Manažérsky výstup I-03

podľa vyhlášky MIRRI č. 401/2023 Z. z.

Schvaľovanie dokumentu

1  HISTÓRIA DOKUMENTU

1. ÚČEL DOKUMENTU, SKRATKY (KONVENCIE) A DEFINÍCIE

V súlade s Vyhláškou 401/2023 Z.z. je dokument I-03 Prístup k projektu určený na rozpracovanie detailných informácií prípravy projektu z pohľadu  aktuálneho stavu, budúceho stavu a navrhovaného riešenia.

Dokument Prístup k projektu v zmysle vyššie uvedenej vyhlášky má obsahovať opis navrhovaného riešenia, architektúru riešenia projektu na úrovni biznis vrstvy, aplikačnej vrstvy, dátovej vrstvy, technologickej vrstvy, infraštruktúry navrhovaného riešenia, bezpečnostnej architektúry, špecifikáciu údajov spracovaných v projekte, čistenie údajov, prevádzku a údržbu výstupov projektu, prevádzkové požiadavky, požiadavky na zdrojové kódy. Dodávané riešenie musí byť v súlade so zákonom. Zároveň opisuje aj implementáciu projektu a preberanie výstupov projektu.

• Použité skratky a pojmy

• Konvencie pre typy požiadaviek (príklady)

V rámci projektu budú definované tri základné typy požiadaviek:

Funkčné (používateľské) požiadavky majú nasledovnú konvenciu:

Fxx

F – funkčná požiadavka IDxx – číslo požiadavky

Nefunkčné (kvalitatívne, výkonové - Non Functional Requirements - NFR) požiadavky majú nasledovnú konvenciu:

Nxx

N – nefukčná požiadavka (NFR) IDxx – číslo požiadavky

Technické požiadavky majú nasledovnú konvenciu:

Txx

T – technická požiadavka IDxx – číslo požiadavky

3.  Popis navrhovaného riešenia

Navrhované riešenie vychádza z aktuálnych zistení poslednej internej analýzy IS a samohodnotenia kybernetickej bezpečnosti Mesta Nové Zámky. Ten definuje nasledovný stav a potreby, ktoré je nevyhnuté riešiť pre dosiahnutie súladu úrovne kybernetickej a informačnej bezpečnosti (ďalej len KIB) so zákonom č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov (ďalej len “zákon o kybernetickej bezpečnosti), zákonom Zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov(ďalej len “zákon o ISVS”), vyhláškou 362/2018 Z.z. o obsahu bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení (ďalej len vyhláška č. 362 /2018 Z. z.) a ďalšími súvisiacimi predpismi.

V rámci projektového zámeru boli stanovené nasledovné ciele a spôsob ich riešenia:

4. Architektúra riešenia projektu

Architektúra celého riešenia je v zmysle usmernenia MIRRI SR rámcová tak, aby bolo z projektu zrejmé, ktoré komponenty v rámci realizácie projektu budú vytvorené (a budú realizovať opatrenia KIB).

Primárne opatrenia kybernetickej bezpečnosti chránia IS Mesta Nové Zámky, ktoré sú určené na prevádzkovanie základnej služby Mesta Nové Zámky. Projekt bude realizovaný s cieľom implementovať nevyhnutnú ochranu pred hrozbami v oblasti informačnej a kybernetickej bezpečnosti a zároveň zavedie dlhodobý systém riadenia informačnej bezpečnosti. Výsledkom realizácie projektu bude aktualizácia bezpečnostnej dokumentácie, vypracovanie plánu kontinuity, implementácia next-generation firewall technológie a segmentácia siete, nasadená pokročilá EDR technológia ochrany koncových bodov a nasadenie on premise riešenie LMS, nasadenie zálohovacieho riešenia, využitie externého SOC.

4.1    Biznis vrstva

Predmetom realizácie projektu bude zavedenie a IT podpora nasledovných business procesov:

• Zvýšenie kvality organizácie KIB
• Zvýšenie kvality riadenia rizík KIB
• Zaznamenávanie udalostí a monitorovanie
• Riešenie kybernetických bezpečnostných incidentov
• Zabezpečenie bezpečnosti prevádzky IS asietí
• Zabezpečenie kontinuity prevádzky IS

Okrem samotného zabezpečenia opatrení KIB v zmysle zákona o kybernetickej bezpečnosti a zákona o ISVS sa projekt bude dotýkať prakticky všetkých biznis procesov, ktoré sú vykonávané Mestom Nové Zámky ako PZS, a ktoré sú realizované prostredníctvom informačných systémov Mesta za účelom poskytovania základnej služby.

4.1.1         Prehľad koncových služieb – budúci stav:

Projekt nerealizuje koncové služby pre občanov a podnikateľov. Realizáciou projektu dochádza k zavedeniu opatrení kybernetickej a informačnej bezpečnosti (ďalej len KIB), ktoré zabraňujú kybernetickým útokom a na základe toho chránia prevádzku ostatných koncových služieb.

Z toho vyplýva, že v rámci projektu nevznikne žiadna nová koncová služba v zmysle zákona o ISVS.

4.1.2         Jazyková podpora a lokalizácia

Projekt bude realizovaný v podobe dokumentov (politiky, plány, stratégie atď.), ktoré budú akceptované výhradne v slovenskom jazyku. Implementované softvérové riešenia budú akceptované v slovenskej, českej alebo na základe súhlasu Mesta Nové Zámky v anglickej mutácií. Dodané softvérové riešenia alebo hardvérové komponenty musia mať návod v slovenskom jazyku. Projektová dokumentácia bude vyhotovovaná v slovenskom alebo českom jazyku.

Výstupy z prevádzky systémov budú akceptované v slovenskom, vo výnimočných prípadoch anglickom jazyku, niektoré čiastkové výstupy (napr. logy incidentov) sú akceptované v podobe skriptov, ktoré musí byť možné transformovať do používateľsky zrozumiteľného jazyka resp. zabezpečiť ich vhodnú interpretáciu.

     4.2     Aplikačná vrstva

Aplikačná vrstva bude realizovaná súborom opatrení KIB, ktoré budú ochraňovať IS zabezpečujúce primárne prevádzku základnej služby. V aplikačnej vrstve je potrebné uvažovať o FrontEnd (verejných) častiach základnej služby a Back-Office (neverejných častiach) základnej služby.

Implementované komponenty - v prípade Mesta Nové Zámky – môžeme rozdeliť do dvoch veľkých celkov - opatrenia, ktoré budú inštalované in situ v rámci Mesta Nové Zámky a opatrenia, ktoré budú poskytované formou služby.

In Situ budú nasadené nasledovné opatrenia:

• Firewall (vrátane jeho implementácie a nasadenia)
• Centrálny manažment logov
• Riadenie prístupov
• Nástroje a protokoly segmentácie siete
• HW a SW vybavenie na zabezpečenie kontinuity prevádzky IS Mesta Nové Zámky (záložné systémy)

Formou služby budú implementované

• Prevádzkový a bezpečnostný monitoring
• SOC

Špecifickým opatrením, ktoré nie je zobrazené ako súčasť architektúry sú potom dokumentačné náležitosti, politiky, stratégie a pod., ktoré budú súčasťou realizácie projektu, majú však administratívny a procesný charakter.

4.1.3      Rozsah informačných systémov – AS IS

V nasledujúcej tabuľke uvádzame ISVS, ktoré zabezpečujú prevádzku základnej služby Mesta Nové Zámky a budú chránené proti incidentom KIB po ukončení projektu:

4.1.4         Rozsah informačných systémov – TO BE

V rámci projektu nevznikne nový ISVS v zmysle definície zákona o ISVS. Vznikne súbor opatrení, ktorý bude chrániť existujúce ISVS (ich zoznam viď predchádzajúca kapitola) – k nim je vytvorený vzťah realizovaného projektu.

4.1.5         Využívanie nadrezortných a spoločných ISVS – AS IS

Projekt nebude využívať nadrezortné a spoločne ISVS .

4.1.6         Prehľad plánovaných integrácií ISVS na nadrezortné ISVS – spoločné moduly podľa zákona č. 305

/2013 e-Governmente – TO BE

Projekt nebude integrovaný na ISVS a nadrezortné ISVS – spoločné moduly podľa zákona č. 305/2013 o e-Governmente.

4.1.7         Prehľad plánovaného využívania iných ISVS (integrácie) – TO BE

Projekt nebude integrovaný na iné ISVS.

4.1.8         Aplikačné služby pre realizáciu koncových služieb – TO BE

V rámci projektu nevznikne žiadna nová aplikačná služba.

4.1.9         Aplikačné služby na integráciu – TO BE

Predmetom realizácie nebudú žiadne služby určené na integráciu v rámci TO BE stavu.

4.1.10       Poskytovanie údajov z ISVS do IS CSRÚ – TO BE

Projekt nebude poskytovať údaje z ISVS do IS CSRÚ.

4.1.11       Konzumovanie údajov z IS CSRU – TO BE

Projekt nebude konzumovať údaje z IS CSRU.

4.2                 Dátová vrstva

4.2.1         Údaje v správe organizácie

Projekt resp. ním realizovaný ISVS nebude priamo zabezpečovať správu údajov Mesta Nové Zámky, bude spravovať iba údaje nevyhnutné na zabezpečenie KIB Mesta Nové Zámky ako PZS (napríklad údaje logov, informácie o riešení incidentov KIB, zoznam oprávnení a pod.).

4.2.2         Dátový rozsah projektu - Prehľad objektov evidencie - TO BE

V rámci realizovaného projektu nevzniknú nové objekty evidencie tak, ako vznikajú v prípade štandardných informačných systémov. Predmetom evidencie nebudú napríklad občania resp. informácie o nich atď. Systém bude viesť evidenciu prístupov a oprávnení, budú vznikať záznamy o incidentoch a tieto budú vyhodnocované a na základe nich budú prebiehať priamo reakcie na kybernetické incidenty - poskytovateľom služby SOC v súčinnosti so zástupcami Mesta Nové Zámky.

4.2.3         Referenčné údaje

V rámci projektu nebudú využívané referenčné údaje ani projekt resp. ním realizovaný ISVS nebude poskytovať referenčné údaje.

4.2.3.1             Identifikácia údajov pre konzumovanie alebo poskytovanie údajov do/z CSRU

V rámci projektu nebudú spravované údaje určené na konzumovanie alebo poskytovanie do/z CSRU.

4.2.4        Kvalita a čistenie údajov

4.2.4.1             Zhodnotenie objektov evidencie z pohľadu dátovej kvality

Predmetom projektu nebude hodnotenie kvality ani čistenie údajov.

4.2.5        Otvorené údaje

V rámci projektu nebudú vytvárané otvorené údaje.

4.2.6        Analytické údaje

V rámci projektu nebudú vytvárané analytické údaje.

4.2.7        Moje údaje

V rámci projektu nebudú vytvárané moje údaje.

4.2.8        Prehľad jednotlivých kategórií údajov

Predmetom realizácie projektu nebudú žiadne údaje, ktoré by boli referenčnými, spadali by do kategórie “Moje údaje”, “Otvorené údaje” a tiež nebudú poskytované ako analytické údaje.

4.3                Technologická vrstva

4.3.1        Prehľad technologického stavu - AS IS

S ohľadom na inštrukcie MIRRI SR neuvádzame podrobný prehľad technologického stavu AS IS.

Konštatujeme, že z pohľadu zabezpečenia KIB je potrebné AS IS stav doplniť tak, aby bol zabezpečený súlad opatrení KIB s požiadavkami zákona o kybernetickej bezpečnosti.

4.3.2      Požiadavky na výkonnostné parametre, kapacitné požiadavky – TO BE

• Návrh riešenia technologickej architektúry

Technologicky pôjde o realizáciu nasledovných opatrení:

1. Zvýšenie kvality organizácie a riadenia rizík kybernetickej a informačnej bezpečnosti Mesta Nové Zámky

 Predmetom zákazky bude:

1. Aktualizácia a dopracovanie bezpečnostnej dokumentácie
2. Vypracovanie plánu kontinuity činností (BCM)
3. Dodávka next generation firewall vrátanie licencií
4. Dodaná pokročilá EDR technológia ochrany koncových bodov
5. Dodávka logovacieho softvéru a hardvéru
6. Dodávka zálohovacieho serveru a úložiska, vrátane zdrojov nepretržitého napájania
7. Zabezpečenie bezpečnostného a prevádzkového monitoringu a SOC
8. Vykonanie bezpečnostnej segmentácie lokálnej počítačovej siete
9. Školenie pre zamestnancov IT oddelenia

1. Aktualizácia a dopracovanie bezpečnostnej dokumentácie

• aktualizácia bezpečnostnej dokumentácie vrátane rozsahu a spôsobu plnenia všeobecných bezpečnostných opatrení;
• vypracovanie a implementácia špecifických interných riadiacich aktov pre vybrané oblasti kybernetickej a informačnej bezpečnosti;
• identifikácia všetkých aktív súvisiacich so zariadeniami na spracovanie informácií a centrálne zaznamenávanie inventáru týchto aktív podľa ich hodnoty vrátane určenia ich vlastníka, ktorý definuje požiadavky na ich dôvernosť, dostupnosť a integritu;
• riadenie rizík pozostávajúce z identifikácie zraniteľností, identifikácie hrozieb, identifikácie a analýzy rizík s ohľadom na aktívum, určenie vlastníka rizika, implementácie organizačných a technických bezpečnostných opatrení, analýzy funkčného dopadu a pravidelného preskúmavania identifikovaných rizík v závislosti od aktualizácie prijatých bezpečnostných opatrení;
• vypracovanie a implementácia interného riadiaceho aktu riadenia rizík kybernetickej a informačnej bezpečnosti.
• vypracovanie postupov pri zaradení osoby do niektorých z bezpečnostných rolí, zavedenie plánu rozvoja bezpečnostného povedomia a vzdelávania, vypracovanie spôsobov hodnotenia účinnosti plánu rozvoja bezpečnostného povedomia, určenie pravidiel a postupov na riešenie prípadov porušenia bezpečnostnej politiky, zavedenie postupov pri skončení pracovnoprávneho vzťahu alebo iného obdobného vzťahu, zavedenie postupov pri porušení bezpečnostných politík;
• zavedenie opatrení a interného riadiaceho aktu v oblasti riadenia zmien, riadenia kapacít, zaznamenávania bezpečnostných záznamov a zaznamenávania a vyhodnocovania prevádzkových záznamov;

1. Vypracovanie plánu kontinuity činností (BCM)

Vypracovanie kontinuity činností v zmysle ZoKB – riadenie kontinuity činností (BCM) v zmysle zákona č. 69/2018 Z. z. a vyhlášky 362/2018 Z. z. (§17), Kontinuita činností musí obsahovať minimálne:

• plán kontinuity na stanovenie požiadaviek a zdrojov,
• plán reakcie na incidenty a plány havarijnej obnovy prevádzky, scenáre udalostí s negatívnym vplyvom na činnosti organizácie,
• postupy zálohovania a obnovy siete a informačných systémov, politiku a ciele kontinuity,
• metodiku analýzy funkčných dopadov,
• stratégiu riadenia kontinuity vrátane evakuačných postupov, plán údržby a kontroly BCM.

1. Dodávka next generation firewall vrátanie licencií

Minimálne požiadavky pre NG FW:

• Porty: 1x USB Management Port, 1x Console Port, 2x 10/5/2.5/ GE RJ45 or 10GE/GE SFP+/SFP Shared Media Ports, 8 x GE RJ45 Internal Ports,
• Firewall Throughput (1518 / 512 / 64 byte UDP packets) - 28 / 28 / 27.9 Gbps
• Firewall Latency (64 byte UDP packets) - 3.23 μs
• Firewall Throughput (Packets Per Second) - 41.85 Mpps
• Concurrent Sessions (TCP) - 1.5 M
• New Sessions/Second (TCP) - 124 000
• Firewall Policies - 5000
• IPsec VPN Throughput (512 byte) – 25 Gb
• Gateway-to-Gateway IPsec VPN Tunnels - 200
• Client-to-Gateway IPsec VPN Tunnels – 2500
• SSL-VPN Throughput - 1.4 Gbps
• SSL Inspection Throughput (IPS, avg. HTTPS) 2.6 Gbps
• SSL Inspection CPS (IPS, avg. HTTPS) 1400
• SSL Inspection Concurrent Session (IPS, avg. HTTPS) 300 000
• Application Control Throughput (HTTP 64K) 6.7 Gbps
• Maximum Number of FortiTokens 500
• High Availability Configurations - Active-Active, Active-Passive, Clustering
• Interné úložisko 1 x 120 GB SSD
• Vlastný free klient na VPN pripojenie
• Minimálny možný počet tokenov na viacfaktorové overovanie VPN prístupu - 500
• High Availability Configurations - Active-Active, Active-Passive, Clustering
• Existencia Endpoint klienta toho istého výrobcu spolupracujúceho s NGFW
• Redundantný zdroj napájania, External DC Power Adapters, 80Plus Compliant
• Licencia Unified Threat Protection - IPS, Advanced Malware Protection, Application Control, Web & Video Filtering, Antispam Service, and 24x7 FortiCare

1. Dodaná pokročilá EDR technológia ochrany koncových bodov

Minimálne požiadavky na riešenie bezpečnosti koncových bodov:

• Centrálna konzola s možnosťou on premise/cloud
  • Moderná ochrana koncových zariadení - ochrana pred ransomvérom, blokovanie cielených útokov, predchádzanie únikom údajov, zastavenie bezsúborových útokov, detekcia pokročilých pretrvávajúcich hrozieb
  • Strojové učenie
  • Hĺbková analýza správania
  • Proaktívna ochrana pred novovzniknutými hrozbami
  • Cloudový sandbox
• Ochrana serverov
• Ochrana pred mobilnými hrozbami
• Šifrovanie celého disku
• Pokročilá ochrana pred hrozbami
• Ochrana cloudových aplikácií
• Ochrana e‑mailových serverov
• Vulnerability & Patch Management
• Rozšírená detekcia a reakcia (XDR)
• Dvojfaktorová autentifikácia

1. Dodávka logovacieho softvéru a hardvéru

Minimálne požiadavky pre logovací softvér a hardvér:

• Riešenie „všetko v jednom“ - Server, OS, Databáza aj Aplikácie
• Centrálne úložisko strojových dát organizácie a ich analýza
• Systém má prijímať a spracováva logy, udalosti a ďalšie strojovo generované dáta prostredníctvom minimálne nasledujúcich protokolov: UDP/TCP 514 (SYSLOG), TCP 20514 (RELP, nešifrovane) a TCP 20515 (RELP, šifrovane)
• Systém musí umožňovať zber udalostí vo formátoch RAW, Syslog, CEF, LEEF, JSON RFC7159
• Zjednotenie formátu ľubovoľných dát do definovanej štruktúry
• Spracovanie, vizualizácia aj upozornenie v reálnom čase
• Rýchle prehľadávanie dát bez nutnosti znalosti SQL jazyka
• SIEM/XDR funkcie, upozornenie s limitmi a koreláciami
• Unikátne grafické konfiguračné a programovacie rozhranie
• Radikálna jednoduchosť a užívateľská prívetivosť
• Jednoduché vytváranie reportov a auditných správ za behu
• Bez licenčných obmedzení na zdroje, výkon aj uložené dáta
• Úspora na poplatkoch pri napojení na externú SOC
• Trvalé spracovanie viac ako 2 000 udalostí za sekundu (EPS – očakávané množstvo udalostí za sekundu, log mix s RAW veľkosťou logov priemerne 700 Bytov)
• Špičkové spracovanie viac ako 4 000 udalostí za sekundu /10 min (EPS – očakávané množstvo udalostí za sekundu, log mix s RAW veľkosťou logov priemerne 700 Bytov)
• Retencia logov pri 1000 EPS – 230 dní (log mix s RAW veľkosťou logov priemerne 700 Bytov)
• Kapacita databázy logov 12 TB
• Možnosť horizontálneho aj vertikálneho škálovania
• Podpora veľkého množstva zdrojových zariadení, OS a aplikácií
• Centrálne riadený klient pre zber logov z MS Windows
• Integrované rozšírenie bezpečnostných udalostí v prostredí MS
• Jednoduchá integrácia s externým SOC alebo SIEM/EUBA systémami
• Rýchle nasadenie a ľahké zaškolenie pre bežné operácie
• Rozhranie aj kompletná dokumentácia v slovenskom jazyku
• Priama technická podpora výrobcom
• HW appliance v rackovom prevedení s 1U, vrátane ramena pre organizáciu zapojených káblov umožňujúceho vysunutie zapnutého systému z racku pre servisné účely
• HW appliance musí obsahovať všetky potrebné komponenty a musí byť nezávislá na ďalších systémoch
• Minimálne parametre HW appliance:
• 1 procesor, 16 jadier s podporou HyperThreadingu
• Min. 64GB RAM DDR-4
• Diskový subsystém s čistou dostupnou kapacitou min. 12TB pre integrovanú databázu
• HW akcelerovaný SAS RAID radič s read-write cache min. 8GB umožňujúci zapojenie RAID 5
• Min. 4 ks rovnakých RAID edition diskov určených pre použitie v datacentrách, s rýchlosťou 7200 otáčiek/m
• Min. 4x 1Gbit LAN porty + 1x dedikovaný 1Gbit port pre management HW
• Redundantné ventilátory, vymeniteľné za chodu
• Napájacie zdroje s redundanciou 1+1, vymeniteľné za chodu, účinnosť min. 94%
• Virtuálne KVM, tj. prevzatie textovej i grafickej konzoly serveru a prenos povelov z klávesnice a myši vzdialeného počítača
• Systém pre vzdialenú správu serveru vrátane potrebnej licencie
• Dual port SFP+ LAN card
• Podpora na HW NBD RMA

1. Dodávka zálohovacieho serveru a úložiska, vrátane zdrojov nepretržitého napájania

Minimálne požiadavky na zálohovací server:

• DELL PowerEdge R760 Server
• 5" Chassis with up to 16 SAS/SATA Drives, Smart Flow, Front PERC 11, 1 CPU
• Procesor Intel Xeon Gold 6526Y 2.8G, 16C/32T, 20GT/s, 37.5M Cache, Turbo, HT (195W) DDR5-5200
• Pamäť 8 x 64GB RDIMM, 5600MT/s, Dual Rank
• Radič RAID PERC H755 SAS Front
• Pevný disk 2 x 480GB SSD SATA Read Intensive 6Gbps 512 2.5in Hot-plug AG Drive, 1 DWPD
• Pevný disk 14 x 1.2TB Hard Drive ISE SAS 12Gbps 10k 512n 2.5in Hot-Plug
• Zdroj napájania Dual, Hot-Plug, Power Supply, 700W MM HLAC (ONLY FOR 200-240Vac) Titanium, Redundant (1+1)
• OCP 3.0 Network Adapters Broadcom 57414 Dual Port 10/25GbE SFP28, OCP NIC 3.0
• Additional Network Cards Broadcom 5720 Dual Port 1GbE LOM
• Licencia na iDRAC
• Operačný systém Windows Server 2022 Standard,16CORE,FI,No Med,No CAL, Multi Language
• Licencie klientskeho prístupu 120 x Windows Server 2022/2019 User CALs

Minimálne požiadavky na archívne úložisko:

• Synology RS1221RP+ Rack Station
• Výkonné 8 šachtové rackové riešenie sieťového úložiska 2U
• procesor AMD RyzenTM V1500B, štvorjadrový 2,2 GHz
• Paměť 4 GB DDR4 ECC SODIMM (rozšiřitelná až na 32 GB)
• Pevný disk 8 x 3,5" SATA HDD HAT5310-8T, vymeniteľné za prevádzky
• Externý port 2 x port USB 3.0; 1 x eSATA
• Sieťová karta 4 x 1GbE (RJ-45)
• Pridaná sieťová karta Synology 10GbE SFP+
• Sada ližin Synology RKM114 (sada pevných ližin)
• Redundantní napájení
• Možnosť rozšírenia diskovej kapacity
• Záruka 3 roky na pole, 5 rokov na disky

Minimálne požiadavky na zdroj neprerušovaného napájania – typ 1:

• APC SRT5KXLI
• Ochrana napájania online s vysokou hustotou a skutočnou dvojitou konverziou a sinusoidou
• Typ Tower
• Výstupný výkon 4500W / 5000VA
• Vstupné napätie 230V (220, 240)
• Výstupné napätie 230V (220, 240), 50/60 Hz +/-3 Hz
• Výstupy 6x C13, 4x C19, 2x IEC Jumpers
• Typ batérie: bezúdržbová olovená uzavretá batéria so suspendovaným elektrolytom
• Možnosť rozšírenia o batériový modul
• Port rozhrania: oddelenie kontaktov, RJ-45 10/100 Base-T konektor, RJ-45 Serial, Smart-Slot (Smart Socket), USB
• Ovládací panel: multifunkčná stavová a ovládacia konzola LCD

Minimálne požiadavky na zdroj neprerušovaného napájania – typ 2:

• APC SRT2200RMXLI
• Ochrana napájania online s vysokou hustotou a skutočnou dvojitou konverziou a sinusoidou
• Typ rack
• Výstupný výkon 1980W / 2200 VA
• Vstupné napätie 230V (220, 240)
• Výstupné napätie 230V (220, 240), 50/60 Hz +/-3 Hz
• Výstupy 8x C13, 2x C19, 2x IEC Jumpers
• Typ batérie: bezúdržbová olovená uzavretá batéria so suspendovaným elektrolytom
• Možnosť rozšírenia o batériový modul
• Port rozhrania: RJ-45 10/100 Base-T konektor, RJ-45 Serial, Smart-Slot (Smart Socket), USB
• Ovládací panel: multifunkčná stavová a ovládacia konzola LCD

1. Zabezpečenie bezpečnostného a prevádzkového monitoringu a SOC

Minimálne požiadavky na bezpečnostný a prevádzkový monitoring:

• Monitoring bude zabezpečovaný ako služba od externého dodávateľa
• Monitorované entity: fyzické servery, virtuálne servery, firewally, kritické sieťové prvky, teplota a vlhkosť v serverovni, SQL server, webové stránky, záložné zdroje (UPS)
• Neustále sledovanie IT prostredia v režime 24x7
• Pravidelné reportovanie stavu infraštruktúry na mesačnej báze
• Okamžité reportovanie problémov a incidentov na definovanú e-mailovú adresu Objednávateľa
• Okamžité reportovanie kritických, užívateľom definovaných problémov a incidentov formou SMS na tri mobilné čísla napr. nefunkčnosť servera, reštart servera, nedostatok voľného diskového priestoru
• Okamžité riešenie problémov, incidentov v závislosti od definovanej úrovne služby
• Súčasťou služby je aj nasadenie potrebných technológií a hardvéru zabezpečujúce monitorovanie v prostredí objednávateľa
• Monitorovanie serverov bez ohľadu či je virtuálny alebo fyzický a bez ohľadu na platformu a operačný systém:
• základné informácie ako boot time, uptime, hostname, system information, host local time
• CPU (vyťaženie, teplota)
• súborový systém (celkový, použitý a voľný diskový priestor)
• sieťová komunikácia na každý interface samostatne – pokiaľ to zariadenie umožňuje
• procesy
• stav agenta ako agent ping, hostname, verzia agenta
• Monitorovanie firewallov a sieťových prvkov:
• základné informácie ako hostname, IP adresa, location, uptime, firmware verzia
• sieťové informácie ako ping loss, ping status, rýchlosť komunikácie, stav komunikačných portov, chybové pakety
• Meranie teploty a vlhkosti v miestnosti serverov:
• nie teploty a vlhkosti v miestnosti serverov, reportovanie prekročenia medzných hodnôt
• Monitorovanie SQL servera:
• dostupnosť
• Monitorovanie webových stránok
• dostupnosť
• Monitorovanie záložných zdrojov
• informácie o zariadení ako hostname, status, firmware verzia, systémové informácie
• input/output power, input/output voltage, input/output frequency
• output load
• stav batérií
• last test status
• výpadok napájania

Minimálne požiadavky na SOC:

• Security Operations Center – SOC bude zaisťovať komplexnú centralizáciu riadenia bezpečnostných udalostí a incidentov, s cieľom minimalizovať reakčnú dobu na incident a škody z nej vyplývajúce
• Poskytovanie služby externým dodávateľom v režime 8/5
• Pomocou dát z logovacieho systému a bezpečnostného a prevádzkového monitoringu budú operátori SOC nepretržite (8/5) monitorovať bezpečnostné incidenty
• Detekcia - identifikuje sa, prípadne sa príjme, notifikácia o potenciálne škodlivom chovaní v chránenej infraštruktúre
• Analýza  - určí sa, či sa jedná o bezpečnostnú udalosť alebo o bezpečnostný incident, ktorý môže mať negatívny dopad na nami chránenú infraštruktúru – analýza
• Investigácia  - cieľom skúmania daného bezpečnostného incidentu bude zistiť konkrétne dopady a cestu, ktorou sa útočníkovi podarilo preniknúť do infraštruktúry v maximálnom časovom rozsahu predplatených hodín a vo funkčnom rozsahu bezpečnostného a prevádzkového monitoringu.

              Služby nad rámec predplatených hodín budú spoplatnené podľa dohody, vždy po vzájomnom odsúhlasení zmluvnými stranami.

• Reakcia  - okamžitou reakciou sa minimalizuje dopad bezpečnostných incidentov
• Návrh nápravných opatrení

1. Vykonanie bezpečnostnej segmentácie lokálnej počítačovej siete

• Analýza topológie siete a dátovej prevádzky, identifikácia počtu a druhov aktívnych bodov v sieti.
• Analýza a návrh IP adresného plánu.
• Kategorizácia zariadení do jednotlivých VLAN – segmentov.
• Konfigurácia firewall-ov vo vysokej dostupnosti (HA).
• Vytvorenie sieťových rozhraní a bezpečnostných zón na firewalle.
• Analýza súčasných NAT pravidiel
• Analýza a konfigurácia pravidiel medzi jednotlivými internými sieťami
• Analýza a konfigurácia pravidiel medzi internými sieťami a internetom
• Konfigurácia site-to-site VPN spojení (IPSec)
• Konfigurácia remote access VPN spojení (SSL VPN)
• Konfigurácia VLAN na switchoch
• Testovanie a riešenie problémov
• Aktualizácia firmvérov aktívnych prvkov
• Dokumentácia

1. Školenie pre zamestnancov IT oddelenia

Zamestnanci oddelenia informatiky mestského úradu, ktorý administrujú informačné systémy, budú zaškolení na dodanú technológiu, konkrétne firewall a logovací systém.

Predpokladaný rozsah školení vybraných pracovníkov v počte max 3 počas min. 14 hodín.

4.3.4        Využívanie služieb z katalógu služieb vládneho cloudu

Projekt ISVS nebude využívať služby vládneho cloudu.

4.4                Bezpečnostná architektúra

V súčasnosti - ako vyplýva z projektového zámeru -  sú opatrenia KIB Mesta Nové Zámky len čiastočne v súlade s požiadavkami príslušných predpisov. Navrhovaná architektúra riešenia t.j. dosiahnutie TO BE stavu bude znamenať dosiahnutie súladu opatrení s nasledovnou legislatívou:

 Zákon č. 95/2019 Z.z. o informačných technológiách vo verejnej správe

 Zákon č. 69/2018 Z.z. o kybernetickej bezpečnosti

   Zákon č. 45/2011 Z.z. o kritickej infraštruktúre

 vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 78/2020 Z. z. o štandardoch pre informačné technológie verejnej správy

 vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 179/2020 Z. z., ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy

 vyhláška Úradu na ochranu osobných údajov Slovenskej republiky č. 158/2018 Z. z. o postupe pri posudzovaní vplyvu na ochranu osobných údajov

 Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov)

 Zákon č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov.

5.      Závislosti na ostatné ISVS / projekty

           Projekt nie je závislý od iných ISVS alebo projektov.

6.      Zdrojové kódy

Mesto Nové Zámky plánuje pri obstarávaní jednotlivých súčastí projektu, pri ktorých môžu vzniknúť zdrojové kódy postupovať v zmysle vzoru Zmluvy o dielo. Zmluvnú úpravu predkladáme nasledujúcu:

 Zhotoviteľ je povinný pri akceptácii Informačného systému odovzdať Objednávateľovi funkčné vývojové a produkčné prostredie, ktoré je súčasťou Informačného systému.

 Zhotoviteľ je povinný pri akceptácii Informačného systému alebo jeho časti odovzdať Objednávateľovi Vytvorený zdrojový kód v jeho úplnej aktuálnej podobe, zapečatený, na neprepisovateľnom technickom nosiči dát s označením časti a verzie Informačného systému, ktorej sa týka. Za odovzdanie Vytvoreného zdrojového kódu Objednávateľovi sa na účely tejto Zmluvy o dielo rozumie odovzdanie technického nosiča dát Oprávnenej osobe Objednávateľa. O odovzdaní a prevzatí technického nosiča dát bude oboma Zmluvnými stranami spísaný a podpísaný preberací protokol.

 Informačný systém (Dielo) v súlade s Technickou špecifikáciou obsahuje od zvyšku Diela oddeliteľný modul (časť) vytvorený Zhotoviteľom pri plnení tejto Zmluvy o dielo, ktorý je bez úpravy použiteľný aj tretími osobami, aj na iné alebo podobné účely, ako je účel vyplývajúci z tejto Zmluvy o dielo Vytvorený zdrojový kód Informačného systému vrátane jeho dokumentácie bude prístupný v režime podľa § 31 ods. 4 písm. b) Vyhlášky č. 78/2020 (s obmedzenou dostupnosťou pre orgán vedenia a orgány riadenia v zmysle Zákona o ITVS – vytvorený zdrojový kód je dostupný len pre orgán vedenia a orgány riadenia). Pre zamedzenie pochybností uvádzame, že sa jedná len o zdrojový kód ktorý Dodávateľ vytvoril, alebo pozmenil v súvislosti s realizáciou diela. Objednávateľ je oprávnený sprístupniť Vytvorený zdrojový kód okrem orgánov podľa predchádzajúcej vety aj tretím osobám, ale len na špecifický účel, na základe riadne uzatvorenej písomnej zmluvy o mlčanlivosti a ochrane dôverných informácií.

 Ak je medzi zmluvnými stranami uzatvorená SLA zmluva, od prevzatia Informačného systému sa prístup k vytvorenému zdrojovému kódu vo vývojovom a produkčnom prostredí, vrátane nakladania s týmto zdrojovým kódom, začne riadiť podmienkami dohodnutými v SLA zmluve.

Vytvorený zdrojový kód musí byť v podobe, ktorá zaručuje možnosť overenia, že je kompletný a v správnej verzii, t. j. v takej, ktorá umožňuje kompiláciu, inštaláciu, spustenie a overenie funkcionality, a to vrátane kompletnej dokumentácie zdrojového kódu (napr. interfejsov a pod.) takejto Informačného systému alebo jeho časti. Zároveň odovzdaný Vytvorený zdrojový kód musí byť pokrytý testami (aspoň na 90%) a dosahovať rating kvality (statická analýza kódu) podľa CodeClimate/CodeQLa pod. (minimálne stupňa B).

 Pre zamedzenie pochybností, povinnosti Zhotoviteľa týkajúce sa Vytvoreného zdrojového kódu platí i na akékoľvek opravy, zmeny, doplnenia, upgrade alebo update Vytvoreného zdrojového kódu a/alebo vyššie uvedenej dokumentácie, ku ktorým dôjde pri plnení tejto Zmluvy o dielo alebo v rámci záručných opráv. Vytvorené zdrojové kódy budú vytvorené vyexportovaním z produkčného prostredia a budú odovzdané Objednávateľovi na elektronickom médiu v zapečatenom obale. Zhotoviteľ je povinný umožniť Objednávateľovi pri odovzdávaní Vytvoreného zdrojového kódu, pred zapečatením obalu, skontrolovať v priestoroch Objednávateľa prítomnosť Vytvoreného zdrojového kódu na odovzdávanom elektronickom médiu.

 Nebezpečenstvo poškodenia zdrojových kódov prechádza na Objednávateľa momentom prevzatia Informačného systému alebo jeho časti, pričom Objednávateľ sa zaväzuje uložiť zdrojové kódy takým spôsobom, aby zamedzil akémukoľvek neoprávnenému prístupu tretej osoby. Momentom platnosti SLA zmluvy umožní Objednávateľ poskytovateľovi, za predpokladu, že to je nevyhnutné, prístup k Vytvorenému zdrojovému kódu výlučne na účely plnenia povinností z uzatvorenej SLA zmluvy.

Ďalej uvádzame postupy, v zmysle ktorých bude narábané so zdrojovým kódom:

Centrálny repozitár zdrojových kódov: https://www.zakonypreludi.sk/zz/2020-78/znenie-20200501#p31

Overenie zdrojového kódu s cieľom jeho prepoužitia: https://www.zakonypreludi.sk/zz/2020-85/znenie-20200501#p7-3-c Spôsoby zverejňovania zdrojového kódu: https://www.zakonypreludi.sk/zz/2020-85/znenie-20200501#p8-9

Inštrukcie k EUPL licenciám: https://joinup.ec.europa.eu/sites/default/files/inline-files/EUPL%201_1%20Guidelines%20SK%20Joinup.pdf

Uvedeným spôsobom obstarávania dôjde k zamedzeniu „Vendor lock-in" v súlade so Zákonom o ITVS.

7.             Prevádzka a údržba

Požadované SLA na služby systémovej a aplikačnej podpory – servisné služby vzťahujúce sa na produkčné a testovacie prostredie IS Úrovne podpory používateľov: Help Desk bude realizovaný cez 3 úrovne podpory, s nasledujúcim označením:

 L1 podpory IS (Level 1, priamy kontakt zákazníka) - jednotný kontaktný bod verejného obstarávateľa.

 L2 podpory IS (Level 2, postúpenie požiadaviek od L1) - vybraná skupina garantov, so znalosťou IS (zabezpečuje prevádzkovateľ IS – verejný obstarávateľ).

 L3 podpory IS (Level 3, postúpenie požiadaviek od L2) - na základe zmluvy o podpore IS (zabezpečuje úspešný uchádzač).

Definície:

• Podpora L1 (podpora stupňa) - začiatočná úroveň podpory, ktorá je zodpovedná za riešenie základných problémov a požiadaviek koncových užívateľov a ďalšie služby vyžadujúce základnú úroveň technickej podpory. Základnou funkciou podpory 1. stupňa je zhromaždiť informácie, previesť základnú analýzu a určiť príčinu problému a jeho klasifikáciu. Typicky sú v úrovni L1 riešené priamočiare a jednoduché problémy a základné diagnostiky, overenie dostupnosti jednotlivých vrstiev infraštruktúry (sieťové, operačné, vizualizačné, aplikačné atď.) a základné užívateľské problémy (typicky zabudnutie hesla), overovanie nastavení SW a HW atď.

• Podpora L2 (podpora stupňa) – riešiteľské tímy s hlbšou technologickou znalosťou danej oblasti. Riešitelia na úrovni Podpory L2 nekomunikujú priamo s koncovým užívateľom, ale sú zodpovední za poskytovanie súčinnosti riešiteľom 1. úrovne podpory pri riešení eskalovaného hlásenia, čo mimo iného obsahuje aj spätnú kontrolu a podrobnejšiu analýzu zistených dát odovzdaných riešiteľmi 1. úrovne podpory. Výstupom takejto kontroly môže byť potvrdenie, upresnenie, alebo prehodnotenie hlásenia v závislosti na potrebách Objednávateľa. Primárnym cieľom riešiteľov na úrovni Podpory L2 je dostať Hlásenie čo najskôr pod kontrolu a následne ho vyriešiť - s možnosťou eskalácie na vyššiu úroveň podpory – Podpora L3.

• Podpora L3 (podpora stupňa) - Podpora 3. stupňa predstavuje najvyššiu úroveň podpory pre riešenie tých najobtiažnejších Hlásení, vrátane vykonávania hĺbkových analýz a riešenie extrémnych prípadov.

• Riešenie incidentov – SLA parametre Za incident je považovaná chyba IS, t.j. správanie sa v rozpore s prevádzkovou a používateľskou dokumentáciou Za incident nie je považovaná chyba, ktorá nastala mimo prostredia IS napr. výpadok poskytovania konkrétnej služby. Označenie závažnosti incidentu:

Vyžadované reakčné doby:

Požiadavky na hlásenie Incidentov sa spracúvajú v rámci časového pokrytia od 8:00 do 16:00.

 Reakčná doba je čas medzi nahlásením incidentu verejným obstarávateľom (vrátane užívateľov IS, ktorí nie sú v pracovnoprávnom vzťahu s verejným obstarávateľom) na helpdesk úrovne L3 a jeho prevzatím na riešenie.

 DKVI znamená obnovenie štandardnej prevádzky – čas medzi nahlásením incidentu verejným obstarávateľom a vyriešením incidentu úspešným uchádzačom (do doby, kedy je funkčnosť prostredia znovu obnovená v plnom rozsahu). Do tejto doby sa nezarátava čas potrebný na nevyhnutnú súčinnosť verejného obstarávateľa, ak je potrebná pre vyriešenie incidentu. V prípade potreby je úspešný uchádzač oprávnený požadovať od verejného obstarávateľa schválenie riešenia incidentu.

 Maximálny počet incidentov za kalendárny mesiac. Každá ďalšia chyba nad stanovený limit spoľahlivosti sa počíta ako začatý deň omeškania bez odstránenia vady alebo incidentu. Duplicitné alebo technicky súvisiace incidenty (zadané v rámci jedného pracovného dňa, počas pracovného času 8 hodín) sú považované ako jeden incident.

Incidenty nahlásené verejným obstarávateľom úspešnému uchádzačovi v rámci testovacieho prostredia  Majú závažnosť incidentu nekritickú a nižšiu

 Vzťahujú sa výhradne k dostupnosti testovacieho prostredia

 Za incident na testovacom prostredí sa nepovažuje incident vztiahnutý k práve testovanej funkcionalite

Vyššie uvedené SLA parametre nebudú použité pre nasledovné služby:

 Služby systémovej podpory na požiadanie (nad paušál)

 Služby realizácie aplikačných zmien vyplývajúcich z legislatívnych a metodických zmien (nad paušál)

8.            Požiadavky na personál

Výzva definuje požiadavky na IT odborníkov participujúcich v rámci projektu – má ísť minimálne o manažéra kybernetickej bezpečnosti. Aby bol dodržaný súlad realizácie projektu s vyhláškou č.401/2023 Z.z. bude zostavený nasledovný projektový tím objednávateľa:

Pre účely realizácie projektu sa zostavuje Riadiaci výbor (RV), v minimálne nasledovnom zložení:

• Predseda RV - Mgr. art. Otokar Klein, ArtD.
• Biznis vlastník – (doplní sa na základe personálneho výberu)
• Zástupca prevádzky – Ing. Vladimír Vrzák
• Zástupca dodávateľa (dopĺňa sa až po VO / voliteľný člen)
• Projektová manažérka – Ing. Nikoleta Záležáková

Zostavuje sa Projektový tím objednávateľa (PM)

• kľúčový používateľ,
• IT analytik,
• IT architekt,
• biznis vlastník,
• manažér kybernetickej a informačnej bezpečnosti,
• projektový manažér/ka

    Uvedený projektový tím, ktorí tvoria zamestnanci Mesta Nové Zámky je garanciou úspešnej realizácie projektu po zabezpečení jeho financovania na základe ŽoNFP v rámci výzvy.

PRACOVNÉ NÁPLNE

9.             Implementácia a preberanie výstupov projektu

Projekt bude realizovaný metódou Waterfall s logickými nadväznosťami realizácie jednotlivých modulov na základe funkčnej a technickej špecifikácie vypracovanej v rámci prípravy projektu.

Tento prístup bol zvolený nakoľko opatrenia KIB je potrebné realizovať vo vzájomných súvislostiach, avšak v správnom postupe. Niektoré môžu byť realizované paralelne, dokonca rôznymi tímami, avšak na základe vopred stanovenej stratégie a plánu celého projektu. Agilný prístup na realizáciu nami plánovaného projektu nie je vhodný i s ohľadom na potrebu realizácie projektu za plnej prevádzky základnej služby Mesta Nové Zámky.

10.           Prílohy

Dokument neobsahuje prílohy.

Koniec dokumentu.