projekt_2551_Projektovy_zamer_detailny

= {{id name="projekt_2551_Projektovy_zamer_detailny-2.ÚČELDOKUMENTU,SKRATKY(KONVENCIE)ADEFINÍCIE"/}}2. ÚČEL DOKUMENTU, SKRATKY (KONVENCIE) A DEFINÍCIE =

114

115

116

117

V zmysle usmernenia MIRRI SR sa v projektovej dokumentácii (ani v žiadosti) nešpecifikujú detailne konkrétne riziká a dopady a nezverejňuje sa podrobná dokumentácia toho, kde sú najväčšie riziká IT systémov a uvádzajú sa iba oblasti identifikovaných rizík a dopadov. Zároveň je možné manažérske produkty napísať všeobecne. Popis rizík ako aj mitigačných opatrení sú popísané v samostatnom dokumente.

**~ **

== {{id name="projekt_2551_Projektovy_zamer_detailny-2.1Použitéskratkyapojmy"/}}2.1 Použité skratky a pojmy ==

122

123

124

(% class="wrapped" %)

|(((

SKRATKA/POJEM

)))|(((

POPIS

)))

|(((

KIB

)))|(((

Kybernetická a informatická bezpečnosť

)))

|(((

OVM

)))|(((

Orgán verejnej moci

)))

|(((

ISVS

)))|(((

Informačné systémy verejnej správy

)))

|(((

NFP

)))|(((

Nenávratný finančný príspevok

)))

|(((

MČ

)))|(((

Mestská časť

)))

|(((

MČ KE-DH

)))|(((

Mestská časť Košice – Dargovských hrdinov

)))

|(((

MMK

)))|(((

Magistrát mesta Košice

)))

== {{id name="projekt_2551_Projektovy_zamer_detailny-2.2Konvenciepretypypožiadaviek(príklady)"/}}2.2 Konvencie pre typy požiadaviek (príklady) ==

168

169

170

//V rámci projektu budú definované tri základné typy požiadaviek~://

171

172

**//Funkčné (používateľské) požiadavky //**//majú nasledovnú konvenciu~://

**//Fxx//**

* //F – funkčná požiadavka//

177

* //xx – číslo požiadavky//

178

179

180

**//Nefunkčné (kvalitatívne, výkonové - Non Functional Requirements - NFR) požiadavky //**//majú nasledovnú konvenciu~://

**//Nxx//**

* //N – nefunkčná požiadavka (NFR)//

185

* //xx – číslo požiadavky//

186

187

188

**//Technické požiadavky //**//majú nasledovnú konvenciu~://

**//Txx//**

* //T – technická požiadavka//

193

* //xx – číslo požiadavky//

**// //**

= {{id name="projekt_2551_Projektovy_zamer_detailny-3.DEFINOVANIEPROJEKTU"/}}3. DEFINOVANIE PROJEKTU =

198

199

200

== {{id name="projekt_2551_Projektovy_zamer_detailny-3.1Manažérskezhrnutie"/}}3.1 Manažérske zhrnutie ==

201

202

203

V súčasnosti žije v Mestskej časti Košice - Dargovských hrdinov 25 544 obyvateľov a z toho je 256 obyvateľov z MRK, čo predstavuje 1% z celkového počtu obyvateľov. V súčasnosti nemáme vykonanú klasifikáciu sietí a IS, nemáme definovanú stratégiu informačnej bezpečnosti. Windows 2019 Server máme v správe spoločnosti Datalan kde beží aplikácia Korwin. Iba 6 pracovných staníc na ktorých sú nainštalované aplikácie spadajúce do elektronických služieb. Správa používateľov sa nerieši koncepčne v zmysle najnižších privilégií ale riadi pomocou lokálnych užívateľských účtov a cez pracovnú skupinu.

204

205

206

Ďalší popis východiskovej situácie MČ KE - Dargovských hrdinov v oblasti kybernetickej bezpečnosti:

207

208

SÚČASNÁ ÚROVEŇ INFORMAČNEJ A KYBERNETICKEJ BEZPEČNOSTI

209

210

* Implementácia sieťových zariadení nespĺňa požiadavky na bezpečnostné štandardy.

211

* Segmentácia sietí nie je implementovaná.

212

* Dokument popisujúci detailnú topológiu sietí neexistuje.

213

* Systém monitorovania bezpečnosti detekcie prienikov alebo identifikáciu nezvyčajných mechanizmov útokov sa nemonitoruje.

214

* Identifikácia technických zraniteľností sietí sa nevykonáva.

215

* Serverové vybavenie je úradu je zastaralé, nespĺňa potreby pre kontinuálne zabezpečenie prevádzky základnej služby.

216

* Neexistuje technické riešenie na zabezpečenie záloh a archivácie pre aplikačnú a dátovú časť prevádzky.

217

* Prevádzkový monitoring pre aktíva informačných systémov PZS nie je zadefinovaný. Monitoring technických parametrov sa nevykonáva.

218

* Predmetom projektu bude riešenie problematiky kľúčových opatrení Mestskej časti Košice Dargovských hrdinov s požiadavkami zákona o kybernetickej bezpečnosti a súvisiacich predpisov. Ide o opatrenia z nasledovných oprávnených oblastí podľa výzvy ako súčasť projektu: - stratégiu kybernetickej bezpečnosti, - bezpečnostné politiky kybernetickej bezpečnosti, - inventarizáciu aktív, klasifikáciu informácií a kategorizáciu sietí a informačných systémov,- analýzu rizík a analýzu dopadov spolu, vrátane riadenia rizík.

219

* Nejednotná bezpečnostná politika a rozdrobená sieťová infraštruktúra.

220

* Nedostatočná viditeľnosť do sieťovej prevádzky a bezpečnostných incidentov.

221

* Komplikovaná sprava viacerých zariadení a množstvo platforiem.

222

* Potreba podpory pre diaľkovú prácu bez kompromisu v bezpečnosti.

223

* Chýba komplexná bezpečnostná politika pre oblasť KB a jednotlivé požiadavky zo zákona 69/2019 a to :

224

225

o Organizácia kybernetickej a informačnej bezpečnosti

o Riadenie rizík

o Personálna bezpečnosť

o Riadenie prístupov

o Riadenie kybernetickej a informačnej bezpečnosti vo vzťahoch s tretími stranami

234

235

o Bezpečnosť pri prevádzke informačných systémov a sietí

236

237

o Hodnotenie zraniteľností a bezpečnostné aktualizácie

238

239

o Ochrana proti škodlivému kódu

240

241

o Sieťová a komunikačná bezpečnosť

242

243

o Akvizícia, vývoj a údržba informačných technológií verejnej správy

244

245

o Zaznamenávanie udalostí a monitorovanie

246

247

o Riešenie kybernetických bezpečnostných incidentov

248

249

o Kryptografické opatrenia

250

251

o Kontinuita prevádzky

252

253

o Audit a kontrolné činnosti

== {{id name="projekt_2551_Projektovy_zamer_detailny-3.2Motiváciaarozsahprojektu"/}}3.2 Motivácia a rozsah projektu ==

259

260

261

Z vyššie uvedeného skutkového stavu nám hrozí vysoké riziko bezpečnostných incidentov a nedostatočná reakcia na hrozby.

262

263

264

Súčasná spracovaná bezpečnostná dokumentácia, ktorú je potrebné aktualizovať vychádza z:

265

266

267

* Bezpečnostnej stratégie kybernetickej bezpečnosti a bezpečnostných politík kybernetickej bezpečnosti,

268

* Klasifikácie informácií a kategorizácie sietí a informačných systémov,

269

* Zadokumentovania vymedzenia rozsahu a spôsobu plnenia všetkých bezpečnostných opatrení

270

* Analýzy rizík kybernetickej bezpečnosti

271

272

273

Návrh technických opatrení projektu vychádza z potrieb resp. doporučených opatrení práve tejto bezpečnostnej dokumentácie. Okrem uvedeného berie tiež do úvahy závery auditu kybernetickej bezpečnosti.

274

275

276

Tak ako je uvedené vyššie, momentálne nemáme komplexne vyriešenú problematiku informačnej a kybernetickej bezpečnosti a bezpečnostnej dokumentácie. Náš miestny úrad potrebuje zabezpečiť konzistentnú ochranu pred kybernetickými hrozbami, zatiaľ čo zároveň musí zabezpečiť vysokú dostupnosť a výkon svojich kritických systémov.

277

278

279

== {{id name="projekt_2551_Projektovy_zamer_detailny-3.3Zainteresovanéstrany/Stakeholderi"/}}3.3 Zainteresované strany/Stakeholderi ==

(% class="wrapped" %)

|(((

ID

)))|(((

AKTÉR / STAKEHOLDER

)))|(((

SUBJEKT

(názov / skratka)

)))|(((

ROLA

(vlastník procesu/ vlastník dát/zákazník/ užívateľ …. člen tímu atď.)

)))|(((

Informačný systém

(MetaIS kód a názov ISVS)

)))

|(((

1.

)))|(((

Samostatný odborný referent IT

)))|(((

MČ KE - DH

)))|(((

Poskytovateľ služieb centrálnej platformy integrácie údajov

)))|(((

)))

|(((

2.

)))|(((

Obyvatelia MČ

)))|(((

MČ KE - DH

)))|(((

Nepriamy užívateli

)))|(((

)))

|(((

3.

)))|(((

Zamestnanci MČ KE-DH

)))|(((

MČ KE - DH

)))|(((

Využíva a napĺňa IS subjektu

)))|(((

)))

|(((

5.

)))|(((

MMK

)))|(((

Mesto Košice

)))|(((

)))|(((

)))

== {{id name="projekt_2551_Projektovy_zamer_detailny-3.4Cieleprojektu"/}}3.4 Ciele projektu ==

**~ **

Hlavným cieľom projektu je „Zvýšenie úrovne kybernetickej a informačnej bezpečnosti MČ Košice - Dargovských hrdinov.“

353

354

355

Špecifické ciele projektu:

356

357

*

358

Zvýšenie efektivity ochrany informačných systémov žiadateľa

359

* Zvýšenie rýchlosti prijímania rozhodnutí v prípade kybernetického incidentu

360

* Zoptimalizovanie zabezpečovania kybernetickej bezpečnosti v podmienkach žiadateľa

361

* Vyriešenie hlavných bezpečnostných rizík definovaných bezpečnostnou dokumentáciou a auditom kybernetickej bezpečnosti

**~ **

== {{id name="projekt_2551_Projektovy_zamer_detailny-3.5Merateľnéukazovatele(KPI)"/}}3.5 Merateľné ukazovatele (KPI) ==

366

367

368

P0193 Používatelia nových a vylepšených verejných digitálnych služieb, produktov a procesov 25

369

370

371

PO095 Verejné inštitúcie podporované v rozvoji kybernetických služieb, produktov a procesov - 1

372

373

374

== {{id name="projekt_2551_Projektovy_zamer_detailny-3.6Špecifikáciapotriebkoncovéhopoužívateľa"/}}3.6 Špecifikácia potrieb koncového používateľa ==

375

376

Na základe realizovaného auditu kybernetickej bezpečnosti mesto identifikuje mieru rizika a možné dopady, resp.

377

378

nesúlad s legislatívnymi požiadavkami. Na základe realizovaného auditu kybernetickej bezpečnosti mesto identifikuje

379

380

mieru rizika a možné dopady, resp. nesúlad s legislatívnymi požiadavkami. V rámci projektu mesto chce zlepšiť

381

382

kybernetickú bezpečnosť svojej HW a SW infraštruktúry, zabezpečiť elimináciu identifikovaných rizík s najvyššou

383

384

prioritou. Obsahom projektu je nákup HW a licencií/SW a s tým súvisiace služby, podporu ako aj zvýšenie personálnych

385

386

kapacít pre zabezpečenie KIB.

387

388

Na základe realizovaného auditu kybernetickej bezpečnosti mestská časť identifikuje mieru rizika a možné dopady, resp. istý

389

390

nesúlad s legislatívnymi požiadavkami. V rámci projektu mesto rieši elimináciu rizík s najvyššou prioritou a to

391

392

nasledujúcimi opatreniami:

393

394

* Vymedzenie rozsahu prijatých bezpečnostných opatrení v dokumentácií pre jednotlivé prevádzkované

informačné systémy.

* Vymedzenie právomoci, povinnosti a zodpovednosti pre všetky role zadefinované v smernici stratégie KIB.

399

* Odstránenie nedostatkov v identifikovaní aktív, vlastníkov aktív a podporných aktív.

400

* Zavedenie centrálneho monitoringu - zaznamenávanie a vyhodnocovanie prevádzkových a bezpečnostných

záznamov.

* Zbieranie nižšie požadovaných logov:

405

406

o úspešné a neúspešné privilegované operácie (vykonávané pod privilegovanými účtami),

407

408

o úspešné a neúspešné prístupy k log súborom,

409

410

o vytváranie, úprava a mazanie používateľských účtov, skupinových účtov a objektov vrátane súborov,

411

412

adresárov a používateľských účtov.

413

414

* Automatické zaznamenávanie každého prístupu administrátora do informačných technológií verejnej správy a

415

416

automatické zaznamenávanie prístupu používateľa.

== {{id name="projekt_2551_Projektovy_zamer_detailny-3.7Rizikáazávislosti"/}}3.7 Riziká a závislosti ==

421

422

423

Prílohou projektu je aj súbor vo formáte *.xls, ktorý detailne opisuje riziká a vzájomné závislosti projektu KIB.

== {{id name="projekt_2551_Projektovy_zamer_detailny-3.8Stanoveniealternatívvbiznisovejvrstvearchitektúry"/}}3.8 Stanovenie alternatív v biznisovej vrstve architektúry ==

428

429

430

Mestská časť Košice – Dargovských hrdinov má zabezpečenú čiastočnú úroveň kybernetickej bezpečnosti, preto prichádzajú do úvahy nasledovné alternatívy:

431

432

1. Ponechanie existujúceho stavu, v ktorom na základe auditu KIB boli identifikované nesúlady s legislatívnymi požiadavkami a možné ohrozenie IS MČ Košice – Dargovských hrdinov kybernetickým útokom s vážnymi dôsledkami.

433

1. Realizácia projektu KIB s riešením vybraných opatrení (t.j. nie všetkých nevyhnutných), ktoré identifikoval audit KIB ako tie, v ktorých je kritický nesúlad so zákonom o kybernetickej bezpečnosti a vyhláškou č. 362/2018 Z. z.– t.j. došlo by k zvýšeniu súladu s legislatívou, ale informačné systémy na Miestnom úrade Košice – DH by boli naďalej kriticky ohrozené.

434

1. Realizácia opatrení na dosiahnutie zvýšenia súladu KIB s požiadavkami zákona o kybernetickej bezpečnosti a zákona o ISVS – pôjde o také zvýšenie súladu s požiadavkami príslušnej legislatívy v oblasti KIB, ktorá zabezpečí ochranu IS pred identifikovanými hrozbami. Z hľadiska identifikovaných procesov vyššie alternatíva (1) nepokryje riešenie žiadneho z identifikovaného problémov. V prípade čiastkového riešenia (2) by boli zvolené iba niektoré z procesov, ktoré by boli projektom vyriešené. V prípade možnosti (3) budú podporené všetky procesy v oblasti KIB, ktoré je potrebné pre účely ochrany IS, a ktoré zabezpečujú prevádzku základných kompetencií a služieb MČ Košice – DH.

== {{id name="projekt_2551_Projektovy_zamer_detailny-3.9Multikriteriálnaanalýza"/}}3.9 Multikriteriálna analýza ==

439

440

441

Multikriteriálna analýza je redukovaná na jediný parameter, či bude zabezpečená ochrana IS pred kybernetickými útokmi, ktorou alternatívou z vyššie identifikovaných je možné naplniť potrebu zosúladenia úrovne KIB s požiadavkami zákona o KIB a zákona o ISVS. Táto požiadavka sa dotýka všetkých stakeholderov a predstavuje KO kritérium. Ak nemá dôjsť k zásadnému zvýšeniu kybernetickej a informačnej bezpečnosti, t.j. ak má zostať ponechaný stav alebo iba dôjde k čiastočnému zlepšeniu, nebude možné považovať realizovaný projekt za úspešný. Z vyššie uvedených možných alternatív vyplýva, že s ohľadom na potreby je jediná akceptovateľná a dlhodobo udržateľná možnosť (2).

// //

== {{id name="projekt_2551_Projektovy_zamer_detailny-3.10Stanoveniealternatívvaplikačnejvrstvearchitektúry"/}}3.10 Stanovenie alternatív v aplikačnej vrstve architektúry ==

446

447

448

HW a SW komponenty, tiež služby a podpora, ktoré sú s nimi spojené, musia zodpovedať požiadavkám definovaným v projekte koncovými používateľmi - tými sú v tomto prípade referát informatiky, ktoré vychádza z požiadaviek zákona o KIB, zákona o ISVS, vyhlášky 362/2018 Z. z. a ďalších predpisov. Realizácia všetkých opatrení na úrovni miestnej samosprávy, ktoré budú realizované v rámci projektu, bude na úrovni kombinácie In-House riešenia a Outsourcingu.

// //

== {{id name="projekt_2551_Projektovy_zamer_detailny-3.11Stanoveniealternatívvtechnologickejvrstvearchitektúry"/}}3.11 Stanovenie alternatív v technologickej vrstve architektúry ==

453

454

455

Z hľadiska navrhovaných technológií nie sú definované alternatívy. Požiadavky na technológie sú definované všeobecne tak, aby ľubovoľnú SW a HW technológiu, ktorá splní definované požiadavky koncového používateľa, bolo možné použiť na realizáciu projektu.

// //

// //

// //

// //

= {{id name="projekt_2551_Projektovy_zamer_detailny-4.POŽADOVANÉVÝSTUPY(PRODUKTPROJEKTU)"/}}4. POŽADOVANÉ VÝSTUPY (PRODUKT PROJEKTU) =

466

467

468

Efektivita navrhovaného riešenia projektu sa prejavuje najmä v skutočnosti, že prioritné oblasti, ktoré projekt rieši boli definované na základe reálnych požiadaviek a problémov žiadateľa, ktoré sú bližšie špecifikované v časti 7.1 ŽoNFP. Uvedené oblasti sú vybraté ako najkritickejšie a najpálčivejšie. Návrh aktivít projektu bol zároveň tiež riešený v súlade so spracovanou bezpečnostnou dokumentáciou, ktorú má žiadateľ spracovanú a plne reflektuje na jej podmienky a požiadavky.

469

470

471

Navrhované riešenia vybudované v rámci predkladaného projektu budú fungovať ako jeden komplexný celok zabezpečujúci vyššiu mieru kybernetickej ochrany Mestskej časti Košice – Dargovských hrdinov, aj napriek tomu, že budú riešené ako samostatné logické časti.

472

473

474

Realizácia projektu v súlade s navrhovanou koncepciou umožní značne zlepšiť manažment kybernetickej bezpečnosti žiadateľa a zároveň umožní eliminovať rizikové oblasti definované bezpečnostnou dokumentáciou. Projekt svojou realizáciou umožní značne prispieť k viacerým oblastiam kvality a úrovne ochrany informačných systémov žiadateľa a jeho dopady sa odzrkadlia najmä v nasledujúcich oblastiach:

475

476

477

* Zvýšenie efektivity ochrany informačných systémov žiadateľa

478

* Zvýšenie rýchlosti prijímania rozhodnutí v prípade kybernetického incidentu

479

* Zoptimalizovanie zabezpečovania kybernetickej bezpečnosti v podmienkach žiadateľa

480

* Vytvorenie efektívneho systému bezpečnostného monitoringu IKT prostredia žiadateľa

481

* Zvýšenie úrovne bezpečnosti pripájania externých bodov do siete žiadateľa

482

* Vyriešenie hlavných bezpečnostných rizík definovaných bezpečnostnou dokumentáciou a auditom kybernetickej bezpečnosti

483

484

485

= {{id name="projekt_2551_Projektovy_zamer_detailny-5.NÁHĽADARCHITEKTÚRY"/}}5. NÁHĽAD ARCHITEKTÚRY =

486

487

488

Architektúra celého riešenia je v zmysle usmernenia MIRRI SR rámcová tak, aby bolo z projektu zrejmé, ktoré

489

490

komponenty v rámci realizácie projektu budú vytvorené a budú realizovať opatrenia KIB.

= {{id name="projekt_2551_Projektovy_zamer_detailny-6.LEGISLATÍVA"/}}6. LEGISLATÍVA =

496

497

498

Projekt je realizovaný za účelom dosiahnutia súladu s platnou legislatívou a to najmä:

499

500

* Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov

501

* Vyhláška 362/2018 Z.z. o obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení)

502

* Zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov

503

* Vyhláška č.78/2020 Z.z. o štandardoch pre ITVS

504

* Vyhláška 179/2020 Z.z. o obsahu bezpečnostných opatrení ITVS

505

* Vyhláška č.401/2023 Z.z. o riadení projektov a zmenových požiadaviek v prevádzke informačných technológií verejnej správy

506

507

508

= {{id name="projekt_2551_Projektovy_zamer_detailny-7.ROZPOČETAPRÍNOSY"/}}7. ROZPOČET A PRÍNOSY =

// //

= {{id name="projekt_2551_Projektovy_zamer_detailny-8.HARMONOGRAMJEDNOTLIVÝCHFÁZPROJEKTUaMETÓDAJEHORIADENIA"/}}8. HARMONOGRAM JEDNOTLIVÝCH FÁZ PROJEKTU a METÓDA JEHO RIADENIA =

//Predpokladaný začiatok projektu – 08/2024, koniec projektu – 07/2026//

(% class="wrapped" %)

521

|(((