Povinná osoba

Univerzita Konštantína Filozofa v Nitre

Názov projektu

Podpora KIB na UFK v Nitre

Zodpovedná osoba za projekt

Ľubica Lachká

Realizátor projektu

Univerzita Konštantína Filozofa v Nitre

Vlastník projektu

Univerzita Konštantína Filozofa v Nitre

Položka

Meno a priezvisko

Organizácia

Pracovná pozícia

Dátum

Podpis

(alebo elektronický súhlas)

Vypracoval

PhDr. Vladimíra Pazderová, PhD.

Novo Funding

Projektový manažér

11.7.2024

Schválil

RNDr. Ján Skalka, PhD.

Univerzita Konštantína Filozofa v Nitre

Vedúci katedry

Katedra Informatiky/ predseda Rady IKT UKF v Nitre

18.7.2024

Verzia

Dátum

Zmeny

Meno

1.0

11.7.2024

Prvá verzia dokumentu

PhDr. Vladimíra Pazderová, PhD.

1.1

18.7.2024

Druhá verzia dokumentu /so zapracovaním pripomienok/

 PhDr. Vladimíra Pazderová, PhD.

SKRATKA/POJEM

POPIS

EOL

End of Life

HR

Human Resources/Ľudské zdroje

KIB

Kybernetická a informačná bezpečnosť

KB

Kybernetická bezpečnosť

IS

Informačný systém

IT

Informačné technológie

SLA

Service Desk Manager

SW

Softvér

ISVS

Informačný systém verejnej správy

MCA

Multikriteriálna analýza

NBU

Národný bezpečnostný úrad

NIS2

Smernica Network and Information Security/celoeurópsky predpis o kybernetickej bezpečnosti

PZS

Poskytovateľ základnej služby

VPN

Virtuálna privátna sieť

UKF

Univerzita Konštantína Filozofa

ŽoNFP

Žiadosť o nenávratný finančný príspevok

Dopad kybernetického bezpečnostného incidentu v závislosti:

Zaradenie

Zdôvodnenie

§ 24 ods. 2 písm. a) zákona Počet používateľov základnej služby zasiahnutých kybernetickým bezpečnostným incidentom.

Počet používateľov základnej služby zasiahnutých kybernetickým bezpečnostným incidentom.

Áno

UKF spĺňa kategóriu I keďže počet používateľov ňou poskytovanej služby dosahuje minimálnu hodnotu viac ako 25 000 osôb.

§ 24 ods. 2 písm. b) zákona a § 24 ods. 2 písm. c) zákona

Dĺžka trvania kybernetického bezpečnostného incidentu (čas pôsobenia kybernetického bezpečnostného incidentu) a Geografické rozšírenie kybernetického bezpečnostného incidentu.

Áno

UKF spĺňa kategóriu I, keďže poskytuje služby na celoštátnej úrovni.

§ 24 ods. 2 písm. d) zákona

Stupeň narušenia fungovania základnej služby.

Áno

UKF spĺňa kategóriu II, keďže pre nedostupnosť vybraných komponentov základnej služby  je možné zabezpečiť náhradné riešenie.

§ 24 ods. 2 písm. e) zákona

Rozsah vplyvu kybernetického bezpečnostného incidentu na hospodárske alebo spoločenské činnosti štátu.

Áno

UKF spĺňa kategóriu II až III , keďže predpokladáme že incident môže spôsobiť hospodársku stratu jednému používateľovi v rozmedzí 500 000 – 1 000 000 EUR.

Č.

Oblasť

Popis

Výstupy

Dopad/následok

1.

Oblasť riadenia rizík

Táto oblasť bude zameraná na identifikáciu všetkých aktív súvisiacich so zariadeniami na spracovanie informácií a centrálne zaznamenávanie inventáru týchto aktív podľa ich hodnoty vrátane určenia ich vlastníka, ktorý definuje požiadavky na ich dôveryhodnosť, dostupnosť a integritu. Vyššie uvedené úlohy zabezpečí jednotná platformu KIB, ktorá  je vybavená „endpoint protection“ agentom a poskytuje kompletné riešenia inventarizácie ako aj kalkulovaný prehľad o aktuálnom a historickom riziku. Vďaka možnosti integrácie riešení ponúkaných v rámci Jednotnej platformy KIB so systémom NG-IPS TippingPont, ktorý využíva UKF v Nitre v súčasnosti na zabezpečenie KIB, čo bude v budúcnosti umožňovať identifikovať a riadiť riziká aktív aj bez prítomnosti „endpoint protection“.  Jednotná platforma KIB umožní detekovať informácie v rámci sieťovej prevádzky aktív priamo v prostredí NG – IPS v rámci internej časti siete organizácie ako aj v rámci DMZ a integrovať tieto informácie do systému. Na základe možnosti operátorsky ladiť hodnoty každého aktíva existuje možnosť upraviť výsledné skóre rizika tak, aby reflektovalo dôležitosť daného aktíva (hlavne pre servery a aplikácie). Jednotná platforma KIB  na základe výsledkov detekcie navrhuje jednotlivé kroky opatrenia na zníženie rizika a upozorňuje na stupeň kritickej zraniteľnosti, ktoré je potrebné okamžite riešiť.
 

1.     Identifikácia a inventarizácia všetkých aktív,

2.     Nástroj pre inventarizáciu aktív v rámci jednotnej platformy KIB,

3.     Analýza a manažment rizík,

4.     Smernica o riadení rizík kybernetickej a informačnej bezpečnosti.

- zníženie zraniteľnosti vyplývajúcej s nedostatočného riadenia rizík a opatrení v oblasti KB

2.

Oblasť bezpečnosti pri prevádzke informačných systémov a sietí

V tejto oblasti sa UKF v Nitre sústredí na

1.     Zavedenie opatrení a interného riadiaceho aktu v oblasti riadenia zmien, kapacít, inštalácie softvéru a zariadení v sieťach a informačných systémoch, ako aj zaznamenávanie bezpečnostných záznamov a zaznamenávanie/vyhodnocovanie prevádzkových záznamov. Na realizáciu týchto aktivít bude využívať jednotná platforma KIB , ktorá je schopná vytvárať bezpečnostné záznamy a v štruktúrovanej forme ich transferovať do Logmanagera – t.j. nástroja systému na zaznamenávanie bezpečnostných a dôležitých prevádzkových záznamov inštitúcie.

2.     Implementáciu technických riešení podporujúcich riadenie bezpečnosti pri prevádzke. Pôjde najmä o riadenie evidencie a schvaľovania zmien, evidenciu bezpečnostných incidentov a zabezpečenie  konfigurácie manažmentu bezpečnostných nastavení. Jednotná platforma KIB je schopná zabezpečiť vyššie definované kroky. Obsahuje viaceré komponenty, ktoré sú určené na evidenciu bezpečnostných incidentov. Umožňujú:

a.     Identifikáciu bezpečnostného incidentu na základe vyhodnotenia série bezpečnostných udalostí v rámci výstupu z činností XDR, endpoint protection a NG-IPS.

b.     Automatické alebo operátorsky iniciované vytvorenie stopy pre forenznú analýzu s centrálnym úložiskom odtlačkov a následnú realizáciu forenznej analýzy.

c.      Presnú dokumentáciu prideľovaných a realizovaných krokov reakcie na detekované bezpečnostné incidenty na základe využívania ticketovacieho systému

1.     Smernica v oblasti riadenia zmien, kapacít, inštalácie softvéru a zariadení v sieťach a informačných systémoch

2.     Nástroj riadenia bezpečnosti pri prevádzke v rámci jednotnej platformy KIB.

- zníženie zraniteľnosti - zrýchlenie reakcie pri bezpečnostných incidentoch (okamžité upozornenia na neobvyklé udalosti)

3.

Oblasť hodnotenia zraniteľnosti a bezpečnostné aktualizácie

1.     Zavedenie, implementácia/aktualizácia nástroja určeného na detegovanie existujúcich zraniteľností programových a technických prostriedkov, resp. ich častí. Navrhovaná jednotná platforma KIB bude schopná pokryť vyššie uvedené funkcionality na základe ich  implementácie do interných zariadení, systémov fungujúcich na internete, kontejnerov a cloud VM systémov, ktoré v súčasnosti UKF v Nitre využíva.

2.     Implementácia nástroja na centrálne riadenie a aplikovanie bezpečnostných záplat. Prostredníctvom systému Jednotná platforma KIB bude zabezpečená identifikácia rizík (vrátane chýbajúcich záplat), nie vlastný patch- manažment.

1.     Funkcia detegovania existujúcich zraniteľností programových a technických prostriedkov v rámci jednotnej platformy KIB

2.     Nástroj centrálneho riadenia a aplikovania bezpečnostných záplat  rámci jednotnej platformy KIB.

- zníženie zraniteľnosti vyplývajúcej s nedostatočnej kontroly zraniteľností technických a programových prostriedkov

4.

Oblasť ochrany proti škodlivému kódu

1.     Vypracovanie interného riadiaceho aktu s požiadavkami na určenie zodpovednosti používateľov, pravidiel pre inštaláciu a monitorovanie potenciálnych ciest prieniku škodlivého kódu, pričom jednotná platforma KIB bude poskytovať oporu pre realizáciu tohto organizačného opatrenia prostredníctvom komponentu „endpoint protection“.

2.     Implementáciu/aktualizáciu nástrojov na ochranu, ktoré vykonávajú kontrolu prístupu k  digitálnemu obsahu, pravidelné kontroly úložísk vrátane „cloudových“ riešení, ktoré zabraňujú prístupu neoprávnených používateľov na základe filtrovania obsahu a zamedzenia odinštalovania/zakázania funkcie na ochranu proti škodlivému kódu, ktoré budú zabezpečované prostredníctvom komponentu „end point protection“ jednotnej platformy KIB.

3.     Implementáciu centralizovaného systému riešenia ochrany pred škodlivým kódom  s pravidelným monitorovaním vrátane detekcie inštalácie nelegálneho obsahu/škodlivého softvéru prostredníctvom služby implementácie centralizovaného systému ochrany pred škodlivým kódom  s pravidelným monitorovaním vrátane detekcie inštalácie nelegálneho obsahu/škodlivého softvéru, ktorá je súčasťou jednotnej platformy KIB.

1.     Smernica na určenie zodpovednosti používateľov, pravidiel pre inštaláciu a monitorovanie potenciálnych ciest prieniku škodlivého kódu .

2.     Nástroj na riadenie prístupu v rámci jednotnej platformy KIB.

- zníženie zraniteľnosti vyplývajúcej s nedostatočnej ochrany proti škodlivému kódu

5.

Oblasť sieťovej a komunikačnej bezpečnosti

1.     Implementáciu automatizovaného nástroja na identifikáciu neoprávnených sieťových spojení na hranici s vonkajšou sieťou, blokovanie neoprávnených spojení, monitorovanie bezpečnosti, detekciu prienikov a prevenciu prienikov identifikáciou nezvyčajných mechanizmov útokov alebo proaktívneho blokovania škodlivej sieťovej prevádzky a ďalších povinností  prostredníctvom NG-IPS TippingPoint už implementovaného v rámci UKF v Nitre. Nasadením riešenia v rámci jednotnej platformy KIB dôjde k obojstrannej integrácii NG-IPS do centrálnej konzoly dohľadu bezpečnosti a prepojenia získavaných bezpečnostných informácií do celého procesu riadenia bezpečnosti organizácie. Nájdené podozrivé objekty budú automaticky distribuované do NG-IPS a bude zaistená ich ďalšia sieťová detekcia a prípadne aj blokácia.

2.     Implementáciu sond detekcie a prevencie prieniku, najmä na serveroch podporujúcich základné služby informačných technológií verejnej správy. Táto bude realizovaná prostredníctvom „host based intrusion prevention systému“ (implementácia sond na hosťoch) s centrálnym riadením pre všetky koncové stanice aj servery, ktoré sú súčasťou zariadenia „end point protection“ fungujúceho v rámci jednotnej platformy KIB.  Pre servery bude navyše riešená  integrácia ochrany IPS nielen pre operačný systém, ale aj pre inštalované aplikácie ako aj  kontrola integrity systému.

1.     Nástroj na identifikáciu neoprávnených sieťových spojení na hranici s vonkajšou sieťou, blokovanie neoprávnených spojení, monitorovanie bezpečnosti, detekciu prienikov a prevenciu prienikov identifikáciou nezvyčajných mechanizmov útokov alebo proaktívneho blokovania škodlivej sieťovej prevádzky v rámci jednotnej platformy KIB.

2.     Sondy detekcie a prevencie preniku na definovaných serveroch.

- zníženie zraniteľnosti - zrýchlenie reakcie pri bezpečnostných incidentoch (okamžité upozornenia na neobvyklé udalosti)

6.

Oblasť zaznamenávania udalostí a monitorovania

1.     Implementácie centrálneho Log manažment systému pre zber a ukladanie logov z jednotlivých informačných systémov, pričom technické opatrenie je už na UKF v Nitre čiastočne implementované v rámci existujúceho systému Logmanager. V novom riešení bude jednotná platforma KIB v rámci log-manažmentu umožňovať aj ukladanie bezpečnostných logov.

2.     Implementáciu centrálneho nástroja na zaznamenávanie činností sietí a informačných systémov a používateľov a identifikovanie bezpečnostných incidentov (SIEM) prostredníctvom jednotnej platformy KIB.

3.     Obstarania služby kontroly záznamov (SOC as a service) na dennej báze, vrátane podpory analýzy bezpečnostne relevantných udalostí a vykonávanie bezpečnostného dohľadu v režime 24/7 protredníctvom vytvorenia a prevádzkovania Bezpečnostného operačného strediska (SOC) s monitoringom 24*7 a riešením odpovedí na detekované bezpečnostné incidenty (Incident Response Retainer).

1.     Nástroj na centrálny Log manažment  v rámci jednotnej platformy KIB.

2.     Funkcionalita SIEM v rámci jednotnej platformy KIB.

3.     Služba SOC 24/7

- zníženie zraniteľnosti - zrýchlenie reakcie pri bezpečnostných incidentoch (okamžité upozornenia na neobvyklé udalosti)

- zníženie zraniteľnosti vyplývajúcej z nízkej dostupnosti poskytovania služieb. 

7.

Oblasť riešenia kybernetických bezpečnostných incidentov

1.     Obstaranie služby monitorovania a analyzovania udalostí v sieťach a informačných systémoch vrátane detekcie, zberu relevantných informácií, vyhodnocovania a riešenia zistených kybernetických bezpečnostných incidentoch a vykonávania napr. forenzných analýz v snahe minimalizovať výskyt a dopad kybernetických bezpečnostných incidentov prostredníctvom funkcionality systému jednotnej platformy KIB .

2.     Implementáciu nástroja na detekciu,  zber a nepretržité vyhodnocovanie ako aj  evidenciu kybernetických bezpečnostných udalostí implementácie služby jednotnej platformy KIB.

3.     Vypracovanie plánov a spôsobov riešenia kybernetických bezpečnostných incidentov na základe zahrnutia/opisu funkcionality kybernetických bezpečnostných incidentov do existujúcich dokumentov KIB na UKF v Nitre

1.     Služba monitorovania a analyzovania udalostí v sieťach a informačných systémoch.

2.     Nástroja na detekciu,  zber a nepretržité vyhodnocovanie ako aj  evidenciu kybernetických bezpečnostných udalostí v rámci jednotnej platformy KIB.

3.     Plánov a postupy riešenia kybernetických bezpečnostných incidentov na základe kybernetických bezpečnostných incidentov.

- zníženie zraniteľnosti - zrýchlenie reakcie pri bezpečnostných incidentoch (okamžité upozornenia na neobvyklé udalosti)

8.

Oblasť implementácie služieb jednotnej platformy kybernetickej bezpečnosti

Táto oblasť bude zameraná na zabezpečenie bezproblémového chodu platformy KIB a bude zameraná na:

1.     Obsluhu riešení pri nastavovaní konfigurácie, vytváraní a ladení politík do služieb EndPoint Protection, zaškolenie obsluhy,  konzultácie a replikácie v prostredí Compunet laboratória.

2.     Dodatočnú analýzu vzoriek, nadviazanie podozrivých objektov na automatickú karanténu NGIPS Tipping Point na automatické blokovanie závadných spojení.

3.     Prevádzkovanie vzdialeného prístupu na server s podozrivou činnosťou, realizácia forenznej analýzy, poskytovanie spätnej väzby na UKF v Nitre.

4.     Manažment rizík a bezpečnostný audit nad dátami v rámci SOC – pravidelné komentované reporty o úrovni rizika pre vedenie UKF v Nitre, upozornenie pre IT tím na nezaplátané kritické zraniteľnosti v prostredí UKF v Nitre, návrhy workaround riešení pre akceptované riziká a ich zohľadnenie pri celkovom vyhodnotení rizika...
 

1.     Jednotná platforma kybernetickej bezpečnosti

- zníženie zraniteľnosti vyplývajúcej z nedostatočnej kontroly obsahu, monitorovania a analýzy informácií (únik informácií z vnútra, bezpečnostné incidenty)

- zníženie zraniteľnosti vyplývajúcej z potencionálnych sieťových útokov na infraštruktúru organizácie (DDoS, password attack, spoofing, neautorizovaný prístup..)

9.

Oblasť posilnenia ľudských zdrojov v oblasti KIB

Manažér bude zodpovedať najmä za tvorbu strategických a implementačných politík na UKF v Nitre,  ako aj za  priebežný monitoring a evaluáciu v oblasti celkového riadenia KIB, interné riadenie hrozieb a rizík, vytváranie a aplikovanie interných bezpečnostných opatrení,  riadenie súladu vnútorných a vonkajších strategických dokumentov a politík, definovanie štandardov v oblasti bezpečnosti a výkon operatívnych bezpečnostných činností na UKF v Nitre.

1.     Vypracovanie bezpečnostnej dokumentácie vrátane rozsahu a spôsobu plnenia všeobecných bezpečnostných opatrení

2.     Vypracovanie a implementácia špecifických interných riadiacich aktov pre vybrané oblasti KIB

- zníženie zraniteľnosti vyplývajúcej z nedostatočného dodržiavania opatrení v oblasti KB  

10.

Oblasť vyhodnotenia dopadu prijatých opatrení na zvýšenie KIB 

Vykonanie auditu a na začiatku a na konci projektu poskytne hodnotný prehľad o efektívnosti prijatých opatrení a pomôže identifikovať ďalšie možnosti zlepšenia.

1.     Audit kybernetickej bezpečnosti v zmysle platného zákona o kybernetickej bezpečnosti.

a.     Vykonaný audit

b.     Záverečná správa o výsledkoch vykonaného auditu

vyhodnotenie dopadu prijatých opatrení na zvýšenie kybernetickej bezpečnosti

ID

AKTÉR / STAKEHOLDER

SUBJEKT

(názov / skratka)

ROLA

(vlastník procesu/ vlastník dát/zákazník/ užívateľ …. člen tímu atď.)

Informačný systém

(MetaIS kód a názov ISVS)

1.

Univerzita Konštantína Filozofa v Nitre

Univerzita Konštantína Filozofa v Nitre

Vlastník a implementátor procesu

ISVS poskytujúce základnú službu

2.

Interní zamestnanci organizácie

Univerzita Konštantína Filozofa v Nitre

Používateľ

3.

Manažér kybernetickej bezpečnosti

Univerzita Konštantína Filozofa v Nitre

Zodpovednosť za oblasť KIB Univerzity Konštantína Filozofa v Nitre

4.

Študent

Používateľ

5.

Poskytovateľ IT služby

Poskytovateľ alebo konzument údajov IS Univerzity Konštantína Filozofa v Nitre  v podobe dátových zdrojov  otvorených dát alebo vo forme služieb resp. rozhraní

ID

Názov cieľa

Názov strategického cieľa

Spôsob realizácie strategického cieľa

1.

Program Slovensko - Opatrenia 1.2.1 Podpora v oblasti informatizácie a digitálnej transformácie (oblasť - Kybernetická a informačná bezpečnosť) 

RSO 1.2 Využívanie prínosov digitalizácie pre občanov, podniky, výskumné organizácie a orgány verejnej správy

Rozvoj a implementácia konkrétnych technologických a organizačných opatrení, ktoré sú zamerané na posilnenie kybernetickej odolnosti a zabezpečenie dát.

2.

NKIVS - Strategická priorita Kybernetická a informačná bezpečnosť

Zvýšenie schopnosti včasnej identifikácie kybernetických incidentov vo verejnej správe  

Projekt zvýši univerzite schopnosť včasnej identifikácie kybernetických incidentov napr. neoprávneného prístupu či zneužitia zraniteľností prostredníctvom implementácie a rozšírenia jednotnej platformy KIB.

3.

Národná stratégia kybernetickej bezpečnosti - Strategický ciel Kybernetická bezpečnosť ako základná súčasť verejnej správy

Kybernetická bezpečnosť ako základná súčasť verejnej správy

Výsledkom projektu bude zvýšenie ochrany prevádzkovateľa základných služieb organizácie z hľadiska kybernetickej bezpečnosti. Toto bude preukázané aj auditom na konci projektu ktorý preukáže pozitívny trend zlepšovania stavu kybernetickej bezpečnosti.

ID

ID/Názov cieľa

Názov
ukazovateľa (KPI)

Popis
ukazovateľa

Merná jednotka
 

AS IS
merateľné hodnoty
(aktuálne)

TO BE
Merateľné hodnoty
(cieľové hodnoty)

Spôsob ich merania

Pozn.

1

PO095 / PSKPSOI12

Verejné inštitúcie podporované v rozvoji kybernetických služieb, produktov a procesov

Počet verejných inštitúcií, ktoré sú podporované za účelom rozvoja a modernizácie kybernetických služieb, produktov, procesov a zvyšovania vedomostnej úrovne napríklad v kontexte opatrení smerujúcich k elektronickej bezpečnosti verejnej správy.

verejné inštitúcie

0

1 inštitúcia - Univerzita Konštantína Filozofa v Nitre

Identifikácia počtu realizácie opatrení KIB pre inštitúciu – splnenie súladu KIB so zákonom o kybernetickej bezpečnosti a zákonom o ISVS

 Čas plnenia merateľného ukazovateľa projektu: Fyzické ukončenie realizácie hlavných aktivít projektu

Typ ukazovateľa: Výstup

2

PR017 / PSKPRCR11

Používatelia nových a vylepšených verejných digitálnych služieb, produktov a procesov

Počet používateľov nových vylepšených verejných digitálnych služieb, produktov a procesov

Používatelia/rok

0

7780  používateľov - počet zamestnancov a počet študentov

Sumarizácia počtu používateľov nových a vylepšených digitálnych služieb – bude určené počtom prístupov v IAM, Databázou používateľov v oblasti KIB.

V prípade Univerzity Konštantína Filozofa v Nitre ide o počet zamestnancov, ktorí využívajú IS organizácie alebo akékoľvek elektronické zariadenia v správe organizácie a tiež o počet študentov pristupujúcich do IS UKF.

Čas plnenia merateľného ukazovateľa projektu: v rámci udržateľnosti projektu

Typ ukazovateľa: Výsledok

Alternatíva

Stručný popis

Výhody

Nevýhody

Alternatíva 1: Realizácia projektu v plnej miere

Kompletná realizácia všetkých naplánovaných opatrení na modernizáciu IT infraštruktúry a implementáciu bezpečnostných technológií a auditov. Cieľom je dosiahnuť maximálnu možnú úroveň kybernetickej a informačnej bezpečnosti a zabezpečiť celkovú odolnosť organizácie proti kybernetickým hrozbám, ochranu citlivých dát a kontinuitu kritických služieb. Táto alternatíva predstavuje najkomplexnejšie riešenie, ktoré ponúka najvyššie zabezpečenie a zodpovedá aktuálnym a predpokladaným potrebám organizácie. 

1.     Komplexné riešenie, ktoré adresuje všetky identifikované bezpečnostné hrozby a nedostatky.

2.     Maximálna možná úroveň ochrany citlivých dát a IT infraštruktúry.

3.     Zvýšenie odolnosti univerzity proti kybernetickým útokom a zabezpečenie kontinuity kritických služieb.

4.     Lepšia pripravenosť univerzity vzhľadom na budúce technologické a bezpečnostné výzvy.

1.     Potenciálne vysoké počiatočné náklady na implementáciu všetkých plánovaných opatrení.

2.     Vyžaduje si rozsiahle zdroje a značné úsilie pri implementácii a školení zamestnancov.

Alternatíva 2: Čiastočná implementácia projektu 

Realizácia len vybraných opatrení z celkového plánu, s dôrazom na najkritickejšie aspekty infraštruktúry a bezpečnosti. Takéto čiastočné riešenia by mohli zlepšiť súčasný stav, ale neponúkajú komplexné zabezpečenie a nezabezpečujú všetky identifikované potreby a riziká. Táto alternatíva by mohla viesť k nedostatočnej ochrane proti niektorým druhom hrozieb a k obmedzenej schopnosti reagovať na incidenty, čo by mohlo mať za následok vyššie dlhodobé náklady a riziká. 

1.     Riešenie, ktoré adresuje vybrané identifikované bezpečnostné hrozby a nedostatky.

2.     Čiastočné zvýšenie úrovne ochrany citlivých dát a IT infraštruktúry.

3.     Čiastočné  zvýšenie odolnosti univerzity proti kybernetickým útokom a zabezpečenie kontinuity kritických služieb.

4.     Čiastočné zlepšenie pripravenosti univerzity vzhľadom na budúce technologické a bezpečnostné výzvy.

1.     Nezabezpečuje komplexnú ochranu pred všetkými potenciálnymi hrozbami.

2.     Môže vytvárať bezpečnostné medzery v dôsledku neúplného pokrytia rizík.

3.     Vyššie dlhodobé náklady a riziká v dôsledku potenciálne potrebných dodatočných zásahov.

Alternatíva 3: Udržiavanie súčasného stavu 

Táto alternatíva predstavuje možnosť neuskutočniť žiadne zmeny a ponechať IT infraštruktúru a bezpečnostné opatrenia v súčasnom stave. Tento prístup by znamenal výrazné riziká, keďže by sa neadresovali identifikované problémy a nedostatky v kybernetickej a informačnej bezpečnosti. Udržiavanie súčasného stavu by mohlo viesť k vážnym bezpečnostným incidentom, stratám dát a výpadkom kritických služieb, čo by malo negatívny dopad a mohlo by viesť k vysokým finančným a reputačným stratám.

1.     Žiadne počiatočné náklady spojené s implementáciou nových systémov alebo procesov.

2.     Vyhneme sa zložitosti spojenej s plánovaním a realizáciou projektu.

1.     Vysoké riziko bezpečnostných incidentov v dôsledku neadresovania existujúcich a budúcich hrozieb.

2.     Potenciálne fatálne následky v prípade bezpečnostného incidentu vrátane straty dát, financií a dôvery verejnosti.

3.     Nedostatočná príprava na budúce technologické a bezpečnostné výzvy, čo môže viesť k dlhodobým stratám a zvýšeným nákladom na nápravu.

Kritérium (KO = kľúčové kritérium)

ZDÔVODNENIE KRITÉRIA

Univerzita

Používatelia

IT Oddelenie

Komplexnosť riešenia (KO)

Projekt by mal adresovať všetky identifikované bezpečnostné hrozby a nedostatky.

X

X

X

Udržateľnosť riešenia (KO)

Riešenie musí byť udržateľné a schopné adaptácie na budúce zmeny a hrozby.

X

X

Nákladová efektívnosť

Projekt by mal byť nákladovo efektívny pri zohľadnení dlhodobých výhod a rizík.

X

X

Zvýšenie kybernetickej odolnosti

Projekt by mal významne zvýšiť kybernetickú odolnosť univerzity.

X

X

X

Minimálne narušenie existujúcich procesov

Projekt by mal minimalizovať narušenie existujúcich biznis procesov.

X

Zoznam kritérií

Alternatíva 1: Realizácia projektu v plnej miere

Spôsob

dosiahnutia

Alternatíva 2: Čiastočná implementácia projektu 

Spôsob

dosiahnutia

Alternatíva 3: Udržiavanie súčasného stavu 

Spôsob

dosiahnutia

Komplexnosť riešenia (KO)

áno

Plná implementácia zabezpečí komplexné riešenie všetkých identifikovaných problémov.

nie

nie

Udržateľnosť riešenia (KO)

áno

Riešenie je navrhnuté tak, aby bolo udržateľné a adaptabilné na budúce zmeny.

nie

nie

Nákladová efektívnosť

áno

Optimalizácia nákladov prostredníctvom efektívneho využívania zdrojov.

áno

Menej nákladové, ale aj menej efektívne.

nie

Zvýšenie kybernetickej odolnosti

áno

Komplexné bezpečnostné opatrenia zvyšujú celkovú odolnosť.

nie

nie

Minimálne narušenie existujúcich procesov

áno

Navrhnuté tak, aby minimalizovalo narušenie.

nie

nie

Alternatíva

Nutné moduly

Preferované moduly

Alternatíva 1: Realizácia projektu v plnej miere

·          Plná implementácia jednotnej platformy kybernetickej bezpečnosti so všetkými funkčnosťami pre prevzatie kontroly nad viacerými kybernetickými rizikami a komplexnými možnosťami prevencie, detekcie a reakcie využívajúcimi umelú inteligenciu.

·          Implementáciu risk manažmentu,

·          Detailnejšie zaznamenávania bezpečnostných a dôležitých prevádzkových udalostí,

·          Forenzná analýza,

·          Využitie cloudových technológií pre zvýšenie flexibility a škálovateľnosti IT infraštruktúry.

Alternatíva 2: Čiastočná implementácia projektu 

·          Základná implementácia jednotnej platformy kybernetickej bezpečnosti s obmedzenými funkcionalitami.

·          Základné možnosti prevencie, detekcie a reakcie nevyužívajúce umelú inteligenciu

Preferované moduly alternatívy 2 sú v časti nutné moduly alternatívy 1.

Alternatíva 3: Udržiavanie súčasného stavu 

Žiadne nové implementácie, udržiavanie existujúcich systémov a infraštruktúry bez zmien.

Neaplikuje sa, keďže žiadne nové moduly ani funkcionality nebudú pridané

Č.

Oblasť

Popis

Výstupy

Dopad/následok

1.

Oblasť riadenia rizík

Táto oblasť bude zameraná na identifikáciu všetkých aktív súvisiacich so zariadeniami na spracovanie informácií a centrálne zaznamenávanie inventáru týchto aktív podľa ich hodnoty vrátane určenia ich vlastníka, ktorý definuje požiadavky na ich dôveryhodnosť, dostupnosť a integritu. Vyššie uvedené úlohy zabezpečí jednotná platformu KIB, ktorá  je vybavená „endpoint protection“ agentom a poskytuje kompletné riešenia inventarizácie ako aj kalkulovaný prehľad o aktuálnom a historickom riziku. Vďaka možnosti integrácie riešení ponúkaných v rámci Jednotnej platformy KIB so systémom NG-IPS TippingPont, ktorý využíva UKF v Nitre v súčasnosti na zabezpečenie KIB, čo bude v budúcnosti umožňovať identifikovať a riadiť riziká aktív aj bez prítomnosti „endpoint protection“.  Jednotná platforma KIB umožní detekovať informácie v rámci sieťovej prevádzky aktív priamo v prostredí NG – IPS v rámci internej časti siete organizácie ako aj v rámci DMZ a integrovať tieto informácie do systému. Na základe možnosti operátorsky ladiť hodnoty každého aktíva existuje možnosť upraviť výsledné skóre rizika tak, aby reflektovalo dôležitosť daného aktíva (hlavne pre servery a aplikácie). Jednotná platforma KIB  na základe výsledkov detekcie navrhuje jednotlivé kroky opatrenia na zníženie rizika a upozorňuje na stupeň kritickej zraniteľnosti, ktoré je potrebné okamžite riešiť.
 

1.       Identifikácia a inventarizácia všetkých aktív,

2.       Nástroj pre inventarizáciu aktív v rámci jednotnej platformy KIB,

3.       Analýza a manažment rizík,

4.       Smernica o riadení rizík kybernetickej a informačnej bezpečnosti.

- zníženie zraniteľnosti vyplývajúcej s nedostatočného riadenia rizík a opatrení v oblasti KB

2.

Oblasť bezpečnosti pri prevádzke informačných systémov a sietí

V tejto oblasti sa UKF v Nitre sústredí na

3.     Zavedenie opatrení a interného riadiaceho aktu v oblasti riadenia zmien, kapacít, inštalácie softvéru a zariadení v sieťach a informačných systémoch, ako aj zaznamenávanie bezpečnostných záznamov a zaznamenávanie/vyhodnocovanie prevádzkových záznamov. Na realizáciu týchto aktivít bude využívať jednotná platforma KIB , ktorá je schopná vytvárať bezpečnostné záznamy a v štruktúrovanej forme ich transferovať do Logmanagera – t.j. nástroja systému na zaznamenávanie bezpečnostných a dôležitých prevádzkových záznamov inštitúcie.

4.     Implementáciu technických riešení podporujúcich riadenie bezpečnosti pri prevádzke. Pôjde najmä o riadenie evidencie a schvaľovania zmien, evidenciu bezpečnostných incidentov a zabezpečenie  konfigurácie manažmentu bezpečnostných nastavení. Jednotná platforma KIB je schopná zabezpečiť vyššie definované kroky. Obsahuje viaceré komponenty, ktoré sú určené na evidenciu bezpečnostných incidentov. Umožňujú:

a.     Identifikáciu bezpečnostného incidentu na základe vyhodnotenia série bezpečnostných udalostí v rámci výstupu z činností XDR, endpoint protection a NG-IPS.

b.     Automatické alebo operátorsky iniciované vytvorenie stopy pre forenznú analýzu s centrálnym úložiskom odtlačkov a následnú realizáciu forenznej analýzy.

c.      Presnú dokumentáciu prideľovaných a realizovaných krokov reakcie na detekované bezpečnostné incidenty na základe využívania ticketovacieho systému

1.     Smernica v oblasti riadenia zmien, kapacít, inštalácie softvéru a zariadení v sieťach a informačných systémoch

2.     Nástroj riadenia bezpečnosti pri prevádzke v rámci jednotnej platformy KIB.

- zníženie zraniteľnosti - zrýchlenie reakcie pri bezpečnostných incidentoch (okamžité upozornenia na neobvyklé udalosti)

3.

Oblasť hodnotenia zraniteľnosti a bezpečnostné aktualizácie

3.     Zavedenie, implementácia/aktualizácia nástroja určeného na detegovanie existujúcich zraniteľností programových a technických prostriedkov, resp. ich častí. Navrhovaná jednotná platforma KIB bude schopná pokryť vyššie uvedené funkcionality na základe ich  implementácie do interných zariadení, systémov fungujúcich na internete, kontejnerov a cloud VM systémov, ktoré v súčasnosti UKF v Nitre využíva.

4.     Implementácia nástroja na centrálne riadenie a aplikovanie bezpečnostných záplat. Prostredníctvom systému Jednotná platforma KIB bude zabezpečená identifikácia rizík (vrátane chýbajúcich záplat), nie vlastný patch- manažment.

1.     Funkcia detegovania existujúcich zraniteľností programových a technických prostriedkov v rámci jednotnej platformy KIB

2.     Nástroj centrálneho riadenia a aplikovania bezpečnostných záplat  rámci jednotnej platformy KIB.

- zníženie zraniteľnosti vyplývajúcej s nedostatočnej kontroly zraniteľností technických a programových prostriedkov

4.

Oblasť ochrany proti škodlivému kódu

4.     Vypracovanie interného riadiaceho aktu s požiadavkami na určenie zodpovednosti používateľov, pravidiel pre inštaláciu a monitorovanie potenciálnych ciest prieniku škodlivého kódu, pričom jednotná platforma KIB bude poskytovať oporu pre realizáciu tohto organizačného opatrenia prostredníctvom komponentu „endpoint protection“.

5.     Implementáciu/aktualizáciu nástrojov na ochranu, ktoré vykonávajú kontrolu prístupu k  digitálnemu obsahu, pravidelné kontroly úložísk vrátane „cloudových“ riešení, ktoré zabraňujú prístupu neoprávnených používateľov na základe filtrovania obsahu a zamedzenia odinštalovania/zakázania funkcie na ochranu proti škodlivému kódu, ktoré budú zabezpečované prostredníctvom komponentu „end point protection“ jednotnej platformy KIB.

6.     Implementáciu centralizovaného systému riešenia ochrany pred škodlivým kódom  s pravidelným monitorovaním vrátane detekcie inštalácie nelegálneho obsahu/škodlivého softvéru prostredníctvom služby implementácie centralizovaného systému ochrany pred škodlivým kódom  s pravidelným monitorovaním vrátane detekcie inštalácie nelegálneho obsahu/škodlivého softvéru, ktorá je súčasťou jednotnej platformy KIB.

1.     Smernica na určenie zodpovednosti používateľov, pravidiel pre inštaláciu a monitorovanie potenciálnych ciest prieniku škodlivého kódu .

2.     Nástroj na riadenie prístupu v rámci jednotnej platformy KIB.

- zníženie zraniteľnosti vyplývajúcej s nedostatočnej ochrany proti škodlivému kódu

5.

Oblasť sieťovej a komunikačnej bezpečnosti

3.     Implementáciu automatizovaného nástroja na identifikáciu neoprávnených sieťových spojení na hranici s vonkajšou sieťou, blokovanie neoprávnených spojení, monitorovanie bezpečnosti, detekciu prienikov a prevenciu prienikov identifikáciou nezvyčajných mechanizmov útokov alebo proaktívneho blokovania škodlivej sieťovej prevádzky a ďalších povinností  prostredníctvom NG-IPS TippingPoint už implementovaného v rámci UKF v Nitre. Nasadením riešenia v rámci jednotnej platformy KIB dôjde k obojstrannej integrácii NG-IPS do centrálnej konzoly dohľadu bezpečnosti a prepojenia získavaných bezpečnostných informácií do celého procesu riadenia bezpečnosti organizácie. Nájdené podozrivé objekty budú automaticky distribuované do NG-IPS a bude zaistená ich ďalšia sieťová detekcia a prípadne aj blokácia.

4.     Implementáciu sond detekcie a prevencie prieniku, najmä na serveroch podporujúcich základné služby informačných technológií verejnej správy. Táto bude realizovaná prostredníctvom „host based intrusion prevention systému“ (implementácia sond na hosťoch) s centrálnym riadením pre všetky koncové stanice aj servery, ktoré sú súčasťou zariadenia „end point protection“ fungujúceho v rámci jednotnej platformy KIB.  Pre servery bude navyše riešená  integrácia ochrany IPS nielen pre operačný systém, ale aj pre inštalované aplikácie ako aj  kontrola integrity systému.

1.     Nástroj na identifikáciu neoprávnených sieťových spojení na hranici s vonkajšou sieťou, blokovanie neoprávnených spojení, monitorovanie bezpečnosti, detekciu prienikov a prevenciu prienikov identifikáciou nezvyčajných mechanizmov útokov alebo proaktívneho blokovania škodlivej sieťovej prevádzky v rámci jednotnej platformy KIB.

2.     Sondy detekcie a prevencie preniku na definovaných serveroch.

- zníženie zraniteľnosti - zrýchlenie reakcie pri bezpečnostných incidentoch (okamžité upozornenia na neobvyklé udalosti)

6.

Oblasť zaznamenávania udalostí a monitorovania

4.     Implementácie centrálneho Log manažment systému pre zber a ukladanie logov z jednotlivých informačných systémov, pričom technické opatrenie je už na UKF v Nitre čiastočne implementované v rámci existujúceho systému Logmanager. V novom riešení bude jednotná platforma KIB v rámci log-manažmentu umožňovať aj ukladanie bezpečnostných logov.

5.     Implementáciu centrálneho nástroja na zaznamenávanie činností sietí a informačných systémov a používateľov a identifikovanie bezpečnostných incidentov (SIEM) prostredníctvom jednotnej platformy KIB.

6.     Obstarania služby kontroly záznamov (SOC as a service) na dennej báze, vrátane podpory analýzy bezpečnostne relevantných udalostí a vykonávanie bezpečnostného dohľadu v režime 24/7 protredníctvom vytvorenia a prevádzkovania Bezpečnostného operačného strediska (SOC) s monitoringom 24*7 a riešením odpovedí na detekované bezpečnostné incidenty (Incident Response Retainer).

1.     Nástroj na centrálny Log manažment  v rámci jednotnej platformy KIB.

2.     Funkcionalita SIEM v rámci jednotnej platformy KIB.

3.     Služba SOC 24/7

- zníženie zraniteľnosti - zrýchlenie reakcie pri bezpečnostných incidentoch (okamžité upozornenia na neobvyklé udalosti)

- zníženie zraniteľnosti vyplývajúcej z nízkej dostupnosti poskytovania služieb. 

7.

Oblasť riešenia kybernetických bezpečnostných incidentov

4.     Obstaranie služby monitorovania a analyzovania udalostí v sieťach a informačných systémoch vrátane detekcie, zberu relevantných informácií, vyhodnocovania a riešenia zistených kybernetických bezpečnostných incidentoch a vykonávania napr. forenzných analýz v snahe minimalizovať výskyt a dopad kybernetických bezpečnostných incidentov prostredníctvom funkcionality systému jednotnej platformy KIB .

5.     Implementáciu nástroja na detekciu,  zber a nepretržité vyhodnocovanie ako aj  evidenciu kybernetických bezpečnostných udalostí implementácie služby jednotnej platformy KIB.

6.     Vypracovanie plánov a spôsobov riešenia kybernetických bezpečnostných incidentov na základe zahrnutia/opisu funkcionality kybernetických bezpečnostných incidentov do existujúcich dokumentov KIB na UKF v Nitre

1.     Služba monitorovania a analyzovania udalostí v sieťach a informačných systémoch.

2.     Nástroja na detekciu,  zber a nepretržité vyhodnocovanie ako aj  evidenciu kybernetických bezpečnostných udalostí v rámci jednotnej platformy KIB.

3.     Plánov a postupy riešenia kybernetických bezpečnostných incidentov na základe kybernetických bezpečnostných incidentov.

- zníženie zraniteľnosti - zrýchlenie reakcie pri bezpečnostných incidentoch (okamžité upozornenia na neobvyklé udalosti)

8.

Oblasť implementácie služieb jednotnej platformy kybernetickej bezpečnosti

Táto oblasť bude zameraná na zabezpečenie bezproblémového chodu platformy KIB a bude zameraná na:

5.     Obsluhu riešení pri nastavovaní konfigurácie, vytváraní a ladení politík do služieb EndPoint Protection, zaškolenie obsluhy,  konzultácie a replikácie v prostredí Compunet laboratória.

6.     Dodatočnú analýzu vzoriek, nadviazanie podozrivých objektov na automatickú karanténu NGIPS Tipping Point na automatické blokovanie závadných spojení.

7.     Prevádzkovanie vzdialeného prístupu na server s podozrivou činnosťou, realizácia forenznej analýzy, poskytovanie spätnej väzby na UKF v Nitre.

8.     Manažment rizík a bezpečnostný audit nad dátami v rámci SOC – pravidelné komentované reporty o úrovni rizika pre vedenie UKF v Nitre, upozornenie pre IT tím na nezaplátané kritické zraniteľnosti v prostredí UKF v Nitre, návrhy workaround riešení pre akceptované riziká a ich zohľadnenie pri celkovom vyhodnotení rizika...
 

1.     Jednotná platforma kybernetickej bezpečnosti

- zníženie zraniteľnosti vyplývajúcej z nedostatočnej kontroly obsahu, monitorovania a analýzy informácií (únik informácií z vnútra, bezpečnostné incidenty)

- zníženie zraniteľnosti vyplývajúcej z potencionálnych sieťových útokov na infraštruktúru organizácie (DDoS, password attack, spoofing, neautorizovaný prístup..)

9.

Oblasť posilnenia ľudských zdrojov v oblasti KIB

Manažér bude zodpovedať najmä za tvorbu strategických a implementačných politík na UKF v Nitre,  ako aj za  priebežný monitoring a evaluáciu v oblasti celkového riadenia KIB, interné riadenie hrozieb a rizík, vytváranie a aplikovanie interných bezpečnostných opatrení,  riadenie súladu vnútorných a vonkajších strategických dokumentov a politík, definovanie štandardov v oblasti bezpečnosti a výkon operatívnych bezpečnostných činností na UKF v Nitre.

1.     Vypracovanie bezpečnostnej dokumentácie vrátane rozsahu a spôsobu plnenia všeobecných bezpečnostných opatrení

2.     Vypracovanie a implementácia špecifických interných riadiacich aktov pre vybrané oblasti KIB

- zníženie zraniteľnosti vyplývajúcej z nedostatočného dodržiavania opatrení v oblasti KB  

10.

Oblasť vyhodnotenia dopadu prijatých opatrení na zvýšenie KIB 

Vykonanie auditu a na začiatku a na konci projektu poskytne hodnotný prehľad o efektívnosti prijatých opatrení a pomôže identifikovať ďalšie možnosti zlepšenia.

2.     Audit kybernetickej bezpečnosti v zmysle platného zákona o kybernetickej bezpečnosti.

a.     Vykonaný audit

b.     Záverečná správa o výsledkoch vykonaného auditu

vyhodnotenie dopadu prijatých opatrení na zvýšenie kybernetickej bezpečnosti

Etapy

Požadované výstupy

Analýza a dizajn

·          Projektový iniciálny dokument (PID)

·          Akceptačné kritériá

·          Detailný návrh riešenia (DNR)

o    Zámer riešenia, analýza požiadaviek, používateľský prieskum a motivačná architektúra

o    Popis postupu analýzy a návrhu riešenia

o    Biznis architektúra

o    Dátová architektúra

o    Aplikačná architektúra

o    Technologická architektúra

o    Softvérové licencie a zdrojové kódy

o    Požiadavky na úrovne služieb (SLA) a výkonnosť

o    Zabezpečenie dostupnosti, zálohovanie a obnova riešenia

o    Bezpečnosť – riešenie požiadaviek na bezpečnosť

o    Migrácia dát

o    Harmonogram realizácie a nasadenia, závislosti

·          Plán a stratégia testovania

o    Testovacie prípady (UC/TC)

o    Testovacie prostredia

o    Testovacie dáta

o    Defekt manažment, monitoring a reporting testov

Implementácia a testovanie

·          Vývoj, migrácia údajov a integrácia

·          Testovanie

o    Funkčné testovanie (FAT)

o    Systémové a integračné testovanie (SIT)

o    Záťažové a výkonnostné testovanie voliteľné

o    Bezpečnostné testovanie (SW/HW a kybernetická bezpečnosť)

o    Používateľské testy funkčného používateľského rozhrania (UX)

o    Používateľské akceptačné testovanie (UAT)

·          Školenia personálu

·          Dokumentácia

o    Aplikačná príručka

o    Integračná príručka

o    Používateľská príručka 

o    Zdrojové kódy a licencie

o    Inštalačná a konfiguračná príručka

o    Prevádzkový opis a pokyny pre diagnostiku, servis a údržbu

o    Pokyny na obnovu pri výpadku alebo havárii (Havarijný plán)

o    Bezpečnostný projekt voliteľné

o    Údaje o monitorovaní úrovne poskytovaných služieb (SLA) aktív IT

Nasadenie a postimplementačná podpora

·          Nasadenie do produkčnej prevádzky (vyhodnotenie)

·          Akceptácia spustenia do produkčnej prevádzky (vyhodnotenie)

Dokončovacia fáza

·          Manažérske správy, plány, reporty, zoznamy, odporúčania a požiadavky:

o    Správa o dokončení projektu (etapy/fázy)

o    Plán kontroly po odovzdaní projektu

o    Odporúčanie nadväzných krokov

o    Plán monitorovania a hodnotenia po odovzdaní projektu

PRÍRUČKY PROGRAMU SLOVENSKO

Príručka pre žiadateľa

Príručka pre prijímateľa (vrátane jej príloh)

Príručka k oprávnenosti výdavkov (vrátane jej príloh)

Komunikačná stratégia Program Slovensko programové obdobie 2021-2027 (vrátane jej príloh)

Všeobecná informácia k predkladaniu a schvaľovaniu ŽoNFP

Dizajn manuál Programu Slovenso (vrátane jej príloh)

Vzor Zmluvy o poskytnutí NFP

Príručka pre žiadateľov/prijímateľov k procesu a kontrole verejného obstarávania/obstarávania

ŠTANDARDY pre eGOVERNMENT

Zákon č. 95/2019 Z.z. o ITVS

Zákon č. 305/2013 Z.z. o eGovernmente a o elektronickej podobe výkonu pôsobnosti orgánov verejnej moci

Zákon č. 177/2018 Z.z. proti byrokracii a o niektorých opatreniach na znižovanie administratívnej záťaže využívaním ISVS

Zákon č. 18/2018 Z.z. o ochrane osobných údajov

Vyhláška č. 85/2020 Z.z. o riadení IT projektov

Vyhláška č. 78/2020 Z.z. o štandardoch pre ITVS

Vyhláška č. 438/2019 Z.z. o výkone ustanovení zákona o e-Governmente (eDesk modul)

Vyhláška č. 331/2018 Z.z. o zaručenej konverzii

Vyhláška č. 29/2017 Z.z. o alternatívnom autentifikátore

Vyhláška č. 85/2018 Z.z. o spôsobe vyhotovenia listinného rovnopisu elektronického úradného dokumentu

Vyhláška č. 25/2014 Z.z. o IOM

Metodické usmernenie nariadeniu (GDPR) k spracúvaniu osobných údajov (prostredníctvom web stránok) v súlade s požiadavkami Nariadenia Rady EÚ č. 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov

Štandardné zmluvné doložky pre sprostredkovateľov (UOOU)

ŠTANDARDY pre KYBERNETICKÚ a INFORMAČNÚ BEZPEČNOSŤ

Zákon č. 69/2018 Z.z. o Kybernetickej bezpečnosti

Zákon č. 45/2011 Z.z. o Kritickej infraštruktúre

Zákon č. 351/2011 Z.z. o elektronických komunikáciách (ochrana súkromia a osobných údajov, ochrana sietí a zariadení)

Zákon č. 272/2016 Z.z. o dôveryhodných službách (elektronický podpis) a o dôveryhodných službách pre elektronické transakcie na vnútornom trhum (EiDAS)

Trestný zákon č. 300/2005 Z.z. (trestné činy páchané pomocou elektronických prostriedkov a v elektronickom prostredí)

Vyhláška č. 179/2020 Z.z. k spôsobom kategorizácie a obsahu bezpečnostných opatrení ITVS

Metodika pre Systematické zabezpečenie organizácií verejnej správy v oblasti informačnej bezpečnosti (CSIRT)

Smernica č. 7/2019 o riešení Bezpečnostných incidentov Vládnou jednotkou CSIRT

Vyhláška NBU č. 166/2018 Z.z., o podrobnostiach o technickom, technologickom a personálnom vybavení jednotky pre riešenie kybernetických bezpečnostných incidentov 

Vyhláška NBU č. 164/2018 Z.z., ktorou sa určujú identifikačné kritériá prevádzkovanej služby (kritériá základnej služby)

Vyhláška NBU č. 362/2018 Z.z., ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení 

Vyhláška NBU č. 436/2019 Z.z., o audite kybernetickej bezpečnosti a znalostnom štandarde audítora

ŠTANDARDY pre VLÁDNY CLOUD

Katalóg služieb a požiadavky na realizáciu služieb Vládneho Cloudu

Metodické usmernenie pre proces zaradenia cloudovej služby do katalógu č. 4542/2019/oSAEG-1

Usmernenie na aktualizáciu plánu migrácie IKT rezortu do dátového centra štátu

ŠTANDARDY pre RIADENIE PROJEKTU a PROGRAMU

Metodický pokyn k spracovaniu:
_Štúdie uskutočniteľnost (ŠÚ)
_Finančnej analýzy projektu
_Analýzy nákladov a prínosov projektu (CBA)
_Finančnej analýzy žiadateľa o NFP
_Celkových nákladov na vlastníctvo v programovom období 2014 – 2020

Metodický pokyn UPVII č. 3425/2019/oPK-1 na rozpočtovanie nákupu IT v rámci medzirezortného programu 0EK Informačné technológie financované zo štátneho rozpočtu

Metodické usmernenie o postupe pri príprave investícií a koncesií podliehajúcich hodnoteniu MFSR

Rámec na hodnotenie verejných investičných projektov v SR

Použivatelská priručka MetaIS

Použivatelská príručka MetaIS Confluence

Informatizácia 2.0 - revízia výdavkov

ŠTANDARDY pre RIADENIE ARCHITEKTÚRY

Používateľská príručka MetaIS č. 3642/2018/oSAEG-1

Metodický pokyn ÚPVII č. 514/2017-313 z 10.1.2017 na aktualizáciu obsahu centrálneho metainformačného systému verejnej správy povinnými osobami v znení neskorších predpisov

Metodické usmernenie č. 5651/2019/oSAEG-1 z 20.09.2019 na odpočet plnenia NKIVS orgánmi riadenia

Pravidlá publikovania elektronických služieb do multikanálového prostredia verejnej správy (Číslo: 3204/2018/oAeG-1)

ŠTANDARDY pre KVALITU ÚDAJOV

Zákon č. 305/2013 Z.z. o eGovernmente (§52) - povinnosť referencovania sa a využívať referenčné údaje.

Zákon č. 305/2013 Z.z. o eGovernmente (§10) - povinnosť využívať „Modul procesnej integrácie a integrácie údajov (jeho časti IS CSRÚ)“ a realizovať integráciu údajov, synchronizáciu údajov pri referencovaní a pri výmene údajov s referenčnými registrami a základnými číselníkmi.

Metodické umernenie o postupe zaraďovania referenčných údajov do zoznamu referenčných údajov vo väzbe na referenčné registre  (č. 3639/2019/oDK-1)

Metodické usmernenie č. 1/2019 k zálohovaniu údajov v databázach domén, registrátorov a kontaktov súvisiacich so správou domén najvyššej úrovne

Postup pripojenia OVM v roli konzumenta údajov do IS CSRÚ

ŠTANDARDY pre DIZAJN a OPTIMALIZACIU PROCESOV a ŽIVOTNÝCH SITUÁCII

Metodika Používateľské princípy pre návrh a rozvoj elektronických služieb verejnej správy

Metodika optimalizácie procesov verejnej správy (najmä postupovať podľa bodu 3.5 b) pri vytváraní Procesnej analýzy) a v súlade s Metodikou optimalizácie procesov – konvenciami modelovania (aktualizovať diagramy životných situácií a karty životných situácií vedených na MVSR, ak Dielo ovplyvní výkon procesov životnej situácie)

Metodika merania výkonnosti procesov prostredníctvom KPI (dodať funkcionalitu exportu dát z Diela a meriania výkonnosti procesov)

Metodika merania nákladovosti TB-ABC

Metodika identifikácie, vizualizácie a referencovania údajov pri dátovom modelovaní vo verejnej správe

ŠTANDARDY pre UX

Metodika Jednotný dizajn manuál elektronických služieb verejnej správy

Metodické usmernenie UVSR č. 002089/2018/oLŠISVS-7 zo dňa 11.05.2018

Metodické usmernenie pre tvorbu používateľsky kvalitných elektronických služieb verejnej správy (Číslo spisu v DKS: 004307/2019/oBI)

ŠTANDARDY RIADENIA KVALITY

Metodika riadenia QAMPR 

Riadenie kvality podľa Smernice STN EN ISO 9001: 2016

ŠTANDARDY pre LICENCIE

Uznesenia vlády č. 286/2019 o povinnosti prednostne pristupovať k platným a účinným centrálnym IKT zmluvám

Metodický pokyn k zabezpečeniu centrálneho nákupu produktov a služieb spoločnosti ORACLE v rámci Centrálnej rámcovej dohody na poskytovanie licencií a produktov ORACLE a služieb s nimi súvisiacich

ŠTANDARDY OBSTARAVANIA

Zákon č.343/2015 Z.z. o verejnom obstarávaní

Koncepcia nákupu IT vo verejnej správe (v kontexte rokovania o licencnych pravach k zdrojovemu kodu)

OSTATNÉ ŠTANDARDY

Zákon č. 211/2000 Z.z. o slobodnom prístupe k informáciám

Zákon č. 315/2016 Z.z. o registri partnerov verejného sektora

ID

FÁZA/AKTIVITA

ZAČIATOK

(odhad termínu)

KONIEC

(odhad termínu)

1.

Prípravná fáza a Iniciačná fáza

06/2024

12/2024

2.

Realizačná fáza

07/2024

03/2026

3.

Dokončovacia fáza

03/2026

03/2026

4.

Podpora prevádzky (SLA)

04/2026

03/2031

Názov výdavku

MJ

Jednotková cena bez DPH (v EUR)

Počet jednotiek

Spolu s DPH (v EUR)

Manažér kybernetickej bezpečnosti

Hod.

18,51

1350

24 988,5

Súbor softvérových riešení na

ochranu koncových staníc a

serverov s XDR a Zero Trust

technológiou

projekt

377 424

1

377 424

Služby podpory pre softvérové riešenia počas realizácie projektu

projekt

15600

1

15600

Súbor služieb pre predĺženie supportu Tipping point

projekt

31388

1

31388

Audit pred začiatkom projektu

počet

3588

1

3588

Audit po ukončení projektu

počet

4000

1

4000

Paušálna sadzba

projekt

31 665,27

1

31 989

488977,5

ID

Meno a Priezvisko

Pozícia

Oddelenie

Rola v projekte

1.

Bude doplnené/novo vytvorená pozícia

Manažér kybernetickej bezpečnosti

---

Manažér kybernetickej bezpečnosti

2.

Ing. Július Jenis

Riaditeľ Centra IKT UFK v Nitre

Centrum IKT UFK v Nitre

Kľúčový používateľ /pozícia nebude refundová z projektu/

3.

Mgr. Ľubica Lachká

Projektová manažérka

Rektorát UKF v Nitre

Projektová manažérka

4.

Mgr. Lívia Vincúrová

Projektová administrátorka

Rektorát UKF v Nitre

Projektová administrátorka

5.

PhDr. Vladimíra Pazderová, PhD.

Projektový manažér

Externý dodávateľ

Projektová manažérka /prípravná fáza/

Projektová rola:

KĽUČOVÝ POUŽIVATEĽ (end user)

Stručný popis:

·          zodpovedný za reprezentáciu záujmov budúcich používateľov projektových produktov alebo projektových výstupov a za overenie kvality produktu.

·          zodpovedný za návrh a špecifikáciu funkčných a technických požiadaviek, potreby, obsahu, kvalitatívnych a kvantitatívnych prínosov projektu, požiadaviek koncových používateľov na prínos systému a požiadaviek na bezpečnosť.

·          Kľúčový používateľ (end user) navrhuje a definuje akceptačné kritériá, je zodpovedný za akceptačné testovanie a návrh na akceptáciu projektových produktov alebo projektových výstupov a návrh na spustenie do produkčnej prevádzky. Predkladá požiadavky na zmenu funkcionalít produktov a je súčasťou projektových tímov

Detailný popis rozsahu zodpovednosti, povinností a kompetencií

Zodpovedný za:

·          Návrh a špecifikáciu funkčných a technických požiadaviek

·          Jednoznačnú špecifikáciu požiadaviek na jednotlivé projektové výstupy (špecializované produkty a výstupy) z pohľadu vecno-procesného a legislatívy

·          Vytvorenie špecifikácie, obsahu, kvalitatívnych a kvantitatívnych prínosov projektu,

·          Špecifikáciu požiadaviek koncových používateľov na prínos systému

·         Špecifikáciu požiadaviek na bezpečnosť, 

·          Návrh a definovanie akceptačných kritérií,

·          Vykonanie používateľského testovania funkčného používateľského rozhrania (UX testovania)

·          Finálne odsúhlasenie používateľského rozhrania

·          Vykonanie akceptačného testovania (UAT)

·          Finálne odsúhlasenie a  akceptáciu manažérskych a špecializovaných produktov alebo projektových výstupov

·         Finálny návrh na spustenie do produkčnej prevádzky, 

·          Predkladanie požiadaviek na zmenu funkcionalít produktov

·          Aktívnu účasť v projektových tímoch a spoluprácu na vypracovaní manažérskej a špecializovanej dokumentácie a produktov v minimálnom rozsahu určenom Vyhláškou 85/2020 Z.z., Prílohou č.1

·          Plnenie pokynov projektového manažéra a dohôd zo stretnutí projektového tímu

Projektová rola:

MANAŽER KYBERNETICKEJ BEZPEČNOSTI

Stručný popis:

·          zodpovedá za dodržanie princípov a štandardov na kybernertickú a IT bezpečnosť, za kontrolu a audit správnosti riešenia v oblasti bezpečnosti.

·          koordinuje a riadi činnosť v oblasti bezpečnosti prevádzky IT, spolupracuje na projektoch, na rozvoji nástrojov a postupov k optimalizácii bezpečnostných systémov a opatrení. Stanovuje základné požiadavky, podmienky a štandardy pre oblasť bezpečnosti programov, systémov, databázy či sieti. Spracováva a kontroluje príslušné interné predpisy a dohliada nad plnením týchto štandardov a predpisov. Kontroluje a riadi činnosť nad bezpečnostnými testami, bezpečnostnými incidentmi v prevádzke IT. Poskytuje inštrukcie a poradenstvo používateľom počítačov a informačných systémov pre oblasť bezpečnosti

PODMIENKY SPRÁVNEHO a EFEKTÍVNEHO VÝKONU ČINNOSTI role Manažér KYBERNETICKEJ BEZPEČNOSTI:

1)   neobmedzený aktívny prístup ku všetkým projektovým dokumentom, nástrojom a výstupom projektu, v ktorých sa opisuje predmet projektu z hľadiska jeho architektúry, funkcií, procesov, manažmentu informačnej bezpečnosti a spôsobov spracúvania dát, ako aj dát samotných.

2)   rola manažér Kybernetickej a IT bezpečnosti si vyžaduje mať sprístupnené všetky informácie o bezpečnostných opatreniach zavádzaných projektom v zmysle:

a)     § 20 zákona č.69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov

b)     ustanovení zákona č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov

Detailný popis rozsahu zodpovednosti, povinností a kompetencií

Zodpovedný za:

·       špecifikovanie štandardov, princípov a stratégií v oblasti KIB,

·       ak je projekt primárne zameraný na problematiku KIB – je priamo zodpovedný za špecifikáciu a analýzu funkčných požiadaviek na KIB,

·       špecifikovanie požiadaviek na KIB, kontroluje ich implementáciu v realizovanom projekte,

·       špecifikovanie požiadaviek na bezpečnosť vývojového, testovacieho a produkčného prostredia,

·       špecifikovanie funkčných a nefunkčných požiadaviek pre oblasť KIB,

·       špecifikovanie požiadaviek na bezpečnosť v rámci bezpečnostnej vrstvy,

·       špecifikovanie požiadaviek na školenia pre oblasť KIB,

·       špecifikovanie požiadaviek na bezpečnostnú architektúru riešenia a technickú infraštruktúru pre oblasť KIB,

·       špecifikovanie požiadaviek na dostupnosť, zálohovanie, archiváciu a obnovu IS vzťahujúce sa na KIB,

·       realizáciu posúdenie požiadaviek agendy KIB na integrácie a procesov konverzie a migrácie, identifikácia nesúladu a návrh riešenia

·       špecifikovanie požiadaviek na KIB, bezpečnostný projekt a riadenie prístupu,

·       špecifikovanie požiadaviek na testovanie z hľadiska KIB, realizáciu kontroly zapracovania a retestu,

·       špecifikovanie požiadaviek na obsah dokumentácie v zmysle legislatívnych požiadaviek pre oblasť KIB, ako aj v zmysle "best practies",

·       špecifikovanie požiadaviek na dodanie potrebnej dokumentácie súvisiacej s KIB kontroluje ich implementáciu v realizovanom projekte,

·       špecifikovanie požiadaviek a konzultácie pri návrhu riešenia za agendu KIB v rámci procesu „Mapovanie a analýza technických požiadaviek - detailný návrh riešenia (DNR)“,

·       špecifikáciu požiadaviek na bezpečnosť KIB v rámci procesu "akceptácie, odovzdania a správy zdroj. kódov“

·       špecifikáciu akceptačných kritérií za oblasť KIB,

·       špecifikáciu pravidiel pre publicitu a informovanosť s ohľadom na KIB,

·       poskytovanie konzultácií pri tvorbe šablón a vzorov dokumentácie pre oblasť KIB,

·       získavanie informácií nutných pre plnenie úloh v oblasti KIB,

·       špecifikáciu podmienok na testovanie, reviduje výsledky a výstupy z testovania za oblasť KIB,

·       konzultácie a vykonávanie kontrolnej činnosť zameranej na obsah a komplexnosť dok. z hľadiska KIB,

·       špecifikáciu požiadaviek na bezpečnostný projekt pre oblasť KIB,

·       realizáciu kontroly zameranej na naplnenie požiadaviek definovaných v bezp. projekte za oblasť KIB

·       realizáciu kontroly zameranú na správnosť nastavení a konfigurácii bezpečnosti jednotlivých prostredí,

·       realizáciu kontroly zameranú realizáciu procesu posudzovania a komplexnosti bezpečnostných rizík, bezpečnosť a kompletný popis rozhraní, správnu identifikácia závislostí,

·       realizáciu kontroly naplnenia definovaných požiadaviek pre oblasť KIB,

·       realizáciu kontroly zameranú na implementovaný proces v priamom súvise s KIB,

·       realizáciu kontroly súladu s planou legislatívou v oblasti KIB (obsahuje aj kontrolu leg. požiadaviek)

·       realizáciu kontroly zameranú zabezpečenie procesu, interfejsov, integrácii, kompletného popisu rozhraní a spoločných komponentov a posúdenia z pohľadu bezpečnosti,

·       poskytovanie konzultácií a súčinnosti pre problematiku KIB,

·       získavanie a spracovanie informácií nutných pre plnenie úloh v oblasti KIB,

·       aktívnu účasť v projektových tímoch a spoluprácu na vypracovaní manažérskej a špecializovanej dokumentácie a produktov v minimálnom rozsahu určenom Vyhláškou 85/2020 Z.z., Prílohou č.1

·       plnenie pokynov projektového manažéra a dohôd zo stretnutí projektového tímu

Projektová rola:

PROJEKTOVÝ MANAŽÉR

Stručný popis:

·          zodpovedá za riadenie projektu počas celého životného cyklu projektu. Riadi projektové (ľudské a finančné) zdroje, zabezpečuje tvorbu obsahu, neustále odôvodňovanie projektu (aktualizuje BC/CBA) a predkladá vstupy na rokovanie Riadiaceho výboru. Zodpovedá za riadenie všetkých (ľudských a finančných) zdrojov, členov projektovému tím objednávateľa a za efektívnu komunikáciu s dodávateľom alebo stanovených zástupcom dodávateľa.

·          zodpovedá za riadenie prideleného projektu - stanovenie cieľov, spracovanie harmonogramu prác, koordináciu členov projektového tímu, sledovanie dodržiavania harmonogramu prác a rozpočtu, hodnotenie a prezentáciu výsledkov a za riadenie s tým súvisiacich rizík. Projektový manažér vedie špecifikáciu a implementáciu projektov v súlade s firemnými štandardami, zásadami a princípmi projektového riadenia.

·         zodpovedá za plnenie projektových/programových cieľov v rámci stanovených kvalitatívnych, časových a rozpočtovým plánov a za riadenie s tým súvisiacich rizík. V prípade externých kontraktov sa vedúci projektu/ projektový manažér obvykle podieľa na ich plánovaní a vyjednávaní a je hlavnou kontaktnou osobou pre zákazníka.

Detailný popis rozsahu zodpovednosti, povinností a kompetencií

Zodpovedný za:

·          Riadenie projektu podľa pravidiel stanovených vo Vyhláške 85/2020 Z.z.

·          Riadenie prípravy, inicializácie a realizácie projektu

·          Identifikovanie kritických miest projektu a navrhovanie ciest k ich eliminácii

·          Plánovanie, organizovanie, motivovanie projektového tímu a monitorovanie projektu

·          Zabezpečenie efektívneho riadenia všetkých projektových zdrojov s cieľom vytvorenia a dodania obsahu a zabezpečenie naplnenie cieľov projektu

·          Určenie pravidiel, spôsobov, metód a nástrojov riadenia projektu a získanie podpory Riadiaceho výboru (RV) pre riadenie, plánovanie a kontrolu projektu a využívanie projektových zdrojov

·          Zabezpečenie vypracovania manažérskej a špecializovanej dokumentácie a produktov v minimálnom rozsahu určenom Vyhláškou 85/2020 Z.z., Prílohou č.1

·          Zabezpečenie realizácie projektu podľa štandardov definovaných vo Vyhláške 78/2020 Z.z.

·          Zabezpečenie priebežnej aktualizácie a verzionovania manažérskej a špecializovanej dokumentácie v minimálnom rozsahu Vyhlášky 85/2020 Z.z., Prílohy č.1

·          Vypracovanie, pravidelné predkladanie a zabezpečovanie prezentácie stavov projektu, reportov, návrhov riešení problémov a odsúhlasovania manažérskej a špecializovanej dokumentácie v rozsahu určenom Vyhláškou 85/2020 Z.z., Prílohou č.1 na rokovanie RV

·          Riadenie a operatívne riešenie a odstraňovanie strategických / projektových rizík a závislostí

·          Predkladanie návrhov na zlepšenia na rokovanie Riadiaceho výboru (RV)

·          Zabezpečenie vytvorenia a pravidelnej aktualizácie BC/CBA a priebežné zdôvodňovanie projektu a predkladanie na rokovania RV

·          Celkovú alokáciu a efektívne využívanie ľudských a finančných zdrojov v projekte

·          Celkový postup prác v projekte a realizuje nápravné kroky v prípade potreby

·          Vypracovanie požiadaviek na zmenu (CR), návrh ich prioritizácie a predkladanie zmenových požiadaviek na rokovanie RV

·          Riadenie zmeny (CR) a prípadné požadované riadenie konfigurácií a ich zmien

·          Riadenie implementačných a prevádzkových aktivít v rámci projektov.

·          Aktívne komunikuje s dodávateľom, zástupcom dodávateľa a projektovým manažérom dodávateľa s cieľom zabezpečiť úspešné dodanie a nasadenie požadovaných projektových výstupov,

·          Formálnu administráciu projektu, riadenie centrálneho projektového úložiska, správu a archiváciu projektovej dokumentácie

·          Kontrolu dodržiavania a plnenia míľnikov v zmysle zmluvy s dodávateľom,

·          Dodržiavanie metodík projektového riadenia,

·          Predkladanie požiadaviek dodávateľa na rokovanie Riadiaceho výboru (RV),

·          Vecnú a procesnú administráciu zúčtovania dodávateľských faktúr

Projektová rola:

PROJEKTOVÝ ADMINISTRÁTOR

Detailný popis rozsahu zodpovednosti, povinností a kompetencií

Zodpovedný za:

·          Podporu projektového tímu pri plánovaní, realizácii a monitorovaní projektu

·          Správu dokumentácie, sledovanie harmonogramov

·          Riadenie procesu prípravy, podávaním, realizáciou a monitorovaním projektu

·          Príprava podkladov pre metodiku k plánovaniu a riadeniu projektu

·          Správa projektovej dokumentácie

·          Podpora manažéra projektu počas celej realizácie projektu

·          Spolupráca pri riadení komunikácie medzi subjektmi zainteresovanými v projektu

·          Spolupráca pri riadení kvality projektu

·          Spolupráca pri riadení finančných zdrojov, nákladov, výnosov a cashflow projektu