PRÍSTUP K PROJEKTU

 Vzor pre manažérsky výstup I-03

podľa vyhlášky MIRRI č. 401/2023 Z. z. 

Schvaľovanie dokumentu

1.    História dokumentu

2.    Účel dokumentu

V súlade s Vyhláškou č. 401/2023 Z.z. je dokument I-03 Prístup k projektu určený na rozpracovanie detailných informácií prípravy projektu z pohľadu aktuálneho stavu, budúceho stavu a navrhovaného riešenia.

Dokument Prístup k projektu v zmysle vyššie uvedenej vyhlášky obsahuje opis navrhovaného riešenia, architektúru riešenia projektu na úrovni biznis vrstvy, aplikačnej vrstvy, dátovej vrstvy, technologickej vrstvy, infraštruktúry navrhovaného riešenia, bezpečnostnej architektúry, špecifikáciu údajov spracovaných v projekte, čistenie údajov, prevádzku a údržbu výstupov projektu, prevádzkové požiadavky, požiadavky na zdrojové kódy. Dodávané riešenie musí byť v súlade so zákonom. Zároveň opisuje aj implementáciu projektu a preberanie výstupov projektu.

2.1        Použité skratky a pojmy

3.    Popis navrhovaného riešenia

Predmetom projektu je zvýšenie úrovne kybernetickej a informačnej bezpečnosti na Správa štátnych hmotných rezerv Slovenskej republiky (ďalej len „SŠHR SR“). Kybernetická bezpečnosť je z pohľadu architektúry prierezovou oblasťou a teda realizuje sa skrz všetky vrstvy architektúry.

Na úrovni biznis vrstvy architektúry je to predovšetkým aktualizácia bezpečnostnej dokumentácie vrátane jej zavedenia do praxe:

• Aktualizácia bezpečnostnej dokumentácie na základe zistení z realizovaného bezpečnostného auditu.
• Aktualizácia bezpečnostnej stratégie kybernetickej bezpečnosti.
• Vytvorenie a aktualizácia bezpečnostných politík kybernetickej bezpečnosti.
• Vykonanie inventarizácie aktív, klasifikácie informácií a kategorizácie sietí a informačných systémov.
• Vykonanie analýzy rizík a analýzy dopadov vrátane riadenia rizík.
• Zavedenie BCM a SDLC procesov do prevádzky úradu

Na úrovni aplikačnej a technologickej vrstve architektúry bude zabezpečené:

• Zavedenie a implementácia centrálneho nástroja pre zber a analýzu bezpečnostných udalostí (SIEM) a zaznamenávanie udalostí a monitorovanie sietí (Log manažment systém)
• Implementácia automatizovaného nástroja na identifikáciu neoprávnených sieťových spojení na hranici s vonkajšou sieťou, na blokovanie neoprávnených spojení, na monitorovanie bezpečnosti, na detekciu prienikov a prevenciu prienikov identifikáciou nezvyčajných mechanizmov útokov alebo proaktívneho blokovania škodlivej sieťovej prevádzky a ďalších povinností alebo vo forme funkcionalít, prípadne licencií iných už existujúcich nástrojov.
• Obstaranie služby monitorovania a analyzovania udalostí v sieťach a informačných systémoch vrátane detekcie, zberu relevantných informácií, vyhodnocovania a riešenia zistených kybernetických bezpečnostných incidentoch a vykonávania napr. forenzných analýz v snahe minimalizovať výskyt a dopad kybernetických bezpečnostných incidentov.
• Implementácia nástroja na detekciu, nástroja na zber a nepretržité vyhodnocovanie a evidenciu kybernetických bezpečnostných udalostí.

4.    Architektúra riešenia projektu

Architektúra riešenia projektu je spracovaná v súlade s hlavnými cieľmi motivačnej architektúry. Architektúra riešenia projektu je ďalej rozpracovaná na úrovni biznis vrstvy, aplikačnej vrstvy, technologickej vrstvy a bezpečnostnej vrstvy.

4.1        Biznis vrstva

Biznis vrstva – súčasný stav:

Správa štátnych hmotných rezerv SR má nezastupiteľné postavenie pri zabezpečovaní stability v Slovenskej republike a aktívne participuje pri riešení hrozieb energetickej a potravinovej krízy, povodní, požiarov, epidémií a pandémií, kalamít, či už snehových        alebo veterných, a ďalších živelných pohrôm či prírodných katastrof, ktoré dokážu veľmi rýchlo a najmä nečakane spôsobiť rozsiahle škody.

V súvislosti s vývojom bezpečnostnej situácie v SR a vo svete sme však svedkami stále nových krízových situácií rôznych rozmerov. Ozbrojené konflikty, aktivity radikálnych združení, hrozby v kybernetickom priestore, v oblasti energetickej bezpečnosti, vývoj migrácie a ďalšie faktory sú dôvodom komplikovanej predvídateľnosti vývoja procesov vplývajúcich na bezpečnosť SR a jej obyvateľov. Vzhľadom na vysokú dynamiku ekonomických, sociálnych, vojenských, informačných, klimatických a geopolitických zmien v Európe a vo svete čelí SŠHR novým výzvam pri zabezpečovaní dostupnosti, kvality, dostatočného množstva a použiteľnosti štátnych hmotných rezerv (ďalej ŠHR) v danom čase a mieste.

Otázka potenciálnych hrozieb a ich eliminácie je každým dňom súčasnej politicko-geografickej a environmentálnej reality aktuálnejšia. Poslanie SŠHR SR v oblasti zabezpečovania ŠHR je výhradné a nezastupiteľné a zahŕňa aj činnosti či procesy, ktoré podliehajú istému stupňu utajenia. SŠHR SR v rámci svojich pôsobností vymedzených zákonom č. 372/2012 Z. z. o štátnych hmotných rezervách a o doplnení zákona č. 25/2007 Z. z. o elektronickom výbere mýta za užívanie vymedzených úsekov pozemných komunikácií a o zmene a doplnení niektorých zákonov v znení neskorších predpisov a zákonom č. 218/2013 Z.z. o núdzových zásobách ropy a ropných výrobkov a o riešení stavu ropnej núdze a o zmene a doplnení niektorých zákonov:

• Hlavnou úlohou SŠHR je poskytnutie pomoci a podpory (materiálnej pomoci vo forme jednotlivých druhov štátnych hmotných rezerv počas krízových situácií a mimoriadnych udalostí.
• Prioritou SŠHR SR je neustále zvyšovať úroveň zabezpečenia krajiny a obyvateľov žijúcich na jej území a ochrany záujmov SR.
• Jednou z hlavných úloh SŠHR je aktívne sa podieľať na príprave na riešenie krízových situácií a mimoriadnych udalostí tak, aby v okamihu vzniku týchto situácií mohla poskytnúť efektívnu, bezodplatnú a hlavne bezodkladnú pomoc tým, ktorí ju v danej chvíli potrebujú.
• SŠHR SR je výhradným odborným, administratívnym, logistickým a správnym garantom pre oblasť správy a použitia štátnych hmotných rezerv pri zabezpečovaní potravinovej, energetickej a ďalšej bezpečnosti obyvateľstva SR.
• SŠHR SR je zákonom poverenou inštitúciou zodpovednou za tvorbu, hospodárenie a kontrolu ŠHR, za ich rozmiestňovanie a pripravenosť na použitie.
• ŠHR sú kľúčovou zložkou pre materiálne zabezpečenie ochrany hospodárstva SR.

Zákon č. 372/2012 Z. z. o štátnych hmotných rezervách:

• na ochranu ekonomiky, na riešenie krízovej situácie, mimoriadnej udalosti, III. stupňa povodňovej aktivity,
• na riešenie stavu núdze v energetike, stavu ropnej núdze,
• na zabezpečenie potravinovej bezpečnosti štátu,
• pre potreby OS SR, na účely poskytovania humanitárnej pomoci SR, pre zložky IZS.

V rámci poskytovaných služieb poskytuje služby prostredníctvom rôznych prístupových kanálov: elektronicky, listinne, osobne ako aj telefonicky. Pre poskytované služby SŠHR SR poskytuje a realizuje viaceré biznis funkcie, kde v rámci tohto projektu je primárne relevantná biznis funkcia Bezpečnosť.

SŠHR SR ako prevádzkovateľ základnej služby zapísanej v registri prevádzkovateľov základných služieb má povinnosti, ktoré vyplývajú zo zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov (ďalej len „ZoKB“). Medzi základné povinnosti je prijatie a dodržiavanie všeobecných bezpečnostných opatrení pre nasledovné oblasti:

• organizácie kybernetickej bezpečnosti a informačnej bezpečnosti,
• riadenia rizík kybernetickej bezpečnosti a informačnej bezpečnosti,
• personálnej bezpečnosti,
• riadenia prístupov,
• riadenia kybernetickej bezpečnosti a informačnej bezpečnosti vo vzťahoch s tretími stranami,
• bezpečnosti pri prevádzke informačných systémov a sietí,
• hodnotenia zraniteľností a bezpečnostných aktualizácií,
• ochrany proti škodlivému kódu,
• sieťovej a komunikačnej bezpečnosti,
• akvizície, vývoja a údržby informačných sietí a informačných systémov,
• zaznamenávania udalostí a monitorovania,
• fyzickej bezpečnosti a bezpečnosti prostredia,
• riešenia kybernetických bezpečnostných incidentov,
• kryptografických opatrení,
• kontinuity prevádzky,
• auditu, riadenia súladu a kontrolných činností.

Tieto bezpečnostné opatrenia sa prijímajú a realizujú na základe schválenej bezpečnostnej dokumentácie, ktorá musí byť aktuálna a musí zodpovedať reálnemu stavu. SŠHR SR je povinná preveriť účinnosť prijatých bezpečnostných opatrení a plnenie požiadaviek stanovených zákonom vykonaním auditu kybernetickej bezpečnosti v stanovenom rozsahu.

V súlade s § 29 ZoKB prebiehal na SŠHR SR v období od 19.10.2023 do 24.10.2023 audit kybernetickej bezpečnosti. Dňa 23.11.2023 bola SŠHR SR odovzdaná finálna verzia záverečnej správy o výsledkoch auditu. V súlade s § 29 ods. 5 SŠHR SR ako prevádzkovateľ základnej služby v zákonom stanovenej lehote zaslala záverečnú správu o výsledkoch auditu NBÚ spolu s opatreniami na nápravu a s lehotami na ich odstránenie. Konkrétne sa jedná o vybrané opatrenia, ktoré budú realizované týmto projektom:

• Potreba implementácie HW a SW časti bezpečnosti siete a implementácie sieťovej a komunikačnej bezpečnosti siete (dodávka firewallov a nástroja na ich manažovanie)
• Potreba riešenia problému absentujúceho systému pre zber a analýzu bezpečnostných udalostí (SIEM)
• Potreba riešenia problému absentujúceho systému pre zaznamenávanie udalostí a monitorovanie sietí (Log manažment systém)
• Potreba riešenia problému absentujúceho systému pre ochranu proti škodlivému kódu (Dodanie a implementácia EDR)
• Aktualizácie metodík, vytvorenie a aktualizácia bezpečnostnej dokumentácie, vykonanie analýzy rizík a analýzy dopadov (AR/BIA), SDLC a BCM

• Audit a kontrolné činnosti - obstaranie externých testov zraniteľností, penetračných testov a pod. (Penetračné testovanie)
• Financovanie nákladov spojených s auditom kybernetickej bezpečnosti podľa § 29 zákon č. 69/2018 Z. z.
• Potreba zabezpečiť kontinuitu prevádzky, t.j. je potrebné zabezpečiť riadenie kontinuity kybernetickej bezpečnosti

Medzi jedným zo zistených nedostatkov bola neaktuálna bezpečnostná dokumentácia, resp. nedostatočná bezpečnostná dokumentácia, ktorú je potrebné aktualizovať predovšetkým pre oblasti:

• Riadenie prístupov (§8 ods. 1 až 4 Vyhlášky č. 362/2018 Z. z)
• Ochrana proti škodlivému kódu (§12 ods. 1 písm. b) Vyhlášky č. 362/2018 Z. z)
• Sieťová a komunikačná bezpečnosť (§13 písm. a), c) Vyhlášky č. 362/2018 Z. z)
• Kontinuita prevádzky (§17b ods. 3 Vyhlášky č. 362/2018 Z. z)

Aktualizácia bezpečnostnej dokumentácie má byť vykonaná vždy pri každej podstatnej zmene.

V rámci kategorizácií aktív z pohľadu dôvernosti bol vyhodnotený dopad prípadného kybernetického incidentu (najhoršieho možného scenára a dopadov na SŠHR SR podľa § 24 ods. 2, písm. a) až e) ZoKB v závislosti od kategórie bezpečnostného incidentu nasledovne:

• 24 ods. 2 písm. a) zákona - Kategória III.
• 24 ods. 2 písm. b) a c) zákona - Kategória III.
• 24 ods. 2 písm. d) zákona - Kategória III.
• 24 ods. 2 písm. e) zákona - Kategória III.

Obrázok 1:  Model biznis architektúry (vychádza zo strategickej architektúry VS) – ASIS

Biznis vrstva – budúci stav:

SŠHR SR identifikovala najvyššiu mieru rizika a najvyššie dopady kybernetických incidentov v nasledovných oblastiach. Tieto oblasti mali aj najvyššiu mieru nesúladu s legislatívnymi požiadavkami z vykonaného auditu kybernetickej bezpečnosti.

V rámci projektu SŠHR SR bude realizovať nasledovné podaktivity v súlade s oprávnenými činnosťami uvedenými vo výzve.

Sieťová a komunikačná bezpečnosť

SŠHR v rámci riadenia prístupu k sieti požaduje návrh a dodanie riešenia a dodávku potrebných SW komponentov, resp. licencií a odborných služieb pre nasadenie NGFW do počítačovej siete v IT prostredí SŠHR SR. Riešenie musí pokrývať minimálne nasledovný rozsah zariadení a lokalít:

Nasadenie na nasledovných pracoviskách:

• Dátové centrum v lokalite Bratislava vo vysokej dostupnosti NGFW cluster (Ústredie SŠHR SR)
• 4 špecializované strediská správy rezerv

Zariadenia umiestnené v týchto lokalitách:

• 250 koncových staníc a zariadení

Riešenie pre zber a analýzu bezpečnostných udalostí

Cieľom projektu je zabezpečenie správy auditných záznamov (LOG manager) v infraštruktúre IKT SŠHR SR. Projekt implementuje centrálne úložisko pre zber a analýzu logov. Systém musí byť schopný zhromažďovať prevádzkové dáta zo všetkých dôležitých systémov na jednom mieste s možnosťou ich dlhodobého uchovávania. Toto umožní IT a bezpečnostným operátorom získavať informácie o bezpečnostných incidentoch, prevádzkových stavoch a prípadných chybách v IT v reálnom čase. Systém umožní generovanie reportov o aktivitách systémov i užívateľov, vrátane auditných reportov s definovateľným obsahom. Systém LM umožní prehľadávanie logov prostredníctvom integrovaného grafického rozhrania s preddefinovanými pravidlami pre rýchle vyhľadávanie. Systém bude umožňovať sledovanie správania užívateľov a systémov s upozornením na pravidlá a to na základe limitov alebo korelácií udalostí nastavených administrátorom. Cieľom je vytvoriť jednotné úložisko logov s pokročilými nástrojmi pre analýzu a upozorňovanie, prístupné iba autorizovaným pracovníkom. Nevyhnutnou nutnosťou je zabezpečenie, aby logy nebolo možné modifikovať zo strany administrátorov alebo užívateľov. Systém by mal ďalej umožňovať jednoduchú klasifikáciu dát, tvorbu užívateľsky definovaných parserov, filtrov, upozornení a korelácií v ľahko pochopiteľnom grafickom rozhraní bez potreby programátorských znalostí.

Riešenie pre zaznamenávanie udalostí a monitorovanie sietí

Súčasťou projektu je dodanie a implementácia riešenia SIEM. IS SIEM má pokryť zber, správu a inteligentnú interpretáciu udalostí v IT infraštruktúre, poskytnúť centralizovaný pohľad na všetky relevantné bezpečnostné informácie z IT infraštruktúry v reálnom čase, vyhodnotiť rizikové bezpečnostné udalosti a pomáhať pri odhaľovaní incidentov, ktoré môžu ohroziť prevádzku informačných systémov SŠHR a tým obmedziť, prípadne znemožniť poskytovanie základných služieb. Cieľom nasadenia riešenia IS SIEM je taktiež zavedenie centrálneho logovania udalostí informačných systémov, zariadení, sietí a všetkých security systémov, poskytovanie reportov o kritických kombináciách udalostí, ktoré by mohli mať nepriaznivý dopad na poskytovanie základných služieb a smerovať k zamedzeniu vzniku kybernetického bezpečnostného incidentu. V prípade vzniku kybernetického bezpečnostného incidentu má poskytovať  notifikáciu administrátorom systému o vzniknutom bezpečnostnom incidente ihneď po jeho zistení.

Riešenie kybernetických bezpečnostných incidentov

Predmetom projektu je nasadenie produktového balíka bezpečnostných riešení na ochranu koncových pracovných staníc, notebookov a serverov, ktorý obsahuje viacvrstvovú antivírusovú ochranu, technológiu automatickej analýzy podozrivých súborov v cloudovom sandboxe výrobcu, pokročilú vrstvu ochrany v podobe nástroja na detekciu a reakciu, šifrovanie celých diskov a možnosť prevádzkovať jednotnú management konzolu na správu týchto riešení v cloudovom nasadení alebo lokálnom (on-prem) nasadení podľa voľby SŠHR SR za účelom zvýšenia kybernetickej bezpečnosti. Všetky implementované nástroje musia byť nasadené a dodané v najnovšej verzií s prístupom k aktualizačným balíčkom. Bez prístupu k najnovšej verzií, k najnovším balíčkom, najnovšej antivírusovej databáze a najnovším bezpečnostným záplatám dodané nástroje neplnia základnú bezpečnostnú funkciu na čo boli vytvorené a projektom dodané. Z tohto hľadiska sa nejedná o podporu prevádzky existujúceho riešenia.

Obrázok 2: Model biznis architektúry (vychádza zo strategickej architektúry VS) – TO BE

4.1.1        Prehľad koncových služieb – budúci stav:

Projektom nie sú budované žiadne nové koncové služby. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci SŠHR SR. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

4.1.2        Jazyková podpora a lokalizácia

Požiadavky na jazykovú lokalizáciu riešenia a používateľské prostredie služieb bude implementované v slovenskom jazyku.

4.2        Aplikačná vrstva

Aplikačná vrstva SŠHR SR pozostáva z viacerých informačných systémov podporujúcich výkon funkcií a činností definovaných na úrovni biznis architektúry. Je rozdelené primárne do nasledujúcich oblastí.

Moduly front-endu: predstavujú špecifické, najmä rezortné komponenty pre interakciu s používateľmi, čiže komponenty, ktoré nie sú spoločné a zdieľané viacerými inštitúciami (napr. rezortné portály).

Externé systémy: externé systémy integrované so systémami SŠHR SR

Spoločné moduly front-endu: združujú spoločné komponenty, ktoré riešia interakciu s používateľmi (občanmi, podnikateľmi a zamestnancami verejnej správy)

Integrácia a orchestrácia: rieši integráciu a vzájomnú interoperabilitu informačných systémov verejnej správy SR na úrovni aplikačnej a dátovej integrácie a zabezpečuje služby orchestrácie najmä pre životné situácie.

Agendové informačné systémy: podporujú výkon konkrétnej agendy a realizujú kľúčové aplikačné služby.

Moduly back-endu: predstavujú špecifické, najmä rezortné komponenty pre podporu špecifických back office činností, čiže komponenty, ktoré nie sú spoločné a zdieľané viacerými organizáciami. Tu patria aj nástroje pre kybernetickú a informačnú bezpečnosť.

Obrázok 3: Aplikačná architektúra budúceho stavu

4.2.1        Rozsah informačných systémov – AS IS

Nie je relevantné pre projekt. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

4.2.2        Rozsah informačných systémov – TO BE

Nie je relevantné pre projekt. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

V rámci projektu budú implementované nové nástroje pre zvýšenie úrovne kybernetickej a informačnej bezpečnosti.

4.2.3        Využívanie nadrezortných a spoločných ISVS – AS IS

Nie je relevantné pre projekt. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

4.2.4        Prehľad plánovaných integrácií ISVS na nadrezortné ISVS – spoločné moduly podľa zákona č. 305/2013  e-Governmente – TO BE

Nie je relevantné pre projekt. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

4.2.5        Prehľad plánovaného využívania iných ISVS (integrácie) – TO BE

Nie je relevantné pre projekt. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

4.2.6        Aplikačné služby pre realizáciu koncových služieb – TO BE

Nie je relevantné pre projekt. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

4.2.7        Aplikačné služby na integráciu – TO BE

Nie je relevantné pre projekt. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

4.2.8        Poskytovanie údajov z ISVS do IS CSRÚ – TO BE

Projektom nie je plánované poskytovanie údajov do IS CSRÚ. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

4.2.9        Konzumovanie údajov z IS CSRU – TO BE

Nie je relevantné pre projekt. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

4.3        Dátová vrstva

Nie je relevantné pre projekt. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

4.3.1        Údaje v správe organizácie

Zavedenie systematického manažmentu údajov nie je predmetom navrhovaného projektu. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

4.3.2        Dátový rozsah projektu - Prehľad objektov evidencie - TO BE

Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

4.3.3        Referenčné údaje

Projektom nie sú plánované žiadne nové referenčné údaje ani údaje, ktoré je možné vyhlásiť za referenčné. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

4.3.4        Kvalita a čistenie údajov

Cieľom projektu nie je systematický manažment údajov z hľadiska citlivosti kvality údajov a čistenia údajov. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

4.3.5        Otvorené údaje

Nie je relevantné pre projekt, nebudú poskytované žiadne nové Otvorené údaje. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

4.3.6        Analytické údaje

Nie je relevantné pre projekt, nebudú poskytované žiadne nové Analytické údaje. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

4.3.7        Moje údaje

Nie je relevantné pre projekt, nebudú poskytované žiadne nové Moje údaje. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

4.3.8        Prehľad jednotlivých kategórií údajov

Projekt nie je zameraný na systematický manažment údajov, nemení štruktúru ani obsah údajov. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

4.4        Technologická vrstva

4.4.1        Prehľad technologického stavu - AS IS

Pripojenie celej sieťovej infraštruktúry na ústredí ako aj na štyroch ďalších lokalitách – Strediskách SŠHR SR je implementované redundantne, tzn. použitím dvojice smerovačov. Funkčnosť redundancie je zabezpečená prostredníctvom dynamického smerovacieho protokolu, ktorý beží medzi SŠHR SR a ISP smerovačmi. Prípadné zvýšenie prenosových kapacít ako aj samotná prevádzka MPLS pripojení je realizovaná SŠHR SR. Dôležitou vlastnosťou MPLS siete je ochrana prenášaných dát. Ako ochranný mechanizmus je implementovaná technológia, ktorá prostredníctvom IPSec štandardu zabezpečuje šifrovanie prenášaných dát medzi centrálnymi a vzdialenými lokalitami v rámci MPLS siete. Za účelom prioritizácie kritických aplikácií pred nekritickými, je na MPLS smerovačoch implementovaná kvalita služieb, ktorá zabezpečuje garanciu prenosového pásma pre kritické aplikácie v čase zahltenia komunikačných liniek.Pripojenie serverov do LAN siete je zabezpečené cez dvojice 48 portových 1/10 Gigabit Ethernet prepínačov, ktoré umožňujú dual-home pripojenie pre servery. Prevádzkované server prepínače sú do centrálnych prepínačov pripojené dvojicou liniek o kapacite 1 Gigabit Ethernet. Pripojenie užívateľov do LAN siete je riešené cez existujúce LAN prepínače, ktoré sú doplnené o niekoľko nových prístupových prepínačov s podporou PoE, čo je možné využiť na pripojenie IP telefónov prípadne bezdrôtových prístupových bodov. Tieto LAN prepínače sú cez dvojicu Gigabit Ethernet rozhraní pripojené do centrálnych prepínačov. LAN sieť na pobočkách vyzerá veľmi jednoducho. Väčšina vytvorená dvoma 48 portovými Gigabit Ethernet L2 prepínačmi, do ktorých sú zapojené koncové systémy užívateľov ako aj WAN smerovače, ktoré pre užívateľov zabezpečujú smerovanie do WAN siete.V niektorých pobočkách je LAN sieť tvorená viacerými Gigabit Ethernet L2 prepínačmi. Do centrálnych prepínačov na oboch centrálnych lokalitách je pripojený firewallový systém, ktorý poskytuje bezpečné pripojenie LAN sietí do Govnetu a Internetu. Firewallový systém je tvorený dvoma firewallmi zapojenými v clustry, na ktorých sú ukončené DMZ zóny poskytujúce služby prístupné z Govnetu a Internetu. Firewallový systém poskytuje ukončenie šifrovaných VPN pripojení z externých sietí do LAN siete SŠHR SR.

Obrázok 4: Interná topológia siete SŠHR SR

4.4.2        Požiadavky na výkonnostné parametre, kapacitné požiadavky – TO BE

V rámci navrhovaného riešenia sa predpokladá zachovanie súčasných výkonnostných požiadaviek a kapacitných požiadaviek.

4.4.3        Návrh riešenia technologickej architektúry

Technologická architektúra sa oproti súčasnému stavu nemení a bude prevádzkovaná v rovnakom technologickom prostredí. Technologická vrstva budúceho stavu vychádza zo súčasného stavu a bude podporená novými nasadenými nástrojmi prevádzkovanými na viacerých technológiách.

Obrázok 5: Návrh riešenia technologickej architektúry SŠHR SR

4.4.4        Využívanie služieb z katalógu služieb vládneho cloudu

Projekt nebude využívať služby z katalógu vládneho cloudu. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov. Implementované nástroje budú prevádzkované v infraštruktúre SŠHR SR bez potreby jej rozšírenia.

4.5        Bezpečnostná architektúra

Riešenie zabezpečenia prevádzkovaných ISVS v správe SŠHR SR je rozdelené do viacerých častí, pričom každá časť komplexne pokrýva danú oblasť. Jedná sa o nasledovné hlavné oblasti:

• Zabezpečenie E-mail a Web komunikácie,
• Vnútorný firewall,
• Ochrana web aplikácií a rozdelenie záťaže,
• DNS a vysoká dostupnosť dátových centier.

Obrázok 6: Návrh riešenia bezpečnostnej architektúry SŠHR SR

Sieťovú infraštruktúru tvorí MPLS sieť, ktorá slúži na vzájomné prepojenie všetkých lokalít a LAN siete nachádzajúce sa na jednotlivých lokalitách. Okrem ústredia sú MPLS komponentmi vybavené aj vzdialené lokality, ktoré cez MPLS sieť komunikujú so systémami v primárnej lokalite (ústredie). Vzdialenými lokalitami sú lokality Vigľaš, Lupča, Kysuce, Čachtice.

Popis jednotlivých blokov implementovanej bezpečnostnej architektúry, realizovaných oprávnených aktivít a požiadaviek na jednotlivé technológie:

SIEŤOVÝ FW (LOGSOURCE)

Zabezpečenie sieťového perimetra siete SŠHR, z ktorej pristupujú správcovia k  informačným systémom SŠHR SR.

EDR

Cieľom implementácie pokročilého riešenia Endpoint Detection and Response (EDR) je zabezpečiť bezpečnosť a ochranu všetkých koncových zariadení a serverov, v správe SŠHR SR. Prioritou implementácie modulu EDR je detekcia, monitorovanie a rýchla reakcia na kybernetické hrozby. Implementáciou modulu EDR sa zabezpečí schopnosť identifikovať a zabrániť rôznym typom hrozieb, vrátane malvéru, ransomvéru a iných škodlivých aktivít, pričom toto riešenie podporuje tkz. „samoučiaci režim“, ochranu pred neznámymi hrozbami a anti-ransomware ochranu. Riešenie umožní monitorovať všetky koncové zariadenia v reálnom čase, ponúknuť centralizovanú správu, vytvárať správy pre bezpečnostných administrátorov a definovať politiky pre jednotlivé skupiny administrátorov. EDR riešenie umožní rýchlu reakciu na incidenty, vrátane izolácie postihnutých zariadení, odstránenia hrozieb a obnovy systémov, a podporí threathunting s funkciou vizualizácie a minimálnou 30-dňovou retenciou dát. Cieľom je zabezpečiť bezpečnosť a ochranu všetkých koncových zariadení a serverov s dôrazom na detekciu, monitorovanie a rýchlu reakciu na kybernetické hrozby. 

Log manažment

Cieľom projektu je zabezpečenie správy auditných záznamov (LOG manager) v infraštruktúre IKT SŠHR SR. Projekt implementuje centrálne úložisko pre zber a analýzu logov. Systém musí byť schopný zhromažďovať prevádzkové dáta zo všetkých dôležitých systémov na jednom mieste s možnosťou ich dlhodobého uchovávania. Toto umožní IT a bezpečnostným operátorom získavať informácie o bezpečnostných incidentoch, prevádzkových stavoch a prípadných chybách v IT v reálnom čase. Systém umožní generovanie reportov o aktivitách systémov i užívateľov, vrátane auditných reportov s definovateľným obsahom. Systém LM umožní prehľadávanie logov prostredníctvom integrovaného grafického rozhrania s preddefinovanými pravidlami pre rýchle vyhľadávanie. Systém bude umožňovať sledovanie správania užívateľov a systémov s upozornením na pravidlá a to na základe limitov alebo korelácií udalostí nastavených administrátorom. Cieľom je vytvoriť jednotné úložisko logov s pokročilými nástrojmi pre analýzu a upozorňovanie, prístupné iba autorizovaným pracovníkom. Nevyhnutnou nutnosťou je zabezpečenie, aby logy nebolo možné modifikovať zo strany administrátorov alebo užívateľov. Systém by mal ďalej umožňovať jednoduchú klasifikáciu dát, tvorbu užívateľsky definovaných parserov, filtrov, upozornení a korelácií v ľahko pochopiteľnom grafickom rozhraní bez potreby programátorských znalostí.

SIEM (Security Information and Event Management)

Súčasťou projektu je dodanie a implementácia riešenia SIEM. IS SIEM má pokryť zber, správu a inteligentnú interpretáciu udalostí v IT infraštruktúre, poskytnúť centralizovaný pohľad na všetky relevantné bezpečnostné informácie z IT infraštruktúry v reálnom čase, vyhodnotiť rizikové bezpečnostné udalosti a pomáhať pri odhaľovaní incidentov, ktoré môžu ohroziť prevádzku informačných systémov SŠHR a tým obmedziť, prípadne znemožniť poskytovanie základných služieb.

Cieľom nasadenia riešenia IS SIEM je taktiež zavedenie centrálneho logovania udalostí informačných systémov, zariadení, sietí a všetkých security systémov, poskytovanie reportov o kritických kombináciách udalostí, ktoré by mohli mať nepriaznivý dopad na poskytovanie základných služieb a smerovať k zamedzeniu vzniku kybernetického bezpečnostného incidentu. V prípade vzniku kybernetického bezpečnostného incidentu má poskytovať  notifikáciu administrátorom systému o vzniknutom bezpečnostnom incidente ihneď po jeho zistení.

V rámci riešenia IS SIEM SŠHR SR požaduje pokrytie hlavne nasledovných požiadaviek/funkcionalít:

• Zber údajov a udalostí – zber prevádzkových a bezpečnostných údajov zo zariadení a informačných systémov verejného obstarávateľa, zabezpečenie vstupných dát a obohacovanie informácií.
• Monitoring – monitorovanie informačných systémov, infraštruktúry, používateľov, administrátorov, neobvyklého správania, možných bezpečnostných incidentov.
• Logovací systém (Log manažment) – zaznamenávanie a uchovávanie logov, auditných záznamov a ich následné spracovanie – integrácia riešenia Log manažmentu
• Korelačný systém – posudzovanie vzťahov medzi udalosťami a údajmi.
• Reporting – vytváranie reportov o aktivitách, činnosti a bezpečnostných stavoch v rámci monitorovanej infraštruktúry verejného obstarávateľa.

Aktualizácie metodík, vytvorenie a aktualizácia bezpečnostnej dokumentácie, vykonanie analýzy rizík a analýzy dopadov (AR/BIA), SDLC a BCM

Cieľom je aktualizácia dokumentov a metodických materiálov vytvorených v oblasti bezpečnosti informačných technológií verejnej správy pre minimálne bezpečnostné opatrenia kategórie III. v súlade so Zákonom č. 95/2019 Z. z. o ITVS a zároveň so Zákonom            č. 69/2018 Z. z. o KB a prislúchajúcich vyhlášok pre naplnenie legislatívnych požiadaviek na zvýšenie úrovne informačnej a kybernetickej bezpečnosti a ochrany IKT a sietí používaných v sektore VS.

Predmetom zákazky je poskytnutie a dodávka služieb v nasledovných oblastiach: 

• Vytvorenie a aktualizácia metodík a metodických usmernení v súlade so zákonom o KyB a ďalšími súvisiacimi zákonmi.
• Vytvorenie a aktualizácia bezpečnostnej dokumentácie pre kategóriu III podľa vyhlášky č. 179/2020 Z. z..
• Vykonanie analýzy rizík a analýzy dopadov (AR/BIA) v rámci SŠHR SR.
• Vytvorenie metodiky pre SSDLC
• Vytvorenie stratégie a plánov BCM

Penetračné testovanie

Penetračné testovanie, známe aj ako pen test, je autorizovaný a kontrolovaný proces simulovania kybernetického útoku na počítačový systém, sieť alebo webovú aplikáciu s cieľom identifikovať a opraviť bezpečnostné zraniteľnosti, ktoré by mohol zneužiť potenciálny útočník. Cieľom penetračného testovania je nasimulovať reálne útočné scenáre v bezpečnom a kontrolovanom prostredí, aby sa zistilo, ako ďaleko môže potenciálny útočník preniknúť do systému.

Audit kybernetickej bezpečnosti

Vykonanie auditu kybernetickej bezpečnosti podľa § 29 zákona č. 69/2018 Z. z. zahŕňa posúdenie stavu prijatia a dodržiavania všeobecných bezpečnostných opatrení vo forme úloh, procesov, rolí a technológií v organizačnej, personálnej a technickej rovine. Vykonanie auditu kybernetickej bezpečnosti Objednávateľa podľa zákona č.69/2018 v súlade s vyhláškou Národného bezpečnostného úradu č. 493/2022 Z. z. o audite kybernetickej bezpečnosti a znalostnom štandarde audítora (ďalej len „vyhláška o audite“) s cieľom overiť plnenie povinností podľa zákona a posúdiť zhodu prijatých bezpečnostných opatrení s požiadavkami podľa zákona a súvisiacich osobitných predpisov vzťahujúcich sa na bezpečnosť sietí a informačných systémov, s cieľom zabezpečiť požadovanú úroveň kybernetickej bezpečnosti a predchádzať kybernetickým bezpečnostným incidentom. Auditom sa identifikujú nedostatky pri zabezpečovaní kybernetickej bezpečnosti prevádzkovateľom informačných systémov verejnej správy s cieľom prijať opatrenia na ich odstránenie a nápravu a na predchádzanie kybernetickým bezpečnostným incidentom.

Bezpečnostná architektúra budúceho stavu bude v súlade s dotknutými právnymi normami a zároveň s technickými normami, ktoré stanovujú úroveň potrebnej bezpečnosti IS, pre manipuláciu so samotnými dátami, alebo technické / technologické / personálne zabezpečenie samotnej výpočtovej techniky/HW vybavenia. Ide najmä o:

• zákon č. 95/2019 Z.z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov
• zákon č. 69/2018 Z.z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov
• zákon č. 45/2011 Z.z. o kritickej infraštruktúre
• vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 78/2020 Z. z. o štandardoch pre informačné technológie verejnej správy
• vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 179/2020 Z. z., ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy
• vyhláška Úradu na ochranu osobných údajov Slovenskej republiky č. 158/2018 Z. z. o postupe pri posudzovaní vplyvu na ochranu osobných údajov
• nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov)
• zákon č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov.
• smernica Európskeho parlamentu a Rady (EÚ) (EÚ) 2022/2555 zo 14. decembra 2022 o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v Únii, ktorou sa mení nariadenie (EÚ) č. 910/2014 a smernica (EÚ) 2018/1972 a zrušuje smernica (EÚ) 2016/1148 (smernica NIS 2)
• zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov v znení neskorších predpisov (ďalej aj „zákon o kybernetickej bezpečnosti“),
• vyhláška Národného bezpečnostného úradu č. 164/2018 Z. z., ktorou sa určujú identifikačné kritériá prevádzkovanej služby (kritériá základnej služby),
• vyhláška Národného bezpečnostného úradu č. 165/2018 Z. z., ktorou sa určujú identifikačné kritériá pre jednotlivé kategórie závažných kybernetických bezpečnostných incidentov a podrobnosti hlásenia kybernetických bezpečnostných incidentov,
• vyhláška Národného bezpečnostného úradu č. 264/2023 Z. z. ktorou sa mení a dopĺňa vyhláška Národného bezpečnostného úradu č. 362/2018 Z. z., ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení,
• vyhláška Národného bezpečnostného úradu č. 493/2022 Z. z. o audite kybernetickej bezpečnosti,
• zákon č. 301/2023 Z. z. ktorým sa mení a dopĺňa zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov v znení neskorších predpisov a ktorým sa menia a dopĺňajú niektoré zákony,
• vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 78/2020 Z. z. o štandardoch pre informačné technológie verejnej správy,
• vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 179/2020, ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy,
• nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) – GDPR,
• zákon č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov v znení neskorších predpisov,
• Metodika analýzy rizík kybernetickej bezpečnosti - Metodika analýzy rizík pre uplatnenie v procesoch riadenia rizika v zmysle požiadaviek zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti (NBÚ)

Projektom sa zvyšuje úroveň kybernetickej a informačnej bezpečnosti nasadením resp. rozšírením nástrojov pre pokrytie kompletnej organizácie SŠHR SR a pre oblasti: sieťovej a komunikačnej bezpečnosti, kontinuity prevádzky, sieťovej a komunikačnej bezpečnosti, bezpečnosti pri prevádzke informačných systémov a sietí, zaznamenávaní udalostí a monitorovaní, riešení kybernetických bezpečnostných incidentov, hodnotení zraniteľností a bezpečnostné aktualizácie a ochrane proti škodlivému kódu.

Súčasťou projektu bude aktualizácia bezpečnostnej dokumentácie pre jednotlivé oblasti, ktorá vyplýva zo systému riadenia informačnej (a kybernetickej) bezpečnosti v súlade s vyhlášku Národného bezpečnostného úradu č. 362/2018 Z. z. ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení.

5.    Závislosti na ostatné ISVS / projekty

Predkladaný projekt nie je závislý na iných pripravovaných resp. prebiehajúcich projektoch.

6.    Zdrojové kódy

Projektom bude zvýšená úroveň kybernetickej a informačnej bezpečnosti, ktorý pozostáva z nákupu krabicových balíkov, ktoré budú dodávateľom nasadené do prevádzky. Vzhľadom na to, že predmetom nie je vývoj na mieru informačného systému je táto kapitola irelevantná.

7.    Prevádzka a údržba

Prevádzka a údržba navrhnutého riešenia projektu bude zabezpečená internými personálnymi kapacitami na úrovni podpory L1 až L3 (L3 externe). Pre hlásenie problémov bude využívaný Helpdesk. Predpoklad riešenia problémov a požiadaviek bude od nahlásenia problému alebo požiadavky prostredníctvom helpdesku (e-mailom, telefonicky, formulárom), identifikácia a preverenie problému/požiadavky, vykonanie opravy/podpory.

SŠHR SR v súčasnosti disponuje interným zamestnancom: Manažér kybernetickej a informačnej bezpečnosti.

7.1        Prevádzkové požiadavky

Prevádzkové požiadavky budú zabezpečené na úrovni podpory L1, L2 a L3.

7.1.1        Úrovne podpory používateľov

Help Desk bude realizovaný cez 3 úrovne podpory s nasledujúcim označením:

• L1 podpora - začiatočná úroveň podpory, ktorá je zodpovedná za riešenie základných problémov a požiadaviek koncových užívateľov a ďalšie služby vyžadujúce základnú úroveň technickej podpory. Základnou funkciou podpory 1. stupňa je zhromaždiť informácie, previesť základnú analýzu a určiť príčinu problému a jeho klasifikáciu. Typicky sú v úrovni L1 riešené priamočiare a jednoduché problémy a základné diagnostiky, overenie dostupnosti jednotlivých vrstiev infraštruktúry (sieťové, operačné, vizualizačné, aplikačné atď.) a základné užívateľské problémy (typicky zabudnutie hesla), overovanie nastavení SW a HW atď.
• L2 podpora - riešiteľské tímy s hlbšou technologickou znalosťou danej oblasti. Riešitelia na úrovni Podpory L2 nekomunikujú priamo s koncovým užívateľom, ale sú zodpovední za poskytovanie súčinnosti riešiteľom 1. úrovne podpory pri riešení eskalovaného hlásenia, čo mimo iného obsahuje aj spätnú kontrolu a podrobnejšiu analýzu zistených dát predaných riešiteľom 1. úrovne podpory. Výstupom takejto kontroly môže byť potvrdenie, upresnenie, alebo prehodnotenie hlásenia v závislosti na potrebách Objednávateľa. Primárnym cieľom riešiteľov na úrovni Podpory L2 je dostať Hlásenie čo najskôr pod kontrolu a následne ho vyriešiť - s možnosťou eskalácie na vyššiu úroveň podpory – Podpora L3.
• L3 podpora - Podpora 3. stupňa predstavuje najvyššiu úroveň podpory pre riešenie tých najobťažnejších hlásení, vrátane prevádzania hĺbkových analýz a riešenie extrémnych prípadov, ktorú bude zabezpečovať výrobca implementovaných nástrojov.

Prevádzka implementovaných nástrojov v rámci projektu L1 až L3 bude zabezpečená internými zamestnancami SŠHR SR. V prípade nevyhnutnej potreby bude zabezpečená L3 podpora výrobcu implementovaných nástrojov, ktorá bude financovaná z vlastných zdrojov SŠHR SR.

7.1.2        Riešenie incidentov – SLA parametre

Za incident je považovaná chyba IS, t.j. správanie sa v rozpore s prevádzkovou a používateľskou dokumentáciou IS. Za incident nie je považovaná chyba, ktorá nastala mimo prostredia IS napr. výpadok poskytovania konkrétnej služby Vládneho cloudu alebo komunikačnej infraštruktúry.

Označenie naliehavosti incidentu:

možný dopad:

• Výpočet priority incidentu je kombináciou dopadu a naliehavosti v súlade s best practices ITIL V3 uvedený v nasledovnej matici:

Vyžadované reakčné doby:

• (1) Reakčná doba je čas medzi nahlásením incidentu verejným obstarávateľom (vrátane užívateľov IS, ktorí nie sú v pracovnoprávnom vzťahu s verejným obstarávateľom) na helpdesk úrovne L3 a jeho prevzatím na riešenie.

• (2) DKVI znamená obnovenie štandardnej prevádzky - čas medzi nahlásením incidentu verejným obstarávateľom a vyriešením incidentu úspešným uchádzačom (do doby, kedy je funkčnosť prostredia znovu obnovená v plnom rozsahu). Doba konečného vyriešenia incidentu od nahlásenia incidentu verejným obstarávateľom (DKVI) sa počíta počas celého dňa. Do tejto doby sa nezarátava čas potrebný na nevyhnutnú súčinnosť verejného obstarávateľa, ak je potrebná pre vyriešenie incidentu. V prípade potreby je úspešný uchádzač oprávnený požadovať od verejného obstarávateľa schválenie riešenia incidentu.

• (3) Maximálny počet incidentov za kalendárny mesiac. Každá ďalšia chyba nad stanovený limit spoľahlivosti sa počíta ako začatý deň omeškania bez odstránenia vady alebo incidentu. Duplicitné alebo technicky súvisiace incidenty (zadané v rámci jedného pracovného dňa, počas pracovného času 8 hodín) sú považované ako jeden incident.

• (4) Incidenty nahlásené verejným obstarávateľom úspešnému uchádzačovi v rámci testovacieho prostredia

1. Majú prioritu 3 a nižšiu
2. Vzťahujú sa výhradne k dostupnosti testovacieho prostredia
3. Za incident na testovacom prostredí sa nepovažuje incident vztiahnutý k práve testovanej funkcionalite.

Vyššie uvedené SLA parametre nebudú použité pre nasledovné služby:

• Služby systémovej podpory na požiadanie (nad paušál)
• Služby realizácie aplikačných zmien vyplývajúcich z legislatívnych a metodických zmien (nad paušál)

Pre tieto služby budú dohodnuté osobitné parametre dodávky.

7.2        Požadovaná dostupnosť IS:

7.2.1        Dostupnosť (Availability)

Dostupnosť znamená, že dáta sú prístupné v okamihu jej potreby. Narušenie dostupnosti sa označuje ako nežiaduce zničenie (destruction) alebo nedostupnosť. Dostupnosť je zvyčajne vyjadrená ako percento času v danom období, obvykle za rok. V projekte sa uvažuje 97% dostupnosť znamená výpadok 10,95 dňa.

7.2.2        RTO (Recovery Time Objective)

V rámci projektu sa očakáva tradičné zálohovanie - výpadok a obnova trvá cca hodiny až dni.

7.2.3        RPO (Recovery Point Objective)

V rámci projektu sa očakáva tradičné zálohovanie - výpadok a obnova trvá cca hodiny až dni.

8.    Požiadavky na personál

Riadiaci výbor projektu tvorí predseda riadiaceho výboru projektu a vlastníci procesov alebo nimi poverení zástupcovia.

Riadiaci výbor sa riadi “Štatútom riadiaceho výboru”, ktorý je popísaný v dokumente Štatút RV projektu ako najvyšší riadiaci orgán na účely realizácie projektu na základe schválenej projektovej dokumentácie.

Štatút Riadiaceho výboru upravuje najmä jeho pôsobnosť, úlohy, zloženie, zasadnutie a hlasovanie. Členom riadiaceho výboru projektu môže byť aj zástupca dodávateľa. Väčšina členov riadiaceho výboru projektu s hlasovacím právom sú osoby navrhnuté objednávateľom a zastupujú záujmy objednávateľa. Riadiaci výbor projektu dozerá na hospodárnosť, efektívnosť a účelové využívanie finančných prostriedkov a môže prispôsobiť štandardy projektového riadenia na realizovaný projekt.

Riadiaci výbor má minimálne 5 členov, vrátane predsedu Riadiaceho výboru (ďalej len „predseda“) :

Riadiaci výbor projektu môžu tvoriť:

1. predseda Riadiaceho výboru projektu,
2. podpredseda Riadiaceho výboru projektu,
3. vlastník alebo vlastníci procesov SŠHR (biznis vlastník infraštruktúra) alebo nimi poverený zástupca alebo zástupcovia,
4. zástupcu kľúčových používateľov (end user),
5. zástupca za Dodávateľa v zmysle Zmluvy o Dielo s Dodávateľom.
6. projektový manažér prijímateľa.

Riadiaci výbor je riadený predsedom, ktorým je zástupca Objednávateľa. V prípade neprítomnosti predsedu na zasadnutí Riadiaceho výboru, predseda musí na toto konkrétne zasadnutie písomne delegovať svoju funkciu v rozsahu svojich práv a povinností formou splnomocnenia na zástupcu, ktorým môže byť aj iný člen Riadiaceho výboru s hlasovacím právom. Na rokovanie Riadiaceho výboru môžu byť v prípade potreby prizvaní aj iní účastníci tak zo strany Objednávateľa alebo za stranu Dodávateľa.

Riadiaci výbor zasadá pravidelne, spravidla raz za mesiac avšak najmenej jedenkrát za tri (3) po sebe nasledujúce kalendárne mesiace. Zasadnutie Riadiaceho výboru zvoláva predseda. Závery zo zasadnutia Riadiaceho výboru a jednotlivé body zo zasadnutia Riadiaceho výboru sa prijímajú súhlasným hlasovaním nadpolovičnej väčšiny prítomných členov Riadiaceho výboru s hlasovacím právom. Hlas predsedu má v prípade rovnosti hlasov hodnotu dvoch hlasov.

Hlavné dokumenty spojené s činnosťou Riadiaceho výboru sú program zasadnutia, pracovný materiál a záznam zo zasadnutia Riadiaceho výboru, ktorého prílohou musí byť aj prezenčná listina, prípadne aj písomné splnomocnenia členov Riadiaceho výboru.

Program zasadnutia a pracovné materiály Riadiaceho výboru distribuuje Asistent projektového manažéra na základe podkladov a inštrukcií predsedu alebo toho člena Riadiaceho výboru, ktorý požiadal o zasadnutie Riadiaceho výboru.

Asistent projektového manažéra zabezpečí ich distribúciu členom Riadiaceho výboru najneskôr 3 pracovné dni pred zasadnutím Riadiaceho výboru. Za vecnú správnosť distribuovaného materiálu zodpovedá člen Riadiaceho výboru, ktorý ho predkladá.

Riadiaci výbor zaniká ukončením plnohodnotnej implementácie projektu a jeho uvedením do produktívnej prevádzky. Zoznam členov Riadiaceho výboru je súčasťou dokumentu Komunikačná matica uloženom na zdieľanom projektovom úložisku.

Riadenie projektu zo strany Objednávateľa bude zabezpečené prostredníctvom Projektového manažéra a Finančného manažéra a bude trvať počas celej doby realizácie projektu. Bude pokrývať oblasť projektového riadenia (projektový manažment, celková koordinácia projektu, celkový dohľad nad vývojom dodávaného Diela, vrátane kvality), finančného riadenia a monitorovania realizácie projektu v zmysle riadenia podľa vyhlášky MIRRI č. 401/2023 Z. z. v platnom znení.

Projektový tím bude pozostávať z pozícií:

• Projektové role:
• Projektový manažér,
• Kľúčový používateľ,
• Manažér kybernetickej a informačnej bezpečnosti

• Ďalšie projektové role:
• Finančný manažér
• Asistent PM

V súlade s výzvou SŠHR SR zabezpečí, aby počas implementácie projektu a po jeho skončení (počas obdobia udržateľnosti) bol k dispozícii interný personál na obsluhu, prevádzku a rozvoj riešenia. Zároveň bude minimálne počas obdobia udržateľnosti zabezpečené financovanie tohto personálu zo zdrojov SŠHR SR.

Projektový manažér Objednávateľa bude zabezpečovať koordináciu projektových činností a manažment v súlade s metodikou PRINCE2 (hlavné dokumenty, priebežné manažérske výstupy, a pod.).

Projektový manažér Objednávateľa  bude riadiť, administratívne a organizačne zabezpečovať implementáciu projektu, komunikovať s  dodávateľmi, sledovať plnenie harmonogramu projektu a zabezpečovať dokumenty požadované MIRRI. Zároveň bude v spolupráci s projektovým manažérom dodávateľa koordinovať realizáciu hlavných aktivít, činností a úloh projektu.

Zodpovednosťou projektového manažéra je v spolupráci s finančným manažérom (objednávateľa) finančné riadenie projektu kontrolu rozpočtu projektu a jeho súlad s účtovnými dokladmi. Kontrolu podpornej účtovnej dokumentácie a poradenstvo pri definovaní oprávnených výdavkov bude zabezpečovať finančný manažér Objednávateľa.

Súčasťou projektového riadenia bude tiež operatívna projektová podpora zabezpečujúca administratívnu podporu pre písomnú komunikáciu, administratívne vedenie projektovej dokumentácie a prípravu podkladov pre členov projektového tímu, organizáciu stretnutí a pod.. V rámci aktivity budú taktiež zabezpečovaný manažment a hodnotenie kvality zo strany Objednávateľa.

RV je riadiaci orgán projektu, ktorý zodpovedá najmä za splnenie stanovených cieľov projektu, rozhoduje o zmenách, ktoré majú zásadný význam a prejavujú sa hlavne dopadom na časový harmonogram a finančné prostriedky projektu. Reprezentuje najvyššiu akceptačnú autoritu projektu. Štatút Riadiaceho výboru projektu upravuje najmä úlohy, zloženie a pôsobnosť RV, ako aj práva a povinnosti členov RV pri riadení a realizácii predmetného projektu.

Projektový manažér riadi projekt, kvalitu a riziká projektu a zabezpečuje plnenie úloh uložených RV. Členovia projektového tímu zabezpečujú plnenie úloh uložených projektovým manažérom, alebo RV.

Ďalšie povinnosti členov RV, projektového manažéra a členov projektového tímu sú uvedené vo Vyhláške č. 401/2023 Z. z. a v doplňujúcich vzoroch a šablónach zverejnených na webovom sídle MIRRI SR.

9.    Implementácia a preberanie výstupov projektu

Implementácia a preberanie výstupov projektu bude realizované v súlade s Vyhláškou Ministerstva investícií, regionálneho rozvoja a informatizácie Slovenskej republiky č. 401/2023 Z. z. o riadení projektov a zmenových požiadaviek v prevádzke informačných technológií verejnej správy v zmysle ustanovení podľa § 5 a nasledovných ustanovení.

10. Prílohy

Koniec dokumentu