PROJEKTOVÝ ZÁMER

Vzor pre manažérsky výstup  I-02

 podľa vyhlášky MIRRI č. 401/2023 Z. z. 

Schvaľovanie dokumentu

1.    História DOKUMENTU

2.    ÚČEL DOKUMENTU

Projektový zámer je v súlade s vyhláškou 401/2023 Z.z určený na rozpracovanie detailných informácií prípravy projektu z pohľadu aktuálneho stavu, budúceho stavu a navrhovaného riešenia zvýšenia kybernetickej a informačnej bezpečnosti mesta Zlaté Moravce

3.    DEFINOVANIE PROJEKTU

3.1       Manažérske zhrnutie

Realizáciou projektu dôjde k zlepšeniu úrovne sieťovej a komunikačnej bezpečnosti, úrovne pri prevádzke informačných systémov a sietí a úrovne zabezpečenia prístupu užívateľov k sieti mesta Zlaté Moravce. Nakoľko v meste absentujú nástroje monitoringu resp priebežných hlbších analýzy a sledovania prevádzkových údajov a analýz bezpečnostných udalostí v sieti, je predmetom projektu aj zlepšenie tejto oblasti.

Výsledky projektu prinesú zníženie počtu bezpečnostných incidentov a zvýšenie bezpečnosti prevádzkovaných sietí a k celkovému posilneniu kybernetickej bezpečnosti mesta Zlaté Moravce. Tieto prínosy plynú ako pre používateľov systémov tak aj pre občanov.

3.2       Motivácia a rozsah projektu

Mesto v súčasnosti nedisponuje žiadnym riešením autentifikácie a autorizácie zariadení ako sú počítače, mobilné zariadenia, prípadne ďalšie zariadenia pri ich pripájaní a prístupe do siete. Mesto tak nemá v súčasnej úrovni zabezpečenia a konfigurácie možnosť zabezpečiť prístup horeuvedených zariadení na úrovni sieťových portov aktívnych sieťových prvkov, typov zariadení a/alebo skupín používateľov. Cieľom projektu je implementovať riešenie, ktoré umožní nastavovať politiky autentifikácie a autorizácie na úrovni sieťových portov tak, že tieto sa stanú kontrolovateľné a manažovateľné, a teda aj aktívne v závislosti od toho, či v nich pripojené zariadenie je autentifikované a autorizované.

Mesto Zlaté Moravce v súčasnosti nedisponuje žiadnym ďalším faktorom overovania prístupu používateľov do siete. V rámci projektu je potrebné nasadenie riešenia pre vzdialený prístup, ktorý bude pozostávať z nasadenia autentifikačného servera vyžadujúceho druhý stupeň overenia používateľa pristupujúceho do siete prostredníctvom implementácie dvojfaktorového overenia pre celkovo 30 používateľov.

Mesto Zlaté Moravce v súčasnosti nedisponuje žiadnym pokročilým nástrojom na monitoring svojho IT prostredia z pohľadu generovaných prevádzkových udalostí a logov. Podrobné prevádzkové a telemetrické údaje zariadení siete mesta nie sú v súčasnosti zberané, ukladané a ďalej analyzované, pričom tieto dáta predstavujú významný zdroj informácií o prítomných bezpečnostných hrozbách, ktorých včasná detekcia a reakcia na je z pohľadu zachovania vysokej úrovne informačnej a kybernetickej bezpečnosti kľúčová. Mesto Zlaté Moravce v rámci tejto aktivity plánuje zabezpečiť implementáciu a nasadenie riešenia auditného nástroja pre monitoring prevádzkových údajov a bezpečnostných udalostí vo svojej sieti.

Mesto Zlaté Moravce plánuje nasadiť riešenie centrálneho bezpečnostného manažmentu pre koncové stanice vrátane riešenia prevencie a detekcie pred hrozbami z vonkajšieho prostredia. Cieľom nasadeného systému je zabezpečenie funkcionality centrálnej ochrany a správy koncových staníc.

3.2.1 Rozsah aktív mesta Zlaté Moravce pre hodnotenie dopadu prípadného kybernetického incidentu

Aktíva mesta Zlaté Moravce, ktoré je možné z hľadiska kybernetického incidentu považovať za najviac zraniteľnýmy je možné rozdeliť na informačné systémy a sieťovú infraštruktúru. Konkrétne uvádzanie zraniteľných miest týchto aktív nebude v tomto dokumente zverejnené.

Dotknuté informačné systémy mesta: 

Informačný systém Korwin

Modulárny informačný systém zahŕňajúci Ekonomický a Evidenčný podsystém, manažérsky a administrátorský modul. Tento IS zahŕňa všetky činnosti mesta spojené s vedením účtovnícva a ekonomických agiend, evidenciou potrebných katalógov a databáz ako aj základné riadenie prístupov. 

Informačný systém Memphis

Je registratúrnym systémom mesta Zlaté Moravce. 

Informačný systém VEMA cloud

Informačný systém na spracovanie miezd zamestnancov mesta.

Informačný systém ascAgenda

komplexný informačný systém na riadenie a kompletnú administratívu školy. Od evidencie žiakov cez prácu s tlačivami až po funkcie ako elektronická žiacka knižka alebo elektronická triedna kniha.

Dochádzkový systém - Biometric

Elektronický systém na evidenciu prístupov zamestnancov a dochádzku

Sieťová infraštruktúra je tvorená:

Lokálna sieť - 48 portový switch + domain controller + dhcp

Wifi sieť (oddelená od Lokálnej siete) - Wireless controller

Prepojenie na štátne systémy (Regob a cisma je prepojenie na štátne registre pre matričnú agendu a evidenciu obyvateľstva)

Pripojenie do Internetovej siete - router ISP

Mailový server - MS Exchange

V rámci mesta sa využívajú aj klientské rozhrania ako napr. Finančnej správy, sociálnej a zdravotných poisťovní, ÚPVS a pod.

Hlavným cieľom projektu je realizácia opatrení KIB  definovaných v zákone o kybernetickej bezpečnosti a v zákone o ISVS, teda najmä tých, ktoré vykazujú nesúlad s uvedenými normami a vyhláškou 362/2018 Z.z. a ktorých implementáciou dôjde k zvýšeniu ochrany v maximálnej možnej miere  pred kybernetickým incidentom, ktorý by pre súčasné aktíva a infraštruktúru mesta Zlaté Moravce predstavoval nasledovný dopad:

3.3       Zainteresované strany/Stakeholderi

3.4       Ciele projektu

3.5       Merateľné ukazovatele (KPI)

3.6       Špecifikácia potrieb koncového používateľa

Priamym koncovým používateľom výstupu projektu sú zamestnanci mesta Zlaté Moravce a IT oddelenie, a nepriamymi používateľmi sú občania mesta, podnikateľské subjekty, pre ktoré budú plynúť benefity z chráneného IS mesta.

Potreby mesta v tejto oblasti boli definované na základe auditu kybernetickej bezpečnosti v rámci ktorého boli identifikované nedostatky resp. nesúlad s legislatívnymi požiadavkami. Z uvedeného auditu má mesto zámer zlepšiť svoju kybernetickú bezpečnosť HW a SW štruktúry a eliminovať identifikované riziká.

Ku zlepšeniam bude dochádzať prioritne v nasledujúcich oblastiach:

• Oblasť autentifikácie a autorizácie prístupov
• Oblasť overovania prístupu
• Analýza a monitoring IT prostredia mesta
• Oblasť bezpečnostného manažmentu koncových zariadení

3.7       Riziká a závislosti

Riziká a závislosti sú popísané v prílohe Zoznam rizík a závislostí (excel).

3.8       Stanovenie alternatív

Vzhľadom na charakter projektu a povinnosti vyplývajúce zo zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov a minimálne z vyhlášky 362/2018 Z.z. o obsahu bezpečnostných opatrení, obsahu a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení, prichádzajú do úvahy iba dve binomické alternatívy:

1. Ponechanie aktuálneho stavu
2. Realizácia všetkých opatrení na zabezpečenie IS mesta identifikovaných bezpečnostným auditom a dosiahnutie súladu s legislatívnymi požiadavkami uvedenými v zákone a relevantných vyhláškach.

3.9       Multikriteriálna analýza

Vzhľadom na charakter alternatív je jediným kritériom pre rozhodovanie zabezpečenie ochrany IS mesta Zlaté Moravce pred kybernetickými útokmi a naplniť požiadavky zákona o KIB a zákona ISVS. Zároveň je toto kritérium tzv. KO kritériom. Ak má dôsť k splneniu zákonných požiadavie a ochrane IS mesta Zlaté Moravce je jedinou akceptovateľnou možnosťou alternatíva 2.

4.    POŽADOVANÉ VÝSTUPY  (PRODUKT PROJEKTU)

5.    NÁHĽAD ARCHITEKTÚRY

Architektúra riešenia projektu je v zmysle usmernenia MIRRI SR rámcová, aby bolo z projektu možné identifikovať vytvárané komponenty s cieľom realizácie opatrení kybernetickej a informačnej bezpečnosti. Cieľom týchto komponentov je ochrana IS Mesta Zlaté Moravce,

5.1       Prehľad e-Government komponentov

Neaplikuje sa pre daný typ projektu

6.    LEGISLATÍVA

Projekt nepredpokladá potrebu legislatívnych zmien pre naplnenie cieľov a dodanie výstupov projektu. Jediné legislatívne zmeny sa budú týkať interných dokumentov mesta a VZN.

7.    Postup, spôsob nacenenia projektu, ROZPOČET A PRÍNOSY

Projekt bol nacenený na základe získania cenových ponúk uchádzačov.

Celková predpokladaná hodnota:

 celkové oprávnené výdavky projektu predstavujú sumu  299 070,84 EUR,

požadovaná výška NFP predstavuje sumu  275 145,17 EUR

7.1       Sumarizácia nákladov a prínosov

8.    HARMONOGRAM JEDNOTLIVÝCH FÁZ PROJEKTU a METÓDA JEHO RIADENIA

Projekt bude realizovaný agilným prístupom s cieľom implementovať požiadavky vedúce k zvýšeniu užívateľskej prívetivosti pre všetkých stakeholderov. 

9.    PROJEKTOVÝ TÍM

Bude doplnený po VO.

10. PRÍLOHY

Príloha : Zoznam rizík a závislostí (Excel): https://www.mirri.gov.sk/sekcie/informatizacia/riadenie-kvality-qa/riadenie-kvality-qa/index.html