projekt_2529_Projektovy_zamer_detailny

= {{id name="projekt_2529_Projektovy_zamer_detailny-2.ÚČELDOKUMENTU,SKRATKY(KONVENCIE)ADEFINÍCIE"/}}2. ÚČEL DOKUMENTU, SKRATKY (KONVENCIE) A DEFINÍCIE =

100

101

V súlade s Vyhláškou 401/2023 Z.z. je dokument I-02 Projektový zámer určený na rozpracovanie detailných informácií prípravy projektu, aby bolo možné rozhodnúť o pokračovaní prípravy projektu, pláne realizácie, alokovaní rozpočtu a ľudských zdrojov.

102

103

104

Dokument Projektový zámer v zmysle vyššie uvedenej vyhlášky má obsahovať manažérske zhrnutie, rozsah, ciele a motiváciu na realizáciu projektu, zainteresované strany, alternatívy, návrh merateľných ukazovateľov, detailný opis požadovaných projektových výstupov, detailný opis obmedzení, predpokladov, tolerancií a návrh organizačného zabezpečenia projektu, detailný opis rozpočtu projektu a jeho prínosov, náhľad architektúry a harmonogram projektu so zoznamom rizík a závislostí.

105

106

107

== {{id name="projekt_2529_Projektovy_zamer_detailny-2.1Použitéskratkyapojmy"/}}2.1 Použité skratky a pojmy ==

108

109

110

(% class="wrapped" %)

|(((

SKRATKA/POJEM

)))|(((

POPIS

)))

|(((

BEZP

)))|(((

Bezpečnosť/Bezpečnostný

)))

|(((

EDR

)))|(((

Endpoint Detection & Response

)))

|(((

EPP

)))|(((

Endpoint protection

)))

|(((

FW

)))|(((

Firewall

)))

|(((

HW

)))|(((

Hardvér

)))

|(((

IKT

)))|(((

Informačno-komunikačné technológie

)))

|(((

IRA

)))|(((

Interný riadiaci akt

)))

|(((

IS

)))|(((

Informačný systém

)))

|(((

ISVS

)))|(((

Informačný systém verejnej správy

)))

|(((

IT

)))|(((

Informačné technológie

)))

|(((

KB

)))|(((

Kybernetická bezpečnosť

)))

|(((

MKB

)))|(((

Manažér kybernetickej bezpečnosti

)))

|(((

NGFW

)))|(((

Next Generation Firewall

)))

|(((

RACI

)))|(((

responsible, accountable, consulted, and informed

)))

|(((

R OIT

)))|(((

Riaditeľ odboru IT (vedúci zamestnanec na úseku IT)

)))

|(((

SIEM

)))|(((

Security Information and Event Management

)))

|(((

SOC

)))|(((

Security Operations Center

)))

|(((

SPoF

)))|(((

Single Point of Failure

)))

|(((

SW

)))|(((

Softvér

)))

|(((

UTM

)))|(((

Unified Threat Management

)))

== {{id name="projekt_2529_Projektovy_zamer_detailny-2.2Konvenciepretypypožiadaviek(príklady)"/}}2.2 Konvencie pre typy požiadaviek (príklady) ==

219

220

221

**Funkcionálne (používateľské) požiadavky **majú nasledovnú konvenciu:

**FRxx**

* U – užívateľská požiadavka

226

* R – označenie požiadavky

227

* xx – číslo požiadavky

228

229

**Nefunkčné (kvalitatívne, výkonové - Non Functional Requirements - NFR) požiadavky** majú nasledovnú konvenciu:

**NRxx**

* N – nefukčná požiadavka (NFR)

234

* R – označenie požiadavky

235

* xx – číslo požiadavky

236

237

Ostatné typy požiadaviek môžu byť ďalej definované PM.

**// //**

= {{id name="projekt_2529_Projektovy_zamer_detailny-3.DEFINOVANIEPROJEKTU"/}}3. DEFINOVANIE PROJEKTU =

242

243

244

== {{id name="projekt_2529_Projektovy_zamer_detailny-3.1Manažérskezhrnutie"/}}3.1 Manažérske zhrnutie ==

245

246

Projektová dokumentová dokumentácia je koncipovaná s ohľadom na Cieľ a politiky súdržnosti 1 Konkurencieschopnejšia a inteligentnejšia Európa, ŠC RSO1.2 Využívanie prínosov digitalizácie pre občanov, podniky, výskumné organizácie a orgány verejnej správy (EFRR), opatrenie 1.2.1 Podpora v oblasti informatizácie a digitálnej transformácie (Kybernetická a informačná bezpečnosť).

247

248

Jedným zo strategických cieľov koncepcie kybernetickej bezpečnosti schválenej vládou Slovenskej republiky je otvorený, bezpečný a chránený národný kybernetický priestor, ktorý zabezpečí vybudovanie dôvery v spoľahlivosť a bezpečnosť štátu a to najmä kritickej infraštruktúry a komunikačnej infraštruktúry, ako aj istoty, že táto bude plniť svoje funkcie a slúžiť národným záujmom aj v prípade kybernetického útoku. Prostredie samosprávy ako súčasti verejnej správy je súčasťou kybernetického ekosystému štátu a poskytovania služieb občanom. Kybernetická bezpečnosť IKT prostredia samosprávy je z pohľadu občana a poskytovaných služieb významnou súčasťou prostredia eGovernmentu s priamym dopadom na práva, poplatky a elektronické služby.

249

250

Projektom sú adresované problémy súčasného stavu vyplývajúce z doterajšieho vývoja IKT obce Bernolákovo, prevádzkových požiadaviek a externých determinantov vývoja budúceho stavu.

251

252

Motivácia a rozsah projektu vyplývajú z analýzy IKT prostredia obce Bernolákovo a prevádzkových udalostí, ktoré korešpondujú s celkovým trendom v subjektoch verejnej správy, a to nedostatočnou úrovňou kybernetickej bezpečnosti vo verejnej správe, obzvlášť v časti samosprávnych subjektov. Príčiny aktuálneho stavu vyplývajú z kombinácie interných a externých faktorov. Medzi hlavné možno zaradiť:

253

254

1. Nekoncepčný prístup k problematike kybernetickej bezpečnosti v sektore verejnej správy aj medzi samotnými subjektami VS;

255

1. Nevyhovujúce, nevhodne aplikované alebo neexistujúce bezpečnostné nástroje, technológie alebo opatrenia, ktoré nereflektujú aktuálne požiadavky na kybernetickú bezpečnosť;

256

1. Dlhodobý nedostatok finančných zdrojov alokovaných pre oblasť kybernetickej bezpečnosti;

257

1. Nízka dostupnosť špecialistov na kybernetickú bezpečnosť na pracovnom trhu spojená s nedostatočnou konkurencieschopnosťou sektora VS v porovnaní s komerčným sektorom;

258

1. Nedostatočné povedomie u zamestnancov o kybernetických hrozbách a možných dopadoch kybernetických bezpečnostných incidentov;

259

1. Rýchly vývoj v oblasti kybernetických hrozieb a reaktívne správanie sa subjektov na tieto hrozby.

260

261

Obec Bernolákovo má dodávateľsky zavedené a implementované bezpečnostné opatrenia v súlade s ustanovením § 20 ods. 3 zákona o kybernetickej bezpečnosti minimálne v rozsahu:

262

263

1. organizácie kybernetickej bezpečnosti a informačnej bezpečnosti,

264

1. riadenia rizík kybernetickej bezpečnosti a informačnej bezpečnosti,

265

1. personálnej bezpečnosti,

266

1. riadenia prístupov,

267

1. riadenia kybernetickej bezpečnosti a informačnej bezpečnosti vo vzťahoch s tretími stranami,

268

1. bezpečnosti pri prevádzke informačných systémov a sietí,

269

1. hodnotenia zraniteľností a bezpečnostných aktualizácií,

270

1. ochrany proti škodlivému kódu,

271

1. sieťovej a komunikačnej bezpečnosti,

272

1. akvizície, vývoja a údržby informačných sietí a informačných systémov,

273

1. zaznamenávania udalostí a monitorovania,

274

1. fyzickej bezpečnosti a bezpečnosti prostredia,

275

1. riešenia kybernetických bezpečnostných incidentov,

276

1. kryptografických opatrení,

277

1. kontinuity prevádzky,

278

1. auditu, riadenia súladu a kontrolných činností.

279

280

Bezpečnostné opatrenia v súlade s ustanovením § 20 ods. 4 zákona o kybernetickej bezpečnosti zahŕňajú najmenej:

281

282

1. detekciu kybernetických bezpečnostných incidentov,

283

1. evidenciu kybernetických bezpečnostných incidentov,

284

1. postupy riešenia a riešenie kybernetických bezpečnostných incidentov,

285

1. určenie kontaktnej osoby pre prijímanie a evidenciu hlásení,

286

1. prepojenie do komunikačného systému pre hlásenie a riešenie kybernetických bezpečnostných incidentov a centrálneho systému včasného varovania

287

288

Jednotlivé subjekty verejnej správy a samosprávy ako jej súčasti si sami zodpovedajú za zabezpečenie primeranej úrovne informačnej a kybernetickej bezpečnosti podľa platnej legislatívy a sú povinné na tieto účely prijímať opatrenia v rámci interných preventívnych činností. Zabezpečenie funkčného bezpečnostného monitoringu je v zodpovednosti každého prevádzkovateľa osobitne, a to až na úroveň interných sietí, serverov, služieb informačných systémov a samotných používateľov. Primárnym cieľom zlepšovania úrovne kybernetickej bezpečnosti je priblížiť sa stavu, v ktorom sú siete a informačné systémy schopné odolávať kybernetickým hrozbám na primeranom stupni spoľahlivosti. Obec napriek svojim výrazným odborným a finančným limitom je sama zodpovedná za definovanie vlastnej úrovne informačnej a kybernetickej bezpečnosti. Zároveň zavedenie kvalitných bezpečnostných procesov a technológií si vyžaduje významné personálne a časové nároky.

289

290

Projekt je v súlade s intervenčnou stratégiou programu Slovensko 2021-2027 v nasledovných oblastiach:

291

292

1) súlad projektu so špecifickým cieľom: RSO1.2 (opatrenie 1.2.1)

293

294

2) súlad s očakávanými výsledkami definovanými v Partnerskej dohode pre špecifický cieľ RSO 1.26

295

296

3) súlad s definovanými typmi oprávnených aktivít v rámci výzvy.

297

298

299

Aktivita Realizácia opatrení na zvýšenie úrovne informačnej a kybernetickej bezpečnosti k splneniu KPI „PO095 - Verejné inštitúcie podporované v rozvoji kybernetických služieb, produktov a procesov“ v počte 1 a „PR017 - Používatelia nových a vylepšených verejných digitálnych služieb, produktov a procesov“ v počte 100 tým, že sa implementuje do prostredia obce Bernolákovo riešenie v oblasti, sieťovej a komunikačnej bezpečnosti, kontinuity prevádzky, sieťovej a komunikačnej bezpečnosti, bezpečnosti pri prevádzke informačných systémov a sietí, zaznamenávaní udalostí a monitorovaní, riešení kybernetických bezpečnostných incidentov, hodnotení zraniteľností a bezpečnostné aktualizácie, ochrane proti škodlivému kódu.

== {{id name="projekt_2529_Projektovy_zamer_detailny-3.2Motiváciaarozsahprojektu"/}}3.2 Motivácia a rozsah projektu ==

304

305

306

**Realizované aktivity z množiny oprávnených aktivít výzvy:**

307

308

Obec Bernolákovo deklaruje v procese realizácie projektu dodať nasledovné aktivity a dodržať tak súlad s vyhláškou NBÚ č. 362/2018 Z. z. ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení v znení vyhlášky č. 264/2023 Z. z.:

309

310

1. vytvorenú stratégiu kybernetickej bezpečnosti,

311

1. vytvorené bezpečnostné politiky kybernetickej bezpečnosti,

312

1. vykonanú inventarizáciu aktív, klasifikáciu informácií a kategorizáciu sietí a informačných systémov,

313

1. realizovanú analýzu rizík a analýzu dopadov spolu, vrátane riadenia rizík.

314

315

316

Obec Bernolákovo má vypracovaný dokument bezpečnostnej politiky kybernetickej bezpečnosti, ktorý však nepredstavuje ucelenú a systematicky aktualizovanú koncepciu. V zmysle samohodnotenia prevádzkovateľa základnej služby (obce) vykonanej zazmluvneným externým manažérom kybernetickej bezpečnosti bola konštatovaná vzájomne aktívna komunikácia a prístup medzi manažérom KB a štatutárom obce, no s výsledkom čiastočne naplnenej stratégie KB a jej cieľov.

317

318

319

**Realizované podaktivity z množiny oprávnených podaktivít výzvy:**

320

321

1. Organizácia kybernetickej a informačnej bezpečnosti

322

11. Vypracovanie alebo aktualizácia bezpečnostnej dokumentácie vrátane rozsahu a spôsobu plnenia všeobecných bezpečnostných opatrení;

323

11. vypracovanie štatútu bezpečnostného výboru;

324

11. vypracovanie bezpečnostného projektu informačného systému verejnej správy.

325

326

Budú vypracované alebo aktualizované nasledovné sady dokumentácie:

327

328

* aktualizácia bezpečnostnej dokumentácie vrátane spresnenia rozsahu a spôsobu plnenia všeobecných bezpečnostných opatrení:

329

* aktualizácia IRA: Bezpečnostná stratégia kybernetickej bezpečnosti

330

* aktualizácia IRA: Bezpečnostná politika kybernetickej bezpečnosti a informačnej bezpečnosti

331

* aktualizácia IRA: Bezpečnostná politika kybernetickej bezpečnosti: Deklarácia a záväzok vedenia;

332

* vypracovanie IRA: Štatút bezpečnostného výboru;

333

* vypracovanie bezpečnostného projektu ISVS.

334

335

1. Riadenie rizík

336

11. Identifikácia všetkých aktív súvisiacich so zariadeniami na spracovanie informácií a centrálne zaznamenávanie inventáru týchto aktív podľa ich hodnoty vrátane určenia ich vlastníka, ktorý definuje požiadavky na ich dôvernosť, dostupnosť a integritu;

337

11. implementáciu systému pre inventarizáciu aktív;

338

11. Riadenie rizík pozostávajúce z identifikácie zraniteľností, identifikácie hrozieb, identifikácie a analýzy rizík s ohľadom na aktívum, určenie vlastníka rizika, implementácie organizačných a technických bezpečnostných opatrení, analýzy funkčného dopadu a pravidelného preskúmavania identifikovaných rizík v závislosti od aktualizácie prijatých bezpečnostných opatrení;

339

11. Vypracovanie a implementácia interného riadiaceho aktu riadenia rizík kybernetickej a informačnej bezpečnosti.

340

341

Obec má v rámci bezpečnostnej politiky identifikované informačné aktíva a všetky podporné aktíva, ako aj ich evidenciu, ktoré podporujú niektorú z identifikovaných základných služieb. Rovnako boli identifikovaní relevantní dodávatelia, ktorí podporujú prevádzku základných služieb.

342

343

V súčasnom stave však absentuje klasifikácia aktív z hľadiska dôvernosti, integrity a dostupnosti. Z pohľadu udržateľnosti stavu je výrazným nedostatkom absencia procesu na aktualizáciu evidencie aktív ako aj neúplná identifikácia vlastníkov jednotlivých aktív. Evidencia o konfiguračných nastaveniach identifikovaných aktív a služieb je vedená iba čiastočne, a to treťou stranou. Rovnako aj proces pravidelného aktualizovania záznamov o evidencii konfigurácií aktív a služieb je vedený čiastočne, a to treťou stranou.

344

345

Pre danú oblasť zo samohodnotenia tiež vyplýva, že poskytovateľ základnej služby neidentifikuje a nevyhodnocuje riziká kybernetickej bezpečnosti, nenavrhuje a neimplementuje bezpečnostné opatrenia kybernetickej bezpečnosti , ktorými by znižoval ani neakceptovateľne veľké zvyškové riziká.

346

347

Budú vypracované alebo aktualizované nasledovné sady dokumentácie:

348

349

* identifikácie všetkých aktív

350

* implementácia systému pre inventarizáciu aktív - Katalóg aktív

351

* riadenie rizík

352

* vypracovanie IRA: Smernica pre riadenie bezpečnostných rizík

353

* aktualizácia IRA: Metodika pre riadenie bezpečnostných rizík

354

* implementácia predmetných IRA

355

356

1. Personálna bezpečnosť

357

11. Vypracovanie postupov pri zaradení osoby do niektorých z bezpečnostných rolí, zavedenie plánu rozvoja bezpečnostného povedomia a vzdelávania, vypracovanie spôsobov hodnotenia účinnosti plánu rozvoja bezpečnostného povedomia, určenie pravidiel a postupov na riešenie prípadov porušenia bezpečnostnej politiky, zavedenie postupov pri skončení pracovnoprávneho vzťahu alebo iného obdobného vzťahu, zavedenie postupov pri porušení bezpečnostných politík;

358

11. vypracovanie alebo aktualizácia interného riadiaceho aktu s bezpečnostnými zásadami pre koncových používateľov;

359

11. Vypracovanie a implementácia postupov a procesov upravujúcich personálnu bezpečnosť organizácie prostredníctvom interného riadiaceho aktu.

360

361

V oblasti personálnej bezpečnosti sebahodnotenie konštatuje, že nie je vykonávaná žiadna kontrola bezpečnostných politík zo strany vlastných zamestnancov a zamestnancov dodávateľov.

362

363

Budú vypracované alebo aktualizované nasledovné sady dokumentácie:

364

365

* aktualizácia IRA: Smernica Plán rozvoja bezpečnostného povedomia vrátane spôsobov hodnotenia účinnosti plánu, vrátane určenia pravidiel a postupov na riešenia prípadov porušenia bezpečnostnej politiky, zavedenie postupov pri skončení pracovnoprávneho vzťahu alebo iného obdobného vzťahu, zavedenie postupov pri porušení bezpečnostných politík

366

* aktualizácia IRA: Smernica pre používateľov

367

* vypracovanie IRA: Riadenie personálnej bezpečnosti

368

369

1. Riadenie prístupov

370

11. Vypracovanie a implementácia zásad riadenia prístupov osôb k sieti a informačnému systému;

371

11. Zavedenie, implementácia alebo aktualizácia centrálneho nástroja na správu a overovanie identity, nástroja na riadenie prístupových oprávnení vrátane privilegovaných prístupových práv a kontroly prístupových účtov a prístupových oprávnení;

372

11. Vypracovanie a implementácia postupov a procesov upravujúcich riadenie prístupov organizácie.

373

374

V oblasti riadenia prístupov je na základe sebahodnotenia nedostatočný stav. Nie sú definované rozsahy logických aj fyzických prístupových oprávnení vlastných zamestnancov a zamestnancov dodávateľom ku všetkým aktívam hodnoteného subjektu. Tiež platí, že nie je vykonávaná pravidelná kontrola nad nastavenými rozsahmi prístupových oprávnení na aktivitách.

375

376

Budú vypracované alebo aktualizované nasledovné sady dokumentácie:

377

378

* aktualizácia IRA: Smernica Riadenie prístupových práv;

379

* zapracovanie a implementácia postupov a procesov napr. prostredníctvom RACI matice v nadväznosti na implementované technické riešenie, pravidlá pre oddelenie právomocí

380

381

1. Riadenie kybernetickej a informačnej bezpečnosti vo vzťahoch s tretími stranami

382

11. Vypracovanie analýzy rizík tretích strán a celého dodávateľského reťazca, vrátane analýzy politických rizík;

383

11. analýza a posúdenie súladu všetkých aktuálnych zmlúv s tretími stranami so zákonom o KB a dobrou praxou;

384

11. vypracovanie návrhov dodatkov zmlúv s treťou stranou spolu s návrhom potrebných úprav na zabezpečenie súladu so zákonom KB;

385

11. vypracovanie a implementácia interného riadiaceho aktu upravujúceho zásady kybernetickej a informačnej bezpečnosti vo vzťahoch s tretími stranami.

386

387

Budú vypracované alebo aktualizované nasledovné sady dokumentácie:

388

389

* aktualizácia IRA: Metodika pre riadenie bezpečnostných rizík vo vzťahu k tretím stranám

390

* analýza a posúdenie súladu

391

* vypracovanie návrhov dodatkov zmlúv

392

* vypracovanie IRA: Smernica riadenie tretích strán

393

* vypracovanie IRA: Smernica požiadavky pre tretie strany

394

395

1. Bezpečnosť pri prevádzke informačných systémov a sietí

396

11. Zavedenie opatrení a interného riadiaceho aktu v oblasti riadenia zmien, riadenia kapacít, inštalácie softvéru v sieťach a informačných systémoch, inštalácia zariadení v sieťach a informačných systémoch, zaznamenávanie bezpečnostných záznamov a zaznamenávanie a vyhodnocovanie prevádzkových záznamov;

397

11. Implementácia technických riešení podporujúcich riadenie bezpečnosti pri prevádzke, napr. nástroj pre riadenie, evidenciu a schvaľovanie zmien, evidenciu bezpečnostných incidentov, konfiguračný manažment bezpečnostných nastavení;

398

11. Obstaranie služieb pre potreby správy prevádzkovej zálohy, kópie archivačnej zálohy a kópie inštalačných médií, vrátane určenia spôsobu ich ukladania, testov funkcionality dátových nosičov, testov obnovy, fyzického uloženia druhej kópie archivačnej zálohy v inom objekte a minimalizovania rizika poškodenia alebo zničenia dátových nosičov archivačných záloh vplyvom prírodných živlov alebo havárie.

399

400

Sebahodnotenie v oblasti riadenia bezpečnosti sietí konštatuje iba čiastočne implementovanú bezpečnostnú sieťovú segmentáciu spravovanú treťou stranou a nedostatok v oblasti aktívnej a priebežnej správy pravidiel na zariadeniach oddeľujúcich jednotlivé segmenty, nakoľko správa pravidiel v žiadnej forme nie je v súčasnom stave vykonávaná.

401

402

V rovine prevádzkovanej infraštruktúry je nedostatkom prevádzka jediného NAS servera bez zabezpečenia fyzickej redundancie zálohovania.

403

404

Budú vypracované alebo aktualizované nasledovné sady dokumentácie:

405

406

* vypracovanie IRA: Smernica pre riadenie zmien

407

* aktualizácia IRA: Smernica správa a prevádzka IS a služieb

408

409

1. Hodnotenie zraniteľností a bezpečnostné aktualizácie

410

11. Zavedenie, implementácia alebo aktualizácia nástroja určeného na detegovanie existujúcich zraniteľností programových prostriedkov a ich častí a detegovanie existujúcich zraniteľností technických prostriedkov a ich častí, prípadne obstaranie tejto funkcionality ako externej služby;

411

11. Vypracovanie a implementácia interného riadiaceho aktu upravujúceho proces riadenia implementácie bezpečnostných aktualizácií a záplat.

412

413

Z pohľadu schopnosti identifikovať známe zraniteľnosti aktív a vyhodnocovania potencionálneho prieniku zneužitím týchto zraniteľností absentuje systematické získavanie informácií o zraniteľnostiach od dodávateľov aktív a KB autorít. Rovnako iba čiastočne treťou stranou je realizované vyhodnocovanie dopadu známych zraniteľností na aktíva a vyhodnocovanie rizika spojeného s týmito zraniteľnosťami.

414

415

Budú vypracované alebo aktualizované nasledovné sady dokumentácie:

416

417

* vypracovanie IRA: Smernica riadenie a implementácia bezpečnostných záplat a bezpečnostných aktualizácií

418

419

1. Ochrana proti škodlivému kódu

420

11. Vypracovanie interného riadiaceho aktu s požiadavkami na určenie zodpovednosti používateľov, pravidiel pre inštaláciu a monitorovania potenciálnych ciest prieniku škodlivého kódu;

421

11. Implementácia alebo aktualizácia nástrojov na ochranu, ktoré okrem iného vykonávajú kontrolu prístupu k digitálnemu obsahu, pravidelné kontroly úložísk vrátane cloudových riešení, zabraňujú prístupu neoprávnených používateľov filtrovaním obsahu a zamedzením odinštalovať alebo zakázať funkcie systému na ochranu proti škodlivému kódu;

422

11. Vypracovanie a implementácia pravidiel súvisiace s ochranou proti škodlivému kódu;

423

424

V kontexte už uvedeného, poskytovateľ základnej služby vykazuje rezervy v orchestrácii oblasti ochrany proti škodlivému kódu. Proces zálohovania síce je zavedený, ale nie je zabezpečená fyzická redundancia, nakoľko záloha sa realizuje na rovnaké NAS úložisko, na ktorom je spustená ostrá prevádzka. Na dôvažok, proces kontinuity procesov a služieb na obnovu po havárii nie je zavedený. Rovnako, zavedený nie je ani proces incident manažmentu. Proces zmenového konania (change management) je zavedený iba čiastočne a je spravovaný treťou stranou.

425

426

Budú vypracované alebo aktualizované nasledovné sady dokumentácie:

427

428

* vypracovanie IRA: Smernica pre ochranu proti škodlivému kódu a inštaláciu a hardening IS;

429

* vypracovanie a implementácia postupov a procesov v nadväznosti na technické riešenie

430

431

1. Sieťová a komunikačná bezpečnosť

432

11. Implementácia nástrojov na ochranu integrity sietí, ktoré zabezpečujú riadenie bezpečného prístupu medzi vonkajšími a vnútornými sieťami, implementácia segmentácie sietí, implementácia alebo obnova firewall-u, revízia firewall pravidiel;

433

11. Vytvorenie alebo aktualizácia dokumentácie počítačovej siete, ktorá obsahuje evidenciu všetkých miest prepojenia sietí vrátane prepojení s externými sieťami, topológiu siete a využitie IP rozsahov.

434

11. vypracovanie a implementácia interného riadiaceho aktu upravujúceho pravidlá sieťovej a komunikačnej bezpečnosti;

435

436

Zo sebahodnotenia vyplývajú nedostatky z povahy rozsahu a zabezpečenia sieťovej infraštruktúry vzhľadom na pripojenie celej infraštruktúry do internetu prostredníctvom jedinej optickej linky s čiastočným zabezpečením prostredníctvom lokalizovaného firewallu s absenciou centrálneho zabezpečenia.

437

438

Budú vypracované alebo aktualizované nasledovné sady dokumentácie:

439

440

* vypracovanie IRA: Smernica pre pravidlá sieťovej a komunikačnej bezpečnosti

441

442

1. Akvizícia, vývoj a údržba informačných technológií verejnej správy

443

11. Vypracovanie metodiky softvérového vývoja v podobe interného riadiaceho aktu, definujúce bezpečnostné požiadavky na všetky fázy životného cyklu vývoja SW (SSDLC).

444

445

Budú vypracované alebo aktualizované nasledovné sady dokumentácie:

446

447

* vypracovanie IRA: Metodika Požiadavky pre bezpečný vývoj SSDLC

448

449

1. Zaznamenávanie udalostí a monitorovanie

450

11. Implementácia centrálneho Log manažment systému pre zber a ukladanie logov z jednotlivých informačných systémov;

451

11. Implementácia centrálneho nástroja na zaznamenávanie činností sietí a informačných systémov a používateľov a identifikovanie bezpečnostných incidentov (SIEM);

452

11. Vypracovanie dokumentácie spôsobu monitorovania a fungovania Log manažment systému a centrálneho nástroja na bezpečnostné monitorovanie a zadefinovanie spôsobu evidencie prevádzkových záznamov, ich vyhodnocovania, spôsobu hlásenia podozrivej aktivity, zodpovednej osoby a ďalších povinností;

453

11. Špecifikácia všetkých udalostí, ktoré musia byť zaznamenávané a konfigurácia prvkov informačných technológií verejnej správy, vrátane dokumentácie rozsahu dát zaznamenávaných log súborov; implementácia automatizovaných systémov vykonávajúcich dohľad pred neoprávnenými zásahmi, neautorizovaným prístupom, najmä pred zmenami a zničením, vrátane monitorovania kapacity systémov a návrh adekvátnych opatrení na ukladanie záznamov a systému logovania.

454

11. vypracovanie interného riadiaceho aktu, ktorý obsahuje a upravuje povinnosti definované platnou legislatívou;

455

456

V rámci sebahodnotenia oblasti KB boli konštatované rezervy v oblasti prevádzkového monitoringu, nakoľko obec má iba čiastočný prehľad o aktívach a komponentoch, nad ktorými potrebuje mať implementovaný prevádzkový monitoring. Zároveň iba v čiastočnom rozsahu je vykonávaný monitoring parametrov aktív a komponentov prostredia tak, aby bol zaznamenávaný nepretržitý prehľad o stave prostredia.

457

458

Budú vypracované alebo aktualizované nasledovné sady dokumentácie:

459

460

* vypracovanie IRA: Smernica o bezpečnostnom monitoringu IS a sietí

461

462

1. Riešenie kybernetických bezpečnostných incidentov

463

11. Vypracovanie štandardov a postupov riešenia kybernetických bezpečnostných incidentov, vrátane definovania zodpovedností zamestnancov a ďalších povinností;

464

11. Obstaranie služby monitorovania a analyzovania udalostí v sieťach a informačných systémoch vrátane detekcie, zberu relevantných informácií, vyhodnocovania a riešenia zistených kybernetických bezpečnostných incidentoch a vykonávania napr. forenzných analýz v snahe minimalizovať výskyt a dopad kybernetických bezpečnostných incidentov;

465

11. Implementácia nástroja na detekciu, nástroja na zber a nepretržité vyhodnocovanie a evidenciu kybernetických bezpečnostných udalostí; - vypracovanie interného riadiaceho aktu obsahujúceho a upravujúceho povinnosti týkajúce sa riešenia kybernetických bezpečnostných incidentov;

466

11. Vypracovanie interného riadiaceho aktu obsahujúceho a upravujúceho povinnosti týkajúce sa riešenia kybernetických bezpečnostných incidentov;

467

11. Vypracovanie plánov a spôsobov riešenia kybernetických bezpečnostných incidentov.

468

469

V rámci hodnotenia oblasti bezpečnostného monitoringu samohodnotenie konštatuje absenciu implementovaného nástroja na výkon bezpečnostného monitoringu nad aktívami, ktoré sa podieľajú na základnej službe. Taktiež pre túto oblasť absentuje proces, ktorým bude obec vedieť reagovať na kybernetický bezpečnostný incident.

470

471

Budú vypracované alebo aktualizované nasledovné sady dokumentácie:

472

473

* Vypracovanie štandardov a postupov riešenia kybernetických bezpečnostných incidentov - Súčasť smernice a metodiky pre riešenie bezpečnostných incidentov;

474

* aktualizácia IRA: Smernica pre riešenie bezpečnostných incidentov

475

* vypracovanie IRA: Metodika pre riešenie bezpečnostných incodentov

476

477

1. Kryptografické opatrenia

478

11. Vypracovanie a implementácia interného riadiaceho aktu upravujúceho používanie kryptografických prostriedkov a šifrovania;

479

11. Definovanie pravidiel využitia kryptografických prostriedkov používajúcich dostatočne odolné kryptografické mechanizmy na ochranu údajov pri ich prenose alebo uložení v rámci sietí a informačných systémov;

480

11. Vypracovanie a dokumentácia systému správy kryptografických kľúčov a certifikátov;

481

482

Budú vypracované alebo aktualizované nasledovné sady dokumentácie:

483

484

* vypracovanie IRA: Smernica Riadenie kryptografických opatrení

485

* vypracovanie IRA: Metodika pre Riadenie kryptografických opatrení

486

* vypracovanie IRA: Metodika pre správu kryptografických kľúčov a certifikátov

487

488

1. Kontinuita prevádzky

489

11. Vypracovanie stratégie a krízových plánov prevádzky na základe analýzy vplyvov kybernetického bezpečnost. incidentu na základnú službu;

490

11. vypracovanie plánov kontinuity prevádzky a ich prvotné otestovanie v reálnom prostredí organizácie a zapracovanie nedostatkov z výsledkov testovania;

491

11. vypracovanie interného riadiaceho aktu obsahujúceho a upravujúceho kontinuitu prevádzky následkom kybernetického bezpečnostného incidentu alebo inej krízovej situácie;

492

11. vypracovanie postupov zálohovania na obnovu siete a informačného systému po jeho narušení alebo zlyhaní v dôsledku kybernetického bezpečnostného incidentu alebo inej krízovej situácie;

493

494

Budú vypracované alebo aktualizované nasledovné sady dokumentácie:

495

496

* vypracovanie IRA: Stratégia Riadenie kontinuity prevádzky

497

* vypracovanie analýzy dopadov (BIA)"

498

* Vypracovanie BCP (plánov kontinuity prevádzky)

499

* Vypracovanie DRP (plánov obnovy prevádzky IS)

500

* Testovanie BCP a DRP

501

* aktualizácia IRA: Smernica Riadenie kontinuity prevádzky

502

* vypracovanie IRA: Metodika Riadenie kontinuity prevádzky"

503

* aktualizácia IRA: Zálohovacie politiky

504

505

1. Audit a kontrolné činnosti

506

11. Vypracovanie programu posúdenia bezpečnosti na definované informačné technológie verejnej správy, hodnotenia zraniteľností a penetračných testov;

507

508

Budú vypracované alebo aktualizované nasledovné sady dokumentácie:

509

510

* vypracovanie programu posúdenia bezpečnosti na definované informačné technológie verejnej správy

511

512

513

Vychádzajúc z výsledkov samohodnotenia úrovne kybernetickej bezpečnosti u poskytovateľa základnej služby, obce Bernolákovo, má byť rešpektujúc jednotlivé podaktivity výzvy v budúcom stave implemetnované:

514

515

1. Centralizovaná platforma NGFW alebo UTM firewall vrátane inštalácie zariadení a príslušného softvérového riešenia a školení. Platforma postavená na HW akcelerovanej architektúre (t.j. zariadenia vybavené špecializovanými obvodmi FPGA/ASIC pre spracovanie komunikácie a vybraných výpočtovo náročných funkcií. Podpora služby výrobcu umožňujúca detekovať malware, ktorý bol objavený v dobe od poslednej aktualizácie AV signatúrovej databázy pomocou globálnej a rýchle sa aktualizujúcej databázy hash-ov. Podpora funkcie odstránenia aktívneho obsahu z dokumentov kancelárskych aplikácií – AV engine na firewalle v reálnom čase odstráni aktívny obsah z dokumentu pričom tento zostáva v pôvodnom formáte, ale sú z neho odstránené všetky aktívne prvky a ďalšie funkcie. Zaškolenie oprávnených osôb obstarávateľa preberajúcich implementovanú technológiu pod svoju správu, administrátorov. Nejedná sa o školenie pre zamestnancov za účelom zvýšenia ich povedomia v oblasti kybernetickej bezpečnosti. Cieľom zaškolenia je odovzdanie takých poznatkov, ktoré sú nevyhnutné na každodennú prácu s dodaným firewallom.

516

1. Softvérové vybavenie typu Endpoint Protection a Endpoint Detection & Response vrátane inštalácie a príslušných školení. Softvérové vybavenie slúžiace na prevenciu kybernetických útokov, detekciu a reakciu na už existujúce hrozby pre pracovné stanice poskytovateľa základnej služby. Prioritou implemntácie modulu EDR je detekcia, monitorovanie a rýchla reakcia na kybernetické hrozby. Implemntáciou modulu EDR sa zabezpečí schopnosť identifikovať a zabrániť rôznym typom hrozieb, vrátane malvéru, ransomvéru a iných škodlivých aktivít, pričom toto riešenie podporuje tkz. „samoučiaci režim“, ochranu pred neznámymi hrozbami a anti-ransomware ochranu. Riešenie umožní monitorovať všetky koncové zariadenia v reálnom čase, ponúknuť centralizovanú správu, vytvárať správy pre bezpečnostných administrátorov a definovať politiky pre jednotlivé skupiny administrátorov. EDR riešenie umožní rýchlu reakciu na incidenty, vrátane izolácie postihnutých zariadení, odstránenia hrozieb a obnovy systémov, a podporí threat hunting s funkciou vizualizácie a minimálnou 30-dňovou retenciou dát. Možnosť integrácie s Microsoft Active Directory s cieľom importovať strom Active Directory. Dodávaná ako cloudová platforma. Poskytuje vyhradený komponent na centralizáciu komunikácie medzi koncovými bodmi a cloudom. Poskytuje komponent, ktorý funguje ako vyrovnávacia pamäť pre aktualizácie a opravy podpisov. Poskytuje komponent, ktorý môže odosielať všetky bezpečnostné výstrahy do interného syslogu alebo SIEM.

517

1. Softvérové vybavenie pre hash certifikáciu aplikácii a kontrolu aplikačného vybavenia, aplikovanie bezpečnostných politík blokovania sieťovej komunikácie, white & black listing hardvérových zariadení, monitoring a inštalácia záplatových balíčkov a aktualizácií, monitoring ransomvérových útokov.

518

1. Dokumentácia pre plány, spôsoby, riešenia a implementáciu pravidiel zvýšenia úrovne kybernetickej bezpečnosti (kapitola Výstupy)

519

1. Penetračné testovanie delené na test externého perimetra (Reconnisaince, Service discovery, Overenie bezpečnosti VPN, Externý sken IPs vystavených do internetu; Manuálna analýza Service version discovery, Vulnerability discovery; Manuálne overenie zraniteľností – Exploitácia), interný infraštruktúrny test (Reconnisaince, Service discovery, Overenie bezpečnosti VPN, Externý sken IPs vystavených do internetu; Manuálna analýza Service version discovery, Vulnerability discovery, Manuálne overenie zraniteľností, Exploitácia), Reporting - Executive summary; Krátky zoznam zraniteľností s ich hodnotením podľa impact-severity; Popis jednotlivých identifikovaných zraniteľností, Umiestnenie zraniteľností, Odporúčania na odstránenie, Popis vykonaného testovania spolu s dátumami). Testované budú aj webové služby informačných systémov s dodaním reportu (Mechanizmy autentifikácie, Kontroly autorizácie, Validácia údajov a filtrovanie vstupov, Session management, Spracovanie chýb, Riadenie konfigurácie, Šifrovanie a ochrana údajov, Bezpečnosť API (ak je to relevantné), Dodržiavanie zvolených bezpečnostných metód OWASP API TOP 10 2019)

520

521

(% class="wrapped" %)

|(((

**P.č.**

)))|(((

**Názov hodnotiaceho kritéria**

526

)))|(((

527

**Parametre v projekte**

)))|(((

**Zdroj**

)))

|(((

1.

)))|(((

Miera rizík ohrozujúcich úspešnú realizáciu projektu

535

)))|(((

536

V rámci projektu bolo identifikovaných menej ako 10 % rizík z celkového počtu identifikovaných rizík v ŽoNFP je s vysokou závažnosťou, ktoré ohrozujú úspešnú realizáciu projektu.

537

)))|(((

538

viď príloha č. 1 projektového zámeru I_01_PRILOHA_1_REGISTER_RIZIK-a-ZAVISLOSTI.xlsx, ktorý tvorí aj prílohu ŽoNFP.

)))

|(((

2.

)))|(((

Administratívne, odborné a prevádzkové kapacity žiadateľa

544

)))|(((

545

Žiadateľ disponuje a plánuje (v súlade s podmienkami výzvy) dostatočné odborné kapacity s náležitou odbornou spôsobilosťou a know-how na riadenie a implementáciu projektu v danej oblasti. Popis zabezpečenia prevádzky riešenia je reálny, t. j. žiadateľ disponuje a plánuje (v súlade s podmienkami výzvy) personálne kapacity pre zabezpečenie prevádzky riešenia.

546

)))|(((

547

Informácie o projektovom tíme sú uvedené v kapitole 9 projektového zámeru.

Prílohou ŽoNFP sú:

- Životopisy členov projektového tímu

)))

|(((

3.

)))|(((

Miera oprávnenosti výdavkov projektu.

557

)))|(((

558

Všetky oprávnené aktivity vychádzajú z bodu 2 Výzvy a prílohy 8 Výzvy, ktorá definuje oprávnené podaktivity.

559

)))|(((

560

V rámci projektu budú realizované nasledovné oprávnené podaktivity:

561

562

- Organizácia kybernetickej a informačnej bezpečnosti

- Riadenie rizík

- Personálna bezpečnosť

567

568

- Riadenie kybernetickej a informačnej bezpečnosti vo vzťahoch s tretími stranami

569

570

- Personálna bezpečnosť

- Riadenie prístupov

- Riadenie kybernetickej a informačnej bezpečnosti vo vzťahoch s tretími stranami

575

576

- Bezpečnosť pri prevádzke informačných systémov a sietí

577

578

- Hodnotenie zraniteľností a bezpečnostné aktualizácie

579

580

- Ochrana proti škodlivému kódu

581

582

- Sieťová a komunikačná bezpečnosť

583

584

- Akvizícia, vývoj a údržba informačných technológií verejnej správy

585

586

- Zaznamenávanie udalostí a monitorovanie

587

588

- Riešenie kybernetických bezpečnostných incidentov

589

590

- Kryptografické opatrenia

591

592

- Kontinuita prevádzky

593

594

- Audit a kontrolné činnosti

595

596

597

Ceny jednotlivých výdavkov premietnutých do rozpočtu boli získané na základe prieskumov trhu.

)))

|(((

4.

)))|(((

Dôležitosť kybernetickej bezpečnosti u žiadateľa a potenciálny dopad kybernetických incidentov.

603

)))|(((

604

V zmysle kapitoly 3.2.5 PODPORA V OBLASTI KIB NA REGIONÁLNEJ ÚROVNI uvedenej v prílohe 2 Výzvy boli identifikované jednotlivé kategórie.

605

)))|(((

606

§ 24 ods. 2 písm. a) – kategória: I.

607

608

§ 24 ods. 2 písm. b) a c) – kategória: II.

609

610

§ 24 ods. 2 písm. d) – kategória: III.

611

612

§24 ods. 2 písm. e) – kategória: I.

)))

(% class="wrapped" %)

617

|(((

618

**Dopad kybernetického bezpečnostného incidentu v závislosti**

)))|(((

**Kategória**

)))|(((

**Vysvetlenie**

)))

|(((

§ 24 ods. 2 písm. a) zákona 69/2018 Z.z.

626

627

Počet používateľov základnej služby zasiahnutých kybernetickým bezpečnostným incidentom.

)))|(((

I.

)))|(((

Počet interných zamestnancov: 100

Počet klientov:

- Fyzické osoby (občania): 8613 (k 1.1.2024, zdroj Štatistický úrad SR)

636

637

- Právnické osoby: 1430 (údaje za rok 2023) (obce, mestá, VÚC, ministerstvá, externí ochraňovatelia)

638

639

Celkom 10 043 dotknutých osôb.

640

)))

641

|(((

642

§ 24 ods. 2 písm. b) zákona 69/2018 Z.z.

643

644

Dĺžka trvania kybernetického bezpečnostného incidentu (čas pôsobenia kybernetického bezpečnostného incidentu)

a/alebo

§ 24 ods. 2 písm. c) zákona

649

650

Geografické rozšírenie kybernetického bezpečnostného incidentu.

)))|(((

II.

)))|(((

Obec Bernolákovo má 7 ISVS, ktoré sú technicky realizované pre účely základnej služby pomocou 4 IS. V prípade kybernetického incidentu predpokladáme nedostupnosť IS na 10 pracovných dní (sedem a pol hodiny), čo by v praxi znamenalo obmedzenie alebo narušenie prevádzky základnej služby v rozsahu 18 000 hodín z pohľadu zamestnancov, nedostupnosť základnej služby pre obyvateľov mesta a právnické osoby v celkovom rozsahu 597 020 hodín (10 dní, 8 pracovných hodín).

)))

|(((

§ 24 ods. 2 písm. d) zákona 69/2018 Z.z.

660

661

Stupeň narušenia fungovania základnej služby.

)))|(((

III.

)))|(((

Incident spôsobí úplnú nedostupnosť druhu služby, pre ktorú nie je možné zabezpečiť náhradné riešenie. V prípade nefunkčnosti informačných systémov nie je k dispozícii náhradné riešenie.

666

)))

667

|(((

668

§ 24 ods. 2 písm. e) zákona 69/2018 Z.z.

669

670

Rozsah vplyvu kybernetického bezpečnostného incidentu na hospodárske alebo spoločenské činnosti štátu.

)))|(((

I.

)))|(((

V prípade nefunkčnosti budú zasiahnutí zamestnanci obce, občania a podnikateľské subjekty, či iné organizácie. Incident môže spôsobiť hospodársku stratu alebo hmotnú škodu najmenej jednému užívateľovi viac ako 250 000 eur, či narušenie verejného poriadku, alebo verejnej bezpečnosti vo významnej časti okresu.

)))

== {{id name="projekt_2529_Projektovy_zamer_detailny-3.3Zainteresovanéstrany/Stakeholderi"/}}3.3 Zainteresované strany/Stakeholderi ==

680

681

(% class="wrapped" %)

|(((

ID

)))|(((

AKTÉR / STAKEHOLDER

)))|(((

SUBJEKT

(názov / skratka)

)))|(((

ROLA

(vlastník procesu/ vlastník dát/zákazník/ užívateľ …. člen tímu atď.)

)))|(((

Informačný systém

(MetaIS kód a názov ISVS)

)))

|(((

1.

)))|(((

Ministerstvo investícií, regionálneho rozvoja a informatizácie SR

)))|(((

MIRRI

)))|(((

Orgán vedenia

)))|(((

Isvs_63 MetaIS

)))

|(((

2.

)))|(((

Občan / podnikateľ

)))|(((

G2B/G2C

)))|(((

Konzument elektronických služieb

)))|(((

)))

|(((

3.

)))|(((

Zamestnanec obce

)))|(((

G2E

)))|(((

Spracovateľ elektronických služieb

)))|(((

)))

|(((

4.

)))|(((

Obec

)))|(((

Bernolákovo

)))|(((

Orgán riadenia v roli prijímateľa

740

)))|(((

741

ISVS a infraštruktúra

)))

== {{id name="projekt_2529_Projektovy_zamer_detailny-3.4Cieleprojektu"/}}3.4 Ciele projektu ==

747

748

749

(% class="wrapped" %)

|(((

ID

)))|(((

Názov cieľa

)))|(((

Názov strategického cieľa

759

)))|(((

760

Spôsob realizácie strategického cieľa

)))

|(((

ID01

)))|(((

RSO 1.2, kat. MRR,

)))|(((

Realizácia opatrení na zvýšenie úrovne informačnej a kybernetickej bezpečnosti

768

)))|(((

769

Komplexné zvýšenie úrovne kybernetickej bezpečnosti implementáciou aplikačného a technologického vybavenia.

)))

**~ **

== {{id name="projekt_2529_Projektovy_zamer_detailny-3.5Merateľnéukazovatele(KPI)"/}}3.5 Merateľné ukazovatele (KPI) ==

775

776

Žiadateľ je povinný stanoviť cieľové hodnoty merateľných ukazovateľov projektu pre každú vybranú hlavnú aktivitu projektu, špecifický cieľ a kategóriu regiónu osobitne v závislosti od výberu príkladov oprávnených hlavných aktivít projektu.

777

778

779

(% class="wrapped" %)

|(((

ID

)))|(((

ID/Názov cieľa

)))|(((

Názov

ukazovateľa (KPI)

)))|(((

Popis

ukazovateľa

)))|(((

Merná jednotka

)))|(((

AS IS

merateľné hodnoty

(aktuálne)

)))|(((

TO BE

Merateľné hodnoty

(cieľové hodnoty)

)))|(((

Spôsob ich merania

)))|(((

Pozn.

)))

|(((

ID01

)))|(((

Výstup PO095 / PSKPSOI12

813

)))|(((

814

Verejné inštitúcie podporované v rozvoji kybernetických služieb, produktov a procesov

815

)))|(((

816

Počet verejných inštitúcií, ktoré sú podporované za účelom rozvoja a modernizácie kybernetických služieb, produktov, procesov a zvyšovania vedomostnej úrovne napríklad v kontexte opatrení smerujúcich k elektronickej bezpečnosti verejnej správy.

817

)))|(((

818

Počet verejných inštitúcií

)))|(((

0

)))|(((

1

)))|(((

Identifikácia počtu realizácie opatrení KIB pre inštitúciu – splnenie súladu KIB so zákonom o kybernetickej bezpečnosti a zákonom o ISVS

)))|(((

...

)))

|(((

ID02

)))|(((

Výsledok PR017 / PSKPRCR11

832

)))|(((

833

PR017 / PSKPRCR11 - Používatelia nových a vylepšených verejných digitálnych služieb, produktov a procesov

834

)))|(((

835

Ukazovateľ PR017 uvádza počet všetkých zamestnancov obce Bernolákovo, ktorí budú primárnou skupinou používateľov nových/vylepšených produktov a procesov realizovaných v rámci projektu

)))|(((

používatelia / rok

)))|(((

0

)))|(((

100

)))|(((

Sumarizácia počtu používateľov nových a vylepšených digitálnych služieb – bude určené počtom prístupov, Databázou používateľov v oblasti KIB.

844

845

V prípade obce Bernolákovo SR ide o počet zamestnancov, ktorí využívajú IS obce Bernolákovo alebo akékoľvek elektronické zariadenia v správe obce Bernolákovo.

846

847

Čas plnenia merateľného ukazovateľa projektu:

848

849

v rámci udržateľnosti projektu

850

)))|(((

851

PR017 / PSKPRCR11 - Používatelia nových a vylepšených verejných digitálnych služieb, produktov a procesov

)))

== {{id name="projekt_2529_Projektovy_zamer_detailny-3.6Špecifikáciapotriebkoncovéhopoužívateľa"/}}3.6 Špecifikácia potrieb koncového používateľa ==

857

858

Realizáciou projektu sa rieši zvýšenie úrovne zabezpečenia informačných systémov v prostredí verejnej správy. Projektom sa neimplementujú žiadne koncové služby pre obyvateľov a podnikateľov, ani koncové služby pre zamestnancov verejnej správy. Zmeny implementované projektom spočívajú v riadení bezpečnostných politík, obnovy IKT vybavenia a zmeny backendových procesov. Z tohto dôvodu nie je potrebné definovať potreby koncového používateľa samostatným používateľským prieskumom. Vyššie uvedené rozširovanie a doplnenie služieb bezpečnostného monitoringu bude poskytované aj organizáciám v zriaďovateľskej pôsobnosti žiadateľa. Zo zvýšeného zabezpečenia IKT prostredia obce Bernolákovo budú priamo profitovať subjekty využívajúce elektronické služby samospráv, ktorú budú bezpečnejšie a zároveň bude zabezpečená ich vysoká dostupnosť.

.

== {{id name="projekt_2529_Projektovy_zamer_detailny-3.7Rizikáazávislosti"/}}3.7 Riziká a závislosti ==

863

864

865

Riziká a závislostí sú spracované v Prílohe č. 1 – Zoznam RIZÍK a ZÁVISLOSTI.

866

867

868

== {{id name="projekt_2529_Projektovy_zamer_detailny-3.8Stanoveniealternatívvbiznisovejvrstvearchitektúry"/}}3.8 Stanovenie alternatív v biznisovej vrstve architektúry ==

869

870

871

V rámci biznisovej vrstvy architektúry sme porovnávali 3 variantné alternatívy riešenia súčasného stavu. Na základe identifikovaného rozsahu problému v projektovom zámere boli stanovené tri rôzne riešenia. Ako najefektívnejšia bola vybraná Alternatíva č. 2, taká, kt. pokrýva procesy a požiadavky všetkých stakeholderov a k oblasti kybernetickej bezpečnosti v obci Bernolákovo pristupuje v takej granularite, ktorá zodpovedá hodnote chránených aktív.

872

873

874

[[image:attach:Obrázok1.png||width="532"]]

875

876

Alternatíva 1 spočíva v tom, že by neboli prijaté žiadne zmeny v oblasti monitoringu, spracovania a vyhodnocovania údajov z pohľadu kybernetickej bezpečnosti a realizácie preventívnych opatrení. V súčasnom stave by to znamenalo nedostatočné poznanie komunikácie v infraštruktúrnom prostredí obce, kumulovanie rizika vzniku bezpečnostného incidentu, tvorbu investičného dlhu na IKT a ohrozenie budúcej funkčnosti správy veci verejných v obci či poskytovania služieb občanom.

877

878

879

Alternatíva 2 spočíva v simultánnom nasadení viacerých softvérových a hardvérových nástrojov na plošné zvýšenie úrovne kybernetickej bezpečnosti v krátkodobom časovom horizonte. Nakoľko je softvérové, hardvérové a infraštruktúrne prostredie z hľadiska KB bezpečné len do takej miery, do akej je zabezpečená jeho najzraniteľnejšia časť, považujeme centrálne plánovaný a komplexný prístup za najefektívnejší ako na biznis, aplikačnej aj technologickej vrstve.

880

881

882

Alternatíva 3 spočíva v tom, že by nedošlo k zásadným zmenám v oblasti zberu, spracovania a vyhodnocovania bezpečnostných údajov a v oblasti preventívnych opatrení, rýchlosti detekcie a riešenia incidentov. Avšak jednotlivé riešenia, nástroje a technológie by boli budované postupne a agendy v oblasti KB a jednotlivé oblasti by boli zefektívňované postupnými krokmi, viacerými projektami rozloženými v čase.

883

884

885

== {{id name="projekt_2529_Projektovy_zamer_detailny-3.9Multikriteriálnaanalýza"/}}3.9 Multikriteriálna analýza ==

886

887

888

Výber alternatív prebieha prostredníctvom MCA zostavenej na základe kapitoly Motivácia a rozsah projektu, ktorá obsahuje ciele stakeholderov, ich požiadavky a obmedzenia pre dosiahnutie uvedených cieľov. Niektoré (nie všetky) kritériá, môžu byť označené ako KO kritériá. KO kritériá označujú biznis požiadavky na riešenie, ktoré sú z hľadiska rozsahu identifikovaného problému a motivácie nevyhnutné pre riešenie problému a všetky akceptovateľné alternatívy ich tak musia naplniť. Alternatívy, ktoré nesplnia všetky KO kritériá, môžu byť vylúčené z ďalšieho posudzovania. KO kritériá nesmú byť technologické (preferovať jednu formu technologickej implementácie voči druhej)

Spracovanie MCA

(% class="wrapped" %)

|(((

**// //**

)))|(((

KRITÉRIUM

)))|(((

ZDÔVODNENIE KRIÉRIA

)))|(((

STAKEHOLDER

MIRRI

)))|(((

STAKEHOLDER

G2B/G2C

)))|(((

STAKEHOLDER

G2E

)))|(((

STAKEHOLDER

PZS

)))

|(% rowspan="4" %)(((

BIZNIS VRSTVA

// //

)))|(((

Kritérium A (KO) Nasadenie firewall do celého prostredia infraštruktúry

923

)))|(((

924

Nasadenie nového firewallu tak, aby chránil celé prostredie, nie len jeho vybranú časť.

)))|(((

X

)))|(((

)))|(((

)))|(((

X

)))

|(((

Kritérium B

Plošné zabezpečenie prostredia bez SPoF

941

)))|(((

942

Komplexné zlepšenie ochrany bez vytvorenia rizikovej oblasti s vysokou zraniteľnosťou.

)))|(((

X

)))|(((

)))|(((

)))|(((

X

)))

|(((

Kritérium C

Zabezpečenie zvýšenia úrovne KB nad HW aj SW časťou infraštruktúry

959

)))|(((

960

Zvýšenie úrovne KB je potrebné realizovať holisticky bez preferencie jednotlivých prostredí.

)))|(((

X

)))|(((

)))|(((

)))|(((

X

)))

|(((

Kritérium D

Kontinuálne poskytovanie elektronických služieb s vysokou dostupnosťou

977

)))|(((

978

Implementácia projektu bez narušenia poskytovania elektronických služieb.

)))|(((

)))|(((

X

)))|(((

X

)))|(((

X

)))

Vyhodnotenie MCA

(% class="wrapped" %)

|(((

Zoznam kritérií

)))|(((

Alternatíva

1

)))|(((

Spôsob

dosiahnutia

)))|(((

Alternatíva 2

)))|(((

Spôsob

dosiahnutia

)))|(((

Alternatíva

3

)))|(((

Spôsob dosiahnutia

)))

|(((

Kritérium A

)))|(((

Nie

)))|(((

N/A

)))|(((

Áno

)))|(((

Systematické a plošné zvýšenie úrovne KB zahŕňa rozšírenie Firewallu na všetky aktíva.

)))|(((

Áno

)))|(((

V alternatíve 3 sa síce implementujú všetky navrhované nástroje, ale sú neefektívne rozložené v čase

)))

|(((

Kritérium B

)))|(((

Nie

)))|(((

N/A

)))|(((

Áno

)))|(((

Systematické a plošné zvýšenie úrovne KB eliminuje riziko vzniku nepomerne zraniteľnej časti aktív.

)))|(((

Nie

)))|(((

N/A

)))

|(((

Kritérium C

)))|(((

Nie

)))|(((

N/A

)))|(((

Áno

)))|(((

Systematické a plošné zvýšenie úrovne KB vychádza z pokrytia SW aj HW časti aktív.

)))|(((

Nie

)))|(((

N/A

)))

|(((

Kritérium D

)))|(((

Nie

)))|(((

N/A

)))|(((

Áno

)))|(((

Systematické a plošné zvýšenie úrovne KB vytvorí základný predpoklad pre neohrozenie poskytovania elektronických služieb.

)))|(((

Čiastočne

)))|(((

Vzhľadom na rizikový harmonogram vyplývajúci z povahy alternatívy nemožno výpadok služieb vylúčiť.

)))

// //

== {{id name="projekt_2529_Projektovy_zamer_detailny-3.10Stanoveniealternatívvaplikačnejvrstvearchitektúry"/}}3.10 Stanovenie alternatív v aplikačnej vrstve architektúry ==

1084

1085

1086

Alternatívy na úrovni aplikačnej architektúry reflektujú alternatívy vypracované na základe „nadradenej" architektonickej biznis vrstvy, pričom vďaka uplatneniu nasledujúcich princípov aplikačná vrstva architektúry dopĺňa informácie k alternatívam stanoveným pomocou biznis architektúry. Ako najvýhodnejšiu z danej analýzy považujeme Alternatívu 2. Výber Aplikačnej architektúry reflektuje výber nadradenej biznis architektúry.

1087

1088

1089

== {{id name="projekt_2529_Projektovy_zamer_detailny-3.11Stanoveniealternatívvtechnologickejvrstvearchitektúry"/}}3.11 Stanovenie alternatív v technologickej vrstve architektúry ==

1090

1091

1092

Výber alternatívy na úrovni technologickej a bezpečnostnej vrstvy architektúry kopíruje výber alternatívy č. 2 na základe MCA. Riešenie predstavuje minimálny rozsah technologického a softvérového zlepšenia prostredia pre splnenie predpokladov kybernetického auditu a zabezpečenie dostatočnej ochrany prostredia s ohľadom na hodnotu chránených aktív.

1093

1094

= {{id name="projekt_2529_Projektovy_zamer_detailny-4.POŽADOVANÉVÝSTUPY(PRODUKTPROJEKTU)"/}}4. POŽADOVANÉ VÝSTUPY (PRODUKT PROJEKTU) =

1095

1096

1097

Dokumenty a metodické materiály vytvorené v oblasti bezpečnosti informačných technológií verejnej správy pre minimálne bezpečnostné opatrenia kategórie II. v súlade so Zákonom č. 95/2019 Z. z. o ITVS a zároveň so Zákonom č. 69/2018 Z. z. o KB a prislúchajúcich vyhlášok. Rozvetvené okruhy zákonmi požadovaných dokumentácií:

1098

1099

1100

Oblasť organizácia kybernetickej bezpečnosti:

1101

1102

* Bezpečnostná stratégia kybernetickej bezpečnosti (Klasifikačný stupeň Chránené, okruh oprávnených osôb – MKB, R OIT, BEZP Výbor, Poverení riadiaci zamestnanci),

1103

* Smernica - Bezpečnostná politika kybernetickej bezpečnosti a informačnej bezpečnosti redukovaná, TYP B (tzv. veľká politika, analytický vstup pre danú kategóriu), (Klasifikačný stupeň Interné),

1104

* Štatút bezpečnostného výboru, rokovací poriadok.

Oblasť aktíva:

* Smernica pre klasifikáciu informačných aktív, informácií a kategorizáciu sietí a informačných systémov, 5 príloh (Klasifikačný stupeň Interné),

1110

* Metodika pre klasifikáciu informačných aktív, informácií a kategorizáciu sietí a informačných systémov (Klasifikačný stupeň Interné).

Oblasť incidenty:

* Smernica - Riešenie bezpečnostných incidentov, 2 prílohy (Klasifikačný stupeň Interné),

1116

* Metodika - Riešenie bezpečnostných incidentov (Klasifikačný stupeň Chránené, okruh oprávnených osôb – MKB, R OIT, BEZP Výbor, Poverení zamestnanci pre riešenie bezpečnostných incidentov (vybraní administrátori, bezpečnostní špecialisti, audit, poverené ext. subjekty pre riešenie KBI).

1117

1118

1119

Oblasť Riadenie bezpečnosti prevádzky IS a IT, riadenie bezpečnosti sietí

1120

1121

* Smernica - Pravidlá pre používanie informačných systémov a služieb (Klasifikačný stupeň Interné).

1122

* Smernica riadenie prístupových práv (Klasifikačný stupeň Interné), Prílohy vzory a formuláre pre schválenie prístupových práv a nástupné a výstupné formuláre zamestnanca a administrátora a pod.,

1123

* Vzor RACI matica (Klasifikačný stupeň Chránené, okruh oprávnených osôb – MKB, R OIT, BEZP Výbor, Poverení riadiaci zamestnanci, Poverení vybraní zamestnanci RĽZ/HR),

1124

* Smernica správa a prevádzka informačných systémov a služieb, 2 prílohy redukovaná, TYP B (pohľad administrátora, Klasifikačný stupeň Interné),

1125

* Smernica pre riadenie zmien (Klasifikačný stupeň Interné).

1126

1127

1128

Oblasť tretie strany:

1129

1130

* Smernica riadenie tretích strán (smernica pre zamestnancov, Klasifikačný stupeň Interné),

1131

* Smernica požiadavky pre tretie strany (smernica pre dodávateľov a zamestnancov zazmluvnených tretích strán, táto Smernica sa po úprave – spresnení požiadaviek na bezpečnosť oboma zmluvnými stranami - špecifikuje ako príloha ku Zmluve o zabezpečení plnenia bezpečnostných opatrení, Klasifikačný stupeň Interné),

1132

* Vzor zmluvy pre tretie strany podľa ZoKB Zmluva o zabezpečení plnenia bezpečnostných opatrení (táto zmluva buď nie je predmetom zverejnenia na CRZ, alebo jej príloha/prílohy týkajúce sa špecifických bezpečnostných opatrení (napr. vychádzajúcich z metodiky pre riadenie cloudových služieb, metodiky pre SSDLC, resp. smernice Požiadavky pre tretie strany (viď. vyššie)) sa nezverejňuje.

1133

1134

1135

Oblasť riadenie rizík:

1136

1137

* Smernica Riadenie bezpečnostných rizík (Klasifikačný stupeň Chránené, okruh oprávnených osôb – MKB, R OIT, BEZP Výbor, Poverení riadiaci zamestnanci),

1138

* Metodika Riadenie bezpečnostných rizík (Klasifikačný stupeň Chránené, okruh oprávnených osôb – MKB, R OIT, BEZP Výbor, Poverení riadiaci zamestnanci),

1139

* Metodika Riadenie bezpečnostných rizík tretích strán (Klasifikačný stupeň Chránené, okruh oprávnených osôb), riadenie bezpečnostných rizík tretích strán, dotazník pre tretie strany (Klasifikačný stupeň Chránené, okruh oprávnených osôb).

1140

1141

1142

Oblasť špecifické (riadenie súladu a audit):

1143

1144

* Smernica - Riadenie súladu a audit (Klasifikačný stupeň Chránené, okruh oprávnených osôb – MKB, R OIT, BEZP Výbor, Poverení riadiaci zamestnanci),

1145

* Audit checklist redukovaný, TYP B (Kontrolné checklisty pre jednotlivé prípady, s ktorými sa pracuje pri vyhodnocovaní plnenia bezpečnostných opatrení – či už v rámci prostredia verejného obstarávateľa, alebo vyhodnocovania plnenia požiadaviek tretími stranami a pod., Klasifikačný stupeň Chránené, okruh oprávnených osôb – MKB, R OIT, zamestnanci OIT, BEZP Výbor, Poverení riadiaci zamestnanci).

1146

1147

1148

= {{id name="projekt_2529_Projektovy_zamer_detailny-5.NÁHĽADARCHITEKTÚRY"/}}5. NÁHĽAD ARCHITEKTÚRY =

1149

1150

Služby a funkcie uvedené v tejto kapitole poskytujú z dôvodu, že sa jedná o projekt kybernetickej bezpečnosti len základné informácie a základný architektonický rámec riešenia, ktoré by malo byť implementované projektom. Budúce riešenie zabezpečenia informačnej a kybernetickej bezpečnosti sa bude skladať najmä z nasledovných funkcií:

1151

1152

* Kybernetická ochrana a detekcia škodlivých aktivít a bezpečnostných incidentov: Bezpečnostný monitoring IS, platforiem, aplikácií a používateľských činností a aktivít. Monitoring sietí, monitoring činností a aktivít privilegovaných používateľov.

1153

* Riadenie bezpečnostných incidentov: Identifikácia a hlásenie bezpečnostných incidentov, registrácia, kategorizácia a klasifikácia bezpečnostných incidentov. Akceptácia bezpečnostných incidentov a určenie riešiteľov. Analýza a vyšetrovanie bezpečnostných incidentov a zber dôkazov. Riešenie bezpečnostných incidentov a obnova prevádzky, uzatvorenie bezpečnostných incidentov, vyhodnotenie bezpečnostných incidentov, zavedenie do knowledge databázy kybernetickej bezpečnosti, spätná väzba a poučenie sa z bezpečnostného incidentu.

1154

* Zvýšenie ochrany pred útokmi z externého prostredia: Ochrana pred malware a ransomware, manažment bezpečnosti sietí, manažment bezpečnostných konfigurácií (implementácia systému pre jednotnú správu a deployment bezpečnostných politík a bezpečnostných konfigurácií).

1155

* Ochrana dát, dátových prenosov a komunikácie: Bezpečnosť virtualizovaných prostredí, ochrana dát na úrovni databáz a dátových úložísk, ochrana dát na úrovni koncových zariadení

1156

* Zvýšenie ochrany pred útokmi z externého prostredia: Ochrana pred malware a ransomware. Manažment bezpečnosti sietí, manažment bezpečnostných konfigurácií.

1157

1158

1159

Náhľad aplikačnej to be vrstvy architektúry

1160

1161

[[image:attach:image-2024-4-30_23-45-7-1.png||height="400"]]

1162

1163

Náhľad technologickej to be vrstvy architektúry

1164

1165

[[image:attach:image-2024-4-30_23-45-22-1.png||height="400"]]

1166

1167

Infraštruktúrne prostredie obce Bernolákovo je v rámci tzv. metropolitnej siete štruktúrované do nasledovných lokalít:

1168

1169

* Obecný úrad pracovisko Hlavná 111

1170

* Obecný úrad pracovisko horný dvor

1171

* Obecný úrad pracovisko Klientske centrum

1172

* Obecný úrad pracovisko Viničná 2

1173

* Obecný úrad pracovisko Trnavská – prevádzka

1174

* Kultúrny dom

1175

* Multifunkčná hala

1176

* Obecná polícia pracovisko Viničná 2

1177

* Obecná polícia pracovisko Horný dvor

1178

* Materská škola Kondrótova 1

1179

* Materská škola Kondrótova 2

1180

* Materská škola Komenského 1

1181

* Základná škola Komenského 3

1182

* Základná škola Školská 1 – Dostavba

1183

1184

1185

Aplikačné prostredie z pohľadu informačných systémov verejnej správy obce Bernolákovo pozostáva z nasledovných komponentov:

1186

1187

(% class="wrapped" %)

1188

|(((

1189

**Kód ISVS **//(z MetaIS)//

)))|(((

**Názov ISVS**

)))|(((

**Modul ISVS**

//(zaškrtnite ak ISVS je modulom)//

)))|(((

**Stav IS VS**

)))|(((

**Typ IS VS**

)))|(((

**Kód nadradeného ISVS**

1202

1203

//(v prípade zaškrtnutého checkboxu pre modul ISVS)//

1204

)))

1205

|(((

1206

[[isvs_9857>>url:https://metais.vicepremier.gov.sk/detail/ISVS/8b8981b5-6ef7-4ff1-93b4-efa280480dc5/cimaster?tab=summarizingCart||shape="rect"]]

1207

)))|(((

1208

[[Registratúra - Memhhis>>url:https://metais.vicepremier.gov.sk/detail/ISVS/8b8981b5-6ef7-4ff1-93b4-efa280480dc5/cimaster?tab=summarizingCart||shape="rect"]]

)))|(((

☐

)))|(((

Prevádzkovaný a neplánujem rozvoj

)))|(((

Agendový

)))|(((

)))

|(((

[[isvs_9856>>url:https://metais.vicepremier.gov.sk/detail/ISVS/2db93816-a8f9-4daf-8e37-85e2dec6ef58/cimaster?tab=summarizingCart||shape="rect"]]

1220

)))|(((

1221

[[GIS - Geografický informačný systém>>url:https://metais.vicepremier.gov.sk/detail/ISVS/2db93816-a8f9-4daf-8e37-85e2dec6ef58/cimaster?tab=summarizingCart||shape="rect"]]

)))|(((

☐

)))|(((

Prevádzkovaný a neplánujem rozvoj

)))|(((

Agendový

)))|(((

)))

|(((

[[isvs_9853>>url:https://metais.vicepremier.gov.sk/detail/ISVS/ed8ec628-165b-425b-ae5a-ee890ca1ba95/cimaster?tab=summarizingCart||shape="rect"]]

1233

)))|(((

1234

[[Korwin>>url:https://metais.vicepremier.gov.sk/detail/ISVS/ed8ec628-165b-425b-ae5a-ee890ca1ba95/cimaster?tab=summarizingCart||shape="rect"]]

)))|(((

☐

)))|(((

Prevádzkovaný a neplánujem rozvoj

)))|(((

Agendový

)))|(((

)))

|(((

[[isvs_9854>>url:https://metais.vicepremier.gov.sk/detail/ISVS/6e03661d-53df-4cc9-80ab-ff4b454ee17b/cimaster?tab=summarizingCart||shape="rect"]]

1246

)))|(((

1247

[[Účtovníctvo>>url:https://metais.vicepremier.gov.sk/detail/ISVS/6e03661d-53df-4cc9-80ab-ff4b454ee17b/cimaster?tab=summarizingCart||shape="rect"]]

)))|(((

☐

)))|(((

Prevádzkovaný a neplánujem rozvoj

)))|(((

Agendový

)))|(((

)))

|(((

[[isvs_9852>>url:https://metais.vicepremier.gov.sk/detail/ISVS/b7eba255-d9f6-4f8c-92f8-d6f8b7e91331/cimaster?tab=summarizingCart||shape="rect"]]

1259

)))|(((

1260

[[ESMAO>>url:https://metais.vicepremier.gov.sk/detail/ISVS/b7eba255-d9f6-4f8c-92f8-d6f8b7e91331/cimaster?tab=summarizingCart||shape="rect"]]

)))|(((

☐

)))|(((

Prevádzkovaný a neplánujem rozvoj

)))|(((

Agendový

)))|(((

)))

|(((

[[isvs_9841>>url:https://metais.vicepremier.gov.sk/detail/ISVS/6d1720a5-4c22-4293-8958-ef023a177fcd/cimaster?tab=summarizingCart||shape="rect"]]

1272

)))|(((

1273

[[Webový portál obce Benolákovo>>url:https://metais.vicepremier.gov.sk/detail/ISVS/6d1720a5-4c22-4293-8958-ef023a177fcd/cimaster?tab=summarizingCart||shape="rect"]]

)))|(((

☐

)))|(((

Prevádzkovaný a neplánujem rozvoj

)))|(((

Agendový

)))|(((

)))

|(((

[[isvs_9831>>url:https://metais.vicepremier.gov.sk/detail/ISVS/c2875774-c6ac-4497-ae7b-8307f0b9f1b1/cimaster?tab=summarizingCart||shape="rect"]]

1285

)))|(((

1286

[[Integrovaný informačný systém obce Bernolákovo>>url:https://metais.vicepremier.gov.sk/detail/ISVS/c2875774-c6ac-4497-ae7b-8307f0b9f1b1/cimaster?tab=summarizingCart||shape="rect"]]

)))|(((

☐

)))|(((

Prevádzkovaný a plánujem rozvoj

)))|(((

Agendový

)))|(((

)))

// //

== {{id name="projekt_2529_Projektovy_zamer_detailny-5.1Prehľade-Governmentkomponentov"/}}5.1 Prehľad e-Government komponentov ==

1300

1301

=== {{id name="projekt_2529_Projektovy_zamer_detailny-5.1.1Prehľadkoncovýchslužieb–budúcistav:"/}}5.1.1 Prehľad koncových služieb – budúci stav: ===

1302

1303

Vzhľadom na charakter a rozsah projektu nebudú výsledkom projektu nové požiadavky na koncové služby.

1304

1305

1306

=== {{id name="projekt_2529_Projektovy_zamer_detailny-5.1.2Prehľadbudovaných/rozvíjanýchISVSvprojekte–budúcistav:"/}}5.1.2 Prehľad budovaných/rozvíjaných ISVS v projekte – budúci stav: ===

1307

1308

Vzhľadom na charakter a rozsah projektu nebudú budované ani rozvíjané informačné systémy ako také. Budú nepriamo rozvíjané implementáciou licenčných riešení s pozitívnym dopadom na úroveň kybernetickej bezpečnosti a prevádzku systémov poskytovateľa základnej služby.

1309

1310

1311

=== {{id name="projekt_2529_Projektovy_zamer_detailny-5.1.3Prehľadbudovanýchaplikačnýchslužieb–budúcistav:"/}}5.1.3 Prehľad budovaných aplikačných služieb – budúci stav: ===

1312

1313

Vzhľadom na charakter a rozsah projektu nebudú budované aplikačné služby ako také. Počas realizácie projektu bude dopĺňaná hardvérová infraštruktúra poskytovateľa základnej služby ako aj doplnené licenčné proprietárne softvéry s pozitívnym dopadom na úroveň kybernetickej bezpečnosti a prevádzku systémov poskytovateľa základnej služby.

1314

1315

1316

=== {{id name="projekt_2529_Projektovy_zamer_detailny-5.1.4PrehľadintegráciiISVSnaspoločnéISVS[1]aISVSinýchOVMaleboIStretíchstrán"/}}5.1.4 Prehľad integrácii ISVS na spoločné ISVS[[(% class="wikiinternallink" %)^^**~[1~]**^^>>path:#_ftn1||name="_ftnref1" shape="rect"]](%%) a ISVS iných OVM alebo IS tretích strán ===

1317

1318

Vzhľadom na charakter a rozsah projektu nebudú výsledkom projektu nové požiadavky na integrácie na spoločné ISVS či ISVS iných OVM a tretích strán.

1319

1320

1321

=== {{id name="projekt_2529_Projektovy_zamer_detailny-5.1.5Aplikačnéslužbynaintegráciu"/}}5.1.5 Aplikačné služby na integráciu ===

1322

1323

1324

Vzhľadom na charakter a rozsah projektu nebudú výsledkom projektu nové požiadavky na budované aplikačné služby a ich využitie na integráciu na spoločné moduly a iné ISVS alebo ich poskytovanie na externú integráciu ani nie je plánované vybudovanie cloudových služieb “softvér ako služba“ (SaaS).

1325

1326

1327

=== {{id name="projekt_2529_Projektovy_zamer_detailny-5.1.6PoskytovanieúdajovzISVSdoISCSRÚ"/}}5.1.6 Poskytovanie údajov z ISVS do IS CSRÚ ===

1328

1329

Vzhľadom na charakter a rozsah projektu nebudú výsledkom projektu nové požiadavky na poskytovanie údajov do CSRÚ.

1330

1331

1332

=== {{id name="projekt_2529_Projektovy_zamer_detailny-5.1.7KonzumovanieúdajovzISCSRÚ"/}}5.1.7 Konzumovanie údajov z IS CSRÚ ===

1333

1334

Vzhľadom na charakter a rozsah projektu nebudú výsledkom projektu nové požiadavky na konzumovanie údajov z CSRÚ.

1335

1336

1337

=== {{id name="projekt_2529_Projektovy_zamer_detailny-5.1.8Prehľadplánovanéhovyužívaniainfraštruktúrnychslužieb(cloudovýchslužieb)–budúcistav:"/}}5.1.8 Prehľad plánovaného využívania infraštruktúrnych služieb (cloudových služieb) – budúci stav: ===

1338

1339

Vzhľadom na charakter a rozsah projektu nebudú výsledkom projektu nové požiadavky na využívanie kapacít ktorejkoľvek časti vládneho cloudu.

1340

1341

= {{id name="projekt_2529_Projektovy_zamer_detailny-6.LEGISLATÍVA"/}}6. LEGISLATÍVA =

1342

1343

Z pohľadu rozsahu projektu nie je pre jeho implementáciu potrebná úprava legislatívnych noriem na úrovni zákonov, vyhlášok alebo všeobecne záväzných nariadení. Naopak, výstupom projektu je viacero interných smerníc a riadiacich aktov popísaných v ostatných kapitolách, upravujúcich vnútorné procesy organizácie vo vzťahu k zvýšeniu úrovne kybernetickej bezpečnosti a povedomia o nej.

1344

1345

1346

Projekt sa v čase príprave a implementácie riadi príslušnou legislatívou, z ktorej je možné zdôrazniť najmä:

1347

1348

Zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov v znení neskorších predpisov; Vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 179/2020 Z. z. ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy v znení neskorších predpisov; Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov v znení neskorších predpisov; Vyhláška Národného bezpečnostného úradu č. 362/2018 Z. z. ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení v znení neskorších predpisov;

1349

1350

Vyhláška 401/2023 Z.z. Ministerstva investícií, regionálneho rozvoja a informatizácie Slovenskej republiky o riadení projektov a zmenových požiadaviek v prevádzke informačných technológií verejnej správy

1351

1352

= {{id name="projekt_2529_Projektovy_zamer_detailny-7.ROZPOČETAPRÍNOSY"/}}7. ROZPOČET A PRÍNOSY =

1353

1354

1355

(% class="wrapped" %)

|(((

**Názov položky**

)))|(((

**Počet**

)))|(((

**Skupina nákladov**

)))|(((

**Cena celkom s DPH**

1364

)))

1365

|(((

1366

I. Dodanie HW vybavenia

)))|(((

1 komplet

)))|(((

022 – HW

)))|(((

6 457,60 EUR

)))

|(((

II. Implementácia firewallov

)))|(((

1 komplet

)))|(((

518 – Ostatné služby

)))|(((

28 160,00 EUR

)))

|(((

III. Zaškolenie na implementovanú technológiu – firewall

)))|(((

1 komplet

)))|(((

518 – Ostatné služby

)))|(((

4 220,00 EUR

)))

|(((

IV. Dodanie SW vybavenia EPP+ EDR

)))|(((

1 komplet

)))|(((

013 – Softvér

)))|(((

6 110,40 EUR

)))

|(((

V. Inštalácia SW vybavenia EPP+ EDR

)))|(((

1 komplet

)))|(((

518 – Ostatné služby

)))|(((

1 700,00 EUR

)))

|(((

VI. Zaškolenie na implementovanú technológiu EPP+EDR

)))|(((

1 komplet

)))|(((

518 – Ostatné služby

)))|(((

5 100,00 EUR

)))

|(((

VII. Bezpečnostná dokumentácia

)))|(((

1 komplet

)))|(((

518 – Ostatné služby

)))|(((

214 312,00 EUR

)))

|(((

VIII. Audit kybernetickej bezpečnosti

)))|(((

1 komplet

)))|(((

518 – Ostatné služby

)))|(((

6 220,00 EUR

)))

|(((

IX. Penetračné testovanie

)))|(((

1 komplet

)))|(((

518 – Ostatné služby

)))|(((

4 540,00 EUR

)))

|(((

X. Softvér pre bezpečnostný monitoring, reportovanie, forenznú analýzu bezpečnostných incidentov

)))|(((

1 komplet

)))|(((

013 – Softvér

)))|(((

173 160,00 EUR

)))

|(((

Paušálna sadzba vo výške 7 % na nepriame výdavky podľa článku 54 písm. a) nariadenia o spoločných ustanoveniach

)))|(((

7%

)))|(((

907 - Paušálna sadzba

)))|(((

31 498,60 EUR

)))

|(((

**Celková suma**

)))|(((

**~ **

)))|(((

**~ **

)))|(((

**481 478,60 EUR**

)))

== {{id name="projekt_2529_Projektovy_zamer_detailny-7.1Sumarizácianákladovaprínosov"/}}7.1 Sumarizácia nákladov a prínosov ==

1476

1477

1478

(% class="wrapped" %)

|(((

Náklady

)))|(((

Realizácia opatrení na zvýšenie úrovne informačnej a kybernetickej bezpečnosti

1483

)))

1484

|(((

1485

**Všeobecný materiál**

)))|(((

)))

|(((

**IT - CAPEX**

)))|(((

)))

|(((

Služby

)))|(((

//264 252,00//

)))

|(((

SW

)))|(((

//179 270,40//

)))

|(((

HW

)))|(((

//6 457,60//

)))

|(((

**IT - OPEX- prevádzka**

)))|(((

)))

|(((

Aplikácie

)))|(((

)))

|(((

SW

)))|(((

//13 672,00//

)))

|(((

HW

)))|(((

//5 117,00//

)))

|(((

**Prínosy**

)))|(((

)))

|(((

**Finančné prínosy**

)))|(((

)))

|(((

Administratívne poplatky

)))|(((

)))

|(((

Ostatné daňové a nedaňové príjmy

)))|(((

)))

|(((

**Ekonomické prínosy**

)))|(((

)))

|(((

Občania (€)

)))|(((

)))

|(((

Úradníci (€)

)))|(((

)))

|(((

Úradníci (FTE)

)))|(((

)))

|(((

**Kvalitatívne prínosy**

)))|(((

)))

|(((

)))|(((

// //

)))

= {{id name="projekt_2529_Projektovy_zamer_detailny-8.HARMONOGRAMJEDNOTLIVÝCHFÁZPROJEKTUaMETÓDAJEHORIADENIA"/}}8. HARMONOGRAM JEDNOTLIVÝCH FÁZ PROJEKTU a METÓDA JEHO RIADENIA =

1582

1583

1584

Projekt bude dodávaný v 1 Inkremente z tohoto dôvodu uvádzame Harmonogram na úrovni 1 Etapy/ 1 Inkrementu.

1585

1586

(% class="wrapped" %)

|(((

ID

)))|(((

FÁZA/AKTIVITA

)))|(((

ZAČIATOK

(odhad termínu)

)))|(((

KONIEC

(odhad termínu)

)))|(((

POZNÁMKA

)))

|(((

1.

)))|(((

Prípravná fáza a Iniciačná fáza

)))|(((

01/2024

)))|(((

12/2024

)))|(((

)))

|(((

2.

)))|(((

Realizačná fáza

)))|(((

01/2025

)))|(((

12/2025

)))|(((

)))

|(((

2a

)))|(((

Analýza a Dizajn

)))|(((

01/2025

)))|(((

03/2025

)))|(((

)))

|(((

2b

)))|(((

Nákup technických prostriedkov, programových prostriedkov a služieb

)))|(((

01/2025

)))|(((

12/2025

)))|(((

Je potrebné obstarať dodávateľa IS riešenia/ licencie[[(% class="wikiinternallink" %)**~[2~]**>>path:#_ftn2||name="_ftnref2" shape="rect"]](%%)/ konzultačné služby

)))

|(((

2c

)))|(((

Implementácia a testovanie

)))|(((

04/2025

)))|(((

09/2025

)))|(((

Tvorba dokumentácie výstupov

)))

|(((

2d

)))|(((

Nasadenie a PIP

)))|(((

10/2025

)))|(((

12/2025

)))|(((

PIP - 2 mesiace po nasadení

)))

|(((

3.

)))|(((

Dokončovacia fáza

)))|(((

04/2025

)))|(((

05/2025

)))|(((

)))

|(((

4.

)))|(((

Podpora prevádzky (SLA)

)))|(((

01/2026

)))|(((

06/2026

)))|(((

Napr. Je potrebné obstarať SLA zmluvu (Zmluvu o podpore prevádzky IS)?

)))

Projekt bude realizovaný metódou Waterfall - vodopádový prístup počíta s detailným naplánovaním jednotlivých krokov a následnom dodržiavaní postupu pri vývoji alebo realizácii projekty. Projektovému tímu je daný minimálny priestor na zmeny v priebehu realizácie. Vodopádový prístup je vhodný a užitočný v projektoch, ktorý majú jasný cieľ a jasne definovateľný postup a rozdelenie prác.

1693

1694

= {{id name="projekt_2529_Projektovy_zamer_detailny-9.PROJEKTOVÝTÍM"/}}9. PROJEKTOVÝ TÍM =

1695

1696

1697

Zostavuje sa Riadiaci výbor (RV)**,** v minimálnom zložení:

* Predseda RV

* Biznis vlastník

* Zástupca prevádzky

* Zástupca dodávateľa (dopĺňa sa až po VO / voliteľný člen)

1703

* Projektový manažér objednávateľa (PM)

1704

1705

1706

(% class="wrapped" %)

|(((

ID

)))|(((

Meno a Priezvisko

)))|(((

Pozícia

)))|(((

Oddelenie

)))|(((

Rola v projekte

)))

|(((

1.

)))|(((

Miroslav Turenič

)))|(((

Starosta

)))|(((

)))|(((

Predseda RV

)))

|(((

2.

)))|(((

JUDr. Ing. Michal Bartók

)))|(((

Zástupca starostu

)))|(((

)))|(((

Biznis vlastník

)))

|(((

3.

)))|(((

Andrej Koška

)))|(((

Informatik

)))|(((

)))|(((

Zástupca prevádzky

)))

|(((

4.

)))|(((

TBD

)))|(((

Account manager

)))|(((

)))|(((

Zástupca dodávateľa

)))

Zostavuje sa Projektový tím objednávateľa

1765

1766

* kľúčový používateľ,

1767

* manažér kybernetickej a informačnej bezpečnosti

* projektový manažér

(% class="wrapped" %)

|(((

ID

)))|(((

Meno a Priezvisko

)))|(((

Pozícia

)))|(((

Oddelenie

)))|(((

Rola v projekte

)))

|(((

1.

)))|(((

JUDr. Ing. Michal Bartók

)))|(((

Zástupca starostu

)))|(((

)))|(((

Kľúčový používateľ 1

)))

|(((

2.

)))|(((

Andrej Koška

)))|(((

Informatik

)))|(((

)))|(((

Kľúčový používateľ 2

)))

|(((

4.

)))|(((

Dagmar Vidríková

)))|(((

Manažér kybernetickej bezpečnosti

)))|(((

)))|(((

MKB

)))

|(((

5.

)))|(((

TBD

)))|(((

Projektový manažér

)))|(((

)))|(((

Projektový manažér

)))

== {{id name="projekt_2529_Projektovy_zamer_detailny-9.1PRACOVNÉNÁPLNE"/}}9.1 PRACOVNÉ NÁPLNE ==

1830

1831

1832

**Kľúčový používateľ**

1833

1834

* Reprezentuje záujmy budúcich koncových používateľov projektových produktov alebo projektových výstupov.

1835

* Poskytuje súčinnosť pri spracovaní interného riadiaceho aktu upravujúceho prevádzku, servis a podporu IT.

1836

* Aktívne sa zúčastňuje stretnutí projektového tímu a spolupracuje na vypracovaní manažérskej a špecializovanej dokumentácie a produktov.

1837

* plní pokyny PM a dohody zo stretnutí projektového tímu.

**Manažér kybernetickej bezpečnosti**

1842

1843

* Zodpovedá za dodržanie princípov a štandardov v oblasti informačnej a kybernetickej bezpečnosti a za kontrolu a audit implementovaných bezpečnostných opatrení (technológií, procesov atď.).

1844

* Koordinuje a riadi činnosť v oblasti bezpečnosti prevádzky IT, spolupracuje na projektoch, na rozvoji nástrojov a postupov k optimalizácii bezpečnostných systémov a opatrení.

1845

* Stanovuje základné požiadavky, podmienky a štandardy pre oblasť bezpečnosti programov, systémov, databázy či sieti.

1846

* Spracováva a kontroluje príslušné interné predpisy a dohliada nad plnením týchto štandardov a predpisov.

1847

* Kontroluje a riadi činnosť nad bezpečnostnými testami, bezpečnostnými incidentmi v prevádzke IT.

1848

* Poskytuje inštrukcie a poradenstvo používateľom počítačov a informačných systémov pre oblasť bezpečnosti.

1849

1850

1851

**Projektový manažér**

1852

1853

* Zodpovedá za riadenie projektu počas celého životného cyklu projektu.

1854

* Riadi projektové (ľudské a finančné) zdroje, zabezpečuje tvorbu obsahu, neustále odôvodňovanie projektu (aktualizuje BC/CBA/TCO) a predkladá vstupy na rokovanie Riadiaceho výboru.

1855

* Zodpovedá za riadenie všetkých (ľudských a finančných) zdrojov, členov projektovému tímu objednávateľa a za efektívnu komunikáciu s dodávateľom alebo stanovených zástupcom dodávateľa.

1856

* Zodpovedá za riadenie prideleného projektu – stanovenie cieľov, spracovanie harmonogramu prác, koordináciu členov projektového tímu, sledovanie dodržiavania harmonogramu prác a rozpočtu, hodnotenie a prezentáciu výsledkov a za riadenie s tým súvisiacich rizík.

1857

* Projektový manažér vedie špecifikáciu a implementáciu projektov v súlade s firemnými štandardami, zásadami a princípmi projektového riadenia.

1858

* Zodpovedá za plnenie projektových/programových cieľov v rámci stanovených kvalitatívnych, časových a rozpočtovým plánov a za riadenie s tým súvisiacich rizík. V prípade externých kontraktov sa vedúci projektu/projektový manažér obvykle podieľa na ich plánovaní a vyjednávaní a je hlavnou kontaktnou osobou pre zákazníka.

1859

1860

1861

= {{id name="projekt_2529_Projektovy_zamer_detailny-10.ODKAZY"/}}10. ODKAZY =

Bez odkazov

= {{id name="projekt_2529_Projektovy_zamer_detailny-11.PRÍLOHY"/}}11. PRÍLOHY =

1866

1867

1868

Príloha 1: Zoznam rizík a závislostí

Koniec dokumentu

[[~[1~]>>path:#_ftnref1||name="_ftn1" shape="rect"]] Spoločné moduly podľa zákona č. 305/2013 e-Governmente

1876

1877

[[~[2~]>>path:#_ftnref2||name="_ftn2" shape="rect"]] EUPL licencie: [[https:~~/~~/joinup.ec.europa.eu/sites/default/files/inline-files/EUPL%201_1%20Guidelines%20SK%20Joinup.pdf>>url:https://joinup.ec.europa.eu/sites/default/files/inline-files/EUPL%201_1%20Guidelines%20SK%20Joinup.pdf||shape="rect"]]

Wiki zdrojový kód pre projekt_2529_Projektovy_zamer_detailny

Aplikácie

Navigácia

Moje posledné úpravy

Need help?