projekt_2785_Projektovy_zamer_detailny

= {{id name="projekt_2785_Projektovy_zamer_detailny-2.ÚČELDOKUMENTU,SKRATKY(KONVENCIE)ADEFINÍCIE"/}}2. ÚČEL DOKUMENTU, SKRATKY (KONVENCIE) A DEFINÍCIE =

98

99

**~ **2.1 Použité skratky a pojmy

|(((

SKRATKA/POJEM

)))|(((

POPIS

)))

|(((

Projekt

)))|(((

Projekt „Podpora v oblasti kybernetickej a informačnej bezpečnosti na regionálnej úrovni – PET klinika BIONT“

)))

|(((

Zákon o KB

)))|(((

Zákon 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov

)))

|(((

Audit KB

)))|(((

Audit kybernetickej bezpečnosti podľa vyhlášky č. 493/2022 Z. z. Národného bezpečnostného úradu

)))

|(((

ReAudit KB

)))|(((

Opakovaný Audit kybernetickej bezpečnosti podľa vyhlášky č. 493/2022 Z. z. Národného bezpečnostného úradu po 2 rokoch

)))

|(((

SLA

)))|(((

Service Level Agreement — dohoda/zmluva o parametroch poskytovania služby

)))

|(((

KB

)))|(((

Kybernetická bezpečnosť

)))

|(((

MD

)))|(((

Man-day, človeko-deň

)))

|(((

IS

)))|(((

Informačný systém

)))

|(((

IT

)))|(((

Informačné technológie

)))

|(((

IKT

)))|(((

Informačno-komunikačné technológie

)))

|(((

OS

)))|(((

Operačný systém

)))

|(((

SIEM

)))|(((

Nástroj pre zbieranie a vyhodnocovanie údajov a logov, Security Information and Event Management

)))

|(((

NGFW

)))|(((

Next-generation Firewall

)))

|(((

NGAV

)))|(((

Next-generation Antivirus

)))

|(((

BackUp

)))|(((

Zálohovanie dát- data backup

)))

|(((

HW

)))|(((

Hardvér

)))

|(((

SW

)))|(((

Softvér

)))

|(((

OVM

)))|(((

orgán verejnej moci

)))

= {{id name="projekt_2785_Projektovy_zamer_detailny-3.DEFINOVANIEPROJEKTU"/}}3. DEFINOVANIE PROJEKTU =

199

200

== {{id name="projekt_2785_Projektovy_zamer_detailny-3.1Manažérskezhrnutie"/}}3.1 Manažérske zhrnutie ==

201

202

203

Spoločnosť BIONT a.s. sa nachádza v situácii, kde jej súčasná IT infraštruktúra vykazuje nedostatky z hľadiska bezpečnosti, spoľahlivosti a efektívnosti. Hlavná budova spoločnosti je vybavená zastaranými technológiami, čo predstavuje výzvu pre integritu dát a prevádzkovú spoľahlivosť. Nasadenie nových technologických riešení a zlepšenie bezpečnostných opatrení je nevyhnutné na zvýšenie efektívnosti pracovných procesov, ochranu citlivých informácií a prevenciu pred zlyhaním zastaraných zariadení alebo aj stratou dát.

**~ **

**Účel projektu:** Cieľom projektu je systematické zvýšenie úrovne informačnej a kybernetickej bezpečnosti v spoločnosti BIONT. Projekt sa zameriava na aktívne monitorovanie a vyhodnocovanie aktuálnych bezpečnostných rizík a zavádzanie opatrení na ich minimalizáciu, čím sa zníži pravdepodobnosť bezpečnostných incidentov. Ďalším cieľom je splnenie legislatívnych požiadaviek podľa zákonov č. 69/2018 Z.z, č. 95/2019 Z.z a Vyhlášky NBÚ č. 362/2018 Z.z týkajúcich sa kybernetickej a informačnej bezpečnosti.

**~ **

**Očakávané výsledky:**

212

213

* Kompletná bezpečnostná dokumentácia zosúladená s aktuálnymi právnymi predpismi.

214

* Implementácia moderných bezpečnostných opatrení na výrazné zníženie rizika kybernetických útokov.

215

* Vyššia úroveň informovanosti zamestnancov a ich pripravenosť na riešenie bezpečnostných incidentov.

216

* Zlepšené riadenie prístupových práv na ochranu citlivých informácií.

217

* Efektívne riadenie bezpečnostných incidentov s rýchlym a efektívnym riešením v prípade incidentov.

218

219

**Realizačné fázy projektu:**

220

221

1. **Prípravná a iniciačná fáza (5/2024 - 12/2024):**

222

223

* Vytvorenie projektového tímu a definovanie cieľov.

224

* Identifikácia kľúčových zainteresovaných strán.

225

* Audit KB.

226

227

1. **Realizačná fáza (1/2025 - 12/2026):**

228

229

* Koordinácia činností a zabezpečenie zdrojov.

230

* Podrobná analýza aktuálneho stavu kybernetickej bezpečnosti.

231

* Návrh bezpečnostných opatrení a dokumentácie.

232

* Vypracovanie plánu implementácie.

233

* Nákup technických a programových prostriedkov.

234

* Implementácia a integrácia nových technológií.

235

* Školenie zamestnancov.

236

237

1. **Analýza a dizajn (1/2025 - 12/2025)**

238

1. **Nákup technických prostriedkov, programových prostriedkov a služieb (1/2025 - 12/2025)**

239

1. **Implementácia (6/2025 - 12/2025)**

240

241

BIONT má vytvorenú a schválenú Bezpečnostnú stratégiu pre oblasť Informačných systémov. Následné bezpečnostné politiky kybernetickej bezpečnosti, inventarizáciu aktív, klasifikáciu informácií a kategorizáciu sietí a informačných systémov, analýzu rizík a analýzu dopadov spolu, vrátane riadenia rizík plánujeme realizovať vrámci trvania projektu v realizačnej fáze.

242

243

1. **Dokončovacia fáza a testovanie (1/2026 - 12/2026):**

244

245

* Kompletné testovanie zavedených opatrení.

246

* Overenie ich funkčnosti a efektívnosti.

247

* Finálne úpravy a optimalizácia systémov, príprava záverečnej dokumentácie.

248

* ReAudit KB.

249

250

**~ Dlhodobé prínosy**

251

252

* **Zvýšená úroveň ochrany: Minimalizácia rizík kybernetických útokov a zneužitia informácií.**

253

* **Efektívnejšie riadenie bezpečnosti: Systematické a efektívne riadenie kybernetickej bezpečnosti.**

254

* **Zlepšená pripravenosť na incidenty: Zvýšenie schopnosti reagovať na kybernetické bezpečnostné incidenty.**

255

* **Posilnenie dôvery:** Zvýšenie dôvery zákazníkov, partnerov a regulačných orgánov.

256

* **Súlad s legislatívou:** Splnenie všetkých legislatívnych požiadaviek a noriem.

257

258

**Projektové riadenie**

259

260

Projekt bude riadený systematicky s cieľom zabezpečiť efektívnu komunikáciu, plynulosť projektových aktivít, organizáciu stretnutí a monitorovanie pokroku. Projektový manažér bude koordinovať jednotlivé aktivity spolu s externými odborníkmi, pričom kľúčová bude flexibilita, efektívna komunikácia a riadenie rizík.

261

262

**Udržateľnosť projektu:** Projekt zabezpečí dlhodobú udržateľnosť prostredníctvom pravidelnej revízie a aktualizácie riadiacej dokumentácie, neustáleho zlepšovania bezpečnostných opatrení, zvýšenia odolnosti kritickej infraštruktúry, podpory včasnej detekcie a rýchlej reakcie na bezpečnostné incidenty, a adaptácie najmodernejších technológií a inovácií. Udržateľnosť projektu plánujeme zabezpečiť v týchto úrovniach:

263

264

1. **Revízia a aktualizácia riadiacej dokumentácie:** Pravidelné revízie dokumentov súvisiacich s kybernetickou bezpečnosťou.

265

1. **Zavádzanie bezpečnostných opatrení:** Optimalizácia procesov, modernizácia infraštruktúry a zvyšovanie kvalifikácie zamestnancov.

266

1. **Posilnenie kritickej infraštruktúry:** Zvýšenie odolnosti prostredníctvom pokročilých technológií.

267

1. **Podpora včasnej detekcie a reakcie na incidenty:** Zlepšenie schopností v oblasti detekcie a riešenia incidentov.

268

1. **Adaptácia najmodernejších technológií:** Priebežné nasadzovanie nových technológií a postupov.

269

1. **Podpora inovatívnych produktov a služieb:** Zavádzanie inovatívnych riešení na neustále zlepšovanie bezpečnostných štandardov.

270

271

**Dodatočné informácie**: Realizáciou projektu dôjde k zásadnému obnoveniu IKT prostriedkov serverovej a sieťovej infraštruktúry, čo významne prispeje k zjednodušeniu manažmentu kybernetickej bezpečnosti. Tento krok okrem vytvorenia lepších pracovných podmienok pre zamestnancov BIONT aj zabezpečí zvýšenú spoľahlivosť služieb poskytovaných občanom prostredníctvom spoľahlivej a zabezpečenej IT infraštruktúry.

272

273

== {{id name="projekt_2785_Projektovy_zamer_detailny-3.2Motiváciaarozsahprojektu"/}}3.2 Motivácia a rozsah projektu ==

274

275

**Motivácia projektu**

276

277

Projekt kybernetickej bezpečnosti v spoločnosti BIONT je motivovaný viacerými faktormi, ktoré sú kľúčové pre jeho úspešnú realizáciu a prínos organizácii:

278

279

1. **Zvýšenie bezpečnosti a dôveryhodnosti:**

280

1*. Cieľom projektu je posilniť kybernetickú a informačnú bezpečnosť spoločnosti BIONT. Implementácia komplexných bezpečnostných opatrení minimalizuje riziká kybernetických útokov, čo zvyšuje ochranu citlivých údajov a dôveru zákazníkov, partnerov a regulačných orgánov.

281

1. **Súlad s legislatívnymi požiadavkami:**

282

1*. Projekt zabezpečí, že spoločnosť BIONT bude plne súhlasiť so všetkými platnými legislatívnymi a regulačnými požiadavkami v oblasti kybernetickej a informačnej bezpečnosti, vrátane ochrany osobných údajov.

283

1. **Prevencia pred hrozbami a rizikami:**

284

1*. Cieľom projektu je systematicky predchádzať kybernetickým hrozbám a rizikám prostredníctvom monitorovania, analýzy a implementácie preventívnych opatrení. Tento prístup minimalizuje pravdepodobnosť bezpečnostných incidentov a zvyšuje schopnosť rýchlej a efektívnej reakcie na hrozby.

285

1. **Zlepšenie riadenia a efektívnosť:**

286

1*. Implementácia riadiacich politík a postupov v oblasti kybernetickej bezpečnosti zlepšuje riadenie IT zdrojov, optimalizuje procesy a zvyšuje celkovú bezpečnosť a stabilitu IT prostredia.

287

1. **Zlepšenie povedomia a pripravenosti zamestnancov:**

288

1*. Projekt zahŕňa školenia a osvetu pre zamestnancov, čím zvyšuje ich povedomie o kybernetickej bezpečnosti a pripravuje ich na efektívnu reakciu v prípade bezpečnostných incidentov.

289

1. **Dlhodobá udržateľnosť a konkurencieschopnosť:**

290

1*. Implementácia projektu prispieva k dlhodobej udržateľnosti bezpečnosti informačných systémov a sietí v spoločnosti, čo posilňuje jej konkurenčnú výhodu a odolnosť voči kybernetickým hrozbám.

**Rozsah projektu**

Projekt kybernetickej bezpečnosti v spoločnosti BIONT sa zameriava na nasledujúce hlavné oblasti:

295

296

* **Zabezpečenie ochrany citlivých informácií:** Implementácia komplexných bezpečnostných opatrení, riadenie prístupových práv a klasifikácia informácií podľa ich citlivosti.

297

* **Splnenie legislatívnych požiadaviek:** Zabezpečenie, že všetky bezpečnostné opatrenia a procesy sú v súlade s platnými právnymi predpismi, ako sú zákony a vyhlášky týkajúce sa kybernetickej bezpečnosti.

298

* **Implementácia riadiacich politík a postupov:** Definovanie a implementácia politík založených na analýze rizík, ktoré minimalizujú potenciálne bezpečnostné hrozby.

299

* **Zlepšenie povedomia a pripravenosti zamestnancov:** Školenia a osvetové aktivity na zvýšenie povedomia a schopností zamestnancov v oblasti kybernetickej bezpečnosti.

300

* **Implementácia technologických riešení:** Nasadenie nových technologických opatrení na zlepšenie ochrany informačných systémov a sietí.

301

* **Riadenie bezpečnostných incidentov:** Vytvorenie štruktúrovaného rámca pre detekciu, hodnotenie a riešenie kybernetických bezpečnostných incidentov.

302

* **Zabezpečenie kontinuity prevádzky:** Implementácia opatrení na zabezpečenie nepretržitej prevádzky a rýchlu obnovu systémov v prípade bezpečnostných incidentov.

303

304

Zvolený projekt kybernetickej bezpečnosti v spoločnosti BIONT je kľúčový pre zabezpečenie dlhodobej udržateľnosti, zvýšenie dôveryhodnosti a ochrany citlivých údajov. Jeho úspešná realizácia bude mať výrazný vplyv na celkovú bezpečnostnú kultúru organizácie a jej schopnosť efektívne reagovať na dynamické bezpečnostné hrozby.

305

306

**__Návrh realizácie aktivít projektu__**

307

308

**__Podaktivita __1. Prípravná fáza a Iniciačná fáza (**Od 5/2024 do 12/2024)

309

310

**__Podaktivita __1.1: Vytvorenie projektového tímu**

311

312

**__Podaktivita __1.2: Definovanie cieľov a harmonogramu**

313

314

**__Podaktivita __1.3: Identifikácia kľúčových zainteresovaných strán**

315

316

**__Podaktivita __1.4: Audit u prevádzkovateľa PZS (6/2024)**

**__Podaktivita __2. Realizačná fáza (**Od 1/2025 do 12/2026)

321

322

**__Podaktivita __2.1 Koordinácia všetkých činností súvisiacich s projektom**

323

324

**__Podaktivita __2.2 Zabezpečenie potrebných zdrojov a komunikácia s dodávateľmi**

325

326

**__Podaktivita __2.3 Riadenie rizík**

*

** Identifikácia všetkých aktív súvisiacich so zariadeniami na spracovanie informácií a centrálne zaznamenávanie inventáru týchto aktív podľa ich hodnoty vrátane určenia ich vlastníka, ktorý definuje požiadavky na ich dôvernosť, dostupnosť a integritu

331

** Implementácia systému pre inventarizáciu aktív

332

** Riadenie rizík pozostávajúce z identifikácie zraniteľností, identifikácie hrozieb, identifikácie a analýzy rizík s ohľadom na aktívum, určenie vlastníka rizika, implementácie organizačných a technických bezpečnostných opatrení, analýzy funkčného dopadu a pravidelného preskúmavania identifikovaných rizík v závislosti od aktualizácie prijatých bezpečnostných opatrení

333

** Vypracovanie a implementácia interného riadiaceho aktu riadenia rizík kybernetickej a informačnej bezpečnosti

334

335

**__Podaktivita __2.4 Personálna bezpečnosť**

*

** Vypracovanie postupov pri zaradení osoby do niektorých z bezpečnostných rolí, zavedenie plánu rozvoja bezpečnostného povedomia a vzdelávania, vypracovanie spôsobov hodnotenia účinnosti plánu rozvoja bezpečnostného povedomia a pod.

340

** Vypracovanie a implementácia postupov a procesov upravujúcich personálnu bezpečnosť organizácie prostredníctvom interného riadiaceho aktu

341

342

**__Podaktivita __2.5 Riadenie prístupov**

*

** Vypracovanie a implementácia zásad riadenia prístupov osôb k sieti a informačnému systému

347

** zavedenie, implementácia alebo aktualizácia centrálneho nástroja na správu a overovanie identity, nástroja na riadenie prístupových oprávnení vrátane privilegovaných prístupových práv a kontroly prístupových účtov a prístupových oprávnení

348

349

**__Podaktivita __2.6 Riadenie Riadenie kybernetickej a informačnej bezpečnosti vo vzťahoch s tretími stranami**

*

** Vypracovanie analýzy rizík tretích strán a celého dodávateľského reťazca, vrátane analýzy politických rizík

354

** Analýza a posúdenie súladu všetkých aktuálnych zmlúv s tretími stranami so zákonom o KB a dobrou praxou

355

** Vypracovanie návrhov dodatkov zmlúv s treťou stranou spolu

356

** s návrhom potrebných úprav na zabezpečenie súladu so zákonom KB

357

358

**__Podaktivita __2.7 Bezpečnosť pri prevádzke informačných systémov a sietí**

*

** Zavedenie opatrení a interného riadiaceho aktu v oblasti riadenia zmien, riadenia kapacít, inštalácie softvéru v sieťach a informačných systémoch, inštalácia zariadení v sieťach a informačných systémoch, zaznamenávanie bezpečnostných záznamov a zaznamenávanie a vyhodnocovanie prevádzkových záznamov

363

** Implementácia technických riešení podporujúcich riadenie bezpečnosti pri prevádzke, napr. nástroj pre riadenie, evidenciu a schvaľovanie zmien, evidenciu bezpečnostných incidentov, konfiguračný manažment bezpečnostných nastavení

364

** Obstaranie služieb pre potreby správy prevádzkovej zálohy, kópie archivačnej zálohy a kópie inštalačných médií, vrátane určenia spôsobu ich ukladania

365

366

**__Podaktivita __2.8 Hodnotenie zraniteľností a bezpečnostné aktualizácie**

*

** Zavedenie, implementácia alebo aktualizácia nástroja určeného na detegovanie existujúcich zraniteľností programových prostriedkov a ich častí a detegovanie existujúcich zraniteľností technických prostriedkov a ich častí, prípadne obstaranie tejto funkcionality ako externej služby

371

** Vypracovanie a implementácia interného riadiaceho aktu upravujúceho proces riadenia implementácie bezpečnostných aktualizácií a záplat

372

373

**__Podaktivita __2.9 Ochrana proti škodlivému kódu**

*

** Vypracovanie interného riadiaceho aktu s požiadavkami na určenie zodpovednosti používateľov, pravidiel pre inštaláciu a monitorovania potenciálnych ciest prieniku škodlivého kódu

378

** Implementácia alebo aktualizácia nástrojov na ochranu, ktoré okrem iného vykonávajú kontrolu prístupu k digitálnemu obsahu, pravidelné kontroly úložísk vrátane cloudových riešení, zabraňujú prístupu neoprávnených používateľov filtrovaním obsahu a zamedzením odinštalovať alebo zakázať funkcie systému na ochranu proti škodlivému kódu

379

** Vypracovanie a implementácia pravidiel súvisiace s ochranou proti škodlivému kódu

380

381

**__Podaktivita __2.10 Sieťová a komunikačná bezpečnosť **

*

** Implementácia nástrojov na ochranu integrity sietí, ktoré zabezpečujú riadenie bezpečného prístupu medzi vonkajšími a vnútornými sieťami, implementácia segmentácie sietí, implementácia alebo obnova firewall-u, revízia firewall pravidiel

386

** Zavedenie bezpečnostných opatrení na bezpečné mobilné pripojenie do siete a vzdialený prístup, napríklad implementáciou dvojfaktorovej autentizácie alebo kryptografických prostriedkov

387

** Vytvorenie alebo aktualizácia dokumentácie počítačovej siete, ktorá obsahuje evidenciu všetkých miest prepojenia sietí vrátane prepojení s externými sieťami, topológiu siete a využitie IP rozsahov

388

** Realizácia/aktualizácia segmentácie sietí v súlade s pravidlami klasifikácie a kategorizácie

389

** Vypracovanie a implementácia interného riadiaceho aktu upravujúceho pravidlá sieťovej a komunikačnej bezpečnosti

390

391

**__Podaktivita __2.11 Zaznamenávanie udalostí a monitorovanie**

*

** Implementácia Log manažment systému pre zber a ukladanie logov z jednotlivých informačných systémov

396

** Implementácia nástroja na zaznamenávanie činností sietí a informačných systémov a používateľov a identifikovanie bezpečnostných incidentov (SIEM)

397

** Vypracovanie dokumentácie spôsobu monitorovania a fungovania Log manažment systému a centrálneho nástroja na bezpečnostné monitorovanie a zadefinovanie spôsobu evidencie prevádzkových záznamov, ich vyhodnocovania, spôsobu hlásenia podozrivej aktivity, zodpovednej osoby a ďalších povinností

398

399

**__Podaktivita __2.12 Riešenie kybernetických bezpečnostných incidentov **

*

** Vypracovanie štandardov a postupov riešenia kybernetických bezpečnostných incidentov, vrátane definovania zodpovedností zamestnancov a ďalších povinností

404

** Obstaranie služby monitorovania a analyzovania udalostí v sieťach a informačných systémoch vrátane detekcie, zberu relevantných informácií, vyhodnocovania a riešenia zistených kybernetických bezpečnostných incidentoch a vykonávania napr. forenzných analýz v snahe minimalizovať výskyt a dopad kybernetických bezpečnostných incidentov

405

** Implementácia nástroja na detekciu, nástroja na zber a nepretržité vyhodnocovanie a evidenciu kybernetických bezpečnostných udalostí

406

** Vypracovanie interného riadiaceho aktu obsahujúceho a upravujúceho povinnosti týkajúce sa riešenia kybernetických bezpečnostných incidentov

407

** Vypracovanie plánov a spôsobov riešenia kybernetických bezpečnostných incidentov

408

409

**__Podaktivita __2.13 Kryptografické opatrenia **

*

** Implementácia opatrení za účelom zabezpečenia autenticity a integrity súborov

414

** Implementácia kryptografických opatrení nad zálohami systémov a dát

415

** Vypracovanie a implementácia interného riadiaceho aktu upravujúceho používanie kryptografických prostriedkov a šifrovania

416

** Definovanie pravidiel využitia kryptografických prostriedkov používajúcich dostatočne odolné kryptografické mechanizmy na ochranu údajov pri ich prenose alebo uložení v rámci sietí a informačných systémov

417

** Vypracovanie a dokumentácia systému správy kryptografických kľúčov a certifikátov

418

** Implementácia systému správy kryptografických kľúčov a certifikátov a pod.

419

420

**__Podaktivita __2.14 Kontinuita prevádzky**

*

** Vypracovanie stratégie a krízových plánov prevádzky na základe analýzy vplyvov kybernetického bezpečnostného incidentu na základnú službu

425

** Vypracovanie plánov kontinuity prevádzky a ich prvotné otestovanie v reálnom prostredí organizácie a zapracovanie nedostatkov z výsledkov testovania

426

** Vypracovanie interného riadiaceho aktu obsahujúceho a upravujúceho kontinuitu prevádzky následkom kybernetického bezpečnostného incidentu alebo inej krízovej situácie

427

** Vypracovanie postupov zálohovania na obnovu siete a informačného systému po jeho narušení alebo zlyhaní v dôsledku kybernetického bezpečnostného incidentu alebo inej krízovej situácie

428

** Implementácia systému zálohovania

**~ **

**__Podaktivita __3. Analýza a dizajn (**Od 1/2025 do 12/2025)

433

434

**__Podaktivita __3.1: Podrobná analýza aktuálneho stavu kybernetickej bezpečnosti**

435

436

**__Podaktivita __3.2: Organizácia kybernetickej a informačnej bezpečnosti**

437

438

**__Podaktivita __3.3: Vypracovanie plánu implementácie**

439

440

441

**__Podaktivita __4.: Nákup technických prostriedkov, programových prostriedkov a služieb (**Od 1/2025 do 12/2025)

442

443

**__Podaktivita __4.1: Identifikácia a výber potrebných technických a programových prostriedkov**

444

445

**__Podaktivita __4.2: Obstaranie potrebných zariadení a služieb**

446

447

448

**__Podaktivita __5. Implementácia (**Od 6/2025 do 12/2025)

449

450

**__Podaktivita __5.1.Zavedenie navrhnutých bezpečnostných opatrení**

451

452

**__Podaktivita __5.2. Integrácia nových technológií a riešení do existujúcej infraštruktúry**

453

454

**__Podaktivita __5.3. Školenie zamestnancov na nové postupy a technológie**

455

456

457

**__Podaktivita __6. Dokončovacia fáza a testovanie (**Od 1/2026 do 12/2026)

458

459

**__Podaktivita __6.1. Kompletné testovanie zavedených opatrení**

460

461

**__Podaktivita __6.2. Overenie funkčnosti a efektívnosti riešení**

462

463

**__Podaktivita __6.3: Opakovaný audit u prevádzkovateľa PZS (6/2026)**

464

465

**__Podaktivita __6.4: Záverečné úpravy a dolaďovanie systémov**

466

467

468

== {{id name="projekt_2785_Projektovy_zamer_detailny-3.3Zainteresovanéstrany/Stakeholderi"/}}3.3 Zainteresované strany/Stakeholderi ==

|(((

ID

)))|(((

AKTÉR / STAKEHOLDER

)))|(((

SUBJEKT

(názov / skratka)

)))|(((

ROLA

(vlastník procesu/ vlastník dát/zákazník/ užívateľ …. člen tímu atď.)

)))|(((

Informačný systém

(MetaIS kód a názov ISVS)

)))

|(((

1.

)))|(((

Ministerstvo investícií, regionálneho rozvoja a informatizácie SR

)))|(((

MIRRI

)))|(((

Riadiaci orgán OP Slovensko/ Poskytovateľ NFP

)))|(((

N/A

)))

|(((

2.

)))|(((

BIONT a.s.

)))|(((

BIONT

)))|(((

Prevádzkovateľ základnej služby

Vlastník procesu

)))|(((

N/A

)))

|(((

3.

)))|(((

Projektový tím

)))|(((

BIONT/externý

)))|(((

Projektový manažér (vlastník procesu), finančný manažér, IT manažér (vlastník dát)

)))|(((

N/A

)))

|(((

5.

)))|(((

Občan/Podnikateľ/OVM

)))|(((

externý

)))|(((

dodanie potrebného SW, HW

)))|(((

N/A

)))

|(((

6.

)))|(((

Manažér kybernetickej bezpečnosti

)))|(((

externý

)))|(((

Riadenie hlavných KB činností a organizácie KB

)))|(((

N/A

)))

== {{id name="projekt_2785_Projektovy_zamer_detailny-3.4Cieleprojektu"/}}3.4 Ciele projektu ==

|(((

ID

)))|(((

Názov cieľa

)))|(((

Názov strategického cieľa

558

)))|(((

559

Spôsob realizácie strategického cieľa

)))

|(((

1.

)))|(((

PO095 / PSKPSOI12

RSO 1.2 Využívanie prínosov digitalizácie pre občanov, podniky, výskumné organizácie a orgány verejnej správy

567

)))|(((

568

Zlepšovanie procesného, vedomostného technologického, infraštruktúrneho, a organizačného zabezpečenia zručností a kapacít pre plnenie úloh v oblasti KIB v prostredí orgánov štátnej a verejnej správy.

569

)))|(((

570

Implementácia projektu

)))

|(((

)))|(((

Implementácia systémov na monitorovanie a hodnotenie bezpečnostných rizík

578

)))|(((

579

Zvýšenie úrovne informačnej a kybernetickej bezpečnosti

580

)))|(((

581

Zavedenie nástrojov na aktívne monitorovanie a hodnotenie aktuálnych bezpečnostných rizík

)))

|(((

2.

)))|(((

Zníženie pravdepodobnosti bezpečnostných incidentov

587

)))|(((

588

Zvýšenie úrovne informačnej a kybernetickej bezpečnosti

589

)))|(((

590

Implementácia efektívnych bezpečnostných opatrení na minimalizáciu rizík kybernetických útokov

)))

|(((

3.

)))|(((

Splnenie legislatívnych povinností

596

)))|(((

597

Zvýšenie úrovne informačnej a kybernetickej bezpečnosti

598

)))|(((

599

Vypracovanie bezpečnostnej dokumentácie v súlade so zákonmi č. 69/2018 Z.z, č. 95/2019 Z.z, a Vyhláškou NBÚ č. 362/2018 Z.z.

)))

|(((

4.

)))|(((

Zvýšenie informovanosti a pripravenosti zamestnancov

605

)))|(((

606

Zvýšenie úrovne informačnej a kybernetickej bezpečnosti

607

)))|(((

608

Organizácia školení na zvýšenie informovanosti o kybernetických hrozbách a bezpečnostných postupoch

)))

|(((

5.

)))|(((

Efektívne riadenie prístupových práv

614

)))|(((

615

Zvýšenie úrovne informačnej a kybernetickej bezpečnosti

616

)))|(((

617

Zavedenie a vylepšenie systémov na kontrolu a monitorovanie prístupu k citlivým informáciám

)))

|(((

6.

)))|(((

Zlepšenie riadenia a oznamovania bezpečnostných incidentov

623

)))|(((

624

Zvýšenie úrovne informačnej a kybernetickej bezpečnosti

625

)))|(((

626

Vytvorenie procesov na efektívne riadenie a oznamovanie bezpečnostných incidentov.

)))

|(((

7.

)))|(((

Vykonanie auditu a reauditu

632

)))|(((

633

Zvýšenie úrovne informačnej a kybernetickej bezpečnosti

634

)))|(((

635

Vykonanie auditu KB v zmysle zákona o KB

)))

**~ **

== {{id name="projekt_2785_Projektovy_zamer_detailny-3.5Merateľnéukazovatele(KPI)"/}}3.5 Merateľné ukazovatele (KPI) ==

|(((

ID

)))|(((

ID/Názov cieľa

)))|(((

Názov

ukazovateľa (KPI)

)))|(((

Popis

ukazovateľa

)))|(((

Merná jednotka

)))|(((

AS IS

merateľné hodnoty

(aktuálne)

)))|(((

TO BE

Merateľné hodnoty

(cieľové hodnoty)

)))|(((

Spôsob ich merania

)))|(((

Pozn.

)))

|(((

1.

)))|(((

Implementácia systémov na monitorovanie a hodnotenie bezpečnostných rizík

675

)))|(((

676

Implementácia systémov

677

)))|(((

678

Počet implementovaných systémov (podľa plánu do 12/2026)

)))|(((

Počet

)))|(((

0

)))|(((

x

)))|(((

Počet implementovaných systémov (monitoring)

)))|(((

)))

|(((

2.

)))|(((

Zníženie pravdepodobnosti bezpečnostných incidentov

694

)))|(((

695

Bezpečnostné incidenty

696

)))|(((

697

Zníženie počtu bezpečnostných incidentov (min. 50% zníženie incidentov do 12/2026).

)))|(((

Počet

)))|(((

x

)))|(((

x

)))|(((

Monitorovacia správa, report

)))|(((

)))

|(((

3.

)))|(((

Splnenie legislatívnych povinností

713

)))|(((

714

Bezpečnostná dokumentácia

715

)))|(((

716

Schválená kompletná bezpečnostná dokumentácia (do 12/2026)

)))|(((

Počet

)))|(((

1

)))|(((

x

)))|(((

Zavedenie dokumentov do riadenej dokumentácie BIONT

)))|(((

)))

|(((

4.

)))|(((

Zvýšenie informovanosti a pripravenosti zamestnancov

)))|(((

Informovanosť

)))|(((

Počet vyškolených zamestnancov (min. 90% zamestnancov do 12/2025).

)))|(((

Počet

)))|(((

0

)))|(((

80

)))|(((

Počet zaškolených zamestnancov na kybernetickú informačnú bezpečnosť prostredníctvom kontinuálneho vzdelávania

744

)))|(((

745

Spätná väzba a hodnotenia efektivity školení

)))

|(((

5.

)))|(((

Efektívne riadenie prístupových práv

)))|(((

Prístupové práva

)))|(((

Miera zlepšenia riadenia prístupov (min. 90% zamestnancov so správne nastavenými prístupovými právami do 12/2026).

)))|(((

Počet

)))|(((

0

)))|(((

80

)))|(((

Report

)))|(((

)))

|(((

6.

)))|(((

Zlepšenie riadenia a oznamovania bezpečnostných incidentov

770

)))|(((

771

Riadenie bezpečnostných incidentov

772

)))|(((

773

Počet úspešne riešených bezpečnostných incidentov (min. 90% incidentov riešených v stanovenej lehote).

)))|(((

Počet

)))|(((

x

)))|(((

x

)))|(((

Report

)))|(((

)))

|(((

7.

)))|(((

Vykonanie auditu a reauditu

)))|(((

Audit

)))|(((

Počet súladov, čiastočných súladov a nesúladov z externého auditu kybernetickej bezpečnosti

)))|(((

Počet

)))|(((

22 súlad

23 čiastočný súlad

226 nesúlad

18 Iné

)))|(((

x

)))|(((

Vykonanie reauditu

)))|(((

Audit vykonaný v 6/2024

)))

**Hlavné výstupy projektu**

813

814

1. **Klasifikácia informácií:**

815

1*. Definovanie úrovní citlivosti a ochrany informácií.

816

1. **Kategorizácia sietí a informačných systémov:**

817

1*. Určenie kritických systémov a sietí pre lepšie riadenie bezpečnosti.

818

1. **Analýza rizík a funkčného dopadu:**

819

1*. Identifikácia a hodnotenie potenciálnych bezpečnostných rizík.

820

1*. Posúdenie dopadu potenciálnych bezpečnostných incidentov na prevádzku.

821

1. **Organizácia kybernetickej a informačnej bezpečnosti (KIB):**

822

1*. Vytvorenie organizačnej štruktúry pre riadenie KIB.

823

1. **Riadenie rizík KIB:**

824

1*. Implementácia procesov na identifikáciu, hodnotenie a zmierňovanie rizík.

825

1. **Personálna bezpečnosť:**

826

1*. Zavedenie opatrení na ochranu pred internými hrozbami.

827

1. **Riadenie prístupov:**

828

1*. Kontrola a monitorovanie prístupu k citlivým informáciám a systémom.

829

1. **Riadenie KIB vo vzťahoch s tretími stranami:**

830

1*. Zabezpečenie, že tretie strany dodržiavajú bezpečnostné štandardy.

831

1. **Bezpečnosť pri prevádzke informačných systémov a sietí:**

832

1*. Ochrana pred neoprávneným prístupom a narušením prevádzky.

833

1. **Hodnotenie zraniteľností a bezpečnostné aktualizácie:**

834

1*. Pravidelné hodnotenie zraniteľností a aplikácia bezpečnostných aktualizácií.

835

1. **Ochrana proti škodlivému kódu:**

836

1*. Zavedenie opatrení na detekciu a odstránenie škodlivého softvéru.

837

1. **Sieťová a komunikačná bezpečnosť:**

838

1*. Ochrana integrácie a dôvernosti komunikácií a sietí.

839

1. **Vývoj a údržba informačných sietí a systémov:**

840

1*. Zabezpečenie, že nové a existujúce systémy spĺňajú bezpečnostné požiadavky.

841

1. **Zaznamenávanie udalostí a monitorovanie:**

842

1*. Sledovanie a zaznamenávanie bezpečnostných udalostí na detekciu a reakciu na incidenty.

843

1. **Riešenie kybernetických bezpečnostných incidentov:**

844

1*. Efektívne riadenie a riešenie incidentov kybernetickej bezpečnosti

845

1. **Kryptografické opatrenia:**

846

1*. Použitie šifrovania na ochranu dát

847

1. **Kontinuita prevádzky:**

848

1*. Zabezpečenie kontinuity činností aj pri bezpečnostných incidentoch

849

850

== {{id name="projekt_2785_Projektovy_zamer_detailny-3.6Špecifikáciapotriebkoncovéhopoužívateľa"/}}3.6 Špecifikácia potrieb koncového používateľa ==

851

852

Projekt je zameraný na zvýšenie úrovne kybernetickej a informačnej bezpečnosti v rámci BIONTu. Prostredníctvom projektu nebudú budované ani upravované koncové služby, kde by vznikla potreba zisťovania potrieb koncového používateľa.

853

854

== {{id name="projekt_2785_Projektovy_zamer_detailny-3.7Rizikáazávislosti"/}}3.7 Riziká a závislosti ==

855

856

Zoznam rizík a závislosti sa nachádzajú v samostatnej prílohe.

857

858

== {{id name="projekt_2785_Projektovy_zamer_detailny-3.8Stanoveniealternatívvbiznisovejvrstvearchitektúry"/}}3.8 Stanovenie alternatív v biznisovej vrstve architektúry ==

859

860

V rámci **biznisovej vrstvy architektúry** sme porovnávali 3 variantné alternatívy riešenia súčasného stavu. Na základe identifikovaného rozsahu problému v projektovom zámere boli stanovené tri rôzne riešenia. Ako najefektívnejšia bola vybraná Alternatíva č. 3, ktorá pokrýva procesy a požiadavky všetkých stakeholderov/aktérov a celú životnú situáciu rieši komplexne.

861

862

**Alternatíva 1 - Ponechanie súčasného stavu** **ochrany informačných systémov**:

863

864

Zachovanie pôvodného stavu nezabezpečí povinnosť ochrany informácií a informačných aktív a je v plnom rozpore s povinnosťami vyplývajúcimi zo zákona č. 69/2018 Z.z.

865

866

**Alternatíva 2 – Čiastočné zvýšenie úrovne kybernetickej a informačnej bezpečnosti:**

867

868

Druhá alternatíva spočíva v tom, že by nedošlo k zásadným zmenám v oblasti zberu, spracovania a vyhodnocovania bezpečnostných údajov a v oblasti preventívnych opatrení, rýchlosti detekcie a riešenia incidentov. Avšak jednotlivé riešenia, nástroje a technológie by boli budované postupne a agendy v oblasti KB a čiastkové oblasti by boli zefektívňované postupnými krokmi, viacerými projektami rozloženými v čase.

869

870

**Alternatíva 3 – Aktualizácia bezpečnostnej dokumentácie a systémové zvýšenie úrovne kybernetickej a informačnej bezpečnosti**

871

872

Tretia alternatíva predstavuje simultánne nasadenie viacerých softvérových a hardvérových nástrojov na systematické nastavenie kybernetickej a informačnej bezpečnosti BIONTu v krátkodobom časovom horizonte. Nakoľko je softvérové, hardvérové a infraštruktúrne prostredie z hľadiska KB bezpečné len do takej miery, do akej je zabezpečená jeho najzraniteľnejšia časť, považujeme centrálne plánovaný a komplexný prístup za najefektívnejší z pohľadu biznis, aplikačnej aj technologickej vrstvy. Alternatíva zároveň uvažuje s vytvorením bezpečnostnej dokumentácie na identifikáciu, riadenie a mitigáciu bezpečnostných rizík v súlade s legislatívnymi požiadavkami vyhlášky č. 362/2018 Z. z., ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení.

873

874

== {{id name="projekt_2785_Projektovy_zamer_detailny-3.9Multikriteriálnaanalýza"/}}3.9 Multikriteriálna analýza ==

|(((

**// //**

)))|(((

KRITÉRIUM

)))|(((

ZDÔVODNENIE KRIÉRIA

)))|(((

MIRRI (výzva)

)))|(((

(% style="text-align: center;" %)

890

BIONT

891

)))

892

|(% rowspan="3" %)(((

BIZNIS VRSTVA

// //

)))|(((

A

Súlad s legislatívou a zabezpečenie legislatívnych požiadaviek čo najjednoduchším riešením

902

)))|(% style="text-align:left" %)(((

903

Je potrebné naplniť požiadavky zákonov 69/2018 Z. z. a 95/2019 Z. z., čo najefektívnejšie

)))|(((

áno

)))|(((

áno

)))

|(((

B

Rýchlosť implementácie

913

)))|(% style="text-align:left" %)(((

914

Z pohľadu zákona 69/2018 Z. z. je potrebné implementáciu stihnúť čo najskôr

)))|(((

áno

)))|(((

nie

)))

|(((

C

Nízka náročnosť implementácie z pohľadu ľudských zdrojov a času

924

)))|(% style="text-align:left" %)(((

925

Vzhľadom stav na ľudských z ľudských zdrojov a času zdrojov je potrebné projekt navrhnúť áno nie tak, aby mal čo najmenšiu náročnosť na ľudské zdroje

)))|(((

áno

)))|(((

nie

)))

(% class="relative-table" style="width:56.61%" %)

|(((

Zoznam kritérií

)))|(((

Alternatíva 1

)))|(((

Spôsob

dosiahnutia

)))|(((

Alternatíva 2

)))|(((

Spôsob

dosiahnutia

)))

|(((

Kritérium A

)))|(((

áno

)))|(((

Projekt zavádza procesy

956

957

Governance v oblasti KIB

)))|(((

čiastočne

)))|(((

)))

|(((

Kritérium B

)))|(((

áno

)))|(((

Realizácia výzvy je

najrýchlejšou možnosťou implementácie

)))|(((

nie

)))|(((

)))

|(((

Kritérium C

)))|(((

áno

)))|(((

Projekty budú realizované formou dodávky a budú minimalizovať nároky na interné ľudské zdroje

)))|(((

nie

)))|(((

)))

Na základe vyhodnotenia MCA analýzy je možné konštatovať, že najvýhodnejšou alternatívou je alt. 1 - realizácia KIB v rámci tohto projektu.

// //

3.10 Stanovenie alternatív v aplikačnej vrstve architektúry

994

995

Alternatívy na úrovni aplikačnej architektúry reflektujú alternatívy vypracované na základe „nadradenej" architektonickej biznis vrstvy, pričom vďaka uplatneniu nasledujúcich princípov aplikačná vrstva architektúry dopĺňa informácie k alternatívam stanoveným pomocou biznis architektúry. Ako najvýhodnejšiu z danej analýzy považujeme Alternatívu 3. Výber Aplikačnej architektúry reflektuje výber nadradenej biznis architektúry.

996

997

== {{id name="projekt_2785_Projektovy_zamer_detailny-3.11Stanoveniealternatívvtechnologickejvrstvearchitektúry"/}}3.11 Stanovenie alternatív v technologickej vrstve architektúry ==

998

999

Výber alternatívy na úrovni technologickej a bezpečnostnej vrstvy architektúry kopíruje výber alternatívy č. 2 na základe MCA. Riešenie predstavuje minimálny rozsah technologického a softvérového zlepšenia prostredia pre splnenie predpokladov kybernetického auditu a zabezpečenie dostatočnej ochrany prostredia s ohľadom na hodnotu chránených aktív.

1000

1001

= {{id name="projekt_2785_Projektovy_zamer_detailny-4.POŽADOVANÉVÝSTUPY(PRODUKTPROJEKTU)"/}}4. POŽADOVANÉ VÝSTUPY (PRODUKT PROJEKTU) =

1002

1003

Nasadenie nových technologických riešení a zlepšenie bezpečnostných opatrení je nevyhnutné na zvýšenie efektívnosti pracovných procesov, ochranu citlivých informácií a prevenciu pred zlyhaním zastaraných zariadení alebo aj stratou dát. Tento projekt sa zameriava na implementáciu moderných bezpečnostných opatrení a zlepšenie správy informačných technológií (IT) v spoločnosti BIONT.

**Účel projektu**

Cieľom projektu je systematické zvýšenie úrovne informačnej a kybernetickej bezpečnosti v spoločnosti BIONT. Projekt sa zameriava na aktívne monitorovanie a vyhodnocovanie aktuálnych bezpečnostných rizík a zavádzanie opatrení na ich minimalizáciu, čím sa zníži pravdepodobnosť bezpečnostných incidentov. Ďalším cieľom je splnenie legislatívnych požiadaviek v oblasti kybernetickej a informačnej bezpečnosti.

1008

1009

**Očakávané výsledky**

1010

1011

* **Kompletná bezpečnostná dokumentácia zosúladená s aktuálnymi právnymi predpismi:** Vypracovanie a implementácia dokumentácie zabezpečenia, ktorá bude zodpovedať všetkým relevantným zákonným a regulačným požiadavkám.

1012

* **Implementácia moderných bezpečnostných opatrení na výrazné zníženie rizika kybernetických útokov:** Nasadenie najnovších technológií a postupov na ochranu IT infraštruktúry a citlivých dát pred vonkajšími aj vnútornými hrozbami.

1013

* **Vyššia úroveň informovanosti zamestnancov a ich pripravenosť na riešenie bezpečnostných incidentov:** Organizovanie školení a osvietovacích kampaní pre zamestnancov zameraných na zvýšenie povedomia o bezpečnostných hrozbách a ich správne riešenie.

1014

* **Zlepšené riadenie prístupových práv na ochranu citlivých informácií:** Implementácia robustných procesov riadenia prístupov a autorizácií na minimalizáciu rizík spojených s neoprávneným prístupom.

1015

* **Efektívne riadenie bezpečnostných incidentov s rýchlym a efektívnym riešením v prípade incidentov:** Zavedenie postupov na rýchlu detekciu, reakciu a obnovenie po kybernetických incidentoch, čím sa minimalizuje ich dopad na prevádzku.

1016

1017

**Realizačné fázy projektu z pohľadu očakávaných výstupov projektu**

1018

1019

**Prípravná a iniciačná fáza (5/2024 - 12/2024)**

1020

1021

* **Vytvorenie projektového tímu a definovanie cieľov:** Identifikácia potrebných odborníkov a zostavenie tímu s jasnými rolami a zodpovednosťami.

1022

* **Identifikácia kľúčových zainteresovaných strán:** Zostavenie zoznamu interných a externých zainteresovaných strán a analýza ich očakávaní a vplyvu na projekt.

1023

1024

**Realizačná fáza (1/2025 - 12/2026)**

1025

1026

* **Koordinácia činností a zabezpečenie zdrojov:** Pravidelná komunikácia a koordinácia medzi členmi tímu a dodávateľmi na zabezpečenie plynulého priebehu projektu.

1027

* **Podrobná analýza aktuálneho stavu kybernetickej bezpečnosti:** Zber dát a hodnotenie súčasného stavu IT bezpečnosti v spoločnosti BIONT.

1028

* **Návrh bezpečnostných opatrení a dokumentácie:** Vypracovanie konkrétnych návrhov na zlepšenie bezpečnostných opatrení a príprava dokumentácie podľa aktuálnych štandardov.

1029

* **Vypracovanie plánu implementácie:** Detailné naplánovanie krokov na implementáciu navrhnutých bezpečnostných opatrení s jasnými termínmi a zodpovednosťami.

1030

* **Nákup technických a programových prostriedkov:** Výber a obstaranie potrebných technologických riešení a služieb na podporu implementácie bezpečnostných opatrení.

1031

* **Implementácia a integrácia nových technológií:** Inštalácia a konfigurácia nových bezpečnostných riešení a ich integrácia do existujúcej IT infraštruktúry spoločnosti.

1032

* **Školenie zamestnancov:** Odborné školenia pre zamestnancov zamerané na zvýšenie povedomia o kybernetickej bezpečnosti a správne riešenie bezpečnostných hrozieb.

1033

1034

**Dokončovacia fáza a testovanie (1/2026 - 12/2026)**

1035

1036

* **Kompletné testovanie zavedených opatrení:** Dôkladné testovanie nových bezpečnostných opatrení na overenie ich funkčnosti a efektívnosti v reálnom prostredí.

1037

* **Overenie ich funkčnosti a efektívnosti:** Hodnotenie úspešnosti a efektívnosti implementovaných bezpečnostných opatrení a prípadné finálne úpravy podľa výsledkov testovania.

1038

* **Finálne úpravy a optimalizácia systémov, príprava záverečnej dokumentácie:** Dokončovanie detailov implementácie a príprava dokumentácie zahŕňajúcej všetky zmeny a zlepšenia.

1039

1040

Tento podrobný opis projektu poskytuje jasný rámec pre plánovanie, implementáciu a riadenie projektu zameraného na zvýšenie kybernetickej bezpečnosti a ochranu informácií v spoločnosti BIONT.

1041

1042

= {{id name="projekt_2785_Projektovy_zamer_detailny-5.NÁHĽADARCHITEKTÚRY"/}}5. NÁHĽAD ARCHITEKTÚRY =

1043

1044

Architektúra BIONT bola vytvorená v programe ArchiMate modelling na základe rozsiahlych diskusií s oddelením IT.

1045

1046

Máme zakreslenú situáciu „as-is“, ako aj situáciu „to-be“.

1047

1048

Nakoľko veríme, že sa jedná o tajnú informáciu a zdieľanie tejto informácie na verejne dostupnom portáli vnímame ako hrozbu bezpečnostného incidentu, nebudeme prikladať prílohy. Pri vyžiadaní vieme túto architektúru dať k nahliadnutiu pri osobnom stretnutí.

1049

1050

Medzi hlavné zmeny bude vytvorenie NAS úložiska, CM, XDR, IPS/IDP, NIS na úrovni aplikačnej architektúry a upgrade fyzického zabezpečenia priestorov serverovní (back up server) na technologickej úrovni.

1051

1052

Projekt zahŕňa zavedenie nových hardvérových a softvérových riešení a bezpečnostných opatrení, ktoré možno rozdeliť do jednotlivých modulov projektu. Každý modul je priamo namapovaný na Katalóg požiadaviek:

1053

1054

1055

[[image:attach:image-2024-8-2_12-38-0.png||width="600"]]

1056

1057

1058

Realizáciou týchto modulov sa projekt zameria na vytvorenie robustného a odolného kybernetického bezpečnostného rámca v spoločnosti BIONT.

1059

1060

Požiadavky pre jednotlivé moduly sú vylistované v zozname uvedenom v dokumente I_04_KATALOG_POZIADAVIEK v tabe „Moduly a inkrementy“.

1061

1062

1063

**Rozsah architektúry budúceho stavu (TO-BE) v porovnaní so súčasným stavom (AS-IS) sa zmení prevažne na úrovni aplikačnej a technologickej vrstvy**.

1064

1065

1066

Inkrementálne čiastkové plnenie projektu, ktoré zahŕňa minimálne etapy implementácie, testovania a nasadenia do produkčného prostredia, môže byť realizované prostredníctvom viacerých iterácií v závislosti od charakteru projektu. Každý doručený inkrement projektu je nasadený v produkčnom prostredí, čo umožňuje začať s dokončovacou fázou projektu alebo pokračovať ďalším inkrementom.

1067

1068

Vzhľadom na to, že projekt zahŕňa najmä nákup technických prostriedkov, softvérových nástrojov a služieb, je rozdelenie na inkrementy menej relevantné. Napriek tomu bude rozdelenie vykonané v súlade s Katalógom požiadaviek.

1069

1070

1071

Implementácia každého inkrementu zahŕňa nasledujúce kľúčové fázy:

1072

1073

* **Implementácia:** Zavedenie technických a softvérových prostriedkov do testovacieho prostredia.

1074

* **Testovanie:** Dôkladné overenie funkčnosti a bezpečnosti implementovaných riešení.

1075

* **Nasadenie do produkcie:** Premiestnenie a aktivácia overených riešení v produkčnom prostredí.

1076

1077

Tento prístup zabezpečuje, že každý inkrement prináša merateľnú hodnotu a umožňuje priebežné zlepšovanie a adaptáciu projektu na aktuálne potreby a podmienky.

1078

1079

== {{id name="projekt_2785_Projektovy_zamer_detailny-5.1Prehľade-Governmentkomponentov"/}}5.1 Prehľad e-Government komponentov ==

1080

1081

=== {{id name="projekt_2785_Projektovy_zamer_detailny-5.1.1Prehľadkoncovýchslužieb–budúcistav:"/}}5.1.1 Prehľad koncových služieb – budúci stav: ===

1082

1083

Vzhľadom na charakter a rozsah projektu nebudú výsledkom projektu nové požiadavky na koncové služby.

1084

1085

=== {{id name="projekt_2785_Projektovy_zamer_detailny-5.1.2Prehľadbudovaných/rozvíjanýchISVSvprojekte–budúcistav:"/}}5.1.2 Prehľad budovaných/rozvíjaných ISVS v projekte – budúci stav: ===

1086

1087

Vzhľadom na charakter a rozsah projektu nebudú budované ani rozvíjané informačné systémy ako také. Budú nepriamo rozvíjané implementáciou licenčných riešení s pozitívnym dopadom na úroveň kybernetickej bezpečnosti a prevádzku systémov poskytovateľa základnej služby.

1088

1089

=== {{id name="projekt_2785_Projektovy_zamer_detailny-5.1.3Prehľadbudovanýchaplikačnýchslužieb–budúcistav:"/}}5.1.3 Prehľad budovaných aplikačných služieb – budúci stav: ===

1090

1091

Vzhľadom na charakter a rozsah projektu nebudú budované aplikačné služby ako také. Počas realizácie projektu bude dopĺňaná hardvérová infraštruktúra poskytovateľa základnej služby, ako aj doplnené licenčné proprietárne softvéry s pozitívnym dopadom na úroveň kybernetickej bezpečnosti a prevádzku systémov poskytovateľa základnej služby.

1092

1093

=== {{id name="projekt_2785_Projektovy_zamer_detailny-5.1.4PrehľadintegráciiISVSnaspoločnéISVS[1]aISVSinýchOVMaleboIStretíchstrán"/}}5.1.4 Prehľad integrácii ISVS na spoločné ISVS[[(% class="wikiinternallink" %)^^**~[1~]**^^>>path:#_ftn1||name="_ftnref1" shape="rect"]](%%) a ISVS iných OVM alebo IS tretích strán ===

1094

1095

Vzhľadom na charakter a rozsah projektu nebudú výsledkom projektu nové požiadavky na integrácie na spoločné ISVS či ISVS iných orgánov verejnej moci a tretích strán.

1096

1097

=== {{id name="projekt_2785_Projektovy_zamer_detailny-5.1.5Aplikačnéslužbynaintegráciu"/}}5.1.5 Aplikačné služby na integráciu ===

1098

1099

Vzhľadom na charakter a rozsah projektu nebudú výsledkom projektu nové požiadavky na budované aplikačné služby a ich využitie na integráciu na spoločné moduly a iné ISVS alebo ich poskytovanie na externú integráciu ani nie je plánované vybudovanie cloudových služieb “softvér ako služba“ (SaaS).

1100

1101

=== {{id name="projekt_2785_Projektovy_zamer_detailny-5.1.6PoskytovanieúdajovzISVSdoISCSRÚ"/}}5.1.6 Poskytovanie údajov z ISVS do IS CSRÚ ===

1102

1103

Vzhľadom na charakter a rozsah projektu nebudú výsledkom projektu nové požiadavky na poskytovanie údajov do CSRÚ.

1104

1105

=== {{id name="projekt_2785_Projektovy_zamer_detailny-5.1.7KonzumovanieúdajovzISCSRÚ"/}}5.1.7 Konzumovanie údajov z IS CSRÚ ===

1106

1107

Vzhľadom na charakter a rozsah projektu nebudú výsledkom projektu nové požiadavky na konzumovanie údajov z CSRÚ.

1108

1109

=== {{id name="projekt_2785_Projektovy_zamer_detailny-5.1.8Prehľadplánovanéhovyužívaniainfraštruktúrnychslužieb(cloudovýchslužieb)–budúcistav:"/}}5.1.8 Prehľad plánovaného využívania infraštruktúrnych služieb (cloudových služieb) – budúci stav: ===

1110

1111

Vzhľadom na charakter a rozsah projektu nebudú výsledkom projektu nové požiadavky na využívanie kapacít ktorejkoľvek časti vládneho cloudu.

1112

1113

= {{id name="projekt_2785_Projektovy_zamer_detailny-6.LEGISLATÍVA"/}}6. LEGISLATÍVA =

1114

1115

Projekt sa v čase jeho prípravy riadi príslušnou legislatívou:

1116

1117

* Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov v znení neskorších predpisov

1118

* Vyhláška Národného bezpečnostného úradu č. 362/2018 Z. z., ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení v znení neskorších predpisov

1119

* Vyhláška 401/2023 Z.z. Ministerstva investícií, regionálneho rozvoja a informatizácie Slovenskej republiky o riadení projektov a zmenových požiadaviek v prevádzke informačných technológií verejnej správy

1120

* Zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov v znení neskorších predpisov

1121

* Vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 179/2020 Z. z. ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy v znení neskorších predpisov

1122

1123

= {{id name="projekt_2785_Projektovy_zamer_detailny-7.ROZPOČETAPRÍNOSY"/}}7. ROZPOČET A PRÍNOSY =

1124

1125

Projekt bol nacenený pre relevantné:

1126

1127

* __Mzdové náklady__ na projektový tím boli nacenené podľa súm ceny prác už schválených NFP (20 EUR/hod), na manažéra IT boli stanovené v maximálne povolenej sume 25 EUR/hod a hodinová sadzba manažéra kybernetickej bezpečnosti, ktorý bude obstaraný externe stanovený na 22 EUR/hod.

1128

* __Hardvér__ sa odvíjal od prieskumov trhu (priemerná cena z troch ponúk firiem)

1129

* __Softvér __vychádza z na mieru šitých cenových ponúk od dodávateľa služby, v prípade NIS je cena odvodená od existujúcej zmluvy na NIS v CRZ (najskoršia dohľadateľná ponuka bola z roku 2022). Nárokujeme si len čiastkovú sumu, nakoľko rokovania s dodávateľom nového NIS sú iba v iniciálnej fáze a ešte sa nepristúpilo ku kvantifikovaniu a definovaniu rozsahu prác, funkcionalít, licencií a pod.

1130

* __Ostatné služby__ ako napr. audit, cena je odvodená od faktúry vykonaného auditu vo firme v 6/2024.

1131

1132

1133

Rozpočet vrámci ŽoNFP bol rozdelený na percentuálne pomery pre financovanie viac rozvinutého regiónu 22,86% a menej rozvinutého regiónu 77,14%.

1134

1135

1136

**521- MZDOVÉ NÁKLADY**

1137

1138

**__Projektový manažér__**

1139

1140

**800 EUR (cena práce na mesiac, 40 hodínx20 EUR/hod) x 32 (počet mesiacov, obdobie od 05/2024) = 25´600 EUR**

**~ **

**__Finančný manažér__**

1145

1146

**800 EUR (cena práce na mesiac, 40 hodínx20 EUR/hod) ) x 32 (počet mesiacov, od 05/2024) = 25´600 EUR.**

**~ **

**~ __IT manažér__**

**2000 EUR (cena práce na mesiac, 80 hodín x25 EUR/hod) x 32 (počet mesiacov, od 09/2024) = 56´000 EUR.**

**~ **

**__Manažér kybernetickej bezpečnosti__**

1157

1158

**Verejné obstarávanie pozície MKB vo výške 49´280 EUR.**

1159

1160

**1´760 EUR (cena práce na mesiac, 80 hodínx22 EUR/hod) x 28 (počet mesiacov, od 09/2024) = 49´280 EUR.**

**~ **

**__013 SOFVÉR__**

* Produkt EDR Optimum

1167

• Vzdelávacia platforma KASAP

1168

• Penetračný test

1169

• Nemocničný informačný systém na bezpečnú správu dát

1170

• Modul na zdieľanie dokumentácie z PET vyšetrenia pacienta lekárom, ktorí nedisponujú najnovšou technológiou a nevedia prijať dokumenty z PET vyšetrenia.

1171

1172

**__22 SAMOSTATNE HNUTEĽNÉ VECI A SÚBOR HNUTEĽNÝCH VECÍ__**

1173

1174

* Zabezpečenie fyzickej bezpečnosti priestorov serverovne a backupovej serverovne vo vedľajšej budove (bezpečnostné dvere, biometrický zámok, kamerový systém, alarmový systém, záložná klimatizácia).

1175

1176

2 kusy NAS diskových polí (diskové pole pre NAS, Záložné diskové pole NAS pre BIONT).

1177

1178

**~ __518 OSTATNÉ SLUŽBY__**

1179

1180

* refundácia už vykonaného auditu KB, ktorá je vyžadovaná podľa zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti každé dva roky.

1181

* reaudit v 6/2026

1182

* licencia, publicita, notár, právnik a paušálne náhrady na licencie, vybavenie serverovní a pod.

1183

1184

== {{id name="projekt_2785_Projektovy_zamer_detailny-7.1Sumarizácianákladovaprínosov"/}}7.1 Sumarizácia nákladov a prínosov ==

**Prínosy projektu**

* **Zavedenie komplexných bezpečnostných opatrení na minimalizáciu rizík a zvýšenie úrovne ochrany:** Zvýšenie celkovej bezpečnosti informačných systémov a citlivých dát spoločnosti BIONT.

1189

* **Implementácia systémových riadiacich politík a postupov na efektívne riadenie bezpečnosti:** Zavádzanie štandardizovaných a efektívnych postupov na riadenie kybernetickej bezpečnosti, ktoré zabezpečia konzistentnú ochranu.

1190

* **Zlepšenie schopnosti rýchlo reagovať a obnoviť prevádzku po bezpečnostných incidentoch:** Posilnenie schopností spoločnosti BIONT na rýchlu a efektívnu reakciu na bezpečnostné incidenty a minimalizáciu ich dopadu na business.

1191

* **Posilnenie dôvery zákazníkov, partnerov a regulačných orgánov vzhľadom na dodržiavanie legislatívnych noriem:** Zlepšenie reputácie spoločnosti a zvýšenie dôvery zákazníkov a ďalších zainteresovaných strán v jej schopnosť ochrany dát a informácií.

|(((

Náklady

)))|(% colspan="3" %)(((

1197

1198

1199

Realizácia opatrení na zvýšenie úrovne informačnej a kybernetickej bezpečnosti

1200

)))

1201

|(((

1202

**Všeobecný materiál**

)))|(((

)))|(((

)))|(((

)))

|(((

**IT - CAPEX**

)))|(((

)))|(((

)))|(((

)))

|(((

Aplikácie

)))|(% colspan="3" %)(((

)))

|(((

SW

)))|(% colspan="3" %)(((

//58´412 EUR//

)))

|(((

HW

)))|(% colspan="3" %)(((

//50´000 EUR//

)))

|(((

**IT - OPEX- prevádzka**

)))|(((

)))|(((

)))|(((

)))

|(((

Aplikácie

)))|(% colspan="3" %)(((

)))

|(((

SW

)))|(% colspan="3" %)(((

)))

|(((

HW

)))|(% colspan="3" %)(((

)))

|(((

**Prínosy**

)))|(((

)))|(((

)))|(((

)))

|(((

**Finančné prínosy**

)))|(((

)))|(((

)))|(((

)))

|(((

Administratívne poplatky

)))|(((

)))|(((

)))|(((

)))

|(((

Ostatné daňové a nedaňové príjmy

)))|(((

)))|(((

)))|(((

)))

|(((

**Ekonomické prínosy**

)))|(((

)))|(((

)))|(((

)))

|(((

Občania (€)

)))|(((

)))|(((

)))|(((

)))

|(((

Úradníci (€)

)))|(((

)))|(((

)))|(((

)))

|(((

Úradníci (FTE)

)))|(((

)))|(((

)))|(((

)))

|(((

**Kvalitatívne prínosy**

)))|(((

)))|(((

)))|(((

)))

|(((

)))|(((

// //

)))|(((

// //

)))|(((

// //

)))

= {{id name="projekt_2785_Projektovy_zamer_detailny-8.HARMONOGRAMJEDNOTLIVÝCHFÁZPROJEKTUaMETÓDAJEHORIADENIA"/}}8. HARMONOGRAM JEDNOTLIVÝCH FÁZ PROJEKTU a METÓDA JEHO RIADENIA =

|(((

ID

)))|(((

FÁZA/AKTIVITA

)))|(((

ZAČIATOK

(odhad termínu)

)))|(((

KONIEC

(odhad termínu)

)))|(((

POZNÁMKA

)))

|(((

//1.//

)))|(((

Prípravná fáza a Iniciačná fáza

)))|(((

5/2024

)))|(((

12/2024

)))|(((

09/spustenie procesu VO

)))

|(((

//2.//

)))|(((

Realizačná fáza

)))|(((

1/2025

)))|(((

12/2026

)))|(((

// //

)))

|(((

//3.//

)))|(((

Analýza a Dizajn

)))|(((

1/2025

)))|(((

12/2025

)))|(((

// //

)))

|(((

//4.//

)))|(((

Nákup technických prostriedkov, programových prostriedkov a služieb

)))|(((

1/2025

)))|(((

12/2025

)))|(((

)))

|(((

//5.//

)))|(((

Implementácia a testovanie

)))|(((

06/2025

)))|(((

12/2025

)))|(((

)))

|(((

//6.//

)))|(((

Dokončovacia fáza

)))|(((

01/2026

)))|(((

12/2026

)))|(((

)))

Projekt bude realizovaný po dobu 32 mesiacov prostredníctvom jednej hlavnej aktivity „Realizácia opatrení na zvýšenie úrovne informačnej a kybernetickej bezpečnosti“ a 6 podaktivít:

1436

1437

1. **Prípravná fáza a Iniciačná fáza**

1438

1*. Vytvorenie projektového tímu.

1439

1*. Definovanie cieľov a harmonogramu.

1440

1*. Identifikácia kľúčových zainteresovaných strán.

1441

1. **Realizačná fáza**

1442

1*. Koordinácia všetkých činností súvisiacich s projektom.

1443

1*. Zabezpečenie potrebných zdrojov a komunikácia s dodávateľmi.

1444

1. **Analýza a dizajn**

1445

1*. Podrobná analýza aktuálneho stavu kybernetickej bezpečnosti.

1446

1*. Návrh bezpečnostných opatrení a dokumentácie.

1447

1*. Vypracovanie plánu implementácie.

1448

1. **Nákup technických prostriedkov, programových prostriedkov a služieb**

1449

1*. Identifikácia a výber potrebných technických a programových prostriedkov.

1450

1*. Obstaranie potrebných zariadení a služieb.

1451

1. **Implementácia**

1452

1*. Zavedenie navrhnutých bezpečnostných opatrení.

1453

1*. Integrácia nových technológií a riešení do existujúcej infraštruktúry.

1454

1*. Školenie zamestnancov na nové postupy a technológie.

1455

1. **Dokončovacia fáza a testovanie**

1456

1*. Kompletné testovanie zavedených opatrení.

1457

1*. Overenie funkčnosti a efektívnosti riešení.

1458

1*. Záverečné úpravy a dolaďovanie systémov.

1459

1460

1461

= {{id name="projekt_2785_Projektovy_zamer_detailny-9.PROJEKTOVÝTÍM"/}}9. PROJEKTOVÝ TÍM =

|(((

ID

)))|(((

Meno a Priezvisko

)))|(((

Rola v projekte

)))

|(((

1.

)))|(((

Interný/externý

)))|(((

Projektový manažér

)))

|(((

2.

)))|(((

Interný

)))|(((

Finančný manažér

)))

|(((

3.

)))|(((

Externý

)))|(((

IT manažér

)))

|(((

4.

)))|(((

Externý

)))|(((

Manažér KB

)))

== {{id name="projekt_2785_Projektovy_zamer_detailny-9.1PRACOVNÉNÁPLNE"/}}9.1 PRACOVNÉ NÁPLNE ==

**~ **

**__Projektový manažér__**

1506

1507

* zodpovedá za implementáciu projektu v súlade so schválenou žiadosťou o NFP, resp. zmluvou o NFP, s platným systémom finančného riadenia a systémom riadenia EŠIF, platnými právnymi predpismi SR a EK, usmerneniami a pokynmi RO súvisiacimi s čerpaním fondov EÚ,

1508

* sleduje platné právne predpisy SR a EK, usmernenia a pokyny RO, súvisiace s čerpaním fondov EÚ,

1509

* zodpovedá za implementáciu projektu v súlade so schváleným harmonogramom realizácie aktivít projektu,

1510

* zodpovedá za napĺňanie merateľných ukazovateľov projektu,

1511

* zodpovedá, resp. koordinuje všetky činnosti súvisiace s implementáciou projektu – monitorovanie projektu, publicitu projektu, verejné obstarávanie a pod.

1512

* koná vo vzťahu k dodávateľom, resp. partnerom na projekte,

1513

* zodpovedá za komunikáciu s RO/SO v oblasti vzťahov vyplývajúcich zo zmluvy o NFP.

1514

1515

**__Finančný manažér__**

1516

1517

* zodpovedá za správne finančné riadenie projektu v súlade so schválenou žiadosťou o NFP, resp. zmluvou o NFP, s platným systémom finančného riadenia a systémom riadenia EŠIF, platnými právnymi predpismi SR a EK, usmerneniami a pokynmi RO súvisiacimi s čerpaním fondov EÚ,

1518

* zodpovedá za čerpanie rozpočtu v súlade s pokrokom v implementácii projektu a dosahovanými ukazovateľmi,

1519

* zodpovedá za komunikáciu s RO/SO v oblasti finančných vzťahov vyplývajúcich zo zmluvy o NFP,

1520

* zodpovedá za prípravu a včasné predkladanie ŽoP vrátane úplnej podpornej dokumentácie (rozsah stanoví RO),

1521

* zodpovedá za oprávnenosť výdavkov prijímateľa v súlade s platnými pravidlami oprávnenosti,

1522

* sleduje platné právne predpisy SR a EK, usmernenia a pokyny RO, súvisiace s čerpaním fondov EÚ.

**__IT manažér__**

* zodpovedá za vypracovanie a aktualizáciu internej riadiacej dokumentácie organizácie v oblasti kybernetickej bezpečnosti a informačnej bezpečnosti,

1527

* tvorí strategické materiály, koncepcie , služobné predpisy, nariadenia, normy, pokyny v oblasti IT a mobilnej dátovej komunikácie,

1528

* zodpovedá za poskytovanie IT služieb, návrh, implementáciu, obstaranie, prevádzku, údržbu a posudzovanie prostriedkov IKT vrámci schváleného NFP,

1529

* rozvíja, optimalizuje a zabezpečuje podporu procesov v rámci oblasti IT služby zmenové konanie (change management),

1530

* podpora rozvoja a optimalizácie procesov v rámci oblasti IT služby kapacitný manažment (dIho a strednodobé a operatívne plánovanie zdrojov),

1531

* nastavuje a konzultuje metodiky pre kapacitné plánovanie a alokáciu IT zdrojov,

1532

* spolupracuje s auditormi v programe interného/externého auditu kybernetickej bezpečnosti.

**__Manažér KB__**

* zodpovedá za vypracovanie a aktualizáciu internej riadiacej dokumentácie organizácie v oblasti kybernetickej bezpečnosti a informačnej bezpečnosti

1537

* predkladá návrhy a oznamuje informácie v oblasti informačnej a kybernetickej bezpečnosti priamo štatutárnemu orgánu prevádzkovateľa základnej služby,

1538

* riadi aplikáciu bezpečnostných opatrení v rámci systémov manažérstva,

1539

* udržiava a poukazuje na potreby aktualizácie Politiky kybernetickej bezpečnosti a informačnej bezpečnosti a ďalších interných riadiacich aktov podľa ZoKB a Vyhlášky č. 362/2018 Z.z.,

1540

* riadi kybernetickú a informačnú bezpečnosť podľa všeobecne záväzných právnych predpisov a interných riadiacich aktov,

1541

* metodicky vedie správcov informačných technológií, gestorov informačných technológií, vlastníkov procesov, vlastníkov aktív, vedúcich zamestnancov a ďalších zodpovedných zamestnancov,

1542

* v súčinnosti s ostatnými organizačnými útvarmi objednávateľa analyzuje, definovať a monitorovať bezpečnostné hrozby a riziká,

1543

* navrhuje opatrenia na zamedzenie alebo minimalizáciu rizík a dopadov hrozieb, bezpečnostných udalostí, incidentov, mimoriadnych situácií, monitoruje plnenie a efektivitu týchto opatrení a vedie evidenciu bezpečnostných incidentov,

1544

* koordinuje vypracovanie plánov kontinuity a obnovy činností,

1545

* predkladá odborné stanoviská, analýzy k procesom, projektom, zmenám a ostatným aktivitám organizácie majúcich vplyv na kybernetickú bezpečnosť a informačnú bezpečnosť,

1546

* navrhuje procesy pre zabezpečenie vzdelávania zamestnancov v oblasti kybernetickej bezpečnosti a informačnej bezpečnosti.

1547

1548

= {{id name="projekt_2785_Projektovy_zamer_detailny-10.ODKAZY"/}}10. ODKAZY =

Žiadne odkazy.

= {{id name="projekt_2785_Projektovy_zamer_detailny-11.PRÍLOHY"/}}11. PRÍLOHY =

1553