projekt_2560_Pristup_k_projektu_detailny

V súlade s Vyhláškou č. 401/2023 Z.z. je dokument I-03 Prístup k projektu určený na rozpracovanie detailných informácií prípravy projektu z pohľadu aktuálneho stavu, budúceho stavu a navrhovaného riešenia.

119

120

Dokument Prístup k projektu v zmysle vyššie uvedenej vyhlášky obsahuje opis navrhovaného riešenia, architektúru riešenia projektu na úrovni biznis vrstvy, aplikačnej vrstvy, dátovej vrstvy, technologickej vrstvy, infraštruktúry navrhovaného riešenia, bezpečnostnej architektúry, špecifikáciu údajov spracovaných v projekte, čistenie údajov, prevádzku a údržbu výstupov projektu, prevádzkové požiadavky, požiadavky na zdrojové kódy. Dodávané riešenie musí byť v súlade so zákonom. Zároveň opisuje aj implementáciu projektu a preberanie výstupov projektu.

121

122

123

== {{id name="projekt_2560_Pristup_k_projektu_detailny-2.1Použitéskratkyapojmy"/}}2.1 Použité skratky a pojmy ==

|(((

**ID**

)))|(((

**SKRATKA**

)))|(((

**POPIS**

)))

|(((

1.

)))|(((

API

)))|(((

Application programming interface

)))

|(((

2.

)))|(((

BPMN

)))|(((

Business Process Model and Notation

)))

|(((

3.

)))|(((

CSRÚ

)))|(((

Centrálna správa referenčných údajov

)))

|(((

4.

)))|(((

DevOps

)))|(((

Je skrátený názov pre developer, security alebo aj automatizovaný devops ako súbor procesov medzi vývojom a prevádzkou, skratka z developer operations. Vysvetlenie detail viď [[https:~~/~~/en.wikipedia.org/wiki/DevOps>>url:https://en.wikipedia.org/wiki/DevOps||shape="rect"]]

)))

|(((

5.

)))|(((

DMS

)))|(((

Document management system

)))

|(((

6.

)))|(((

EDR

)))|(((

Endpoint Detection and Response

)))

|(((

7.

)))|(((

EÚ

)))|(((

Európska únia

)))

|(((

8..

)))|(((

HW

)))|(((

Hardware

)))

|(((

9.

)))|(((

HLD

)))|(((

High level dizajn – vysokoúrovňový dizajn napr architektúru, bezpečnosť

)))

|(((

10.

)))|(((

IaaS

)))|(((

Infrastructure as a service

)))

|(((

11.

)))|(((

IAM

)))|(((

Identity and Access Management

)))

|(((

12.

)))|(((

IKT

)))|(((

Informačno-komunikačné technológie

)))

|(((

13.

)))|(((

IS

)))|(((

Informačný systém

)))

|(((

14.

)))|(((

IS VS

)))|(((

Informačný systém verejnej správy

)))

|(((

15.

)))|(((

KPI

)))|(((

Key performance indicator – Kľúčové indikátory, prostredníctvom ktorých sa meria naplnenie cieľov projektu.

)))

|(((

16.

)))|(((

LLD

)))|(((

Low level dizajn – nízkoúrovňový dizajn napr. pre architektúru, bezpečnosť. Obsahuje detailné dizajny až na úrovní nastavení parametrov

)))

|(((

17.

)))|(((

MDM

)))|(((

Mobile devicemanagement

)))

|(((

18.

)))|(((

MIRRI

)))|(((

Ministerstvo investícií, regionálneho rozvoja a informatizácie Slovenskej republiky

)))

|(((

19.

)))|(((

MV SR

)))|(((

Ministerstvo vnútra SR

)))

|(((

20.

)))|(((

NKIVS

)))|(((

Národná koncepcia informatizácie verejnej správy

)))

|(((

21.

)))|(((

OOÚ

)))|(((

Ochrana osobných údajov

)))

|(((

22.

)))|(((

PO

)))|(((

Plán obnovy a odolnosti

)))

|(((

23.

)))|(((

OVM

)))|(((

Orgán verejnej moci

)))

|(((

24.

)))|(((

PaaS

)))|(((

Platform as a service

)))

|(((

25.

)))|(((

PILOT

)))|(((

PILOT - Prevádzka riešenia na vybraných aktéroch na produkčnom prostredí.

)))

|(((

26.

)))|(((

PoC

)))|(((

PoC - Implementovaný prototyp riešenia nasadený do produkčnej prevádzky a overený E2E testami minimálne s využitím mockov

)))

|(((

27.

)))|(((

PR

)))|(((

Projektové riadenie

)))

|(((

28.

)))|(((

ROLLOUT

)))|(((

ROLLOUT - Postupné pripájanie ostatných aktérov na produkčnom prostredí.

)))

|(((

29.

)))|(((

RFO

)))|(((

Register fyzických osôb

)))

|(((

30.

)))|(((

RPO

)))|(((

Register právnických osôb

)))

|(((

31.

)))|(((

SDL

)))|(((

Security development lifecycle

)))

|(((

32.

)))|(((

SFTP

)))|(((

SSH File Transfer Protocol

)))

|(((

33.

)))|(((

SLA

)))|(((

Service level agreement

)))

|(((

34.

)))|(((

SOAP

)))|(((

Simple Object Access Protocol

)))

|(((

35.

)))|(((

SOAR

)))|(((

Security orchestration, automation and response

)))

|(((

36.

)))|(((

SR

)))|(((

Slovenská republika

)))

|(((

37.

)))|(((

SŠHR SR

)))|(((

Správa štátnych hmotných rezerv Slovenskej republiky

)))

|(((

38.

)))|(((

ŠÚ SR

)))|(((

Štatistický úrad Slovenskej republiky

)))

|(((

39.

)))|(((

VÚC

)))|(((

Vyšší územný celok alebo iný povoľovací orgán

)))

= {{id name="projekt_2560_Pristup_k_projektu_detailny-3.Popisnavrhovanéhoriešenia"/}}3. Popis navrhovaného riešenia =

410

411

412

Predmetom projektu je zvýšenie úrovne kybernetickej a informačnej bezpečnosti na Správa štátnych hmotných rezerv Slovenskej republiky (ďalej len „SŠHR SR“). Kybernetická bezpečnosť je z pohľadu architektúry prierezovou oblasťou a teda realizuje sa skrz všetky vrstvy architektúry.

413

414

Na úrovni biznis vrstvy architektúry je to predovšetkým aktualizácia bezpečnostnej dokumentácie vrátane jej zavedenia do praxe:

415

416

* Aktualizácia bezpečnostnej dokumentácie na základe zistení z realizovaného bezpečnostného auditu.

417

* Aktualizácia bezpečnostnej stratégie kybernetickej bezpečnosti.

418

* Vytvorenie a aktualizácia bezpečnostných politík kybernetickej bezpečnosti.

419

* Vykonanie inventarizácie aktív, klasifikácie informácií a kategorizácie sietí a informačných systémov.

420

* Vykonanie analýzy rizík a analýzy dopadov vrátane riadenia rizík.

421

* Zavedenie BCM a SDLC procesov do prevádzky úradu

422

423

Na úrovni aplikačnej a technologickej vrstve architektúry bude zabezpečené:

424

425

* Zavedenie a implementácia centrálneho nástroja pre zber a analýzu bezpečnostných udalostí (SIEM) a zaznamenávanie udalostí a monitorovanie sietí (Log manažment systém)

426

* Implementácia automatizovaného nástroja na identifikáciu neoprávnených sieťových spojení na hranici s vonkajšou sieťou, na blokovanie neoprávnených spojení, na monitorovanie bezpečnosti, na detekciu prienikov a prevenciu prienikov identifikáciou nezvyčajných mechanizmov útokov alebo proaktívneho blokovania škodlivej sieťovej prevádzky a ďalších povinností alebo vo forme funkcionalít, prípadne licencií iných už existujúcich nástrojov.

427

* Obstaranie služby monitorovania a analyzovania udalostí v sieťach a informačných systémoch vrátane detekcie, zberu relevantných informácií, vyhodnocovania a riešenia zistených kybernetických bezpečnostných incidentoch a vykonávania napr. forenzných analýz v snahe minimalizovať výskyt a dopad kybernetických bezpečnostných incidentov.

428

* Implementácia nástroja na detekciu, nástroja na zber a nepretržité vyhodnocovanie a evidenciu kybernetických bezpečnostných udalostí.

429

430

431

= {{id name="projekt_2560_Pristup_k_projektu_detailny-4.Architektúrariešeniaprojektu"/}}4. Architektúra riešenia projektu =

432

433

Architektúra riešenia projektu je spracovaná v súlade s hlavnými cieľmi motivačnej architektúry. Architektúra riešenia projektu je ďalej rozpracovaná na úrovni biznis vrstvy, aplikačnej vrstvy, technologickej vrstvy a bezpečnostnej vrstvy.

434

435

436

== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.1Biznisvrstva"/}}4.1 Biznis vrstva ==

437

438

439

**Biznis vrstva – súčasný stav:**

440

441

Správa štátnych hmotných rezerv SR má nezastupiteľné postavenie pri zabezpečovaní stability v Slovenskej republike a aktívne participuje pri riešení hrozieb energetickej a potravinovej krízy, povodní, požiarov, epidémií a pandémií, kalamít, či už snehových alebo veterných, a ďalších živelných pohrôm či prírodných katastrof, ktoré dokážu veľmi rýchlo a najmä nečakane spôsobiť rozsiahle škody.

442

443

444

V súvislosti s vývojom bezpečnostnej situácie v SR a vo svete sme však svedkami stále nových krízových situácií rôznych rozmerov. Ozbrojené konflikty, aktivity radikálnych združení, hrozby v kybernetickom priestore, v oblasti energetickej bezpečnosti, vývoj migrácie a ďalšie faktory sú dôvodom komplikovanej predvídateľnosti vývoja procesov vplývajúcich na bezpečnosť SR a jej obyvateľov. Vzhľadom na vysokú dynamiku ekonomických, sociálnych, vojenských, informačných, klimatických a geopolitických zmien v Európe a vo svete čelí SŠHR novým výzvam pri zabezpečovaní dostupnosti, kvality, dostatočného množstva a použiteľnosti štátnych hmotných rezerv (ďalej ŠHR) v danom čase a mieste.

445

446

447

Otázka potenciálnych hrozieb a ich eliminácie je každým dňom súčasnej politicko-geografickej a environmentálnej reality aktuálnejšia. Poslanie SŠHR SR v oblasti zabezpečovania ŠHR je výhradné a nezastupiteľné a zahŕňa aj činnosti či procesy, ktoré podliehajú istému stupňu utajenia. SŠHR SR v rámci svojich pôsobností vymedzených zákonom č. 372/2012 Z. z. o štátnych hmotných rezervách a o doplnení zákona č. 25/2007 Z. z. o elektronickom výbere mýta za užívanie vymedzených úsekov pozemných komunikácií a o zmene a doplnení niektorých zákonov v znení neskorších predpisov a zákonom č. 218/2013 Z.z. o núdzových zásobách ropy a ropných výrobkov a o riešení stavu ropnej núdze a o zmene a doplnení niektorých zákonov:

448

449

450

* Hlavnou úlohou SŠHR je poskytnutie pomoci a podpory (materiálnej pomoci vo forme jednotlivých druhov štátnych hmotných rezerv počas krízových situácií a mimoriadnych udalostí.

451

* Prioritou SŠHR SR je neustále zvyšovať úroveň zabezpečenia krajiny a obyvateľov žijúcich na jej území a ochrany záujmov SR.

452

* Jednou z hlavných úloh SŠHR je aktívne sa podieľať na príprave na riešenie krízových situácií a mimoriadnych udalostí tak, aby v okamihu vzniku týchto situácií mohla poskytnúť efektívnu, bezodplatnú a hlavne bezodkladnú pomoc tým, ktorí ju v danej chvíli potrebujú.

453

* SŠHR SR je výhradným odborným, administratívnym, logistickým a správnym garantom pre oblasť správy a použitia štátnych hmotných rezerv pri zabezpečovaní potravinovej, energetickej a ďalšej bezpečnosti obyvateľstva SR.

454

* SŠHR SR je zákonom poverenou inštitúciou zodpovednou za tvorbu, hospodárenie a kontrolu ŠHR, za ich rozmiestňovanie a pripravenosť na použitie.

455

* ŠHR sú kľúčovou zložkou pre materiálne zabezpečenie ochrany hospodárstva SR.

456

457

458

**Zákon č. 372/2012 Z. z. o štátnych hmotných rezervách:**

459

460

461

* na ochranu ekonomiky, na riešenie krízovej situácie, mimoriadnej udalosti, III. stupňa povodňovej aktivity,

462

* na riešenie stavu núdze v energetike, stavu ropnej núdze,

463

* na zabezpečenie potravinovej bezpečnosti štátu,

464

* pre potreby OS SR, na účely poskytovania humanitárnej pomoci SR, pre zložky IZS.

465

466

V rámci poskytovaných služieb poskytuje služby prostredníctvom rôznych prístupových kanálov: elektronicky, listinne, osobne ako aj telefonicky. Pre poskytované služby SŠHR SR poskytuje a realizuje viaceré biznis funkcie, kde v rámci tohto projektu je primárne relevantná biznis funkcia **Bezpečnosť**.

467

468

SŠHR SR ako prevádzkovateľ základnej služby zapísanej v registri prevádzkovateľov základných služieb má povinnosti, ktoré vyplývajú zo zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov (ďalej len „ZoKB“). Medzi základné povinnosti je prijatie a dodržiavanie všeobecných bezpečnostných opatrení pre nasledovné oblasti:

469

470

* organizácie kybernetickej bezpečnosti a informačnej bezpečnosti,

471

* riadenia rizík kybernetickej bezpečnosti a informačnej bezpečnosti,

472

* personálnej bezpečnosti,

473

* riadenia prístupov,

474

* riadenia kybernetickej bezpečnosti a informačnej bezpečnosti vo vzťahoch s tretími stranami,

475

* bezpečnosti pri prevádzke informačných systémov a sietí,

476

* hodnotenia zraniteľností a bezpečnostných aktualizácií,

477

* ochrany proti škodlivému kódu,

478

* sieťovej a komunikačnej bezpečnosti,

479

* akvizície, vývoja a údržby informačných sietí a informačných systémov,

480

* zaznamenávania udalostí a monitorovania,

481

* fyzickej bezpečnosti a bezpečnosti prostredia,

482

* riešenia kybernetických bezpečnostných incidentov,

483

* kryptografických opatrení,

484

* kontinuity prevádzky,

485

* auditu, riadenia súladu a kontrolných činností.

486

487

Tieto bezpečnostné opatrenia sa prijímajú a realizujú na základe schválenej bezpečnostnej dokumentácie, ktorá musí byť aktuálna a musí zodpovedať reálnemu stavu. SŠHR SR je povinná preveriť účinnosť prijatých bezpečnostných opatrení a plnenie požiadaviek stanovených zákonom vykonaním auditu kybernetickej bezpečnosti v stanovenom rozsahu.

488

489

V súlade s § 29 ZoKB prebiehal na SŠHR SR v období od 19.10.2023 do 24.10.2023 audit kybernetickej bezpečnosti. Dňa 23.11.2023 bola SŠHR SR odovzdaná finálna verzia záverečnej správy o výsledkoch auditu. V súlade s § 29 ods. 5 SŠHR SR ako prevádzkovateľ základnej služby v zákonom stanovenej lehote zaslala záverečnú správu o výsledkoch auditu NBÚ spolu s opatreniami na nápravu a s lehotami na ich odstránenie. Konkrétne sa jedná o vybrané opatrenia, ktoré budú realizované týmto projektom:

490

491

* Potreba implementácie HW a SW časti bezpečnosti siete a implementácie sieťovej a komunikačnej bezpečnosti siete (dodávka firewallov a nástroja na ich manažovanie)

492

* Potreba riešenia problému absentujúceho **systému pre zber a analýzu bezpečnostných udalostí (SIEM)**

493

* Potreba riešenia problému absentujúceho **systému pre zaznamenávanie udalostí a monitorovanie sietí (Log manažment systém)**

494

* Potreba riešenia problému absentujúceho **systému pre ochranu proti škodlivému kódu (Dodanie a implementácia EDR)**

495

* **Aktualizácie metodík, vytvorenie a aktualizácia bezpečnostnej dokumentácie, vykonanie analýzy rizík a analýzy dopadov (AR/BIA), SDLC a BCM**

496

497

* Audit a kontrolné činnosti - obstaranie externých testov zraniteľností, penetračných testov a pod. (**Penetračné testovanie**)

498

* Financovanie nákladov spojených s **auditom kybernetickej bezpečnosti** podľa § 29 zákon č. 69/2018 Z. z.

499

* Potreba zabezpečiť kontinuitu prevádzky, t.j. je potrebné **zabezpečiť riadenie kontinuity kybernetickej bezpečnosti**

500

501

Medzi jedným zo zistených nedostatkov bola neaktuálna bezpečnostná dokumentácia, resp. nedostatočná bezpečnostná dokumentácia, ktorú je potrebné aktualizovať predovšetkým pre oblasti:

502

503

* Riadenie prístupov (§8 ods. 1 až 4 Vyhlášky č. 362/2018 Z. z)

504

* Ochrana proti škodlivému kódu (§12 ods. 1 písm. b) Vyhlášky č. 362/2018 Z. z)

505

* Sieťová a komunikačná bezpečnosť (§13 písm. a), c) Vyhlášky č. 362/2018 Z. z)

506

* Kontinuita prevádzky (§17b ods. 3 Vyhlášky č. 362/2018 Z. z)

507

508

Aktualizácia bezpečnostnej dokumentácie má byť vykonaná vždy pri každej podstatnej zmene.

509

510

V rámci kategorizácií aktív z pohľadu dôvernosti bol vyhodnotený dopad prípadného kybernetického incidentu (najhoršieho možného scenára a dopadov na SŠHR SR podľa § 24 ods. 2, písm. a) až e) ZoKB v závislosti od kategórie bezpečnostného incidentu nasledovne:

511

512

* 24 ods. 2 písm. a) zákona - **Kategória III.**

513

* 24 ods. 2 písm. b) a c) zákona - **Kategória III.**

514

* 24 ods. 2 písm. d) zákona - **Kategória III.**

515

* 24 ods. 2 písm. e) zákona - **Kategória III.**

516

517

518

[[image:attach:Obrázok3.png||width="750"]]

519

520

521

Obrázok 1: Model biznis architektúry (vychádza zo strategickej architektúry VS) – ASIS

522

523

**Biznis vrstva – budúci stav:**

524

525

SŠHR SR identifikovala najvyššiu mieru rizika a najvyššie dopady kybernetických incidentov v nasledovných oblastiach. Tieto oblasti mali aj najvyššiu mieru nesúladu s legislatívnymi požiadavkami z vykonaného auditu kybernetickej bezpečnosti.

526

527

V rámci projektu SŠHR SR bude realizovať nasledovné podaktivity v súlade s oprávnenými činnosťami uvedenými vo výzve.

528

529

|(((

530

**Názov podaktivity**

531

)))|(((

532

**Realizované činnosti**

533

)))

534

|(((

535

Organizácia kybernetickej a informačnej bezpečnosti

536

)))|(((

537

* Vypracovanie alebo aktualizácia bezpečnostnej dokumentácie vrátane rozsahu a spôsobu plnenia všeobecných bezpečnostných opatrení.

)))

|(((

Riadenie rizík

)))|(((

* Identifikácia všetkých aktív súvisiacich so zariadeniami na spracovanie informácií a centrálne zaznamenávanie inventáru týchto aktív podľa ich hodnoty vrátane určenia ich vlastníka, ktorý definuje požiadavky na ich dôvernosť, dostupnosť a integritu.

543

* Riadenie rizík pozostávajúce z identifikácie zraniteľností, identifikácie hrozieb, identifikácie a analýzy rizík s ohľadom na aktívum, určenie vlastníka rizika, implementácie organizačných a technických bezpečnostných opatrení, analýzy funkčného dopadu a pravidelného preskúmavania identifikovaných rizík v závislosti od aktualizácie prijatých bezpečnostných opatrení.

)))

|(((

Kontinuita prevádzky

)))|(((

* Vypracovanie stratégie a krízových plánov prevádzky na základe analýzy vplyvov kybernetického bezpečnostného incidentu na základnú službu. Vypracovanie plánov kontinuity prevádzky a ich prvotné otestovanie v reálnom prostredí organizácie a zapracovanie nedostatkov z výsledkov testovania. Vypracovanie interného riadiaceho aktu obsahujúceho a upravujúceho kontinuitu prevádzky následkom kybernetického bezpečnostného incidentu alebo inej krízovej situácie. Vypracovanie postupov zálohovania na obnovu siete a informačného systému po jeho narušení alebo zlyhaní v dôsledku kybernetického bezpečnostného incidentu alebo inej krízovej situácie.

549

)))

550

|(((

551

Riešenie kybernetických bezpečnostných incidentov

552

)))|(((

553

* Implementácia centrálneho nástroja na zaznamenávanie činností sietí a informačných systémov a používateľov a identifikovanie bezpečnostných incidentov (SIEM). Obstaranie služby monitorovania a analyzovania udalostí v sieťach a informačných systémoch vrátane detekcie, zberu relevantných informácií, vyhodnocovania a riešenia zistených kybernetických bezpečnostných incidentoch v snahe minimalizovať výskyt a dopad kybernetických bezpečnostných incidentov. Implementácia nástroja na detekciu, nástroja na zber a nepretržité vyhodnocovanie a evidenciu kybernetických bezpečnostných udalostí.

554

)))

555

|(((

556

Riadenie kybernetickej a informačnej bezpečnosti vo vzťahoch s tretími stranami

557

)))|(((

558

* Vypracovanie analýzy rizík tretích strán a celého dodávateľského reťazca.

559

)))

560

|(((

561

Zaznamenávanie udalostí a monitorovanie

562

)))|(((

563

* Implementácia centrálneho Log manažment systému pre zber a ukladanie logov z jednotlivých informačných systémov. Vypracovanie dokumentácie spôsobu monitorovania a fungovania Log manažment systému a centrálneho nástroja na bezpečnostné monitorovanie a zadefinovanie spôsobu evidencie prevádzkových záznamov, ich vyhodnocovania, spôsobu hlásenia podozrivej aktivity, zodpovednej osoby a ďalších povinností.

564

)))

565

|(((

566

Audit a kontrolné činnosti

567

)))|(((

568

* Obstaranie prvého alebo opakovaného auditu kybernetickej bezpečnosti v súlade so zákonom o KB.

569

* Obstaranie externých testov hodnotenia zraniteľností a penetračných testov.

570

)))

571

|(((

572

Sieťová a komunikačná bezpečnosť

573

)))|(((

574

* Implementácia automatizovaného nástroja na identifikáciu neoprávnených sieťových spojení na hranici s vonkajšou sieťou, na blokovanie neoprávnených spojení, na monitorovanie bezpečnosti, na detekciu prienikov a prevenciu prienikov identifikáciou nezvyčajných mechanizmov útokov alebo proaktívneho blokovania škodlivej sieťovej prevádzky a ďalších povinností alebo vo forme funkcionalít, prípadne licencií iných už existujúcich nástrojov.

)))

**~ **

**~ **

**Sieťová a komunikačná bezpečnosť**

582

583

SŠHR v rámci riadenia prístupu k sieti požaduje návrh a dodanie riešenia a dodávku potrebných SW komponentov, resp. licencií a odborných služieb pre nasadenie NGFW do počítačovej siete v IT prostredí SŠHR SR. Riešenie musí pokrývať minimálne nasledovný rozsah zariadení a lokalít:

584

585

Nasadenie na nasledovných pracoviskách:

586

587

* Dátové centrum v lokalite Bratislava vo vysokej dostupnosti NGFW cluster (Ústredie SŠHR SR)

588

* 4 špecializované strediská správy rezerv

589

590

Zariadenia umiestnené v týchto lokalitách:

591

592

* 250 koncových staníc a zariadení

**Riešenie pre zber a analýzu bezpečnostných udalostí**

597

598

Cieľom projektu je zabezpečenie správy auditných záznamov (LOG manager) v infraštruktúre IKT SŠHR SR. Projekt implementuje centrálne úložisko pre zber a analýzu logov. Systém musí byť schopný zhromažďovať prevádzkové dáta zo všetkých dôležitých systémov na jednom mieste s možnosťou ich dlhodobého uchovávania. Toto umožní IT a bezpečnostným operátorom získavať informácie o bezpečnostných incidentoch, prevádzkových stavoch a prípadných chybách v IT v reálnom čase. Systém umožní generovanie reportov o aktivitách systémov i užívateľov, vrátane auditných reportov s definovateľným obsahom. Systém LM umožní prehľadávanie logov prostredníctvom integrovaného grafického rozhrania s preddefinovanými pravidlami pre rýchle vyhľadávanie. Systém bude umožňovať sledovanie správania užívateľov a systémov s upozornením na pravidlá a to na základe limitov alebo korelácií udalostí nastavených administrátorom. Cieľom je vytvoriť jednotné úložisko logov s pokročilými nástrojmi pre analýzu a upozorňovanie, prístupné iba autorizovaným pracovníkom. Nevyhnutnou nutnosťou je zabezpečenie, aby logy nebolo možné modifikovať zo strany administrátorov alebo užívateľov. Systém by mal ďalej umožňovať jednoduchú klasifikáciu dát, tvorbu užívateľsky definovaných parserov, filtrov, upozornení a korelácií v ľahko pochopiteľnom grafickom rozhraní bez potreby programátorských znalostí.

**~ **

**~ **

**Riešenie pre zaznamenávanie udalostí a monitorovanie sietí**

605

606

Súčasťou projektu je dodanie a implementácia riešenia SIEM. IS SIEM má pokryť zber, správu a inteligentnú interpretáciu udalostí v IT infraštruktúre, poskytnúť centralizovaný pohľad na všetky relevantné bezpečnostné informácie z IT infraštruktúry v reálnom čase, vyhodnotiť rizikové bezpečnostné udalosti a pomáhať pri odhaľovaní incidentov, ktoré môžu ohroziť prevádzku informačných systémov SŠHR a tým obmedziť, prípadne znemožniť poskytovanie základných služieb. Cieľom nasadenia riešenia IS SIEM je taktiež zavedenie centrálneho logovania udalostí informačných systémov, zariadení, sietí a všetkých security systémov, poskytovanie reportov o kritických kombináciách udalostí, ktoré by mohli mať nepriaznivý dopad na poskytovanie základných služieb a smerovať k zamedzeniu vzniku kybernetického bezpečnostného incidentu. V prípade vzniku kybernetického bezpečnostného incidentu má poskytovať notifikáciu administrátorom systému o vzniknutom bezpečnostnom incidente ihneď po jeho zistení.

**Riešenie kybernetických bezpečnostných incidentov**

611

612

Predmetom projektu je nasadenie produktového balíka bezpečnostných riešení na ochranu koncových pracovných staníc, notebookov a serverov, ktorý obsahuje viacvrstvovú antivírusovú ochranu, technológiu automatickej analýzy podozrivých súborov v cloudovom sandboxe výrobcu, pokročilú vrstvu ochrany v podobe nástroja na detekciu a reakciu, šifrovanie celých diskov a možnosť prevádzkovať jednotnú management konzolu na správu týchto riešení v cloudovom nasadení alebo lokálnom (on-prem) nasadení podľa voľby SŠHR SR za účelom zvýšenia kybernetickej bezpečnosti. Všetky implementované nástroje musia byť nasadené a dodané v najnovšej verzií s prístupom k aktualizačným balíčkom. Bez prístupu k najnovšej verzií, k najnovším balíčkom, najnovšej antivírusovej databáze a najnovším bezpečnostným záplatám dodané nástroje neplnia základnú bezpečnostnú funkciu na čo boli vytvorené a projektom dodané. Z tohto hľadiska sa nejedná o podporu prevádzky existujúceho riešenia.

613

614

[[image:attach:Obrázok4.png||width="750"]]

615

616

Obrázok 2: Model biznis architektúry (vychádza zo strategickej architektúry VS) – TO BE

617

618

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.1.1Prehľadkoncovýchslužieb–budúcistav:"/}}4.1.1 Prehľad koncových služieb – budúci stav: ===

619

620

621

Projektom nie sú budované žiadne nové koncové služby. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci SŠHR SR. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

622

623

624

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.1.2Jazykovápodporaalokalizácia"/}}4.1.2 Jazyková podpora a lokalizácia ===

625

626

Požiadavky na jazykovú lokalizáciu riešenia a používateľské prostredie služieb bude implementované v slovenskom jazyku//.//

627

628

629

== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.2Aplikačnávrstva"/}}4.2 Aplikačná vrstva ==

630

631

Aplikačná vrstva SŠHR SR pozostáva z viacerých informačných systémov podporujúcich výkon funkcií a činností definovaných na úrovni biznis architektúry. Je rozdelené primárne do nasledujúcich oblastí.

632

633

**Moduly front-endu**: predstavujú špecifické, najmä rezortné komponenty pre interakciu s používateľmi, čiže komponenty, ktoré nie sú spoločné a zdieľané viacerými inštitúciami (napr. rezortné portály).

634

635

**Externé systémy**: externé systémy integrované so systémami SŠHR SR

636

637

**Spoločné moduly front-endu**: združujú spoločné komponenty, ktoré riešia interakciu s používateľmi (občanmi, podnikateľmi a zamestnancami verejnej správy)

638

639

**Integrácia a orchestrácia**: rieši integráciu a vzájomnú interoperabilitu informačných systémov verejnej správy SR na úrovni aplikačnej a dátovej integrácie a zabezpečuje služby orchestrácie najmä pre životné situácie.

640

641

**Agendové informačné systémy**: podporujú výkon konkrétnej agendy a realizujú kľúčové aplikačné služby.

642

643

**Moduly back-endu**: predstavujú špecifické, najmä rezortné komponenty pre podporu špecifických back office činností, čiže komponenty, ktoré nie sú spoločné a zdieľané viacerými organizáciami. Tu patria aj nástroje pre kybernetickú a informačnú bezpečnosť.

644

645

[[image:attach:Obrázok6.png||width="750"]]

646

647

Obrázok 3: Aplikačná architektúra budúceho stavu

**~ **

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.2.1Rozsahinformačnýchsystémov–ASIS"/}}4.2.1 Rozsah informačných systémov – AS IS ===

652

653

Nie je relevantné pre projekt. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

654

655

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.2.2Rozsahinformačnýchsystémov–TOBE"/}}4.2.2 Rozsah informačných systémov – TO BE ===

// //

Nie je relevantné pre projekt. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

660

661

662

V rámci projektu budú implementované nové nástroje pre zvýšenie úrovne kybernetickej a informačnej bezpečnosti.

663

664

665

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.2.3VyužívanienadrezortnýchaspoločnýchISVS–ASIS"/}}4.2.3 Využívanie nadrezortných a spoločných ISVS – AS IS ===

666

667

668

Nie je relevantné pre projekt. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

669

670

671

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.2.4PrehľadplánovanýchintegráciíISVSnanadrezortnéISVS–spoločnémodulypodľazákonač.305/2013e-Governmente–TOBE"/}}4.2.4 Prehľad plánovaných integrácií ISVS na nadrezortné ISVS – spoločné moduly podľa zákona č. 305/2013 e-Governmente – TO BE ===

672

673

Nie je relevantné pre projekt. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

674

675

676

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.2.5PrehľadplánovanéhovyužívaniainýchISVS(integrácie)–TOBE"/}}4.2.5 Prehľad plánovaného využívania iných ISVS (integrácie) – TO BE ===

677

678

Nie je relevantné pre projekt. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

679

680

681

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.2.6Aplikačnéslužbyprerealizáciukoncovýchslužieb–TOBE"/}}4.2.6 Aplikačné služby pre realizáciu koncových služieb – TO BE ===

682

683

Nie je relevantné pre projekt. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

684

685

686

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.2.7Aplikačnéslužbynaintegráciu–TOBE"/}}4.2.7 Aplikačné služby na integráciu – TO BE ===

687

688

Nie je relevantné pre projekt. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

689

690

691

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.2.8PoskytovanieúdajovzISVSdoISCSRÚ–TOBE"/}}4.2.8 Poskytovanie údajov z ISVS do IS CSRÚ – TO BE ===

692

693

Projektom nie je plánované poskytovanie údajov do IS CSRÚ. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

694

695

696

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.2.9KonzumovanieúdajovzISCSRU–TOBE"/}}4.2.9 Konzumovanie údajov z IS CSRU – TO BE ===

697

698

Nie je relevantné pre projekt. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

699

700

701

== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.3Dátovávrstva"/}}4.3 Dátová vrstva ==

702

703

704

Nie je relevantné pre projekt. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

705

706

707

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.3.1Údajevspráveorganizácie"/}}4.3.1 Údaje v správe organizácie ===

708

709

Zavedenie systematického manažmentu údajov nie je predmetom navrhovaného projektu. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

710

711

712

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.3.2Dátovýrozsahprojektu-Prehľadobjektovevidencie-TOBE"/}}4.3.2 Dátový rozsah projektu - Prehľad objektov evidencie - TO BE ===

713

714

Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

715

716

717

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.3.3Referenčnéúdaje"/}}4.3.3 Referenčné údaje ===

718

719

Projektom nie sú plánované žiadne nové referenčné údaje ani údaje, ktoré je možné vyhlásiť za referenčné. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

720

721

722

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.3.4Kvalitaačistenieúdajov"/}}4.3.4 Kvalita a čistenie údajov ===

723

724

Cieľom projektu nie je systematický manažment údajov z hľadiska citlivosti kvality údajov a čistenia údajov. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

725

726

727

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.3.5Otvorenéúdaje"/}}4.3.5 Otvorené údaje ===

728

729

Nie je relevantné pre projekt, nebudú poskytované žiadne nové Otvorené údaje. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

730

731

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.3.6Analytickéúdaje"/}}4.3.6 Analytické údaje ===

732

733

Nie je relevantné pre projekt, nebudú poskytované žiadne nové Analytické údaje. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

734

735

736

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.3.7Mojeúdaje"/}}4.3.7 Moje údaje ===

737

738

Nie je relevantné pre projekt, nebudú poskytované žiadne nové Moje údaje. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

739

740

741

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.3.8Prehľadjednotlivýchkategóriíúdajov"/}}4.3.8 Prehľad jednotlivých kategórií údajov ===

742

743

Projekt nie je zameraný na systematický manažment údajov, nemení štruktúru ani obsah údajov. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

744

745

746

== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.4Technologickávrstva"/}}4.4 Technologická vrstva ==

747

748

749

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.4.1Prehľadtechnologickéhostavu-ASIS"/}}4.4.1 Prehľad technologického stavu - AS IS ===

750

751

Pripojenie celej sieťovej infraštruktúry na ústredí ako aj na štyroch ďalších lokalitách – Strediskách SŠHR SR je implementované redundantne, tzn. použitím dvojice smerovačov. Funkčnosť redundancie je zabezpečená prostredníctvom dynamického smerovacieho protokolu, ktorý beží medzi SŠHR SR a ISP smerovačmi. Prípadné zvýšenie prenosových kapacít ako aj samotná prevádzka MPLS pripojení je realizovaná SŠHR SR. Dôležitou vlastnosťou MPLS siete je ochrana prenášaných dát. Ako ochranný mechanizmus je implementovaná technológia, ktorá prostredníctvom IPSec štandardu zabezpečuje šifrovanie prenášaných dát medzi centrálnymi a vzdialenými lokalitami v rámci MPLS siete. Za účelom prioritizácie kritických aplikácií pred nekritickými, je na MPLS smerovačoch implementovaná kvalita služieb, ktorá zabezpečuje garanciu prenosového pásma pre kritické aplikácie v čase zahltenia komunikačných liniek.Pripojenie serverov do LAN siete je zabezpečené cez dvojice 48 portových 1/10 Gigabit Ethernet prepínačov, ktoré umožňujú dual-home pripojenie pre servery. Prevádzkované server prepínače sú do centrálnych prepínačov pripojené dvojicou liniek o kapacite 1 Gigabit Ethernet. Pripojenie užívateľov do LAN siete je riešené cez existujúce LAN prepínače, ktoré sú doplnené o niekoľko nových prístupových prepínačov s podporou PoE, čo je možné využiť na pripojenie IP telefónov prípadne bezdrôtových prístupových bodov. Tieto LAN prepínače sú cez dvojicu Gigabit Ethernet rozhraní pripojené do centrálnych prepínačov. LAN sieť na pobočkách vyzerá veľmi jednoducho. Väčšina vytvorená dvoma 48 portovými Gigabit Ethernet L2 prepínačmi, do ktorých sú zapojené koncové systémy užívateľov ako aj WAN smerovače, ktoré pre užívateľov zabezpečujú smerovanie do WAN siete.V niektorých pobočkách je LAN sieť tvorená viacerými Gigabit Ethernet L2 prepínačmi. Do centrálnych prepínačov na oboch centrálnych lokalitách je pripojený firewallový systém, ktorý poskytuje bezpečné pripojenie LAN sietí do Govnetu a Internetu. Firewallový systém je tvorený dvoma firewallmi zapojenými v clustry, na ktorých sú ukončené DMZ zóny poskytujúce služby prístupné z Govnetu a Internetu. Firewallový systém poskytuje ukončenie šifrovaných VPN pripojení z externých sietí do LAN siete SŠHR SR.

752

753

754

[[image:attach:Obrázok7.png||width="750"]]

755

756

Obrázok 4: Interná topológia siete SŠHR SR

// //

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.4.2Požiadavkynavýkonnostnéparametre,kapacitnépožiadavky–TOBE"/}}4.4.2 Požiadavky na výkonnostné parametre, kapacitné požiadavky – TO BE ===

761

762

V rámci navrhovaného riešenia sa predpokladá zachovanie súčasných výkonnostných požiadaviek a kapacitných požiadaviek.

763

764

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.4.3Návrhriešeniatechnologickejarchitektúry"/}}4.4.3 Návrh riešenia technologickej architektúry ===

// //

Technologická architektúra sa oproti súčasnému stavu nemení a bude prevádzkovaná v rovnakom technologickom prostredí. Technologická vrstva budúceho stavu vychádza zo súčasného stavu a bude podporená novými nasadenými nástrojmi prevádzkovanými na viacerých technológiách.

[[image:attach:Obrázok8.png||width="750"]]

773

774

Obrázok 5: Návrh riešenia technologickej architektúry SŠHR SR

// //

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.4.4Využívanieslužiebzkatalóguslužiebvládnehocloudu"/}}4.4.4 Využívanie služieb z katalógu služieb vládneho cloudu ===

779

780

Projekt nebude využívať služby z katalógu vládneho cloudu. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov. Implementované nástroje budú prevádzkované v infraštruktúre SŠHR SR bez potreby jej rozšírenia.

781

782

783

== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.5Bezpečnostnáarchitektúra"/}}4.5 Bezpečnostná architektúra ==

784

785

Riešenie zabezpečenia prevádzkovaných ISVS v správe SŠHR SR je rozdelené do viacerých častí, pričom každá časť komplexne pokrýva danú oblasť. Jedná sa o nasledovné hlavné oblasti:

786

787

* Zabezpečenie E-mail a Web komunikácie,

788

* Vnútorný firewall,

789

* Ochrana web aplikácií a rozdelenie záťaže,

790

* DNS a vysoká dostupnosť dátových centier.

791

792

793

[[image:attach:Obrázok9.png||width="750"]]

794

795

Obrázok 6: Návrh riešenia bezpečnostnej architektúry SŠHR SR

796

797

Sieťovú infraštruktúru tvorí MPLS sieť, ktorá slúži na vzájomné prepojenie všetkých lokalít a LAN siete nachádzajúce sa na jednotlivých lokalitách. Okrem ústredia sú MPLS komponentmi vybavené aj vzdialené lokality, ktoré cez MPLS sieť komunikujú so systémami v primárnej lokalite (ústredie). Vzdialenými lokalitami sú lokality Vigľaš, Lupča, Kysuce, Čachtice.

798

799

**Popis jednotlivých blokov implementovanej bezpečnostnej architektúry, realizovaných oprávnených aktivít a požiadaviek na jednotlivé technológie:**

**~ **

**SIEŤOVÝ FW (LOGSOURCE)**

804

805

Zabezpečenie sieťového perimetra siete SŠHR, z ktorej pristupujú správcovia k informačným systémom SŠHR SR.

**EDR**

Cieľom implementácie pokročilého riešenia Endpoint Detection and Response (EDR) je zabezpečiť bezpečnosť a ochranu všetkých koncových zariadení a serverov, v správe SŠHR SR. Prioritou implementácie modulu EDR je detekcia, monitorovanie a rýchla reakcia na kybernetické hrozby. Implementáciou modulu EDR sa zabezpečí schopnosť identifikovať a zabrániť rôznym typom hrozieb, vrátane malvéru, ransomvéru a iných škodlivých aktivít, pričom toto riešenie podporuje tkz. „samoučiaci režim“, ochranu pred neznámymi hrozbami a anti-ransomware ochranu. Riešenie umožní monitorovať všetky koncové zariadenia v reálnom čase, ponúknuť centralizovanú správu, vytvárať správy pre bezpečnostných administrátorov a definovať politiky pre jednotlivé skupiny administrátorov. EDR riešenie umožní rýchlu reakciu na incidenty, vrátane izolácie postihnutých zariadení, odstránenia hrozieb a obnovy systémov, a podporí threathunting s funkciou vizualizácie a minimálnou 30-dňovou retenciou dát. Cieľom je zabezpečiť bezpečnosť a ochranu všetkých koncových zariadení a serverov s dôrazom na detekciu, monitorovanie a rýchlu reakciu na kybernetické hrozby.

**Log manažment**

Cieľom projektu je zabezpečenie správy auditných záznamov (LOG manager) v infraštruktúre IKT SŠHR SR. Projekt implementuje centrálne úložisko pre zber a analýzu logov. Systém musí byť schopný zhromažďovať prevádzkové dáta zo všetkých dôležitých systémov na jednom mieste s možnosťou ich dlhodobého uchovávania. Toto umožní IT a bezpečnostným operátorom získavať informácie o bezpečnostných incidentoch, prevádzkových stavoch a prípadných chybách v IT v reálnom čase. Systém umožní generovanie reportov o aktivitách systémov i užívateľov, vrátane auditných reportov s definovateľným obsahom. Systém LM umožní prehľadávanie logov prostredníctvom integrovaného grafického rozhrania s preddefinovanými pravidlami pre rýchle vyhľadávanie. Systém bude umožňovať sledovanie správania užívateľov a systémov s upozornením na pravidlá a to na základe limitov alebo korelácií udalostí nastavených administrátorom. Cieľom je vytvoriť jednotné úložisko logov s pokročilými nástrojmi pre analýzu a upozorňovanie, prístupné iba autorizovaným pracovníkom. Nevyhnutnou nutnosťou je zabezpečenie, aby logy nebolo možné modifikovať zo strany administrátorov alebo užívateľov. Systém by mal ďalej umožňovať jednoduchú klasifikáciu dát, tvorbu užívateľsky definovaných parserov, filtrov, upozornení a korelácií v ľahko pochopiteľnom grafickom rozhraní bez potreby programátorských znalostí.

816

817

818

**SIEM (Security Information and Event Management)**

819

820

Súčasťou projektu je dodanie a implementácia riešenia SIEM. IS SIEM má pokryť zber, správu a inteligentnú interpretáciu udalostí v IT infraštruktúre, poskytnúť centralizovaný pohľad na všetky relevantné bezpečnostné informácie z IT infraštruktúry v reálnom čase, vyhodnotiť rizikové bezpečnostné udalosti a pomáhať pri odhaľovaní incidentov, ktoré môžu ohroziť prevádzku informačných systémov SŠHR a tým obmedziť, prípadne znemožniť poskytovanie základných služieb.

821

822

Cieľom nasadenia riešenia IS SIEM je taktiež zavedenie centrálneho logovania udalostí informačných systémov, zariadení, sietí a všetkých security systémov, poskytovanie reportov o kritických kombináciách udalostí, ktoré by mohli mať nepriaznivý dopad na poskytovanie základných služieb a smerovať k zamedzeniu vzniku kybernetického bezpečnostného incidentu. V prípade vzniku kybernetického bezpečnostného incidentu má poskytovať notifikáciu administrátorom systému o vzniknutom bezpečnostnom incidente ihneď po jeho zistení.

823

824

825

V rámci riešenia IS SIEM SŠHR SR požaduje pokrytie hlavne nasledovných požiadaviek/funkcionalít:

826

827

* **Zber údajov a udalostí** – zber prevádzkových a bezpečnostných údajov zo zariadení a informačných systémov verejného obstarávateľa, zabezpečenie vstupných dát a obohacovanie informácií.

828

* **Monitoring** – monitorovanie informačných systémov, infraštruktúry, používateľov, administrátorov, neobvyklého správania, možných bezpečnostných incidentov.

829

* **Logovací systém **(Log manažment) – zaznamenávanie a uchovávanie logov, auditných záznamov a ich následné spracovanie – integrácia riešenia Log manažmentu

830

* **Korelačný systém** – posudzovanie vzťahov medzi udalosťami a údajmi.

831

* **Reporting** – vytváranie reportov o aktivitách, činnosti a bezpečnostných stavoch v rámci monitorovanej infraštruktúry verejného obstarávateľa.

832

833

834

**Aktualizácie metodík, vytvorenie a aktualizácia bezpečnostnej dokumentácie, vykonanie analýzy rizík a analýzy dopadov (AR/BIA), SDLC a BCM**

835

836

Cieľom je aktualizácia dokumentov a metodických materiálov vytvorených v oblasti bezpečnosti informačných technológií verejnej správy pre minimálne bezpečnostné opatrenia kategórie III. v súlade so Zákonom č. 95/2019 Z. z. o ITVS a zároveň so Zákonom č. 69/2018 Z. z. o KB a prislúchajúcich vyhlášok pre naplnenie legislatívnych požiadaviek na zvýšenie úrovne informačnej a kybernetickej bezpečnosti a ochrany IKT a sietí používaných v sektore VS.

837

838

Predmetom zákazky je poskytnutie a dodávka služieb v nasledovných oblastiach:

839

840

* Vytvorenie a aktualizácia metodík a metodických usmernení v súlade so zákonom o KyB a ďalšími súvisiacimi zákonmi.

841

* Vytvorenie a aktualizácia bezpečnostnej dokumentácie pre kategóriu III podľa vyhlášky č. 179/2020 Z. z..

842

* Vykonanie analýzy rizík a analýzy dopadov (AR/BIA) v rámci SŠHR SR.

843

* Vytvorenie metodiky pre SSDLC

844

* Vytvorenie stratégie a plánov BCM

**~ **

**Penetračné testovanie**

849

850

Penetračné testovanie, známe aj ako pen test, je autorizovaný a kontrolovaný proces simulovania kybernetického útoku na počítačový systém, sieť alebo webovú aplikáciu s cieľom identifikovať a opraviť bezpečnostné zraniteľnosti, ktoré by mohol zneužiť potenciálny útočník. Cieľom penetračného testovania je nasimulovať reálne útočné scenáre v bezpečnom a kontrolovanom prostredí, aby sa zistilo, ako ďaleko môže potenciálny útočník preniknúť do systému.

851

852

**Audit kybernetickej bezpečnosti**

853

854

Vykonanie auditu kybernetickej bezpečnosti podľa § 29 zákona č. 69/2018 Z. z. zahŕňa posúdenie stavu prijatia a dodržiavania všeobecných bezpečnostných opatrení vo forme úloh, procesov, rolí a technológií v organizačnej, personálnej a technickej rovine. Vykonanie auditu kybernetickej bezpečnosti Objednávateľa podľa zákona č.69/2018 v súlade s vyhláškou Národného bezpečnostného úradu č. 493/2022 Z. z. o audite kybernetickej bezpečnosti a znalostnom štandarde audítora (ďalej len „vyhláška o audite“) s cieľom overiť plnenie povinností podľa zákona a posúdiť zhodu prijatých bezpečnostných opatrení s požiadavkami podľa zákona a súvisiacich osobitných predpisov vzťahujúcich sa na bezpečnosť sietí a informačných systémov, s cieľom zabezpečiť požadovanú úroveň kybernetickej bezpečnosti a predchádzať kybernetickým bezpečnostným incidentom. Auditom sa identifikujú nedostatky pri zabezpečovaní kybernetickej bezpečnosti prevádzkovateľom informačných systémov verejnej správy s cieľom prijať opatrenia na ich odstránenie a nápravu a na predchádzanie kybernetickým bezpečnostným incidentom.

855

856

Bezpečnostná architektúra budúceho stavu bude v súlade s dotknutými právnymi normami a zároveň s technickými normami, ktoré stanovujú úroveň potrebnej bezpečnosti IS, pre manipuláciu so samotnými dátami, alebo technické / technologické / personálne zabezpečenie samotnej výpočtovej techniky/HW vybavenia. Ide najmä o:

857

858

* zákon č. 95/2019 Z.z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov

859

* zákon č. 69/2018 Z.z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov

860

* zákon č. 45/2011 Z.z. o kritickej infraštruktúre

861

* vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 78/2020 Z. z. o štandardoch pre informačné technológie verejnej správy

862

* vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 179/2020 Z. z., ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy

863

* vyhláška Úradu na ochranu osobných údajov Slovenskej republiky č. 158/2018 Z. z. o postupe pri posudzovaní vplyvu na ochranu osobných údajov

864

* nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov)

865

* zákon č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov.

866

* smernica Európskeho parlamentu a Rady (EÚ) (EÚ) 2022/2555 zo 14. decembra 2022 o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v Únii, ktorou sa mení nariadenie (EÚ) č. 910/2014 a smernica (EÚ) 2018/1972 a zrušuje smernica (EÚ) 2016/1148 (smernica NIS 2)

867

* zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov v znení neskorších predpisov (ďalej aj „zákon o kybernetickej bezpečnosti“),

868

* vyhláška Národného bezpečnostného úradu č. 164/2018 Z. z., ktorou sa určujú identifikačné kritériá prevádzkovanej služby (kritériá základnej služby),

869

* vyhláška Národného bezpečnostného úradu č. 165/2018 Z. z., ktorou sa určujú identifikačné kritériá pre jednotlivé kategórie závažných kybernetických bezpečnostných incidentov a podrobnosti hlásenia kybernetických bezpečnostných incidentov,

870

* vyhláška Národného bezpečnostného úradu č. 264/2023 Z. z. ktorou sa mení a dopĺňa vyhláška Národného bezpečnostného úradu č. 362/2018 Z. z., ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení,

871

* vyhláška Národného bezpečnostného úradu č. 493/2022 Z. z. o audite kybernetickej bezpečnosti,

872

* zákon č. 301/2023 Z. z. ktorým sa mení a dopĺňa zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov v znení neskorších predpisov a ktorým sa menia a dopĺňajú niektoré zákony,

873

* vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 78/2020 Z. z. o štandardoch pre informačné technológie verejnej správy,

874

* vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 179/2020, ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy,

875

* nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) – GDPR,

876

* zákon č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov v znení neskorších predpisov,

877

* Metodika analýzy rizík kybernetickej bezpečnosti - Metodika analýzy rizík pre uplatnenie v procesoch riadenia rizika v zmysle požiadaviek zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti (NBÚ)

878

879

Projektom sa zvyšuje úroveň kybernetickej a informačnej bezpečnosti nasadením resp. rozšírením nástrojov pre pokrytie kompletnej organizácie SŠHR SR a pre oblasti: sieťovej a komunikačnej bezpečnosti, kontinuity prevádzky, sieťovej a komunikačnej bezpečnosti, bezpečnosti pri prevádzke informačných systémov a sietí, zaznamenávaní udalostí a monitorovaní, riešení kybernetických bezpečnostných incidentov, hodnotení zraniteľností a bezpečnostné aktualizácie a ochrane proti škodlivému kódu.

880

881

Súčasťou projektu bude aktualizácia bezpečnostnej dokumentácie pre jednotlivé oblasti, ktorá vyplýva zo systému riadenia informačnej (a kybernetickej) bezpečnosti v súlade s vyhlášku Národného bezpečnostného úradu č. 362/2018 Z. z. ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení.

882

883

884

= {{id name="projekt_2560_Pristup_k_projektu_detailny-5.ZávislostinaostatnéISVS/projekty"/}}5. Závislosti na ostatné ISVS / projekty =

885

886

Predkladaný projekt nie je závislý na iných pripravovaných resp. prebiehajúcich projektoch.

**~ **

= {{id name="projekt_2560_Pristup_k_projektu_detailny-6.Zdrojovékódy"/}}6. Zdrojové kódy =

891

892

Projektom bude zvýšená úroveň kybernetickej a informačnej bezpečnosti, ktorý pozostáva z nákupu krabicových balíkov, ktoré budú dodávateľom nasadené do prevádzky. Vzhľadom na to, že predmetom nie je vývoj na mieru informačného systému je táto kapitola irelevantná.

893

894

895

= {{id name="projekt_2560_Pristup_k_projektu_detailny-7.Prevádzkaaúdržba"/}}7. Prevádzka a údržba =

896

897

Prevádzka a údržba navrhnutého riešenia projektu bude zabezpečená internými personálnymi kapacitami na úrovni podpory L1 až L3 (L3 externe). Pre hlásenie problémov bude využívaný Helpdesk. Predpoklad riešenia problémov a požiadaviek bude od nahlásenia problému alebo požiadavky prostredníctvom helpdesku (e-mailom, telefonicky, formulárom), identifikácia a preverenie problému/požiadavky, vykonanie opravy/podpory.

898

899

SŠHR SR v súčasnosti disponuje interným zamestnancom: Manažér kybernetickej a informačnej bezpečnosti.

900

901

== {{id name="projekt_2560_Pristup_k_projektu_detailny-7.1Prevádzkovépožiadavky"/}}7.1 Prevádzkové požiadavky ==

902

903

Prevádzkové požiadavky budú zabezpečené na úrovni podpory L1, L2 a L3.

904

905

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-7.1.1Úrovnepodporypoužívateľov"/}}7.1.1 Úrovne podpory používateľov ===

906

907

Help Desk bude realizovaný cez 3 úrovne podpory s nasledujúcim označením:

908

909

* **L1 podpora** - začiatočná úroveň podpory, ktorá je zodpovedná za riešenie základných problémov a požiadaviek koncových užívateľov a ďalšie služby vyžadujúce základnú úroveň technickej podpory. Základnou funkciou podpory 1. stupňa je zhromaždiť informácie, previesť základnú analýzu a určiť príčinu problému a jeho klasifikáciu. Typicky sú v úrovni L1 riešené priamočiare a jednoduché problémy a základné diagnostiky, overenie dostupnosti jednotlivých vrstiev infraštruktúry (sieťové, operačné, vizualizačné, aplikačné atď.) a základné užívateľské problémy (typicky zabudnutie hesla), overovanie nastavení SW a HW atď.

910

* **L2 podpora** - riešiteľské tímy s hlbšou technologickou znalosťou danej oblasti. Riešitelia na úrovni Podpory L2 nekomunikujú priamo s koncovým užívateľom, ale sú zodpovední za poskytovanie súčinnosti riešiteľom 1. úrovne podpory pri riešení eskalovaného hlásenia, čo mimo iného obsahuje aj spätnú kontrolu a podrobnejšiu analýzu zistených dát predaných riešiteľom 1. úrovne podpory. Výstupom takejto kontroly môže byť potvrdenie, upresnenie, alebo prehodnotenie hlásenia v závislosti na potrebách Objednávateľa. Primárnym cieľom riešiteľov na úrovni Podpory L2 je dostať Hlásenie čo najskôr pod kontrolu a následne ho vyriešiť - s možnosťou eskalácie na vyššiu úroveň podpory – Podpora L3.

911

* **L3 podpora** - Podpora 3. stupňa predstavuje najvyššiu úroveň podpory pre riešenie tých najobťažnejších hlásení, vrátane prevádzania hĺbkových analýz a riešenie extrémnych prípadov, ktorú bude zabezpečovať výrobca implementovaných nástrojov.

912

913

Prevádzka implementovaných nástrojov v rámci projektu L1 až L3 bude zabezpečená internými zamestnancami SŠHR SR. V prípade nevyhnutnej potreby bude zabezpečená L3 podpora výrobcu implementovaných nástrojov, ktorá bude financovaná z vlastných zdrojov SŠHR SR.

914

915

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-7.1.2Riešenieincidentov–SLAparametre"/}}7.1.2 Riešenie incidentov – SLA parametre ===

916

917

918

Za incident je považovaná chyba IS, t.j. správanie sa v rozpore s prevádzkovou a používateľskou dokumentáciou IS. Za incident nie je považovaná chyba, ktorá nastala mimo prostredia IS napr. výpadok poskytovania konkrétnej služby Vládneho cloudu alebo komunikačnej infraštruktúry.

919

920

921

Označenie naliehavosti incidentu:

922

923

|(((

924

**Označenie naliehavosti incidentu**

925

)))|(((

926

**Závažnosť incidentu**

927

)))|(((

928

**Popis naliehavosti incidentu**

)))

|(((

**A**

)))|(((

**Kritická**

)))|(((

Je to vada spôsobená vážnou chybou a/alebo nedostatkom dodávanej softvérovej aplikácie, pričom táto chyba a/alebo nedostatok zabraňuje používaniu dodávanej softvérovej aplikácie. Nie je možné poskytnúť požadovaný výstup z IS.

)))

|(((

**B**

)))|(((

**Vysoká**

)))|(((

Je vada, spôsobená chybou a/alebo nedostatkom dodávanej softvérovej aplikácie, pričom táto chyba a/alebo nedostatok obmedzuje používanie dodávanej softvérovej aplikácie nasledovne:

943

944

Niektoré aplikačné funkcie (moduly, komponenty, objekty, programy) dodávanej softvérovej aplikácie nie sú funkčné alebo nie je umožnený prístup k niektorej aplikačnej funkcii (modulu, komponentu, objektu, programu) dodávanej softvérovej aplikácie

alebo

(ii) Nie je možné vykonať výber niektorých údajov alebo nie je možné vyhotoviť niektorý výstup z databázy údajov dodávanej softvérovej aplikácie alebo nie je možné vykonať prístup k niektorým údajom v databáze údajov dodávanej softvérovej aplikácie.

949

950

napr. tlač pomocných výstupov, zostavy, funkčnosť nesúvisiaca s vyrubením a pod.

)))

|(((

**C**

)))|(((

**Stredná**

)))|(((

Do tejto kategórie spadajú všetky chyby a/alebo nedostatky spojené s používaním dodávanej softvérovej aplikácie, ktoré nie sú klasifikované ako závažné alebo kritické vady, pričom však čiastočne obmedzujú používanie dodávanej softvérovej aplikácie a vyžadujú si:

958

959

Nastavenie parametrov systému Poskytovateľom alebo

960

961

(ii) Vzniknutá vada a/alebo nedostatok má za príčinu miernu nepohodlnosť pri práci so softvérovou aplikáciou, ktorá je však funkčná.

)))

// //

možný dopad:

|(((

**Označenie závažnosti incidentu**

)))|(((

**~ **

**Dopad**

)))|(((

**Popis dopadu**

)))

|(((

**1**

)))|(((

**katastrofický**

)))|(((

katastrofický dopad, priamy finančný dopad alebo strata dát,

)))

|(((

**2**

)))|(((

**značný**

)))|(((

značný dopad alebo strata dát

)))

|(((

**3**

)))|(((

**malý**

)))|(((

malý dopad alebo strata dát

)))

**// //**

**// //**

**// //**

**// //**

**// //**

**// //**

**// //**

**// //**

* Výpočet priority incidentu je kombináciou dopadu a naliehavosti v súlade s best practices ITIL V3 uvedený v nasledovnej matici:

// //

|(% colspan="2" rowspan="2" %)(((

1021

**Matica priority incidentov**

1022

)))|(% colspan="3" %)(((

**Dopad**

)))

|(((

**Katastrofický - 1**

)))|(((

**Značný - 2**

)))|(((

**Malý - 3**

)))

|(% rowspan="3" %)(((

**Naliehavosť**

)))|(((

**Kritická - A**

)))|(((

1

)))|(((

2

)))|(((

3

)))

|(((

**Vysoká - B**

)))|(((

2

)))|(((

3

)))|(((

3

)))

|(((

**Stredná - C**

)))|(((

2

)))|(((

3

)))|(((

4

)))

**// //**

**Vyžadované reakčné doby:**

**// //**

|(((

**Označenie priority incidentu**

1070

)))|(((

1071

**Reakčná doba^^(1)^^ od nahlásenia incidentu po začiatok riešenia incidentu**

1072

)))|(((

1073

**Doba konečného vyriešenia incidentu od nahlásenia incidentu (DKVI) ^^(2)^^**

1074

)))|(((

1075

**//Spoľahlivosť ^^(3)^^//**

1076

1077

//(počet incidentov za mesiac)//

)))

|(((

**1**

)))|(((

0,5 hod.

)))|(((

4 hodín

)))|(((

//1//

)))

|(((

**2**

)))|(((

1 hod.

)))|(((

12 hodín

)))|(((

//2//

)))

|(((

**3**

)))|(((

1 hod.

)))|(((

24 hodín

)))|(((

//10//

)))

|(((

**4**

)))|(((

1 hod.

)))|(% colspan="2" %)(((

1111

Vyriešené a nasadené v rámci plánovaných releasov

)))

**~ **

* (1) Reakčná doba je čas medzi nahlásením incidentu verejným obstarávateľom (vrátane užívateľov IS, ktorí nie sú v pracovnoprávnom vzťahu s verejným obstarávateľom) na helpdesk úrovne L3 a jeho prevzatím na riešenie.

1117

1118

1119

* (2) DKVI znamená obnovenie štandardnej prevádzky - čas medzi nahlásením incidentu verejným obstarávateľom a vyriešením incidentu úspešným uchádzačom (do doby, kedy je funkčnosť prostredia znovu obnovená v plnom rozsahu). Doba konečného vyriešenia incidentu od nahlásenia incidentu verejným obstarávateľom (DKVI) sa počíta počas celého dňa. Do tejto doby sa nezarátava čas potrebný na nevyhnutnú súčinnosť verejného obstarávateľa, ak je potrebná pre vyriešenie incidentu. V prípade potreby je úspešný uchádzač oprávnený požadovať od verejného obstarávateľa schválenie riešenia incidentu.

1120

1121

1122

* (3) Maximálny počet incidentov za kalendárny mesiac. Každá ďalšia chyba nad stanovený limit spoľahlivosti sa počíta ako začatý deň omeškania bez odstránenia vady alebo incidentu. Duplicitné alebo technicky súvisiace incidenty (zadané v rámci jedného pracovného dňa, počas pracovného času 8 hodín) sú považované ako jeden incident.

1123

1124

1125

* (4) Incidenty nahlásené verejným obstarávateľom úspešnému uchádzačovi v rámci testovacieho prostredia

1126

1127

1. Majú prioritu 3 a nižšiu

1128

1. Vzťahujú sa výhradne k dostupnosti testovacieho prostredia

1129

1. Za incident na testovacom prostredí sa nepovažuje incident vztiahnutý k práve testovanej funkcionalite.

1130

1131

1132

Vyššie uvedené SLA parametre nebudú použité pre nasledovné služby:

1133

1134

* Služby systémovej podpory na požiadanie (nad paušál)

1135

* Služby realizácie aplikačných zmien vyplývajúcich z legislatívnych a metodických zmien (nad paušál)

1136

1137

Pre tieto služby budú dohodnuté osobitné parametre dodávky.

// //

// //

// //

// //

// //

// //

// //

// //

// //

// //

// //

// //

// //

// //

// //

== {{id name="projekt_2560_Pristup_k_projektu_detailny-7.2PožadovanádostupnosťIS:"/}}7.2 Požadovaná dostupnosť IS: ==

**// //**

|(((

**Popis**

)))|(((

**Parameter**

)))|(((

**Poznámka**

)))

|(((

**Prevádzkové hodiny**

)))|(((

8 hodín

)))|(((

Po – Pia, 8:00 - 16:00

1186

)))

1187

|(% rowspan="2" %)(((

**Servisné okno**

)))|(((

14 hodín

)))|(((

od 17:00 hod. - do 7:00 hod. počas pracovných dní

)))

|(((

24 hodín

)))|(((

od 00:00 hod. - 23:59 hod. počas dní pracovného pokoja a štátnych sviatkov Servis a údržba sa bude realizovať mimo pracovného času.

1198

)))

1199

|(((

1200

**Dostupnosť produkčného prostredia IS**

)))|(((

97%

)))|(((

· 97% z 24/7/365 t.j. max ročný výpadok je 10,95 dňa. Maximálny mesačný výpadok je 21,9 hodiny.

1205

1206

· Vždy sa za takúto dobu považuje čas od 0.00 hod. do 23.59 hod. počas pracovných dní v týždni.

1207

1208

· Nedostupnosť IS sa počíta od nahlásenia incidentu Zákazníkom v čase dostupnosti podpory Poskytovateľa (t.j. nahlásenie incidentu na L3 v čase od 6:00 hod. - do 18:00 hod. počas pracovných dní). Do dostupnosti IS nie sú započítavané servisné okná a plánované odstávky IS.

1209

1210

· V prípade nedodržania dostupnosti IS bude každý ďalší začatý pracovný deň nedostupnosti braný ako deň omeškania bez odstránenia vady alebo incidentu.

)))

// //

// //

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-7.2.1Dostupnosť(Availability)"/}}7.2.1 Dostupnosť (Availability) ===

1218

1219

1220

Dostupnosť znamená, že dáta sú prístupné v okamihu jej potreby. Narušenie dostupnosti sa označuje ako nežiaduce zničenie (destruction) alebo nedostupnosť. Dostupnosť je zvyčajne vyjadrená ako percento času v danom období, obvykle za rok. V projekte sa uvažuje 97% dostupnosť znamená výpadok 10,95 dňa.

1221

1222

1223

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-7.2.2RTO(RecoveryTimeObjective)"/}}7.2.2 RTO (Recovery Time Objective) ===

1224

1225

1226

V rámci projektu sa očakáva tradičné zálohovanie - výpadok a obnova trvá cca hodiny až dni.

// //

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-7.2.3RPO(RecoveryPointObjective)"/}}7.2.3 RPO (Recovery Point Objective) ===

1231

1232

1233

V rámci projektu sa očakáva tradičné zálohovanie - výpadok a obnova trvá cca hodiny až dni.

1234

1235

1236

= {{id name="projekt_2560_Pristup_k_projektu_detailny-8.Požiadavkynapersonál"/}}8. Požiadavky na personál =

1237

1238

1239

**Riadiaci výbor** projektu tvorí predseda riadiaceho výboru projektu a vlastníci procesov alebo nimi poverení zástupcovia.

1240

1241

1242

Riadiaci výbor sa riadi “Štatútom riadiaceho výboru”, ktorý je popísaný v dokumente Štatút RV projektu ako najvyšší riadiaci orgán na účely realizácie projektu na základe schválenej projektovej dokumentácie.

1243

1244

Štatút Riadiaceho výboru upravuje najmä jeho pôsobnosť, úlohy, zloženie, zasadnutie a hlasovanie. Členom riadiaceho výboru projektu môže byť aj zástupca dodávateľa. Väčšina členov riadiaceho výboru projektu s hlasovacím právom sú osoby navrhnuté objednávateľom a zastupujú záujmy objednávateľa. Riadiaci výbor projektu dozerá na hospodárnosť, efektívnosť a účelové využívanie finančných prostriedkov a môže prispôsobiť štandardy projektového riadenia na realizovaný projekt.

1245

1246

Riadiaci výbor má minimálne 5 členov, vrátane predsedu Riadiaceho výboru (ďalej len „predseda“) :

1247

1248

1249

Riadiaci výbor projektu môžu tvoriť:

1250

1251

1. **predseda** Riadiaceho výboru projektu,

1252

1. **podpredseda **Riadiaceho výboru projektu,

1253

1. **vlastník alebo vlastníci procesov SŠHR** (biznis vlastník infraštruktúra) alebo nimi poverený zástupca alebo zástupcovia,

1254

1. **zástupcu kľúčových používateľov **(end user),

1255

1. zástupca za Dodávateľa v zmysle Zmluvy o Dielo s Dodávateľom.

1256

1. projektový manažér prijímateľa.

1257

1258

1259

Riadiaci výbor je riadený predsedom, ktorým je zástupca Objednávateľa. V prípade neprítomnosti predsedu na zasadnutí Riadiaceho výboru, predseda musí na toto konkrétne zasadnutie písomne delegovať svoju funkciu v rozsahu svojich práv a povinností formou splnomocnenia na zástupcu, ktorým môže byť aj iný člen Riadiaceho výboru s hlasovacím právom. Na rokovanie Riadiaceho výboru môžu byť v prípade potreby prizvaní aj iní účastníci tak zo strany Objednávateľa alebo za stranu Dodávateľa.

1260

1261

1262

Riadiaci výbor zasadá pravidelne, spravidla raz za mesiac avšak najmenej jedenkrát za tri (3) po sebe nasledujúce kalendárne mesiace. Zasadnutie Riadiaceho výboru zvoláva predseda. Závery zo zasadnutia Riadiaceho výboru a jednotlivé body zo zasadnutia Riadiaceho výboru sa prijímajú súhlasným hlasovaním nadpolovičnej väčšiny prítomných členov Riadiaceho výboru s hlasovacím právom. Hlas predsedu má v prípade rovnosti hlasov hodnotu dvoch hlasov.

1263

1264

1265

Hlavné dokumenty spojené s činnosťou Riadiaceho výboru sú program zasadnutia, pracovný materiál a záznam zo zasadnutia Riadiaceho výboru, ktorého prílohou musí byť aj prezenčná listina, prípadne aj písomné splnomocnenia členov Riadiaceho výboru.

1266

1267

1268

Program zasadnutia a pracovné materiály Riadiaceho výboru distribuuje Asistent projektového manažéra na základe podkladov a inštrukcií predsedu alebo toho člena Riadiaceho výboru, ktorý požiadal o zasadnutie Riadiaceho výboru.

1269

1270

Asistent projektového manažéra zabezpečí ich distribúciu členom Riadiaceho výboru najneskôr 3 pracovné dni pred zasadnutím Riadiaceho výboru. Za vecnú správnosť distribuovaného materiálu zodpovedá člen Riadiaceho výboru, ktorý ho predkladá.

1271

1272

1273

Riadiaci výbor zaniká ukončením plnohodnotnej implementácie projektu a jeho uvedením do produktívnej prevádzky. Zoznam členov Riadiaceho výboru je súčasťou dokumentu Komunikačná matica uloženom na zdieľanom projektovom úložisku.

|(((

**ID**

)))|(((

**MENO A PRIEZVISKO**

)))|(((

**POZÍCIA**

)))|(((

**ORGANIZAČNÝ ÚTVAR**

1284

)))|(((

1285

**ROLA V PROJEKTE S UVEDENÍM HLASOVACIEHO PRÁVA**

)))

|(((

1.

)))|(((

TBD

)))|(((

TBD

)))|(((

TBD

)))|(((

Predseda RV (HP)

)))

|(((

2.

)))|(((

TBD

)))|(((

TBD

)))|(((

TBD

)))|(((

Podpredseda RV (HP)

)))

|(((

3.

)))|(((

TBD

)))|(((

TBD

)))|(((

TBD

)))|(((

Zástupca vlastníkov procesov (HP)

)))

|(((

4.

)))|(((

TBD

)))|(((

TBD

)))|(((

TBD

)))|(((

Zástupca vlastníkov procesov II. (HP)

)))

|(((

5.

)))|(((

TBD

)))|(((

TBD

)))|(((

TBD

)))|(((

Zástupcu kľúčových používateľov

)))

|(((

6.

)))|(((

TBD

)))|(((

TBD

)))|(((

TBD

)))|(((

Zástupca Dodávateľa

)))

|(((

7.

)))|(((

Mgr. Tibor Balberčák

)))|(((

Projektový manažér

)))|(((

Odbor informačných technológií

1361

)))|(((

1362

Projektový manažér prijímateľa

)))

Riadenie projektu zo strany Objednávateľa bude zabezpečené prostredníctvom Projektového manažéra a Finančného manažéra a bude trvať počas celej doby realizácie projektu. Bude pokrývať oblasť projektového riadenia (projektový manažment, celková koordinácia projektu, celkový dohľad nad vývojom dodávaného Diela, vrátane kvality), finančného riadenia a monitorovania realizácie projektu v zmysle riadenia podľa vyhlášky MIRRI č. 401/2023 Z. z. v platnom znení.

1367

1368

1369

Projektový tím bude pozostávať z pozícií:

1370

1371

* Projektové role:

1372

* Projektový manažér,

1373

* Kľúčový používateľ,

1374

* Manažér kybernetickej a informačnej bezpečnosti

1375

1376

1377

* Ďalšie projektové role:

* Finančný manažér

* Asistent PM

V súlade s výzvou SŠHR SR zabezpečí, aby počas implementácie projektu a po jeho skončení (počas obdobia udržateľnosti) bol k dispozícii interný personál na obsluhu, prevádzku a rozvoj riešenia. Zároveň bude minimálne počas obdobia udržateľnosti zabezpečené financovanie tohto personálu zo zdrojov SŠHR SR.

1382

1383

1384

Projektový manažér Objednávateľa bude zabezpečovať koordináciu projektových činností a manažment v súlade s metodikou PRINCE2 (hlavné dokumenty, priebežné manažérske výstupy, a pod.).

1385

1386

Projektový manažér Objednávateľa bude riadiť, administratívne a organizačne zabezpečovať implementáciu projektu, komunikovať s dodávateľmi, sledovať plnenie harmonogramu projektu a zabezpečovať dokumenty požadované MIRRI. Zároveň bude v spolupráci s projektovým manažérom dodávateľa koordinovať realizáciu hlavných aktivít, činností a úloh projektu.

1387

1388

1389

Zodpovednosťou projektového manažéra je v spolupráci s finančným manažérom (objednávateľa) finančné riadenie projektu kontrolu rozpočtu projektu a jeho súlad s účtovnými dokladmi. Kontrolu podpornej účtovnej dokumentácie a poradenstvo pri definovaní oprávnených výdavkov bude zabezpečovať finančný manažér Objednávateľa.

1390

1391

1392

Súčasťou projektového riadenia bude tiež operatívna projektová podpora zabezpečujúca administratívnu podporu pre písomnú komunikáciu, administratívne vedenie projektovej dokumentácie a prípravu podkladov pre členov projektového tímu, organizáciu stretnutí a pod.. V rámci aktivity budú taktiež zabezpečovaný manažment a hodnotenie kvality zo strany Objednávateľa.

|(((

**ID**

)))|(((

**MENO A PRIEZVISKO**

)))|(((

**POZÍCIA**

)))|(((

**ORGANIZAČNÝ ÚTVAR**

)))|(((

**PROJEKTOVÁ ROLA**

)))

|(((

1.

)))|(((

Mgr. Tibor Balberčák

)))|(((

Projektový manažér

)))|(((

Odbor informačných technológií

)))|(((

Projektový manažér

)))

|(((

2.

)))|(((

Ing. Stanislav Lacko

)))|(((

Špecialista v oblasti počítačových sietí

1423

)))|(((

1424

Odbor informačných technológií

)))|(((

Kľúčový používateľ

)))

|(((

3.

)))|(((

Mgr. Martin Oczvirk

)))|(((

Manažér kybernetickej a informačnej bezpečnosti

1434

)))|(((

1435

Odbor informačných technológií

1436

)))|(((

1437

Manažér kybernetickej a informačnej bezpečnosti

)))

|(((

4.

)))|(((

TBD

)))|(((

TBD

)))|(((

TBD

)))|(((

Finančný manažér

)))

|(((

5.

)))|(((

TBD

)))|(((

TBD

)))|(((

TBD

)))|(((

Asistent PM

)))

RV je riadiaci orgán projektu, ktorý zodpovedá najmä za splnenie stanovených cieľov projektu, rozhoduje o zmenách, ktoré majú zásadný význam a prejavujú sa hlavne dopadom na časový harmonogram a finančné prostriedky projektu. Reprezentuje najvyššiu akceptačnú autoritu projektu. Štatút Riadiaceho výboru projektu upravuje najmä úlohy, zloženie a pôsobnosť RV, ako aj práva a povinnosti členov RV pri riadení a realizácii predmetného projektu.

1464

1465

Projektový manažér riadi projekt, kvalitu a riziká projektu a zabezpečuje plnenie úloh uložených RV. Členovia projektového tímu zabezpečujú plnenie úloh uložených projektovým manažérom, alebo RV.

1466

1467

Ďalšie povinnosti členov RV, projektového manažéra a členov projektového tímu sú uvedené vo Vyhláške č. 401/2023 Z. z. a v doplňujúcich vzoroch a šablónach zverejnených na webovom sídle MIRRI SR.

|(((

**Projektová rola:**

)))|(((

**PROJEKTOVÝ MANAŽÉR**

1474

)))

1475

|(((

1476

Detailný popis rozsahu zodpovedností, povinností a kompetencií:

1477

)))|(((

1478

- zodpovedá za každodenné riadenie projektu v mene RV, za monitorovanie projektu, za plánovanie aktivít, za informovanie o projekte, atď.,

1479

1480

- zodpovedá za určenie pravidiel, spôsobov, metód a nástrojov riadenia projektu a získanie podpory RV pre riadenie, plánovanie a kontrolu projektu a efektívne využívanie projektových zdrojov (ľudských a finančných),

1481

1482

- zodpovedá za splnenie všetkých legislatívnych požiadaviek (právne predpisy SR), metodických požiadaviek súvisiacich s implementáciou projektu a formálnu administráciu projektu súvisiacu s riadením, organizovaním, finančným zúčtovaním, sledovaním čiastkových a celkových výsledkov (monitorovaním) a hodnotením výsledkov,

1483

1484

- integrovane riadi prípravu a uskutočnenie projektu, nasadenie disponibilných prostriedkov, zabezpečuje koordináciu dodávateľov a zhotoviteľov jednotlivých výstupov projektu, zabezpečuje koordináciu partnerov, časový priebeh a kvalitu výstupov projektu, zmeny projektu a rieši konflikty s okolím projektu,

1485

1486

- prijíma rozhodnutia a riadi projekt tak, aby sa splnili stanovené ciele projektu, a aby projekt dodával dohodnuté produkty v dohodnutej kvalite, v čase, a v rámci rozpočtu,

1487

1488

- zodpovedá RV za plnenie cieľov projektu a celkový postup prác v projekte,

1489

1490

- informuje RV o stave a priebehu projektu, predkladá návrhy na zlepšenie,

1491

1492

- riadi strategické a projektové riziká, vrátane vývojových a rezervných plánov,

1493

1494

- zodpovedá za identifikovanie kritických miest projektu a navrhovanie ciest k ich eliminácii,

1495

1496

- aktívne komunikuje s dodávateľom, zástupcom dodávateľa a projektovým manažérom dodávateľa s cieľom zabezpečiť úspešné dodanie a nasadenie požadovaných projektových výstupov,

1497

1498

- zabezpečuje kontrolu dodržiavania a plnenia míľnikov v zmysle zmluvy s dodávateľom,

1499

1500

- zabezpečuje vecnú administráciu zúčtovania dodávateľských faktúr,

1501

1502

- predkladá požiadavky dodávateľa na rokovanie RV,

1503

1504

- zodpovedá za koordináciu a zabezpečenie podkladov pre oddelenie komunikačné pre potreby medializácie projektu,

1505

1506

- zodpovedá za informovanie zamestnancov a verejnosti o začatí a ukončení projektu v závislosti od jeho charakteru,

1507

1508

- zodpovedá za zabezpečenie vypracovania, priebežnej aktualizácie a verzionovania manažérskej a špecializovanej dokumentácie a produktov,

1509

1510

- pripravuje a predkladá stanovené dokumenty na schválenie RV,

1511

1512

- navrhuje zaradiť projekt alebo jeho časť do režimu utajenia,

1513

1514

- zabezpečuje permanentný dohľad a zvýšenú mieru kontroly a ochrany tokov informácií pri realizácii utajovaného projektu alebo utajovanej časti projektu,

1515

1516

- zodpovedá za vypracovanie požiadaviek na zmenu, návrh ich prioritizácie a predkladanie zmenových požiadaviek na rokovanie RV,

1517

1518

- zabezpečuje podanie žiadosti o rozpočtové opatrenie MF SR cez Rozpočtový informačný systém na projekt IT podľa potreby,

1519

1520

- zodpovedá za riadenie zmeny a prípadné požadované riadenie konfigurácií,

1521

1522

- navrhuje členov projektového tímu po dohode s líniovým vedúcim a tímovým manažérom a tiež navrhuje rozsah ich zodpovedností a činností,

1523

1524

- organizuje, riadi, motivuje projektový tím a deleguje úlohy členom projektového tímu,

1525

1526

- hodnotí členov projektového tímu,

1527

1528

- udeľuje pokyny na výkon činností projektovej kancelárie,

1529

1530

- podľa potreby deleguje svoje povinnosti a práva na tímových manažérov a koordinuje ich činnosť,

1531

1532

- plní úlohy tímového manažéra (vedúceho projektového tímu), ak takáto rola v projekte nie je obsadená –viď činnosť projektovej role „Tímový manažér“,

1533

1534

- monitoruje výkonnosť projektu, to znamená, že sleduje pokrok vo vybraných ukazovateľoch (KPI) projektu a predkladá ho na schválenie RV,

1535

1536

- zabezpečuje evidenciu v informačných systémoch pre štandardizované procesy programové a projektového riadenia, napr. IT monitorovací systém pre európske štrukturálne a investičné fondy,

1537

1538

- zodpovedá za publikovanie RV schválených projektových výstupov v MetaIS chronologicky, z každej fázy životného cyklu projektu,

1539

1540

- zodpovedá za publikovanie zápisov RV v MetaIS,

1541

1542

- počas celej doby realizácie projektu štandardne zabezpečuje nasledovné prierezové činnosti:

1543

1544

~1. kontinuálne zdôvodňovanie projektu, ktoré zahŕňa posúdenie, či je projekt požadovaný a dosiahnuteľný, potrebné na rozhodovanie o pokračovaní vynakladania prostriedkov počas všetkých fáz projektu, vypracované aspoň po ukončení každej fázy projektu,

1545

1546

2. plánovanie a operatívne riadenie dodávania projektových produktov,

1547

1548

3. riadenie rizík a závislostí, ktoré zahŕňa identifikáciu, hodnotenie a riadenie rizík, závislostí a hrozieb na úspešnú realizáciu projektu,

1549

1550

- zabezpečuje dodržiavanie legislatívno-metodických zásad pre riadenie projektov,

1551

1552

- zodpovedá za formálnu administráciu projektu, riadenie centrálneho úložiska projektovej dokumentácie SŠHR SR, správu a archiváciu projektovej dokumentácie,

1553

1554

- sleduje dodržiavanie interných riadiacich aktov.

)))

|(((

**Projektová rola:**

)))|(((

**KĹÚČOVÝ POUŽÍVATEĽ**

)))

|(((

Stručný popis:

)))|(((

- reprezentuje záujmy budúcich koncových používateľov projektových produktov alebo projektových výstupov,

1567

1568

- poskytuje súčinnosť pri spracovaní interného riadiaceho aktu upravujúceho prevádzku, servis a podporu IT,

1569

1570

- aktívne sa zúčastňuje stretnutí projektového tímu a spolupracuje na vypracovaní manažérskej a špecializovanej dokumentácie a produktov v minimálnom rozsahu určenom Prílohou č.1 tejto smernice,

1571

1572

- plní pokyny PM a dohody zo stretnutí projektového tímu.

)))

|(((

Detailný popis rozsahu zodpovedností, povinností a kompetencií

1578

)))|(((

1579

· návrh a špecifikáciu funkčných, nefunkčných a technických požiadaviek, potreby, obsahu, kvalitatívnych a kvantitatívnych prínosov projektu, požiadaviek koncových používateľov na prínos systému a požiadaviek na bezpečnosť,

1580

1581

· jednoznačnú špecifikáciu požiadaviek na jednotlivé projektové výstupy (špecializované produkty a výstupy) z pohľadu vecno-procesného a legislatívy,

1582

1583

· návrh a definovanie rizík, rozhraní a závislostí,

1584

1585

· vykonanie používateľského testovania funkčného používateľského rozhrania (UX testovania) a za finálne odsúhlasenie používateľského rozhrania,

1586

1587

· návrh a definovanie akceptačných kritérií,

1588

1589

· akceptačné testovanie (UAT) a návrh na akceptáciu projektových produktov alebo projektových výstupov a finálny návrh na spustenie do produkčnej prevádzky,

1590

1591

· 7. predkladanie požiadaviek na zmenu funkcionalít produktov,

)))

|(((

**Projektová rola:**

)))|(((

**PROJEKTOVÁ KANCELÁRIA („PMO“)**

1599

)))

1600

|(((

1601

Projektovou kanceláriou je príslušný organizačný útvar FR SR v zmysle organizačného poriadku FR SR, ktorý zabezpečuje podporu riadenia projektu, najmä:

1602

)))|(((

1603

- administratívnu a technickú podporu v jednotlivých fázach životného cyklu projektu,

1604

1605

- vypracovanie a odovzdanie menovacích dekrétov a odvolacích dekrétov

1606

1607

pre predsedu RV, členov RV, PM a podpísaných predsedom RV pre členov projektového tímu a PMO,

1608

1609

- zabezpečenie oboznámenia predsedu RV, členov RV, a členov projektového tímu s projektom, ich

1610

1611

úlohami a rozsahom ich zodpovedností, atď. podľa pokynu PM,

1612

1613

- organizačné zabezpečenie zasadnutí RV, spracovanie zápisov zo zasadnutí RV a zabezpečenie ich

1614

1615

zverejnenia prostredníctvom MetaIS, ak je to potrebné,

1616

1617

- organizačné zabezpečenie stretnutí realizovaných v rámci projektu, spracovanie zápisov z týchto

stretnutí,

- vykonávanie úloh na základe pokynov PM,

1622

1623

- vypracovanie a aktualizácia zoznamov úloh, rizík, otvorených otázok a iných manažérskych správ,

1624

1625

reportov, zoznamov a požiadaviek,

1626

1627

- organizačné zabezpečenie pripomienkového konania projektovej dokumentácie,

1628

1629

- správu projektov, monitorovanie stavu projektu, udržiavanie aktuálnosti a hodnovernosti údajov

1630

1631

o projektoch a podľa potreby optimalizáciu projektov,

1632

1633

- prípravu informácií o stave realizácie projektu podľa potreby,

1634

1635

- zhromaždenie, analyzovanie a vyhodnotenie poznatkov z implementácie projektov a definovanie

1636

1637

ponaučenia za účelom predchádzania a opakovania chýb z minulosti,

1638

1639

- zabezpečenie zverejnenia projektových výstupov jednotlivých fáz životného cyklu projektu na centrálnom

1640

1641

úložisku projektovej dokumentácie SŠHR SR a v MetaIS, ak je to potrebné,

1642

1643

- poskytuje súčinnosť PM pri predkladaní projektových produktov na posúdenie ekonomickej výhodnosti

1644

1645

a súladu s programovým riadením MIRRI SR, ak je to potrebné,

1646

1647

- organizáciu procesov súvisiacich s výkazmi práce členov projektových tímov jednotlivých projektov,

1648

1649

- vytvorenie a spravovanie centrálneho úložiska projektovej dokumentácie SŠHR SR,

1650

1651

- vytvorenie komunikačnej platformy v rámci projektu a medzi projektami navzájom,

1652

1653

- zabezpečenie interakcie medzi zainteresovanými stranami, ich spokojnosť a realizáciu požiadaviek

1654

1655

spojených s implementáciou projektu,

1656

1657

- spoluprácu s metodickou podporou projektového riadenia,

1658

1659

- zabezpečenie uloženia originálov projektovej dokumentácie.

)))

|(((

**Projektová rola:**

)))|(((

**MANAŽÉR KYBERNETICKEJ A INFORMAČNEJ BEZPEČNOSTI („KIB“)**

)))

|(((

Stručný popis:

)))|(((

- má neobmedzený aktívny prístup ku všetkým projektovým dokumentom, nástrojom a výstupom projektu, v ktorých sa opisuje predmet projektu z hľadiska jeho architektúry, funkcií, procesov, manažmentu informačnej bezpečnosti a spôsobov spracúvania dát, ako aj dát samotných,

1672

1673

- má sprístupnené všetky informácie o bezpečnostných opatreniach zavádzaných projektom v zmysle § 20 zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov v znení neskorších predpisov a v zmysle ustanovení zákona č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov v znení neskorších predpisov,

1674

1675

- zodpovedá za posúdenie možných alternatív realizácie projektu za oblasť IB a KB,

1676

1677

- zodpovedá za posúdenie požiadaviek agendy IB a KB na rozhrania a spoločné komponenty, na integrácie a procesy konverzie a migrácie, identifikácia nesúladu a návrh riešenia,

1678

1679

- poskytuje konzultácie a súčinnosť pre problematiku IB a KB,

1680

1681

- poskytuje konzultácie pri tvorbe šablón a vzorov dokumentácie pre oblasť IB a KB,

1682

1683

- poskytuje konzultácie a vykonáva kontrolnú činnosť zameranú na obsah a komplexnosť dokumentácie z hľadiska IB a KB,

1684

1685

- dohliada na zosúladenie projektu s princípmi definovanými v interných riadiacich aktoch SŠHR SR a dokumentoch týkajúcich sa bezpečnosti SŠHR SR,

1686

1687

- zabezpečuje získavanie a spracovanie informácií nutných pre plnenie úloh v oblasti IB a KB,

1688

1689

- aktívne sa zúčastňuje stretnutí projektového tímu a spolupracuje na vypracovaní manažérskej a špecializovanej dokumentácie a produktov v minimálnom rozsahu určenom Prílohou č.1 tejto smernice,

1690

1691

- plní pokyny PM a dohody zo stretnutí projektového tímu.

1692

)))

1693

|(((

1694

Detailný popis rozsahu zodpovedností, povinností a kompetencií

1695

)))|(((

1696

- zodpovedá́ za špecifikovanie:

1697

1698

- štandardov, princípov a stratégií v oblasti informačnej bezpečnosti („IB“) a kybernetickej bezpečnosti („KB“) a ich dodržiavanie,

1699

1700

- funkčných, nefunkčných a technických požiadaviek na IB a KB a za ich analýzu,

1701

1702

- požiadaviek na IB a KB, kontroluje ich implementáciu v realizovanom projekte,

1703

1704

- požiadaviek na bezpečnosť̌ vývojového, testovacieho a produkčného prostredia,

1705

1706

- požiadaviek na bezpečnosť̌ v rámci bezpečnostnej vrstvy,

1707

1708

- požiadaviek na školenia pre oblasť̌ IB a KB,

1709

1710

- požiadaviek na bezpečnostnú́ architektúru riešenia a technickú́ infraštruktúru pre oblasť̌ IB a KB,

1711

1712

- požiadaviek na dostupnosť̌, zálohovanie, archiváciu a obnovu IS vzťahujúce sa na IB a KB,

1713

1714

- požiadaviek na IB a KB, bezpečnostný́ projekt a riadenie prístupu,

1715

1716

- požiadaviek na opis vývojového, testovacieho a produkčného prostredia za oblasť̌ IB a KB,

1717

1718

- požiadaviek na testovanie z hľadiska IB a KB, realizáciu kontroly zapracovania a retestu,

1719

1720

- požiadaviek na obsah dokumentácie v zmysle legislatívnych požiadaviek pre oblasť̌ IB a KB, ako aj v zmysle "best practies",

1721

1722

- požiadaviek na dodanie potrebnej dokumentácie súvisiacej s IBaKB kontroluje ich implementáciu v realizovanom projekte,

1723

1724

- požiadaviek a konzultácie pri návrhu riešenia za agendu IB a KB v rámci procesu „Mapovanie a analýza technických požiadaviek - detailný́ návrh riešenia (DNR)“,

1725

1726

- požiadaviek nabezpečnosť ITaKB v rámci procesu "akceptácie, odovzdania a správy zdrojových kódov“,

1727

1728

- akceptačných kritérií́ za oblasť̌ IB a KB,

1729

1730

- pravidiel pre publicitu a informovanosť̌ s ohľadom na IB a KB,

1731

1732

- podmienok na testovanie, reviduje výsledky a výstupy z testovania za oblasť̌ IB a KB,

1733

1734

- požiadaviek na bezpečnostný́ projekt pre oblasť̌ IB a KB,

1735

1736

1737

- zodpovedá́ za realizáciu kontroly:

1738

1739

- zameranej na naplnenie požiadaviek definovaných v bezpečnostnom projekte za oblasť̌ IB a KB,

1740

1741

- zameranú́ na správnosť̌ nastavení́ a konfigurácii bezpečnosti jednotlivých prostredí́,

1742

1743

- zameranú́ na realizáciu procesu posudzovania a komplexnosti bezpečnostných rizík, bezpečnosť̌ a kompletný́ popis rozhraní́, správnu identifikácia závislostí,

1744

1745

- naplnenia definovaných požiadaviek pre oblasť̌ IB a KB,

1746

1747

- zameranú́ na implementovaný́ proces v priamom súvise s IB a KB,

1748

1749

- súladu s platnou legislatívou v oblasti IB a KB (obsahuje aj kontrolu legislatívnych požiadaviek),

1750

1751

- zameranú́ na zabezpečenie procesu, interfejsov, integrácii, kompletného popisu rozhraní́ a spoločných komponentov a posúdenia z pohľadu bezpečnosti,

)))

|(((

**Projektová rola:**

)))|(((

**ČLEN PROJEKTOVÉHO TÍMU**

)))

|(((

Stručný popis:

)))|(((

- vykonáva odbornú prácu v projekte a poskytuje odborné stanoviská a konzultácie za príslušnú oblasť,

1766

1767

- aktívne sa zúčastňuje odborných stretnutí tímu, ako aj konzultácií,

1768

1769

- zabezpečuje vypracovanie, priebežnú aktualizáciu a verzionovanie manažérskej a špecializovanej dokumentácie a produktov v minimálnom rozsahu určenom Prílohou č.1 tejto smernice v súčinnosti a podľa pokynov tímového manažéra a PM,

1770

1771

- plní úlohy uložené tímovým manažérom a PM v požadovanej kvalite a v stanovených termínoch,

1772

1773

- plní dohody zo stretnutí projektového tímu,

1774

1775

- odpočtuje plnenie úloh tímovému manažérovi a PM,

1776

1777

- predkladá námety, podnety, požiadavky a upozorňuje na problémy a riziká súvisiace s projektom tímovému manažérovi a PM,

1778

1779

- spolupracuje s projektovým tímom na strane dodávateľa,

1780

1781

- zodpovedá za splnenie všetkých legislatívnych požiadaviek (právne predpisy SR a EK) a metodických a administratívnych požiadaviek súvisiacich s implementáciou projektu.

)))

= {{id name="projekt_2560_Pristup_k_projektu_detailny-9.Implementáciaapreberanievýstupovprojektu"/}}9. Implementácia a preberanie výstupov projektu =

1788

1789

Implementácia a preberanie výstupov projektu bude realizované v súlade s Vyhláškou Ministerstva investícií, regionálneho rozvoja a informatizácie Slovenskej republiky č. 401/2023 Z. z. o riadení projektov a zmenových požiadaviek v prevádzke informačných technológií verejnej správy v zmysle ustanovení podľa § 5 a nasledovných ustanovení.

// //

= {{id name="projekt_2560_Pristup_k_projektu_detailny-10.Prílohy"/}}10. Prílohy =

Koniec dokumentu

// //