Version 2.1 by svetlana_hanzelyova on 2024/06/23 16:35
Show last authors
1 (% style="text-align: center;" %)
2 **PRÍSTUP K PROJEKTU**
3
4 (% style="text-align: center;" %)
5 **~ Vzor pre manažérsky výstup I-03**
6
7 (% style="text-align: center;" %)
8 **podľa vyhlášky MIRRI č. 401/2023 Z. z. **
9
10 \\
11
12 **~ **
13
14 (% class="" %)|(((
15 Povinná osoba
16 )))|(((
17 Technická univerzita vo Zvolene
18 )))
19 (% class="" %)|(((
20 Názov projektu
21 )))|(((
22 //Zvýšenie úrovne kybernetickej bezpečnosti na Technickej univerzite vo Zvolene//
23 )))
24 (% class="" %)|(((
25 Zodpovedná osoba za projekt
26 )))|(((
27 Ing. Tibor Weis (projektový manažér)
28 )))
29 (% class="" %)|(((
30 Realizátor projektu
31 )))|(((
32 Technická univerzita vo Zvolene
33 )))
34 (% class="" %)|(((
35 Vlastník projektu
36 )))|(((
37 Technická univerzita vo Zvolene
38 )))
39
40 **~ **
41
42 \\
43
44 **Schvaľovanie dokumentu**
45
46 (% class="" %)|(((
47 Položka
48 )))|(((
49 Meno a priezvisko
50 )))|(((
51 Organizácia
52 )))|(((
53 Pracovná pozícia
54 )))|(((
55 Dátum
56 )))|(((
57 Podpis
58
59 (alebo elektronický súhlas)
60 )))
61 (% class="" %)|(((
62 Vypracoval
63 )))|(((
64 Ing. Tibor Weis
65 )))|(((
66 TU Zvolen
67 )))|(((
68 Riaditeľ CIT
69 )))|(((
70 23.6.2024
71 )))|(((
72 \\
73 )))
74
75 == {{id name="projekt_2722_Pristup_k_projektu_detailny-1.Históriadokumentu"/}}**1.História dokumentu** ==
76
77 (% class="" %)|(((
78 **Verzia**
79 )))|(((
80 **Dátum**
81 )))|(((
82 **Zmeny**
83 )))|(((
84 **Meno**
85 )))
86 (% class="" %)|(((
87 //0.1//
88 )))|(((
89 //01.06.2024//
90 )))|(((
91 //Pracovný návrh//
92 )))|(((
93 Ing. Tibor Weis
94 )))
95 (% class="" %)|(((
96 //1.0//
97 )))|(((
98 //23.06.2024//
99 )))|(((
100 //Zapracovanie súladu s vyhláškou č. 401/2023 Z. z., finálna verzia v súlade so ŽoNFP//
101 )))|(((
102 Ing. Tibor Weis
103 )))
104
105 == {{id name="projekt_2722_Pristup_k_projektu_detailny-2.Účeldokumentu"/}}**2. Účel dokumentu** ==
106
107 V súlade s Vyhláškou 401/2023 Z.z. je dokument I-03 Prístup k projektu určený na rozpracovanie detailných informácií prípravy projektu z pohľadu aktuálneho stavu, budúceho stavu a navrhovaného riešenia.
108
109 Dokument Prístup k projektu v zmysle vyššie uvedenej vyhlášky a požiadaviek výzvy: PSK-MIRRI-614-2024-DV-EFRR ( Podpora v oblasti kybernetickej a informačnej bezpečnosti na regionálnej úrovni – verejné a štátne vysoké školy) bude obsahovať opis navrhovaného riešenia, architektúru riešenia projektu na úrovni biznis vrstvy, aplikačnej vrstvy, dátovej vrstvy, technologickej vrstvy, infraštruktúry navrhovaného riešenia, bezpečnostnej architektúry, špecifikáciu údajov spracovaných v projekte, čistenie údajov, prevádzku a údržbu výstupov projektu, prevádzkové požiadavky, požiadavky na zdrojové kódy. Zároveň opisuje aj implementáciu projektu a preberanie výstupov projektu.
110
111 V zmysle usmernenia MIRRI SR sa v projektovej dokumentácii (ani v žiadosti) nešpecifikujú detailne konkrétne riziká a dopady a nezverejňuje sa podrobná dokumentácia toho, kde sú najväčšie riziká IT systémov a uvádzajú sa iba oblasti identifikovaných rizík a dopadov. Zároveň je možné manažérske produkty napísať všeobecne.
112
113 === {{id name="projekt_2722_Pristup_k_projektu_detailny-2.1Použitéskratkyapojmy"/}}**2.1       Použité skratky a pojmy** ===
114
115 Z hľadiska formálneho sú použité skratky a pojmy rámci celého dokumentu definované priebežne, štandardne pri prvom použití v zátvorke označením „ďalej len“).
116
117 \\
118
119 === {{id name="projekt_2722_Pristup_k_projektu_detailny-2.2Konvenciepretypypožiadaviek(príklady)"/}}**2.2       Konvencie pre typy požiadaviek (príklady)** ===
120
121 V rámci projektu budú definované tri základné typy požiadaviek:
122
123 Funkčné (používateľské) požiadavky majú nasledovnú konvenciu:
124
125 IDxx
126
127 ID – funkčná požiadavka xx – číslo požiadavky
128
129 Nefunkčné (kvalitatívne, výkonové - Non Functional Requirements - NFR) požiadavky majú nasledovnú konvenciu:
130
131 IDxx
132
133 ID – nefukčná požiadavka (NFR) xx – číslo požiadavky
134
135 Technické požiadavky majú nasledovnú konvenciu:
136
137 IDxx
138
139 ID – technická požiadavka xx – číslo požiadavky
140
141 == {{id name="projekt_2722_Pristup_k_projektu_detailny-3.Popisnavrhovanéhoriešenia"/}}**3. Popis navrhovaného riešenia** ==
142
143 Navrhované riešenie vychádza z aktuálneho stavu kybernetickej bezpečnosti TUZVO. TUZVO si uvedomuje, že v zmysle požiadaviek zákona o kybernetickej bezpečnosti a  zavedených opatrení v zmysle vyhlášky 362/2018 Z.z. (ďalej len ZoKB), ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení (ďalej len „vyhláška 362/2018 Z.z.) spĺňa len čiastočnú úroveň ustanovených požiadaviek.
144
145 V rámci projektového zámeru boli stanovené nasledovné ciele a spôsob ich riešenia:
146
147 Všetky ciele projektu sú definované v súlade s vyššie uvedenými strategickými dokumentmi:
148
149 (% class="" %)|(((
150 **ID**
151 )))|(((
152 **Názov cieľa**
153 )))|(((
154 **Názov strategického cieľa***
155 )))|(((
156 **Spôsob realizácie strategického cieľa**
157 )))
158 (% class="" %)|(((
159 1
160 )))|(((
161 Vytvorenie katalógu informačných aktív a realizovaním analýzy rizík na identifikovaných aktívach
162 \\Cieľ realizovaný v zmysle oprávnených podaktivít:
163 - Riadenie  rizík
164 )))|(((
165 Dôveryhodný štát pripravený na hrozby
166 \\(Realizovanie opatrení kybernetickej a informačnej bezpečnosti)
167 )))|(((
168 Vypracovanie a aktualizácia stratégie kybernetickej bezpečnosti a bezpečnostnej dokumentácie s prihliadnutím na štruktúru bezpečnostnej dokumentácie podľa prílohy č.1 vyhlášky 362/2018 Z.z. Vypracovaná dokumentácia bude pokrývať všetky požadované oblasti požadovanej legislatívy.
169 \\Vypracovaný bude katalóg informačných aktív s určením vlastníkov a administrátorov jednotlivých aktív. Vypracovaný bude katalóg hrozieb a rizík a na základe týchto katalógov bude vypracovaná analýza rizík pre jednotlivé aktíva.
170 Kompletná identifikácia informačných aktív organizácie, vytvorenie katalógu aktív s určením vlastníkov a administrátorov jednotlivých aktív. Vypracovanie zoznamu hrozieb a ohodnotenie dopadov na aktíva z pohľadu triády CIA.
171 Vypracovanie smernice pre riadenie rizík, podľa ktorej bude vykonávaná analýza rizík informačných systémov univerzity.
172 )))
173 (% class="" %)|(((
174 2
175 )))|(((
176 Zabezpečenie organizácie kybernetickej a informačnej bezpečnosti
177 \\Cieľ realizovaný v zmysle oprávnených podaktivít:
178 - Organizácia kybernetickej a informačnej bezpečnosti
179 - Personálna bezpečnosť
180 - Riadenie prístupov
181 - Riadenie kybernetickej a informačnej bezpečnosti vo vzťahoch s tretími stranami
182 - Bezpečnosť pri prevádzke informačných systémov a sietí
183 - Hodnotenie zraniteľností a bezpečnostné aktualizácie
184 - Ochrana proti škodlivému kódu
185 - Sieťová a komunikačná bezpečnosť
186 - Zaznamenávanie udalostí a monitorovanie
187 - Fyzická bezpečnosť a bezpečnosť prostredia
188 - Riešenie kybernetických bezpečnostných incidentov
189 - Kryptografické opatrenia
190 - Audit a kontrolné činnosti
191 )))|(((
192 Dôveryhodný štát pripravený na hrozby
193 \\(Realizovanie opatrení kybernetickej a informačnej bezpečnosti)
194 )))|(((
195 Vytvorenie, resp. aktualizácia kompletnej bezpečnostnej dokumentácie podľa požiadaviek ZoKB Prílohy č. 1 k vyhláške č. 362/2018 Z. z.
196 \\Vypracovanie bezpečnostnej politiky pre univerzitu ohľadom riadenia, kontroly a vyhodnocovania stavu kybernetickej bezpečnosti na univerzite. Jedná sa o dokumentáciu, ktorá nie je zahrnutá v jednotlivých kapitolách - stratégia, bezpečnostná politika,...
197 \\Vypracovanie bezpečnostného projektu pre systém Memphis, ktorý spadá pod ISVS.
198 \\Vypracovanie postupov pri nástupe a odchode zamestnanca primárne z pohľadu prideľovania a odoberania prístupov do informačných systémov univerzity.
199 \\Vypracovanie smernice pre koncových užívateľov a administrátorov, podľa ktorej sa bude riadiť bezpečnosť pri narábaní s pridelenými výpočotvými prostriedkami a pri prístupe do informačných systémov univerzity.
200 \\Vypracovanie smernice pre riadenie prideľovania bezpečnostných rolí a úrovní prístupov pre interných a externých zamestnancov z dôvodu umožnenia prístupu k informačným systémom univerzity.
201 \\Určenie a revízia dodávateľských zmlúv s tretími stranami, ktoré majú vplyv na poskytovanie kritických systémov organizácie. Návrh zmien v zmluvách týkajúcich sa oblasti kybernetickej bezpečnosti.
202 \\Vypracovanie návrhu dodatku k zmluve s treťou stranou, ktorý bude pokrývať požiadavky ZoKB, ktoré sa týkajú dodávateľských vzťahov.
203 \\Vypracovanie smernice pre administrátorov, podľa ktorej sa budú riadiť pri správe interných systémov univerzity.
204 \\Vypracovanie postupov pre aplikovanie zmien v informačných systémoch univerzity a smerníc pre zaznamenávanie prevádzkových a bezpečnostných nastavení systémov.
205 \\Vypracovanie interného riadiaceho dokumentu upravujúceho proces riadenia implementácie bezpečnostných aktualizácií a záplat.
206 \\Vypracovanie smernice na určenie zodpovednosti používateľov.
207 \\Vypracovanie interného riadiaceho dokumentu pre administrátorov ohľadom ochrany koncových bodov pred škodlivým kódom.
208 \\Vypracovanie interného riadiaceho dokumentu upravujúceho pravidlá sieťovej a komunikačnej bezpečnosti
209 \\\\Vypracovanie dokumentácie spôsobu monitorovania a fungovania centrálneho log manažment systému a centrálneho nástroja na bezpečnostné monitorovanie a zadefinovanie spôsobu evidencie prevádzkových záznamov, ich vyhodnocovania, spôsobu hlásenia podozrivej aktivity, zodpovednej osoby a ďalších povinností.
210 \\Vypracovanie smernice pre fyzickú a objektovú bezpečnosť, ktorá bude definovať požiadavky na zabezpečené priestory a na prístup do týchto priestorov.
211 \\Vypracovanie štandardov a postupov riešenia kybernetických bezpečnostných incidentov, vrátane definovania zodpovedností zamestnancov a ďalších povinností, vypracovanie plánov a spôsobov riešenia kybernetických bezpečnostných incidentov.
212 \\Vypracovanie smernice pre kryptografické opatrenia, ktorá bude definovať používanie a uchovávanie informácií týkajúcich sa použitých prístupových hesiel a kľúčov, bezpečnostných cetifikátov a ostatných bezpečnostných prvkov.
213 \\Vypracovanie smernice pre posudzovanie bezpečnosti informačných systémov verejnej správy a ich vyhodnocovania.
214 )))
215 (% class="" %)|(((
216 3
217 )))|(((
218 Implementácia technických riešení podporujúcich riadenie bezpečnosti pri prevádzke
219 \\Cieľ realizovaný v zmysle oprávnených podaktivít:
220 - Bezpečnosť pri prevádzke informačných systémov a sietí
221 )))|(((
222 Dôveryhodný štát pripravený na hrozby
223 \\(Realizovanie opatrení kybernetickej a informačnej bezpečnosti)
224 )))|(((
225 Implementácia nástroja pre riadenie, evidenciu a schvaľovanie zmien, evidenciu bezpečnostných incidentov, konfiguračný manažment bezpečnostných nastavení.
226 )))
227 (% class="" %)|(((
228 4
229 )))|(((
230 Zvýšenie sieťovej a komunikačnej bezpečnosti nasadením a implementáciou NGFW do siete
231 \\Cieľ realizovaný v zmysle oprávnených podaktivít:
232 - Sieťová a komunikačná bezpečnosť
233 )))|(((
234 Dôveryhodný štát pripravený na hrozby
235 \\(Realizovanie opatrení kybernetickej a informačnej bezpečnosti)
236 )))|(((
237 Implementácia a konfigurácia perimetrového firewallu za účelom zabezpečenia bezpečného oddelenia internej siete a internetu. Úlohou tohto firewallu bude aj riešiť bezpečný prestup medzi segmentami siete a taktiež bude zabezpečovať bezpečný vzdialený prístup do siete na základe VPN spojení s overovaním pomocou dvojfaktorovej autentizácie. Zariadenia budú poskytovať pokročilé funkcie ako hĺbková inšpekcia sieťovej prevádzky, detekcia a prevencia hrozieb.
238 )))
239 (% class="" %)|(((
240 5
241 )))|(((
242 Implementácia systémov na nepretržitú kontrolu dátových tokov v interných sieťach univerzity
243 \\Cieľ realizovaný v zmysle oprávnených podaktivít:
244 - Sieťová a komunikačná bezpečnosť
245 )))|(((
246 Dôveryhodný štát pripravený na hrozby
247 \\(Realizovanie opatrení kybernetickej a informačnej bezpečnosti)
248 )))|(((
249 Implementácia dohľadového nástroja, ktorý sleduje a identifikuje sieťové spojenia na hranici s vonkajšou sieťou, vytvára prehľady o prenesených dátach, o podozrivých prístupoch na škodlivé stránky a je schopný vytvárať automatizované reporty z pohľadu dodržiavania bezpečnostných smerníc.
250 \\Zakúpenie a implementácia nástroja na sledovanie interných dátových tokov pomocou zrkadlenia prevádzky za účelom identifikácie dátových tokov medzi jednotlivými zariadeniami v sieti s funkcionalitou deep-packet-inspection za účelom odhaľovania anomálií v sieťovej prevádzke. Implementácia a konfigurácia nástroja určeného na bezpečnostný dohľad internej komunikácie v sieti na základe deep packet inspection,  Na základe sledovania a detegovania podozrivej komunikácie bude možné na základe behaviorálnej analýzy odhaliť podozrivú aktivitu, resp. prienik na servery a systémy, ktoré podporujú základné služby organizácie.
251 )))
252 (% class="" %)|(((
253 6
254 )))|(((
255 Implementácia centrálneho log manažment systému pre zber a ukladanie logov zo systémov univerzity s možnosťou korelácie incidentov a eventov a vytvárania alertov
256 \\Cieľ realizovaný v zmysle oprávnených podaktivít:
257 - Sieťová a komunikačná bezpečnosť
258 )))|(((
259 Dôveryhodný štát pripravený na hrozby
260 \\(Realizovanie opatrení kybernetickej a informačnej bezpečnosti)
261 )))|(((
262 Zakúpenie a implementácia zariadenia pre centrálny zber systémových logov z rôznych zariadení a systémov prevádzkovaných v sieti univerzity. Vypracovanie pravidiel pre nasadenie logovania na rôzne zariadenia a vytvorenie korelačných pravidiel za účelom notifikovania administrátorov ohľadom podozrivých aktivít v sieti a na systémoch.
263 \\Implementácia SIEM nástroja pre koreláciu dát a informácií z rôznych zdrojov za účelom generovania alertov a vytvárania incidentov za účelom ich evidencie a evidencie postupov riešenia.
264 )))
265 (% class="" %)|(((
266 7
267 )))|(((
268 Implementácia systému na sledovanie prevádzkových parametrov a kapacít využívaných systémových prostriedkov.
269 \\Cieľ realizovaný v zmysle oprávnených podaktivít:
270 - Sieťová a komunikačná bezpečnosť
271 )))|(((
272 \\
273 )))|(((
274 Implementácia dohľadového systému na sledovanie prevádzkových parametrov siete a systémov. Ide primárne o sledovanie dostupnosti jednotlivých zariadení, systémov a služieb a o sledovanie vyťaženosti systémov a služieb na týchto systémoch. Vytvorenie a zadefinovanie hraničných parametrov tak, že pri ich prekročení budú administrátori notifikovaní o vzniknutí tejto udalosti.
275 )))
276 (% class="" %)|(((
277 8
278 )))|(((
279 Implementácia nástroja na centrálne riadenie ochrany pred škodlivým kódom
280 \\Cieľ realizovaný v zmysle oprávnených podaktivít:
281 - Ochrana proti škodlivému kódu
282 )))|(((
283 Dôveryhodný štát pripravený na hrozby
284 \\(Realizovanie opatrení kybernetickej a informačnej bezpečnosti)
285 )))|(((
286 Implementácia nástroja na centrálne riadenie ochrany pred škodlivým kódom. Bude nasadený nástroj na riadenie aktualizácií na koncových zariadeniach a taktiež bude nakonfigurovaný systém pre centrálnu správu antivírového systému.
287 )))
288 (% class="" %)|(((
289 9
290 )))|(((
291 Zavedenie nástroja určeného na notifikovanie o existujúcich zraniteľnostiach programových prostriedkov a ich častí
292 \\Cieľ realizovaný v zmysle oprávnených podaktivít:
293 - Hodnotenie zraniteľností a bezpečnostné aktualizácie
294 )))|(((
295 Dôveryhodný štát pripravený na hrozby
296 \\(Realizovanie opatrení kybernetickej a informačnej bezpečnosti)
297 )))|(((
298 Implementácia a konfigurácia nástroja, ktorý bude automaticky informovať administrátorov systémov v prípade výskytu novej zraniteľnosti na základe prístupov do databáz známych zraniteľností.
299 )))
300 (% class="" %)|(((
301 10
302 )))|(((
303 Zvýšenie bezpečnosti pri prevádzke informačných systémov a sietí dobudovaním záložných dátových kapacít
304 \\Cieľ realizovaný v zmysle oprávnených podaktivít:
305 - Kontinuita prevádzky
306 )))|(((
307 Dôveryhodný štát pripravený na hrozby
308 \\(Realizovanie opatrení kybernetickej a informačnej bezpečnosti)
309 )))|(((
310 Implementácia zabezpečeného systému zálohovania vo fyzicky oddelenej budove za účelom zabezpečenia kópie dôležitých systémov a dát v prípade zlyhania alebo zničenia primárnej serverovne. Systém zálohovania by mal mať ochranu pred zmazaním a prepísaním uložených dát a mal by uchovávať zálohy v šifrovanej podobe.
311 Zaobstaranie licencií potrebných pre úspešné prevádzkovanie bezpečného zálohovania dôležitých systémov a dát.
312 )))
313 (% class="" %)|(((
314 11
315 )))|(((
316 Vypracovanie plánov kontinuíty a ich otestovanie
317 \\Cieľ realizovaný v zmysle oprávnených podaktivít:
318 - Kontinuita prevádzky
319 )))|(((
320 Dôveryhodný štát pripravený na hrozby
321 \\(Realizovanie opatrení kybernetickej a informačnej bezpečnosti)
322 )))|(((
323 Vypracovanie stratégie a krízových plánov prevádzky na základe analýzy vplyvov kybernetického bezpečnostného incidentu na základnú službu. Vypracovanie dekompozície dôležitých služieb a vypracovanie BIA pre tieto služby, resp. systémy.
324 \\Vypracovanie plánov kontinuity prevádzky a ich prvotné otestovanie v reálnom prostredí organizácie a zapracovanie nedostatkov z výsledkov testovania.
325 )))
326 (% class="" %)|(((
327 12
328 )))|(((
329 Implementácia systému pre inventarizáciu aktív
330 \\Cieľ realizovaný v zmysle oprávnených podaktivít:
331 - Riadenie rizík
332 )))|(((
333 Dôveryhodný štát pripravený na hrozby
334 \\(Realizovanie opatrení kybernetickej a informačnej bezpečnosti)
335 )))|(((
336 Implementácia jednotného informačného systému KB.
337 Návrh interného systému na riadenie rizík  pozostávajúce z identifikácie zraniteľností, identifikácie hrozieb, identifikácie a analýzy rizík s ohľadom na aktívum, určenie vlastníka rizika, implementácie organizačných a technických bezpečnostných opatrení, analýzy funkčného dopadu a pravidelného preskúmavania identifikovaných rizík v závislosti od aktualizácie prijatých bezpečnostných opatrení"
338 )))
339
340 == {{id name="projekt_2722_Pristup_k_projektu_detailny-4.Architektúrariešeniaprojektu"/}}**4. Architektúra riešenia projektu** ==
341
342 Architektúra celého riešenia je v zmysle usmernenia MIRRI SR rámcovaná tak, aby bolo z projektu zrejmé, ktoré komponenty v rámci realizácie projektu budú vytvorené (a budú realizovať opatrenia KIB).
343
344 Primárne opatrenia kybernetickej bezpečnosti chránia IS TUZV, ktoré sú určené na prevádzkovanie univerzitných služieb. Z vyššie definovaných spôsobov realizácie cieľov (viď kapitola 3 Popis navrhovaného riešenia) je zrejmé, o aké komponenty zabezpečenia pôjde - firewally, multifaktorové overovanie, centrálny logovací nástroj, nástroj na sledovanie prevádzkových parametrov siete, nástroje na detekciu v sieti a na hranici siete, nástroj na analýzu dátových tokov v sieti, systém na vyhodnocovanie kybernetických bezpečnostných udalostí a incidentov, centrálne riadenie záplat a aktualizácií, záložná kópia prevádzkových dát, kompletná dokumentácia podľa ZoKB vrátane BCM plánov.
345
346 \\