projekt_2562_Pristup_k_projektu_detailny

nasadením systému autentifikácie a autorizácie prístupov užívateľov do siete mesta prostredníctvom systému overovania založenom na protokole IEEE 802.1X;

150

151

nasadením systému dvojfaktorového overovania prihlasovania sa používateľov pri prístupe do siete mesta;

152

153

nasadením systému analýzy a sledovania prevádzkových údajov a bezpečnostných udalostí v sieti mesta;

154

155

nasadením systému bezpečnostného manažmentu pre koncové zariadenia mesta;

\\

\\

1. Nasadenie systému autentifikácie a autorizácie prístupov užívateľov do siete mesta Zlaté Moravce

\\

Mesto v súčasnosti nedisponuje žiadnym riešením autentifikácie a autorizácie zariadení ako sú počítače, mobilné zariadenia, prípadne ďalšie zariadenia pri ich pripájaní a prístupe do siete. Mesto tak nemá v súčasnej úrovni zabezpečenia a konfigurácie možnosť zabezpečiť prístup horeuvedených zariadení na úrovni sieťových portov aktívnych sieťových prvkov, typov zariadení a/alebo skupín používateľov. Mesto v rámci projektu požaduje implementovať a nasadiť také riešenie, ktoré umožní nastavovať politiky autentifikácie a autorizácie na úrovni sieťových portov tak, že tieto sa stanú kontrolovateľné a manažovateľné, a teda aj aktívne v závislosti od toho, či v nich pripojené zariadenie je autentifikované a autorizované. Mesto požaduje na základe vykonanej analýzy sieťovej infraštruktúry navrhnúť, implementovať a nasadiť riešenie, ktoré zabezpečí sieť mesta tak, že od používateľa pri pripájaní do siete cez aktívny sieťový prvok vyžiada autentifikáciu podľa protokolu IEEE 802.1X. Používateľ alebo pripájajúce sa zariadenie bude nútené pri prístupe do siete poskytnúť svoje overovacie údaje vyžadované systémom. Všetky autentifikačné údaje z koncových zariadení budú zasielané na centralizované cloudové riešenie dodávateľa s nasadeným RADIUS serverom, ktoré bude zodpovedať za verifikáciu zadaných/získaných overovaných prístupových údajov. Na základe zisteného stavu centrálneho systému bude riešenie v prípade úspešnej autentifikácie priraďovať pripojenému zariadeniu/používateľovi dočasnú VLAN alebo iné prístupové práva do siete a po úspešnej autentifikácii a priradení prístupových práv sieťový prvok otvorí port pre prenos dát v sieti. Takýmto spôsobom bude zabezpečené prostredníctvom protokolu 802.1X, že iba autorizované zariadenia a používatelia budú mať prístup do siete mesta, od čoho sa očakáva zvýšená úroveň informačnej a kybernetickej bezpečnosti a minimalizácia rizík neoprávnených prístupov a útokov v sieti. V rámci projektu sa zároveň plánuje zabezpečenie celkovo 10 ks switchov, ktoré podporujú overovanie prostredníctvom protokolu IEEE 820.1X. Týmto zariadeniami plánuje mesto nahradiť jestvujúce aktívne sieťové prvky, ktorým čoskoro končí predajná ako aj technická podpora zo strany výrobcu a teda nebudú ďalej podporované a nebudú pre tieto zariadenia ďalej vyrábané opravy chýb, aktualizácie a poskytovaná náležitá technická podpora zo strany výrobcu

\\

1. Nasadenie systému dvojfaktorového overovania

170

171

Mesto Zlaté Moravce v súčasnosti nedisponuje žiadnym ďalším faktorom overovania prístupu používateľov do siete. V rámci projektu plánuje nasadenie riešenia pre vzdialený prístup, ktorý bude pozostávať z nasadenia autentifikačného servera vyžadujúceho druhý stupeň overenia používateľa pristupujúceho do siete prostredníctvom implementácie dvojfaktorového overenia pre celkovo 30 používateľov. Autentifikačný server bude zároveň slúžiť ako RADIUS v rámci aktivity č.1 charakterizovanej vyššie. Mesto v rámci minimálnych požiadaviek plánuje, aby autentifikačný server od pristupujúceho používateľa požadoval zadanie mena a hesla a následne, v prípade úspešného zadania týchto prihlasovacích údajov (1. faktor) systém vyžiadal od používateľa zadanie jednorazového hesla, ktoré bude generované prostredníctvom SW tokenu, ktorý bude súčasťou dodávky a celkovej implementácie riešenia. SW token bude inštalovaný na mobilných zariadeniach mesta, ktoré nie sú predmetom projektu. Token bude kompatibilný minimálne s koncovými zariadeniami, ktoré majú inštalovaný iOS, android alebo windows. Súčasťou plnenia bude dodanie klientov VPN s bezpečnostným modelom s nulovou dôverou, t.j. klient bude disponovať funkcionalitou kontroly koncového zariadenia voči nastaveným prístupovým politikám verejného obstarávateľa. VPN klient bude zároveň disponovať funkcionalitou karantény pripájajúcich sa koncových zariadení a umožní izolovať napadnuté koncové zariadenia od zvyšku siete, čím sa zabezpečí minimalizácia hrozieb pre internú sieť mesta z podozrivého zdroja.

\\

1. Nasadenie systému analýzy a sledovania prevádzkových údajov a bezpečnostných udalostí v sieti mesta

176

177

Mesto Zlaté Moravce v súčasnosti nedisponuje žiadnym pokročilým nástrojom na monitoring svojho IT prostredia z pohľadu generovaných prevádzkových udalostí a logov. Podrobné prevádzkové a telemetrické údaje zariadení siete mesta nie sú v súčasnosti nijakým spôsobom zberané, ukladané a ďalej analyzované, pričom tieto dáta predstavujú významný zdroj informácií o prítomných bezpečnostných hrozbách, ktorých včasná detekcia a reakcia na je z pohľadu zachovania vysokej úrovne informačnej a kybernetickej bezpečnosti kľúčová. Mesto v rámci tejto aktivity plánuje zabezpečiť implementáciu a nasadenie riešenia auditného nástroja pre monitoring prevádzkových údajov a bezpečnostných udalostí vo svojej sieti. Riešenie poskytne centralizovaný pohľad na všetky relevantné bezpečnostné informácie z IT infraštruktúry v reálnom čase, ktorým bude predchádzať zber údajov a udalostí prevádzky siete, normalizácia a korelácia zozbieraných údajov. Všetky udalosti a správanie užívateľov v sieti bude možné monitorovať, detegovať neobvyklé prvky správania sa používateľov a administrátorov, čo umožní detekciu potenciálnych ako aj skutočných bezpečnostných incidentov a neobvyklých aktivít voči pravidlám a/alebo minulému stavu. Riešenie bude súčasne podporovať generovanie reportov o činnosti a bezpečnostnej kondícii siete mesta

\\

1. Nasadenie systému bezpečnostného manažmentu pre koncové zariadenia mesta

182

183

V rámci uvedenej aktivity mesto Zlaté Moravce plánuje nasadiť riešenie centrálneho bezpečnostného manažmentu pre koncové stanice vrátane riešenia prevencie a detekcie pred hrozbami z vonkajšieho prostredia. Od nasadeného systému sa bude očakávať zabezpečenie funkcionality centrálnej ochrany a správy koncových staníc.

\\

= {{id name="projekt_2562_Pristup_k_projektu_detailny-4.Architektúrariešeniaprojektu"/}}4. Architektúra riešenia projektu =

188

189

Architektúra riešenia projektu je v zmysle usmernenia MIRRI SR rámcová, aby bolo z projektu možné identifikovať vytvárané komponenty s cieľom realizácie opatrení kybernetickej a informačnej bezpečnosti. Cieľom týchto komponentov je ochrana IS Mesta Zlaté Moravce,

\\

[[image:attach:image-2024-5-3_22-24-41-1.png]]

\\

== {{id name="projekt_2562_Pristup_k_projektu_detailny-4.1NávrhTechnologickejarchitektúry:"/}}4.1 Návrh Technologickej architektúry: ==

\\

**Nasadenie systému autentifikácie a autorizácie prístupov užívateľov do siete verejného obstarávateľa bude založený na troch častiach SW+HW**

**~ **

1. **Centrálny systém správy prístupov**

**~ **

* Centrálny systém umožní centralizované nastavovanie a manažment profilov, prístupov, hostí ako aj možnosť centralizovaného nastavovania pravidiel autorizácie a autentifikácie pri prístupe k službám siete Verejného obstarávateľa;

210

* Centrálny systém umožní definovať prístupové práva a politiky prístupu na základe správcom definovaných pravidiel a súčasne umožní tvorbu rôznych modelov prístupu na základe viaczložkových atribútov ako sú identita používateľa a/alebo zariadenia, autentifikačné protokoly, identifikácia pripájaného koncového zariadenia;

211

* Atribúty overovania prístupu do siete bude možné definovať dynamicky s ohľadom na preferencie správcu siete Verejného obstarávateľa;

212

* Možnosť integrácie na MS Active Directory, RSA OTP a LDAP;

213

* Podpora autentifikácie a autorizácie použitím multistromových domén MS AD, grupovania viacerých nespojených domén do logických skupín;

214

* podpora min. MS AD 2003, 2008, 2008R2, 2012, 2012R2, 2016, 2019;

215

* Možnosť vynútenia používania povolených typov šifrovania pri autentifikácii a súčasne možnosť zakázania vybraných typov šifrovania na základe preferencie správcu siete;

216

* Riešenie umožní riadenie politiky prístupových skupín prostredníctvom jednoduchej segmentácie použitím bezpečnostných tagov a súčasne umožní vykonávať správu segmentácie a správu switchov, routerov, WiFi AP ako aj pravidiel na firewalloch;

217

* Pridávanie zariadení do siete bude podporované automatizovaným poskytovaním a registráciou certifikátov pre štandardné PC a mobilné zariadenia;

218

* Možnosť riešenia rýchleho nasadenia zabezpečeného prístupu k sieti aplikáciou autentifikácie a autorizácie na základe údajov získaných z prihlasovacích údajov rôznych aplikačných úrovní;

219

* Riešenie bude podporovať RADIUS protokol pre autentifikáciu, autorizáciu a accouting;

220

* Podporované protokoly min: PAP, MS-CHAP, EAP-MD5, PEAP, EAP-Flexible, TEAP, podpora autentifikácie použitím protokolov FAST, TLS, TTLS;

221

* Systém bude vykonávať profilovanie a klasifikáciu koncových zariadení prostredníctvom machine learning engine a umožní revidovať profily zariadení/zariadenia pomocou profilových politík využitím machine learning engine-u a súčasne umožní tvorbu prístupových skupín

222

* Centrálny systém umožní vytvárať prístupové skupiny koncových zariadení pomocou profilov a pravidiel, ktoré definuje správca siete Verejného obstarávateľa;

223

* Centralizované riešenie bude súčasne disponovať predefinovanými šablónami koncových zariadení ako sú tlačiarne, IP telefóny, kamery, tablety, smartfóny a pod., ako aj súčasne vytvárať vlastné používateľské šablóny zariadení pr potreby automatického zistenia, klasifikácie a priradenia identít počas pripájania sa do siete;

224

* Riešenie umožní priraďovať autorizačné politiky špecifické pre koncový bod na základe identifikovaného typu zariadenia a súčasne umožní zber údajov o atribútoch tohto bodu pomocou pasívneho monitorovania siete a prevádzkovej telemetrie;

225

* Systém centrálnej správy prístupov sa požaduje nasadiť v cloudovom prostredí poskytovateľa v režime vysokej dostupnosti. Podpora možného budúceho nasadenia v prostredí Verejného obstarávateľa na jeho vlastnej HW infraštruktúre;

**~ **

1. **Switch 8-portov:**

230

231

* Počet Gigabit ethernet portov: 8;

232

* počet uplink rozhraní: 2 1G SFP/ RJ-45 combo

233

* POE+: áno, min. 67 W;

234

* CPU: min. ARM 7 800 Mhz;

235

* DRAM: min. 512 MB;

236

* Pamäť FLASH: min. 256 MB;

237

* Unicast MAC adresy: min. 16 000.

238

* Kapacita preposielania: min. 10 Gbps;

239

* Prepínacia kapacita: min. 20 Gbps;

240

* Rýchlosť preposielania: min. 14,88 Mpps;

241

* IPv4 unicast priame cesty: min. 542;

242

* IPv4 unicast nepriame cesty: min. 256;

243

* IPv6 unicast priame cesty: min. 414;

244

* IPv6 unicast nepriame cesty: min. 128;

245

* IPv4 statické cesty: min. 16;

246

* IPv6 statické cesty: min. 16;

247

* IPv4 a IPv6 multicast skupiny: min. 1024;

248

* Počet aktívnych VLAN: min. 256;

249

* Počet dostupných VLAN IDs: min. 4000;

250

* MTU-L3 paket: min. 9198 bajtov;

251

* Jumbo ethernet rámce: min. 10 240 bajtov.

252

* Unicast MAC adresy: min. 16 000.

**~ **

1. **Switch 48-portov:**

257

258

* Počet Gigabit ethernet portov: 48;

259

* počet uplink rozhraní: 4 SFP 1G

260

* POE+: áno, min. 370 W;

261

* CPU: min. ARM 7 800 Mhz;

262

* DRAM: min. 512 MB;

263

* Pamäť FLASH: min. 256 MB;

264

* Unicast MAC adresy: min. 16 000;

265

* Kapacita preposielania: min. 52 Gbps;

266

* Prepínacia kapacita: min. 104 Gbps;

267

* Rýchlosť preposielania: min. 78,38 Mpps;

268

* IPv4 unicast priame cesty: min. 542;

269

* IPv4 unicast nepriame cesty: min. 256;

270

* IPv6 unicast priame cesty: min. 414;

271

* IPv6 unicast nepriame cesty: min. 128;

272

* IPv4 statické cesty: min. 16;

273

* IPv6 statické cesty: min. 16;

274

* IPv4 a IPv6 multicast skupiny: min. 1024;

275

* Počet aktívnych VLAN: min. 256;

276

* Počet dostupných VLAN IDs: min. 4000;

277

* MTU-L3 paket: min. 9198 bajtov;

278

* Jumbo ethernet rámce: min. 10 240 bajtov.

**~ **

**Nasadenie systému dvojfaktorového overovania bude založené na štyroch častiach:**

\\

1. **Autentifikátor**

\\

* Počet aktívnych používateľov: 30;

291

* Počet SW tokenov na mobilné zariadenia (kompatibilné iOS, android, windows): 30;

292

* Počet užívateľských certifikátov: 30;

293

* Nasadenie na RADIUS server dodávateľa;

294

* Podpora režimu vysokej dostupnosti;

295

* Možnosť upgrade licencie na aspoň konečných počet 50 používateľov;

296

* Podpora hypervízorov: VMware ESXi/ ESX 6ú7/8, Microsoft Hyper-V Server 2010, 2012 RC a 2016, KVM, Xen, Microsoft Azure, AWS, Nutanix AHV, Oracle OCI, Alibaba Cloud;

\\

1. **SW token pre mobilné zariadenia**

\\

* Mobilná aplikácia;

* Kompatibilita s OS: iOS, android, windows;

306

* Počet používateľov: 30;

307

* Nasadenie na koncové mobilné zariadenia Verejného obstarávateľa;

308

* Funkcionalita opakovaného generovania hesiel pre prihlasovanie sa do siete (dynamické generovanie hesiel);

309

* SW token musí byť kompatibilný s dodaným VPN klientom;

310

* Overovanie užívateľov bude zabezpečené prostredníctvom samostatného RADIUS servera nasadeného v prostredí dodávateľa;

311

* Riešenie podporuje time-based ako aj event-based tokeny;

312

* Kompatibilita s OATH.

313

* Možnosť upgrade licencie na aspoň konečných počet 50 používateľov;

\\

1. **Správa koncových zariadení**

**~ **

* Možnosť správy koncových zariadení;

322

* Podpora vzdialenej správy VPN klientov;

323

* riešenie bude podporovať funkcionalitu vzdialenej správy VPN klientov, priraďovanie bezpečnostných profilov pre skupiny koncových zariadení;

324

* podpora nasadzovania VPN klientov;

325

* možnosť správy aktualizácií a verzií klientov VPN;

326

* riešenie disponuje užívateľským dashboardom;

327

* funkcionalita karantény koncových zariadení;

328

* automatizovaný monitoring koncových zariadení (min. v rozsahu: verzia, OS IP/MAC adresa, stav koncového zariadenia);

329

* podpora centralizovaného update klientov;

330

* funkcionalita karantény koncových zariadení;

331

* automatické generovanie správcom definovaných alertov;

332

* priraďovanie bezpečnostných profilov pre skupiny koncových zariadení.

\\

1. **VPN klient**

**~ **

* Počet používateľov: 30;

341

* Inštalácia na koncové stanice a zariadenia Verejného obstarávateľa;

342

* Možnosť konfigurácie zero trust pravidiel prístupu do siete;

343

* Podpora IPSEC VPN a SSL VPN s viacfatorovým overením (podpora mobilného SW tokenu – kompatibilita s navrhovaným riešením Uchádzača);

344

* Podpora webfilteringu;

345

* Podpora výrobcu 24/7;

346

* Jednoduché a prehľadné užívateľské prostredie;

347

* Podpora integrácie na Active Directory;

348

* Dynamické riadenie prístupu;

349

* Podpora užívateľských skupín;

350

* Podpora centrálneho manažmentu a centralizovaného logovania;

351

* Podpora dynamickej voľby brány.

\\

**~ **

**Nasadenie systému analýzy a sledovania prevádzkových údajov a bezpečnostných udalostí v sieti Mesta Zlaté Moravce**

\\

Rozsah minimálnych požiadaviek systému analýza a sledovania prevádzkových údajov a bezpečnostných udalostí v sieti mesta:

362

363

* Kontinuálna aktualizácia kontextových informácií o zariadeniach v rozsahu: konfigurácia, inštalovaný SW a záplaty, spustené služby;

364

* Poskytovanie informácií v reálnom čase o systémovom a aplikačnom výkone;

365

* Poskytovanie informácií v reálnom čase o kontexte používateľa s auditovanými trasami IP adries, zmien identity používateľa, fyzickej a geografickej polohy používateľa;

366

* Automatizovaná detekcia neautorizovaných sieťových zariadení a aplikácií a zmien konfigurácie;

367

* Možnosť monitorovania základných systémových / obvyklých metrík;

368

* Monitoring na systémovej úrovni min. cez SNMP, WMI, PowerShell;

369

* Monitoring na aplikačnej úrovni min. cez: JMX, WMI, PowerShell;

370

* Monitoring virtualizácie pre VMware, HyperV – host/hosť, zdrojový pool a úroveň zhluku;

371

* Monitoring výkonu využitia úložiska – EMC, NetAPP, Isilon, Nutanix, Nimble, Data Domain;

372

* Monitoring výkonu MS AD a Exchange cez WMI a Poweshell;

373

* Monitoring databáz: min. Oracle, MS SQL, MySQL cez JDBC;

374

* Monitoring VoIP infraštruktúry cez IPSAL, SNMP, CDR/CMR;

375

* Monitoring výkonu aplikácií cez Netflow, SFlow, CISCO AVC, NBAR;

376

377

Možnosť monitoringu dostupnosti systémov cez min.: Ping, SNMP, WMU, uptime analýzu, BGP/OSPF/EIGRP status, dostupnosť portov;

378

379

* Možnosť pridania vlastných, užívateľom definovaných metrík monitoringu;

380

* Možnosť ukladania konfiguračných súborov a údajov o verziách SW do verzionovaného adresára;

381

* Automatizované detekcie zmien v nastaveniach siete a inštalovanom SW;

382

* Automatizované detekcie zmien súborov/adresárov WIN/Linux s uvedením údajov po užívateľovi;

383

* Automatizované detekcie zmien schváleného konfiguračného súboru;

384

* Automatizované zisťovanie zmien v registroch systémov WIN;

385

* Monitorovanie kontextu z aktívnych sieťových prvkov, Malware ochrany, serverov (WIN/Linux), DNS, DHCP, DFS, AAA, doménových radičov, VoIP, Web serverov, aplikačných serverov, mail serverov, databáz, úložísk (NetAPP, EMC, Nutanix, Data Domain), UPS a virtualizácie (napr. VMware ESX, MS HyperVScalable, Flexible Log Collection);

386

* Zber, parsovanie, normalizácia a indexovanie logov;

387

* Možnosť vytvárania nových parserov;

388

* Vytváranie notifikácií na základe správcom definovaných pravidiel / politík;

389

* Možnosť vynútenia spustenia nápravných skriptov v prípade výskytu špecifického incidentu;

390

* Možnosť integrácie na systémy tretích strán prostredníctvom API;

391

* Nastaviteľné dashboardy so zobrazovaním udalostí v reálnom čase a možnosť filtrovania na základe KPI;

392

* Možnosť tvorby reportov a ich zdieľanie medzi používateľmi;

393

* Možnosť vizualizácie udalostí na základe zmeny farby v závislosti od kritickosti udalosti;

394

* Možnosť vytvárania skupín dashboardov v závislosti od monitorovanej domény;

395

* Vyhľadávanie udalostí v reálnom čase;

396

* Vyhľadávanie v udalostiach na základe zadania kľúčových slov a vyhľadávanie podľa spracovaných atribútov a udalostí;

397

* Možnosť vyhľadávania v historických udalostiach s možnosťou definovania podmienok filtrovania;

398

* Vytváranie dynamických zoznamov monitorovaných používateľov s možnosťou použitia tohto zoznamu v akomkoľvek pravidle pre reportovanie;

399

* Možnosť definície základného stavu („baseline“) pre účely detekcie anomálií (napr. stanovenie základného stavu pre určité zariadenie, v určitú časovú dobu, konkrétny deň...);

400

* Možnosť nastavenia ľubovoľného, používateľom definovaného základného stavu;

401

* Jednoduché a intuitívne grafické užívateľské rozhranie pre administráciu systému;

402

* Možnosť definovania prístupov do systému pre viaceré úrovne rolí a zodpovedností;

403

* Komunikácia so systémom musí byť zabezpečená;

404

* Aktivita používateľov musí byť auditovateľná;

405

* Možnosť aktualizácie parsovacích pravidiel a správ;

406

* Možnosť nastavovania archivácie na základe nastavených politík;

407

* Nasadenie celého riešenia v cloudovom prostredí dodávateľa;

408

* Objem spracúvaných udalostí: min. 500 EPS;

409

* Počet monitorovaných zariadení/systémov: min. 50;

410

* Riešenie bude schopné vykonávať analýzy bezpečnostných udalostí generovaných z jestvujúceho firewallu Vereného obstarávateľa (nutnosť kompatibility s Fortigate 60F, ktorým Verejný obstarávateľ disponuje);

411

* Dodávateľ zabezpečí zber, analýzu a vyhodnocovanie prichádzajúcich logov v režime 24/7/365 s cieľom včasnej detekcie ako aj reakcie na prichádzajúce podozrivé udalosti v sieti Verejného obstarávateľa;

412

* Dodávateľ v rámci systému zabezpečí detekciu útokov a podozrivých aktivít v log záznamoch, udalostiach a alarmoch, aktívne vyhľadávanie hrozieb a odhaľovanie anomálií a prešetrovanie bezpečnostných incidentov;

413

* Dodávateľ zabezpečí monitoring zberu udalostí a spracúvania sieťových tokov, evidenciu a kategorizáciu detegovaných problémov ako aj riešenie vzniknutých problémov;

414

* Súčasťou riešenia bude správa nodov/kolektorov logov, integrácia na zdroje logov siete Verejného obstarávateľa;

415

* Dodávateľ zabezpečí upozornenie správcu siete Verejného obstarávateľa na udalosť v sieti, ktorú na základe logov vyhodnotí ako rizikovú a na ktorú bude potrebné vykonať operatívny zásah;

\\

**Nasadenie systému bezpečnostného manažmentu pre koncové zariadenia**

**~ **

Od nasadeného systému sa bude očakávať zabezpečenie funkcionality centrálnej ochrany a správy koncových staníc v rozsahu nasledovnej minimálnej požadovanej funkcionality:

424

425

* Možnosti centrálnej správy a manažmentu v rámci samostatného používateľsky prívetivého GUI;

426

* Automatické reakcie systému na hrozby;

427

* Možnosť centralizovaného provisioningu klientov;

428

* Možnosť tvorby a zasielania automatizovaných notifikácií;

429

* Možnosť integrácie na systém správy identít (min. MS AD);

430

* Riešenie bude uvádzať na centralizovanej úrovni údaje o prevádzke na koncovej stanici a to v reálnom čase;

431

* Riešenie umožní nasadzovať klientov na koncových zariadeniach vzdialene;

432

* Možnosť vykonania antivírového skenu na vyžiadanie;

433

* Možnosť vykonania skenu zraniteľností na vyžiadanie;

434

* Možnosť izolácie alebo obmedzenia prístupu k infikovanému zariadeniu (karanténa);

435

* Funkcionalita antivíru novej generácie – AI NGAV;

436

* Možnosť vynucovania bezpečnostných politík pre koncové zariadenia;

437

* Možnosť nastavovania webových filtrov pre koncové stanice;

438

* Detekcie pred známymi hrozbami;

439

* Ochrana IPSec VPN klienta;

440

* Funkcionalita aplikačného firewallu;

441

* Možnosť inventarizácie inštalovaného SW na koncových zariadeniach;

442

* Automatizované kontroly aplikácií;

443

* Kontrola pripojených USB;

444

* Kontrola dodržiavania politik aktualizácií firmware;

445

* Ochrana pred malware;

446

* Ochrana pred ransomware;

447

* Riešenie bude na centrálnej úrovni poskytovať informácie o nainštalovanom klientovi na koncovom zariadení min. v členení verzia, operačný systém, IP adresa, MAC adresa, užívateľský profil;

448

* Riešenie umožní sledovať telemetrické údaje koncových zariadení a monitorovať ich stav ako aj reportovať telemetrické údaje na úrovni centralizovaného manažmentu;

449

* Riešenie musí byť kompatibilné min s MS WINDOWS, iOS, Linux a MacOS.

\\

\\

= {{id name="projekt_2562_Pristup_k_projektu_detailny-5.ZávislostinaostatnéISVS/projekty"/}}5. Závislosti na ostatné ISVS / projekty =

456

457

Predkladaný projekt nemá priamu väzbu na iné IT projekty v rámci mesta. Jeho realizácia si nevyžaduje väzby na predchádzajúce ani nasledujúce IT projekty, no jeho výstupy môžu ovplyvňiť prevádzku budúcich systémov v rámci mesta ako aj ich architektúru.

**~ **

= {{id name="projekt_2562_Pristup_k_projektu_detailny-6.Zdrojovékódy"/}}6. Zdrojové kódy =

\\

Bude dodržaný princíp otvorenosti, tzn. duševným vlastníkom všetkých výstupov, vrátane technológie a zdrojového kódu bude mesto.

\\

Predpokladá sa, že riešenie bude dodané ako unikátne SW dielo na základe zmluvy o dielo vyvinuté pre potreby mesta. Zdrojový kód, vytvorený počas zhotovovania, bude otvorený v súlade s licenčnými podmienkami verejnej softvérovej licencie Európskej únie podľa osobitného predpisu[[^^~[1~]^^>>path:#_ftn1||name="_ftnref1" shape="rect"]]^^ ^^a to v rozsahu, v akom zverejnenie tohto kódu nemôže byť zneužité na činnosť smerujúcu k narušeniu alebo k zničeniu informačného systému. Zmluva s dodávateľom bude pripravená tak, aby po skončení zmluvného vzťahu, v rámci ktorého bolo unikátne SW dielo vytvorené a po istú dobu prevádzkované pôvodným dodávateľom, disponovalo mesto všetkými oprávneniami potrebnými pre ďalšiu prevádzku a rozvoj tohto diela bez závislosti na pôvodnom dodávateľovi, teda i prostredníctvom nového dodávateľa vybraného v neobmedzenej súťaži dodávateľov.

\\

Ak bude súčasťou dodávky aj tzv. špecializované konfigurovateľné riešenie[[^^~[2~]^^>>path:#_ftn2||name="_ftnref2" shape="rect"]], resp. špecializovaný SW, alebo ak pôjde o licenciu špecializovaného SW, tak obstaranie a užívanie špecializovaného SW sa bude riadiť štandardnými zmluvnými podmienkami dodávateľa. Pokiaľ ide o prispôsobenie/nadstavbu nad špecializovaným SW, ktoré bude zohľadňovať špecifické potreby a podmienky, zdrojový kód, vytvorený počas zhotovovania, bude otvorený v súlade s licenčnými podmienkami verejnej softvérovej licencie Európskej únie podľa osobitného predpisu a to v rozsahu, v akom zverejnenie tohto kódu nemôže byť zneužité na činnosť smerujúcu k narušeniu alebo k zničeniu informačného systému. Požadovaná bude podrobná dokumentácia, aby bolo možné prevádzkovanie a rozvoj aj inými dodávateľmi.

\\

= {{id name="projekt_2562_Pristup_k_projektu_detailny-7.Prevádzkaaúdržba"/}}7. Prevádzka a údržba =

**TO BE stav**

Prevádzka a údržba sa bude realizovať v rámci dohodnutého SLA v adekvátnom rozsahu.

\\

Monitorovanie HW a celkovo IT prostredia

486

487

V tejto oblasti bude zabezpečené 24/7 sledovanie IT prostredia a jeho vyhodnocovanie a reportovanie na periodickej báze (zvyčajne 1 mesiac). Prijímanie a riešenie problémov prostredníctvom incident manažment systému. Monitorovanými objektami môžu byť osobné počítače, servery, databázy, počítačová sieť a pod. Monitorovanie HW zahŕňa: Servre, Záložné zdroje, sieťové prvky a pod.

488

489

Z hľadiska správy IT prostredia bude súčasťou SLA aj vstupný audit a jeho ročná aktualizácia a štandardné služby ako: Sieťová podpora, serverová podpora, správa bezpečnosti, hot line podpora .

490

491

V rámci prevádzky vnútornej siete bude bezpečnosť zaisťovaná firewallom a jeho správou a ostatnými podpornými technológiami aj pre ochranu koncových staníc (aplikačné firewally, anti-malware, a pod.)

// //

== {{id name="projekt_2562_Pristup_k_projektu_detailny-7.1Prevádzkovépožiadavky"/}}7.1 Prevádzkové požiadavky ==

// //

=== {{id name="projekt_2562_Pristup_k_projektu_detailny-7.1.1Úrovnepodporypoužívateľov:"/}}7.1.1 Úrovne podpory používateľov: ===

**// //**

Help Desk bude realizovaný cez 3 úrovne podpory, s nasledujúcim označením:

\\

* **L1 podpory IS** (Level 1, priamy kontakt zákazníka) – zabezpečuje mesto

508

* **L2 podpory IS** (Level 2, postúpenie požiadaviek od L1) - vybraná skupina garantov, so znalosťou IS (zabezpečuje mesto v spolupráci s dodávateľom)

509

* **L3 podpory IS** (Level 3, postúpenie požiadaviek od L2) - na základe zmluvy o podpore IS (zabezpečuje úspešný uchádzač).

\\

**__Definícia:__**

**__ __**

* **Podpora L1 (podpora 1. stupňa)** - začiatočná úroveň podpory, ktorá je zodpovedná za riešenie základných problémov a požiadaviek koncových užívateľov a ďalšie služby vyžadujúce základnú úroveň technickej podpory. Základnou funkciou podpory 1. stupňa je zhromaždiť informácie, previesť základnú analýzu a určiť príčinu problému a jeho klasifikáciu. Typicky sú v úrovni L1 riešené priamočiare a jednoduché problémy a základné diagnostiky, overenie dostupnosti jednotlivých vrstiev infraštruktúry (sieťové, operačné, vizualizačné, aplikačné atď.) a základné užívateľské problémy (typicky zabudnutie hesla), overovanie nastavení SW a HW atď.

\\

* **Podpora L2 (podpora 2. stupňa)** – riešiteľské tímy s hlbšou technologickou znalosťou danej oblasti. Riešitelia na úrovni Podpory L2 nekomunikujú priamo s koncovým užívateľom, ale sú zodpovední za poskytovanie súčinnosti riešiteľom 1. úrovne podpory pri riešení eskalovaného hlásenia, čo mimo iného obsahuje aj spätnú kontrolu a podrobnejšiu analýzu zistených dát predaných riešiteľom 1. úrovne podpory. Výstupom takejto kontroly môže byť potvrdenie, upresnenie, alebo prehodnotenie hlásenia v závislosti na potrebách Objednávateľa. Primárnym cieľom riešiteľov na úrovni Podpory L2 je dostať Hlásenie čo najskôr pod kontrolu a následne ho vyriešiť - s možnosťou eskalácie na vyššiu úroveň podpory – Podpora L3.

\\

* **Podpora L3 (podpora 3. stupňa)** - Podpora 3. stupňa predstavuje najvyššiu úroveň podpory pre riešenie tých najzložitejších hlásení, vrátane prevádzania hĺbkových analýz a riešenie extrémnych prípadov.

\\

**Pre služby sú definované takéto SLA:**

**~ **

Služby pre obyvateľov Po – Pia 6:00 - 18:00

534

535

Služby pre zamestnancov mesta Po – Pia, 7:00 - 19:00

\\

**Riešenie incidentov – SLA parametre**

\\

\\

Za incident je považovaná chyba IS, t.j. správanie sa v rozpore s prevádzkovou a používateľskou dokumentáciou IS. Za incident nie je považovaná chyba, ktorá nastala mimo prostredia IS napr. výpadok poskytovania konkrétnej služby Vládneho cloudu alebo komunikačnej infraštruktúry.

\\

Tabuľka č. 15 - Označenie naliehavosti incidentu

550

551

(% class="wrapped" %)

552

(% class="" %)|(((

553

**Označenie naliehavosti incidentu**

554

)))|(((

555

**Závažnosť incidentu**

556

)))|(((

557

**Popis naliehavosti incidentu**

)))

(% class="" %)|(((

**A**

)))|(((

**Kritická**

)))|(((

Je to vada spôsobená vážnou chybou a/alebo nedostatkom dodávanej softvérovej aplikácie, pričom táto chyba a/alebo nedostatok zabraňuje používaniu dodávanej softvérovej aplikácie nasledovne:

565

566

(i) Aplikačné funkcie (moduly, komponenty, objekty, programy) dodávanej softvérovej aplikácie nie sú funkčné ako celok

alebo

(ii) nie je možné vykonať akýkoľvek výber a výstup z databázy údajov dodávanej softvérovej aplikácie a nie je možné vykonať prístup k databáze údajov dodávanej softvérovej aplikácii.

)))

(% class="" %)|(((

**B**

)))|(((

**Vysoká**

)))|(((

Je vada, spôsobená chybou a/alebo nedostatkom dodávanej softvérovej aplikácie, pričom táto chyba a/alebo nedostatok obmedzuje používanie dodávanej softvérovej aplikácie nasledovne:

578

579

(i) Niektoré aplikačné funkcie (moduly, komponenty, objekty, programy) dodávanej softvérovej aplikácie nie sú funkčné alebo nie je umožnený prístup k niektorej aplikačnej funkcii (modulu, komponentu, objektu, programu) dodávanej softvérovej aplikácie

alebo

(ii) Nie je možné vykonať výber niektorých údajov alebo nie je možné vyhotoviť niektorý výstup z databázy údajov dodávanej softvérovej aplikácie alebo nie je možné vykonať prístup k niektorým údajom v databáze údajov dodávanej softvérovej aplikácie.

584

585

napr. tlač pomocných výstupov, zostavy, funkčnosť nesúvisiaca s vyrubením a pod.

)))

(% class="" %)|(((

**C**

)))|(((

**Stredná**

)))|(((

Do tejto kategórie spadajú všetky chyby a/alebo nedostatky spojené s používaním dodávanej softvérovej aplikácie, ktoré nie sú klasifikované ako závažné alebo kritické vady, pričom však čiastočne obmedzujú používanie dodávanej softvérovej aplikácie a vyžadujú si:

593

594

(i) Nastavenie parametrov systému Poskytovateľom

alebo

(ii) Vzniknutá vada a/alebo nedostatok má za príčinu miernu nepohodlnosť pri práci so softvérovou aplikáciou, ktorá je však funkčná.

)))

\\

Tabuľka č. 16 - Možný dopad

604

605

(% class="wrapped" %)

606

(% class="" %)|(((

607

**Označenie závažnosti incidentu**

)))|(((

**~ **

**Dopad**

)))|(((

**Popis dopadu**

)))

(% class="" %)|(((

**1**

)))|(((

**katastrofický**

)))|(((

katastrofický dopad, priamy finančný dopad alebo strata dát,

)))

(% class="" %)|(((

**2**

)))|(((

**značný**

)))|(((

značný dopad alebo strata dát

)))

(% class="" %)|(((

**3**

)))|(((

**malý**

)))|(((

malý dopad alebo strata dát

)))

\\

Tabuľka č. 17 - Výpočet priority incidentu je kombináciou dopadu a naliehavosti v súlade s best practices ITIL V3 uvedený v nasledovnej matici

640

641

(% class="wrapped" %)

642

(% class="" %)|(% colspan="2" rowspan="2" %)(((

643

**Matica priority incidentov**

644

)))|(% colspan="3" %)(((

**Dopad**

)))

(% class="" %)|(((

**Katastrofický - 1**

)))|(((

**Značný - 2**

)))|(((

**Malý - 3**

)))

(% class="" %)|(% rowspan="3" %)(((

**Naliehavosť**

)))|(((

**Kritická - A**

)))|(((

1

)))|(((

2

)))|(((

3

)))

(% class="" %)|(((

**Vysoká - B**

)))|(((

2

)))|(((

3

)))|(((

3

)))

(% class="" %)|(((

**Stredná - C**

)))|(((

2

)))|(((

3

)))|(((

4

)))

**~ **

**Vyžadované reakčné doby:**

\\

Tabuľka č. 18 - Vyžadované reakčné doby

691

692

(% class="wrapped" %)

693

(% class="" %)|(((

694

**Označenie priority incidentu**

695

)))|(((

696

**Reakčná doba^^(1)^^ od nahlásenia incidentu po začiatok riešenia incidentu**

697

)))|(((

698

**Doba konečného vyriešenia incidentu od nahlásenia incidentu (DKVI) ^^(2)^^**

699

)))|(((

700

**Spoľahlivosť ^^(3)^^**

701

702

(počet incidentov za mesiac)

)))

(% class="" %)|(((

**1**

)))|(((

0,5 hod.

)))|(((

4 hodín

)))|(((

1

)))

(% class="" %)|(((

**2**

)))|(((

1 hod.

)))|(((

12 hodín

)))|(((

2

)))

(% class="" %)|(((

**3**

)))|(((

1 hod.

)))|(((

24 hodín

)))|(((

10

)))

(% class="" %)|(((

**4**

)))|(((

1 hod.

)))|(% colspan="2" %)(((

736

Vyriešené a nasadené v rámci plánovaných releasov

)))

**~ **

* (1) Reakčná doba je čas medzi nahlásením incidentu verejným obstarávateľom (vrátane užívateľov IS, ktorí nie sú v pracovnoprávnom vzťahu s verejným obstarávateľom) na helpdesk úrovne L3 a jeho prevzatím na riešenie.

\\

* (2) DKVI znamená obnovenie štandardnej prevádzky - čas medzi nahlásením incidentu verejným obstarávateľom a vyriešením incidentu úspešným uchádzačom (do doby, kedy je funkčnosť prostredia znovu obnovená v plnom rozsahu). Doba konečného vyriešenia incidentu od nahlásenia incidentu verejným obstarávateľom (DKVI) sa počíta počas celého dňa. Do tejto doby sa nezarátava čas potrebný na nevyhnutnú súčinnosť verejného obstarávateľa, ak je potrebná pre vyriešenie incidentu. V prípade potreby je úspešný uchádzač oprávnený požadovať od verejného obstarávateľa schválenie riešenia incidentu.

\\

* (3) Maximálny počet incidentov za kalendárny mesiac. Každá ďalšia chyba nad stanovený limit spoľahlivosti sa počíta ako začatý deň omeškania bez odstránenia vady alebo incidentu. Duplicitné alebo technicky súvisiace incidenty (zadané v rámci jedného pracovného dňa, počas pracovného času 8 hodín) sú považované ako jeden incident.

\\

* (4) Incidenty nahlásené verejným obstarávateľom úspešnému uchádzačovi v rámci testovacieho prostredia

754

755

1. Majú prioritu 3 a nižšiu

756

1. Vzťahujú sa výhradne k dostupnosti testovacieho prostredia

757

1. Za incident na testovacom prostredí sa nepovažuje incident vztiahnutý k práve testovanej funkcionalite.

\\

Vyššie uvedené SLA parametre nebudú použité pre nasledovné služby:

762

763

* Služby systémovej podpory na požiadanie (nad paušál)

764

* Služby realizácie aplikačných zmien vyplývajúcich z legislatívnych a metodických zmien (nad paušál)

765

766

Pre tieto služby budú dohodnuté osobitné parametre dodávky.

// //

== {{id name="projekt_2562_Pristup_k_projektu_detailny-7.2PožadovanádostupnosťIS:"/}}7.2 Požadovaná dostupnosť IS: ==

\\

Tabuľka č. 19 - Požadovaná dostupnosť IS:

775

776

(% class="wrapped" %)

(% class="" %)|(((

**//Popis//**

)))|(((

**//Parameter//**

)))|(((

**//Poznámka//**

)))

(% class="" %)|(((

**Prevádzkové hodiny**

)))|(((

12 hodín

)))|(((

Služby pre obyvateľov Po – Pia 6:00 - 18:00

790

791

Služby pre zamestnancov mesta Po – Pia, 7:00 - 19:00

\\

)))

(% class="" %)|(% rowspan="2" %)(((

**Servisné okno**

)))|(((

10 hodín

)))|(((

od 19:00 hod. - do 5:00 hod. počas pracovných dní

)))

(% class="" %)|(((

24 hodín

)))|(((

od 00:00 hod. - 23:59 hod. počas dní pracovného pokoja a štátnych sviatkov

806

807

Servis a údržba sa bude realizovať mimo pracovného času.

808

)))

809

(% class="" %)|(((

810

**Dostupnosť produkčného prostredia IS**

)))|(((

97%

)))|(((

· 97% z 24/7/365 t.j. max ročný výpadok je 10,95 dňa.

815

816

· Maximálny mesačný výpadok je 21,9 hodiny.

817

818

· Vždy sa za takúto dobu považuje čas od 0.00 hod. do 23.59 hod. počas pracovných dní v týždni.

819

820

· Nedostupnosť IS sa počíta od nahlásenia incidentu Zákazníkom v čase dostupnosti podpory Poskytovateľa (t.j. nahlásenie incidentu na L3 v čase od 6:00 hod. - do 18:00 hod. počas pracovných dní). Do dostupnosti IS nie sú započítavané servisné okná a plánované odstávky IS.

821

822

· V prípade nedodržania dostupnosti IS bude každý ďalší začatý pracovný deň nedostupnosti braný ako deň omeškania bez odstránenia vady alebo incidentu.

)))

// //

=== {{id name="projekt_2562_Pristup_k_projektu_detailny-7.2.1Dostupnosť(Availability)"/}}7.2.1 Dostupnosť (Availability) ===

// //

Dostupnosť znamená, že dáta sú prístupné v okamihu jej potreby. Narušenie dostupnosti sa označuje ako nežiaduce zničenie (destruction) alebo nedostupnosť. Dostupnosť je zvyčajne vyjadrená ako percento času v danom období, obvykle za rok.// //V projekte sa uvažuje// //**97% dostupnosť** znamená výpadok 10,95 dňa

832

833

=== {{id name="projekt_2562_Pristup_k_projektu_detailny-7.2.2RTO(RecoveryTimeObjective)"/}}7.2.2 RTO (Recovery Time Objective) ===

834

835

V rámci projektu sa očakáva tradičné zálohovanie - výpadok a obnova trvá cca hodiny až dni

836

837

=== {{id name="projekt_2562_Pristup_k_projektu_detailny-7.2.3RPO(RecoveryPointObjective)"/}}7.2.3 RPO (Recovery Point Objective) ===

838

839

V rámci projektu sa očakáva tradičné zálohovanie - výpadok a obnova trvá cca hodiny až dni

\\

= {{id name="projekt_2562_Pristup_k_projektu_detailny-8.Požiadavkynapersonál"/}}8. Požiadavky na personál =

844

845

Projektový manažér - Projektový manažér riadi projekt v súlade so Zmluvou o poskytnutí́ NFP, usmerneniami a pokynmi poskytovateľa súvisiacimi s čerpaním fondov EÚ a komunikáciu s SO, zmluvou o poskytnutí NFP a ďalšími relevantnými riadiacimi dokumentmi a usmerneniami riadiaceho orgánu alebo sprostredkovateľského orgánu, zodpovednosť za činnosti súvisiace s podpornými aktivitami publicity projektu.

\\

Manažér kybernetickej a informačnej bezpečnosti - zodpovedá za dodržanie princípov a štandardov na kybernertickú a IT bezpečnosť, za kontrolu a audit správnosti riešenia v oblasti bezpečnosti. Koordinuje a riadi činnosť v oblasti bezpečnosti prevádzky IT, spolupracuje na projektoch, na rozvoji nástrojov a postupov k optimalizácii bezpečnostných systémov a opatrení. Stanovuje základné požiadavky, podmienky a štandardy pre oblasť bezpečnosti programov, systémov, databázy či sieti. Spracováva a kontroluje príslušné interné predpisy a dohliada nad plnením týchto štandardov a predpisov. Kontroluje a riadi činnosť nad bezpečnostnými testami, bezpečnostnými incidentmi v prevádzke IT. Poskytuje inštrukcie a poradenstvo používateľom počítačov a informačných systémov pre oblasť bezpečnosti

\\

Finančný manažér - príprava podkladov pre žiadosti o platbu, príprava a nahrávanie samotných žiadostí o platbu, príprava podkladov pre monitorovanie projektu, príprava a nahrávanie samotných monitorovacích správ, prípravu podkladov pre verejné obstarávania k projektu, príprava kontrol verejných obstarávaní, práce súvisiace so zmenami na projekte, komunikácia s RO a pod.

854

855

Špecialista pre publicitu - Bude zabezpečovať publicitu projektu a informovanosť v súlade s Manuálom pre informovanie a komunikáciu pre prijímateľov OPII 2014 – 2020 a spolupracovať s používateľmi riešenia v rámci prieskumov spokojnosti.

\\

\\

= {{id name="projekt_2562_Pristup_k_projektu_detailny-9.Implementáciaapreberanievýstupovprojektu"/}}9. Implementácia a preberanie výstupov projektu =

\\

Projekt bude realizovaný prostredníctvom 1 inkrementu. Keďže v rámci projektu budú realizované analytické aktivity, ako napr. Analýza súčasného stavu vo forme auditu sú aktivity týkajúce sa samotného vývoja/návrhu systémov v pláne po ukončení verejného obstarávania.

866

867

Následne realizácia implementačných prác bude realizovaná agilným prístupom so zohľadňovaním výsledkom ďalších aktivít projektu. Pri agilných metódach práce sa realizujú malé porcie výsledkov v každom vývojovom cykle, iterácii, v tesnej spolupráci so zákazníkom.

\\

// //

= {{id name="projekt_2562_Pristup_k_projektu_detailny-10.Prílohy"/}}10. Prílohy =

// //

\\

\\

\\

[[~[1~]>>path:#_ftnref1||name="_ftn1" shape="rect"]] Vykonávacie rozhodnutie Komisie (EÚ) 2017/863 z 18. mája 2017, ktorým sa aktualizuje verejná open source softvérová licencia Európskej únie (EUPL) v záujme ďalšej podpory zdieľania a opätovného používania softvéru vyvinutého verejnými správami (Ú. v. EÚ L 128, 19. 5. 2017).

884

885

[[~[2~]>>path:#_ftnref2||name="_ftn2" shape="rect"]] Viď Koncepcia nákupu IT vo verejnej správe, [[https:~~/~~/sp.vicepremier.gov.sk/verejne-obstaravanie-IKT/Verejn/2019_05_16_Koncepcia_nakupu_IT_s%20prilohami_schvalene_znenie.pdf>>url:https://sp.vicepremier.gov.sk/verejne-obstaravanie-IKT/Verejn/2019_05_16_Koncepcia_nakupu_IT_s%20prilohami_schvalene_znenie.pdf||shape="rect"]]

Wiki zdrojový kód pre projekt_2562_Pristup_k_projektu_detailny

Aplikácie

Navigácia

Moje posledné úpravy

Need help?