumu trhu. Dokumentácia prieskumu trhu tvorí prílohy ŽoNFP.

)))

|(((

**4**

)))|(((

Dôležitosť kybernetickej

739

740

741

bezpečnosti u žiadateľa a

potenciálny dopad

kybernetických incidentov.

748

)))|(((

749

V zmysle kapitoly 3.2.5 PODPORA V OBLASTI KIB NA REGIONÁLNEJ

750

751

ÚROVNI uvedenej v prílohe 2 Výzvy boli identifikované jednotlivé kategórie.

752

)))|(((

753

§ 24 ods. 2 písm. a) – kategória: I.

754

755

756

§ 24 ods. 2 písm. b) a c) – kategória: II.

757

758

759

§ 24 ods. 2 písm. d) – kategória: III.

760

761

762

§24 ods. 2 písm. e) – kategória: I.

)))

**~ **

== {{id name="projekt_2524_Projektovy_zamer_detailny-3.2Motiváciaarozsahprojektu"/}}3.2 Motivácia a rozsah projektu ==

**~ **

Mesto Liptovský Mikuláš je právnickou osobou (IČO: 00315524) zapísanou v registri organizácií vedenom Štatistickým úradom Slovenskej republiky v zmysle § 3 ods. 1 písmena b) zákona č. 523/2004 Z. z. o rozpočtových pravidlách verejnej správy a o zmene a doplnení niektorých zákonov v znení neskorších predpisov, t.j. ide o subjekt vo verejnej správe, konkrétne územnej samospráve. Zároveň je mesto Liptovský Mikuláš zaradené v registri prevádzkovateľov základných služieb podľa zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov (ďalej len

773

774

„zákon o kybernetickej bezpečnosti“) v sektore Verejná správa (viď: [[https:~~/~~/www.nbu.gov.sk/7276-sk/zoznam-zakladnych-sluzieb/>>url:https://www.nbu.gov.sk/7276-sk/zoznam-zakladnych-sluzieb/||shape="rect"]]), t.j. je poskytovateľom základnej služby (ďalej len PZS).

775

776

Z uvedeného vyplýva o.i. skutočnosť, že mesto Liptovský Mikuláš má povinnosť realizovať a financovať opatrenia kybernetickej a informačnej bezpečnosti (ďalej len KIB) definované najmä v zákonoch o kybernetickej bezpečnosti a v zákone 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov (ďalej len „zákon o ISVS“) a ďalších súvisiacich predpisoch.

777

778

MLM ako správca a prevádzkovateľ informačného systému samosprávy je povinný okrem iného zaistiť aj primeranú ochranu spracúvaných informácií voči kybernetickým hrozbám aj v súlade s povinnosťami vyplývajúcimi z ustanovení zákona č.69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov.

779

780

Pri rozhodovaní o potrebe implementovaných opatrení v prostredí MLM je potrebné zohľadniť fakt morálnej a fyzickej opotrebovanosti existujúcich bezpečnostných technológií a samozrejme aj výsledky auditu KB z konca roka 2023. Nevyhnutnosť dobudovania pracoviska dohľadového centra odôvodňuje aj skutočnosť pretrvávajúcich a systematických kybernetických útokov na systémy prevádzkované samosprávami.

781

782

Súčasné bezpečnostné mechanizmy v oblasti monitoringu a hodnotenia zraniteľnosti implementované v samosprávach tvoria základ, ktorý si vyžaduje ďalší rozvoj pre zaistenie primeranej ochrany spracúvaných informácií voči kybernetickým hrozbám a zároveň zabezpečenie súladu s povinnosťami vyplývajúcimi z ustanovení zákona č.69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov. Okrem legislatívnych požiadaviek je nevyhnutné brať do úvahy aj aktuálny stav, ktorá je z časti spôsobený neschopnosťou včasnej detekcie možného kybernetického útoku z dôvodu absentujúcich bezpečnostných opatrení, chýbajúcich analytických nástrojov a nedostatku kvalitných zdrojov bezpečnostne relevantných záznamov.

783

784

785

== {{id name="projekt_2524_Projektovy_zamer_detailny-3.2.1Hlavnýpopisproblému"/}}3.2.1 Hlavný popis problému ==

**~ **

Mesto Liptovský Mikuláš má ku dňu spracovania tohto projektového zámeru realizovaný interný audit kybernetickej bezpečnosti, ktorý bol vypracovaný na základe overení koncom roka 2023 a má spracované samohodnotenie. Z uvedeného auditu vyplýva nevyhnutnosť realizácie opatrení kybernetickej bezpečnosti,

790

791

nakoľko Mesto Liptovský Mikuláš nedosahuje požadovaný súlad s požiadavkami zákona o kybernetickej bezpečnosti, vyhlášky 362/2018 Z. z. Mesto Liptovský Mikuláš ako poskytovateľ základnej služby vykonáva iba niektoré procesy na základe schválenej a vydanej dokumentácie, v zmysle požiadaviek Vyhlášky č. 362/2018 Z. z.

792

793

Hlavným problémom, ktorému mesto Liptovský Mikuláš ako PZS čelí je teda vyriešenie problému s nedostatočnou úrovňou zabezpečenia v oblasti informačnej a kybernetickej bezpečnosti tak, aby po realizovaní potrebných opatrení KIB bol dosiahnutý čo najvyšší súlad v oblasti príslušných predpisov KIB a súčasne aby boli administratívne a technologické náležitosti KIB realizované tak, aby plnili svoje úlohy v čo najväčšom rozsahu nie len v rámci implementácie projektu, ale aj v rámci jeho rutinnej prevádzky (t.j. v rámci udržateľnosti projektu i po nej). Rovnako je potrebné, aby opatrenia KIB boli realizované tak, že budú pripravené na ďalší rozvoj IT technológií PZS, a aby ich bolo možné flexibilne rozširovať bez ohrozenia prevádzkovaných i zamýšľaných IT systémov.

794

795

Z auditu kybernetickej bezpečnosti (okrem iného) vyplynuli nasledovné skutočnosti:

796

797

798

1. **Nedostatočná **identifikácia zraniteľnosti, identifikácia hrozieb, identifikácia a analýzy rizík s ohľadom na aktívum, určenia vlastníka rizika

799

1. **Nedostatočné **určenie cieľovej doby obnovy jednotlivých procesov, siete a informačných systémov a aplikácií, a to najmä určením doby obnovy prevádzky, po ktorej uplynutí je po kybernetickom určenia cieľového bodu obnovy jednotlivých procesov, siete a informačných systémov základnej služby a aplikácií, a to najmä určením najnižšej úrovne poskytovania služieb, ktorá je dostatočná na používanie, prevádzku a správu siete a informačného systému a zachovanie kontinuity základnej služby testovania a vyhodnocovania jednotlivých procesov riadenia kontinuity činností a realizácie opatrení na zvýšenie odolnosti sietí a informačných systémov základnej služby bezpečnostnom incidente obnovená najnižšia úroveň poskytovania základných služieb

800

1. **Nedostatočné **riadenie kybernetickej bezpečnosti a informačnej bezpečnosti vo vzťahoch s tretími stranami sa pri uzatvorení zmluvy s treťou stranou podľa § 19 ods. 2 zákona analyzujú riziká dodávateľských služieb, spôsobom podľa § 6.

801

1. **Nedostatočné **zaznamenávanie a vyhodnocovanie prevádzkových záznamov

802

1. Technické zraniteľnosti informačných systémov ako celku **sa nedostatočne identifikujú **prostredníctvom nástroja určeného na detegovanie existujúcich zraniteľností programových prostriedkov a ich častí.

803

1. Procesy riadenia záplat a aktualizácií **nie sú pravidelne **zdokumentované.

804

1. Zaznamenávanie udalostí a monitorovanie sietí a informačných systémov sa **neuskutočňuje **implementáciou centrálneho nástroja na zaznamenávanie činnosti sietí a informačných systémov a ich používateľov zabezpečujúceho dohľad nad sieťami a informačnými systémami.

805

1. **Neexistuje nástroj **na automatizované zaznamenávanie činnosti sietí a informačných systémov a ich používateľov, ktorý umožňuje vytvárať prevádzkové záznamy a zaznamenávať rizikové udalosti.

806

1. Prevádzkové záznamy nie sú zabezpečené podľa štandardu SIEM.

807

1. Za monitorovanie prevádzkových záznamov, ich vyhodnocovanie a vykonanie nahlásenia podozrivej aktivity **nie je jednoznačne zodpovedný **na to poverený zamestnanec prevádzkovateľa základnej služby alebo zamestnanec tretej strany, ak je jej táto činnosť zverená.

808

1. Proces detekcie kybernetických bezpečnostných incidentov **sa nezabezpečuje **prostredníctvom nástroja na detekciu kybernetických bezpečnostných incidentov, ktorý umožňuje v rámci sietí a informačných systémov a medzi sieťami a informačnými systémami overenie a kontrolu prenášaných dát.

809

1. Proces zberu a vyhodnocovania kybernetických bezpečnostných incidentov **sa nezabezpečuje **prostredníctvom nástroja na zber a nepretržité vyhodnocovanie kybernetických bezpečnostných udalostí.

810

811

S ohľadom na vyššie uvedené bude teda predmetom projektu riešenie problematiky z nasledovných oprávnených oblastí podľa výzvy:

812

813

* organizácia KIB,

814

* riadenie rizík KIB,

815

* riadenie prístupov,

816

* riadenie kybernetickej a informačnej bezpečnosti vo vzťahoch s tretími stranami

817

* bezpečnosť pri prevádzke informačných systémov a sietí,

818

* sieťová a komunikačná bezpečnosť,

819

* zaznamenávanie udalostí a monitorovanie,

820

* riešenie kybernetických bezpečnostných incidentov,

821

* kontinuita prevádzky.

822

823

824

== {{id name="projekt_2524_Projektovy_zamer_detailny-3.2.2Biznisprocesy"/}}3.2.2 Biznis procesy ==

**~ **

Zvýšenie spôsobilosti dohľadového centra je kľúčové pre zabezpečenie informačnej bezpečnosti a ochranu pred kybernetickými hrozbami pre samosprávy ako centrálneho bodu zberu a spracovania citlivých dát, ktorý predstavuje základ celého procesu poskytovanie štandardných služieb a elektronických služieb pre PO a FO v pôsobnosti MLM. Realizáciou projektu dôjde k zvýšeniu spôsobilosti v nasledujúcich oblastiach:

829

830

Rýchlejšia detekcia a reakcia na hrozby: Zlepšenie schopnosti identifikácie a reakcie na kybernetické hrozby v reálnom čase. To zahŕňa lepšiu analýzu logov, monitorovanie udalostí a upozornení, a automatizáciu procesov pre rýchlejšiu identifikáciu a potlačenie hrozieb.

831

832

Rozšírená analýza hrozieb: Vytvorenie a zdokonalenie analytických schopnosti pre hĺbkovú analýzu kybernetických hrozieb implementáciou nástrojov na analýzu malvéru, rozpoznávanie správania útočníkov a predikcia budúcich hrozieb.

833

834

Lepšie využitie technológií: Integrácia a efektívne využívanie nových technológii a nástrojov, ako sú strojové učenie a automatizácia. To umožní rýchlejšie a presnejšie identifikovať hrozby a zároveň zníženie manuálnych úkonov.

835

836

Zlepšenie spolupráce a komunikácia:

837

838

839

Posilnenie spolupráce medzi tímami v rámci organizácie, vrátane oddelení IT, prevádzky a vedenia, aby sa lepšie zdieľali informácie o hrozbách a koordinovali sa reakcie na incidenty.

840

841

Odbornosť a školenia: Posilnenie spôsobilosti tímu dohľadového centra prostredníctvom odborných školení a certifikácií. Udržiavanie členov tímu oboznámených s najnovšími hrozbami a postupmi, a dobudovanie interného tímu náborom odborníkov na kybernetickú bezpečnosť.

842

843

Kontinuálne zlepšovanie procesov: Pravidelné preskúmavanie a zlepšovanie pracovných postupov a procesov na základe skúseností získaných po implementácií opatrení a počas detekcie a riešenia incidentov, implementáciou nástrojov a zvyšovaním znalostného štandardu členov tímu.

844

845

Zabezpečenie finančných a personálnych zdrojov: Zabezpečenie dostatočného financovania, personálnych a technických zdrojov pre efektívne fungovanie implementovaných opatrení.

846

847

Kontinuálna analýza úspešnosti: Monitorovanie úspešnosti dohľadového centra v detekcii, reakcii a prevencii kybernetických hrozieb pomocou merateľných ukazovateľov výkonu. Tieto údaje sa potom môžu použiť na ďalšie zlepšenie schopností dohľadového centra.

848

849

Pripravenosť na nové technológie a trendy: Pripravenosť na nové technológie, trendy a taktiky kybernetických útokov a prispôsobovať sa im v čo najkratšom čase.

850

851

Sledovanie právnych a regulačných požiadaviek: Zabezpečiť, aby činnosti po implementácii opatrení boli v súlade s platnými právnymi a regulačnými požiadavkami týkajúcimi sa ochrany údajov a kybernetickej bezpečnosti.

852

853

Tieto aktivity pomôžu interného tímu a dohľadovému centru k vytvoreniu efektívneho a odolného systému na identifikáciu, monitorovanie a riešenie kybernetických hrozieb s cieľom ochrany organizácie pred potenciálnymi útokmi.

854

855

== {{id name="projekt_2524_Projektovy_zamer_detailny-3.2.3Oblastizameraniaprojektu"/}}3.2.3 Oblasti zamerania projektu ==

**~ **

Projekt sa primárne zaoberá oblasťou zabezpečenia opatrení KIB v zmysle zákona o kybernetickej bezpečnosti, zákona o ISVS a vyhlášky 326/2018 Z. z.. Ako bude uvedené ďalej, tento projekt má priamy dopad na všetky ISVS a technologické platformy (viď prístup k projektu), ktoré sú určené na poskytovanie základnej služby mesta Liptovský Mikuláš, nakoľko výsledky projektu budú ochraňovať všetky IS pred potenciálnymi hrozbami kybernetickej a informačnej bezpečnosti.

860

861

== {{id name="projekt_2524_Projektovy_zamer_detailny-3.2.4Rozsahprojektu"/}}3.2.4 Rozsah projektu ==

862

863

**~ **__Zoznam jednotlivých komponentov projektu__ __:__

864

865

1. __Riadenie kontinuity činností (BCM)__

866

1. __Vypracovanie analýzy funkčných dopadov a posúdenie dodávateľských vzťahov__

867

1. __SW pre riadenie a identifikáciu rizikovej analýzy a kontinuity činností + implementácia__

868

1. __SW pre LMS a eArchiv SW + implementácia__

869

1. __SW nástroj pre zber dát 200 Mbps + implementácia__

870

1. __Dodávka Firewall - ového riešenia__

871

1. __Migrácia FW a vertikálna segmentácia siete__

872

1. __AD Tier model (PAM)__

873

1. __Základné školenie obsluhy__

874

875

876

__Stručný popis komponentov, ktoré sú predmetom projektu__ __:__

877

878

879

1. __Riadenie kontinuity činností (BCM)__

880

881

882

* Vypracovanie kontinuity činností v zmysle ZoKB – riadenie kontinuity činností (BCM) v zmysle zákona č. 69/2018 z. a vyhlášky 362/2018 Z. z. (§17), v rovine riadenia, revízie a aktualizácie potrebnej dokumentácie v súvislosti s implementovanými opatreniami KB. Kontinuita činností musí obsahovať minimálne:

883

884

plán kontinuity na stanovenie požiadaviek a zdrojov,

885

886

plán reakcie na incidenty a plány havarijnej obnovy prevádzky, scenáre udalostí s negatívnym vplyvom na činnosti organizácie, postupy zálohovania a obnovy siete a informačných systémov, politiku a ciele kontinuity,

887

888

metodiku analýzy funkčných dopadov,

889

890

stratégiu riadenia kontinuity vrátane evakuačných postupov, plán údržby a kontroly BCM.

2. Vypracovanie analýzy funkčných dopadov a posúdenie dodávateľských vzťahov

895

896

*

897

** Identifikácia rôznych kategórií procesov na základe ich kritickosti a posúdiť ich vzájomné závislosti,

898

899

900

* Určenie potenciálnych dôsledkov (škody/straty) pri rôznych dobách trvania kritických situácií,

901

* Identifikácia potenciálne dopady vyplývajúce z možného prerušenia činností a stanoviť výšku: funkčných dopadov,

finančných dopadov,

dopadov spôsobených stratou údajov a dokumentov.

906

907

Príprava takých postupov a vytvorenie takých podmienok, ktoré zabezpečia v prípade krízovej situácie vo vopred stanovenom rozsahu a čase návrat k fungovaniu organizácie v normálnom režime,

908

909

3. SW pre riadenie a identifikáciu rizikovej analýzy a kontinuity činností

910

911

*

912

** časovo neobmedzená licencia pre neobmedzený počet používateľov,

913

914

-vrátane implementácia SW pre riadenie a identifikáciu rizikovej analýzy a kontinuity činností +vypracovanie prvotnej analýzy rizík a šablón. SW pre identifikáciu a riadenie rizík musí umožňovať vykonávať revízie a aktualizáciu analýzy rizík, riadiť riziká, aktíva, zraniteľnosti a hrozby systémom, ktorý dokumentuje históriu a je auditovateľný. SW musí byť typu klient – server nasadený na serveroch prevádzkovateľa bez závislosti na cloudových službách, aktualizáciách cez internet a inom komerčnom programovom vybavení okrem operačného systému a webového prehliadača.

__4. SW pre LMS a eArchiv SW__

920

921

vrátane implementácie komponenty SysMon bude zabezpečené zvýšenie úrovne výpovednej hodnoty log záznamov serverov s OS Windows Server, čím dôjde k zjednodušeniu a zrýchleniu manažmentu incidentov. Úlohou komponentu LMS je poskytnúť funkcionalitu centrálneho úložiska log záznamom a zároveň umožní vykonávať nad zozbieranými údajmi vyhodnocovacie a notifikačné funkcionality za účelom včasnej notifikácie administrátorov o možnom vzniku incidentu. Komponent eArchív spracuje výstupy LMS, elektronicky ich podpisuje (vrátane časovej pečate), archivuje a umožňuje aplikovať retenčné politiky.

922

923

__5. SW nástroj pre zber dát 200 Mbps__

924

925

*

926

** platnosť licencie minimálne 12 mesiacov,

927

** vrátane implementácie, konfigurácie, ladenie SW nástroja pre zber dát

928

929

930

Implementáciou Software - ového nástroja pre zber dát bude zabezpečené aktívne sledovanie diania na sieti a v informačných systémoch prevádzky základnej služby Prevádzkovateľa ako aj podporných systémoch. Na monitorovaní sa môžu podieľať aj zamestnanci IT oddelenia. Cieľom je včas rozpoznať kybernetický útok alebo náznak potencionálneho vniknutia do systémov a sietí tak, aby bolo možné útoku či zlyhaniu siete zabrániť alebo prijať opatrenia, aby sa takýmto útokom či zlyhaním minimalizovali následky. Zároveň umožňuje jednotlivé útoky analyzovať a vyhodnocovať.

931

932

__6.Dodávka Firewall - ového riešenia__

933

934

*

935

** zabezpečenie ochrany dátovej infraštruktúry vstupnou bránou, ktorá zabezpečí monitorovanie a filtrovanie prichádzajúcej či odchádzajúcej sieťovej komunikácie na základe vopred stanovených bezpečnostných zásad organizácie. Brána firewall predstavuje bariéru medzi dôveryhodnou a nedôveryhodnou sieťou, akou je napríklad internet. Implementácia dvoch úrovní FW umožní realizovať vertikálnu segmentáciu siete s ukončením segmentov na firewalloch podľa ich kategorizácie a zároveň umožní optimalizáciu nákladov na udržateľnosť.

936

937

938

__7. Migracia FW a vertikálna segmentácia siete__

939

940

941

Migrácia FireWall-ov a doplnenie NGFW funkcionalít predstavuje začlenenie nových prvkov dátovej infraštruktúry do existujúcej dátovej infraštruktúry s definovaním nových pravidiel komunikácie a ochrany. Vertikálna segmentácia počítačovej siete je potrebná ako prvok rozvoja informačnej bezpečnosti a riadenia prístupu. Rozdeľuje virtuálne segmenty podľa ich kategorizácie medzi jednotlivé vrstvy firewallov. Tento prístup umožňuje riadiť dátové toky prevádzky medzi podsieťami na základe podrobných pravidiel. Zavedenie vertikálnych virtuálnych segmentov siete zlepšuje možnosti monitorovania sieťovej komunikácie, zvýšenie výkonu, lokalizáciu technických problémov ako aj zvýšenie úrovne informačnej bezpečnosti. Segmentácia siete mitiguje možnosti neoprávneným používateľom alebo útočníkom v získaní prístupu k digitálnemu vlastníctvu.

942

943

944

__8. AD Tier model (PAM)__

945

946

947

Model Active Directory vrstiev vytvára delenie informačného systému a používateľských a administrátorských účtov na základe toho, aké zdroje spravujú. Administrátori s kontrolou nad užívateľskými pracovnými stanicami sú oddelení od tých, ktorí riadia aplikácie alebo spravujú servery prevádzky základnej služby. Implementuje sa obmedzenie prístupu podľa úrovní, so zabezpečením, aby vysoko privilegované účty nemali prístup k menej bezpečným zdrojom. Tento princíp vhodne dopĺňa segmentáciu siete a zároveň predstavuje ďalší stupeň ochrany pred napr. útokom typu ransomware."

948

949

950

__9. Základné školenie v potrebnom rozsahu na implementované opatrenia__

951

952

Potreba jednotlivých komponentov cieľovej architektúry vychádza z výsledkov auditu KB a potreby naplnenia legislatívnych požiadaviek. Jednotlivé komponenty architektúry sú bližšie popísané v dokumente ŽoNFP, kde je uvedená podrobnejšia technická špecifikácia a požiadavky na jednotlivé komponenty, spoločne s motiváciou, odôvodnením a účelom týchto komponentov.

953

954

Realizácia projektu sa dotkne nasledovných subjektov:

955

956

Mesto Liptovský Mikuláš ako PZS

957

958

Interní zamestnanci mesta Liptovský Mikuláš, zamestnanci v rozpočtových a príspevkových organizáciách v zriaďovateľskej pôsobnosti mesta Liptovský Mikuláš

959

960

Občania, podnikatelia a iné subjekty využívajúce základné služby mesta Liptovský Mikuláš IS externých subjektov, ktoré sú poskytované ako služba pre mesto Liptovský Mikuláš

961

962

963

== {{id name="projekt_2524_Projektovy_zamer_detailny-3.2.5Motiváciaaobmedzeniapredosiahnutiecieľovprojektu"/}}3.2.5 Motivácia a obmedzenia pre dosiahnutie cieľov projektu ==

964

965

**~ **Hlavnou motiváciou je realizácia opatrení KIB definovaných v zákone o kybernetickej bezpečnosti a v zákone o ISVS. Vďaka realizácii týchto opatrení budú IS mesta Liptovský Mikuláš (a to primárne najmä tie, ktoré zabezpečujú prevádzku základnej služby) chránené v maximálnej možnej miere pred kybernetickým incidentom, ktorý by mohol mať na poskytovanie základnej služby a prevádzku IS mesta Liptovský Mikuláš nasledovný dopad:

|(((

**Dopad kybernetickéh o bezpečnostné ho**

970

971

**incidentu v závislosti**

)))|(((

**K**

**a t e g ó ria**

)))|(((

**Vysvetlenie**

)))

|(((

§ 24 ods. 2 písm. a) zákona 69

/2018 Z.z.

Počet používateľov základnej služby zasiahnutých kybernetickým bezpečnostný m incidentom.

)))|(((

I.

)))|(((

Mesto Liptovský Mikuláš má 6 ISVS (MetaIS) a poskytuje informácie v rámci elektronických služieb formou elektronických formulárov. Incident môže ohrozovať dostupnosť, pravosť, integritu, dôvernosť prenášaných alebo spracúvaných údajov alebo ich prístupnosť. Počet osôb využívajúcich ISVS je podľa údajov zo Štatistického úradu SR ([[http:~~/~~/datacube.statistics.sk/>>url:http://datacube.statistics.sk/||shape="rect"]])je 30 162.

990

991

Počet podnikateľských subjektov (právnické osoby, FO podnikatelia a živnostníci, z Mesta Liptovský Mikuláš ([[https:~~/~~/egov.>>url:https://egov.mikulas.sk/||shape="rect"]] [[mikulas.sk/>>url:https://egov.mikulas.sk/||shape="rect"]]) je 9381 . Mesto Liptovský Mikuláš ako prevádzkovateľ základnej služby - informačného systému CG ISS (Informačný systém samosprávy), ktorý obsahuje v sebe moduly, ktoré obsahujú dotknuté údaje. Ide o moduly objednávky (3462 dokladov za rok 2023), fakturácia - dodávatelia (11947 zápisov), fakturácia -odberatelia (4703 zápisov), zmluvy (976 zápisov), úradná tabuľa (20 zápisov), obyvatelia a moduly pre daň z nehnuteľností a miestne poplatky. Ak by bol systém nefunkčný 2 týždne v čase vyrubovania, platenia daní a poplatkov, dotýkal by sa teoreticky viac ako 50000 osôb. Súčasťou systému je aj modul zverejňovania na úradnej tabuli mesta a CUET, zmlúv, čo sa týka všetkých obyvateľov mesta.

)))

|(((

§ 24 ods. 2 písm. b) zákona 69

/2018 Z.z.

Dĺžka trvania kybernetickéh o bezpečnostné ho incidentu (čas pôsobenia kybernetickéh o bezpečnostné ho incidentu) a/alebo § 24 ods. 2 písm. c) zákona Geografické rozšírenie kybernetickéh o bezpečnostné ho incidentu.

)))|(((

II.

)))|(((

Mesto prevádzkuje informačný systém CG ISS pre mesto a jeho organizácie v zriaďovateľskej pôsobnosti. Ak uvažujeme len informačný systém CG ISS, čo je 239 používateľov a v prípade kybernetického incidentu sa predpokladá nedostupnosť na 2 týždne, čo by znamenalo cca 239 * 8hod * 14 dní - 26 768 hodín. Ak uvažujeme, že v prípade kybernetického incidentu sa nedostupnosť odzrkadlí na všetkých zamestnancoch mesta a jeho organizácii v zriaďovateľskej pôsobnosti, čo predstavuje cca 1045 *8 hod * 14 dní - 117 040 hodín.

1004

)))

1005

|(((

1006

§ 24 ods. 2 písm. d) zákona 69

/2018 Z.z.

Stupeň narušenia fungovania základnej služby.

)))|(((

II I.

)))|(((

V prípade nefunkčnosti informačných systémov nie je k dispozícii náhradné riešenie.

1015

)))

1016

|(((

1017

§ 24 ods. 2 písm. e) zákona 69

/2018 Z.z.

Rozsah vplyvu kybernetického bezpečnostné ho incidentu na hospodárske alebo spoločenské činnosti štátu

)))|(((

I.

)))|(((

Nefunkčnosť systémov mesta Liptovský Mikuláš má priamy vplyv na hospodárske alebo spoločenské činnosti. Nefunkčnosť ISVS má priamy súvis na finančné operácie medzi MÚ LM a organizáciami v zriaďovateľskej pôsobnosti, dodávateľov a odberateľov, štátnymi inštitúciami ( napr. sociálne a zdravotné poisťovne, daňový úrad...). Úspešný kybernetický útok, ktorého cieľom by bolo získanie dát z MÚ LM môže viesť a pravdepodobne aj bude viesť k úniku osobných údajov a následnému porušeniu práv dotknutých osôb. Vzhľadom na znenie §104 zákona č.: 18/2018 Z. z. a obdobné sankcie uvedené v GDPR môže vzniknúť škoda jednak MÚ LM ale aj niektorému podniku napojenému na ISVS až do výšky 20 mil. €. Vychádzajúc z praxe a známych prípadov porušenia zákona na ochranu osobných údajov na území Slovenska môže takto jednému užívateľovi ISVS vzniknúť škoda prevyšujúca 250 000 €.

)))

**~ **

== {{id name="projekt_2524_Projektovy_zamer_detailny-Projektjeformulovanýtak,abypojehorealizáciinastalčonajväčšísúladzabezpečeniakybernetickejainformačnejbezpečnostisozákonomokybernetickejbezpečnosti,svyhláškou362/2018Z.z.asozákonomoISVS."/}}Projekt je formulovaný tak, aby po jeho realizácii nastal čo najväčší súlad zabezpečenia kybernetickej a informačnej bezpečnosti so zákonom o kybernetickej bezpečnosti, s vyhláškou 362/2018 Z. z. a so zákonom o ISVS. ==

1032

1033

**Obmedzenia projektu:**

**~ **

Z hľadiska technického, personálneho, odborného, ale ani legislatívneho neevidujeme žiadne obmedzenia, ktoré by mohli ovplyvniť úspešnú realizáciu projektu.

1038

1039

== {{id name="projekt_2524_Projektovy_zamer_detailny-3.3Zainteresovanéstrany/Stakeholder"/}}3.3 Zainteresované strany/Stakeholder ==

|(((

ID

)))|(((

AKTÉR / STAKEHOLDER

)))|(((

SUBJEKT

**~ **

(názov / skratka)

)))|(((

ROLA

**~ **

(vlastník procesu/ vlastník dát/zákazník/ užívateľ …. člen tímu atď.)

1058

)))|(((

1059

Informačný systém (MetaIS kód a názov ISVS)

)))

|(((

1

)))|(((

Administrátor IT

)))|(((

Mesto Liptovský Mikuláš

1067

)))|(((

1068

Zabezpečuje prevádzku IT systémov mesta Liptovský Mikuláš

1069

)))|(((

1070

isvs_9923 CGISS isvs_9931 CGDISS isvs_9932 CG eGOV isvs_6309 Modul DMS isvs_9936 CG GISam

1071

1072

isvs_11637 Webové sídlo Mesta Liptovský Mikuláš

**~ **

isvs_5836 Informačný systém centrálnej správy referenčných údajov verejnej správy

)))

|(((

2

)))|(((

Manažér kybernetickej bezpečnosti

1082

)))|(((

1083

Mesto Liptovský Mikuláš

1084

)))|(((

1085

Zodpovedný za KIB mesta Liptovský Mikuláš

1086

)))|(((

1087

isvs_9923 CGISS isvs_9931 CGDISS isvs_9932 CG eGOV isvs_6309 Modul DMS isvs_9936 CG GISam

1088

1089

isvs_11637 Webové sídlo Mesta Liptovský Mikuláš

**~ **

isvs_5836 Informačný systém centrálnej správy referenčných údajov verejnej správy

)))

|(((

3

)))|(((

Zamestnanec MsÚ Liptovský Mikuláš

1099

)))|(((

1100

Mesto Liptovský Mikuláš

1101

)))|(((

1102

Využíva IS mesta Liptovský Mikuláš

1103

)))|(((

1104

isvs_9923 CGISS isvs_9931 CGDISS isvs_9932 CG eGOV isvs_6309 Modul DMS isvs_9936 CG GISam

1105

1106

isvs_11637 Webové sídlo Mesta Liptovský Mikuláš

**~ **

isvs_5836 Informačný systém centrálnej správy referenčných údajov verejnej správy

)))

|(((

4

)))|(((

Zamestnanci organizácii v zriaďovateľskej pôsobnosti mesta Liptovský Mikuláš

1116

)))|(((

1117

Mesto Liptovský Mikuláš

1118

)))|(((

1119

Využíva IS mesta Liptovský Mikuláš

1120

)))|(((

1121

isvs_9923 CGISS isvs_9931 CGDISS isvs_9932 CG eGOV isvs_6309 Modul DMS isvs_9936 CG GISam

1122

1123

isvs_11637 Webové sídlo Mesta Liptovský Mikuláš

**~ **

isvs_5836 Informačný systém centrálnej správy referenčných údajov verejnej správy

)))

|(((

5

)))|(((

Občan / podnikateľ

)))|(((

)))|(((

Využíva služby poskytované mestom Liptovský Mikuláš prostredníctvom jeho IS

1138

)))|(((

1139

isvs_9923 CGISS isvs_9931 CGDISS isvs_9932 CG eGOV isvs_6309 Modul DMS isvs_9936 CG GISam

1140

1141

isvs_11637 Webové sídlo Mesta Liptovský Mikuláš

**~ **

isvs_5836 Informačný systém centrálnej správy referenčných údajov verejnej správy

)))

|(((

6

)))|(((

Poskytovateľ IT služieb

)))|(((

)))|(((

Poskytuje služby IS pre mesto Liptovský Mikuláš

1155

)))|(((

1156

isvs_9923 CGISS isvs_9931 CGDISS isvs_9932 CG eGOV isvs_6309 Modul DMS isvs_9936 CG GISam

1157

1158

isvs_11637 Webové sídlo Mesta Liptovský Mikuláš

**~ **

isvs_5836 Informačný systém centrálnej správy referenčných údajov verejnej správy

)))

|(((

7

)))|(((

OVM

)))|(((

)))|(((

Poskytuje alebo konzumuje údaje IS mesta Liptovský Mikuláš v podobe dátových zdrojov, otvorených dát alebo vo forme služieb resp. rozhraní

1172

)))|(((

1173

isvs_9923 CGISS isvs_9931 CGDISS isvs_9932 CG eGOV isvs_6309 Modul DMS isvs_9936 CG GISam

1174

1175

isvs_11637 Webové sídlo Mesta Liptovský Mikuláš

**~ **

isvs_5836 Informačný systém centrálnej správy referenčných údajov verejnej správy

1180

)))

1181

1182

**3.4 Ciele projektu**

**~ **

Ciele projektu sú definované v súlade s Národnou koncepciou informatizácie verejnej správy (ďalej len „NKIVS“) a súčasne sú definované tak, aby boli v súlade s očakávanými výsledkami definovanými v Partnerskej dohode Slovenskej republiky na roky 2021 – 2027 (ďalej len „Partnerská dohoda“) pre špecifický cieľ RSO 1.2. Definície cieľov rovnako vychádzajú z národnej stratégie kybernetickej bezpečnosti na roky 2021 až 2025.

1187

1188

Partnerská dohoda definuje špecifický cieľ RSO 1.2 Využívanie prínosov digitalizácie pre občanov, podniky, výskumné organizácie a orgány verejnej správy a konkrétne opatrenie: 1.2.1 Podpora v oblasti informatizácie a digitálnej transformácie, oblasť - Kybernetická a informačná bezpečnosť, pričom hlavným cieľom podpory je aj zabezpečenie kybernetickej bezpečnosti v súlade so Stratégiou digitálnej transformácie Slovenska. Stratégia digitálnej transformácie v oblasti kybernetickej bezpečnosti odkazuje na Národnú stratégiu kybernetickej bezpečnosti vydanú Národným bezpečnostným úradom (ďalej len „NBÚ“) Národná koncepcia informatizácie verejnej správy určuje v rámci prioritnej osi 4 Kybernetická a informačná bezpečnosť strategickú prioritu Kybernetická

1189

1190

a informačná bezpečnosť.

1191

1192

1193

Splnenie tejto strategickej priority má byť dosiahnuté nasledujúcimi dvoma cieľmi:

1194

1195

Cieľ 4.1 Zvýšenie schopnosti včasnej identifikácie kybernetických incidentov vo verejnej správe

1196

1197

Cieľ 4.2 Posilniť ľudské kapacity a vzdelávanie v oblasti kybernetickej a informačnej bezpečnosti patriace pod prioritnú os 4 Kybernetická a informačná bezpečnosť.

1198

1199

Z vyššie uvedených cieľov je pre projekt dôležitý cieľ 4.1 a v súlade sním je aj nižšie citovaný strategický cieľ.

1200

1201

Národná stratégia kybernetickej bezpečnosti na roky 2021 až 2025, ktorá vychádza z Partnerskej dohody definuje vo vzťahu k verejnej správe nasledovný strategický cieľ:

1202

1203

4.1 Dôveryhodný štát pripravený na hrozby.

1204

1205

V definícii tohto strategického cieľa uvádza, cit:

1206

1207

„Kybernetická bezpečnosť je zodpovednosťou každého obyvateľa Slovenskej republiky, no bezpečnosť nemôže fungovať bez existencie mechanizmov na národnej úrovni, ktoré určujú politiku kybernetickej bezpečnosti, systém jej riadenia, ale aj procesy na detekciu a riešenie kybernetických bezpečnostných incidentov, budovanie odborných kapacít a šírenie situačného a bezpečnostného povedomia. Zároveň štát musí pri budovaní dôveryhodnosti vykonávať vyššie uvedené aktivity v súlade s Ústavou Slovenskej republiky a ostatnými zákonmi a vstupovať do základných ľudských práv a slobôd len v nevyhnutnej miere.“

1208

1209

1210

Cieľový stav uvedeného strategického cieľa je v Národnej stratégii kybernetickej bezpečnosti na roky 2021 až 2025 stanovený nasledovne, cit.:

1211

1212

„Vybudovanie dostatočného odborného personálneho základu pre systém riadenia informačnej a kybernetickej bezpečnosti nielen na národnej, ale aj sektorovej úrovni. Spolupráca štátu s občanom na úrovni poskytovania dostatočných informácií a odporúčaní a realizácia krokov, ktoré občan reálne pocíti ako zvýšenie vlastnej bezpečnosti a bezpečnosti národného kybernetického priestoru. Vytvorenie a používanie certifikačných schém na široké portfólio typov výrobkov, procesov a služieb. Kvalitnejšie technické, organizačné a personálne zabezpečenie, založené na využívaní moderných prístupov ku kybernetickej bezpečnosti pri detekcii a riešení kybernetických bezpečnostných incidentov. Vybudovanie spôsobilostí na detekciu a riešenie kybernetických bezpečnostných incidentov na všetkých úrovniach. Efektívna spolupráca zainteresovaných subjektov na všetkých úrovniach riešenia informačnej a kybernetickej bezpečnosti. Dobre nastavený proces technickej, ale aj politickej atribúcie kybernetických bezpečnostných incidentov.

1213

1214

Systematické a kontinuálne riadenie rizík kybernetickej bezpečnosti v jednotlivých sektoroch. Zlepšenie detekcie a zisťovania kybernetických bezpečnostných incidentov na sektorovej úrovni, zlepšenie a zjednodušenie nahlasovania kybernetických bezpečnostných incidentov nielen zo strany povinných subjektov, ale aj v rovine dobrovoľných hlásení. Podpora spôsobilostí subjektov v oblasti riadenia kontinuity činností.“

1215

1216

Všetky ciele projektu sú v súlade s vyššie uvedenými strategickými dokumentmi:

|(((

ID

)))|(((

Názov cieľa

)))|(((

Názov strategického cieľa*

1229

)))|(((

1230

Spôsob realizácie strategického cieľa

)))

|(((

**1**

)))|(((

**Zvýšenie kvality organizácie KIB**

1236

)))|(((

1237

Dôveryhodný štát pripravený na hrozby (Realizovanie opatrení kybernetickej a informačnej bezpečnosti)

1238

)))|(((

1239

Riadenie kontinuity činností (BCM).

1240

1241

1242

Vypracovanie analýzy funkčných dopadov a posúdenie dodávateľských vzťahov.

1243

1244

1245

SW pre riadenie a identifikáciu rizikovej analýzy a kontinuity činností + implementácia.

)))

|(((

**2**

)))|(((

**Zvýšenie kvality riadenia rizík KIB**

1251

)))|(((

1252

Dôveryhodný štát pripravený na hrozby (Realizovanie opatrení kybernetickej a informačnej bezpečnosti)

1253

)))|(((

1254

Riadenie kontinuity činností (BCM).

1255

1256

1257

Vypracovanie analýzy funkčných dopadov a posúdenie dodávateľských vzťahov.

1258

1259

1260

SW pre riadenie a identifikáciu rizikovej analýzy a kontinuity činností + implementácia.

)))

|(((

**3**

)))|(((

**Zaznamenávanie udalostí a monitorovanie**

1266

)))|(((

1267

Dôveryhodný štát pripravený na hrozby (Realizovanie opatrení kybernetickej a informačnej bezpečnosti)

1268

)))|(((

1269

SW pre LMS a eArchiv SW a implementácia.

1270

1271

1272

SW nástroj pre zber dát 200 Mbps a implementácia. Dodávka Firewall - ového riešenia.

1273

1274

Migracia FW a vertikálna segmentácia siete. AD Tier model (PAM).

1275

1276

Základné školenie v potrebnom rozsahu na implementované opatrenia.

)))

|(((

**4**

)))|(((

**Riešenie kybernetických bezpečnostných incidentov**

1282

)))|(((

1283

Dôveryhodný štát pripravený na hrozby (Realizovanie opatrení kybernetickej a informačnej bezpečnosti)

1284

)))|(((

1285

SW pre LMS a eArchiv SW a implementácia.

1286

1287

1288

SW nástroj pre zber dát 200 Mbps a implementácia. Dodávka Firewall - ového riešenia.

1289

1290

Migracia FW a vertikálna segmentácia siete. AD Tier model (PAM).

1291

1292

Základné školenie v potrebnom rozsahu na implementované opatrenia.

)))

|(((

**5**

)))|(((

**Zabezpečenie riadenia prístupov**

1299

)))|(((

1300

Dôveryhodný štát pripravený na hrozby (Realizovanie opatrení kybernetickej a informačnej bezpečnosti)

1301

)))|(((

1302

SW pre LMS a eArchiv SW a implementácia.

1303

1304

1305

SW nástroj pre zber dát 200 Mbps a implementácia. Dodávka Firewall - ového riešenia.

1306

1307

Migracia FW a vertikálna segmentácia siete. AD Tier model (PAM).

1308

1309

Základné školenie v potrebnom rozsahu na implementované opatrenia.

)))

|(((

**6**

)))|(((

**Zabezpečenie bezpečnosti prevádzky IS a sietí vrátane sieťovej a komunikačnej bezpečnosti**

1315

)))|(((

1316

Dôveryhodný štát pripravený na hrozby (Realizovanie opatrení kybernetickej a informačnej bezpečnosti)

1317

)))|(((

1318

SW pre LMS a eArchiv SW a implementácia.

1319

1320

1321

SW nástroj pre zber dát 200 Mbps a implementácia. Dodávka Firewall - ového riešenia.

1322

1323

Migracia FW a vertikálna segmentácia siete. AD Tier model (PAM).

1324

1325

Základné školenie v potrebnom rozsahu na implementované opatrenia.

)))

|(((

**7**

)))|(((

**Zabezpečenie kontinuity prevádzky IS prevádzkovateľa PZS**

1331

)))|(((

1332

Dôveryhodný štát pripravený na hrozby (Realizovanie opatrení kybernetickej a informačnej bezpečnosti)

1333

)))|(((

1334

SW pre LMS a eArchiv SW a implementácia.

1335

1336

1337

SW nástroj pre zber dát 200 Mbps a implementácia. Dodávka Firewall - ového riešenia.

1338

1339

Migracia FW a vertikálna segmentácia siete. AD Tier model (PAM).

1340

1341

Základné školenie v potrebnom rozsahu na implementované opatrenia.

1342

)))

1343

1344

**~* Definícia strategického cieľa vychádza zo strategického cieľa v Národnej stratégii kybernetickej bezpečnosti a nadväzuje na prioritný cieľ Národnej koncepcie informatizácie verejnej správy.**

1345

1346

1347

**3.5 Merateľné ukazovatele (KPI)**

|(((

ID

)))|(((

**~ **

**~ **

**~ **

**~ **

Názov cieľa

)))|(((

Názov ukazovateľa (KPI)

)))|(((

Popis ukazovateľa

)))|(((

Merná jednotka

)))|(((

AS IS

merateľné hodnoty (aktuálne)

)))|(((

TO BE

Merateľné hodnoty (cieľové hodnoty)

)))|(((

Spôsob ich merania

)))|(((

Pozn.

)))

|(((

**1**

)))|(((

PO095

)))|(((

Verejné inštitúcie podporované v

1386

)))|(((

1387

Počet verejných inštitúcií, ktoré sú

)))|(((

Verejné

)))|(((

0

)))|(((

1

)))|(((

Identifikácia počtu realizácie opatrení KIB pre inštitúciu –

)))|(((

Typ

)))

|(((

)))|(((

/

**~ **

PSKPS

)))|(((

rozvoji kybernetických služieb,

)))|(((

**~ **

podporované za

)))|(((

inštitúcie

)))|(((

)))|(((

)))|(((

splnenie súladu KIB so zákonom o kybernetickej bezpečnosti

)))|(((

ukazovat eľa:

)))

|(((

)))|(((

**~ **

OI12

)))|(((

**~ **

produktov a procesov

)))|(((

účelom rozvoja a

modernizácie

)))|(((

)))|(((

)))|(((

)))|(((

a zákonom o ISVS

)))|(((

Výstup

)))

|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

Čas plnenia merateľného ukazovateľa projektu:

)))|(((

)))

|(((

)))|(((

)))|(((

)))|(((

kybernetických

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))

|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

Fyzické ukončenie realizácie hlavných aktivít projektu

)))|(((

)))

|(((

)))|(((

)))|(((

)))|(((

služieb, produktov, procesov a

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))

|(((

)))|(((

)))|(((

)))|(((

zvyšovania

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))

|(((

)))|(((

)))|(((

)))|(((

vedomostnej úrovne napríklad v

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))

|(((

)))|(((

)))|(((

)))|(((

kontexte opatrení

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))

|(((

)))|(((

)))|(((

)))|(((

smerujúcich k elektronickej

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))

|(((

)))|(((

)))|(((

)))|(((

bezpečnosti verejnej

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))

|(((

)))|(((

)))|(((

)))|(((

správy.

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))

|(((

**2**

)))|(((

PR017

)))|(((

Používatelia nových a vylepšených

1646

)))|(((

1647

Používatelia nových a vylepšených

)))|(((

Používatelia

/rok

)))|(((

0

)))|(((

100

)))|(((

Sumarizácia počtu používateľov nových a vylepšených

)))|(((

Typ

)))

|(((

)))|(((

/

**~ **

PSKPR

)))|(((

verejných digitálnych služieb,

1671

)))|(((

1672

verejných digitálnych služieb,

)))|(((

)))|(((

)))|(((

)))|(((

digitálnych služieb – bude určené počtom prístupov v IAM,

**~ **

Databázou používateľov v oblasti KIB.

)))|(((

ukazovat eľa:

)))

|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

výsledok

)))

|(((

)))|(((

CR11

)))|(((

produktov a procesov

)))|(((

produktov a procesov

)))|(((

)))|(((

)))|(((

)))|(((

V prípade mesta LM ide o počet používateľov, ktorí využívajú IS mesta LM.

)))|(((

)))

|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

Čas plnenia merateľného ukazovateľa projektu:

)))|(((

)))

|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

v rámci udržateľnosti projektu.

)))|(((

)))

**3.5.1 Špecifikácia potrieb koncového používateľa**

**~ **

Z pohľadu MLM je koncovým používateľom IT oddelenie a sekundárne zamestnanci MLM, občania, podnikateľské subjekty pôsobiace na území mesta, ktoré očakávajú, že nebude vplyvom kybernetických útokov dochádzať k výpadkom prevádzky IS mesta a tým sa de facto znefunkční

1770

1771

poskytovanie základnej služby MLM. Z výsledkov samohodnotenia a interného auditu vyplynuli definície potrieb a požiadaviek na realizáciu opatrení KIB, v ktorých MLM ako PZS dosahuje najvyšší nesúlad v zmysle zákona o kybernetickej bezpečnosti, zákona o ISVS a vyhlášky 362/2018 Z. z. Ide o:

1772

1773

1. **Nedostatočná **identifikácia zraniteľnosti, identifikácia hrozieb, identifikácia a analýzy rizík s ohľadom na aktívum, určenia vlastníka rizika

1774

1. **Nedostatočné **určenie cieľovej doby obnovy jednotlivých procesov, siete a informačných systémov a aplikácií, a to najmä určením doby obnovy prevádzky, po ktorej uplynutí je po kybernetickom určenia cieľového bodu obnovy jednotlivých procesov, siete a informačných systémov základnej služby a aplikácií, a to najmä určením najnižšej úrovne poskytovania služieb, ktorá je dostatočná na používanie, prevádzku a správu siete a informačného systému a zachovanie kontinuity základnej služby testovania a vyhodnocovania jednotlivých procesov riadenia kontinuity činností a realizácie opatrení na zvýšenie odolnosti sietí a informačných systémov základnej služby bezpečnostnom incidente obnovená najnižšia úroveň poskytovania základných služieb

1775

1. **Nedostatočné **riadenie kybernetickej bezpečnosti a informačnej bezpečnosti vo vzťahoch s tretími stranami sa pri uzatvorení zmluvy s treťou stranou podľa § 19 ods. 2 zákona analyzujú riziká dodávateľských služieb, spôsobom podľa § 6.

1776

1. **Nedostatočné **zaznamenávanie a vyhodnocovanie prevádzkových záznamov

1777

1. Technické zraniteľnosti informačných systémov ako celku **sa nedostatočne identifikujú **prostredníctvom nástroja určeného na detegovanie existujúcich zraniteľností programových prostriedkov a ich častí.

1778

1. Procesy riadenia záplat a aktualizácií **nie sú pravidelne **zdokumentované.

1779

1. Zaznamenávanie udalostí a monitorovanie sietí a informačných systémov sa **neuskutočňuje **implementáciou centrálneho nástroja na zaznamenávanie činnosti sietí a informačných systémov a ich používateľov zabezpečujúceho dohľad nad sieťami a informačnými systémami.

1780

1. **Neexistuje nástroj **na automatizované zaznamenávanie činnosti sietí a informačných systémov a ich používateľov, ktorý umožňuje vytvárať prevádzkové záznamy a zaznamenávať rizikové udalosti.

1781

1. Prevádzkové záznamy nie sú zabezpečené podľa štandardu SIEM.

1782

1. Za monitorovanie prevádzkových záznamov, ich vyhodnocovanie a vykonanie nahlásenia podozrivej aktivity **nie je jednoznačne zodpovedný **na to poverený zamestnanec prevádzkovateľa základnej služby alebo zamestnanec tretej strany, ak je jej táto činnosť zverená.

1783

1. Proces detekcie kybernetických bezpečnostných incidentov **sa nezabezpečuje **prostredníctvom nástroja na detekciu kybernetických bezpečnostných incidentov, ktorý umožňuje v rámci sietí a informačných systémov a medzi sieťami a informačnými systémami overenie a kontrolu prenášaných dát.

1784

1. Proces zberu a vyhodnocovania kybernetických bezpečnostných incidentov **sa nezabezpečuje **prostredníctvom nástroja na zber a nepretržité vyhodnocovanie kybernetických bezpečnostných udalostí.

1785

1786

Podrobne boli špecifikované požiadavky na realizáciu v rámci prieskumu trhu na realizáciu opatrení nasledovne:

== {{id name="projekt_2524_Projektovy_zamer_detailny-1.Riadeniekontinuityčinností(BCM)"/}}1. Riadenie kontinuity činností (BCM) ==

**~ **

**~ **

Vypracovanie kontinuity činností v zmysle ZoKB – riadenie kontinuity činností (BCM) v zmysle zákona č. 69/2018 Z. z. a vyhlášky 362/2018 Z. z. (§17), Kontinuita činností musí obsahovať minimálne:

1798

1799

plán kontinuity na stanovenie požiadaviek a zdrojov,

1800

1801

plán reakcie na incidenty a plány havarijnej obnovy prevádzky, scenáre udalostí s negatívnym vplyvom na činnosti organizácie, postupy zálohovania a obnovy siete a informačných systémov, politiku a ciele kontinuity,

1802

1803

metodiku analýzy funkčných dopadov,

1804

1805

stratégiu riadenia kontinuity vrátane evakuačných postupov, plán údržby a kontroly BCM.

**2.Vypracovanie analýzy funkčných dopadov a posúdenie dodávateľských vzťahov **Minimálne požiadavky na analýzu dopadov

1810

1811

1812

== {{id name="projekt_2524_Projektovy_zamer_detailny-Analýzadopadovmusí:"/}}Analýza dopadov musí: ==

**~ **

* identifikovať rôzne kategórie procesov na základe ich kritickosti a posúdiť ich vzájomné závislosti,

1817

1818

1819

* určiť potenciálne dôsledky (škody/straty) pri rôznych dobách trvania kritických situácií,

1820

1821

1822

* stanoviť maximálne akceptovateľné doby prerušenia (MTO),

1823

1824

1825

* stanoviť minimálne ciele kontinuity podnikania (MBCO),

1826

1827

1828

* určiť cieľové časy obnovy (RTO) a cieľové body obnovy (RPO),

1829

1830

1831

identifikovať potenciálne dopady vyplývajúce z možného prerušenia činností a stanoviť výšku:

1832

1833

funkčných dopadov, finančných dopadov,

1834

1835

dopadov spôsobených stratou údajov a dokumentov.

1836

1837

pripraviť také postupy a vytvoriť také podmienky, ktoré zabezpečia v prípade krízovej situácie vo vopred stanovenom rozsahu a čase návrat k fungovaniu organizácie v normálnom režime,

1838

1839

identifikovať zdroje a prostriedky na obnovu procesov so zásadným vplyvom na kontinuitu činností organizácie na základe hodnoty RTO procesu v min. tomto typovom rozsahu zdrojov:

ľudia,

aplikácie / databázy,

1844

1845

údaje uložené v elektronickej podobe (nezahrnuté v aplikáciách a databázach), údaje uložené na papierovom médiu,

1846

1847

IT a komunikačné zariadenia, komunikačné kanály,

ostatné vybavenie,

vybavenie a infraštruktúra, pracovný kapitál.

**3. SW pre riadenie a identifikáciu rizikovej analýzy a kontinuity činností a implementácia **Informačný systém pre identifikáciu a riadenie rizík musí spĺňať tieto funkčné vlastnosti:

1857

1858

správa aktív – vedenie zoznamu aktív subjektu, vrátane ich vlastníkov a hodnoty,

1859

1860

správa zraniteľností – vedenie zoznamu rozpoznaných zraniteľností, vrátane ich vlastníkov, správa hrozieb – vedenie zoznamu rozpoznaných hrozieb,

1861

1862

správa opatrení – vedenie zoznamu opatrení potrebných na ošetrenie rizík,

1863

1864

správa vzťahov – evidencia rozpoznaných vzťahov medzi aktívami a zraniteľnosťami,

1865

1866

správa rizík – identifikácia a ohodnotenie rizík na základe pravdepodobností hrozieb, uplatňovaných opatrení a dopadov na subjekt, semikvantitatívna, prípadne kvantitatívna metóda hodnotenia významnosti rizík,

1867

1868

číselné ohodnotenie pravdepodobnosti hrozieb a účinnosti opatrení, významnosť rizík vyjadrená číselne a následne kategorizovaná,

1869

1870

import aktív a hrozieb zo súboru (napr. súbor vo formáte CSV).

1871

1872

1873

Užívateľské rozhranie a výstupy musia spĺňať tieto požiadavky:

1874

1875

1876

pre interakciu s používateľom musí byť k dispozícií webové rozhranie v plnej podpore slovenského jazyka bez špeciálnych nárokov na webový prehliadač,

1877

1878

výstupy musia byť realizované vo forme prehľadov a zostáv vo formáte PDF vyhotovené v slovenskom jazyku vrátane šablón a komentárov, IS musí umožňovať riadiť prístup užívateľov k obsahu analýzy rizík.

1879

1880

Správa používateľov musí umožňovať:

1881

1882

1883

evidenciu používateľov oprávnených pristupovať k subjektom a identifikovať, manažovať ich riziká, integráciu na systémy správy používateľov aspoň na úrovni LDAP alebo MS ActiveDirectory

1884

1885

prideľovanie rolí oprávneným používateľom s rôznym stupňom oprávnení.

IS pre identifikáciu a riadenie rizík musí umožňovať vykonávať revízie a aktualizáciu analýzy rizík, riadiť riziká, aktíva, zraniteľnosti a hrozby systémom, ktorý dokumentuje históriu a je auditovateľný. IS musí byť typu klient – server nasadený na serveroch prevádzkovateľa bez závislosti na cloudových službách, aktualizáciách cez internet a inom komerčnom programovom vybavení okrem operačného systému a webového prehliadača.

1890

1891

Súčasťou dodávky je aj Implementácia SW pre riadenie a identifikáciu rizikovej analýzy a kontinuity činností +vypracovanie prvotnej analýzy rizík a šablón

1892

1893

**4.SysMon, LMS a eArchiv**

1894

1895

Účelom danej aktivity je zvýšenie úrovne výpovednej hodnoty denníkov udalostí serverovej infraštruktúry postavenej na OS Windows Server, implementácia nástroja pre centrálny zber log záznamov s funkcionalitou ako generovanie notifikácií, poskytovanie prehľadov a reportov, možnosti konfigurovania retenčných politík a funkcionality exportu zozbieraných údajov za účelom ich archivácie.

1896

1897

SysMon so skupiny nástrojov Sysinternals je efektívny nástroj vhodný pre administrátorské účely ale aj manažment bezpečnostných incidentov implementovateľný automatizovane prostredníctvom GPO. Sysmon rozširuje množinu zaznamenaných denníkov udalostí a zároveň v týchto denníkoch udalostí adresne rozširuje množinu informácií a tým významne zvyšuje ich výpovednú hodnotu. Objednávateľ plánuje nástroj nasadiť minimálne na všetky servery prevádzky základnej služby ako aj podporné systémy vybavené OS MS Windows Server.

1898

1899

LMS plánuje obstarávateľ nasadiť ako samostatný nástroj tvoriaci dátovú základňa pre zber, analýzu a archiváciu denníkov udalostí. V tejto architektúre sú log záznamy zbierané z jednotlivých zdrojov priamo do LMS. LMS automatizovane vykonáva analytické činnosti nad zozbieranými údajmi ako sú odfiltrovanie udalostí s nízkou výpovednou hodnotou, vyhodnocovanie výskytu udalostí naznačujúcich možné bezpečnostné riziko a následné notifikovanie. Ďalej LMS poskytuje funkcionality ako funkcionalita dashboardov a reportovania a funkcionalitu retenčných politík. Systém Log manažment musí poskytovať aj automatizovateľnú funkcionalitu exportu zozbieraných údajov.

Súčasťou riešenia je dlhodobé úložisko údajov zozbieraných prostredníctvom LMS vo forme služby s nasledovnými požiadavkami na funkčnosť a kompatibilitu:

1905

1906

Vytváranie a overenie elektronického podpisu pre zachovanie integrity archivovaných údajov s nižšie uvedenými požiadavkami bude zabezpečené produktom, ktorý umožňuje automatizovaným systémom vytvárať a overovať kvalifikovaný elektronický podpis a pečať v zmysle európskeho nariadenia eIDAS a platnej slovenskej legislatívy. :

1907

1908

Funkcionalita automatického vytvárania a overovania zdokonaleného elektronického podpisu a overovania kvalifikovaného elektronického podpisu a časovej pečiatky.

1909

1910

Minimálna softvérová kompatibilita s: Windows Server 2019, MS .NET framework 4.8, MS IIS 10. Kompatibilné s eID a QSCD zariadeniami s a podpora rozhraní CSP a PKCS#11.

1911

1912

Kompatibilné s: PKCS #11: Cryptographic Token Interface Standard a Microsoft Crypto API / Cryptographic Service Provider. Softvérové riešenie s súlade s Nariadením EÚ č. 910/2014 – eIDAS.

1913

1914

Podporované šifrovacie algoritmy minimálne v rozsahu: SHA-224, SHA-256, SHA-384, SHA-512 SHA3-224, SHA3-256, SHA3-384, SHA3-512, RSA, DSA, ECDSA, RIPEMD128, RIPEMD160, RIPEMD256.

1915

1916

Podporované elektronické formáty: ZIP, RAR, XML, XMLDataContainer / XML formuláre alebo formáty spracovateľné externou aplikáciou.

1917

1918

Podporované šifrovacie štandardy: X.509 Public Key Certificates, CMS Advanced Electronic Signatures, XML Advanced Electronic Signatures, Electronic Signature Policies, ASiC, ZEPf,Trust-service Status List, Dôveryhodný zoznam, Time-Stamp Protocol, OCSP.

1919

1920

Podporované formáty elektronického podpisu CAdES-BES, CAdES-EPES, CAdES-T, CAdES-X, CAdES-A CAdES-B-B, CAdES-B-T, CAdES-B- LT, CAdES-B-LTA XAdES-BES, XAdES-EPES, XAdES-T, XAdES-X, XAdES-A XAdES-B-B, XAdES-B-T, XAdES-B-LT, XAdES-B-LTA PAdES- BES, PAdES-EPES, PAdES-T, PAdES-LTV PAdES-B-B, PAdES-B-T, PAdES-B-LT, PAdES-B-LTA XAdES_ZEP s dátovými objektmi typu XML,

1921

1922

zložený elektronický podpis, Integritný podpis.

1923

1924

Súlad so štandardmi: ETSI TS 101 733, ETSI TS 103 173, ETSI TS 101 903, ETSI TS 103 171, ETSI TS 102 778, ETSI TS 103 172, ETSI TS

1925

1926

102 918, ETSI TS 103 174, ETSI TS 119 612, ETSI TR 102 272, RFC 5280, RFC 3161, RFC 6960.

1927

1928

Kompatibilné s komunikačnými štandardami: SOAP 1.2, WS-I Basic Profile 1.1, WSS SOAP Message Security 1.0, SOAP Message Transmission Optimization Mechanism.

Produkt bude dodaný ako služba s požadovanou funkcionalitou.

Archiváciu elektronicky podpísaných dokumentov s nižšie uvedenými požiadavkami bude zabezpečená produktom, ktorý rozširuje takmer ľubovoľný DMS (Document Management System) o schopnosť udržiavať dlhodobú overiteľnosť archivovaných dokumentov podpísaných kvalifikovaným elektronickým podpisom a pečaťou (QES). Riešenie je určené najmä pre stredné a veľké organizácie, ktoré potrebujú dlhodobo archivovať dokumenty podpísané kvalifikovaným elektronickým podpisom a pečaťou.

1938

1939

Funkcionalita pre zachovanie dlhodobej overiteľnosti archivovaných dokumentov podpísaných zdokonaleným elektronickým podpisom, kvalifikovaným elektronickým podpisom a časovou pečiatkou.

1940

1941

Integračné rozhranie pre DMS systémy

1942

1943

Minimálna softvérová kompatibilita s: Windows Server 2019

1944

1945

Súlad so štandardmi ETSI pre elektronický podpis a štandardmi NBÚ SR

Produkt bude dodaný ako služba s požadovanou funkcionalitou.

1950

1951

1952

== {{id name="projekt_2524_Projektovy_zamer_detailny-5.SWprezberdát200Mbps-splatnosťou12mesiacov"/}}5. SW pre zber dát 200 Mbps - s platnosťou 12 mesiacov ==

1953

1954

1955

Centralizovaný integrovaný sieťový bezpečnostný nástroj pre zber dát a aktívne sledovanie diania v lokálnej počítačovej sieti a v informačných systémoch prevádzky základnej služby Prevádzkovateľa ako aj podporných systémoch. Na monitorovaní sa budú na úrovni L1 podieľať zamestnanci IT oddelenia

1956

1957

a pre potreby úrovní L2 a L3 Prevádzkovateľ plánuje obstarať externého dodávateľa formou SLA služieb z vlastných zdrojov. Cieľom je včas rozpoznať kybernetický útok alebo náznak potencionálneho vniknutia do systémov a sietí tak, aby bolo možné útoku či zlyhaniu siete zabrániť alebo prijať opatrenia, aby sa takýmto útokom či zlyhaním minimalizovali následky. Zároveň jednotlivé útoky analyzovať a vyhodnocovať. Na základe vyššie uvedených záverov bude vybrané a do testovacej prevádzky zavedené centralizované integrované sieťové bezpečnostné softvérové vybavenie, kde Prevádzkovateľ identifikoval nasledovné minimálne funkčné požiadavky:

1958

1959

Predpokladaný objem sieťovej komunikácie na analýzu – **200Mbps**

1960

1961

Multiplatformová podpora zdrojových zariadení pre zber dátových tokov a logov Využívanie funkcionalít strojového učenia

1962

1963

Funkcionalita detekcie narušenia – IDS vrátane znalostných databáz pre IDS Korelačná funkcionalita nad zozbieranými údajmi

1964

1965

Napojenie na znalostné databázy ako databázy škodlivých IP adries a Threat Intelligence Rozšírená klasifikácia aktív a ich rolí – Tagovanie

1966

1967

Prijímanie a spracovanie log záznamov s možnosťou generovania bezpečnostných udalostí – min 150 EPS Aktívna sieťová detekcia malware, aktivít útočníka v sieti, aktivít typu C&C

1968

1969

Zaznamenávanie paketov na základe vstupných podmienok Monitorovanie interakcií v sieťach a „Lateral movement“

1970

1971

Detekcia škodlivých súborov pomocou hashovania a detekčných signatúr

1972

1973

Prevencia úniku informácií (DLP) na základe vytvárania signatúr a tagovania Možnosť vykonávania prediktívnych analýz a analýz zmien v sieti

Funkcionalita NBA

Možnosť vytvárania incidentov a ich následnej správy Notifikačná funkcionalita formou emailu

1978

1979

Interpretácia údajov formou web rozhrania (dashboard)

1980

1981

Funkcionalita generovania reportov s možnosťou definovania vlastných pravidiel Podpora integrácie s MS Active Directory

1982

1983

== {{id name="projekt_2524_Projektovy_zamer_detailny-Preocenenietohtokomponentupredpokladámepodporuzabezpečeniaprevádzkyzostranydodávateľalenpodobumax.12mesiacov.Ďalšie4rokybudezabezpečenátátoslužbavlastnýmikapacitami."/}}Pre ocenenie tohto komponentu predpokladáme podporu zabezpečenia prevádzky zo strany dodávateľa len po dobu max. 12 mesiacov. Ďalšie 4 roky bude zabezpečená táto služba vlastnými kapacitami. ==

**~ **

**~ **

**~ **

**~ **

**~ **

**6. Dodávka Fiewall-ového riešenia**

**~ **

Súčasťou dodávky riešenia sú zariadenia s nasledujúcimi parametrami :

2000

2001

2002

2ks HW Firewall pre Internet Edge vrstvu

2003

2004

2005

Zariadenie montovateľné do dátového rozvádzača, veľkosť max. 1RU , min. 1x management port, min. 8 x GE RJ45 portov, min 4x SFP, min 1 x USB 3.0 Type-A, min. 150GB interného dátového úložiska, RAM min 16GB.

2006

2007

Min. priepustnosť FW: 2 Gbps ,min. počet súčasných FW spojení: 190 000, min. počet nových spojení za sekundu: 14 000 , min. počet súčasných VPN spojení: 140, podpora IDS/IPS.

2008

2009

Priepustnosť FW + AVC IPS – min. 2 Gbps

2010

2011

Podpora/záruka od výrobcu pre výmenu zariadenia v prípade poruchy 1 rok, 24x7. SW podpora a platnosť licencií minimálne 1 rok. Výmena zariadení min. v režime 8x5.

2ks HW Firewall pre DC vrstvu

2017

2018

2019

Zariadenie montovateľné do dátového rozvádzača, veľkosť max. 1RU , min. 1x management port, min. 8 x GE RJ45 portov, min 8 x 1/10G SFP+, min 1 x USB 3.0 Type-A, min. 850GB interného dátového úložiska, RAM min 2x32GB.

2020

2021

Min. priepustnosť FW: 9 Gbps ,min. počet súčasných FW spojení: 1 400 000, min. počet nových spojení za sekundu: 80 000 , min. počet súčasných VPN spojení: 1900, podpora IDS/IPS.

2022

2023

Priepustnosť FW + AVC IPS – min. 9 Gbps, priepustnosť TLS min 3 Gbps.

2024

2025

Podpora/záruka od výrobcu pre výmenu zariadenia v prípade poruchy 1 rok, 24x7. SW podpora a platnosť licencií minimálne 1 rok. Výmena zariadení min. v režime 8x5.

2026

2027

Redundantný zdroj napájania.

== {{id name="projekt_2524_Projektovy_zamer_detailny-7.MigráciaFWavertikálnasegmentácia"/}}7. Migrácia FW a vertikálna segmentácia ==

2032

2033

2034

Obstarávateľ plánuje zavedenie nového firewallového HW a SW vybavenia v High Availability režime a v architektúre dvoch vrstiev.

2035

2036

Iniciálnym krokom je analýza prostredia súčasného firewallu, kontrola pravidiel z pohľadu ich využívania a bezpečnosti prevádzky a ich následná optimalizácia. Až po tomto kroku bude nasledovať migrácia FW pravidiel na nové firewallové vybavenie ale už v zmysle segmentovania do dvoch vrstiev.

2037

2038

Prvá vrstva bude slúžiť ako „Internet Edge“ firewall a bude vybavená NGFW funkcionalitami (URL filtrovanie, inšpekcia šifrovanej prevádzky, integrované IPS, pokročilá detekcia malwaru a funkcia Threat intelligence). Tieto funkcionality zároveň predstavujú samostatný bezpečnostný nástroj a sú hodnotným zdrojom informácií pri riešení bezpečnostných incidentov. Ďalej bude jej úlohou poskytovať služby VPN koncentrátora, poskytovať MFA autorizáciu pre používateľov VPN a budú tu ukončené DMZ a špinavé siete (typu WIFI pre hostí) tak aby došlo k ich oddeleniu od interných sietí.

2039

2040

Bežné interné siete budú ukončené na 2. vrstve firewallov (DC vrstva) bez funkcionalít NGFW a budú tu ukončené všetky ostatné interné sieťové segmenty, ktoré podľa rizikovosti nebudú ukončené na prvej vrstve firewallov. V tejto architektúre budú všetky sieťové segmenty ukončené, riadené a kontrolované firewallom.

2041

2042

== {{id name="projekt_2524_Projektovy_zamer_detailny-8.ADTiermodel(PAM)"/}}8. AD Tier model (PAM) ==

**~ **

Slúži na zvýšenie úrovne informačnej bezpečnosti rozdelením infraštruktúry Microsoft Active Directory do viacerých vrstiev podľa klasifikácie jednotlivých aktív vo vrstvách. Model definuje minimálne tri vrstvy, ktoré vytvárajú zóny na oddelenie správy rizikovejších aktív ako pracovné stanice od cenných aktív ako napr. servery prevádzky základnej služby, DB servery, radič domény a podobne. Model zároveň definuje dedikované prístupy pre privilegované účty do jednotlivých vrstiev a obmedzuje prestupy medzi vrstvami. Zabráni tak útočníkovi ktorý sa zmocnil oprávnení používateľa s nízkymi oprávneniami aby eskaloval oprávnenie pre užívateľa s vysokými privilégiami a prevzal kontrolu nad hodnotnejším aktívom. Predmetné rozdelenie infraštruktúry Microsoft Active Directory bude na základe rovnakých vstupných premenných zavedené aj na úrovni vertikálnej segmentácie siete medzi dve úrovne firewallov.

2047

2048

Tier 0 – najvyššia úroveň zahŕňa servery prevádzky základnej služby, kritické aplikačné servery, radiče domény. Tier 1 – je určená pre doménové member servery a aplikačné servery

2049

2050

Tier 2 – je určená pre koncových užívateľov pracovné stanice.

2051

2052

2053

== {{id name="projekt_2524_Projektovy_zamer_detailny-9.Zaškolenieobsluhyvpotrebnomrozsahuprevšetkykomponenty"/}}9. Zaškolenie obsluhy v potrebnom rozsahu pre všetky komponenty ==

**~ **

Predpokladaný rozsah školení vybraných pracovníkov v počte max.5 počas min. 5 dní ( 40 hodín )

2058

2059

2060

== {{id name="projekt_2524_Projektovy_zamer_detailny-3.6Rizikáazávislosti"/}}3.6 Riziká a závislosti ==

2061

2062

Zoznam rizík a závislostí je detailne rozpracovaný v prílohe tohto dokumentu č. 1: Zoznam rizík a závislostí. Tento zoznam bude počas celej realizácie projektu aktualizovaný.

2063

2064

2065

== {{id name="projekt_2524_Projektovy_zamer_detailny-3.7Stanoveniealternatívvbiznisovejvrstvearchitektúry"/}}3.7 Stanovenie alternatív v biznisovej vrstve architektúry ==

2066

2067

V rámci biznisovej vrstvy architektúry sme porovnávali 3 variantné alternatívy riešenia súčasného stavu. Na základe identifikovaného rozsahu problému v projektovom zámere boli stanovené tri rôzne riešenia. Ako najefektívnejšia bola vybraná Alternatíva č. 3, taká, kt. pokrýva procesy a výsledky auditu KB a celú problematiku KB komplexne.

2068

2069

2070

== {{id name="projekt_2524_Projektovy_zamer_detailny-Alternatíva1-Ponechaniesúčasnéhostavu"/}}Alternatíva 1 - Ponechanie súčasného stavu ==

**~ **

Prvou alternatívou je ponechanie existujúceho stavu ochrany informačných systémov a ochranu informácií v súčasnom prostredí MLM a prevádzkovaných informačných systémov a zabezpečenie kybernetickej bezpečnosti ponechať v riešení existujúcich zmlúv SLA a interných kapacít MLM. Zachovanie pôvodného stavu nezabezpečí povinnosť ochrany informácií a informačných aktív a je v plnom rozpore s povinnosťami vyplývajúcimi zo zákona č.69/2018

2075

2076

Z.z. o KB. Rovnako dôjde k obmedzenému odstráneniu negatívnych zistení výsledkov auditu, dôsledkom čoho dôjde aj k podstatnému zvýšeniu rizika pre vznik bezpečnostných incidentov bez ich prípadnej včasnej eliminácie.

== {{id name="projekt_2524_Projektovy_zamer_detailny-Alternatíva2–ImplementáciaopatrenívzmyslezisteníaudituKBvpodmienkaMLMsplnýmexternýmzabezpečenímslužiebdohľadovéhocentra"/}}Alternatíva 2 – Implementácia opatrení v zmysle zistení auditu KB v podmienka MLM s plným externým zabezpečením služieb dohľadového centra ==

**~ **

Táto alternatíva predstavuje komplexné a systémové riešenie voči kybernetickým útokom resp. voči politicky motivovaným kampaniam. Zabezpečí zavedenie systémových opatrení a zároveň vytvorí predpoklady pre včasné reakcie na kybernetické útoky a hrozby. Realizáciou tohoto opatrenia sa zabezpečí systémové riešenie reakcie na kybernetické útoky a naplnia sa zákonom stanovené úlohy v oblasti kybernetickej bezpečnosti. Realizáciou tejto alternatívy dôjde k naplneniu predpokladov pre odstráneniu negatívnych zistení výsledkov auditu KB v podmienka MLM.

Hlavné prínosy tejto alternatívy predstavuje:

2089

2090

2091

* technické vybavenie, ktorým sa zabezpečí zvýšenie viditeľnosti a kvality zbieraných a vyhodnocovaných informácií z informačných systémov, zvýšenie miery automatizácie a rozsahu procesov životného cyklu kybernetických incidentov a s tým spojené zníženie chybovosti ľudského faktoru.

2092

2093

2094

* personálne zabezpečenie je riešené externe na základe zmluvy SLA po implementácii projektu, čím sa zvýši spôsobilosť.

2095

* procesná spôsobilosť zabezpečená vytvorením detailných postupov práce a dokumentácie, čím sa zabezpečí automatizácia a zníži chybovosť ľudského

2096

2097

2098

== {{id name="projekt_2524_Projektovy_zamer_detailny-Alternatíva3–ImplementáciaopatrenívzmyslezisteníaudituKBvpodmienkaMLMsexternýmzabezpečenímslužiebdohľadovéhocentrapočastestovacejprevádzkyanáslednýmprechodomzabezpečeniaslužiebdohľadovéhocentravlastnýmikapacitami"/}}Alternatíva 3 – Implementácia opatrení v zmysle zistení auditu KB v podmienka MLM s externým zabezpečením služieb dohľadového centra počas testovacej prevádzky a následným prechodom zabezpečenia služieb dohľadového centra vlastnými kapacitami ==

2099

2100

Táto alternatíva predstavuje komplexné a systémové riešenie voči kybernetickým útokom resp. voči politicky motivovaným kampaniam. Zabezpečí zavedenie systémových opatrení a zároveň vytvorí predpoklady pre včasné reakcie na kybernetické útoky a hrozby. Realizáciou tohoto opatrenia sa zabezpečí systémové riešenie reakcie na kybernetické útoky a naplnia sa zákonom stanovené úlohy v oblasti kybernetickej bezpečnosti. Realizáciou tejto alternatívy dôjde k naplneniu predpokladov pre odstráneniu negatívnych zistení výsledkov auditu KB v podmienka MLM.

2101

2102

Hlavné prínosy tejto alternatívy predstavuje:

2103

2104

2105

* technické vybavenie, ktorým sa zabezpečí zvýšenie viditeľnosti a kvality zbieraných a vyhodnocovaných informácií z informačných systémov, zvýšenie miery automatizácie a rozsahu procesov životného cyklu kybernetických incidentov a s tým spojené zníženie chybovosti ľudského faktoru.

2106

* personálne zabezpečenie je riešené externe len počas implementácie projektu, čím sa zvýši spôsobilosť a následne sa ušetria finančné prostriedky nakoľko bude minimalizované využívanie externých kapacít poskytovaných tretími stranami.

2107

* procesná spôsobilosť zabezpečená vytvorením detailných postupov práce a dokumentácie, čím sa zabezpečí automatizácia a zníži chybovosť ľudského

2108

2109

2110

== {{id name="projekt_2524_Projektovy_zamer_detailny-3.8Multikriteriálnaanalýza"/}}3.8 Multikriteriálna analýza ==

2111

2112

Výber alternatív prebieha prostredníctvom MCA zostavenej na základe kapitoly Motivácia a rozsah projektu, ktorá obsahuje ciele MLM, jeho požiadavky a obmedzenia pre dosiahnutie uvedených cieľov.

2113

2114

Niektoré (nie všetky) kritériá, môžu byť označené ako KO kritériá. KO kritériá označujú biznis požiadavky na riešenie, ktoré sú z hľadiska rozsahu identifikovaného problému a motivácie nevyhnutné pre riešenie problému a všetky akceptovateľné alternatívy ich tak musia naplniť. Alternatívy, ktoré nesplnia všetky KO kritériá, môžu byť vylúčené z ďalšieho posudzovania. KO kritériá nesmú byť technologické (preferovať jednu formu technologickej implementácie voči druhej)

Kritériá pre MCA

|(((

)))|(((

KRITÉRIUM

)))|(((

ZDÔVODNENIE KRIÉRIA

)))|(((

OBČAN/ PODNIK ATEĽ

)))|(((

Prac ovník MLM

)))|(((

Samo správa MLM

)))

|(((

Biznis vrstva

)))|(((

Kritérium A (KO) Kvalitnejšie a rýchlejšie riadenie kybernetickej bezpečnosti,

2135

)))|(((

2136

Nový systém by mal výrazne skvalitniť poskytovanie služieb kybernetickej ochrany pre IS v MLM.

)))|(((

X

)))|(((

X

)))|(((

X

)))

|(% rowspan="2" %)(((

2145

Stanove né alternatí vy

2146

)))|(((

2147

Monitorovanie kritických informačných systémov

)))|(((

)))|(((

)))|(((

)))|(((

)))

|(((

Kritérium B (KO)

)))|(((

Automatizácia výkonu

)))|(((

X

)))|(((

X

)))|(((

X

)))

|(((

)))|(((

Zníženie administratívnej náročnosti a zvýšenie efektívnosti detekcie bezpečnostných incidentov.

2172

)))|(((

2173

administratívnej náročnosti a zvýšenie efektívnosti detekcie bezpečnostných incidentov.

)))|(((

)))|(((

)))|(((

)))

|(((

)))|(((

Kritérium C (KO)

Zber štruktúrovaných údajov o stave kybernetickej bezpečnosti IS.

2188

)))|(((

2189

Kvalitné a efektívne riadenie kybernetickej bezpečnosti sa dá zabezpečiť iba pomocou monitoringu štruktúrovaných informácií na základe ktorých sa dajú prijímať rýchle a kvalifikované rozhodnutia.

)))|(((

X

)))|(((

X

)))|(((

X

)))

|(((

)))|(((

Kritérium D (KO)

)))|(((

Úspora finančných nákladov počas prevádzky nasadených opatrení

)))|(((

)))|(((

)))|(((

X

)))

Vyhodnotenie MCA

|(((

Zo zn am krit érií

)))|(((

Al te rn at íva

)))|(((

Spôsob dosiahnutia

)))|(((

Alt er na tív a 2

)))|(((

Spôsob dosiahnutia

)))|(((

Alt er na tív a 3

)))|(((

Spôsob dosiahnutia

)))

|(((

)))|(((

1

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))

|(((

Krit éri um A

)))|(((

nie

)))|(((

alternatíva 1 je zachovanie súčasného stavu bez realizácie projektu

)))|(((

áno

)))|(((

Implementáciou alternatívy 2 sa zabezpečí kvalitnejšie a rýchlejšie riadenie kybernetickej bezpečnosti, Monitorovanie kritických informačných systémov.

)))|(((

áno

)))|(((

Implementáciou alternatívy 3 sa zabezpečí kvalitnejšie a rýchlejšie riadenie kybernetickej bezpečnosti.

2259

2260

Monitorovanie kritických informačných systémov.

)))

|(((

Krit éri um B

)))|(((

nie

)))|(((

alternatíva 1 je zachovanie súčasného stavu bez realizácie projektu

)))|(((

áno

)))|(((

Implementácia alternatívy 2 sa zabezpečí zníženie administratívnej náročnosti a zvýšenie efektívnosti detekcie bezpečnostných incidentov.

)))|(((

áno

)))|(((

Implementácia alternatívy 3 sa zabezpečí zníženie administratívnej náročnosti a zvýšenie efektívnosti detekcie bezpečnostných incidentov.

)))

|(((

Krit éri um C

)))|(((

nie

)))|(((

alternatíva 1 je zachovanie súčasného stavu bez realizácie projektu

)))|(((

áno

)))|(((

Implementáciou alternatívy 2 monitoringu

2287

2288

2289

štruktúrovaných informácií bude možné prijímať rýchle a kvalifikované rozhodnutia.

)))|(((

áno

)))|(((

Implementáciou alternatívy 3 monitoringu

2294

2295

2296

štruktúrovaných informácií bude možné prijímať rýchle a kvalifikované rozhodnutia.

)))

|(((

Krit éri um D

)))|(((

nie

)))|(((

alternatíva 1 je zachovanie súčasného stavu bez realizácie projektu

)))|(((

áno

)))|(((

Poskytnutím externých služieb dohľadového centra dôjde k výraznému navýšeniu finančných prostriedkov MLM vynaložených pre tretie strany k zabezpečeniu prevádzky implementovaných opatrení

)))|(((

nie

)))|(((

Zabezpečením služieb dohľadového centra internými kapacitami nedôjde výraznému navýšeniu finančných prostriedkov MLM k zabezpečeniu prevádzky implementovaných opatrení

2312

)))

2313

2314

Na základe vyhodnotenia MCA analýzy vychádza Alternatíva 2 ako jediná, ktorá spĺňa všetky požiadavky.

2315

2316

2317

== {{id name="projekt_2524_Projektovy_zamer_detailny-3.9Stanoveniealternatívvaplikačnejvrstvearchitektúry"/}}3.9 Stanovenie alternatív v aplikačnej vrstve architektúry ==

**~ **

Alternatívy na úrovni aplikačnej architektúry reflektujú alternatívy vypracované na základe „nadradenej" architektonickej biznis vrstvy, pričom vďaka uplatneniu nasledujúcich princípov aplikačná vrstva architektúry dopĺňa informácie k alternatívam stanoveným pomocou biznis architektúry. Ako najvýhodnejšiu z danej analýzy považujeme Alternatívu 2. Výber Aplikačnej architektúry reflektuje výber nadradenej biznis architektúry.

2322

2323

== {{id name="projekt_2524_Projektovy_zamer_detailny-3.10Stanoveniealternatívvtechnologickejvrstvearchitektúry"/}}3.10 Stanovenie alternatív v technologickej vrstve architektúry ==

2324

2325

**~ **Výber alternatívy na úrovni technologickej a bezpečnostnej vrstvy architektúry kopíruje výber alternatívy č. 2 na základe MCA. Riešenie bude prevádzkované čiastočne na HW infraštruktúre MLM a čiastočne na dodanej novej HW infraštruktúre a s úspešným uchádzačom bude podpísaná zmluva o dielo.

2326

2327

2328

= {{id name="projekt_2524_Projektovy_zamer_detailny-4.POŽADOVANÉVÝSTUPY(PRODUKTPROJEKTU)"/}}4. POŽADOVANÉ VÝSTUPY (PRODUKT PROJEKTU) =

**~ **

Výstupom projektu je funkčný, stabilný, efektívny, bezpečný systém, ktorý sa dosiahne doplnením SW a HW infraštruktúry. Zabezpečenie zavedenia systémových opatrení a zároveň vytvorenie predpokladov pre včasné reakcie na kybernetické útoky a hrozby. Realizáciou týchto opatrenia sa zabezpečí systémové riešenie reakcie na kybernetické útoky a naplnia sa zákonom stanovené úlohy v oblasti kybernetickej bezpečnosti. Realizáciou tohto projektu dôjde k naplneniu predpokladov pre odstráneniu negatívnych zistení výsledkov auditu KB v podmienka MLM.

2333

2334

Výstupom bude aj dodanie dokumentácie, inštalačnej príručky a pokynov na inštaláciu (úvodnú/opakovanú), prevádzkový opis a pokyny pre servis, údržbu a diagnostiku, pokyny na obnovu pri výpadku alebo havárii (BCM).

2335

2336

2337

Realizácia projektu bude v zmysle vyhlášky ÚPVII č. 85/2020 Z. z. pozostávať z uvedených etáp: Analýza a dizajn,

2338

2339

Nákup technických prostriedkov, programových prostriedkov a služieb Implementácia a testovanie,

Nasadenie

|(((

**Etapa**

)))|(((

**Požadované výstupy**

)))

|(((

**Analýza a dizajn**

)))|(((

**Úvodná správa (Projektový iniciálny dokument, ďalej ako „PID“) pre všetky funkčné oblasti**

- Zoznam požiadaviek

- Akceptačné kritériá

2360

2361

2362

- Rámcová špecifikácia riešenia (Popis produktu,

2363

2364

2365

- Technologická architektúra – časť systémová architektúra

2366

2367

2368

- Bezpečnostná architektúra

2369

2370

2371

- Stratégia testovania

- Plán testovania

- Testovacie scenáre a prípady **Detailná funkčná špecifikácia riešenia**

2378

2379

- detailný popis funkcionality a biznis požiadaviek,

2380

2381

2382

**Detailná technická špecifikácia, pre všetky systémy samostatne**

2383

2384

2385

- technická architektúra – časť fyzická architektúra

- Plán testovania

- Testovacie scenáre a prípady

- Plán Implementácie

)))

|(((

**Implementácia a testovanie**

)))|(((

**Implementácia:**

)))

|(((

)))|(((

- Implementácia a integrácia systémov pre všetky funkčné oblasti samostatne

)))

|(((

)))|(((

- Úvodná konfigurácia systému podľa reálnych biznis procesov pre testovacie účely

)))

|(((

)))|(((

- Vybudovanie testovacieho prostredia, jeho nasadenie a oživenie diela pre všetky systémy a pre všetky funkčné oblasti samostatne

)))

|(((

)))|(((

- Implementácia procesov

)))

|(((

)))|(((

**Testovanie:**

)))

|(((

)))|(((

**Zrealizovanie testovania minimálne v nasledovnom rozsahu:**

)))

|(((

)))|(((

- Funkčné testy

)))

|(((

)))|(((

- Bezpečnostné testy

)))

|(((

)))|(((

- Záťažové testy

)))

|(((

)))|(((

- Používateľské akceptačné testovanie

)))

|(((

**Nasadenie**

)))|(((

**Nasadenie do produkcie:**

2455

2456

2457

- Príprava produkčného prostredia

2458

2459

2460

- Administratívna príprava produkčného prostredia (procesy, dokumentácia)

2461

2462

2463

- Inštalácia riešenia do produkčného prostredia

2464

2465

2466

- Sprístupnenie riešenia v produkčnom prostredí vybraným používateľom

2467

)))

2468

2469

= {{id name="projekt_2524_Projektovy_zamer_detailny-5.NÁHĽADARCHITEKTÚRY"/}}5. NÁHĽAD ARCHITEKTÚRY =

**~ **

Za účelom zvýšenia úrovne zavedených postupov a opatrení týkajúcich sa kybernetickej a informačnej bezpečnosti (KIB) v MLM je potrebné konsolidovať existujúcu bezpečnostnú architektúru a dobudovať dohľadovú službu, implementáciou nových a inováciou existujúcich bezpečnostných nástrojov a procesov, a to najmä v nasledovných oblastiach:

2474

2475

kybernetická ochrana a bezpečnostný monitoring a identifikácia bezpečnostných incidentov,

2476

2477

riadenie bezpečnostných incidentov, ochrana proti externým hrozbám,

2478

2479

ochrana dát, dátových prenosov a komunikácie, zvyšovanie bezpečnostného povedomia,

2480

2481

implementácia bezpečnostných opatrení na zabezpečenie súladu so zákonom a výsledkami auditu KB

2482

2483

2484

Služby a funkcie uvedené v tejto kapitole poskytujú z dôvodu, že sa jedná o projekt kybernetickej bezpečnosti len základné informácie a základný architektonický rámec riešenia, ktoré by malo byť implementované projektom. Budúce riešenie zabezpečenia informačnej a kybernetickej bezpečnosti sa bude skladať najmä z nasledovných funkcií:

2485

2486

**Kybernetická ochrana a detekcia škodlivých aktivít a bezpečnostných incidentov: **Bezpečnostný monitoring IS, platforiem, aplikácií a používateľských činností a aktivít. Monitoring sietí, monitoring činností a aktivít privilegovaných používateľov.

2487

2488

**Riadenie bezpečnostných incidentov: **Identifikácia a hlásenie bezpečnostných incidentov, registrácia, kategorizácia a klasifikácia bezpečnostných incidentov. Akceptácia bezpečnostných incidentov a určenie riešiteľov. Analýza a vyšetrovanie bezpečnostných incidentov a zber dôkazov.

2489

2490

Riešenie bezpečnostných incidentov a obnova prevádzky, uzatvorenie bezpečnostných incidentov, vyhodnotenie bezpečnostných incidentov, zavedenie do KB DB, spätná väzba a poučenie sa z bezpečnostného incidentu.

2491

2492

**Zvýšenie ochrany pred útokmi z externého prostredia: **Ochrana pred malware a ransomware, manažment bezpečnosti sietí, manažment bezpečnostných konfigurácií (implementácia systému pre jednotnú správu a deployment bezpečnostných politík a bezpečnostných konfigurácií).

2493

2494

**Ochrana dát, dátových prenosov a komunikácie: **Bezpečnosť virtualizovaných prostredí, ochrana dát na úrovni databáz a dátových úložísk, ochrana dát na úrovni koncových zariadení. Riadenie SW záplat (Patch management), manažment zraniteľností.

2495

2496

**Zvýšenie ochrany pred útokmi z externého prostredia: **Ochrana pred malware a ransomware. Manažment bezpečnosti sietí, manažment bezpečnostných konfigurácií.

2497

2498

2499

Aktuálna schéma riešenia :

2500

2501

[[image:attach:image-2024-4-30_15-36-15.png||height="400"]]

2502

2503

2504

== {{id name="projekt_2524_Projektovy_zamer_detailny-Jednotlivéfunkciebudúzabezpečovaťnasledujúcekomponentyarchitektúryriešenia:"/}}Jednotlivé funkcie budú zabezpečovať nasledujúce komponenty architektúry riešenia: ==

|(((

)))

|(((

)))|(((

)))

**~ **__Zoznam jednotlivých komponentov projektu__ __:__

2516

2517

2518

1. __Riadenie kontinuity činností (BCM)__

2519

1. __Vypracovanie analýzy funkčných dopadov a posúdenie dodávateľských vzťahov__

2520

1. __SW pre riadenie a identifikáciu rizikovej analýzy a kontinuity činností + implementácia__

2521

1. __SW pre LMS a eArchiv SW + implementácia__

2522

1. __SW nástroj pre zber dát 200 Mbps + implementácia__

2523

1. __Dodávka Firewall - ového riešenia__

2524

1. __Migrácia FW a vertikálna segmentácia siete__

2525

1. __AD Tier model (PAM)__

2526

1. __Základné školenie obsluhy__

2527

2528

__Stručný popis komponentov, ktoré sú predmetom projektu__ __:__

2529

2530

1. __Riadenie kontinuity činností (BCM)__

2531

2532

2533

* Vypracovanie kontinuity činností v zmysle ZoKB – riadenie kontinuity činností (BCM) v zmysle zákona č. 69/2018 z. a vyhlášky 362/2018 Z. z. (§17), v rovine riadenia, revízie a aktualizácie potrebnej dokumentácie v súvislosti s implementovanými opatreniami KB. Kontinuita činností musí obsahovať minimálne:

2534

2535

plán kontinuity na stanovenie požiadaviek a zdrojov,

2536

2537

plán reakcie na incidenty a plány havarijnej obnovy prevádzky, scenáre udalostí s negatívnym vplyvom na činnosti organizácie, postupy zálohovania a obnovy siete a informačných systémov, politiku a ciele kontinuity,

2538

2539

metodiku analýzy funkčných dopadov,

2540

2541

stratégiu riadenia kontinuity vrátane evakuačných postupov, plán údržby a kontroly BCM.

2542

2543

2. Vypracovanie analýzy funkčných dopadov a posúdenie dodávateľských vzťahov

2544

2545

*

2546

** Identifikácia rôznych kategórií procesov na základe ich kritickosti a posúdiť ich vzájomné závislosti,

2547

2548

2549

* Určenie potenciálnych dôsledkov (škody/straty) pri rôznych dobách trvania kritických situácií,

2550

* Identifikácia potenciálne dopady vyplývajúce z možného prerušenia činností a stanoviť výšku: funkčných dopadov,

finančných dopadov,

dopadov spôsobených stratou údajov a dokumentov.

2555

2556

Príprava takých postupov a vytvorenie takých podmienok, ktoré zabezpečia v prípade krízovej situácie vo vopred stanovenom rozsahu a čase návrat k fungovaniu organizácie v normálnom režime,

2557

2558

3. SW pre riadenie a identifikáciu rizikovej analýzy a kontinuity činností

2559

2560

*

2561

** časovo neobmedzená licencia pre neobmedzený počet používateľov,

2562

2563

-vrátane implementácia SW pre riadenie a identifikáciu rizikovej analýzy a kontinuity činností +vypracovanie prvotnej analýzy rizík a šablón. SW pre identifikáciu a riadenie rizík musí umožňovať vykonávať revízie a aktualizáciu analýzy rizík, riadiť riziká, aktíva, zraniteľnosti a hrozby systémom, ktorý dokumentuje históriu a je auditovateľný. SW musí byť typu klient – server nasadený na serveroch prevádzkovateľa bez závislosti na cloudových službách, aktualizáciách cez internet a inom komerčnom programovom vybavení okrem operačného systému a webového prehliadača.

2564

2565

__4. SW pre LMS a eArchiv SW__

2566

2567

vrátane implementácie komponenty SysMon bude zabezpečené zvýšenie úrovne výpovednej hodnoty log záznamov serverov s OS Windows Server, čím dôjde k zjednodušeniu a zrýchleniu manažmentu incidentov. Úlohou komponentu LMS je poskytnúť funkcionalitu centrálneho úložiska log záznamom a zároveň umožní vykonávať nad zozbieranými údajmi vyhodnocovacie a notifikačné funkcionality za účelom včasnej notifikácie administrátorov o možnom vzniku incidentu. Komponent eArchív spracuje výstupy LMS, elektronicky ich podpisuje (vrátane časovej pečate), archivuje a umožňuje aplikovať retenčné politiky.

2568

2569

__5.SW nástroj pre zber dát 200 Mbps__

2570

2571

*

2572

** platnosť licencie minimálne 12 mesiacov,

2573

** vrátane implementácie, konfigurácie, ladenie SW nástroja pre zber dát

2574

2575

2576

Implementáciou Software - ového nástroja pre zber dát bude zabezpečené aktívne sledovanie diania na sieti a v informačných systémoch prevádzky základnej služby Prevádzkovateľa ako aj podporných systémoch. Na monitorovaní sa môžu podieľať aj zamestnanci IT oddelenia. Cieľom je včas rozpoznať kybernetický útok alebo náznak potencionálneho vniknutia do systémov a sietí tak, aby bolo možné útoku či zlyhaniu siete zabrániť alebo prijať opatrenia, aby sa takýmto útokom či zlyhaním minimalizovali následky. Zároveň umožňuje jednotlivé útoky analyzovať a vyhodnocovať.

2577

2578

__6. Dodávka Firewall - ového riešenia__

2579

2580

1.

2581

1*. zabezpečenie ochrany dátovej infraštruktúry vstupnou bránou, ktorá zabezpečí monitorovanie a filtrovanie prichádzajúcej či odchádzajúcej sieťovej komunikácie na základe vopred stanovených bezpečnostných zásad organizácie. Brána firewall predstavuje bariéru medzi dôveryhodnou a nedôveryhodnou sieťou, akou je napríklad internet. Implementácia dvoch úrovní FW umožní realizovať vertikálnu segmentáciu siete s ukončením segmentov na firewalloch podľa ich kategorizácie a zároveň umožní optimalizáciu nákladov na udržateľnosť.

2582

2583

__7. Migracia FW a vertikálna segmentácia siete__

2584

2585

Migrácia FireWall-ov a doplnenie NGFW funkcionalít predstavuje začlenenie nových prvkov dátovej infraštruktúry do existujúcej dátovej infraštruktúry s definovaním nových pravidiel komunikácie a ochrany. Vertikálna segmentácia počítačovej siete je potrebná ako prvok rozvoja informačnej bezpečnosti a riadenia prístupu. Rozdeľuje virtuálne segmenty podľa ich kategorizácie medzi jednotlivé vrstvy firewallov. Tento prístup umožňuje riadiť dátové toky prevádzky medzi podsieťami na základe podrobných pravidiel. Zavedenie vertikálnych virtuálnych segmentov siete zlepšuje možnosti monitorovania sieťovej komunikácie, zvýšenie výkonu, lokalizáciu technických problémov ako aj zvýšenie úrovne informačnej bezpečnosti. Segmentácia siete mitiguje možnosti neoprávneným používateľom alebo útočníkom v získaní prístupu k digitálnemu vlastníctvu.

2586

2587

__8. AD Tier model (PAM)__

2588

2589

Model Active Directory vrstiev vytvára delenie informačného systému a používateľských a administrátorských účtov na základe toho, aké zdroje spravujú. Administrátori s kontrolou nad užívateľskými pracovnými stanicami sú oddelení od tých, ktorí riadia aplikácie alebo spravujú servery prevádzky základnej služby. Implementuje sa obmedzenie prístupu podľa úrovní, so zabezpečením, aby vysoko privilegované účty nemali prístup k menej bezpečným zdrojom. Tento princíp vhodne dopĺňa segmentáciu siete a zároveň predstavuje ďalší stupeň ochrany pred napr. útokom typu ransomware."

2590

2591

__ 9.Základné školenie v potrebnom rozsahu na implementované opatrenia__

2592

2593

Potreba jednotlivých komponentov cieľovej architektúry vychádza z výsledkov auditu KB a potreby naplnenia legislatívnych požiadaviek. Jednotlivé komponenty architektúry sú bližšie popísané v dokumente ŽoNFP, kde je uvedená podrobnejšia technická špecifikácia a požiadavky na jednotlivé komponenty, spoločne s motiváciou, odôvodnením a účelom týchto komponentov.

2594

2595

= {{id name="projekt_2524_Projektovy_zamer_detailny-6.LEGISLATÍVA"/}}6. LEGISLATÍVA =

**~ **

Projekt nepredpokladá potrebu legislatívnych zmien pre naplnenie cieľov a dodanie výstupov projektu. V tejto kapitole sú vymenované legislatívne normy, ktoré sa týkajú informačných systémov verejnej správy a agendy Národného centra zdravotníckych informácií. Zoznam neobsahuje usmernenia a technické predpisy. Zoznam legislatívnych noriem v tomto dokumente iba orientačný.

2600

2601

Zákon Národnej rady Slovenskej republiky č. 145/1995 Z. z. o správnych poplatkoch v znení neskorších predpisov, Zákon č. 71/1967 Zb. o správnom konaní (správny poriadok) v znení neskorších predpisov.

2602

2603

Zákony a vyhlášky týkajúce sa eGovernmentu:

2604

2605

2606

Zákon č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov v znení neskorších predpisov Zákon č. 343/2015 Z. z. o verejnom obstarávaní a o zmene a doplnení niektorých zákonov v znení neskorších predpisov Zákon č. 357/2015 Z. z. o finančnej kontrole a audite a o zmene a doplnení niektorých zákonov v znení neskorších predpisov Zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe

2607

2608

Vyhláška ÚPVII č. 78/2020 Z. z. o štandardoch pre informačné technológie verejnej správy Zákon č. 540/2001 Z. z. o štátnej štatistike

2609

2610

Zákon č. 211/2000 Z. z. o slobodnom prístupe k informáciám (zákon o slobode informácií)

2611

2612

2613

Zákon č. 177/2018 Z. z. o niektorých opatreniach na znižovanie administratívnej záťaže využívaním informačných systémov verejnej správy a o zmene a doplnení niektorých zákonov (zákon proti byrokracii)

2614

2615

Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti Vyhláška ÚPVII č. 85/2020 Z. z. o riadení projektov

2616

2617

Zákon č. 275/2006 Z. z. o informačných systémoch verejnej správy,

2618

2619

2620

Výnos č. 55/2014 Z. z. o štandardoch pre informačné systémy verejnej správy,

2621

2622

2623

Výnos č. 478/2010 Z. z. o základnom číselníku úsekov verejnej správy a agend verejnej správy,

2624

2625

2626

Zákon č. 305/2013 Z. z. o elektronickej podobe výkonu pôsobnosti orgánov verejnej moci a o zmene a doplnení niektorých zákonov (zákon o e- Governmente),

2627

2628

Vyhláška MF SR č. 275/2014 Z. z. o zaručenej konverzii. Zákon č. 215/2002 Z. z. o elektronickom podpise,

2629

2630

Výnos MV SR č. 525/2011 Z. z. o štandardoch pre elektronické informačné systémy na správu registratúry, Zákon č. 125/2015 Z. z. o registri adries a o zmene a doplnení niektorých zákonov,

2631

2632

Metodika Jednotný dizajn manuál elektronických služieb verejnej správy (dostupným na [[https:~~/~~/www.mirri.gov.sk/sekcie/oddelenie-behavioralnych-inovacii>>url:https://www.mirri.gov.sk/sekcie/oddelenie-behavioralnych-inovacii/jednotny-dizajn-manual-elektornickych-sluzieb-verejnej-spravy/index.html||shape="rect"]]

2633

2634

[[/jednotny-dizajn-manual-elektornickych-sluzieb-verejnej-spravy/index.html>>url:https://www.mirri.gov.sk/sekcie/oddelenie-behavioralnych-inovacii/jednotny-dizajn-manual-elektornickych-sluzieb-verejnej-spravy/index.html||shape="rect"]] )

2635

2636

2637

Metodické pokyny, usmernenia a príručky zverejnené na [[https:~~/~~/metais.vicepremier.gov.sk/help>>url:https://metais.vicepremier.gov.sk/help||shape="rect"]].

2638

2639

2640

Pri tvorbe, vývoji a implementácii diela dodržiavať bezpečnostné požiadavky špecifikované v Metodike pre systematické zabezpečenie organizácií verejnej správy v oblasti informačnej bezpečnosti (dostupná na [[https:~~/~~/www.csirt.gov.sk/wp-content/uploads/2021/08/MetodikaZabezpeceniaIKT_v2.1.pdf?>>url:https://www.csirt.gov.sk/wp-content/uploads/2021/08/MetodikaZabezpeceniaIKT_v2.1.pdf?csrt=3181741314547744407||shape="rect"]] [[csrt=3181741314547744407>>url:https://www.csirt.gov.sk/wp-content/uploads/2021/08/MetodikaZabezpeceniaIKT_v2.1.pdf?csrt=3181741314547744407||shape="rect"]] ),

2641

2642

Vyhláška Ministerstva investícií, regionálneho rozvoja a informatizácie Slovenskej republiky č. 546/2021 Z. z., ktorou sa mení a dopĺňa vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 78/2020 Z. z. o štandardoch pre informačné technológie verejnej správy v znení neskorších predpisov

2643

2644

Vyhláška Ministerstva investícií, regionálneho rozvoja a informatizácie Slovenskej republiky č. 547/2021 Z. z. o elektronizácii agendy verejnej správy

2645

2646

2647

Vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 179/2020 Z. z. ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy

2648

2649

2650

== {{id name="projekt_2524_Projektovy_zamer_detailny-7.HARMONOGRAMJEDNOTLIVÝCHFÁZPROJEKTUaMETÓDAJEHORIADENIA"/}}7. HARMONOGRAM JEDNOTLIVÝCH FÁZ PROJEKTU a METÓDA JEHO RIADENIA ==

|(((

ID

)))|(((

FÁZA/AKTIVITA

)))|(((

ZAČIATOK

**~ **

(odhad termínu)

)))|(((

KONIEC

**~ **

(odhad termínu)

)))|(((

POZNÁMKA

)))

|(((

1.

)))|(((

Prípravná fáza a Iniciačná fáza

)))|(((

9/2024

)))|(((

12/2024

)))|(((

Podpísanie zmluvy o NFP

**~ **

Spustenie procesov VO

)))

|(((

2.

)))|(((

Realizačná fáza

)))|(((

04/2025

)))|(((

10/2025

)))|(((

Podpísanie zmlúv s dodávateľmi po ukončení VO

)))

|(((

2a

)))|(((

Analýza a Dizajn

)))|(((

04/2025

)))|(((

05/2025

)))|(((

)))

|(((

2b

)))|(((

Nákup technických prostriedkov, programových prostriedkov a služieb

)))|(((

04/2025

)))|(((

08/2025

)))|(((

)))

|(((

2c

)))|(((

Implementácia a testovanie

)))|(((

08/2025

)))|(((

10/2025

)))|(((

Min. 2 mesiace test. prevádzky dohľadového centra

)))

|(((

2d

)))|(((

Nasadenie opatrení

)))|(((

10/2025

)))|(((

11/2025

)))|(((

)))

|(((

3.

)))|(((

Dokončovacia fáza

)))|(((

11/2025

)))|(((

12/2025

)))|(((

)))

|(((

4.

)))|(((

Podpora prevádzky (SLA)

)))|(((

01/2026

)))|(((

01/2031

)))|(((

Možnosť obstarania SLA zmluvy pre dohľadové centrum (udržateľnosť projektu)

2763

)))

2764

2765

Ako metóda riadenia projektu bude použitá metóda „Waterall“. Táto metóda sa ukázala byť ako najvhodnejšia nakoľko svojimi charakteristikami a možnosťami plne zodpovedá požiadavkám a predstavám MLM.

2766

2767

Schéma metódy projektového riadenia:

2768

2769

2770

[[image:attach:image-2024-4-30_15-40-32.png||height="400"]]

2771

2772

2773

= {{id name="projekt_2524_Projektovy_zamer_detailny-8.ROZPOČETAPRÍNOSY"/}}8. ROZPOČET A PRÍNOSY =

2774

2775

== {{id name="projekt_2524_Projektovy_zamer_detailny-Vuvedenomprojektevychádzamepristanovenírozpočtuzprieskumutrhuapravidielstanovenýchvýzvou.Sohľadomnarozpočetprojektu(projektdo1000000,00,-EUR)nebolaspracovanáAnalýzanákladovaprínosov."/}}V uvedenom projekte vychádzame pri stanovení rozpočtu z prieskumu trhu a pravidiel stanovených výzvou. S ohľadom na rozpočet projektu (projekt do 1 000 000,00,- EUR) nebola spracovaná Analýza nákladov a prínosov. ==

|(((

Náklady

)))|(((

Riadenie kontinuity činností (BCM)

2782

)))|(((

2783

Vypracovanie analýzy funkčných dopadov a posúdenie dodávateľských vzťahov

2784

)))|(((

2785

SW pre riadenie a identifikáciu rizikovej analýzy a kontinuity činností + implementácia

2786

)))|(((

2787

SW pre LMS a eArchiv SW + implementácia

2788

)))|(((

2789

SW nástroj pre zber dát 200 Mbps + implementácia

2790

)))|(((

2791

Dodávka Firewall - ového riešenia

2792

)))|(((

2793

Migrácia FW a vertikálna segmentácia siete

)))|(((

AD

Tier model (PAM)

)))|(((

Základn é školenie obsluhy

2800

)))

2801

|(((

2802

**Všeobecný materiál**

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))

|(((

**IT - CAPEX**

)))|(((

**38 632,77 €**

)))|(((

**20 632,77 €**

)))|(((

**27 966,10 €**

)))|(((

**44 582,77 €**

)))|(((

**127 649,43 €**

)))|(((

**80 349,43**

**€**

)))|(((

**76 799,43 €**

)))|(((

**20**

**499,4**

**3 €**

)))|(((

**4**

**532,77**

**€**

)))

|(((

Aplikácie

)))|(((

36 166,67 €

)))|(((

18 166,67 €

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))

|(((

SW

)))|(((

)))|(((

)))|(((

25 500,00 €

)))|(((

42 116,67 €

)))|(((

125 183,33 €

)))|(((

)))|(((

)))|(((

)))|(((

)))

|(((

HW

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

77 883,33

€

)))|(((

74 333,33 €

)))|(((

18

033,3

3 €

)))|(((

2

066,67

€

)))

|(((

Mzdy (interní zamestnanci

**~ **

– pre všetky moduly)

)))|(((

2466,10 €

)))|(((

2466,10 €

)))|(((

2466,10 €

)))|(((

2466,10 €

)))|(((

2466,10 €

)))|(((

2466,10 €

)))|(((

2466,10 €

)))|(((

2466,

10 €

)))|(((

2466,10

€

)))

|(((

Paušálne výdavky - nepriame výdavky projektu (pre všetky moduly)

)))|(((

30 915,14 €

(nepriame výdavky projektu)

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))

|(((

**IT - OPEX- prevádzka**

)))|(((

**3 016,67 €**

)))|(((

**4 583,33 €**

)))|(((

**0,00 €**

)))|(((

**1 483,33 €**

)))|(((

**18 933,33 €**

)))|(((

**0,00 €**

)))|(((

**3 900,00 €**

)))|(((

**0,00 €**

)))|(((

**0,00 €**

)))

|(((

Aplikácie

)))|(((

3 016,67 €

)))|(((

4 583,33 €

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))

|(((

SW

)))|(((

)))|(((

)))|(((

0,00 €

)))|(((

1 483,33 €

)))|(((

18 933,33 €

)))|(((

)))|(((

)))|(((

)))|(((

)))

|(((

HW

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

0,00 €

)))|(((

3 900,00 €

)))|(((

0,00 €

)))|(((

0,00 €

)))

|(((

**Prínosy**

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))

|(((

**Finančné prínosy**

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))

(% class="relative-table" style="width:100.284%" %)

3106

|(((

3107

Administratívne poplatky

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))

|(((

Ostatné daňové a nedaňové príjmy

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))

|(((

**Ekonomické prínosy**

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))

|(((

Občania (€)

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))

|(((

Úradníci (€)

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))

|(((

Úradníci (FTE)

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))

|(((

**Kvalitatívne prínosy**

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))

|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))|(((

)))

**Kvantitatívne prínosy**

**~ **

Výrazné zníženie nedostupnosti IS z dôvodu doplnenia HW infraštruktúry:

3280

3281

3282

Z dôvodu výmeny a doplnenie niektorých kľúčových HW a SW komponentov infraštruktúry sa zvýši dostupnosť IS pri prip. poruche HW . Prínos je počítaný ako rozdiel medzi súčasným stavom, kedy redundancia HW nebola zabezpečená. Stav AS-IS a TO-BE zodpovedá dosiahnutiu plnej redundancie po implementácii projektu.

== {{id name="projekt_2524_Projektovy_zamer_detailny-Kvalitatívneprínosy"/}}Kvalitatívne prínosy ==

**~ **

Projekt vybudovanie bezpečnostného dohľadového centra v prostredí Mesta Liptovský Mikuláš prináša viaceré významné kvalitatívne prínosy v oblasti kybernetickej bezpečnosti a ochrany kritických informačných systémov:

3292

3293

__Zvýšená kybernetická ochrana__

3294

3295

3296

Projekt prispieva k posilneniu ochrany pred kybernetickými hrozbami a útokmi. Zvýšená schopnosť detekcie a prevencie hrozieb pomáha minimalizovať riziko kybernetických incidentov a znefunkčnenia kritických systémov. Zvýšenie kybernetickej bezpečnosti predstavuje kľúčový prvok projektu. Hlavným cieľom je zabezpečiť, že organizácia bude vystavená menej rizikám, ktoré sú spojené s rastúcimi a sofistikovanejšími kybernetickými hrozbami. Súčasné kybernetické hrozby sa neustále vyvíjajú a stávajú sa čoraz zložitejšími a nebezpečnejšími. Útoky sa objavujú na nových frontoch a využívajú nové techniky na obídenie existujúcich obranných mechanizmov. Tieto hrozby predstavujú závažné riziká pre organizáciu, ktoré môžu mať vážne dôsledky na jej činnosť a povesť. V rámci projektu bude investované do nových technológií, nástrojov a stratégií, ktoré organizácii umožnia identifikovať a eliminovať tieto hrozby na najvyššej úrovni. Vytvoríme širší a komplexnejší prístup k kybernetickej bezpečnosti, ktorý zabezpečí, že organizácia bude dobre pripravená na kybernetické hrozby všetkých druhov. Rozšírením kybernetickej bezpečnosti na vyššiu úroveň bude mať MLM možnosť brániť sa najnáročnejším útokom a minimalizovať ich škodlivé účinky. Tým bude zabezpečená ochranu aktív a dôvernosti organizácie, čo je kritické pre občanov, zamestnancov a partnerov. Zvýšená kybernetická bezpečnosť je kľúčovým prínosom projektu a bude mať široký dosah na bezpečnosť a prosperitu MLM.

3297

3298

__Rýchlejšia reakcia na hrozby__

3299

3300

3301

Implementácia technologických riešení a automatizácia procesov v pracovisku dohľadového centra umožní rýchlejšiu identifikáciu, analýzu a riešenie kybernetických hrozieb. Tým sa zabezpečí včasná reakcia a minimalizácia potenciálnych škôd. V rámci projektu budú implementované moderné technológie a nástroje, ktoré umožnia okamžité rozpoznanie potenciálnych hrozieb a ich priradenie do správnych kategórií. Implementáciou projektu dôjde k veľmi rýchlemu nasadeniu potrebných opatrení na minimalizáciu potenciálnych škôd. To znamená, že vďaka implementácii projektu bude MLM schopné zareagovať na hrozby rýchlejšie a účinnejšie. Výsledkom je nielen zníženie rizika pre MLM, ale aj minimalizácia možných škôd, ktoré by takéto hrozby mohli spôsobiť. Zvýšená rýchlosť a efektivita reakcie na kybernetické hrozby prinesie organizácii významný prínos, a to v podobe zníženia rizika straty dôveryhodnosti, finančných strát a poškodenia povesti. Týmto spôsobom sa projekt stáva kľúčovým opatrením v oblasti kybernetickej bezpečnosti a ochrany MLM pred hrozbami v dnešnom digitálnom svete.

3302

3303

__Spolupráca a komunikácia__

3304

3305

3306

Zlepšená spolupráca a komunikácia medzi rôznymi tímami v organizácii pomáha včasnému zdieľaniu informácií o hrozbách a koordinácii reakcií na kybernetické incidenty. Zlepšená spolupráca znamená, že tímy zamerané na bezpečnosť, IT, a všetky ďalšie príslušné oddelenia budú mať jednoduchší prístup k informáciám o kybernetických hrozbách. To umožní včasné a rýchle zdieľanie informácií o identifikovaných rizikách a aktuálnych situáciách.

3307

3308

Týmto spôsobom môžeme predchádzať izolovaným silám a skrátiť čas, ktorý by inak bol potrebný na vyhľadávanie dôležitých informácií. V prípade kybernetických incidentov, kedy každá sekunda záleží, umožňuje tento projekt okamžitú komunikáciu a koordináciu reakcií. Rôzne tímy sú schopné okamžite reagovať na situácie, spolupracovať na náprave incidentu a obnoviť normálnu prevádzku bez neprimeraného omeškania. Spolupráca a komunikácia sú kľúčom k efektívnemu kybernetickému bezpečnostnému procesu, a ich zdokonalenie v rámci tohto projektu posilňuje obranu MLM proti hrozbám. Zabezpečuje to, že MLM je jednotným tímom, ktorý je schopný reagovať na kybernetické hrozby s jednotným úsilím, čo vedie k zníženiu rizika a minimalizácii škôd.

3309

3310

__Zvýšená odbornosť__

3311

3312

3313

Projekt zahŕňa základné odborné školenia pre personál MLM, čo vedie k zvýšeniu znalostného štandardu tímu a udržiavaniu odbornosti v oblasti kybernetickej bezpečnosti.

3314

3315

__Kontinuálne zlepšovanie procesov__

3316

3317

Dohľadové centrum bude pravidelne preskúmavať a zlepšovať pracovné postupy a procesy na základe skúseností získaných počas riešenia kybernetických incidentov. Tým sa dosiahne efektívnejšia a zohľadnená reakcia na hrozby.

3318

3319

__Sledovanie právnych a regulačných požiadaviek__

3320

3321

3322

Projekt zabezpečí, že činnosti pracoviska dohľadového centra budú v súlade s platnými právnymi a regulačnými požiadavkami týkajúcimi sa ochrany údajov a kybernetickej bezpečnosti, čo znižuje riziko porušenia predpisov a potenciálne sankcie.

3323

3324

__Zvýšená reputácia a dôvera__

3325

3326

3327

Dôsledné opatrenia v oblasti kybernetickej bezpečnosti pomáhajú zvýšiť dôveru v samosprávu. Zabezpečením integrity, dôvernosti a dostupnosti dôležitých informácií a služieb v kybernetickom priestore sa zlepšuje vnímaná kvalita a spoľahlivosť samosprávy. Projekt sa zabezpečí, že MLM nebude iba pasívnym príjemcom informácií o hrozbách, ale aktívnym účastníkom v boji proti nim. Tým sa MLM stane schopnou predvídať a čeliť hrozbám s vyššou efektivitou a dôslednosťou, čím sa posilňuje celková kybernetická bezpečnosť.

3328

3329

3330

Celkovo projekt prispeje k vytvoreniu moderného a efektívneho systému včasnej reakcie na kybernetické hrozby v oblasti samosprávy. Zvýšená kybernetická ochrana a reaktívna schopnosť pomôžu minimalizovať riziká, ktoré kybernetický priestor predstavuje pre dôležité informácie a služby, a to nielen v oblasti MLM ale aj pre ostatné samosprávy.

3331

3332

= {{id name="projekt_2524_Projektovy_zamer_detailny-9.PROJEKTOVÝTÍM"/}}9. PROJEKTOVÝ TÍM =

3333

3334

**Pre účely realizácie projektu sa zostavuje Riadiaci výbor (RV), v minimálne nasledovnom zložení: ** Predseda RV PhDr. Michal Lavrík, PhD.

3335

3336

Biznis vlastník Ing. Dušan Močarník

3337

3338

Zástupca prevádzky Ing. Miroslav Berník

3339

3340

Zástupca prevádzky Ing. Peter Veselovský

3341

3342

Zástupca dodávateľa (dopĺňa sa až po VO / voliteľný člen)

3343

3344

Projektový manažér objednávateľa (PM) Ing. Jana Kormaníková **Zostavuje sa Projektový tím objednávateľa:**

3345

3346

kľúčový používateľ a IT architekt: Ing. Miroslav Berník

3347

3348

kľúčový používateľ a IT architekt: Ing. Peter Veselovský

3349

3350

manažér kybernetickej a informačnej bezpečnosti - Ing. Dušan Močarník Projektový manažér objednávateľa (PM) Ing. Jana Kormaníková

|(((

ID

)))|(((

Meno a Priezvisko

)))|(((

Pozícia

)))|(((

Oddelenie

)))|(((

Rola v projekte

)))

|(((

1.

)))|(((

Ing. Miroslav Berník

)))|(((

Referent

)))|(((

MLM oddelenie informatiky

3371

)))|(((

3372

kľúčový používateľ a IT architekt

)))

|(((

2.

)))|(((

Ing. Peter Veselovský

)))|(((

Referent

)))|(((

MLM oddelenie informatiky

3382

)))|(((

3383

kľúčový používateľ a IT architekt

)))

|(((

3.

)))|(((

Ing. Dušan Močarník

)))|(((

manažér kybernetickej a informačnej bezpečnosti

3391

)))|(((

3392

MLM oddelenie informatiky

3393

)))|(((

3394

manažér kybernetickej a informačnej bezpečnosti

)))

|(((

4.

)))|(((

Ing. Jana Kormaníková

)))|(((

vedúca oddelenia

)))|(((

MLM oddelenia projektového a energetického manažmentu

)))|(((

Projektový manažér

)))

Uvedený projektový tím, ktorí tvoria zamestnanci MLM je garanciou úspešnej realizácie projektu po zabezpečení jeho financovania na základe ŽoNFP v rámci výzvy.

3409

3410

3411

= {{id name="projekt_2524_Projektovy_zamer_detailny-9.1PRACOVNÉNÁPLNE"/}}9.1 PRACOVNÉ NÁPLNE =

|(((

**Projektová rola:**

)))|(((

**PROJEKTOVÝ MANAŽÉR (projektová rola bude obsadená a financovaná v rámci paušálnych výdavkov)**

)))

|(((

**Stručný popis:**

)))|(((

● zodpovedá za riadenie projektu počas celého životného cyklu projektu. Riadi projektové (ľudské a finančné) zdroje,

3423

3424

zabezpečuje tvorbu obsahu, neustále odôvodňovanie projektu a predkladá vstupy na rokovanie Riadiaceho výboru. Zodpovedá za

3425

3426

riadenie všetkých (ľudských a finančných) zdrojov, členov projektovému tím objednávateľa a za efektívnu komunikáciu s

3427

3428

dodávateľom alebo stanovených zástupcom dodávateľa.

3429

3430

● zodpovedá za riadenie prideleného projektu - stanovenie cieľov, spracovanie harmonogramu prác, koordináciu členov

3431

3432

projektového tímu, sledovanie dodržiavania harmonogramu prác a rozpočtu, hodnotenie a prezentáciu výsledkov a za riadenie s

3433

3434

tým súvisiacich rizík. Projektový manažér vedie špecifikáciu a implementáciu projektov v súlade s firemnými štandardami,

3435

3436

zásadami a princípmi projektového riadenia.

3437

3438

● zodpovedá za plnenie projektových/programových cieľov v rámci stanovených kvalitatívnych, časových a rozpočtovým

3439

3440

plánov a za riadenie s tým súvisiacich rizík. V prípade externých kontraktov sa vedúci projektu/ projektový manažér obvykle podieľa

3441

3442

na ich plánovaní a vyjednávaní a je hlavnou kontaktnou osobou pre zákazníka.

)))

|(((

**Detailný popis**

**rozsahu**

**zodpovednosti,**

**povinností a**

**kompetencií**

)))|(((

Zodpovedný za:

● Riadenie projektu podľa pravidiel stanovených vo Vyhláške 401/2023 Z.z. o riadení projektov

3458

3459

● Riadenie prípravy, inicializácie a realizácie projektu

3460

3461

● Identifikovanie kritických miest projektu a navrhovanie ciest k ich eliminácii

3462

3463

● Plánovanie, organizovanie, motivovanie projektového tímu a monitorovanie projektu

3464

3465

● Zabezpečenie efektívneho riadenia všetkých projektových zdrojov s cieľom vytvorenia a dodania obsahu a zabezpečenie

3466

3467

naplnenie cieľov projektu

3468

3469

● Určenie pravidiel, spôsobov, metód a nástrojov riadenia projektu a získanie podpory Riadiaceho výboru (RV) pre riadenie,

3470

3471

plánovanie a kontrolu projektu a využívanie projektových zdrojov

3472

3473

● Zabezpečenie vypracovania manažérskej a špecializovanej dokumentácie a produktov v minimálnom rozsahu určenom

3474

3475

Vyhláškou 401/2023 Z.z., Prílohou č.1

3476

3477

● Zabezpečenie realizácie projektu podľa štandardov definovaných vo Vyhláške 78/2020 Z.z.

3478

3479

● Zabezpečenie priebežnej aktualizácie a verzionovania manažérskej a špecializovanej dokumentácie v minimálnom rozsahu

3480

3481

Vyhlášky 401/2023 Z.z., Prílohy č.1

3482

3483

● Vypracovanie, pravidelné predkladanie a zabezpečovanie prezentácie stavov projektu, reportov, návrhov riešení problémov

3484

3485

a odsúhlasovania manažérskej a špecializovanej dokumentácie v rozsahu určenom Vyhláškou 401/2023 Z.z., Prílohou č.1 na

rokovanie RV

● Riadenie a operatívne riešenie a odstraňovanie strategických / projektových rizík a závislostí

3490

3491

● Predkladanie návrhov na zlepšenia na rokovanie Riadiaceho výboru (RV)

3492

3493

● Zabezpečenie vytvorenia a pravidelnej aktualizácie BC/CBA a priebežné zdôvodňovanie projektu a predkladanie na

rokovania RV

● Celkovú alokáciu a efektívne využívanie ľudských a finančných zdrojov v projekte

3498

3499

● Celkový postup prác v projekte a realizuje nápravné kroky v prípade potreby

3500

3501

● Vypracovanie požiadaviek na zmenu (CR), návrh ich prioritizácie a predkladanie zmenových požiadaviek na rokovanie RV

3502

3503

● Riadenie zmeny (CR) a prípadné požadované riadenie konfigurácií a ich zmien

3504

3505

● Riadenie implementačných a prevádzkových aktivít v rámci projektov.

3506

3507

● Aktívne komunikuje s dodávateľom, zástupcom dodávateľa a projektovým manažérom dodávateľa s cieľom zabezpečiť

3508

3509

úspešné dodanie a nasadenie požadovaných projektových výstupov,

3510

3511

● Formálnu administráciu projektu, riadenie centrálneho projektového úložiska, správu a archiváciu projektovej dokumentácie

3512

3513

● Kontrolu dodržiavania a plnenia míľnikov v zmysle zmluvy s dodávateľom,

3514

3515

● Dodržiavanie metodík projektového riadenia,

3516

3517

● Predkladanie požiadaviek dodávateľa na rokovanie Riadiaceho výboru (RV),

3518

3519

● Vecnú a procesnú administráciu zúčtovania dodávateľských faktúr

)))

|(((

**Odporúčané**

**kvalifikačné**

**predpoklady**

)))|(((

)))

|(((

**Poznámka**

)))|(((

)))

|(((

**Projektová rola:**

)))|(((

**IT ARCHITEKT**

)))

|(((

**Stručný popis:**

)))|(((

● zodpovedá za návrh architektúry riešenia IS a implementáciu technológií predovšetkým z pohľadu udržateľnosti, kvality a nákladov,

3547

3548

za riešenie architektonických cieľov projektu dizajnu IS a súlad s architektonickými princípmi.

3549

3550

● vykonáva, prípadne riadi vysoko odborné tvorivé činnosti v oblasti návrhu IT. Študuje a stanovuje smery technického rozvoja

3551

3552

informačných technológií, navrhuje riešenia na optimalizáciu a zvýšenie efektívnosti prostriedkov výpočtovej techniky. Navrhuje

3553

3554

základnú architektúru informačných systémov, ich komponentov a vzájomných väzieb. Zabezpečuje projektovanie dizajnu, architektúry

3555

3556

IT štruktúry, špecifikácie jej prvkov a parametrov, vhodnej softvérovej a hardvérovej infraštruktúry podľa základnej špecifikácie riešenia.

3557

3558

● zodpovedá za spracovanie a správu projektovej dokumentácie a za kontrolu súladu implementácie s dokumentáciou. Môže tiež

3559

3560

poskytovať konzultácie, poradenstvo a vzdelávanie v oblasti svojej špecializácie. IT architekt, projektant analyzuje, vytvára a konzultuje

3561

3562

so zákazníkom riešenia na úrovni komplexných IT systémov a IT architektúr, najmä na úrovni aplikačného vybavenia, infraštruktúrnych

3563

3564

systémov, sietí a pod. Zaručuje, že návrh architektúry a/alebo riešenia zodpovedá zmluvne dohodnutým požiadavkám zákazníka v

3565

3566

zmysle rozsahu, kvality a ceny celej služby/riešenia.

)))

|(((

**Detailný popis**

**rozsahu**

**zodpovednosti,**

**povinností a**

**kompetencií**

)))|(((

Zodpovedný za:

● Navrhovanie architektúry IT riešení s cieľom dosiahnuť najlepšiu efektivitu.

3582

3583

● Transformovanie cieľov, prísľubov a zámerov projektu do tvorby reálnych návrhov a riešení.

3584

3585

● Navrhovanie takých riešení, aby poskytovali čo najvyššiu funkčnosť a flexibilitu.

3586

3587

● Posudzovanie vhodnosti navrhnutých riešení s ohľadom na požiadavky projektu.

3588

3589

● Zodpovednosť za technické navrhnutie a realizáciu projektu.

3590

3591

● Zodpovednosť za vytvorenie technickej IT dokumentácie a jej následná kontrola.

3592

3593

● Zodpovednosť za definovanie integračných vzorov, menných konvencií, spôsobov návrhu a spôsobu programovania.

3594

3595

● Definovanie architektúry systému, technických požiadaviek a funkčného modelu (Proof Of Concept.)

3596

3597

● Vytvorenie požiadaviek na HW/SW infraštruktúru IS

3598

3599

● Udržiavanie a rozvoj konzistentnej architektúry s dôrazom na architektúru aplikačnú, dátovú a infraštruktúru

3600

3601

● Analýzu a odhad náročnosti technických požiadaviek na vytvorenie IS alebo vykonanie zmien v IS

3602

3603

● Navrhovanie riešení zohľadňujúce architektonické štandardy, časové a zdrojové obmedzenia,

3604

3605

● Navrhovanie dátových transformácií medzi dátovými skladmi a aplikáciami

3606

3607

● Vyhodnocovanie implementačných alternatív z pohľadu celkovej IT architektúry

3608

3609

● Ladenie dátových štruktúr za účelom dosiahnutia optimálneho výkonu

3610

3611

● Prípravu akceptačných kritérií

3612

3613

● Analýza nových nástrojov, produktov a technológií

3614

3615

● Správa, rozvoj a dohľad nad dodržiavaním integračných štandardov

3616

3617

● Priebežné posudzovanie vecných výstupov dodávateľa v rámci analýzy, návrhu riešenia vrátane Detailného návrhu riešenia

3618

3619

(DNR) z pohľadu analýzy a návrhu riešenia architektúry IS

3620

3621

● Vykonáva posudzovanie a úpravu testovacej stratégie, testovacích scenárov, plánov testov, samotné testovanie a účasť na

3622

3623

viacerých druhoch testovania

3624

3625

● Vykonanie záťažových, výkonnostných a integračných testov a navrhnutie následných nápravných

3626

3627

● Nasadenie a otestovanie migrácie, overenie kvality dát a navrhnutie nápravných opatrení

3628

3629

● Participáciu na výkone bezpečnostných testov,

3630

3631

● Participáciu na výkone UAT testov,

3632

3633

● Posúdenie prevádzkovo-infraštruktúrnej dokumentácie pred akceptáciou a prevzatím od dodávateľa

3634

3635

● Aktívnu účasť v projektových tímoch a spoluprácu na vypracovaní manažérskej a špecializovanej dokumentácie a produktov

3636

3637

v minimálnom rozsahu určenom Vyhláškou 85/2020 Z.z., Prílohou č.1

3638

3639

● Plnenie pokynov projektového manažéra a dohôd zo stretnutí projektového tímu

)))

|(((

**Odporúčané**

**kvalifikačné**

**predpoklady**

)))|(((

)))

|(((

**Poznámka**

)))|(((

)))

|(((

**Projektová rola:**

)))|(((

**KĽUČOVÝ POUŽIVATEĽ (end user)**

)))

|(((

**Stručný popis:**

)))|(((

● zodpovedný za reprezentáciu záujmov budúcich používateľov projektových produktov alebo projektových výstupov a

3667

3668

za overenie kvality produktu.

3669

3670

● zodpovedný za návrh a špecifikáciu funkčných a technických požiadaviek, potreby, obsahu, kvalitatívnych a

3671

3672

kvantitatívnych prínosov projektu, požiadaviek koncových používateľov na prínos systému a požiadaviek na bezpečnosť.

3673

3674

● Kľúčový používateľ (end user) navrhuje a definuje akceptačné kritériá, je zodpovedný za akceptačné testovanie a

3675

3676

návrh na akceptáciu projektových produktov alebo projektových výstupov a návrh na spustenie do produkčnej prevádzky.

3677

3678

Predkladá požiadavky na zmenu funkcionalít produktov a je súčasťou projektových tímov

)))

|(((

**Detailný popis**

**rozsahu**

**zodpovednosti,**

**povinností a**

**kompetencií**

)))|(((

Zodpovedný za:

● Návrh a špecifikáciu funkčných a technických požiadaviek

3694

3695

● Jednoznačnú špecifikáciu požiadaviek na jednotlivé projektové výstupy (špecializované produkty a výstupy) z pohľadu

3696

3697

vecno-procesného a legislatívy

3698

3699

● Vytvorenie špecifikácie, obsahu, kvalitatívnych a kvantitatívnych prínosov projektu,

3700

3701

● Špecifikáciu požiadaviek koncových používateľov na prínos systému

3702

3703

● Špecifikáciu požiadaviek na bezpečnosť,

3704

3705

● Návrh a definovanie akceptačných kritérií,

3706

3707

● Vykonanie používateľského testovania funkčného používateľského rozhrania (UX testovania)

3708

3709

● Finálne odsúhlasenie používateľského rozhrania

3710

3711

● Vykonanie akceptačného testovania (UAT)

3712

3713

● Finálne odsúhlasenie a akceptáciu manažérskych a špecializovaných produktov alebo projektových výstupov

3714

3715

● Finálny návrh na spustenie do produkčnej prevádzky,

3716

3717

● Predkladanie požiadaviek na zmenu funkcionalít produktov

3718

3719

● Aktívnu účasť v projektových tímoch a spoluprácu na vypracovaní manažérskej a špecializovanej dokumentácie a

3720

3721

produktov v minimálnom rozsahu určenom Vyhláškou 85/2020 Z.z., Prílohou č.1

3722

3723

● Plnenie pokynov projektového manažéra a dohôd zo stretnutí projektového tímu

)))

|(((

**Odporúčané**

**kvalifikačné**

**predpoklady**

)))|(((

)))

|(((

**Poznámka**

)))|(((

)))

|(((

**Projektová rola:**

)))|(((

**MANAŽER KYBERNETICKEJ BEZPEČNOSTI (KIB) a IT BEZPEČNOSTI (ITB)**

)))

|(((

**Stručný popis:**

)))|(((

● zodpovedá za dodržanie princípov a štandardov na kybernertickú a IT bezpečnosť, za kontrolu a audit správnosti riešenia

3750

3751

v oblasti bezpečnosti.

3752

3753

● koordinuje a riadi činnosť v oblasti bezpečnosti prevádzky IT, spolupracuje na projektoch, na rozvoji nástrojov a postupov k

3754

3755

optimalizácii bezpečnostných systémov a opatrení. Stanovuje základné požiadavky, podmienky a štandardy pre oblasť bezpečnosti

3756

3757

programov, systémov, databázy či sieti. Spracováva a kontroluje príslušné interné predpisy a dohliada nad plnením týchto štandardov a

3758

3759

predpisov. Kontroluje a riadi činnosť nad bezpečnostnými testami, bezpečnostnými incidentmi v prevádzke IT. Poskytuje inštrukcie a

3760

3761

poradenstvo používateľom počítačov a informačných systémov pre oblasť bezpečnosti

3762

3763

**PODMIENKY SPRÁVNEHO a EFEKTÍVNEHO VÝKONU ČINNOSTI role Manažér KIB a ITB:**

3764

3765

1) neobmedzený aktívny prístup ku všetkým projektovým dokumentom, nástrojom a výstupom projektu, v ktorých sa opisuje predmet

3766

3767

projektu z hľadiska jeho architektúry, funkcií, procesov, manažmentu informačnej bezpečnosti a spôsobov spracúvania dát, ako aj dát

samotných.

2) rola manažér Kybernetickej a IT bezpečnosti si vyžaduje mať sprístupnené všetky informácie o bezpečnostných opatreniach

3772

3773

zavádzaných projektom v zmysle:

3774

3775

a) § 20 zákona č.69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov

3776

3777

b) ustanovení zákona č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov

)))

|(((

**Detailný popis**

**rozsahu**

**zodpovednosti,**

**povinností a**

**kompetencií**

)))|(((

Zodpovedný za:

● špecifikovanie štandardov, princípov a stratégií v oblasti ITB a KIB,

3793

3794

● ak je projekt primárne zameraný na problematiku ITB a KIB – je priamo zodpovedný za špecifikáciu a analýzu funkčných

3795

3796

požiadaviek na ITB a KIB,

3797

3798

● špecifikovanie požiadaviek na ITB a KIB, kontroluje ich implementáciu v realizovanom projekte,

3799

3800

● špecifikovanie požiadaviek na bezpečnosť vývojového, testovacieho a produkčného prostredia,

3801

3802

● špecifikovanie funkčných a nefunkčných požiadaviek pre oblasť ITB a KIB,

3803

3804

● špecifikovanie požiadaviek na bezpečnosť v rámci bezpečnostnej vrstvy,

3805

3806

● špecifikovanie požiadaviek na školenia pre oblasť ITB a KIB,

3807

3808

● špecifikovanie požiadaviek na bezpečnostnú architektúru riešenia a technickú infraštruktúru pre oblasť ITB a KIB,

3809

3810

● špecifikovanie požiadaviek na dostupnosť, zálohovanie, archiváciu a obnovu IS vzťahujúce sa na ITB a KIB,

3811

3812

● realizáciu posúdenie požiadaviek agendy ITB a KIB na integrácie a procesov konverzie a migrácie, identifikácia nesúladu a návrh

riešenia

● špecifikovanie požiadaviek na ITB a KIB, bezpečnostný projekt a riadenie prístupu,

3817

3818

● špecifikovanie požiadaviek na testovanie z hľadiska ITB a KIB, realizáciu kontroly zapracovania a retestu,

3819

3820

● špecifikovanie požiadaviek na obsah dokumentácie v zmysle legislatívnych požiadaviek pre oblasť ITB a KIB, ako aj v zmysle "best

practies",

● špecifikovanie požiadaviek na dodanie potrebnej dokumentácie súvisiacej s ITB a KIB kontroluje ich implementáciu v realizovanom

projekte,

● špecifikovanie požiadaviek a konzultácie pri návrhu riešenia za agendu ITB a KIB v rámci procesu „Mapovanie a analýza

3829

3830

technických požiadaviek - detailný návrh riešenia (DNR)“,

3831

3832

● špecifikáciu požiadaviek na bezpečnosť IT a KIB v rámci procesu "akceptácie, odovzdania a správy zdroj. kódov“

3833

3834

● špecifikáciu akceptačných kritérií za oblasť ITB a KIB,

3835

3836

● špecifikáciu pravidiel pre publicitu a informovanosť s ohľadom na ITB a KIB,

3837

3838

● poskytovanie konzultácií pri tvorbe šablón a vzorov dokumentácie pre oblasť ITB a KIB,

3839

3840

● získavanie informácií nutných pre plnenie úloh v oblasti ITB a KIB,

3841

3842

● špecifikáciu podmienok na testovanie, reviduje výsledky a výstupy z testovania za oblasť ITB a KIB,

3843

3844

● konzultácie a vykonávanie kontrolnej činnosť zameranej na obsah a komplexnosť dok. z hľadiska ITB a KIB,

3845

3846

● špecifikáciu požiadaviek na bezpečnostný projekt pre oblasť ITB a KIB,

3847

3848

● realizáciu kontroly zameranej na naplnenie požiadaviek definovaných v bezp. projekte za oblasť ITB a KIB

3849

3850

● realizáciu kontroly zameranú na správnosť nastavení a konfigurácii bezpečnosti jednotlivých prostredí,

3851

3852

● realizáciu kontroly zameranú realizáciu procesu posudzovania a komplexnosti bezpečnostných rizík, bezpečnosť a kompletný popis

3853

3854

rozhraní, správnu identifikácia závislostí,

3855

3856

● realizáciu kontroly naplnenia definovaných požiadaviek pre oblasť ITB a KIB,

3857

3858

● realizáciu kontroly zameranú na implementovaný proces v priamom súvise s ITB a KIB,

3859

3860

● realizáciu kontroly súladu s planou legislatívou v oblasti ITB a KIB (obsahuje aj kontrolu leg. požiadaviek)

3861

3862

● realizáciu kontroly zameranú zabezpečenie procesu, interfejsov, integrácii, kompletného popisu rozhraní a spoločných

3863

3864

komponentov a posúdenia z pohľadu bezpečnosti,

3865

3866

● poskytovanie konzultácií a súčinnosti pre problematiku ITB a KIB,

3867

3868

● získavanie a spracovanie informácií nutných pre plnenie úloh v oblasti ITB a KIB,

3869

3870

● aktívnu účasť v projektových tímoch a spoluprácu na vypracovaní manažérskej a špecializovanej dokumentácie a produktov

3871

3872

v minimálnom rozsahu určenom Vyhláškou 85/2020 Z.z., Prílohou č.1

3873

3874

● plnenie pokynov projektového manažéra a dohôd zo stretnutí projektového tímu

)))

|(((

**Odporúčané**

**kvalifikačné**

**predpoklady**

)))|(((

)))

|(((

**Poznámka**

)))|(((

)))

(% style="letter-spacing:0.0px" %)**10.PRÍLOHY**

3892

3893

1. Príloha : Zoznam rizík a závislostí (Excel): 1_PRILOHA_1_REGISTER_RIZIK-a-ZAVISLOSTI_KIBLM.xlsx

Koniec dokumentu

Wiki zdrojový kód pre projekt_2524_Projektovy_zamer_detailny

Aplikácie

Navigácia

Moje posledné úpravy

Need help?