Version 3.1 by marek_podolinsky on 2024/05/20 00:20
Hide last authors
marek_podolinsky 2.1 1 **~ **
2
3 **PROJEKTOVÝ ZÁMER**
4
5 **manažérsky výstup I-02**
6
7 **podľa vyhlášky MIRRI č. 401/2023 Z. z.**
8
9 \\
10
marek_podolinsky 3.1 11 (% class="wrapped" %)
marek_podolinsky 2.1 12 (% class="" %)|(((
13 Povinná osoba
14 )))|(((
15 Mesto Spišská Belá
16 )))
17 (% class="" %)|(((
18 Názov projektu
19 )))|(((
20 Realizácia opatrení kybernetickej a informačnej bezpečnosti Mesta Spišská Belá
21 )))
22 (% class="" %)|(((
23 Zodpovedná osoba za projekt
24 )))|(((
25 Mgr. Katarína Hradická
26 )))
27 (% class="" %)|(((
28 Realizátor projektu
29 )))|(((
30 Mesto Spišská Belá
31 )))
32 (% class="" %)|(((
33 Vlastník projektu
34 )))|(((
35 Ing. Mgr. Peter Zibura
36
37 \\
38 )))
39
40 **~ **
41
42 **Schvaľovanie dokumentu**
43
marek_podolinsky 3.1 44 (% class="wrapped" %)
marek_podolinsky 2.1 45 (% class="" %)|(((
46 Položka
47 )))|(((
48 Meno a priezvisko
49 )))|(((
50 Organizácia
51 )))|(((
52 Pracovná pozícia
53 )))|(((
54 Dátum
55 )))|(((
56 Podpis
57
58 (alebo elektronický súhlas)
59 )))
60 (% class="" %)|(((
61 Schválil
62 )))|(((
63 Ing. Mgr. Peter Zibura
64 )))|(((
65 Mesto Spišská Belá
66 )))|(((
67 Primátor mesta Spišská Belá
68 )))|(((
69 30.4:2024
70 )))|(((
71 \\
72 )))
73
74 **~ **
75
76 = {{id name="projekt_2540_Projektovy_zamer_detailny-1.HistóriaDOKUMENTU"/}}1.     História DOKUMENTU =
77
marek_podolinsky 3.1 78 (% class="wrapped" %)
marek_podolinsky 2.1 79 (% class="" %)|(((
80 Verzia
81 )))|(((
82 Dátum
83 )))|(((
84 Zmeny
85 )))|(((
86 Meno
87 )))
88 (% class="" %)|(((
89 Ver.6
90 )))|(((
91 30.4.2024
92 )))|(((
93 //Schválenie finálnej verzie dokumentácie//
94 )))|(((
95 Ing. Mgr. Peter Zibura
96 )))
97
98 **~ **
99
100 = {{id name="projekt_2540_Projektovy_zamer_detailny-2.ÚČELDOKUMENTU,SKRATKY(KONVENCIE)ADEFINÍCIE"/}}2.     ÚČEL DOKUMENTU, SKRATKY (KONVENCIE) A DEFINÍCIE =
101
102 V súlade s Vyhláškou 401/2023 Z.z. je dokument I-02 Projektový zámer určený na rozpracovanie detailných informácií prípravy projektu, aby bolo možné rozhodnúť o pokračovaní prípravy projektu, pláne realizácie, alokovaní rozpočtu a ľudských zdrojov.
103
104 \\
105
106 Dokument Projektový zámer v zmysle vyššie uvedenej vyhlášky má obsahovať manažérske zhrnutie, rozsah, ciele a motiváciu na realizáciu projektu, zainteresované strany, alternatívy, návrh merateľných ukazovateľov, detailný opis požadovaných projektových výstupov, detailný opis obmedzení, predpokladov, tolerancií a návrh organizačného zabezpečenia projektu, detailný opis rozpočtu projektu a jeho prínosov, náhľad architektúry a harmonogram projektu so zoznamom rizík a závislostí.
107
108 \\
109
110 == {{id name="projekt_2540_Projektovy_zamer_detailny-2.1Použitéskratkyapojmy"/}}2.1       Použité skratky a pojmy ==
111
112 \\
113
marek_podolinsky 3.1 114 (% class="wrapped" %)
marek_podolinsky 2.1 115 (% class="" %)|(((
116 SKRATKA/POJEM
117 )))|(((
118 POPIS
119 )))
120 (% class="" %)|(((
121 BEZP
122 )))|(((
123 Bezpečnosť/Bezpečnostný
124 )))
125 (% class="" %)|(((
126 EDR
127 )))|(((
128 Endpoint Detection & Response
129 )))
130 (% class="" %)|(((
131 EPP
132 )))|(((
133 Endpoint protection
134 )))
135 (% class="" %)|(((
136 FW
137 )))|(((
138 Firewall
139 )))
140 (% class="" %)|(((
141 HW
142 )))|(((
143 Hardvér
144 )))
145 (% class="" %)|(((
146 IKT
147 )))|(((
148 Informačno-komunikačné technológie
149 )))
150 (% class="" %)|(((
151 IRA
152 )))|(((
153 Interný riadiaci akt
154 )))
155 (% class="" %)|(((
156 IS
157 )))|(((
158 Informačný systém
159 )))
160 (% class="" %)|(((
161 ISVS
162 )))|(((
163 Informačný systém verejnej správy
164 )))
165 (% class="" %)|(((
166 IT
167 )))|(((
168 Informačné technológie
169 )))
170 (% class="" %)|(((
171 KB
172 )))|(((
173 Kybernetická bezpečnosť
174 )))
175 (% class="" %)|(((
176 MKB
177 )))|(((
178 Manažér kybernetickej bezpečnosti
179 )))
180 (% class="" %)|(((
181 NGFW
182 )))|(((
183 Next Generation Firewall
184 )))
185 (% class="" %)|(((
186 RACI
187 )))|(((
188 responsible, accountable, consulted, and informed
189 )))
190 (% class="" %)|(((
191 R OIT
192 )))|(((
193 Riaditeľ odboru IT (vedúci zamestnanec na úseku IT)
194 )))
195 (% class="" %)|(((
196 SIEM
197 )))|(((
198 Security Information and Event Management
199 )))
200 (% class="" %)|(((
201 SOC
202 )))|(((
203 Security Operations Center
204 )))
205 (% class="" %)|(((
206 SPoF
207 )))|(((
208 Single Point of Failure
209 )))
210 (% class="" %)|(((
211 SW
212 )))|(((
213 Softvér
214 )))
215 (% class="" %)|(((
216 UTM
217 )))|(((
218 Unified Threat Management
219 )))
220 (% class="" %)|(((
221 VS
222 )))|(((
223 Verejná správa
224 )))
225
marek_podolinsky 3.1 226 \\
marek_podolinsky 2.1 227
228 == {{id name="projekt_2540_Projektovy_zamer_detailny-2.2Konvenciepretypypožiadaviek(príklady)"/}}2.2       Konvencie pre typy požiadaviek (príklady) ==
229
230 \\
231
232 **Funkcionálne (používateľské) požiadavky **majú nasledovnú konvenciu:
233
234 **FRxx**
235
236 * U – užívateľská požiadavka
237 * R – označenie požiadavky
238 * xx – číslo požiadavky
239
240 **Nefunkčné (kvalitatívne, výkonové - Non Functional Requirements - NFR) požiadavky** majú nasledovnú konvenciu:
241
242 **NRxx**
243
244 * N – nefukčná požiadavka (NFR)
245 * R – označenie požiadavky
246 * xx – číslo požiadavky
247
248 Ostatné typy požiadaviek môžu byť ďalej definované PM.
249
250 **// //**
251
252 = {{id name="projekt_2540_Projektovy_zamer_detailny-3.DEFINOVANIEPROJEKTU"/}}3.     DEFINOVANIE PROJEKTU =
253
254 \\
255
256 == {{id name="projekt_2540_Projektovy_zamer_detailny-3.1Manažérskezhrnutie"/}}3.1       Manažérske zhrnutie ==
257
258 Projektová dokumentová dokumentácia je koncipovaná s ohľadom na Cieľ a politiky súdržnosti 1 Konkurencieschopnejšia a inteligentnejšia Európa, ŠC RSO1.2 Využívanie prínosov digitalizácie pre občanov, podniky, výskumné organizácie a orgány verejnej správy (EFRR), opatrenie 1.2.1 Podpora v oblasti informatizácie a digitálnej transformácie (Kybernetická a informačná bezpečnosť).
259
260 Jedným zo strategických cieľov koncepcie kybernetickej bezpečnosti schválenej vládou Slovenskej republiky je otvorený, bezpečný a chránený národný kybernetický priestor, ktorý zabezpečí vybudovanie dôvery v spoľahlivosť a bezpečnosť štátu a to najmä kritickej infraštruktúry a komunikačnej infraštruktúry, ako aj istoty, že táto bude plniť svoje funkcie a slúžiť národným záujmom aj v prípade kybernetického útoku. Prostredie samosprávy ako súčasti verejnej správy je súčasťou kybernetického ekosystému štátu a poskytovania služieb občanom. Kybernetická bezpečnosť IKT prostredia samosprávy je z pohľadu občana a poskytovaných služieb významnou súčasťou prostredia eGovernmentu s priamym dopadom na práva, poplatky a elektronické služby.
261
262 Projektom sú adresované problémy súčasného stavu vyplývajúce z doterajšieho vývoja IKT mesta Spiššká Belá, prevádzkových požiadaviek a externých determinantov vývoja budúceho stavu.
263
264 Motivácia a rozsah projektu vyplývajú z analýzy IKT prostredia mesta Spiššká Belá a prevádzkových udalostí, ktoré korešpondujú s celkovým trendom v subjektoch verejnej správy, a to nedostatočnou úrovňou kybernetickej bezpečnosti vo verejnej správe, obzvlášť v časti samosprávnych subjektov. Príčiny aktuálneho stavu vyplývajú z kombinácie interných a externých faktorov. Medzi hlavné možno zaradiť:
265
266 1. Nekoncepčný prístup k problematike kybernetickej bezpečnosti v sektore verejnej správy aj medzi samotnými subjektami VS;
267 1. Nevyhovujúce, nevhodne aplikované alebo neexistujúce bezpečnostné nástroje, technológie alebo opatrenia, ktoré nereflektujú aktuálne požiadavky na kybernetickú bezpečnosť;
268 1. Dlhodobý nedostatok finančných zdrojov alokovaných pre oblasť kybernetickej bezpečnosti;
269 1. Nízka dostupnosť špecialistov na kybernetickú bezpečnosť na pracovnom trhu spojená s nedostatočnou konkurencieschopnosťou sektora VS v porovnaní s komerčným sektorom;
270 1. Nedostatočné povedomie u zamestnancov o kybernetických hrozbách a možných dopadoch kybernetických bezpečnostných incidentov;
271 1. Rýchly vývoj v oblasti kybernetických hrozieb a reaktívne správanie sa subjektov na tieto hrozby.
272
273 Mesto Spiššká Belá má dodávateľsky zavedené a implementované bezpečnostné opatrenia v súlade s ustanovením § 20 ods. 3 zákona o kybernetickej bezpečnosti minimálne v rozsahu:
274
275 1. organizácie kybernetickej bezpečnosti a informačnej bezpečnosti,
276 1. riadenia rizík kybernetickej bezpečnosti a informačnej bezpečnosti,
277 1. personálnej bezpečnosti,
278 1. riadenia prístupov,
279 1. riadenia kybernetickej bezpečnosti a informačnej bezpečnosti vo vzťahoch s tretími stranami,
280 1. bezpečnosti pri prevádzke informačných systémov a sietí,
281 1. hodnotenia zraniteľností a bezpečnostných aktualizácií,
282 1. ochrany proti škodlivému kódu,
283 1. sieťovej a komunikačnej bezpečnosti,
284 1. akvizície, vývoja a údržby informačných sietí a informačných systémov,
285 1. zaznamenávania udalostí a monitorovania,
286 1. fyzickej bezpečnosti a bezpečnosti prostredia,
287 1. riešenia kybernetických bezpečnostných incidentov,
288 1. kryptografických opatrení,
289 1. kontinuity prevádzky,
290 1. auditu, riadenia súladu a kontrolných činností.
291
292 Bezpečnostné opatrenia v súlade s ustanovením § 20 ods. 4 zákona o kybernetickej bezpečnosti zahŕňajú najmenej:
293
294 1. detekciu kybernetických bezpečnostných incidentov,
295 1. evidenciu kybernetických bezpečnostných incidentov,
296 1. postupy riešenia a riešenie kybernetických bezpečnostných incidentov,
297 1. určenie kontaktnej osoby pre prijímanie a evidenciu hlásení,
298 1. prepojenie do komunikačného systému pre hlásenie a riešenie kybernetických bezpečnostných incidentov a centrálneho systému včasného varovania
299
300 Jednotlivé subjekty verejnej správy a samosprávy ako jej súčasti si sami zodpovedajú za zabezpečenie primeranej úrovne informačnej a kybernetickej bezpečnosti podľa platnej legislatívy a sú povinné na tieto účely prijímať opatrenia v rámci interných preventívnych činností. Zabezpečenie funkčného bezpečnostného monitoringu je v zodpovednosti každého prevádzkovateľa osobitne, a to až na úroveň interných sietí, serverov, služieb informačných systémov a samotných používateľov. Primárnym cieľom zlepšovania úrovne kybernetickej bezpečnosti je priblížiť sa stavu, v ktorom sú siete a informačné systémy schopné odolávať kybernetickým hrozbám na primeranom stupni spoľahlivosti. Mesto napriek svojim výrazným odborným a finančným limitom je samo zodpovedné za definovanie vlastnej úrovne informačnej a kybernetickej bezpečnosti. Zároveň zavedenie kvalitných bezpečnostných procesov a technológií si vyžaduje významné personálne a časové nároky.
301
302 Projekt je v súlade s intervenčnou stratégiou programu Slovensko 2021-2027 v nasledovných oblastiach:
303
304 1) súlad projektu so špecifickým cieľom: RSO1.2 (opatrenie 1.2.1)
305
306 2) súlad s očakávanými výsledkami definovanými v Partnerskej dohode pre špecifický cieľ RSO 1.26
307
308 3) súlad s definovanými typmi oprávnených aktivít v rámci výzvy.
309
310 \\
311
312 Aktivita Realizácia opatrení na zvýšenie úrovne informačnej a kybernetickej bezpečnosti k splneniu KPI „PO095 - Verejné inštitúcie podporované v rozvoji kybernetických služieb, produktov a procesov“ v počte 1 a „PR017 - Používatelia nových a vylepšených verejných digitálnych služieb, produktov a procesov“ v počte 25 tým, že sa implementuje do prostredia mesta Spišská Belá riešenie  v oblasti, sieťovej a komunikačnej bezpečnosti, kontinuity prevádzky, sieťovej a komunikačnej bezpečnosti, bezpečnosti pri prevádzke informačných systémov a sietí, zaznamenávaní udalostí a monitorovaní, riešení kybernetických bezpečnostných incidentov, hodnotení zraniteľností a bezpečnostné aktualizácie, ochrane proti škodlivému kódu.
313
314 \\
315
316 == {{id name="projekt_2540_Projektovy_zamer_detailny-3.2Motiváciaarozsahprojektu"/}}3.2       Motivácia a rozsah projektu ==
317
318 \\
319
320 **Realizované aktivity z množiny oprávnených aktivít výzvy:**
321
322 Mesto Spišská Belá deklaruje v procese realizácie projektu dodať nasledovné aktivity a dodržať tak súlad s vyhláškou NBÚ č. 362/2018 Z. z. ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení v znení vyhlášky č. 264/2023 Z. z.:
323
324 1. vytvorenú stratégiu kybernetickej bezpečnosti,
325 1. vytvorené bezpečnostné politiky kybernetickej bezpečnosti,
326 1. vykonanú inventarizáciu aktív, klasifikáciu informácií a kategorizáciu sietí a informačných systémov,
327 1. realizovanú analýzu rizík a analýzu dopadov spolu, vrátane riadenia rizík.
328
329 \\
330
331 Mesto Spišská Belá má vypracovaný dokument bezpečnostnej politiky kybernetickej bezpečnosti, ktorý však nepredstavuje ucelenú a systematicky aktualizovanú koncepciu. V zmysle samohodnotenia prevádzkovateľa základnej služby (mesta) vykonanej interným manažérom kybernetickej bezpečnosti bola konštatovaná vzájomne aktívna komunikácia a prístup medzi manažérom KB a štatutárom obce, no s výsledkom čiastočne naplnenej stratégie KB a jej cieľov.
332
333 \\
334
335 **Realizované podaktivity z množiny oprávnených podaktivít výzvy:**
336
337 1. Organizácia kybernetickej a informačnej bezpečnosti
338 11. Vypracovanie alebo   aktualizácia   bezpečnostnej   dokumentácie   vrátane rozsahu a spôsobu plnenia všeobecných bezpečnostných opatrení;
339 11. vypracovanie štatútu bezpečnostného výboru;
340 11. vypracovanie bezpečnostného  projektu  informačného  systému  verejnej správy.
341
342 Budú vypracované alebo aktualizované nasledovné sady dokumentácie:
343
344 * Aktualizácia bezpečnostnej dokumentácie vrátane spresnenia rozsahu a spôsobu plnenia všeobecných bezpečnostných opatrení:
345 * Bezpečnostná stratégia kybernetickej bezpečnosti
346 * Bezpečnostná politika kybernetickej bezpečnosti a informačnej bezpečnosti
347 * Bezpečnostná politika kybernetickej bezpečnosti: Deklarácia a záväzok vedenia;
348 * vypracovanie bezpečnostného projektu ISVS.
349
350 1. Riadenie rizík
351 11. Identifikácia všetkých aktív súvisiacich so zariadeniami na spracovanie informácií a centrálne zaznamenávanie inventáru týchto aktív podľa ich hodnoty vrátane určenia ich vlastníka, ktorý definuje požiadavky na ich dôvernosť, dostupnosť a integritu;
352 11. Implementácia systému pre inventarizáciu aktív;
353 11. Riadenie rizík pozostávajúce z identifikácie zraniteľností, identifikácie hrozieb, identifikácie a analýzy rizík s ohľadom na aktívum, určenie vlastníka rizika, implementácie organizačných a technických bezpečnostných opatrení, analýzy funkčného dopadu a pravidelného preskúmavania identifikovaných rizík v závislosti od aktualizácie prijatých bezpečnostných opatrení;
354 11. Vypracovanie a implementácia interného riadiaceho aktu riadenia rizík kybernetickej a informačnej bezpečnosti.
355
356 Mesto má v rámci bezpečnostnej politiky čiastočne identifikované informačné aktíva a všetky podporné aktíva, ako aj ich evidenciu, ktoré podporujú niektorú z identifikovaných základných služieb. Rovnako boli identifikovaní relevantní dodávatelia, ktorí podporujú prevádzku základných služieb.
357
358 V súčasnom stave je tiež iba čiastočne vedená a známa klasifikácia aktív z hľadiska dôvernosti, integrity a dostupnosti. Z pohľadu udržateľnosti stavu je výrazným nedostatkom čiastočné zavedenie procesu na aktualizáciu evidencie aktív ako aj neúplná identifikácia vlastníkov jednotlivých aktív. Evidencia o konfiguračných nastaveniach identifikovaných aktív a služieb je vedená iba čiastočne. Rovnako aj proces pravidelného aktualizovania záznamov o evidencii konfigurácií aktív a služieb je vedený čiastočne. Kumulatívne dochádza k synergickému ovplyvňovaniu jednotlivých oblastí a ich dopadov, kedy neúplná a neaktualizovaná evidencia aktív stráca kvalitatívne aspekty a predstavuje vzrastajúce riziko z pohľadu kyberbezpečnosti.
359
360 Pre danú oblasť zo samohodnotenia tiež vyplýva, že poskytovateľ základnej služby identifikuje a vyhodnocuje riziká kybernetickej bezpečnosti, navrhuje a implementuje bezpečnostné opatrenia kybernetickej bezpečnosti, ktorými by znižoval neakceptovateľne veľké zvyškové riziká, avšak bez nadväzných procesov je výsledný efekt kybernetickej ochrany limitovaný.
361
362 Budú vypracované alebo aktualizované nasledovné sady dokumentácie:
363
364 * Identifikácia všetkých aktív
365 * Implementácia systému pre inventarizáciu aktív - Katalóg aktív
366 * Riadenie rizík
367 * Smernica pre riadenie bezpečnostných rizík
368 * Metodika pre riadenie bezpečnostných rizík
369 * Implementácia predmetných IRA
370
371 1. Personálna bezpečnosť
372 11. Vypracovanie postupov pri zaradení osoby do niektorých z bezpečnostných rolí, zavedenie plánu rozvoja bezpečnostného povedomia a vzdelávania, vypracovanie spôsobov hodnotenia účinnosti plánu rozvoja bezpečnostného povedomia, určenie pravidiel a postupov na riešenie prípadov porušenia bezpečnostnej politiky, zavedenie postupov pri skončení pracovnoprávneho vzťahu alebo iného obdobného vzťahu, zavedenie postupov pri porušení bezpečnostných politík;
373 11. vypracovanie alebo      aktualizácia      interného      riadiaceho      aktu      s bezpečnostnými zásadami pre koncových používateľov;
374 11. Vypracovanie a implementácia postupov a procesov upravujúcich personálnu bezpečnosť organizácie prostredníctvom interného riadiaceho aktu.
375
376 V oblasti personálnej bezpečnosti sebahodnotenie konštatuje, že je čiastočne vykonávaná kontrola bezpečnostných politík zo strany vlastných zamestnancov a zamestnancov dodávateľov.
377
378 Budú vypracované alebo aktualizované nasledovné sady dokumentácie:
379
380 * Smernica Plán rozvoja bezpečnostného povedomia vrátane spôsobov hodnotenia účinnosti plánu, vrátane určenia pravidiel a postupov na riešenia prípadov porušenia bezpečnostnej politiky, zavedenie postupov pri skončení pracovnoprávneho vzťahu alebo iného obdobného vzťahu, zavedenie postupov pri porušení bezpečnostných politík
381 * Smernica pre používateľov
382 * Riadenie personálnej bezpečnosti
383
384 1. Riadenie prístupov
385 11. Vypracovanie a implementácia zásad riadenia prístupov osôb k sieti a informačnému systému;
386 11. Zavedenie, implementácia alebo aktualizácia centrálneho nástroja na správu a overovanie identity, nástroja na riadenie prístupových oprávnení vrátane privilegovaných prístupových práv a kontroly prístupových účtov a prístupových oprávnení;
387 11. Vypracovanie a implementácia postupov a procesov upravujúcich riadenie prístupov organizácie.
388
389 V oblasti riadenia prístupov sú definované rozsahy logických aj fyzických prístupových oprávnení vlastných zamestnancov a zamestnancov dodávateľom ku všetkým aktívam hodnoteného subjektu. Je vykonávaná pravidelná kontrola nad nastavenými rozsahmi prístupových oprávnení na aktivitách. Vzhľadom na súvislosť s ostatnými oblasťami samohodnotenia je potrebné vykonať celkovú aktualizáciu riadenia prístupov po zmapovaní informačných a podporných aktív.
390
391 Budú vypracované alebo aktualizované nasledovné sady dokumentácie:
392
393 * Smernica Riadenie prístupových práv;
394 * Zapracovanie a implementácia postupov a procesov napr. prostredníctvom RACI matice v nadväznosti na implementované technické riešenie, pravidlá pre oddelenie právomocí
395
396 1. Riadenie kybernetickej a informačnej bezpečnosti vo vzťahoch s tretími stranami
397 11. Vypracovanie analýzy  rizík  tretích  strán  a celého  dodávateľského  reťazca, vrátane analýzy politických rizík;
398 11. analýza a posúdenie súladu všetkých aktuálnych zmlúv s tretími stranami so zákonom o KB a dobrou praxou;
399 11. vypracovanie návrhov dodatkov zmlúv s treťou stranou spolu s návrhom potrebných úprav na zabezpečenie súladu so zákonom KB;
400 11. vypracovanie a implementácia   interného  riadiaceho  aktu   upravujúceho zásady   kybernetickej   a informačnej   bezpečnosti   vo   vzťahoch   s tretími stranami.
401
402 Budú vypracované alebo aktualizované nasledovné sady dokumentácie:
403
404 * Metodika pre riadenie bezpečnostných rizík vo vzťahu k tretím stranám
405 * Analýza a posúdenie súladu
406 * Vypracovanie návrhov dodatkov zmlúv
407 * Smernica riadenie tretích strán
408 * Smernica požiadavky pre tretie strany
409
410 1. Bezpečnosť pri prevádzke informačných systémov a sietí
411 11. Zavedenie opatrení a interného riadiaceho aktu v oblasti riadenia zmien, riadenia kapacít, inštalácie softvéru v sieťach a informačných systémoch, inštalácia zariadení v sieťach a informačných systémoch, zaznamenávanie bezpečnostných záznamov a zaznamenávanie a vyhodnocovanie prevádzkových záznamov;
412 11. Implementácia technických riešení podporujúcich riadenie bezpečnosti pri prevádzke, napr. nástroj pre riadenie, evidenciu a schvaľovanie zmien, evidenciu bezpečnostných incidentov, konfiguračný manažment bezpečnostných nastavení;
413 11. Obstaranie služieb pre potreby správy prevádzkovej zálohy, kópie archivačnej zálohy a kópie inštalačných médií, vrátane určenia spôsobu ich ukladania, testov funkcionality dátových nosičov, testov obnovy, fyzického uloženia druhej kópie archivačnej zálohy v inom objekte a minimalizovania rizika poškodenia alebo zničenia dátových nosičov archivačných záloh vplyvom prírodných živlov alebo havárie.
414
415 Sebahodnotenie v oblasti riadenia bezpečnosti sietí konštatuje implementovanú bezpečnostnú sieťovú segmentáciu a aktívnu a priebežnú správu pravidiel na zariadeniach oddeľujúcich jednotlivé segmenty. Sieťová bezpečnosť je realizovaná v rámci existujúcich nasadených prvkov a technológií, ktoré je navrhnuté nahradiť prvkami novej generácie s využitím strojového učenia a umelej inteligencie na mapovanie prevádzky a automatizovanú ochranu pred známymi i neznámymi hrozbami v čo najkratšom čase.
416
417 Budú vypracované alebo aktualizované nasledovné sady dokumentácie:
418
419 * Smernica pre riadenie zmien
420 * Smernica správa a prevádzka IS a služieb
421
422 1. Hodnotenie zraniteľností a bezpečnostné aktualizácie
423 11. Zavedenie, implementácia alebo aktualizácia nástroja určeného na detegovanie existujúcich zraniteľností programových prostriedkov a ich častí a detegovanie existujúcich zraniteľností technických prostriedkov a ich častí, prípadne obstaranie tejto funkcionality ako externej služby;
424 11. Vypracovanie a implementácia   interného  riadiaceho  aktu   upravujúceho proces riadenia implementácie bezpečnostných aktualizácií a záplat.
425
426 Z pohľadu schopnosti identifikovať známe zraniteľnosti aktív a vyhodnocovania potencionálneho prieniku zneužitím týchto zraniteľností absentuje systematické získavanie informácií o zraniteľnostiach od dodávateľov aktív a KB autorít. Rovnako iba čiastočne je realizované vyhodnocovanie dopadu známych zraniteľností na aktíva a vyhodnocovanie rizika spojeného s týmito zraniteľnosťami.
427
428 Budú vypracované alebo aktualizované nasledovné sady dokumentácie:
429
430 * Smernica riadenie a implementácia bezpečnostných záplat a bezpečnostných aktualizácií
431
432 1. Ochrana proti škodlivému kódu
433 11. Vypracovanie interného riadiaceho aktu s požiadavkami na určenie zodpovednosti používateľov, pravidiel pre inštaláciu a monitorovania potenciálnych ciest prieniku škodlivého kódu;
434 11. Implementácia alebo aktualizácia nástrojov na ochranu, ktoré okrem iného vykonávajú kontrolu prístupu k digitálnemu obsahu, pravidelné kontroly úložísk vrátane cloudových riešení, zabraňujú prístupu neoprávnených používateľov filtrovaním obsahu a zamedzením odinštalovať alebo zakázať funkcie systému na ochranu proti škodlivému kódu;
435 11. Vypracovanie a implementácia pravidiel súvisiace s ochranou proti škodlivému kódu;
436
437 V kontexte už uvedeného, poskytovateľ základnej služby vykazuje rezervy v orchestrácii oblasti ochrany proti škodlivému kódu. Proces zmenového konania je zavedený iba čiastočne. Naopak procesy incident manažmentu a zálohovania sú zavedené, no odporúčame zrevidovanie nastavených procesov a zosúladenie s implementovanou bezpečnostnou politikou ako celkom.
438
439 Budú vypracované alebo aktualizované nasledovné sady dokumentácie:
440
441 * Smernica pre ochranu proti škodlivému kódu a inštaláciu a hardening IS;
442 * Vypracovanie a implementácia postupov a procesov v nadväznosti na technické riešenie
443
444 1. Sieťová a komunikačná bezpečnosť
445 11. Implementácia nástrojov na ochranu integrity sietí, ktoré zabezpečujú riadenie bezpečného prístupu medzi vonkajšími a vnútornými sieťami, implementácia segmentácie sietí, implementácia alebo obnova firewall-u, revízia firewall pravidiel;
446 11. Vytvorenie alebo aktualizácia dokumentácie počítačovej siete, ktorá obsahuje evidenciu všetkých miest prepojenia sietí vrátane prepojení s externými sieťami, topológiu siete a využitie IP rozsahov.
447 11. vypracovanie a implementácia   interného  riadiaceho  aktu   upravujúceho pravidlá sieťovej a komunikačnej bezpečnosti;
448
449 V oblasti sieťovej a komunikačnej bezpečnosti je plánovaná implementácia novej generácie FW disponujúcej dynamickou segmentáciou siete, automatizáciou identifikácie hrozieb pomocou systémových agentov a REST API a zvýšenie počtu vrstiev ochrany. V sieťovej infraštruktúre sú zakomponované switche, z ktorých ¾ celkového počtu neposkytujú dostatočné možnosti manažovania siete.
450
451 Budú vypracované alebo aktualizované nasledovné sady dokumentácie:
452
453 * Smernica pre pravidlá sieťovej a komunikačnej bezpečnosti
454
455 1. Akvizícia, vývoj a údržba informačných technológií verejnej správy
456 11. Vypracovanie metodiky softvérového vývoja v podobe interného riadiaceho aktu, definujúce  bezpečnostné  požiadavky  na  všetky  fázy  životného  cyklu vývoja SW (SSDLC).
457
458 Budú vypracované alebo aktualizované nasledovné sady dokumentácie:
459
460 * Metodika Požiadavky pre bezpečný vývoj SSDLC
461
462 1. Zaznamenávanie udalostí a monitorovanie
463 11. Implementácia centrálneho Log manažment systému pre zber a ukladanie logov z jednotlivých informačných systémov;
464 11. Implementácia centrálneho nástroja na zaznamenávanie činností sietí a informačných systémov a používateľov a identifikovanie bezpečnostných incidentov (SIEM);
465 11. Vypracovanie dokumentácie spôsobu monitorovania a fungovania Log manažment systému a centrálneho nástroja na bezpečnostné monitorovanie a zadefinovanie spôsobu evidencie prevádzkových záznamov, ich vyhodnocovania, spôsobu hlásenia podozrivej aktivity, zodpovednej osoby a ďalších povinností;
466 11. Špecifikácia všetkých udalostí, ktoré musia byť zaznamenávané a konfigurácia prvkov informačných technológií verejnej správy, vrátane dokumentácie rozsahu dát zaznamenávaných log súborov; implementácia automatizovaných systémov vykonávajúcich dohľad pred neoprávnenými zásahmi, neautorizovaným prístupom, najmä pred zmenami a zničením, vrátane monitorovania kapacity systémov a návrh adekvátnych opatrení na ukladanie záznamov a systému logovania.
467 11. vypracovanie interného    riadiaceho    aktu,    ktorý    obsahuje    a upravuje povinnosti definované platnou legislatívou;
468
469 V rámci sebahodnotenia oblasti KB boli konštatované rezervy v oblasti prevádzkového monitoringu, nakoľko mesto má iba čiastočný prehľad o aktívach a komponentoch, nad ktorými potrebuje mať implementovaný prevádzkový monitoring. Zároveň iba v čiastočnom rozsahu je vykonávaný monitoring parametrov aktív a komponentov prostredia tak, aby bol zaznamenávaný nepretržitý prehľad o stave prostredia.
470
471 Budú vypracované alebo aktualizované nasledovné sady dokumentácie:
472
473 * Smernica o bezpečnostnom monitoringu IS a sietí
474
475 1. Riešenie kybernetických bezpečnostných incidentov
476 11. Vypracovanie štandardov a postupov riešenia kybernetických bezpečnostných incidentov, vrátane definovania zodpovedností zamestnancov a ďalších povinností;
477 11. Obstaranie služby monitorovania a analyzovania udalostí v sieťach a informačných systémoch vrátane detekcie, zberu relevantných informácií, vyhodnocovania a riešenia zistených kybernetických bezpečnostných incidentoch a vykonávania napr. forenzných analýz v snahe minimalizovať výskyt a dopad kybernetických bezpečnostných incidentov;
478 11. Implementácia nástroja na detekciu, nástroja na zber a nepretržité vyhodnocovanie a evidenciu kybernetických bezpečnostných udalostí; - vypracovanie interného riadiaceho aktu obsahujúceho a upravujúceho povinnosti týkajúce sa riešenia kybernetických bezpečnostných incidentov;
479 11. Vypracovanie interného   riadiaceho   aktu   obsahujúceho   a upravujúceho povinnosti týkajúce sa riešenia kybernetických bezpečnostných incidentov;
480 11. Vypracovanie plánov a spôsobov riešenia kybernetických bezpečnostných incidentov.
481
482 V rámci hodnotenia oblasti bezpečnostného monitoringu samohodnotenie konštatuje absenciu implementovaného nástroja na výkon bezpečnostného monitoringu nad aktívami, ktoré sa podieľajú na základnej službe. Na druhú stranu mesto má stanovený proces, ktorým bude obec vedieť reagovať na kybernetický bezpečnostný incident. V dôsledku celkového mapovania aktív a revidovania bezpečnostnej politiky ho však bude potrebné zosúladiť a aktualizovať.
483
484 Budú vypracované alebo aktualizované nasledovné sady dokumentácie:
485
486 * Vypracovanie štandardov       a postupov       riešenia       kybernetických bezpečnostných      incidentov - Súčasť smernice a metodiky pre riešenie bezpečnostných incidentov;
487 * Smernica pre riešenie bezpečnostných incidentov
488 * Metodika pre riešenie bezpečnostných incidentov
489
490 1. Kryptografické opatrenia
491 11. Vypracovanie a implementácia   interného  riadiaceho  aktu   upravujúceho používanie kryptografických prostriedkov a šifrovania;
492 11. Definovanie pravidiel  využitia  kryptografických  prostriedkov  používajúcich dostatočne  odolné  kryptografické  mechanizmy  na  ochranu  údajov  pri  ich prenose alebo uložení v rámci sietí a informačných systémov;
493 11. Vypracovanie a dokumentácia   systému   správy   kryptografických   kľúčov a certifikátov;
494
495 Budú vypracované alebo aktualizované nasledovné sady dokumentácie:
496
497 * Smernica Riadenie kryptografických opatrení
498 * Metodika pre Riadenie kryptografických opatrení
499 * Metodika pre správu kryptografických kľúčov a certifikátov
500
501 1. Kontinuita prevádzky
502 11. Vypracovanie stratégie a krízových plánov prevádzky na základe analýzy vplyvov kybernetického bezpečnosť. incidentu na základnú službu;
503 11. vypracovanie plánov kontinuity prevádzky a ich prvotné otestovanie v reálnom prostredí organizácie  a zapracovanie nedostatkov z výsledkov testovania;
504 11. vypracovanie interného   riadiaceho   aktu   obsahujúceho   a upravujúceho kontinuitu prevádzky následkom kybernetického bezpečnostného incidentu alebo inej krízovej situácie;
505 11. vypracovanie   postupov   zálohovania   na   obnovu   siete   a informačného systému   po   jeho   narušení   alebo   zlyhaní   v dôsledku   kybernetického bezpečnostného incidentu alebo inej krízovej situácie;
506
507 Budú vypracované alebo aktualizované nasledovné sady dokumentácie:
508
509 * Stratégia Riadenie kontinuity prevádzky
510 * Analýza dopadov (BIA)"
511 * BCP (plánov   kontinuity   prevádzky)
512 * DRP (plánov   obnovy   prevádzky IS)
513 * Testovanie BCP a DRP
514 * Smernica Riadenie kontinuity prevádzky
515 * Metodika Riadenie kontinuity prevádzky
516 * Zálohovacie politiky
517
518 1. Audit a kontrolné činnosti
519 11. Vypracovanie programu posúdenia bezpečnosti na definované informačné technológie verejnej správy, hodnotenia zraniteľností   a penetračných testov;
520
521 Budú vypracované alebo aktualizované nasledovné sady dokumentácie:
522
523 * vypracovanie programu posúdenia bezpečnosti na definované informačné technológie verejnej správy
524
525 \\
526
527 Vychádzajúc z výsledkov samohodnotenia úrovne kybernetickej bezpečnosti u poskytovateľa základnej služby, mesta Spišská Belá, má byť rešpektujúc jednotlivé podaktivity výzvy v budúcom stave implementované:
528
529 1. Centralizovaná platforma NGFW alebo UTM firewall v konfigurácii aktívneho/záložného klastra vrátane inštalácie zariadení a príslušného softvérového riešenia a školení. Riešenie umožní dynamickú segmentáciu vnútornej siete, zabezpečenie ochrany perimetra pred pokročilými hrozbami. Minimálne požiadavky:
530 1*. Aktívna/pohotovostná konfigurácia klastra
531 1*. Redundantné napájanie
532 1*. Dostatočný počet portov 10G/1G (externé pripojenie + interná segmentácia)
533 1*. Podpora IPv4 a IPv6
534 1*. podpora dynamického smerovania
535 1*. Podpora VLAN
536 1*. riadenie prevádzky až do úrovne L7
537 1*. Kontrola prevádzky na úrovni aplikácií a URL - webový filter, aplikačný filter
538 1*. Podpora SSL VPN a Site2Site
539 1*. antivírusová/antiransomvérová/antimalvérová kontrola prevádzky s automatickou aktualizáciou podpisov
540 1*. technológia sandboxing
541 1*. Integrácia služby Active Directory
542 1*. centralizovaná správa konfigurácie a zhromažďovanie protokolov
543 1*. analytický nástroj na hodnotenie kybernetických incidentov
544 1. Log manažment umožňujúci správa logov podľa požiadaviek vyhlášky k zákonu o kybernetickej bezpečnosti podľa § 20 ods. 3 písm. k) zákona zaznamenávanie udalostí a monitorovanie.
545 1*. Požiadavky na výkon: Schopnosť spracovať 5000 EPS (udalostí za sekundu), Uchovávanie logov minimálne 12 mesiacov s dostatočnou rezervou pre plánovaný nárast objemu uchovávaných logov v priebehu nasledujúcich 5 rokov, Údaje sú uložené na vlastnom internom úložisku, nie v cloude
546 1*. Požiadavky na komunikáciu: Schopnosť prijímať protokoly z viacerých zdrojov, Pravidelná aktualizácia vstupných filtrov, Prijímanie protokolov prostredníctvom protokolu SYSLOG cez UDP aj TCP, Schopnosť prijímať správy s veľkosťou aspoň 4 kB, Preposielanie protokolov prostredníctvom protokolu SYSLOG v nezmenenej podobe, Schopnosť preposielať štandardizované informácie v určitom spoločnom štruktúrovanom formáte
547 1*. Požiadavky na používateľov: RBAC (prístupové práva na základe rolí používateľov, t. j. kombinácia jednotlivých systémov a atribútov protokolov voči používateľom a ich rolám), audit činnosti používateľov
548 1*. Funkcie spracovania údajov: Vyhľadávanie a filtrovanie na základe normalizovaných atribútov, fulltextové vyhľadávanie, asynchrónne vyhľadávanie (nie je potrebné čakať na výsledok dlhšieho dotazu, možno ho „vyzdvihnúť“ dodatočne), zobrazené výsledky vyhľadávania rešpektujú rolu používateľa (nezobrazujú sa ani výňatky z neprístupných protokolov), Funkcia „Live tail“ (priebežné zobrazovanie prijatých protokolov), Možnosť anonymizovať vybrané atribúty, Možnosť definovať vlastné výstrahy spúšťané na základe výskytu a frekvencie definovaných podmienok, Možnosť definovať vlastný panel v grafickom používateľskom rozhraní
549 1*. Dostupnosť dobre zdokumentovaného rozhrania API
550 1. Automatizovaný nástroj na identifikáciu a hodnotenie zraniteľností on-premise nástroj od špecializovaného dodávateľa na identifikáciu a hodnotenie technických zraniteľností podľa § 20 ods. 3 písm. g) zákona hodnotenie zraniteľností a bezpečnostných aktualizácií. Ponúkané riešenie musí obsahovať tieto požiadavky:
551 1*. automatický technický nástroj na skenovanie zraniteľností (Vulnerability scanner), ktorý minimálne upozorňuje na aktuálne hrozby prostredníctvom oznámenia, identifikuje a vyhodnocuje technické zraniteľnosti v prostredí zákazníka, navrhuje riešenia zraniteľností podľa ich technickej povahy, podporuje integráciu na ďalšie systémy zadávateľa, ktoré ďalej spracúvajú výstupy, zabezpečuje dôvernosť, integritu a dostupnosť spracovávaných informácií (údajov)
552 1*. Celá správa komponentov riešenia a životného cyklu správy zraniteľností sa musí vykonávať prostredníctvom jednotnej webovej konzoly na správu nástroja.
553 1*. Podpora skenovania zraniteľnosti aktív prostredníctvom technického účtu (overovacie skenovanie).
554 1*. Návrh dimenzovania riešenia zameraný na 256 IP
555 1. Softvérové vybavenie typu Endpoint Detection & Response vrátane inštalácie a príslušných školení. Softvérové vybavenie slúžiace na prevenciu kybernetických útokov, detekciu a reakciu na už existujúce hrozby pre pracovné stanice poskytovateľa základnej služby. Prioritou implemntácie modulu EDR je detekcia, monitorovanie a rýchla reakcia na kybernetické hrozby. Implemntáciou modulu EDR sa zabezpečí schopnosť identifikovať a zabrániť rôznym typom hrozieb, vrátane malvéru, ransomvéru a iných škodlivých aktivít, pričom toto riešenie podporuje tzv. „samoučiaci režim“, ochranu pred neznámymi hrozbami a anti-ransomware ochranu. Riešenie umožní monitorovať všetky koncové zariadenia v reálnom čase, ponúknuť centralizovanú správu, vytvárať správy pre bezpečnostných administrátorov a definovať politiky pre jednotlivé skupiny administrátorov. EDR riešenie umožní rýchlu reakciu na incidenty, vrátane izolácie postihnutých zariadení, odstránenia hrozieb a obnovy systémov, a podporí threat hunting s funkciou vizualizácie a minimálnou 30-dňovou retenciou dát. Možnosť integrácie s Microsoft Active Directory s cieľom importovať strom Active Directory.
556 1. Posilnenie komunikačnej infraštruktúry podľa § 20 ods. 3 písm. i) zákona sieťová a komunikačná bezpečnosť a podľa § 20 ods. 3 písm. o) zákona kontinuita prevádzky
557
558 LAN - ks prepínače
559
560 * výška 1U, možnosť stackovania
561 * 4ks - 48x GBase-T portov napájenie PoE 802.3at, min. 4x SFP56 porty,  vrátane transceiverov, redundantné napájanie
562 * jumbo frames 9kB
563 * podpora IPv4 a IPv6, OSPF,
564 * inštalácia, konfigurácia, integrácia do existujúceho prostredia
565
566 Bezdrôtová sieť
567
568 * 10ks prístupových bodov AP WIFI6, dual radio 4x4:4 MIMO (2.4GHz, 5GHz, multirate port, vrátane montážnej sady)
569 * Centrálna administrácia v cloude
570 * inštalácia vrátane natiahnutie kabeláže, konfigurácie, prieskumu miesta bezdrôtovej siete
571
572 802.1x - Networks Access Control
573
574 * 1x virtuálne zariadenie
575 * riadenie prístupu do siete pre približne 200 zariadení
576 * inštalácia, konfigurácia a integrácia do existujúceho prostredia
577
578 Správa siete
579
580 * centralizovaná správa sieťových zariadení v cloude
581 * minimum 14 zariadení, škálovateľné
582 * podpora automatizácie sieťových úloh
583 * rozhranie REST API
584 * konfigurácia
585
586 \\
587
marek_podolinsky 3.1 588 (% class="wrapped" %)
marek_podolinsky 2.1 589 (% class="" %)|(((
590 **P.č.**
591 )))|(((
592 **Názov hodnotiaceho kritéria**
593 )))|(((
594 **Parametre v projekte**
595 )))|(((
596 **Zdroj**
597 )))
598 (% class="" %)|(((
599 1.
600 )))|(((
601 Miera rizík ohrozujúcich úspešnú realizáciu projektu
602 )))|(((
603 V rámci projektu bolo identifikovaných menej ako 10 % rizík z celkového počtu identifikovaných rizík v ŽoNFP je s vysokou závažnosťou, ktoré ohrozujú úspešnú realizáciu projektu.
604 )))|(((
605 viď príloha č. 1 projektového zámeru I_01_PRILOHA_1_REGISTER_RIZIK-a-ZAVISLOSTI.xlsx, ktorý tvorí aj prílohu ŽoNFP.
606 )))
607 (% class="" %)|(((
608 2.
609 )))|(((
610 Administratívne, odborné a prevádzkové kapacity žiadateľa
611 )))|(((
612 Žiadateľ disponuje a plánuje (v súlade s podmienkami výzvy) dostatočné odborné kapacity s náležitou odbornou spôsobilosťou a know-how na riadenie a implementáciu projektu v danej oblasti. Popis zabezpečenia prevádzky riešenia je reálny, t. j. žiadateľ disponuje a plánuje (v súlade s podmienkami výzvy) personálne kapacity pre zabezpečenie prevádzky riešenia.
613 )))|(((
614 Informácie o projektovom tíme sú uvedené v kapitole 9 projektového zámeru.
615
616 Prílohou ŽoNFP sú:
617
618 - Životopisy členov projektového tímu
619 )))
620 (% class="" %)|(((
621 3.
622 )))|(((
623 Miera oprávnenosti výdavkov projektu.
624 )))|(((
625 Všetky oprávnené aktivity vychádzajú z bodu 2 Výzvy a prílohy 8 Výzvy, ktorá definuje oprávnené podaktivity.
626 )))|(((
627 V rámci projektu budú realizované nasledovné oprávnené podaktivity:
628
629 -           Organizácia kybernetickej a informačnej bezpečnosti
630
631 -           Riadenie rizík
632
633 -           Personálna bezpečnosť
634
635 -           Riadenie kybernetickej a informačnej bezpečnosti vo vzťahoch s tretími stranami
636
637 -           Personálna bezpečnosť
638
639 -           Riadenie prístupov
640
641 -           Riadenie kybernetickej a informačnej bezpečnosti vo vzťahoch s tretími stranami
642
643 -           Bezpečnosť pri prevádzke informačných systémov a sietí
644
645 -           Hodnotenie zraniteľností a bezpečnostné aktualizácie
646
647 -           Ochrana proti škodlivému kódu
648
649 -           Sieťová a komunikačná bezpečnosť
650
651 -           Akvizícia, vývoj a údržba informačných technológií verejnej správy
652
653 -           Zaznamenávanie udalostí a monitorovanie
654
655 -           Riešenie kybernetických bezpečnostných incidentov
656
657 -           Kryptografické opatrenia
658
659 -           Kontinuita prevádzky
660
661 -           Audit a kontrolné činnosti
662
663 \\
664
665 Ceny jednotlivých výdavkov premietnutých do rozpočtu boli získané na základe prieskumov trhu.
666 )))
667 (% class="" %)|(((
668 4.
669 )))|(((
670 Dôležitosť kybernetickej bezpečnosti u žiadateľa a potenciálny dopad kybernetických incidentov.
671 )))|(((
672 V zmysle kapitoly 3.2.5 PODPORA V OBLASTI KIB NA REGIONÁLNEJ ÚROVNI uvedenej v prílohe 2 Výzvy boli identifikované jednotlivé kategórie.
673 )))|(((
674 § 24 ods. 2 písm. a) – kategória: I.
675
marek_podolinsky 3.1 676 § 24 ods. 2 písm. b) a c) – kategória: III.
marek_podolinsky 2.1 677
678 § 24 ods. 2 písm. d) – kategória: III.
679
680 §24 ods. 2 písm. e) – kategória: I,
681 )))
682
683 \\
684
marek_podolinsky 3.1 685 (% class="wrapped" %)
marek_podolinsky 2.1 686 (% class="" %)|(((
687 **Dopad kybernetického bezpečnostného incidentu v závislosti**
688 )))|(((
689 **Kategória**
690 )))|(((
691 **Vysvetlenie**
692 )))
693 (% class="" %)|(((
694 § 24 ods. 2 písm. a) zákona 69/2018 Z.z.
695
696 Počet používateľov základnej služby zasiahnutých kybernetickým bezpečnostným incidentom.
697 )))|(((
698 I.
699 )))|(((
700 Počet interných zamestnancov: 46
701
702 Počet klientov:
703
704 - Fyzické osoby (občania): **6 659** (k 31.12.2023, zdroj Štatistický úrad SR)
705
706 - Právnické osoby: 1330 (údaje za rok 2023)
707
708 Celkom dotknutých osôb: 7989
709 )))
710 (% class="" %)|(((
711 § 24 ods. 2 písm. b) zákona 69/2018 Z.z.
712
713 Dĺžka trvania kybernetického bezpečnostného incidentu (čas pôsobenia kybernetického bezpečnostného incidentu)
714
715 a/alebo
716
717 § 24 ods. 2 písm. c) zákona
718
719 Geografické rozšírenie kybernetického bezpečnostného incidentu.
720 )))|(((
marek_podolinsky 3.1 721 III.
marek_podolinsky 2.1 722 )))|(((
723 Mesto Spišská Belá má 8 ISVS, ktoré sú technicky realizované pre účely základnej služby pomocou 5 IS. V prípade kybernetického incidentu predpokladáme nedostupnosť IS na 10 pracovných dní (sedem a pol hodiny), čo by v praxi znamenalo obmedzenie alebo narušenie prevádzky základnej služby v rozsahu 3450 hodín z pohľadu zamestnancov, nedostupnosť základnej služby pre obyvateľov mesta a právnické osoby v celkovom rozsahu 639 120 hodín (10 dní, 8 pracovných hodín).
724 )))
725 (% class="" %)|(((
726 § 24 ods. 2 písm. d) zákona 69/2018 Z.z.
727
728 Stupeň narušenia fungovania základnej služby.
729 )))|(((
730 III.
731 )))|(((
732 Incident spôsobí úplnú nedostupnosť druhu služby, pre ktorú nie je možné zabezpečiť náhradné riešenie. V prípade nefunkčnosti informačných systémov nie je k dispozícii náhradné riešenie.
733 )))
734 (% class="" %)|(((
735 § 24 ods. 2 písm. e) zákona 69/2018 Z.z.
736
737 Rozsah vplyvu kybernetického bezpečnostného incidentu na hospodárske alebo spoločenské činnosti štátu.
738 )))|(((
739 I.
740 )))|(((
741 V prípade nefunkčnosti budú zasiahnutí zamestnanci obce, občania a podnikateľské subjekty, či iné organizácie. Incident môže spôsobiť hospodársku stratu alebo hmotnú škodu najmenej jednému užívateľovi viac ako 250 000 eur, či narušenie verejného poriadku, alebo verejnej bezpečnosti vo významnej časti okresu.
742 )))
743
744 \\
745
746 \\
747
748 == {{id name="projekt_2540_Projektovy_zamer_detailny-3.3Zainteresovanéstrany/Stakeholderi"/}}3.3       Zainteresované strany/Stakeholderi ==
749
marek_podolinsky 3.1 750 (% class="wrapped" %)
marek_podolinsky 2.1 751 (% class="" %)|(((
752 ID
753 )))|(((
754 AKTÉR / STAKEHOLDER
755 )))|(((
756 SUBJEKT
757
758 (názov / skratka)
759 )))|(((
760 ROLA
761
762 (vlastník procesu/ vlastník dát/zákazník/ užívateľ …. člen tímu atď.)
763 )))|(((
764 Informačný systém
765
766 (MetaIS kód a názov ISVS)
767 )))
768 (% class="" %)|(((
769 1.
770 )))|(((
771 Ministerstvo investícií, regionálneho rozvoja a informatizácie SR
772 )))|(((
773 MIRRI
774 )))|(((
775 Orgán vedenia
776 )))|(((
777 Isvs_63 MetaIS
778 )))
779 (% class="" %)|(((
780 2.
781 )))|(((
782 Občan / podnikateľ
783 )))|(((
784 G2B/G2C
785 )))|(((
786 Konzument elektronických služieb
787 )))|(((
788 \\
789 )))
790 (% class="" %)|(((
791 3.
792 )))|(((
793 Zamestnanec mesta
794 )))|(((
795 G2E
796 )))|(((
797 Spracovateľ elektronických služieb
798 )))|(((
799 \\
800 )))
801 (% class="" %)|(((
802 4.
803 )))|(((
804 Mesto
805 )))|(((
806 Spišská Belá
807 )))|(((
808 Orgán riadenia v roli prijímateľa
809 )))|(((
810 ISVS a infraštruktúra
811 )))
812
813 \\
814
815 \\
816
817 == {{id name="projekt_2540_Projektovy_zamer_detailny-3.4Cieleprojektu"/}}3.4       Ciele projektu ==
818
819 \\
820
marek_podolinsky 3.1 821 (% class="wrapped" %)
marek_podolinsky 2.1 822 (% class="" %)|(((
823 ID
824 )))|(((
825 \\
826
827 \\
828
829 Názov cieľa
830 )))|(((
831 Názov strategického cieľa
832 )))|(((
833 Spôsob realizácie strategického cieľa
834 )))
835 (% class="" %)|(((
836 ID01
837 )))|(((
838 RSO 1.2, kat. MRR,
839 )))|(((
840 Realizácia opatrení na zvýšenie úrovne informačnej a kybernetickej bezpečnosti
841 )))|(((
842 Komplexné zvýšenie úrovne kybernetickej bezpečnosti implementáciou aplikačného a technologického vybavenia.
843 )))
844
845 **~ **
846
847 == {{id name="projekt_2540_Projektovy_zamer_detailny-3.5Merateľnéukazovatele(KPI)"/}}3.5       Merateľné ukazovatele (KPI) ==
848
849 Žiadateľ je povinný stanoviť cieľové hodnoty merateľných ukazovateľov projektu pre každú vybranú hlavnú aktivitu projektu, špecifický cieľ a kategóriu regiónu osobitne v závislosti od výberu príkladov oprávnených hlavných aktivít projektu.
850
851 \\
852
marek_podolinsky 3.1 853 (% class="wrapped" %)
marek_podolinsky 2.1 854 (% class="" %)|(((
855 ID
856 )))|(((
857 \\
858
859 \\
860
861 ID/Názov cieľa
862 )))|(((
863 Názov
864 ukazovateľa (KPI)
865 )))|(((
866 Popis
867 ukazovateľa
868 )))|(((
869 Merná jednotka
870 \\
871 )))|(((
872 AS IS
873 merateľné hodnoty
874 (aktuálne)
875 )))|(((
876 TO BE
877 Merateľné hodnoty
878 (cieľové hodnoty)
879 )))|(((
880 Spôsob ich merania
881 )))|(((
882 Pozn.
883 )))
884 (% class="" %)|(((
885 ID01
886 )))|(((
887 Výstup PO095 / PSKPSOI12
888 )))|(((
889 Verejné inštitúcie podporované v rozvoji kybernetických služieb, produktov a procesov
890 )))|(((
891 Počet verejných inštitúcií, ktoré sú podporované za účelom rozvoja a  modernizácie kybernetických služieb, produktov, procesov a zvyšovania vedomostnej úrovne napríklad v kontexte opatrení smerujúcich k elektronickej bezpečnosti verejnej správy.
892 )))|(((
893 Počet verejných inštitúcií
894 )))|(((
895 0
896 )))|(((
897 1
898 )))|(((
899
900 Identifikácia počtu realizácie opatrení KIB pre inštitúciu – splnenie súladu KIB so zákonom o kybernetickej bezpečnosti a zákonom o ISVS
901 )))|(((
902 ...
903 )))
904 (% class="" %)|(((
905 ID02
906 )))|(((
907 Výsledok PR017 / PSKPRCR11
908 )))|(((
909 PR017 / PSKPRCR11 - Používatelia nových a vylepšených verejných digitálnych služieb, produktov a procesov
910 )))|(((
911 Ukazovateľ PR017 uvádza počet všetkých zamestnancov mesta Spišská Belá, ktorí budú primárnou skupinou používateľov nových/vylepšených produktov a procesov realizovaných v rámci projektu
912 )))|(((
913 používatelia / rok
914 )))|(((
915 0
916 )))|(((
917 25
918 )))|(((
919 Sumarizácia počtu používateľov nových a vylepšených digitálnych služieb – bude určené počtom prístupov, Databázou používateľov v oblasti KIB.
920
921 V prípade mesta Spišská Belá ide o počet zamestnancov, ktorí využívajú IS mesta Spišská Belá alebo akékoľvek elektronické zariadenia v správe mesta Spišská Belá SR.
922
923 Čas plnenia merateľného ukazovateľa projektu:
924
925 v rámci udržateľnosti projektu
926 )))|(((
927 PR017 / PSKPRCR11 - Používatelia nových a vylepšených verejných digitálnych služieb, produktov a procesov
928 )))
929
930 \\
931
932 \\
933
934 == {{id name="projekt_2540_Projektovy_zamer_detailny-3.6Špecifikáciapotriebkoncovéhopoužívateľa"/}}3.6       Špecifikácia potrieb koncového používateľa ==
935
936 Realizáciou projektu sa rieši zvýšenie úrovne zabezpečenia informačných systémov v prostredí verejnej správy. Projektom sa neimplementujú žiadne koncové služby pre obyvateľov a podnikateľov, ani koncové služby pre zamestnancov verejnej správy. Zmeny implementované projektom spočívajú v riadení bezpečnostných politík, obnovy IKT vybavenia a zmeny backendových procesov. Z tohto dôvodu nie je potrebné definovať potreby koncového používateľa samostatným používateľským prieskumom. Vyššie uvedené rozširovanie a doplnenie služieb bezpečnostného monitoringu bude poskytované aj organizáciám v zriaďovateľskej pôsobnosti žiadateľa. Zo zvýšeného zabezpečenia IKT prostredia mesta Spišská Belá budú priamo profitovať subjekty využívajúce elektronické služby samospráv, ktorú budú bezpečnejšie a zároveň bude zabezpečená ich vysoká dostupnosť.
937
938 .
939
940 == {{id name="projekt_2540_Projektovy_zamer_detailny-3.7Rizikáazávislosti"/}}3.7       Riziká a závislosti ==
941
942 \\
943
944 Riziká a závislostí sú spracované v Prílohe č. 1 – Zoznam RIZÍK a ZÁVISLOSTI.
945
946 \\
947
948 == {{id name="projekt_2540_Projektovy_zamer_detailny-3.8Stanoveniealternatívvbiznisovejvrstvearchitektúry"/}}3.8       Stanovenie alternatív v biznisovej vrstve architektúry ==
949
950 \\
951
952 V rámci biznisovej vrstvy architektúry sme porovnávali 3 variantné alternatívy riešenia súčasného stavu. Na základe identifikovaného rozsahu problému v projektovom zámere boli stanovené tri rôzne riešenia. Ako najefektívnejšia bola vybraná Alternatíva č. 2, taká, kt. pokrýva procesy a požiadavky všetkých stakeholderov a k oblasti kybernetickej bezpečnosti v meste Spišská Belá pristupuje v takej granularite, ktorá zodpovedá hodnote chránených aktív.
953
marek_podolinsky 3.1 954 \\
955
956 [[image:attach:Snímka obrazovky 2024-05-20 o 0.19.17.png||height="250"]]
957
958 \\
959
marek_podolinsky 2.1 960 Alternatíva 1 spočíva v tom, že by neboli prijaté žiadne zmeny v oblasti monitoringu, spracovania a vyhodnocovania údajov z pohľadu kybernetickej bezpečnosti a realizácie preventívnych opatrení. V súčasnom stave by to znamenalo nedostatočné poznanie komunikácie v infraštruktúrnom prostredí obce, kumulovanie rizika vzniku bezpečnostného incidentu, tvorbu investičného dlhu na IKT a ohrozenie budúcej funkčnosti správy veci verejných v obci či poskytovania služieb občanom.
961
962 \\
963
964 Alternatíva 2 spočíva v simultánnom nasadení viacerých softvérových a hardvérových nástrojov na plošné zvýšenie úrovne kybernetickej bezpečnosti v krátkodobom časovom horizonte. Nakoľko je softvérové, hardvérové a infraštruktúrne prostredie z hľadiska KB bezpečné len do takej miery, do akej je zabezpečená jeho najzraniteľnejšia časť, považujeme centrálne plánovaný a komplexný prístup za najefektívnejší ako na biznis, aplikačnej aj technologickej vrstve.
965
966 \\
967
968 Alternatíva 3 spočíva v tom, že by nedošlo k zásadným zmenám v oblasti zberu, spracovania a vyhodnocovania bezpečnostných údajov a v oblasti preventívnych opatrení, rýchlosti detekcie a riešenia incidentov. Avšak jednotlivé riešenia, nástroje a technológie by boli budované postupne a agendy v oblasti KB a jednotlivé oblasti by boli zefektívňované postupnými krokmi, viacerými projektami rozloženými v čase.
969
970 \\
971
972 == {{id name="projekt_2540_Projektovy_zamer_detailny-3.9Multikriteriálnaanalýza"/}}3.9       Multikriteriálna analýza ==
973
974 \\
975
976 Výber alternatív prebieha prostredníctvom MCA zostavenej na základe kapitoly Motivácia a rozsah projektu, ktorá obsahuje ciele stakeholderov, ich požiadavky a obmedzenia pre dosiahnutie uvedených cieľov. Niektoré (nie všetky) kritériá, môžu byť označené ako KO kritériá. KO kritériá označujú biznis požiadavky na riešenie, ktoré sú z hľadiska rozsahu identifikovaného problému a motivácie nevyhnutné pre riešenie problému a všetky akceptovateľné alternatívy ich tak musia naplniť. Alternatívy, ktoré nesplnia všetky KO kritériá, môžu byť vylúčené z ďalšieho posudzovania. KO kritériá nesmú byť technologické (preferovať jednu formu technologickej implementácie voči druhej)
977
978 \\
979
980 Spracovanie MCA
981
marek_podolinsky 3.1 982 (% class="wrapped" %)
marek_podolinsky 2.1 983 (% class="" %)|(((
984 **// //**
985 )))|(((
986 KRITÉRIUM
987 )))|(((
988 ZDÔVODNENIE KRIÉRIA
989 )))|(((
990 STAKEHOLDER
991
992 MIRRI
993 )))|(((
994 STAKEHOLDER
995
996 G2B/G2C
997 )))|(((
998 STAKEHOLDER
999
1000 G2E
1001 )))|(((
1002 STAKEHOLDER
1003
1004 PZS
1005 )))
1006 (% class="" %)|(% rowspan="4" %)(((
1007 BIZNIS VRSTVA
1008
1009 // //
1010 )))|(((
1011 Kritérium A (KO) Nasadenie firewall do celého prostredia infraštruktúry
1012 )))|(((
1013 Nasadenie nového firewallu tak, aby chránil celé prostredie, nie len jeho vybranú časť.
1014 )))|(((
1015 X
1016 )))|(((
1017 \\
1018 )))|(((
1019 \\
1020 )))|(((
1021 \\
1022
1023 \\
1024
1025 X
1026 )))
1027 (% class="" %)|(((
1028 Kritérium B
1029
1030 Plošné zabezpečenie prostredia bez SPoF
1031 )))|(((
1032 Komplexné zlepšenie ochrany bez vytvorenia rizikovej oblasti s vysokou zraniteľnosťou.
1033 )))|(((
1034 X
1035 )))|(((
1036 \\
1037 )))|(((
1038 \\
1039 )))|(((
1040 \\
1041
1042 \\
1043
1044 X
1045 )))
1046 (% class="" %)|(((
1047 Kritérium C
1048
1049 Zabezpečenie zvýšenia úrovne KB nad HW aj SW časťou infraštruktúry
1050 )))|(((
1051 Zvýšenie úrovne KB je potrebné realizovať holisticky bez preferencie jednotlivých prostredí.
1052 )))|(((
1053 X
1054 )))|(((
1055 \\
1056 )))|(((
1057 \\
1058 )))|(((
1059 \\
1060
1061 \\
1062
1063 X
1064 )))
1065 (% class="" %)|(((
1066 Kritérium D
1067
1068 Kontinuálne poskytovanie elektronických služieb s vysokou dostupnosťou
1069 )))|(((
1070 Implementácia projektu bez narušenia poskytovania elektronických služieb.
1071 )))|(((
1072 \\
1073 )))|(((
1074 X
1075 )))|(((
1076 X
1077 )))|(((
1078 \\
1079
1080 \\
1081
1082 X
1083 )))
1084
1085 \\
1086
1087 Vyhodnotenie MCA
1088
marek_podolinsky 3.1 1089 (% class="wrapped" %)
marek_podolinsky 2.1 1090 (% class="" %)|(((
1091 Zoznam kritérií
1092 )))|(((
1093 Alternatíva
1094
1095 1
1096 )))|(((
1097 Spôsob
1098
1099 dosiahnutia
1100 )))|(((
1101 Alternatíva 2
1102 )))|(((
1103 Spôsob
1104
1105 dosiahnutia
1106 )))|(((
1107 Alternatíva
1108
1109 3
1110 )))|(((
1111 Spôsob dosiahnutia
1112 )))
1113 (% class="" %)|(((
1114 Kritérium A
1115 )))|(((
1116 Nie
1117 )))|(((
1118 N/A
1119 )))|(((
1120 Áno
1121 )))|(((
1122 Systematické a plošné zvýšenie úrovne KB zahŕňa rozšírenie Firewallu na všetky aktíva.
1123 )))|(((
1124 Áno
1125 )))|(((
1126 V alternatíve 3 sa síce implementujú všetky navrhované nástroje, ale sú neefektívne rozložené v čase
1127 )))
1128 (% class="" %)|(((
1129 Kritérium B
1130 )))|(((
1131 Nie
1132 )))|(((
1133 N/A
1134 )))|(((
1135 Áno
1136 )))|(((
1137 Systematické a plošné zvýšenie úrovne KB eliminuje riziko vzniku nepomerne zraniteľnej časti aktív.
1138 )))|(((
1139 Nie
1140 )))|(((
1141 N/A
1142 )))
1143 (% class="" %)|(((
1144 Kritérium C
1145 )))|(((
1146 Nie
1147 )))|(((
1148 N/A
1149 )))|(((
1150 Áno
1151 )))|(((
1152 Systematické a plošné zvýšenie úrovne KB vychádza z pokrytia SW aj HW časti aktív.
1153 )))|(((
1154 Nie
1155 )))|(((
1156 N/A
1157 )))
1158 (% class="" %)|(((
1159 Kritérium D
1160 )))|(((
1161 Nie
1162 )))|(((
1163 N/A
1164 )))|(((
1165 Áno
1166 )))|(((
1167 Systematické a plošné zvýšenie úrovne KB vytvorí základný predpoklad pre neohrozenie poskytovania elektronických služieb.
1168 )))|(((
1169 Čiastočne
1170 )))|(((
1171 Vzhľadom na rizikový harmonogram vyplývajúci z povahy alternatívy nemožno výpadok služieb vylúčiť.
1172 )))
1173
1174 \\
1175
1176 // //
1177
1178 == {{id name="projekt_2540_Projektovy_zamer_detailny-3.10Stanoveniealternatívvaplikačnejvrstvearchitektúry"/}}3.10    Stanovenie alternatív v aplikačnej vrstve architektúry ==
1179
1180 \\
1181
1182 Alternatívy na úrovni aplikačnej architektúry reflektujú alternatívy vypracované na základe „nadradenej" architektonickej biznis vrstvy, pričom vďaka uplatneniu nasledujúcich princípov aplikačná vrstva architektúry dopĺňa informácie k alternatívam stanoveným pomocou biznis architektúry. Ako najvýhodnejšiu z danej analýzy považujeme Alternatívu 2. Výber Aplikačnej architektúry reflektuje výber nadradenej biznis architektúry.
1183
1184 \\
1185
1186 == {{id name="projekt_2540_Projektovy_zamer_detailny-3.11Stanoveniealternatívvtechnologickejvrstvearchitektúry"/}}3.11    Stanovenie alternatív v technologickej vrstve architektúry ==
1187
1188 \\
1189
1190 Výber alternatívy na úrovni technologickej a bezpečnostnej vrstvy architektúry kopíruje výber alternatívy č. 2 na základe MCA. Riešenie predstavuje minimálny rozsah technologického a softvérového zlepšenia prostredia pre splnenie predpokladov kybernetického auditu a zabezpečenie dostatočnej ochrany prostredia s ohľadom na hodnotu chránených aktív.
1191
1192 = {{id name="projekt_2540_Projektovy_zamer_detailny-4.POŽADOVANÉVÝSTUPY(PRODUKTPROJEKTU)"/}}4.     POŽADOVANÉ VÝSTUPY (PRODUKT PROJEKTU) =
1193
1194 \\
1195
1196 Dokumenty a metodické materiály vytvorené v oblasti bezpečnosti informačných technológií verejnej správy pre minimálne bezpečnostné opatrenia kategórie II. v súlade so Zákonom č. 95/2019 Z. z. o ITVS a zároveň so Zákonom č. 69/2018 Z. z. o KB a prislúchajúcich vyhlášok. Rozvetvené okruhy zákonmi požadovaných dokumentácií:
1197
1198 \\
1199
1200 Oblasť organizácia kybernetickej bezpečnosti:
1201
1202 * Bezpečnostná stratégia kybernetickej bezpečnosti (Klasifikačný stupeň Chránené, okruh oprávnených osôb – MKB, R OIT, BEZP Výbor, Poverení riadiaci zamestnanci),
1203 * Smernica - Bezpečnostná politika kybernetickej bezpečnosti a informačnej bezpečnosti redukovaná, TYP B (tzv. veľká politika, analytický vstup pre danú kategóriu), (Klasifikačný stupeň Interné),
1204 * Štatút bezpečnostného výboru, rokovací poriadok.
1205
1206 \\
1207
1208 Oblasť aktíva:
1209
1210 * Smernica pre klasifikáciu informačných aktív, informácií a kategorizáciu sietí a informačných systémov, 5 príloh (Klasifikačný stupeň Interné),
1211 * Metodika pre klasifikáciu informačných aktív, informácií a kategorizáciu sietí a informačných systémov (Klasifikačný stupeň Interné).
1212
1213 \\
1214
1215 Oblasť incidenty:
1216
1217 * Smernica - Riešenie bezpečnostných incidentov, 2 prílohy (Klasifikačný stupeň Interné),
1218 * Metodika - Riešenie bezpečnostných incidentov (Klasifikačný stupeň Chránené, okruh oprávnených osôb – MKB, R OIT, BEZP Výbor, Poverení zamestnanci pre riešenie bezpečnostných incidentov (vybraní administrátori, bezpečnostní špecialisti, audit, poverené ext. subjekty pre riešenie KBI).
1219
1220 \\
1221
1222 Oblasť Riadenie bezpečnosti prevádzky IS a IT, riadenie bezpečnosti sietí
1223
1224 * Smernica - Pravidlá pre používanie informačných systémov a služieb (Klasifikačný stupeň Interné).
1225 * Smernica riadenie prístupových práv (Klasifikačný stupeň Interné), Prílohy vzory a formuláre pre schválenie prístupových práv a nástupné a výstupné formuláre zamestnanca a administrátora a pod.,
1226 * Vzor RACI matica (Klasifikačný stupeň Chránené, okruh oprávnených osôb – MKB, R OIT, BEZP Výbor, Poverení riadiaci zamestnanci, Poverení vybraní zamestnanci RĽZ/HR),
1227 * Smernica správa a prevádzka informačných systémov a služieb, 2 prílohy redukovaná, TYP B (pohľad administrátora, Klasifikačný stupeň Interné),
1228 * Smernica pre riadenie zmien (Klasifikačný stupeň Interné).
1229
1230 \\
1231
1232 Oblasť tretie strany:
1233
1234 * Smernica riadenie tretích strán (smernica pre zamestnancov, Klasifikačný stupeň Interné),
1235 * Smernica požiadavky pre tretie strany (smernica pre dodávateľov a zamestnancov zazmluvnených tretích strán, táto Smernica sa po úprave – spresnení požiadaviek na bezpečnosť oboma zmluvnými stranami - špecifikuje ako príloha ku Zmluve o zabezpečení plnenia bezpečnostných opatrení, Klasifikačný stupeň Interné),
1236 * Vzor zmluvy pre tretie strany podľa ZoKB Zmluva o zabezpečení plnenia bezpečnostných opatrení (táto zmluva buď nie je predmetom zverejnenia na CRZ, alebo jej príloha/prílohy týkajúce sa špecifických bezpečnostných opatrení (napr. vychádzajúcich z metodiky pre riadenie cloudových služieb, metodiky pre SSDLC, resp. smernice Požiadavky pre tretie strany (viď. vyššie)) sa nezverejňuje.
1237
1238 \\
1239
1240 Oblasť riadenie rizík:
1241
1242 * Smernica Riadenie bezpečnostných rizík (Klasifikačný stupeň Chránené, okruh oprávnených osôb – MKB, R OIT, BEZP Výbor, Poverení riadiaci zamestnanci),
1243 * Metodika Riadenie bezpečnostných rizík (Klasifikačný stupeň Chránené, okruh oprávnených osôb – MKB, R OIT, BEZP Výbor, Poverení riadiaci zamestnanci),
1244 * Metodika Riadenie bezpečnostných rizík tretích strán (Klasifikačný stupeň Chránené, okruh oprávnených osôb), riadenie bezpečnostných rizík tretích strán, dotazník pre tretie strany (Klasifikačný stupeň Chránené, okruh oprávnených osôb).
1245
1246 \\
1247
1248 Oblasť špecifické (riadenie súladu a audit):
1249
1250 * Smernica - Riadenie súladu a audit (Klasifikačný stupeň Chránené, okruh oprávnených osôb – MKB, R OIT, BEZP Výbor, Poverení riadiaci zamestnanci),
1251 * Audit checklist redukovaný, TYP B (Kontrolné checklisty pre jednotlivé prípady, s ktorými sa pracuje pri vyhodnocovaní plnenia bezpečnostných opatrení – či už v rámci prostredia verejného obstarávateľa, alebo vyhodnocovania plnenia požiadaviek tretími stranami a pod., Klasifikačný stupeň Chránené, okruh oprávnených osôb – MKB, R OIT, zamestnanci OIT, BEZP Výbor, Poverení riadiaci zamestnanci).
1252
1253 \\
1254
1255 = {{id name="projekt_2540_Projektovy_zamer_detailny-5.NÁHĽADARCHITEKTÚRY"/}}5.     NÁHĽAD ARCHITEKTÚRY =
1256
1257 Služby a funkcie uvedené v tejto kapitole poskytujú z dôvodu, že sa jedná o projekt kybernetickej bezpečnosti len základné informácie a základný architektonický rámec riešenia, ktoré by malo byť implementované projektom. Budúce riešenie zabezpečenia informačnej a kybernetickej bezpečnosti sa bude skladať najmä z nasledovných funkcií a realizovaných činností:
1258
1259 \\
1260
1261 Organizácia kybernetickej a informačnej bezpečnosti
1262
1263 * Vypracovanie a aktualizácia bezpečnostnej dokumentácie vrátane rozsahu a spôsobu plnenia všeobecných bezpečnostných opatrení. Vytvorenie systému riadenia informačnej bezpečnosti vrátane metodiky riadenia aktív a rizík (vrátane nástroja na ich evidenciu) v súlade so zákonom 69/2018 Z. z. a vyhláškou 362/2018 Z. z. Spolupráca pri zavádzaní systému riadenia informačnej bezpečnosti do praxe. Táto činnosť bude zahŕňať:
1264 - Organizácia bezpečnosti
1265 - Riadenie bezpečnostných rizík 
1266 - Riadenie informačných aktív
1267 - Pravidlá správania a dobrej praxe
1268 - Riadenie dodávateľských vzťahov
1269 - Riadenie vývoja a údržby v oblasti informačno-komunikačných technológií
1270 - Riadenie a prevádzka informačno-komunikačných technológií
1271 - Riadenie súladu 
1272 - Riadenie kontinuity procesov a činností
1273
1274 \\
1275
1276 Riadenie rizík
1277
1278 * Identifikácia všetkých aktív súvisiacich so zariadeniami na spracovanie informácií a centrálne zaznamenávanie inventáru týchto aktív podľa ich hodnoty vrátane určenia ich vlastníka, ktorý definuje požiadavky na ich dôvernosť, dostupnosť a integritu.
1279 * Riadenie rizík pozostávajúce z identifikácie zraniteľností, identifikácie hrozieb, identifikácie a analýzy rizík s ohľadom na aktívum, určenie vlastníka rizika, implementácie organizačných a technických bezpečnostných opatrení, analýzy funkčného dopadu a pravidelného preskúmavania identifikovaných rizík v závislosti od aktualizácie prijatých bezpečnostných opatrení.
1280
1281 \\
1282
1283 Kontinuita prevádzky
1284
1285 * Vypracovanie stratégie a krízových  plánov prevádzky na základe analýzy vplyvov kybernetického bezpečnostného incidentu na základnú službu. Vypracovanie plánov kontinuity   prevádzky a ich prvotné otestovanie v reálnom prostredí organizácie  a zapracovanie nedostatkov z výsledkov testovania. Vypracovanie   interného   riadiaceho   aktu   obsahujúceho   a upravujúceho kontinuitu prevádzky následkom kybernetického bezpečnostného incidentu alebo inej krízovej situácie. Vypracovanie   postupov   zálohovania   na   obnovu   siete   a informačného systému   po   jeho   narušení   alebo   zlyhaní   v dôsledku   kybernetického bezpečnostného incidentu alebo inej krízovej situácie.
1286
1287 \\
1288
1289 \\
1290
1291 Sieťová a komunikačná bezpečnosť
1292
1293 * Implementácia automatizovaného nástroja na identifikáciu neoprávnených sieťových spojení na hranici s vonkajšou sieťou, na blokovanie neoprávnených spojení, na monitorovanie bezpečnosti, na detekciu prienikov a prevenciu prienikov identifikáciou nezvyčajných mechanizmov útokov alebo proaktívneho blokovania škodlivej sieťovej prevádzky a ďalších povinností alebo vo forme funkcionalít, prípadne licencií iných už existujúcich nástrojov.
1294
1295 \\
1296
1297 Sieťová a komunikačná bezpečnosť - Firewall NGFW
1298
1299 Zabezpečenie kybernetickej bezpečnosti podľa § 20 ods. 3 písm. i) zákona sieťová a komunikačná bezpečnosť
1300 -mplementácia centrálnej brány firewall v konfigurácii aktívneho/záložného klastra
1301 -Segmentácia vnútornej siete
1302 -Zabezpečenie ochrany perimetra
1303 -Zabezpečenie ochrany pred pokročilými hrozbami
1304 \\Minimálne požiadavky:
1305 - Aktívna/pohotovostná konfigurácia klastra
1306 - Redundantné napájanie
1307 - Dostatočný počet portov 10G/1G (externé pripojenie + interná segmentácia)
1308 - Podpora IPv4 a IPv6
1309 - podpora dynamického smerovania
1310 - Podpora VLAN
1311 - riadenie prevádzky až do úrovne L7
1312 - Kontrola prevádzky na úrovni aplikácií a URL - webový filter, aplikačný filter
1313 - Podpora SSL VPN a Site2Site
1314 - antivírusová/antiransomvérová/antimalvérová kontrola prevádzky s automatickou aktualizáciou podpisov
1315 - technológia sandboxing
1316 - Integrácia služby Active Directory
1317 - centralizovaná správa konfigurácie a zhromažďovanie protokolov
1318 - analytický nástroj na hodnotenie kybernetických incidentov
1319
1320 \\
1321
1322 Sieťová a komunikačná bezpečnosť - Komunikačná infraštruktúra
1323
1324 Posilnenie komunikačnej infraštruktúry podľa § 20 ods. 3 písm. i) zákona sieťová a komunikačná bezpečnosť a podľa § 20 ods. 3 písm. o) zákona kontinuita prevádzky
1325 LAN - ks prepínače
1326 - výška 1U,  možnosť stackovania
1327 - 4ks -  48x GBase-T portov napájenie PoE 802.3at, min. 4x SFP56 porty,  vrátane transceiverov, redundantné napájanie
1328 - jumbo frames 9kB
1329 - podpora IPv4 a IPv6, OSPF,
1330 - inštalácia, konfigurácia, integrácia do existujúceho prostredia
1331 \\Bezdrôtová sieť
1332 - 10ks prístupových bodov AP WIFI6, dual radio 4x4:4 MIMO (2.4GHz, 5GHz, multirate port, vrátane montážnej sady)
1333 - Centrálna administrácia v cloude
1334 - inštalácia vrátane natiahnutie kabeláže, konfigurácie, prieskumu miesta bezdrôtovej siete
1335 \\802.1x - Networks Access Control
1336 - 1x virtuálne zariadenie
1337 - riadenie prístupu do siete pre približne 200 zariadení
1338 -inštalácia, konfigurácia a integrácia do existujúceho prostredia
1339 \\Správa siete 
1340 - centralizovaná správa sieťových zariadení v cloude
1341 - teraz pre 14 zariadení, v budúcnosti možné rozšírenie
1342 - podpora automatizácie sieťových úloh
1343 - rozhranie REST API
1344 - konfigurácia
1345
1346 \\
1347
1348 Zaznamenávanie udalostí a monitorovanie - Log manažment
1349
1350 * Správa logov podľa požiadaviek vyhlášky k zákonu o kybernetickej bezpečnosti podľa § 20 ods. 3 písm. k) zákona zaznamenávanie udalostí a monitorovanie.
1351
1352 Implementácia centrálneho systému pre zber a ukladanie logov z jednotlivých informačných systémov. Vypracovanie   dokumentácie   spôsobu   monitorovania   a   fungovania   Log manažment     systému     a     centrálneho     nástroja     na     bezpečnostné monitorovanie     a zadefinovanie     spôsobu     evidencie     prevádzkových záznamov,      ich      vyhodnocovania,      spôsobu      hlásenia      podozrivej aktivity, zodpovednej osoby a ďalších povinností.
1353 - Požiadavky na výkon: Schopnosť spracovať 5000 EPS (udalostí za sekundu), Uchovávanie logov minimálne 12 mesiacov s dostatočnou rezervou pre plánovaný nárast objemu uchovávaných logov v priebehu nasledujúcich 5 rokov, Údaje sú uložené na vlastnom internom úložisku, nie v cloude
1354 - Požiadavky na komunikáciu: Schopnosť prijímať protokoly z viacerých zdrojov, Pravidelná aktualizácia vstupných filtrov, Prijímanie protokolov prostredníctvom protokolu SYSLOG cez UDP aj TCP, Schopnosť prijímať správy s veľkosťou aspoň 4 kB, Preposielanie protokolov prostredníctvom protokolu SYSLOG v nezmenenej podobe, Schopnosť preposielať štandardizované informácie v určitom spoločnom štruktúrovanom formáte
1355 - Požiadavky na používateľov: RBAC (prístupové práva na základe rolí používateľov, t. j. kombinácia jednotlivých systémov a atribútov protokolov voči používateľom a ich rolám), audit činnosti používateľov
1356 - Funkcie spracovania údajov: Vyhľadávanie a filtrovanie na základe normalizovaných atribútov, fulltextové vyhľadávanie, asynchrónne vyhľadávanie (nie je potrebné čakať na výsledok dlhšieho dotazu, možno ho „vyzdvihnúť“ dodatočne), zobrazené výsledky vyhľadávania rešpektujú rolu používateľa (nezobrazujú sa ani výňatky z neprístupných protokolov), Funkcia „Live tail“ (priebežné zobrazovanie prijatých protokolov), Možnosť anonymizovať vybrané atribúty, Možnosť definovať vlastné výstrahy spúšťané na základe výskytu a frekvencie definovaných podmienok, Možnosť definovať vlastný panel v grafickom používateľskom rozhraní
1357 - Dostupnosť dobre zdokumentovaného rozhrania API
1358
1359 \\
1360
1361 Automatizovaný nástroj na identifikáciu a hodnotenie zraniteľností
1362
1363 Predmetom je on-premise nástroj od špecializovaného dodávateľa na identifikáciu a hodnotenie technických zraniteľností podľa § 20 ods. 3 písm. g) zákona hodnotenie zraniteľností a bezpečnostných aktualizácií.
1364 Ponúkané riešenie musí obsahovať tieto požiadavky:
1365 - automatický technický nástroj na skenovanie zraniteľností, ktorý minimálne upozorňuje na aktuálne hrozby prostredníctvom oznámenia, identifikuje a vyhodnocuje technické zraniteľnosti v prostredí zákazníka, navrhuje riešenia zraniteľností podľa ich technickej povahy, podporuje integráciu na ďalšie systémy zadávateľa, ktoré ďalej spracúvajú výstupy, zabezpečuje dôvernosť, integritu a dostupnosť spracovávaných informácií (údajov)
1366 - Celá správa komponentov riešenia a životného cyklu správy zraniteľností sa musí vykonávať prostredníctvom jednotnej webovej konzoly na správu nástroja.
1367 - Podpora skenovania zraniteľnosti aktív prostredníctvom technického účtu (overovacie skenovanie).
1368 - Návrh dimenzovania riešenia zameraný na 256 IP
1369
1370 \\
1371
1372 Náhľad aplikačnej to be vrstvy architektúry
1373
1374 [[image:attach:image-2024-4-30_22-56-58-1.png||height="400"]]
1375
1376 Náhľad technologickej to be vrstvy architektúry
1377
1378 [[image:attach:image-2024-4-30_22-57-11-1.png||height="400"]]
1379
1380 \\
1381
1382 Náhľad topológie siete
1383
1384 [[image:attach:image-2024-4-30_22-57-22-1.png]]
1385
1386 Aplikačné prostredie z pohľadu informačných systémov verejnej správy mesta Spišská Belá pozostáva z nasledovných komponentov:
1387
marek_podolinsky 3.1 1388 (% class="wrapped" %)
marek_podolinsky 2.1 1389 (% class="" %)|(((
1390 **Kód ISVS **//(z MetaIS)//
1391 )))|(((
1392 **Názov ISVS**
1393 )))|(((
1394 **Modul ISVS**
1395
1396 //(zaškrtnite ak ISVS je modulom)//
1397 )))|(((
1398 **Stav IS VS**
1399 )))|(((
1400 **Typ IS VS**
1401 )))|(((
1402 **Kód nadradeného ISVS**
1403
1404 //(v prípade zaškrtnutého checkboxu pre modul ISVS)//
1405 )))
1406 (% class="" %)|(((
1407 Isvs_14157
1408 )))|(((
1409 Registratúra
1410 )))|(((
1411 ☐
1412 )))|(((
1413 Prevádzkovaný a plánujem rozvoj
1414 )))|(((
1415 Agendový
1416 )))|(((
1417 \\
1418 )))
1419 (% class="" %)|(((
1420 Isvs_14156
1421 )))|(((
1422 MsP Kamery
1423 )))|(((
1424 ☐
1425 )))|(((
1426 Prevádzkovaný a plánujem rozvoj
1427 )))|(((
1428 Agendový
1429 )))|(((
1430 \\
1431 )))
1432 (% class="" %)|(((
1433 [[Isvs_14155>>url:https://metais.vicepremier.gov.sk/detail/ISVS/ed8ec628-165b-425b-ae5a-ee890ca1ba95/cimaster?tab=summarizingCart||shape="rect"]]
1434 )))|(((
1435 Účtovníctvo
1436 )))|(((
1437 ☐
1438 )))|(((
1439 Prevádzkovaný a neplánujem rozvoj
1440 )))|(((
1441 Agendový
1442 )))|(((
1443 \\
1444 )))
1445 (% class="" %)|(((
1446 [[Isvs_14154>>url:https://metais.vicepremier.gov.sk/detail/ISVS/6e03661d-53df-4cc9-80ab-ff4b454ee17b/cimaster?tab=summarizingCart||shape="rect"]]
1447 )))|(((
1448 [[Digitálne>>url:https://metais.vicepremier.gov.sk/detail/ISVS/6e03661d-53df-4cc9-80ab-ff4b454ee17b/cimaster?tab=summarizingCart||shape="rect"]] sídlo Spišská Belá
1449 )))|(((
1450 ☐
1451 )))|(((
1452 Prevádzkovaný a neplánujem rozvoj
1453 )))|(((
1454 Agendový
1455 )))|(((
1456 \\
1457 )))
1458 (% class="" %)|(((
1459 [[Isvs_14153>>url:https://metais.vicepremier.gov.sk/detail/ISVS/b7eba255-d9f6-4f8c-92f8-d6f8b7e91331/cimaster?tab=summarizingCart||shape="rect"]]
1460 )))|(((
1461 [[Web>>url:https://metais.vicepremier.gov.sk/detail/ISVS/b7eba255-d9f6-4f8c-92f8-d6f8b7e91331/cimaster?tab=summarizingCart||shape="rect"]] mesta Spišská Belá
1462 )))|(((
1463 ☐
1464 )))|(((
1465 Prevádzkovaný a plánujem rozvoj
1466 )))|(((
1467 Agendový
1468 )))|(((
1469 \\
1470 )))
1471 (% class="" %)|(((
1472 Isvs_14173
1473 )))|(((
1474 Služby DCOM
1475 )))|(((
1476 ☐
1477 )))|(((
1478 Prevádzkovaný a plánujem rozvoj
1479 )))|(((
1480 Agendový
1481 )))|(((
1482 \\
1483 )))
1484 (% class="" %)|(((
1485 Isvs_14172
1486 )))|(((
1487 Korwin
1488 )))|(((
1489 ☐
1490 )))|(((
1491 Prevádzkovaný a plánujem rozvoj
1492 )))|(((
1493 Agendový
1494 )))|(((
1495 \\
1496 )))
1497 (% class="" %)|(((
1498 Isvs_14171
1499 )))|(((
1500 Fingera
1501 )))|(((
1502 ☐
1503 )))|(((
1504 Prevádzkovaný a plánujem rozvoj
1505 )))|(((
1506 Ekonomický a administratívny chod inštitúcie
1507 )))|(((
1508 \\
1509 )))
1510 (% class="" %)|(((
1511 Isvs_14170
1512 )))|(((
1513 Softip SB
1514 )))|(((
1515 ☐
1516 )))|(((
1517 Prevádzkovaný a plánujem rozvoj
1518 )))|(((
1519 Ekonomický a administratívny chod inštitúcie
1520 )))|(((
1521 \\
1522 )))
1523
1524 // //
1525
1526 == {{id name="projekt_2540_Projektovy_zamer_detailny-5.1Prehľade-Governmentkomponentov"/}}5.1       Prehľad e-Government komponentov ==
1527
1528 === {{id name="projekt_2540_Projektovy_zamer_detailny-5.1.1Prehľadkoncovýchslužieb–budúcistav:"/}}5.1.1        Prehľad koncových služieb – budúci stav: ===
1529
1530 Vzhľadom na charakter a rozsah projektu nebudú výsledkom projektu nové požiadavky na koncové služby.
1531
1532 \\
1533
1534 === {{id name="projekt_2540_Projektovy_zamer_detailny-5.1.2Prehľadbudovaných/rozvíjanýchISVSvprojekte–budúcistav:"/}}5.1.2        Prehľad budovaných/rozvíjaných ISVS v projekte – budúci stav: ===
1535
1536 Vzhľadom na charakter a rozsah projektu nebudú budované ani rozvíjané informačné systémy ako také. Budú nepriamo rozvíjané implementáciou licenčných riešení s pozitívnym dopadom na úroveň kybernetickej bezpečnosti a prevádzku systémov poskytovateľa základnej služby.
1537
1538 \\
1539
1540 === {{id name="projekt_2540_Projektovy_zamer_detailny-5.1.3Prehľadbudovanýchaplikačnýchslužieb–budúcistav:"/}}5.1.3        Prehľad budovaných aplikačných služieb – budúci stav: ===
1541
1542 Vzhľadom na charakter a rozsah projektu nebudú budované aplikačné služby ako také. Počas realizácie projektu bude dopĺňaná hardvérová infraštruktúra poskytovateľa základnej služby ako aj doplnené licenčné proprietárne softvéry s pozitívnym dopadom na úroveň kybernetickej bezpečnosti a prevádzku systémov poskytovateľa základnej služby.
1543
1544 \\
1545
1546 === {{id name="projekt_2540_Projektovy_zamer_detailny-5.1.4PrehľadintegráciiISVSnaspoločnéISVS[1]aISVSinýchOVMaleboIStretíchstrán"/}}5.1.4        Prehľad integrácii ISVS na spoločné ISVS[[^^**~[1~]**^^>>path:#_ftn1||name="_ftnref1" shape="rect"]] a ISVS iných OVM alebo IS tretích strán ===
1547
1548 Vzhľadom na charakter a rozsah projektu nebudú výsledkom projektu nové požiadavky na integrácie na spoločné ISVS či ISVS iných OVM a tretích strán.
1549
1550 \\
1551
1552 === {{id name="projekt_2540_Projektovy_zamer_detailny-5.1.5Aplikačnéslužbynaintegráciu"/}}5.1.5        Aplikačné služby na integráciu ===
1553
1554 \\
1555
1556 Vzhľadom na charakter a rozsah projektu nebudú výsledkom projektu nové požiadavky na budované aplikačné služby a ich využitie na integráciu na spoločné moduly a iné ISVS alebo ich poskytovanie na externú integráciu ani nie je plánované vybudovanie cloudových služieb “softvér ako služba“ (SaaS).
1557
1558 \\
1559
1560 === {{id name="projekt_2540_Projektovy_zamer_detailny-5.1.6PoskytovanieúdajovzISVSdoISCSRÚ"/}}5.1.6        Poskytovanie údajov z ISVS do IS CSRÚ ===
1561
1562 Vzhľadom na charakter a rozsah projektu nebudú výsledkom projektu nové požiadavky na poskytovanie údajov do CSRÚ.
1563
1564 \\
1565
1566 === {{id name="projekt_2540_Projektovy_zamer_detailny-5.1.7KonzumovanieúdajovzISCSRÚ"/}}5.1.7        Konzumovanie údajov z IS CSRÚ ===
1567
1568 Vzhľadom na charakter a rozsah projektu nebudú výsledkom projektu nové požiadavky na konzumovanie údajov z CSRÚ.
1569
1570 \\
1571
1572 === {{id name="projekt_2540_Projektovy_zamer_detailny-5.1.8Prehľadplánovanéhovyužívaniainfraštruktúrnychslužieb(cloudovýchslužieb)–budúcistav:"/}}5.1.8        Prehľad plánovaného využívania infraštruktúrnych služieb (cloudových služieb) – budúci stav: ===
1573
1574 Vzhľadom na charakter a rozsah projektu nebudú výsledkom projektu nové požiadavky na využívanie kapacít ktorejkoľvek časti vládneho cloudu.
1575
1576 = {{id name="projekt_2540_Projektovy_zamer_detailny-6.LEGISLATÍVA"/}}6.     LEGISLATÍVA =
1577
1578 Z pohľadu rozsahu projektu nie je pre jeho implementáciu potrebná úprava legislatívnych noriem na úrovni zákonov, vyhlášok alebo všeobecne záväzných nariadení. Naopak, výstupom projektu je viacero interných smerníc a riadiacich aktov popísaných v ostatných kapitolách, upravujúcich vnútorné procesy organizácie vo vzťahu k zvýšeniu úrovne kybernetickej bezpečnosti a povedomia o nej.
1579
1580 \\
1581
1582 Projekt sa v čase príprave a implementácie riadi príslušnou legislatívou, z ktorej je možné zdôrazniť najmä:
1583
1584 Zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov v znení neskorších predpisov; Vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 179/2020 Z. z. ktorou sa ustanovuje spôsob  kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy v znení neskorších predpisov; Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov v znení neskorších predpisov; Vyhláška Národného bezpečnostného úradu č. 362/2018 Z. z. ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra  bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení v znení neskorších predpisov;
1585
1586 Vyhláška 401/2023 Z.z. Ministerstva investícií, regionálneho rozvoja a informatizácie Slovenskej republiky o riadení projektov a zmenových požiadaviek v prevádzke informačných technológií verejnej správy
1587
1588 = {{id name="projekt_2540_Projektovy_zamer_detailny-7.ROZPOČETAPRÍNOSY"/}}7.     ROZPOČET A PRÍNOSY =
1589
1590 \\
1591
marek_podolinsky 3.1 1592 (% class="wrapped" %)
marek_podolinsky 2.1 1593 (% class="" %)|(((
1594 **Názov položky**
1595 )))|(((
1596 **Počet**
1597 )))|(((
1598 **Skupina nákladov**
1599 )))|(((
1600 **Cena celkom s DPH**
1601 )))
1602 (% class="" %)|(((
1603 I. Zavedenie ISMS
1604 )))|(((
1605 1 komplet
1606 )))|(((
1607 518 – Ostatné služby
1608 )))|(((
1609 22 680,00 EUR
1610 )))
1611 (% class="" %)|(((
1612 II. Firewall NGFW
1613 )))|(((
1614 1 komplet
1615 )))|(((
1616 022 – HW
1617 )))|(((
1618 12 078,41 EUR
1619 )))
1620 (% class="" %)|(((
1621 II. Implementácia Firewall
1622 )))|(((
1623 1 komplet
1624 )))|(((
1625 518 – Ostatné služby
1626 )))|(((
1627 10 452,00 EUR
1628 )))
1629 (% class="" %)|(((
1630 III. Dodanie SW vybavenia EDR
1631 )))|(((
1632 1 komplet
1633 )))|(((
1634 013 – Softvér
1635 )))|(((
1636 11 239,19 EUR
1637 )))
1638 (% class="" %)|(((
1639 III. Implementácia SW vybavenia EDR
1640 )))|(((
1641 1 komplet
1642 )))|(((
1643 518 – Ostatné služby
1644 )))|(((
1645 8 844,00 EUR
1646 )))
1647 (% class="" %)|(((
1648 IV. Komunikačná infraštruktúra
1649 )))|(((
1650 1 komplet
1651 )))|(((
1652 022 – HW
1653 )))|(((
1654 63 615,36 EUR
1655 )))
1656 (% class="" %)|(((
1657 IV. Komunikačná infraštruktúra implementácia
1658 )))|(((
1659 1 komplet
1660 )))|(((
1661 518 – Ostatné služby
1662 )))|(((
1663 7 560,00 EUR
1664 )))
1665 (% class="" %)|(((
1666 V. Automatizovaný nástroj na identifikáciu a hodnotenie zraniteľností
1667 )))|(((
1668 1 komplet
1669 )))|(((
1670 013 – Softvér
1671 )))|(((
1672 59 777,10 EUR
1673 )))
1674 (% class="" %)|(((
1675 V. Automatizovaný nástroj na identifikáciu a hodnotenie zraniteľností
1676 )))|(((
1677 1 komplet
1678 )))|(((
1679 518 – Ostatné služby
1680 )))|(((
1681 4536,00 EUR
1682 )))
1683 (% class="" %)|(((
1684 VI. Log Management
1685 )))|(((
1686 1 komplet
1687 )))|(((
1688 518 – Ostatné služby
1689 )))|(((
1690 9600,00 EUR
1691 )))
1692 (% class="" %)|(((
1693 VI. Log Management implementácia
1694 )))|(((
1695 1 komplet
1696 )))|(((
1697 022 – HW
1698 )))|(((
1699 19 656,00 EUR
1700 )))
1701 (% class="" %)|(((
1702 VI. Log Management
1703 )))|(((
1704 1 komplet
1705 )))|(((
1706 013 – Softvér
1707 )))|(((
1708 36000,00 EUR
1709 )))
1710 (% class="" %)|(((
1711 Paušálna sadzba vo výške 7 % na nepriame výdavky podľa článku 54 písm. a) nariadenia o spoločných ustanoveniach
1712 )))|(((
1713 7%
1714 )))|(((
1715 907 - Paušálna sadzba
1716 )))|(((
1717 18622,66 EUR
1718 )))
1719 (% class="" %)|(((
1720 **Celková suma**
1721 )))|(((
1722 **~ **
1723 )))|(((
1724 **~ **
1725 )))|(((
1726 **284 660,72 EUR**
1727 )))
1728
1729 \\
1730
1731 == {{id name="projekt_2540_Projektovy_zamer_detailny-7.1Sumarizácianákladovaprínosov"/}}7.1       Sumarizácia nákladov a prínosov ==
1732
1733 \\
1734
marek_podolinsky 3.1 1735 (% class="wrapped" %)
marek_podolinsky 2.1 1736 (% class="" %)|(((
1737 Náklady
1738 )))|(((
1739 Realizácia opatrení na zvýšenie úrovne informačnej a kybernetickej bezpečnosti
1740 )))
1741 (% class="" %)|(((
1742 **Všeobecný materiál**
1743 )))|(((
1744 \\
1745 )))
1746 (% class="" %)|(((
1747 **IT - CAPEX**
1748 )))|(((
1749 \\
1750 )))
1751 (% class="" %)|(((
1752 Služby
1753 )))|(((
1754 //73 728,00//
1755 )))
1756 (% class="" %)|(((
1757 SW
1758 )))|(((
1759 //80 616,29//
1760 )))
1761 (% class="" %)|(((
1762 HW
1763 )))|(((
1764 //111 693,77//
1765 )))
1766 (% class="" %)|(((
1767 **IT - OPEX- prevádzka**
1768 )))|(((
1769 \\
1770 )))
1771 (% class="" %)|(((
1772 Aplikácie
1773 )))|(((
1774 \\
1775 )))
1776 (% class="" %)|(((
1777 SW
1778 )))|(((
1779 //14 315,00//
1780 )))
1781 (% class="" %)|(((
1782 HW
1783 )))|(((
1784 //6630.00//
1785 )))
1786 (% class="" %)|(((
1787 **Prínosy**
1788 )))|(((
1789 \\
1790 )))
1791 (% class="" %)|(((
1792 **Finančné prínosy**
1793 )))|(((
1794 \\
1795 )))
1796 (% class="" %)|(((
1797 Administratívne poplatky
1798 )))|(((
1799 \\
1800 )))
1801 (% class="" %)|(((
1802 Ostatné daňové a nedaňové príjmy
1803 )))|(((
1804 \\
1805 )))
1806 (% class="" %)|(((
1807 **Ekonomické prínosy**
1808 )))|(((
1809 \\
1810 )))
1811 (% class="" %)|(((
1812 Občania (€)
1813 )))|(((
1814 \\
1815 )))
1816 (% class="" %)|(((
1817 Úradníci (€)
1818 )))|(((
1819 \\
1820 )))
1821 (% class="" %)|(((
1822 Úradníci (FTE)
1823 )))|(((
1824 \\
1825 )))
1826 (% class="" %)|(((
1827 **Kvalitatívne prínosy**
1828 )))|(((
1829 \\
1830 )))
1831 (% class="" %)|(((
1832 \\
1833 )))|(((
1834 // //
1835 )))
1836
1837 \\
1838
1839 = {{id name="projekt_2540_Projektovy_zamer_detailny-8.HARMONOGRAMJEDNOTLIVÝCHFÁZPROJEKTUaMETÓDAJEHORIADENIA"/}}8.     HARMONOGRAM JEDNOTLIVÝCH FÁZ PROJEKTU a METÓDA JEHO RIADENIA =
1840
1841 \\
1842
1843 Projekt bude dodávaný v 1 Inkremente z tohoto dôvodu uvádzame Harmonogram na úrovni 1 Etapy/ 1 Inkrementu.
1844
marek_podolinsky 3.1 1845 (% class="wrapped" %)
marek_podolinsky 2.1 1846 (% class="" %)|(((
1847 ID
1848 )))|(((
1849 FÁZA/AKTIVITA
1850 )))|(((
1851 ZAČIATOK
1852
1853 (odhad termínu)
1854 )))|(((
1855 KONIEC
1856
1857 (odhad termínu)
1858 )))|(((
1859 POZNÁMKA
1860 )))
1861 (% class="" %)|(((
1862 1.
1863 )))|(((
1864 Prípravná fáza a Iniciačná fáza
1865 )))|(((
1866 01/2024
1867 )))|(((
1868 12/2024
1869 )))|(((
1870 \\
1871 )))
1872 (% class="" %)|(((
1873 2.
1874 )))|(((
1875 Realizačná fáza
1876 )))|(((
1877 01/2025
1878 )))|(((
1879 12/2025
1880 )))|(((
1881 \\
1882 )))
1883 (% class="" %)|(((
1884 2a
1885 )))|(((
1886 Analýza a Dizajn
1887 )))|(((
1888 01/2025
1889 )))|(((
1890 03/2025
1891 )))|(((
1892 \\
1893 )))
1894 (% class="" %)|(((
1895 2b
1896 )))|(((
1897 Nákup technických prostriedkov, programových prostriedkov a služieb
1898 )))|(((
1899 01/2025
1900 )))|(((
1901 12/2025
1902 )))|(((
1903 Je potrebné obstarať dodávateľa IS riešenia/ licencie[[**~[2~]**>>path:#_ftn2||name="_ftnref2" shape="rect"]]/ konzultačné služby
1904 )))
1905 (% class="" %)|(((
1906 2c
1907 )))|(((
1908 Implementácia a testovanie
1909 )))|(((
1910 04/2025
1911 )))|(((
1912 09/2025
1913 )))|(((
1914 Tvorba dokumentácie výstupov
1915 )))
1916 (% class="" %)|(((
1917 2d
1918 )))|(((
1919 Nasadenie a PIP
1920 )))|(((
1921 10/2025
1922 )))|(((
1923 12/2025
1924 )))|(((
1925 PIP - 2 mesiace po nasadení
1926 )))
1927 (% class="" %)|(((
1928 4.
1929 )))|(((
1930 Podpora prevádzky (SLA)
1931 )))|(((
1932 01/2026
1933 )))|(((
1934 12/2028
1935 )))|(((
1936 \\
1937 )))
1938
1939 \\
1940
1941 Projekt bude realizovaný metódou Waterfall - vodopádový prístup počíta s detailným naplánovaním jednotlivých krokov a následnom dodržiavaní postupu pri vývoji alebo realizácii projekty. Projektovému tímu je daný minimálny priestor na zmeny v priebehu realizácie. Vodopádový prístup je vhodný a užitočný v projektoch, ktorý majú jasný cieľ a jasne definovateľný postup a rozdelenie prác.
1942
1943 = {{id name="projekt_2540_Projektovy_zamer_detailny-9.PROJEKTOVÝTÍM"/}}9.     PROJEKTOVÝ TÍM =
1944
1945 \\
1946
1947 Zostavuje sa Riadiaci výbor (RV)**,** v minimálnom zložení:
1948
1949 * Predseda RV
1950 * Biznis vlastník
1951 * Zástupca prevádzky
1952 * Zástupca dodávateľa (dopĺňa sa až po VO / voliteľný člen)
1953 * Projektový manažér objednávateľa (PM)
1954
1955 \\
1956
marek_podolinsky 3.1 1957 (% class="wrapped" %)
marek_podolinsky 2.1 1958 (% class="" %)|(((
1959 ID
1960 )))|(((
1961 Meno a Priezvisko
1962 )))|(((
1963 Pozícia
1964 )))|(((
1965 Oddelenie
1966 )))|(((
1967 Rola v projekte
1968 )))
1969 (% class="" %)|(((
1970 1.
1971 )))|(((
1972 Peter Zibura
1973 )))|(((
1974 Primátor
1975 )))|(((
1976 Primátor mesta
1977 )))|(((
1978 Predseda RV
1979 )))
1980 (% class="" %)|(((
1981 2.
1982 )))|(((
1983 **~ **Ľubomír German
1984 )))|(((
1985 Vedúci odboru vnútornej správy
1986 )))|(((
1987 Odboru vnútornej správy
1988 )))|(((
1989 Biznis vlastník
1990 )))
1991 (% class="" %)|(((
1992 3.
1993 )))|(((
1994 TBD
1995 )))|(((
1996 TBD
1997 )))|(((
1998 TBD
1999 )))|(((
2000 Zástupca prevádzky
2001 )))
2002 (% class="" %)|(((
2003 4.
2004 )))|(((
2005 TBD
2006 )))|(((
2007 TBD
2008 )))|(((
2009 TBD
2010 )))|(((
2011 Zástupca dodávateľa
2012 )))
2013
2014 \\
2015
2016 Zostavuje sa Projektový tím objednávateľa
2017
2018 * kľúčový používateľ,
2019 * biznis vlastník
2020 * manažér kybernetickej a informačnej bezpečnosti (nepovinný člen)
2021
2022 \\
2023
marek_podolinsky 3.1 2024 (% class="wrapped" %)
marek_podolinsky 2.1 2025 (% class="" %)|(((
2026 ID
2027 )))|(((
2028 Meno a Priezvisko
2029 )))|(((
2030 Pozícia
2031 )))|(((
2032 Oddelenie
2033 )))|(((
2034 Rola v projekte
2035 )))
2036 (% class="" %)|(((
2037 1.
2038 )))|(((
2039 Erika Šelepová
2040 )))|(((
2041 Referent
2042 )))|(((
2043 Oddelenie kultúry a Regionálne turistické a informačné centrum
2044 )))|(((
2045 Kľúčový používateľ
2046 )))
2047 (% class="" %)|(((
2048 4.
2049 )))|(((
2050 Marek Podolinský
2051 )))|(((
2052 Manažér kybernetickej bezpečnosti
2053 )))|(((
2054 Oddelenie informatiky
2055 )))|(((
2056 MKB
2057 )))
2058 (% class="" %)|(((
2059 5.
2060 )))|(((
2061 TBD
2062 )))|(((
2063 Projektový manažér
2064 )))|(((
2065 TBD
2066 )))|(((
2067 Projektový manažér
2068 )))
2069
2070 \\
2071
2072 == {{id name="projekt_2540_Projektovy_zamer_detailny-9.1PRACOVNÉNÁPLNE"/}}9.1       PRACOVNÉ NÁPLNE ==
2073
2074 \\
2075
2076 **Kľúčový používateľ**
2077
2078 * Reprezentuje záujmy budúcich koncových používateľov projektových produktov alebo projektových výstupov.
2079 * Poskytuje súčinnosť pri spracovaní interného riadiaceho aktu upravujúceho prevádzku, servis a podporu IT.
2080 * Aktívne sa zúčastňuje stretnutí projektového tímu a spolupracuje na vypracovaní manažérskej a špecializovanej dokumentácie a produktov.
2081 * plní pokyny PM a dohody zo stretnutí projektového tímu.
2082
2083 **~ **
2084
2085 **Manažér kybernetickej bezpečnosti**
2086
2087 * Zodpovedá za dodržanie princípov a štandardov v oblasti informačnej a kybernetickej bezpečnosti a za kontrolu a audit implementovaných bezpečnostných opatrení (technológií, procesov atď.).
2088 * Koordinuje a riadi činnosť v oblasti bezpečnosti prevádzky IT, spolupracuje na projektoch, na rozvoji nástrojov a postupov k optimalizácii bezpečnostných systémov a opatrení.
2089 * Stanovuje základné požiadavky, podmienky a štandardy pre oblasť bezpečnosti programov, systémov, databázy či sieti.
2090 * Spracováva a kontroluje príslušné interné predpisy a dohliada nad plnením týchto štandardov a predpisov.
2091 * Kontroluje a riadi činnosť nad bezpečnostnými testami, bezpečnostnými incidentmi v prevádzke IT.
2092 * Poskytuje inštrukcie a poradenstvo používateľom počítačov a informačných systémov pre oblasť bezpečnosti.
2093
2094 \\
2095
2096 **Projektový manažér**
2097
2098 * Zodpovedá za riadenie projektu počas celého životného cyklu projektu.
2099 * Riadi projektové (ľudské a finančné) zdroje, zabezpečuje tvorbu obsahu, neustále odôvodňovanie projektu (aktualizuje BC/CBA/TCO) a predkladá vstupy na rokovanie Riadiaceho výboru.
2100 * Zodpovedá za riadenie všetkých (ľudských a finančných) zdrojov, členov projektovému tímu objednávateľa a za efektívnu komunikáciu s dodávateľom alebo stanovených zástupcom dodávateľa.
2101 * Zodpovedá za riadenie prideleného projektu – stanovenie cieľov, spracovanie harmonogramu prác, koordináciu členov projektového tímu, sledovanie dodržiavania harmonogramu prác a rozpočtu, hodnotenie a prezentáciu výsledkov a za riadenie s tým súvisiacich rizík.
2102 * Projektový manažér vedie špecifikáciu a implementáciu projektov v súlade s firemnými štandardami, zásadami a princípmi projektového riadenia.
2103 * Zodpovedá za plnenie projektových/programových cieľov v rámci stanovených kvalitatívnych, časových a rozpočtovým plánov a za riadenie s tým súvisiacich rizík. V prípade externých kontraktov sa vedúci projektu/projektový manažér obvykle podieľa na ich plánovaní a vyjednávaní a je hlavnou kontaktnou osobou pre zákazníka.
2104
2105 \\
2106
2107 = {{id name="projekt_2540_Projektovy_zamer_detailny-10.ODKAZY"/}}10.  ODKAZY =
2108
2109 Bez odkazov
2110
2111 = {{id name="projekt_2540_Projektovy_zamer_detailny-11.PRÍLOHY"/}}11.  PRÍLOHY =
2112
2113 \\
2114
2115 Príloha 1: Zoznam rizík a závislostí
2116
2117 \\
2118
2119 Koniec dokumentu
2120
2121 \\
2122
2123 \\
2124
2125 [[~[1~]>>path:#_ftnref1||name="_ftn1" shape="rect"]] Spoločné moduly podľa zákona č. 305/2013  e-Governmente
2126
2127 [[~[2~]>>path:#_ftnref2||name="_ftn2" shape="rect"]] EUPL licencie: [[https:~~/~~/joinup.ec.europa.eu/sites/default/files/inline-files/EUPL%201_1%20Guidelines%20SK%20Joinup.pdf>>url:https://joinup.ec.europa.eu/sites/default/files/inline-files/EUPL%201_1%20Guidelines%20SK%20Joinup.pdf||shape="rect"]]