Naposledy upravil Admin-metais MetaIS 2024/11/07 13:09
Z verzie 1.1
upravil ivana_pukajova
-
Zmeniť komentár: Pre túto verziu nie sú komentáre
Do verzie 3.1
upravil Admin-metais MetaIS
-
Zmeniť komentár: Pre túto verziu nie sú komentáre

Súhrn

Podrobnosti

Vlastnosti stránky
Nadradený
... ... @@ -1,0 +1,1 @@
1 +Dokumenty.projekt_2657.WebHome
Autor dokumentu
... ... @@ -1,1 +1,1 @@
1 -projdoc:XWiki.ivana_pukajova
1 +XWiki.metais@vicepremier\.gov\.sk
Obsah
... ... @@ -1,0 +1,1281 @@
1 +**PROJEKTOVÝ ZÁMER**
2 +
3 +**manažérsky výstup I-02**
4 +
5 +**podľa vyhlášky MIRRI č. 401/2023 Z. z.**
6 +
7 +
8 +|(((
9 +Povinná osoba
10 +)))|(((
11 +Východoslovenský ústav srdcových a cievnych chorôb, a.s.
12 +)))
13 +|(((
14 +Názov projektu
15 +)))|(((
16 +Podpora v oblasti kybernetickej a informačnej bezpečnosti na regionálnej úrovni – Východoslovenského ústavu srdcových a cievnych chorôb
17 +)))
18 +|(((
19 +Zodpovedná osoba za projekt
20 +)))|(((
21 +Ing. Marián ALBERT, PhD., MBA
22 +)))
23 +|(((
24 +Realizátor projektu
25 +)))|(((
26 +Východoslovenský ústav srdcových a cievnych chorôb, a.s.
27 +)))
28 +|(((
29 +Vlastník projektu
30 +)))|(((
31 +Východoslovenský ústav srdcových a cievnych chorôb, a.s.
32 +)))
33 +
34 +**~ **
35 +
36 +**Schvaľovanie dokumentu**
37 +
38 +|(((
39 +Položka
40 +)))|(((
41 +Meno a priezvisko
42 +)))|(((
43 +Organizácia
44 +)))|(((
45 +Pracovná pozícia
46 +)))|(((
47 +Dátum
48 +)))|(((
49 +Podpis
50 +
51 +(alebo elektronický súhlas)
52 +)))
53 +|(((
54 +Vypracoval
55 +)))|(((
56 +Ing. Marián ALBERT, PhD., MBA
57 +)))|(((
58 +Východoslovenský ústav srdcových a cievnych chorôb, a.s.
59 +)))|(((
60 +Manažér kybernetickej bezpečnosti
61 +)))|(((
62 +3.6.2024
63 +)))|(((
64 +
65 +)))
66 +
67 +**~ **
68 +
69 += {{id name="projekt_2657_Projektovy_zamer_detailny-1.HistóriaDOKUMENTU"/}}1.     História DOKUMENTU =
70 +
71 +|(((
72 +Verzia
73 +)))|(((
74 +Dátum
75 +)))|(((
76 +Zmeny
77 +)))|(((
78 +Meno
79 +)))
80 +|(((
81 +0.1
82 +)))|(((
83 +9.5.2024
84 +)))|(((
85 +Pracovný návrh
86 +)))|(((
87 +
88 +)))
89 +|(((
90 +0.2
91 +)))|(((
92 +10.5.2024
93 +)))|(((
94 +Zapracovanie pripomienok
95 +)))|(((
96 +
97 +)))
98 +|(((
99 +0.3
100 +)))|(((
101 +21.5.2024
102 +)))|(((
103 +Zapracovanie pripomienok
104 +)))|(((
105 +
106 +)))
107 +|(((
108 +
109 +)))|(((
110 +
111 +)))|(((
112 +
113 +)))|(((
114 +
115 +)))
116 +
117 +**~ **
118 +
119 += {{id name="projekt_2657_Projektovy_zamer_detailny-2.DEFINOVANIEPROJEKTU"/}}2.     DEFINOVANIE PROJEKTU =
120 +
121 +
122 +== {{id name="projekt_2657_Projektovy_zamer_detailny-2.1Manažérskezhrnutie"/}}2.1        Manažérske zhrnutie ==
123 +
124 +Tento dokument je vypracovaný v súlade s Vyhláškou č. 401/2023 Z. z. o riadení projektov a zmenových požiadaviek v prevádzke informačných technológií verejnej správy. Dokument Projektový zámer pre iniciačnú fázu je určený na rozpracovanie informácií k projektu, aby bolo možné rozhodnúť o pokračovaní prípravy projektu, alokovaní rozpočtu, ľudských zdrojov a prechode do realizačnej fázy.
125 +
126 +Ide o detailný projektový zámer k výzve "Podpora v oblasti kybernetickej a informačnej bezpečnosti na regionálnej úrovni – zdravotnícke zariadenia". Účelom dokumentu je rozšíriť spôsobilosti v oblasti informačnej a kybernetickej bezpečnosti a zabezpečiť súlad so zákonom č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov (ďalej ako “zákon o ITVS”) a č. 69/2018 Z. z. o kybernetickej bezpečnosti (ďalej len „zákon o KB“) v oblasti Governance kybernetickej bezpečnosti.
127 +
128 +Aktuálna situácia v oblasti informačnej a kybernetickej bezpečnosti (ďalej ako “KIB”) v našej organizácii nie je ideálna. Východoslovenský ústav srdcových a cievnych chorôb, a.s. (ďalej ako ”VÚSCH”) nemá implementované všetky riešenia a opatrenia kybernetickej bezpečnosti pre zvýšenie úrovne informačnej a kybernetickej bezpečnosti. Z externého pohľadu sa zvyšuje frekvencia a závažnosť útokov, z interného pohľadu sa zase neustále zvyšuje závislosť na informačných aktívach a IT systémoch. Zvyšujú sa teda hrozby, zraniteľnosti a následne aj dopady bezpečnostných incidentov. Realizácia projektu zabezpečí zlepšenie technologického, procesného, infraštruktúrneho, vedomostného a organizačného zabezpečenia zručností, kapacít a spôsobilostí pre plnenie úloh v oblasti KIB.
129 +
130 +
131 +VÚSCH nemá implementované požiadavky v oblasti KIB z nasledovných dôvodov:
132 +
133 +* nie sú k dispozícii dostatočné personálne kapacity pre oblasť riadenia KIB a na prevádzku bezpečnostných systémov a riešení,
134 +* nie sú k dispozícii ani dostatočné finančné zdroje,
135 +* nemáme aktualizovanú analýzu rizík a analýzu dopadov (AR/BIA), riziká nie sú dostatočne formálne riadené,
136 +* nemáme spracované základné dokumenty pre niektoré oblasti riadenia informačnej bezpečnosti, z ktorých by vyplývalo, aké opatrenia je potrebné implementovať a ako a akým spôsobom ich realizovať,
137 +* nemáme zavedené niektoré procesy riadenia KIB.
138 +
139 +
140 +Predmetom projektu je realizácia opatrení na zvýšenie úrovne informačnej a kybernetickej bezpečnosti, v nadväznosti na výsledky auditu organizácie, čo chceme naplniť nasledujúcimi pod-aktivitami: 
141 +
142 +* Aktivity ohľadom vypracovania dokumentácie a nastavenia procesov riadenia KIB:
143 +** aktualizácia stratégie kybernetickej bezpečnosti,
144 +** aktualizácia bezpečnostnej politiky kybernetickej bezpečnosti,
145 +** vytvorenie / aktualizácia ďalších interných smerníc a politík pre všetky relevantné oblasti riadenia KIB (najmä smernica pre používateľov ohľadom IB, BCM politika, SSDLC smernica, riadenie bezpečnosti v prevádzke IT a pod.).
146 +
147 +
148 +* Analytické aktivity:
149 +** aktualizácia identifikácie a evidencie informačných aktív,
150 +** detailná klasifikácia informácií a kategorizácia IS a sietí,
151 +** analýza rizík a analýza dopadov (AR/BIA) aj so zapojením vlastníkov aktív,
152 +** zavedenie procesu formálneho rozhodovania ohľadom riadenia identifikovaných rizík,
153 +** na základe výsledkov AR/BIA zadefinovanie stratégie obnovy pre jednotlivé IS,
154 +** aktualizácia plánu zálohovania podľa výsledkov AR/BIA,
155 +** identifikácia zdrojov log súborov potrebných pre komplexné vyhodnocovanie bezpečnostných udalostí, analýza štruktúry log súborov, návrh optimálneho zberu log súborov, návrh optimálneho uchovávanie log súborov pre potreby forenznej analýzy,
156 +* Implementačné aktivity bezpečnostných riešení:
157 +** zavedenie nástroja na udržiavanie aktív a aktualizáciu AR/BIA a zaškolenie administrátorov VÚSCH,
158 +** dodanie licencií, implementačných, konzultačných a konfiguračných prác pre zavedenie bezpečnostného riešenia pre ochranu kritických infraštruktúrnych prvkov (serverov) voči zraniteľnostiam – implementácia funkcionality „virtual patching“ pre tzv. „legacy“ systémy, na ktoré už nie sú vydávané bezpečnostné záplaty a ochrany voči tzv. „zero-day“ zraniteľnostiam a zaškolenie administrátorov VÚSCH,
159 +** dodanie licencií, implementačných, konzultačných a konfiguračných prác pre zavedenie systému bezpečnostného monitoringu (SIEM) s integrovaným centrálnym log manažmentom pre účely agentského aj bez-agentského zberu logov zo systémov VÚSCH, sieťových zariadení a koncových staníc, spoločne s funkcionalitami XDR (Extended detection and response), ABA (Attacker Behavior Analytics), UBA (User Behavior Analytics), NTA (Network Traffic Analysis), FAAM (File Access Activity Monitoring), FIM (File Integrity Monitoring), Deception Technology (Honey Pots/User/File/Credential) pre zabezpečenie komplexného monitoringu a možnosti vyhodnocovania bezpečnostných udalostí vrátane zaškolenia administrátorov VÚSCH,
160 +** zabezpečenie služby bezpečnostného monitoringu od externého subjektu (SOC as a service) a zladenie interných procesov riešenia bezpečnostných incidentov s procesmi SOC,
161 +** dodanie licencií, implementačných, konzultačných a konfiguračných prác pre zavedenie MFA na všetky VPN pripojenia a na prístup „power users“ k správe IS a zaškolenie administrátorov VÚSCH,
162 +** dodanie licencií, implementačných, konzultačných a konfiguračných prác pre zavedenie interného nástroja na skenovanie zraniteľností (vulnerability scaner) s možnosťou previazania a plnej kompatibility so SIEM riešením, pre testovanie interných systémov, pracovných staníc, sieťovej infraštruktúry a rovnako aj IP adries VÚSCH dostupných zo siete internet, vrátane zaškolenia administrátorov VÚSCH,
163 +** dodanie licencií, implementačných, konzultačných a konfiguračných prác pre zavedenie interného nástroja na bezpečnostné testovanie zamestnancov formou phishingových kampaní a zaškolenie administrátora VÚSCH,
164 +** vykonanie nasledovných bezpečnostných testovaní:
165 +*** vulnerability test (scan) interných systémov, pracovných staníc, sieťovej infraštruktúry,
166 +*** phishingové testovanie interných zamestnancov VÚSCH.
167 +
168 +
169 +* Pre-financovanie nasledovných, legislatívou vyžadovanej aktivity:
170 +** pre-financovanie aktualizácie inventarizácie aktív, klasifikácie IS a analýzy rizík tesne pred ukončením projektu po úspešnej implementácii vyššie uvedených bezpečnostných riešení.
171 +
172 +
173 +Výsledkom projektu bude implementácia základných dokumentov a nastavenie základného rámca a procesov riadenia KIB, zrealizovaná klasifikácia a kategorizácia a AR/BIA, a zavedený formalizovaný  proces riadenia rizík, vrátane podpory IKT nástrojom. Okrem toho projekt zabezpečí nasadenie potrebných bezpečnostných nástrojov, najmä pre účely zberu a ukladania logov a bezpečnostného monitoringu, skenovanie zraniteľností, rozšírenej ochrany kritických prvkov infraštruktúry, ale napr. aj riešenie viac-faktorovej autentifikácie a pod.
174 +
175 +Po implementácii projektu bude proces už zavedený a vykonávaný internými ľuďmi, predovšetkým manažérom kybernetickej bezpečnosti, okrem služby SIEM/SOC, ktorá bude zabezpečená externou formou – externými kapacitami..
176 +
177 +
178 +Celková žiadaná výška ŽoNFP je 299 614, 40 EUR.
179 +
180 +
181 +== {{id name="projekt_2657_Projektovy_zamer_detailny-2.2Motiváciaarozsahprojektu"/}}2.2        Motivácia a rozsah projektu ==
182 +
183 +
184 +Hlavnou motiváciou projektu je zvýšenie úrovne KIB, aby VÚSCH bol lepšie pripravený čeliť interným a externým hrozbám v oblasti kybernetickej bezpečnosti. Na rozdiel od súčasného stavu bude disponovať výrazne vyššími schopnosťami detekcie škodlivých aktivít, technologické vybavenie bude umožňovať lepšiu ochranu pred útokmi z externého prostredia, ako aj ochranu dát.
185 +
186 +
187 +Medzi hlavné ciele systému riadenia KIB patria:
188 +
189 +* zabezpečenie správnej a bezpečnej prevádzky prostriedkov spracúvajúcich informácie,
190 +* monitorovanie prostredia,
191 +* evidencia a ošetrovanie podozrivých udalostí a bezpečnostných incidentov s dôrazom na prevenciu ich opakovaného výskytu.
192 +
193 +
194 +Na rozdiel od súčasného stavu bude VÚSCH disponovať výrazne vyššími schopnosťami detekcie škodlivých aktivít, technologické vybavenie bude umožňovať lepšiu ochranu pred útokmi z externého prostredia, ako aj ochranu dát.
195 +
196 +
197 +Navrhovaný projekt „Podpora v oblasti kybernetickej a informačnej bezpečnosti na regionálnej úrovni – zdravotnícke zariadenia" súvisí najmä s naplnením povinností:
198 +
199 +* definovanými v zákone č. 69/2018 Z. z. Zákon o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov (ďalej len „zákon o KB") a v zákone č. 95/2019 Z. z. Zákon o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov (ďalej len „zákon o ITVS"),
200 +* opatreniami definovanými v § 20 zákona o KB,
201 +* nutnosť zvýšenia úrovne a schopnosti zabezpečovať a riadiť informačnú a kybernetickú bezpečnosť vzhľadom na sústavne sa zvyšujúce hrozby a riziká,
202 +* zabezpečenie realizácie spoločných blokov bezpečnostnej architektúry v súlade s NKIVS a strategickou prioritou informačnej a kybernetickej bezpečnosti,
203 +* ako reakcia na aktuálny nedostatočný stav úrovne vyspelosti procesov riadenia KIB,
204 +* ako reakcia na aktuálne zmeny v používaní IT, ako aj závažné útoky v oblasti kybernetickej bezpečnosti.
205 +
206 +
207 +Projekt rieši nasledovné špecifické problémy v oblasti kybernetickej bezpečnosti:
208 +
209 +* Nová legislatíva v oblasti KIB je náročne implementovateľná bez značných investícií a najmä bez potrebných expertných ľudských zdrojov.
210 +* Absencia fundovaných ľudí, ale aj vzorov, návodov, metodických usmernení a inštrukcií.
211 +* VÚSCH nemá vykonanú detailnú inventarizáciu informačných aktív, klasifikáciu a kategorizáciu IS a sietí, analýzu rizík a analýzu dopadov, zabezpečený formalizovaný a opakovaný proces riadenia identifikovaných rizík (ich mitigácie), ktoré sú nevyhnutným a nutným predpokladom pre efektívne riadenie KIB a ďalší rozvoj v tejto oblasti, inventarizáciu aktív a riadenie rizík vykonávajú zväčša neformalizovaným spôsobom bez IKT podpory.
212 +* Nie je zadefinovaný dizajn bezpečnostných opatrení pre jednotlivé klasifikačné stupne a kategórie IS a chýba aj základná sada zákonom o KB požadovanej dokumentácie a základných interných smerníc pre niektoré oblasti riadenia KIB.
213 +
214 +
215 +Chýbajú bezpečnostné funkcie najmä v oblasti:
216 +
217 +* evidencie aktív a podpory AR/BIA,
218 +* viac-faktorovej autentifikácie,
219 +* automatického a kontinuálneho preverovania zraniteľností jednotlivých systémov,
220 +* centrálneho zberu logov a auditných záznamov,
221 +* komplexného bezpečnostného monitoringu,
222 +* sieťovej a komunikačnej bezpečnosti.
223 +
224 +
225 +Rovnako chýbajú ľudské zdroje pre celkové riadenie KIB ale najmä pre oblasti:
226 +
227 +* konsolidácie logov a auditných záznamov,
228 +* analyzovanie bezpečnostných udalostí a incidentov minimálne v režime 8/5 a ich vyhodnocovanie,
229 +* riešenie bezpečnostných incidentov,
230 +* obnova systémov do pôvodného stavu v prípade výskytu incidentu alebo poruchy systémov.
231 +
232 +
233 +**Informačné systémy v správe VÚSCH:**
234 +
235 +* Nemocničný informačný systém Promis.
236 +* PACS - Konzola T30.
237 +* Laboratórny informačný systém.
238 +* Ekonomický informačný systém - Softip profit.
239 +* Dochádzkový informačný systém SVYDO.
240 +* Mailový server Kerio Connect.
241 +* Service desk Alvao + Alvao asset management console.
242 +* Webové sídlo VÚSCH.
243 +
244 +
245 +Implementácia projektu bude prebiehať v rámci oprávneného typu akcie: Zlepšovanie technologického, procesného, infraštruktúrneho, vedomostného a organizačného zabezpečenia zručností a kapacít pre plnenie úloh v oblasti KIB v prostredí orgánov štátnej a verejnej správy a zdravotníckych zariadení v nasledovných krokoch:
246 +
247 +__ __
248 +
249 +**__Hlavná aktivita: __Realizácia opatrení na zvýšenie úrovne informačnej a kybernetickej bezpečnosti**
250 +
251 +
252 +Jednotlivé pod-aktivity v rámci implementácie projektu:
253 +
254 +__ __
255 +
256 +1. **Analýza a dizajn bude obsahovať:**
257 +
258 +* konzultačné a analytické práce spojené s identifikáciou možností realizácie, potrebných zdrojov a riešení,
259 +* identifikáciu a analýzu rolí, procesov a integrácii,
260 +* funkčnú a nefunkčnú špecifikáciu celého riešenia,
261 +* definíciu všetkých manažérskych a špecializovaných produktov spolu s akceptačnými kritériami.
262 +
263 +
264 +1. **Nákup HW a krabicového SW pozostáva z nákupu hardvérového a softvérového vybavenia**
265 +
266 +* Nástroj na procesno-organizačné riadenie informačnej a kybernetickej bezpečnosti.
267 +* Bezpečnostné riešenie ochrany kritických sieťových prvkov.
268 +* Vulnerability scanner.
269 +
270 +
271 +1. **Implementácia bude obsahovať:**
272 +
273 +* implementáciu a nastavenie jednotlivých technických služieb,
274 +* implementácia bezpečnostných opatrení,
275 +* implementácia proaktívnych a reaktívnych služieb,
276 +* obvyklé testovanie celého riešenia popri implementácii,
277 +* zabezpečenie služby SOC od externého subjektu,
278 +* zladenie interných procesov riešenia bezpečnostných incidentov (internej smernice) s procesmi SOC.
279 +
280 +
281 +1. **Testovanie obsahuje**:
282 +
283 +* testovanie funkcionality riešenia,
284 +* vulnerability testovanie,
285 +* testovanie integrácii,
286 +* pilotnú prevádzku,
287 +* akceptačné testovanie.
288 +
289 +
290 +1. **Nasadenie obsahuje:**
291 +
292 +* nasadenie riešenia do produkčného prostredia,
293 +* školenia pre celé riešenie,
294 +* prechod na plnú prevádzku.
295 +
296 +
297 +* **Podporná aktivita** – Projektový manažér interný/externý na riadenie hlavných aktivít projektu, manažér kybernetickej bezpečnosti – kontrola a riadenie implementácie bezpečnostných riešení, bezpečnostný analytik – podpora implementácie bezpečnostných riešení a ich bezpečnostnej konfigurácie.
298 +
299 +
300 +* **Podporná aktivita – Publicita a informovanosť** vzhľadom na povahu projektu obsahuje iba povinné položky, t.j. umiestnenie trvalo vysvetľujúcej tabule a dočasný veľkoplošný pútač
301 +
302 +
303 +== {{id name="projekt_2657_Projektovy_zamer_detailny-2.3Zainteresovanéstrany/Stakeholderi"/}}2.3        Zainteresované strany/Stakeholderi ==
304 +
305 +
306 +|(((
307 +ID
308 +)))|(((
309 +AKTÉR / STAKEHOLDER
310 +)))|(((
311 +SUBJEKT
312 +
313 +(názov / skratka)
314 +)))|(((
315 +ROLA
316 +
317 +(vlastník procesu/ vlastník dát/zákazník/ užívateľ …. člen tímu atď.)
318 +)))|(((
319 +Informačný systém
320 +
321 +(MetaIS kód a názov ISVS)
322 +)))
323 +|(((
324 +1.
325 +)))|(((
326 +Východoslovenský ústav srdcových a cievnych chorôb, a.s.
327 +)))|(((
328 +
329 +)))|(((
330 +Administrátor a používateľ  bezpečnostných riešení
331 +)))|(((
332 +
333 +)))
334 +
335 +
336 +
337 +== {{id name="projekt_2657_Projektovy_zamer_detailny-2.4Cieleprojektu"/}}2.4        Ciele projektu ==
338 +
339 +
340 +
341 +|(((
342 +ID
343 +)))|(((
344 +
345 +
346 +
347 +Názov cieľa
348 +)))|(((
349 +Názov strategického cieľa
350 +)))|(((
351 +Spôsob realizácie strategického cieľa
352 +)))
353 +|(((
354 +1
355 +)))|(((
356 +RSO 1.2 Využívanie prínosov digitalizácie pre občanov, podniky, výskumné organizácie a orgány verejnej správy
357 +)))|(((
358 +Zlepšovanie technologického, procesného, infraštruktúrneho, vedomostného a organizačného zabezpečenia zručností a kapacít pre plnenie úloh v oblasti KIB v prostredí orgánov štátnej a verejnej správy.
359 +)))|(((
360 +Implementácia projektu
361 +)))
362 +
363 +**~ **
364 +
365 +**~ **
366 +
367 +== {{id name="projekt_2657_Projektovy_zamer_detailny-2.5Merateľnéukazovatele(KPI)"/}}2.5        Merateľné ukazovatele (KPI) ==
368 +
369 +
370 +|(((
371 +ID
372 +)))|(((
373 +
374 +
375 +
376 +ID/Názov cieľa
377 +)))|(((
378 +Názov
379 +ukazovateľa (KPI)
380 +)))|(((
381 +Merná jednotka
382 +
383 +)))|(((
384 +Čas plnenia
385 +
386 +merateľného
387 +
388 +ukazovateľa projektu
389 +)))|(((
390 +závislosti
391 +
392 +merateľného
393 +
394 +ukazovateľa
395 +
396 +projektu)
397 +)))|(((
398 +Príznak rizika
399 +)))|(((
400 +Relevancia
401 +
402 +k HP
403 +)))
404 +|(((
405 +VÝSTUP
406 +
407 +PO095 / PSKPSOI12
408 +)))|(((
409 +RSO 1.2 Využívanie prínosov digitalizácie pre občanov, podniky, výskumné organizácie a orgány verejnej správy
410 +)))|(((
411 +Verejné inštitúcie podporované v
412 +
413 +rozvoji kybernetických služieb,
414 +
415 +produktov a procesov
416 +)))|(((
417 +verejné inštitúcie
418 +)))|(((
419 +ku koncu realizácie
420 +
421 +hlavných aktivít
422 +
423 +projektu
424 +)))|(((
425 +maximálna
426 +
427 +hodnota
428 +)))|(((
429 +nie
430 +)))|(((
431 +n/a
432 +)))
433 +|(((
434 +VÝSLEDOK
435 +
436 +PR017 / PSKPRCR11
437 +)))|(((
438 +RSO 1.2 Využívanie prínosov digitalizácie pre občanov, podniky, výskumné organizácie a orgány verejnej správy
439 +)))|(((
440 +Používatelia nových a vylepšených
441 +
442 +verejných digitálnych služieb,
443 +
444 +produktov a procesov
445 +)))|(((
446 +Používatelia/rok
447 +)))|(((
448 + v rámci udržateľnosti
449 +
450 +projektu
451 +)))|(((
452 +maximálna hodnota
453 +)))|(((
454 +nie
455 +)))|(((
456 +n/a
457 +)))
458 +
459 +
460 +
461 +== {{id name="projekt_2657_Projektovy_zamer_detailny-2.6Rizikáazávislosti"/}}2.6        Riziká a závislosti ==
462 +
463 +
464 +Zoznam rizík a závislosti sa nachádzajú v samostatnej prílohe.
465 +
466 +
467 +
468 +== {{id name="projekt_2657_Projektovy_zamer_detailny-2.7Stanoveniealternatívvbiznisovejvrstvearchitektúry"/}}2.7        Stanovenie alternatív v biznisovej vrstve architektúry ==
469 +
470 +
471 +V rámci biznis architektúry sú popísané služby, ktoré by v zmysle §20 zákona o KB, mali byť implementované za účelom vytvorenia efektívneho a spoľahlivého systému kybernetickej ochrany IS VS a implementácie bezpečnostných opatrení vyžadovaných zákonom o KB. Na základe tohto projektu sa implementujú služby bezpečnosti definované v §20 zákona o KB, resp. zefektívnia sa staré postupy a opatrenia, a tým sa zvýši úroveň KIB a zabezpečí sa súlad s legislatívnymi požiadavkami.
472 +
473 +Cieľom tohto projektu je implementovať systém riadenia KIB a bezpečnostné opatrenia v súlade so zákonom o KB, a to hlavne:
474 +
475 +* zvýšením úrovne governance a vyspelosti procesov riadenia KIB,
476 +* zvýšením ochrany pred útokmi z externého prostredia,
477 +* zvýšením schopnosti detekcie a reakcie na škodlivé aktivity a bezpečnostné incidenty,
478 +* zvýšením úrovne ochrany dát, dátových prenosov a komunikácie,
479 +* zvýšením schopnosti proaktívne identifikovať možné zraniteľnosti prevádzkovaných systémov.
480 +
481 +Bez implementácie governance, procesov a analýzy rizík nie je možné efektívne riadiť informačnú a kybernetickú bezpečnosť a zabezpečiť efektívne vynakladanie prostriedkov na IKIB a nie je možné efektívne implementovať ďalšie, dodatočné bezpečnostné opatrenia, riešenia a systémy ochrany.
482 +
483 +
484 +__Alternatívy riešenia sú nasledovné__:
485 +
486 +**Alternatíva 1:** realizácia KIB** **v rámci tohto projektu
487 +
488 +**Alternatíva 2:** ponechanie realizácie bezpečnostných opatrení a rozvoja KIB  v rámci zdrojov, kapacít a rozpočtu organizácie, čo predstavuje realizáciu za veľmi dlhý čas a najmä aktuálny nedostatok ľudských zdrojov na implementáciu všetkých potrebných bezpečnostných riešení.
489 +
490 +
491 +Projekt na úrovni biznis architektúry v súlade s Alternatívou A bude pozostávať z nasledovných biznis funkcií, ktoré budú realizovať nižšie uvedené procesy:
492 +
493 +* Riadenie aktív a riadenie rizík.
494 +** Proces evidencie a správy aktív.
495 +** Proces klasifikácie informácií a kategorizácie IS a sietí.
496 +** Proces realizácie AR/BIA.
497 +** Proces rozhodovania ohľadom riadenia identifikovaných rizík.
498 +** Proces stanovenia stratégie obnovy na základe výsledkov AR/BIA (RTO).
499 +** Proces definovania plánu zálohovania na základe výsledkov AR/BIA (RPO).
500 +* Riadenie prístupov.
501 +** Proces MFA k VPN a pre prístup „power users“ k správe IS.
502 +* Sieťová a komunikačná bezpečnosť.
503 +** Proces „virtuálneho patchovania“ – ochrany kritických prvkov infraštruktúry („legacy“ systémov).
504 +* Zaznamenávanie udalostí a monitorovanie.
505 +** Proces bezpečného ukladania a centrálneho zhrávania logov.
506 +** Proces bezpečnostného monitoringu koncových staníc.
507 +** Proces bezpečnostného monitoringu systémov a dátových úložísk.
508 +** Proces bezpečnostného monitoringu sieťových prvkov a sieťovej infraštruktúry.
509 +** Proces bezpečnostného monitoringu aktivít používateľov.
510 +** Proces bezpečnostného monitoringu aktivít privilegovaných používateľov.
511 +** Proces vyhodnocovania udalostí založený na “machine learning” algoritmoch a sledovaní správania sa používateľov (“behavioral analysis”) a identifikácie kybernetických bezpečnostných incidentov.
512 +* Riešenie bezpečnostných incidentov.
513 +** Proces vyhodnocovania a riešenia bezpečnostných incidentov a podozrivých udalostí aj vo väzbe na SOC.
514 +* Identifikácia zraniteľností a bezpečnostné testovanie.
515 +** Proces skenovania zraniteľností jednotlivých IS a sieťových zariadení.
516 +** Proces zvyšovania kybernetickej odolnosti VÚSCH formou bezpečnostných testovaní (phishing-ových simulácií).
517 +
518 +
519 +Okrem uvedených biznis funkcií je projekt zameraný aj na podporu pre oblasti:
520 +
521 +* governance KIB a bezpečnostná dokumentácia,
522 +* zavedenie procesov riadenia KIB pre všetky relevantné oblasti riadenia.
523 +
524 +
525 +V alternatíve B odhadujeme, že za rovnaký čas (trvanie projektu), a z aktuálne dostupnými finančnými prostriedkami a ľudskými zdrojmi by VÚSCH bola schopná zrealizovať a do praxe implementovať len nasledovné biznis funkcie:
526 +
527 +* Riadenie aktív a riadenie rizík.
528 +* Identifikácia zraniteľností a bezpečnostné testovanie.
529 +
530 +Implementácia len tých dvoch biznis funkcií je z pohľadu zabezpečenia ochrany informačných aktív VÚSCH a naplnenia legislatívnych požiadaviek absolútne nepostačujúca.
531 +
532 +
533 +
534 +== {{id name="projekt_2657_Projektovy_zamer_detailny-2.8Multikriteriálnaanalýza"/}}2.8        Multikriteriálna analýza ==
535 +
536 +
537 +
538 +|(((
539 +**// //**
540 +)))|(((
541 +KRITÉRIUM
542 +)))|(((
543 +ZDÔVODNENIE KRIÉRIA
544 +)))|(((
545 +MIRRI (výzva)
546 +)))|(((
547 +Organizácia
548 +)))|(((
549 +STAKEHOLDER
550 +
551 +3
552 +)))
553 +|(% rowspan="6" %)(((
554 +BIZNIS VRSTVA
555 +
556 +// //
557 +)))|(((
558 +A Súlad s legislatívou a zabezpečenie legislatívnych požiadaviek čo najjednoduchším riešením.
559 +)))|(((
560 +Je potrebné naplniť požiadavky zákonov 69/2018 Z. z. a 95/2019 Z. z., čo najefektívnejšie
561 +)))|(((
562 +áno
563 +)))|(((
564 +áno
565 +)))|(((
566 +
567 +)))
568 +|(((
569 +B Rýchlosť implementácie.
570 +)))|(((
571 +Z pohľadu zákona 69/2018 Z. z. je potrebné implementáciu stihnúť čo najskôr
572 +)))|(((
573 +áno
574 +)))|(((
575 +nie
576 +)))|(((
577 +
578 +)))
579 +|(((
580 +C Nízka náročnosť implementácie z pohľadu ľudských zdrojov a času
581 +)))|(((
582 +Vzhľadom na stav ľudských zdrojov je potrebné projekt navrhnúť tak, aby mal čo najmenšiu náročnosť na ľudské zdroje
583 +)))|(((
584 +áno
585 +)))|(((
586 +nie
587 +)))|(((
588 +
589 +)))
590 +|(((
591 +Kritérium D (KO)
592 +)))|(((
593 +
594 +)))|(((
595 +
596 +)))|(((
597 +
598 +)))|(((
599 +
600 +)))
601 +|(((
602 +Kritérium E
603 +)))|(((
604 +
605 +)))|(((
606 +
607 +)))|(((
608 +
609 +)))|(((
610 +
611 +)))
612 +|(((
613 +Kritérium F
614 +)))|(((
615 +
616 +)))|(((
617 +
618 +)))|(((
619 +
620 +)))|(((
621 +
622 +)))
623 +
624 +
625 +
626 +
627 +
628 +
629 +
630 +|(((
631 +Zoznam kritérií
632 +)))|(((
633 +Alternatíva
634 +
635 +1
636 +)))|(((
637 +Spôsob
638 +
639 +dosiahnutia
640 +)))|(((
641 +Alternatíva 2
642 +)))|(((
643 +Spôsob
644 +
645 +dosiahnutia
646 +)))
647 +|(((
648 +Kritérium A
649 +)))|(((
650 +áno
651 +)))|(((
652 +Projekt zavádza procesy Governance v oblasti KIB
653 +)))|(((
654 +čiastočne
655 +)))|(((
656 +
657 +)))
658 +|(((
659 +Kritérium B
660 +)))|(((
661 +áno
662 +)))|(((
663 +Realizácia výzvy je najrýchlejšou možnosťou implementácie
664 +)))|(((
665 +nie
666 +)))|(((
667 +
668 +)))
669 +|(((
670 +Kritérium C
671 +)))|(((
672 +áno
673 +)))|(((
674 +Projekty budú realizované formou dodávky a budú minimalizovať nároky na interné ľudské zdroje
675 +)))|(((
676 +nie
677 +)))|(((
678 +
679 +)))
680 +|(((
681 +Kritérium D
682 +)))|(((
683 +
684 +)))|(((
685 +
686 +)))|(((
687 +
688 +)))|(((
689 +
690 +)))
691 +
692 +
693 +Na základe vyhodnotenia MCA analýzy je možné konštatovať, že najvýhodnejšou alternatívou je alt. 1 - realizácia KIB v rámci tohto projektu.
694 +
695 +// //
696 +
697 +== {{id name="projekt_2657_Projektovy_zamer_detailny-2.9Stanoveniealternatívvaplikačnejvrstvearchitektúry"/}}2.9        Stanovenie alternatív v aplikačnej vrstve architektúry ==
698 +
699 +Na základe výberu Alternatívy A pre naplnenie cieľov projektu je nevyhnutné nastavenie procesov pre riadenie a kontinuálne zvyšovanie úrovne informačnej a kybernetickej bezpečnosti VÚSCH.
700 +
701 +
702 +Z pohľadu aplikačnej vrstvy architektúry je účelom projektu:
703 +
704 +* implementácia preventívnych služieb, ktorých cieľom je ochrana kybernetického priestoru s cieľom zamedziť narušeniu z vnútorného, alebo vonkajšieho prostredia,
705 +* budovanie reaktívnych služieb za účelom identifikácie (preventívne služby) a riešenia (reaktívne služby) kybernetických bezpečnostných incidentov.
706 +
707 +
708 +**Preventívne služby budú zamerané na prevenciu kybernetických bezpečnostných incidentov a budú sa skladať z týchto procesov a funkcií:**
709 +
710 +* vytváranie bezpečnostného povedomia,
711 +* technologický dozor,
712 +* monitorovanie a evidencia kybernetických bezpečnostných incidentov,
713 +* vykonávanie bezpečnostných auditov,
714 +* poskytovanie informácií a údajov do jednotného informačného systému kybernetickej bezpečnosti a prijímanie a zasielanie včasného varovania pred bezpečnostnými incidentmi,
715 +* zisťovanie a hodnotenie úrovne zraniteľnosti prvkov infraštruktúry,
716 +* vykonávanie pravidelného hardeningu a aktualizácie infraštruktúry a softvérového vybavenia.
717 +
718 +
719 +**Reaktívne služby pre bezpečnostný monitoring budú zamerané na riešenie kybernetických bezpečnostných incidentov a budú vykonávané prostredníctvom nasledujúcich procesov a funkcií:**
720 +
721 +* detekcia kybernetických bezpečnostných incidentov,
722 +* analýza kybernetických bezpečnostných incidentov,
723 +* odozva, ohraničenie, riešenie a náprava následkov kybernetických bezpečnostných incidentov,
724 +* reakcia na kybernetický bezpečnostný incident, podpora a koordinácia činnosti v rámci riešenia incidentov,
725 +* návrh opatrení na zabránenie ďalšiemu pokračovaniu, šíreniu a opakovanému výskytu kybernetických bezpečnostných incidentov.
726 +
727 +
728 +Aplikačná architektúra bude pre jednotlivé biznis funkcie, uvedené v časti biznis architektúry, tvorená nasledovnými aplikačnými modulmi:
729 +
730 +* Riadenie aktív a riadenie rizík.
731 +** Implementácia nástroja na procesno-organizačné riadenie informačnej a kybernetickej bezpečnosti.
732 +* Riadenie prístupov.
733 +** Implementácia MFA – MFA k VPN a pre prístup „power users“ k správe IS.
734 +* Sieťová a komunikačná bezpečnosť.
735 +** Nasadenie bezpečnostného riešenia ochrany kritickej infraštruktúry („legacy“ systémov) formou „virtual patching“.
736 +* Zaznamenávanie udalostí a monitorovanie.
737 +** Implementácia SIEM s integrovaným LMS.
738 +* Riešenie kybernetických bezpečnostných incidentov.
739 +** Využitie SOC ako služby od externého subjektu.
740 +* Identifikácia zraniteľností a bezpečnostné testovanie.
741 +** Implementácia vulnerability skenera.
742 +** Implementácia nástroja na tvorbu a testovanie phishing kampaní.
743 +
744 +
745 +__Poznámka:__ V prípade, že niektorá biznis funkcia nemá ekvivalent na úrovni aplikačnej architektúry, znamená to, že ide o biznis funkciu, ktorá nie je podporená technickým riešením.
746 +
747 +
748 +== {{id name="projekt_2657_Projektovy_zamer_detailny-2.10Stanoveniealternatívvtechnologickejvrstvearchitektúry"/}}2.10     Stanovenie alternatív v technologickej vrstve architektúry ==
749 +
750 +Ciele projektu a súlad s platnou legislatívou KIB je možné naplniť iba výberom Alternatívy A, ktorá z pohľadu technologickej vrstvy znamená implementáciu požiadaviek.
751 +
752 +// //
753 +
754 += {{id name="projekt_2657_Projektovy_zamer_detailny-3.POŽADOVANÉVÝSTUPY(PRODUKTPROJEKTU)"/}}3.     POŽADOVANÉ VÝSTUPY (PRODUKT PROJEKTU) =
755 +
756 +
757 +|(((
758 +**ID**
759 +)))|(((
760 +**Aktivita/prevádzková dokumentácia (výstup)**
761 +)))|(((
762 +**Poznámka**
763 +)))
764 +|(((
765 +1.1
766 +)))|(((
767 +Vypracovanie smerníc a prevádzkovej dokumentácie riadenia informačnej bezpečnosti a kybernetickej bezpečnosti
768 +)))|(((
769 +Výstupom aktivity budú vytvorené / aktualizované nasledovné smernice a dokumenty:
770 +
771 +·        Stratégia kybernetickej bezpečnosti.
772 +
773 +·        Bezpečnostná politika.
774 +
775 +·        Bezpečnostná smernica pre používateľov.
776 +
777 +·        Smernica o bezpečnej prevádzke IS pre administrátorov.
778 +
779 +·        Smernica pre riadenie informačnej bezpečnosti.
780 +
781 +·        Smernica pre riadenie aktív a rizík, vrátane AR/BIA metodiky vytvorenej v súlade s NBÚ metodikou a prispôsobenej podmienkam VÚSCH.
782 +
783 +·        Smernica klasifikácie a kategorizácie IS a sietí.
784 +
785 +·        Smernica riadenia prístupových práv.
786 +
787 +·        Smernica pre riadenie dodávateľských služieb a 3tich strán.
788 +
789 +·        Smernica ohľadom bezpečnostných požiadaviek pre obstarávanie nových IS (SSDLC).
790 +
791 +·        Smernica o monitorovaní a riešení bezpečnostných incidentov, vrátane zosúladenia interných procesov s prevádzkovateľom SIEM/SOC.
792 +)))
793 +|(((
794 +1.2
795 +)))|(((
796 +Aktualizácia identifikácie a evidencie aktív
797 +)))|(((
798 +Vykonanie aktualizácie identifikácie a evidencie informačných aktív VÚSCH a ich následné zadanie do nástroja na procesno-organizačné riadenie informačnej a kybernetickej bezpečnosti (pozri bod 2.1).
799 +)))
800 +|(((
801 +1.3
802 +)))|(((
803 +Vykonanie detailnej aktualizácie klasifikácie informácií a kategorizácie sietí a informačných systémov
804 +)))|(((
805 +Vykonanie klasifikácie informácií a následne kategorizácie IS a sietí podľa požiadaviek aktuálnej legislatívy.
806 +
807 +Na klasifikácii sa budú podieľať aj interní zamestnanci, cieľom projektu je aj transfer know-how, aby si bola organizácia schopná klasifikáciu následne realizovať aj vlastnými silami.
808 +)))
809 +|(((
810 +1.4
811 +)))|(((
812 +Realizácia detailnej aktualizácie AR/BIA
813 +)))|(((
814 +Spolu s vlastníkmi aktív zrealizovanie analýzy rizík a analýzy dopadov nad identifikovanými informačnými aktívami v súlade s metodikou AR/BIA vytvorenou v bode 1.1 a zaevidovanie výsledkov do nástroja na procesno-organizačné riadenie informačnej a kybernetickej bezpečnosti uvedeného v bode 2.1. Predmetom dodávky bude aj vytvorenie katalógu rizík a podpora pri procese jeho formálneho schvaľovania vedením VÚSCH.
815 +)))
816 +|(((
817 +2.1
818 +)))|(((
819 +Nástroj na procesno-organizačné riadenie informačnej a kybernetickej bezpečnosti
820 +)))|(((
821 +Informačný nástroj na efektívne udržiavanie aktuálneho zoznamu informačných aktív, pravidelné vykonávanie aktualizácie AR/BIA a nadväzujúcich bezpečnostných opatrení.
822 +)))
823 +|(((
824 +2.2
825 +)))|(((
826 +Bezpečnostné riešenie ochrany kritických IS infraštruktúry („virtual patching“)
827 +)))|(((
828 +Zavedenie bezpečnostného riešenia pre ochranu kritických infraštruktúrnych prvkov (serverov) voči zraniteľnostiam – implementácia funkcionality „virtual patching“ pre tzv. „legacy“ systémy, na ktoré už nie sú vydávané bezpečnostné záplaty a ochrany voči tzv. „zero-day“ zraniteľnostiam a zaškolenie administrátorov VÚSCH.
829 +)))
830 +|(((
831 +2.3
832 +)))|(((
833 +Implementácia SIEM
834 +)))|(((
835 +Zavedenie systému bezpečnostného monitoringu (SIEM) s integrovaným centrálnym log manažmentom pre účely agentského aj bez-agentského zberu logov zo systémov VÚSCH, sieťových zariadení a koncových staníc a dostatočnú kapacitu pre uloženie všetkých logov min. po dobu 12 mesiacov. SIEM riešenie bude disponovať funkcionalitami XDR (Extended detection and response), ABA (Attacker Behavior Analytics), UBA (User Behavior Analytics), NTA (Network Traffic Analysis), FAAM (File Access Activity Monitoring), FIM (File Integrity Monitoring), Deception Technology (Honey Pots/User/File/Credential) pre zabezpečenie komplexného monitoringu a možnosti vyhodnocovania bezpečnostných udalostí vrátane zaškolenia administrátorov VÚSCH.
836 +
837 +Implementácia zahŕňa zmapovanie súčasných logov, nastavenie logovania zo všetkých relevantných systémov, aplikácií a sieťových zariadení, ich konsolidáciu a následné implementačné a konfiguračné práce spojené s nasadením SIEM riešenia pre vyhodnocovanie logov z prostredia VÚSCH.
838 +)))
839 +|(((
840 +2.4
841 +)))|(((
842 +Obstaranie SOC as a Service
843 +)))|(((
844 +Obstaranie a zabezpečenie služby SOC od externého subjektu vrátane podpory riešenia bezpečnostných incidentov.
845 +
846 +Zladenie interných procesov riešenia bezpečnostných incidentov (internej smernice) s procesmi SOC.
847 +)))
848 +|(((
849 +2.5
850 +)))|(((
851 +Implementácia MFA
852 +)))|(((
853 +Zavedenie MFA na všetky VPN pripojenia a na prístup „power users“ k správe IS a zaškolenie administrátora VÚSCH. Potrebných približne 60 licencií (users).
854 +)))
855 +|(((
856 +2.6
857 +)))|(((
858 +Vulnerability scanner
859 +)))|(((
860 +Zavedenie interného nástroja na skenovanie zraniteľností (vulnerability scaner), s možnosťou previazania a plnej kompatibility so SIEM riešením, pre testovanie interných systémov, pracovných staníc, sieťovej infraštruktúry a rovnako aj IP adries VÚSCH dostupných zo siete internet, vrátane zaškolenia administrátorov VÚSCH. Súčasťou bude aj vykonania iniciálneho vulnerability testu (scanu) interných systémov, pracovných staníc a sieťovej infraštruktúry.
861 +)))
862 +|(((
863 +2.7
864 +)))|(((
865 +Nástroj na bezpečnostné testovanie phishing kampaní
866 +)))|(((
867 +Zavedenie interného nástroja na bezpečnostné testovanie zamestnancov formou phishing-ových kampaní a zaškolenie administrátora VÚSCH, Vrátane vykonania iniciálneho phishing-ového testovania interných zamestnancov VÚSCH.
868 +)))
869 +|(((
870 +3.1
871 +)))|(((
872 +Aktualizácia AR/BIA
873 +)))|(((
874 +Vzhľadom na odhadované trvanie projektu viac ako 1 rok, a značné zmeny, ktoré implementácie projektu prinesie, je žiadúce tesne pred ukončením projektu vykonať aj aktualizáciu AR/BIA. Prvotná AR/BIA bude zrealizovaná hneď na začiatku projektu.
875 +)))
876 +
877 +
878 +
879 += {{id name="projekt_2657_Projektovy_zamer_detailny-4.NÁHĽADARCHITEKTÚRY"/}}4.     NÁHĽAD ARCHITEKTÚRY =
880 +
881 +Náhľad architektúry sa nachádza v dokumente Prístup k projektu.
882 +
883 +
884 += {{id name="projekt_2657_Projektovy_zamer_detailny-5.ROZPOČETAPRÍNOSY"/}}5.     ROZPOČET A PRÍNOSY =
885 +
886 +Prínosy projektu sú vypočítané na základe zákona č. 69/2018 Z. z., kde zákonodarca priamo v §31 ods. 2, písm. C ohodnotil pokutou do 1 percenta obratu, maximálne 300 000 EUR. Vzhľadom na zmeny v bezpečnostnom prostredí (zvýšenie frekvencií útokov, zraniteľností ako aj dopadov) je dôvodné predpokladať, že dnes by zákonodarca toto hodnotenie ešte zvýšil. Z tohto dôvodu považujeme za hodnotu "non-compliance" práve 300 000 EUR.
887 +
888 +
889 +Túto hodnotu je možné považovať za minimálny prínos, nakoľko je možné uvažovať aj tým smerom, že bez implementácie Governance kybernetickej bezpečnosti hrozí riziko, že investície do tejto oblasti skončia bez zavedených procesov (a tým pádom nebudú ani zďaleka dosahovať svoj potenciál).
890 +
891 +Tento prínos by však bol náročne objektívne ohodnotiteľný, preto zostávame pri hodnotení stanovenom zákonodarcom.
892 +
893 +
894 +== {{id name="projekt_2657_Projektovy_zamer_detailny-5.1Sumarizácianákladovaprínosov"/}}5.1        Sumarizácia nákladov a prínosov ==
895 +
896 +V zmysle pravidiel výzvy sa CBA neprikladá. Sumarizácia nákladov a prínosov vychádza z PHZ.
897 +
898 +
899 +|(((
900 +Náklady
901 +)))|(((
902 +Názov
903 +
904 +modulu
905 +)))|(((
906 +Názov
907 +
908 +modulu
909 +)))|(((
910 +Názov
911 +
912 +modulu
913 +)))|(((
914 +Názov
915 +
916 +modulu
917 +)))|(((
918 +Názov
919 +
920 +modulu
921 +)))|(((
922 +Názov
923 +
924 +modulu
925 +)))
926 +|(((
927 +**Všeobecný materiál**
928 +)))|(((
929 +SW nástroj na procesno-organizačné riadenie informačnej a kybernetickej bezpečnosti
930 +)))|(((
931 +Bezpečnostné riešenie ochrany kritických IS infraštruktúry („virtual patching“)
932 +)))|(((
933 +Implementácia SIEM
934 +)))|(((
935 +Implementácia MFA
936 +)))|(((
937 +Vulnerability scanner a nástroj na bezpečnostné testovanie
938 +)))|(((
939 +Nástroj na bezpečnostné testovanie phishing kampaní.
940 +)))
941 +|(((
942 +**IT - CAPEX**
943 +)))|(((
944 +18.600 €
945 +)))|(((
946 +23.400 €
947 +)))|(((
948 +69.600 €
949 +)))|(((
950 +15.120 €
951 +)))|(((
952 +27.600 €
953 +)))|(((
954 +9 600 €
955 +)))
956 +|(((
957 +Aplikácie
958 +)))|(((
959 +
960 +)))|(((
961 +
962 +)))|(((
963 +
964 +)))|(((
965 +// //
966 +)))|(((
967 +// //
968 +)))|(((
969 +// //
970 +)))
971 +|(((
972 +SW
973 +)))|(((
974 +
975 +)))|(((
976 +
977 +)))|(((
978 +
979 +)))|(((
980 +// //
981 +)))|(((
982 +// //
983 +)))|(((
984 +// //
985 +)))
986 +|(((
987 +HW
988 +)))|(((
989 +
990 +)))|(((
991 +
992 +)))|(((
993 +
994 +)))|(((
995 +// //
996 +)))|(((
997 +// //
998 +)))|(((
999 +// //
1000 +)))
1001 +|(((
1002 +**Názov**
1003 +)))|(((
1004 +
1005 +)))|(((
1006 +
1007 +)))|(((
1008 +
1009 +)))|(((
1010 +
1011 +)))|(((
1012 +
1013 +)))|(((
1014 +
1015 +)))
1016 +|(((
1017 +**IT - OPEX- prevádzka**
1018 +)))|(((
1019 +7.000 €
1020 +)))|(((
1021 +7.332 €
1022 +)))|(((
1023 +22.899 €
1024 +)))|(((
1025 +4.080 €
1026 +)))|(((
1027 +8.540 €
1028 +)))|(((
1029 +2.590 €
1030 +)))
1031 +|(((
1032 +Licencie
1033 +)))|(((
1034 +
1035 +)))|(((
1036 +
1037 +)))|(((
1038 +
1039 +)))|(((
1040 +// //
1041 +)))|(((
1042 +// //
1043 +)))|(((
1044 +// //
1045 +)))
1046 +|(((
1047 +SW
1048 +)))|(((
1049 +
1050 +)))|(((
1051 +
1052 +)))|(((
1053 +
1054 +)))|(((
1055 +// //
1056 +)))|(((
1057 +// //
1058 +)))|(((
1059 +// //
1060 +)))
1061 +|(((
1062 +HW
1063 +)))|(((
1064 +
1065 +)))|(((
1066 +
1067 +)))|(((
1068 +
1069 +)))|(((
1070 +// //
1071 +)))|(((
1072 +// //
1073 +)))|(((
1074 +// //
1075 +)))
1076 +
1077 +
1078 += {{id name="projekt_2657_Projektovy_zamer_detailny-6.HARMONOGRAMJEDNOTLIVÝCHFÁZPROJEKTUaMETÓDAJEHORIADENIA"/}}6.     HARMONOGRAM JEDNOTLIVÝCH FÁZ PROJEKTU a METÓDA JEHO RIADENIA =
1079 +
1080 +
1081 +
1082 +|(((
1083 +ID
1084 +)))|(((
1085 +FÁZA/AKTIVITA
1086 +)))|(((
1087 +ZAČIATOK
1088 +
1089 +(odhad termínu)
1090 +)))|(((
1091 +KONIEC
1092 +
1093 +(odhad termínu)
1094 +)))
1095 +|(((
1096 +1.
1097 +)))|(((
1098 +Prípravná fáza a Iniciačná fáza
1099 +)))|(((
1100 +06/2024
1101 +)))|(((
1102 +10/2024
1103 +)))
1104 +|(((
1105 +2.
1106 +)))|(((
1107 +Realizačná fáza
1108 +)))|(((
1109 +11/2024
1110 +)))|(((
1111 +01/2026
1112 +)))
1113 +|(((
1114 +2a
1115 +)))|(((
1116 +Analýza a Dizajn
1117 +)))|(((
1118 +11/2024
1119 +)))|(((
1120 +03/2025
1121 +)))
1122 +|(((
1123 +2b
1124 +)))|(((
1125 +Nákup technických prostriedkov, programových prostriedkov a služieb
1126 +)))|(((
1127 +12/2024
1128 +)))|(((
1129 +04/2025
1130 +)))
1131 +|(((
1132 +2c
1133 +)))|(((
1134 +Implementácia a testovanie
1135 +)))|(((
1136 +03/2025
1137 +)))|(((
1138 +07/2025
1139 +)))
1140 +|(((
1141 +2d
1142 +)))|(((
1143 +Nasadenie
1144 +)))|(((
1145 +08/2025
1146 +)))|(((
1147 +12/2025
1148 +)))
1149 +|(((
1150 +3.
1151 +)))|(((
1152 +Dokončovacia fáza
1153 +)))|(((
1154 +12/2025
1155 +)))|(((
1156 +01/2026
1157 +)))
1158 +|(((
1159 +4.
1160 +)))|(((
1161 +Podpora prevádzky (SLA)
1162 +)))|(((
1163 +02/2026
1164 +)))|(((
1165 +
1166 +)))
1167 +
1168 +
1169 +,
1170 +
1171 +// //
1172 +
1173 +// //
1174 +
1175 +
1176 += {{id name="projekt_2657_Projektovy_zamer_detailny-7.PROJEKTOVÝTÍM"/}}7.     PROJEKTOVÝ TÍM =
1177 +
1178 +
1179 +Zostavuje sa **Riadiaci výbor (RV),** v minimálnom zložení:
1180 +
1181 +* Predseda RV
1182 +* Biznis vlastník
1183 +* Zástupca prevádzky
1184 +* Zástupca dodávateľa (dopĺňa sa až po VO / voliteľný člen)
1185 +* Projektový manažér objednávateľa (PM)
1186 +
1187 +
1188 +|(((
1189 +ID
1190 +)))|(((
1191 +Meno a Priezvisko
1192 +)))|(((
1193 +Pozícia
1194 +)))|(((
1195 +Oddelenie
1196 +)))|(((
1197 +Rola v projekte
1198 +)))
1199 +|(((
1200 +1.
1201 +)))|(((
1202 +
1203 +)))|(((
1204 +Projektový manažér (pracovné zaradenie v línii)
1205 +)))|(((
1206 +
1207 +)))|(((
1208 +PM
1209 +)))
1210 +|(((
1211 +2.
1212 +)))|(((
1213 +Ing. Marián ALBERT, PhD., MBA
1214 +)))|(((
1215 +Manažér kybernetickej bezpečnosti (pracovné zaradenie v línii)
1216 +)))|(((
1217 +
1218 +)))|(((
1219 +MKIB
1220 +)))
1221 +
1222 +Pozícia projektového manažéra bude obsadená do začiatku projektu.
1223 +
1224 +
1225 +== {{id name="projekt_2657_Projektovy_zamer_detailny-7.1PRACOVNÉNÁPLNE"/}}7.1        PRACOVNÉ NÁPLNE ==
1226 +
1227 +
1228 +__Riadiaci výbor projektu budú tvoriť:__
1229 +
1230 +Členovia Riadiaceho výboru s hlasovacím právom:
1231 +
1232 +* predseda Riadiaceho výboru projektu
1233 +* manažér kybernetickej bezpečnosti objednávateľa (biznis vlastník), môže byť totožný s predsedom RV
1234 +* zástupca prevádzky
1235 +
1236 +
1237 +Členovia Riadiaceho výboru bez hlasovacieho práva:
1238 +
1239 +* projektový manažér prijímateľa
1240 +* zástupca QA SKB MIRRI SR
1241 +* projektový manažér SO MIRRI SR
1242 +* projektový manažér dodávateľa
1243 +* zástupca dodávateľa
1244 +
1245 +
1246 +Určenie zodpovednosti členov Riadiaceho výboru
1247 +
1248 +Hlavným záujmom a zodpovednosťou predsedu Riadiaceho výboru projektu je:
1249 +
1250 +* celkovo zodpovedať za projekt,
1251 +* kontrolovať súlad projektu a projektových cieľov so strategickými cieľmi,
1252 +* zabezpečiť a udržať finančné a personálne krytie realizácie projektu,
1253 +* zabezpečiť nákladovo prijateľný prístup v projekte,
1254 +
1255 +Hlavným záujmom a zodpovednosťou biznis vlastníka je:
1256 +
1257 +* schválenie funkčných a technických požiadaviek alebo ich zmien, potreby, obsahu, kvalitatívnych a kvantitatívnych prínosov projektu,
1258 +* definovanie očakávaní na kvalitu projektu, kritérií kvality projektových produktov, prínosov pre koncových používateľov a požiadaviek na
1259 +* bezpečnosť,
1260 +* definovanie merateľných výkonnostných ukazovateľov projektov a prvkov,
1261 +* schválenie akceptačných kritérií,
1262 +* odsúhlasenie spustenia výstupov projektu do produkčnej prevádzky,
1263 +* dostupnosť ľudských zdrojov alokovaných na realizáciu projektu
1264 +
1265 +Hlavným záujmom a zodpovednosťou zástupcu dodávateľa je:
1266 +
1267 +* návrh riešenia, vytvorenie, vývoj, implementáciu, otestovanie a nasadenie projektových produktov,
1268 +* zodpovedá za plnenie a dodávku predmetu projektu v zmluvne dohodnutom rozsahu, čase, kvalite a nákladoch,
1269 +
1270 +.
1271 +
1272 += {{id name="projekt_2657_Projektovy_zamer_detailny-8.PRÍLOHY"/}}8.     PRÍLOHY =
1273 +
1274 +
1275 +**Príloha: **Zoznam rizík a závislostí (Excel):
1276 +
1277 +**Príloha:** Katalóg požiadaviek
1278 +
1279 +// //
1280 +
1281 +
Confluence.Code.ConfluencePageClass[0]
Id
... ... @@ -1,1 +1,1 @@
1 -155322728
1 +155322726