projektovy_zamer

Tento dokument je vypracovaný v súlade s Vyhláškou č. 401/2023 Z. z. o riadení projektov a zmenových požiadaviek v prevádzke informačných technológií verejnej správy. Dokument Projektový zámer pre iniciačnú fázu je určený na rozpracovanie informácií k projektu, aby bolo možné rozhodnúť o pokračovaní prípravy projektu, alokovaní rozpočtu, ľudských zdrojov a prechode do realizačnej fázy.

136

137

Ide o detailný projektový zámer k výzve "Podpora v oblasti kybernetickej a informačnej bezpečnosti na regionálnej úrovni – zdravotnícke zariadenia". Účelom dokumentu je rozšíriť spôsobilosti v oblasti informačnej a kybernetickej bezpečnosti a zabezpečiť súlad so zákonom č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov (ďalej ako “zákon o ITVS”) a zákonom č. 69/2018 Z. z. o kybernetickej bezpečnosti (ďalej len „zákon o KB“) v oblasti riadenia informačnej a kybernetickej bezpečnosti (ďalej ako „KIB“).

138

139

Aktuálna situácia v oblasti KIB v Záchrannej službe Košice (ďalej ako „ZS KE“) nie je ideálna. ZS KE nemá implementované všetky riešenia a opatrenia pre zvýšenie úrovne KIB. Z externého pohľadu sa zvyšuje frekvencia a závažnosť bezpečnostných hrozieb a útokov, z interného pohľadu sa zase neustále zvyšuje závislosť na informačných aktívach a IT systémoch. Zvyšujú sa teda bezpečnostné hrozby, výskyt zraniteľnosti a následne aj dopady bezpečnostných incidentov. Realizácia projektu zabezpečí zlepšenie technologického, procesného, infraštruktúrneho, vedomostného a organizačného zabezpečenia zručností, kapacít a spôsobilostí pre plnenie úloh v oblasti KIB.

ZS KE má vykonaný audit kybernetickej bezpečnosti v zmysle platnej právnej úpravy a zároveň na ZS KE prebehla Analýza aktuálneho stavu bezpečnostných opatrení a postupov v organizácii, pričom bolo odhalených niekoľko dôležitých oblastí, ktoré vyžadujú okamžitú pozornosť a zlepšenie. Ide najmä o oblasť riadenia prístupov, riadenia kontinuity činností (ďalej ako „BCM“) a zálohovania.

Hlavným cieľom je zabezpečiť integritu, dostupnosť a dôvernosť informácií organizácie, a to prostredníctvom účinných bezpečnostných opatrení a postupov.

ZSKE nemá implementované požadované požiadavky v niektorých oblastiach KIB z nasledovných dôvodov:

152

153

* nie sú k dispozícii personálne kapacity pre oblasť riadenia KIB a na prevádzku bezpečnostných systémov,

154

* nie sú k dispozícii dostatočné finančné zdroje,

155

* nemáme zavedené všetky procesy riadenia KIB.

Predmetom projektu je realizácia opatrení na zvýšenie úrovne informačnej a kybernetickej bezpečnosti ZS KE, čo chceme naplniť nasledujúcimi podaktivitami:

160

161

* Aktivity ohľadom aktualizácie dokumentácie a nastavenia procesov riadenia KIB:

162

** aktualizácia bezpečnostnej politiky kybernetickej bezpečnosti najmä vo väzbe na opatrenia zavedené týmto projektom,

163

** aktualizácia interných smerníc a politík pre všetky relevantné oblasti riadenia KIB, najmä pre oblasti pokryté opatreniami v rámci tohto projektu.

164

* Analytické aktivity:

165

** aktualizácia identifikácie a evidencie informačných aktív,

166

** aktualizácia klasifikácie informácií a kategorizácie IS a sietí,

167

** aktualizácia analýzy rizík a analýzy dopadov (AR/BIA),

168

** zavedenie procesu formálneho rozhodovania ohľadom riadenia identifikovaných rizík,

169

** na základe výsledkov AR/BIA zadefinovanie stratégie obnovy pre jednotlivé IS,

170

** aktualizácia plánu zálohovania podľa výsledkov AR/BIA.

171

* Implementačné a konfiguračné aktivity bezpečnostných riešení:

172

** zavedenie nástroja na udržiavanie a správu aktív (asset management),

173

** implementácia riešenia pre správu identít a prístupov (IDM), ktorého súčasťou bude aj:

174

*** zavedenie viacfaktorového overovania pre privilegovaných používateľov,

175

*** re-konfigurácia a “hardening” existujúceho AD riešenia,

176

*** zavedenie Network Access Control (NAC) v súlade so štandardom IEEE 802.1x, vrátane autentifikačného servera (RADIUS) a PKI infraštruktúry pre generovanie a distribúciu šifrovacích kľúčov,

177

** implementácia riešenia pre zálohovanie a bezpečné uloženie záloh v inej lokalite (mimo serverovní s primárnou infraštruktúrou) a zladenie procesu s plánom zálohovania navrhnutým na základe výsledkov AR/BIA (RPO definované vlastníkmi aktív).

178

* Pre-financovanie spracovania žiadosti o NFP.

Výsledkom projektu bude aktualizácia základných dokumentov a nastavenie základného rámca a procesov riadenia KIB (tzv. governance), zrealizovaná aktualizácia inventarizácie a klasifikácie aktív a kategorizácie IS, aktualizácia AR/BIA a zavedený formalizovaný proces riadenia rizík, vrátane podpory evidencie a správy aktív SW nástrojom. Okrem toho projekt zabezpečí nasadenie potrebných bezpečnostných nástrojov, najmä pre účely riadenia prístupov, riadenia BCM a zálohovania a pod.

183

184

Po implementácii projektu bude proces už zavedený a vykonávaný internými ľuďmi, predovšetkým manažérom kybernetickej bezpečnosti a pracovníkmi útvaru IT.

Projekt je vypracovaný v súlade s nasledovným typom aktivity: Zlepšovanie technologického, procesného, infraštruktúrneho, vedomostného a organizačného zabezpečenia zručností a kapacít pre plnenie úloh v oblasti KIB v prostredí zdravotníckych zariadení s definovanou hlavnou aktivitou: Realizácia opatrení na zvýšenie úrovne informačnej a kybernetickej bezpečnosti.

Celková žiadaná výška ŽoNFP je 299.300 EUR.

== {{id name="projekt_2813_Projektovy_zamer_detailny-2.2Motiváciaarozsahprojektu"/}}2.2 Motivácia a rozsah projektu ==

Hlavnou motiváciou projektu je zvýšenie úrovne KIB v ZS KE, najmä pripravenosti čeliť interným a externým hrozbám v oblasti KIB. Na rozdiel od súčasného stavu bude ZS KE disponovať výrazne vyššími schopnosťami predchádzať bezpečnostným incidentom súvisiacim najmä s oblasťou riadenia a správy prístupov. Technologické vybavenie bude umožňovať lepšiu ochranu pred útokmi z externého a interného prostredia, ako aj ochranu dát a zároveň bude zabezpečená dostatočná redundancia a bezpečné uloženie systémových záloh a záloh dát.

\\

Medzi hlavné ciele systému riadenia KIB patria:

205

206

* zabezpečenie správnej a bezpečnej prevádzky prostriedkov spracúvajúcich informácie,

207

* monitorovanie prostredia,

208

* riadenie a povoľovanie prístupov len autorizovaným osobám.

\\

Navrhovaný projekt „Podpora v oblasti kybernetickej a informačnej bezpečnosti na regionálnej úrovni – zdravotnícke zariadenia" súvisí najmä s:

213

214

* naplnením povinností definovanými v zákone o KB a zákone o ITVS, najmä opatreniami definovanými v § 20 zákona o KB,

215

* nutnosťou zvýšenia úrovne a schopnosti zabezpečovať a riadiť KIB vzhľadom na sústavne sa zvyšujúce bezpečnostné hrozby a riziká,

216

* nutnosťou reagovať na prípadné bezpečnostné incidenty, napr. ransomware útoky, ktoré sú v poslednej dobe značne rozšírené najmä v oblasti zdravotníctva,

217

* zabezpečením realizácie spoločných blokov bezpečnostnej architektúry v súlade s NKIVS a strategickou prioritou informačnej a kybernetickej bezpečnosti,

218

* ako reakcia na aktuálny nedostatočný stav úrovne vyspelosti procesov riadenia KIB,

219

* ako reakcia na aktuálne zmeny v používaní IT, ako aj závažné útoky v oblasti kybernetickej bezpečnosti.

\\

Projekt rieši nasledovné špecifické problémy v oblasti KIB:

224

225

* Nová legislatíva v oblasti KIB je náročne implementovateľná bez značných investícií a najmä bez potrebných expertných ľudských zdrojov.

226

* Absencia fundovaných ľudí, ale aj vzorov, návodov, metodických usmernení a inštrukcií.

227

* Pravidelnú, povinnú aktualizáciu inventarizácie informačných aktív, klasifikácie a kategorizácie IS a sietí, analýzy rizík a analýzy dopadov aj so zapojením vlastníkov aktív a zabezpečený formalizovaný a opakovaný proces riadenia identifikovaných rizík (ich mitigácie). Ide o aktivity, ktoré sú nevyhnutným a nutným predpokladom pre efektívne riadenie KIB a ďalší rozvoj v tejto oblasti.

228

* Oblasť riadenia prístupov je bez IKT podpory, takže samotné riadenie prístupov je aktuálne zdĺhavé a značne neefektívne, pričom sa zároveň zvyšuje aj pravdepodobnosť výskytu ľudských chýb.

229

* Taktiež nie je zabezpečená multi-faktorová autentifikácia, min. na strane privilegovaných používateľov pri prístupe k informačným systémom v ich správe a rovnako aj autentifikácia zariadení pripojených do siete ZS KE.

230

* Značne neefektívny a nedostatočný z pohľadu bezpečnosti a redundancie záloh je aj proces zálohovania, kedy je potrebné, v prípade bezpečnostného incidentu alebo chyby, bezpečne a spoľahlivo obnoviť informačné systémy a dáta.

\\

Chýbajú bezpečnostné funkcie a opatrenia najmä v oblasti:

235

236

* viac-faktorovej autentifikácie,

237

* autentifikácie zariadení v sieti ZS KE,

238

* riadenia prístupov a identít,

239

* zálohovania a redundancie záloh.

\\

Okrem toho ZS KE nemá dostatočne zabezpečenú serverovňu a HW vybavenie je zastaralé. Sieťová infraštruktúra pre spájanie pobočiek je zabezpečená prostredníctvom VPN siete dodávanej a spravovanej externým dodávateľom (v čase podania projektu spoločnosťou Slovanet). ZS KE prevádzkuje v riaditeľstve a na centrále vlastnú lokálnu počítačovú sieť s nízkou úrovňou segmentácie siete. Jej komponenty sú však zastarané a bez podpory.

\\

Rovnako chýbajú ľudské zdroje pre celkové riadenie KIB ale najmä pre oblasti:

248

249

* konsolidácie logov a auditných záznamov,

250

* analyzovanie bezpečnostných udalostí a incidentov v režime 24/7 a ich vyhodnocovanie,

251

* riešenie bezpečnostných incidentov,

252

* obnova systémov do pôvodného stavu v prípade výskytu incidentu alebo poruchy systémov.

\\

**Informačné systémy v správe ZSKE:**

257

258

* Garis ERP (Enterprise resource planing) – účtovný ekonomický software. V implementácii je aj personalistický a mzdový modul.

259

* PROMIS Doprava - kľúčový systém, v ktorom sú zhromaždené dáta pre vykazovanie zdravotnej starostlivosti na zdravotné poisťovne.

260

* WEB, intranet interná sekcia – systém na zápis záznamu služby.

\\

__Implementácia projektu bude prebiehať v nasledovných krokoch:__

__ __

**__Hlavná aktivita: __Realizácia opatrení na zvýšenie úrovne informačnej a kybernetickej bezpečnosti**

\\

Jednotlivé pod-aktivity v rámci implementácie projektu:

273

274

* **Analýza a dizajn bude obsahovať:**

275

* konzultačné a analytické práce spojené s identifikáciou možností realizácie, potrebných zdrojov a riešení,

276

* identifikáciu a analýzu rolí, procesov a integrácii,

277

* funkčnú a nefunkčnú špecifikáciu celého riešenia,

278

* definíciu všetkých manažérskych a špecializovaných produktov spolu s akceptačnými kritériami.

\\

* **Nákup HW a prípadne aj krabicového SW pozostáva z nákupu hardvérového a softvérového vybavenia**

283

* Nástroj na evidenciu aktív (asset management).

284

* Nástroj na riadenie identít a prístupov (IDM) vrátane:

285

** SW vybavenia pre MFA pre „privilegovaných používateľov“.

286

** SW vybavenia pre NAC (autentifikačný server a PKI).

287

* Nástroja pre riešenie zálohovania a ukladanie záloh.

288

* Potrebného HW vybavenia.

\\

* **Implementácia bude obsahovať:**

293

* implementáciu a nastavenie jednotlivých technických služieb,

294

* implementácia bezpečnostných opatrení,

295

* implementácia proaktívnych a reaktívnych služieb,

296

* obvyklé testovanie celého riešenia popri implementácii,

297

* zladenie interných procesov riešenia zálohovania s plánom zálohovania vytvoreným na základe výsledkov AR/BIA (RPO definované vlastníkmi aktív).

\\

* **Testovanie obsahuje**:

302

* testovanie funkcionality riešenia,

303

* vulnerability testovanie,

304

* testovanie integrácii,

305

* pilotnú prevádzku,

306

* akceptačné testovanie.

\\

* **Nasadenie obsahuje:**

311

* nasadenie riešenia do produkčného prostredia, zaškolenie pre celé riešenie

312

* prechod na plnú prevádzku.

\\

* **Podporná aktivita** – Projektový manažér interný/externý na riadenie hlavných aktivít projektu.

\\

* **Podporná aktivita – Publicita a informovanosť** vzhľadom na povahu projektu obsahuje iba povinné položky, t. j. umiestnenie trvalo vysvetľujúcej tabule a dočasný veľkoplošný pútač

\\

== {{id name="projekt_2813_Projektovy_zamer_detailny-2.3Zainteresovanéstrany/Stakeholderi"/}}2.3 Zainteresované strany/Stakeholderi ==

\\

(% class="" %)|(((

ID

)))|(((

AKTÉR / STAKEHOLDER

)))|(((

SUBJEKT

(názov / skratka)

)))|(((

ROLA

(vlastník procesu/ vlastník dát/zákazník/ užívateľ …. člen tímu atď.)

)))|(((

Informačný systém

(MetaIS kód a názov ISVS)

)))

(% class="" %)|(((

1.

)))|(((

Záchranná služba Košice

)))|(((

ZSKE

)))|(((

Používateľ opatrení na zvýšenie úrovne informačnej a kybernetickej bezpečnosti

)))|(((

-

)))

\\

\\

== {{id name="projekt_2813_Projektovy_zamer_detailny-2.4Cieleprojektu"/}}2.4 Ciele projektu ==

(% class="" %)|(((

ID

)))|(((

Názov cieľa

)))|(((

Názov strategického cieľa

377

)))|(((

378

Spôsob realizácie strategického cieľa

)))

(% class="" %)|(((

1

)))|(((

RSO 1.2 Využívanie prínosov digitalizácie pre občanov, podniky, výskumné organizácie a orgány verejnej správy

384

)))|(((

385

Zlepšovanie technologického, procesného, infraštruktúrneho, vedomostného a organizačného zabezpečenia zručností a kapacít pre plnenie úloh v oblasti KIB v prostredí orgánov štátnej a verejnej správy.

386

)))|(((

387

Implementácia projektu

)))

**~ **

**~ **

== {{id name="projekt_2813_Projektovy_zamer_detailny-2.5Merateľnéukazovatele(KPI)"/}}2.5 Merateľné ukazovatele (KPI) ==

\\

(% class="" %)|(((

ID

)))|(((

ID/Názov cieľa

)))|(((

Názov

ukazovateľa (KPI)

)))|(((

Merná jednotka

\\

)))|(((

Čas plnenia

merateľného

ukazovateľa projektu

)))|(((

závislosti

merateľného

ukazovateľa

projektu)

)))|(((

Príznak rizika

)))|(((

Relevancia

k HP

)))

(% class="" %)|(((

VÝSTUP

PO095 / PSKPSOI12

)))|(((

RSO 1.2 Využívanie prínosov digitalizácie pre občanov, podniky, výskumné organizácie a orgány verejnej správy

439

)))|(((

440

Verejné inštitúcie podporované v

441

442

rozvoji kybernetických služieb,

produktov a procesov

)))|(((

verejné inštitúcie

)))|(((

ku koncu realizácie

hlavných aktivít

projektu

)))|(((

1

)))|(((

nie

)))|(((

n/a

)))

(% class="" %)|(((

VÝSLEDOK

PR017 / PSKPRCR11

)))|(((

RSO 1.2 Využívanie prínosov digitalizácie pre občanov, podniky, výskumné organizácie a orgány verejnej správy

466

)))|(((

467

Používatelia nových a vylepšených

468

469

verejných digitálnych služieb,

produktov a procesov

)))|(((

Používatelia/rok

)))|(((

v rámci udržateľnosti

projektu

)))|(((

150

)))|(((

nie

)))|(((

n/a

)))

== {{id name="projekt_2813_Projektovy_zamer_detailny-2.6Rizikáazávislosti"/}}2.6 Riziká a závislosti ==

Riziká sa nachádzajú v samostatnej prílohe.

== {{id name="projekt_2813_Projektovy_zamer_detailny-2.7Stanoveniealternatívvbiznisovejvrstvearchitektúry"/}}2.7 Stanovenie alternatív v biznisovej vrstve architektúry ==

V rámci biznis architektúry sú popísané služby, ktoré by v zmysle § 20 zákona o KB, mali byť implementované za účelom vytvorenia efektívneho a spoľahlivého systému kybernetickej ochrany IS a implementácie bezpečnostných opatrení vyžadovaných zákonom o KB. Na základe tohto projektu sa implementujú služby bezpečnosti definované v § 20 zákona o KB, resp. zefektívnia sa existujúce postupy a opatrenia, a tým sa zvýši úroveň KIB a zabezpečí sa súlad s legislatívnymi požiadavkami.

503

504

Cieľom tohto projektu je implementovať systém riadenia KIB a bezpečnostné opatrenia v súlade so zákonom o KB, a to hlavne:

505

506

* zvýšením úrovne governance a vyspelosti procesov riadenia KIB,

507

* zvýšením ochrany pred útokmi z externého, ale aj interného prostredia,

508

* zvýšením schopnosti detekcie a reakcie na škodlivé aktivity a bezpečnostné incidenty,

509

* zvýšením úrovne ochrany dát, dátových prenosov a komunikácie,

510

* zvýšením schopnosti proaktívne identifikovať možné zraniteľnosti prevádzkovaných systémov.

511

512

Bez implementácie governance, procesov a analýzy rizík nie je možné efektívne riadiť informačnú a kybernetickú bezpečnosť a zabezpečiť efektívne vynakladanie prostriedkov na IKIB a nie je možné efektívne implementovať ďalšie, dodatočné bezpečnostné opatrenia, riešenia a systémy ochrany.

\\

__Alternatívy riešenia sú nasledovné__:

517

518

**Alternatíva 1:** realizácia KIB** **v rámci tohto projektu.

519

520

**Alternatíva 2:** ponechanie realizácie bezpečnostných opatrení a rozvoja KIB v rámci zdrojov, kapacít a rozpočtu organizácie, čo predstavuje realizáciu za veľmi dlhý čas a najmä aktuálny nedostatok ľudských zdrojov na implementáciu všetkých potrebných bezpečnostných riešení.

\\

Projekt Podpora v oblasti kybernetickej a informačnej bezpečnosti na regionálnej úrovni – zdravotnícke zariadenia na úrovni biznis architektúry v súlade s Alternatívou A bude pozostávať z nasledovných biznis funkcií, ktoré budú realizovať nižšie uvedené procesy:

525

526

* Riadenie aktív a riadenie rizík.

527

** Proces evidencie a správy aktív.

528

** Proces klasifikácie informácií a kategorizácie IS a sietí.

529

** Proces realizácie AR/BIA.

530

** Proces rozhodovania ohľadom riadenia identifikovaných rizík.

531

* Riadenie prístupov.

532

** Proces riadenia identít a prístupov.

533

** Proces bezpečného prístupu a viac-faktorovej autentifikácie pri prístupe privilegovaných používateľov k správe IS.

534

** Proces autentifikácie a prístupu k sieti len autorizovaných zariadení.

535

* Riadenie kontinuity činností.

536

** Proces zálohovania.

537

** Proces ochrany a redundancie záloh.

\\

Okrem uvedených biznis funkcií je projekt zameraný aj na podporu pre oblasti:

542

543

* governance KIB a bezpečnostná dokumentácia,

544

* zavedenie procesov riadenia KIB pre všetky relevantné oblasti riadenia.

V alternatíve B odhadujeme, že za rovnaký čas (trvanie projektu) a z aktuálne dostupnými technickými prostriedkami a ľudskými zdrojmi by ZS KE bola schopná zrealizovať a do praxe implementovať len nasledovné biznis funkcie:

549

550

* Riadenie aktív a riadenie rizík.

\\

Implementácia len tejto biznis funkcie je z pohľadu zabezpečenia ochrany informačných aktív ZS KE a naplnenia legislatívnych požiadaviek absolútne nepostačujúca.

\\

\\

== {{id name="projekt_2813_Projektovy_zamer_detailny-2.8Multikriteriálnaanalýza"/}}2.8 Multikriteriálna analýza ==

(% class="" %)|(((

**// //**

)))|(((

KRITÉRIUM

)))|(((

ZDÔVODNENIE KRIÉRIA

)))|(((

MIRRI (výzva)

)))|(((

Organizácia

)))|(((

STAKEHOLDER

3

)))

(% class="" %)|(% rowspan="6" %)(((

BIZNIS VRSTVA

// //

)))|(((

A Súlad s legislatívou a zabezpečenie legislatívnych požiadaviek čo najjednoduchším riešením.

587

)))|(((

588

Je potrebné naplniť požiadavky zákonov 69/2018 Z. z. a 95/2019 Z. z., čo najefektívnejšie

)))|(((

áno

)))|(((

áno

)))|(((

\\

)))

(% class="" %)|(((

B Rýchlosť implementácie.

598

)))|(((

599

Z pohľadu zákona 69/2018 Z. z. je potrebné implementáciu stihnúť čo najskôr

)))|(((

áno

)))|(((

nie

)))|(((

\\

)))

(% class="" %)|(((

C Nízka náročnosť implementácie z pohľadu ľudských zdrojov a času

609

)))|(((

610

Vzhľadom na stav ľudských zdrojov je potrebné projekt navrhnúť tak, aby mal čo najmenšiu náročnosť na ľudské zdroje

)))|(((

áno

)))|(((

nie

)))|(((

\\

)))

(% class="" %)|(((

Kritérium D (KO)

)))|(((

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))

(% class="" %)|(((

Kritérium E

)))|(((

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))

(% class="" %)|(((

Kritérium F

)))|(((

)))|(((

\\

)))|(((

\\

)))|(((

\\

)))

\\

(% class="" %)|(((

Zoznam kritérií

)))|(((

Alternatíva

1

)))|(((

Spôsob

dosiahnutia

)))|(((

Alternatíva 2

)))|(((

Spôsob

dosiahnutia

)))

(% class="" %)|(((

Kritérium A

)))|(((

áno

)))|(((

Projekt zavádza procesy Governance v oblasti KIB

)))|(((

čiastočne

)))|(((

)))

(% class="" %)|(((

Kritérium B

)))|(((

áno

)))|(((

Realizácia výzvy je najrýchlejšou možnosťou implementácie

)))|(((

nie

)))|(((

)))

(% class="" %)|(((

Kritérium C

)))|(((

áno

)))|(((

Projekty budú realizované formou dodávky a budú minimalizovať nároky na interné ľudské zdroje

)))|(((

nie

)))|(((

)))

(% class="" %)|(((

Kritérium D

)))|(((

)))|(((

)))|(((

)))|(((

)))

Na základe vyhodnotenia MCA analýzy je možné konštatovať, že najvýhodnejšou alternatívou je alt. 1 - realizácia KIB v rámci tohto projektu.

// //

== {{id name="projekt_2813_Projektovy_zamer_detailny-2.9Stanoveniealternatívvaplikačnejvrstvearchitektúry"/}}2.9 Stanovenie alternatív v aplikačnej vrstve architektúry ==

725

726

Na základe výberu Alternatívy A pre naplnenie cieľov projektu je nevyhnutné nastavenie procesov pre riadenie a kontinuálne zvyšovanie úrovne informačnej a kybernetickej bezpečnosti ZSKE.

Z pohľadu aplikačnej vrstvy architektúry je účelom projektu:

731

732

* implementácia preventívnych služieb, ktorých cieľom je ochrana kybernetického priestoru s cieľom zamedziť narušeniu z vnútorného, alebo vonkajšieho prostredia,

733

* budovanie reaktívnych služieb za účelom identifikácie (preventívne služby) a riešenia (reaktívne služby) kybernetických bezpečnostných incidentov.

**Preventívne služby budú zamerané na prevenciu kybernetických bezpečnostných incidentov a budú sa skladať z týchto procesov a funkcií:**

738

739

* vytváranie bezpečnostného povedomia,

740

* vzdelávanie zamestnancov a správcov IS v oblasti kybernetickej bezpečnosti,

741

* technologický dozor,

742

* vykonávanie bezpečnostných auditov,

743

* poskytovanie informácií a údajov do jednotného informačného systému kybernetickej bezpečnosti a prijímanie a zasielanie včasného varovania pred bezpečnostnými incidentmi,

744

* riadenie identít a prístupov,

745

* vykonávanie pravidelného hardeningu a aktualizácie infraštruktúry a softvérového vybavenia.

**Reaktívne služby pre bezpečnostný monitoring budú zamerané na riešenie kybernetických bezpečnostných incidentov a budú vykonávané prostredníctvom nasledujúcich procesov a funkcií:**

750

751

* obnova systémov a dát zo záloh,

752

* návrh opatrení na zabránenie ďalšiemu pokračovaniu, šíreniu a opakovanému výskytu kybernetických bezpečnostných incidentov.

Aplikačná architektúra bude pre jednotlivé biznis funkcie, uvedené v časti biznis architektúry, tvorená nasledovnými aplikačnými modulmi:

757

758

* Riadenie aktív a riadenie rizík.

759

** Implementácia nástroja na evidenciu aktív (asset management).

760

* Riadenie prístupov.

761

** Implementácia IDM vrátane 2FA:

762

*** Zavedenie 2FA pre privilegovaných používateľov pre prístup k IS a zariadeniam.

763

*** Zavedenie autentifikácie zariadení v sieti ZS KE.

764

** Riadenie kontinuity činností.

765

*** Implementácia nástroja pre zálohovanie.

766

*** Implementácia úložiska záloh mimo priestorov umiestnenia primárnej technológie (princíp 3-2-1).

== {{id name="projekt_2813_Projektovy_zamer_detailny-2.10Stanoveniealternatívvtechnologickejvrstvearchitektúry"/}}2.10 Stanovenie alternatív v technologickej vrstve architektúry ==

771

772

Ciele projektu a súlad s platnou legislatívou KIB je možné naplniť iba výberom Alternatívy A, ktorá z pohľadu technologickej vrstvy znamená implementáciu požiadaviek.

// //

= {{id name="projekt_2813_Projektovy_zamer_detailny-3.POŽADOVANÉVÝSTUPY(PRODUKTPROJEKTU)"/}}3. POŽADOVANÉ VÝSTUPY (PRODUKT PROJEKTU) =

(% class="" %)|(((

**ID**

)))|(((

**Aktivita/prevádzková dokumentácia (výstup)**

)))|(((

**Poznámka**

)))

(% class="" %)|(((

1.1

)))|(((

Aktualizácia smerníc a prevádzkovej dokumentácie riadenia informačnej bezpečnosti a kybernetickej bezpečnosti

791

)))|(((

792

Výstupom aktivity budú aktualizované nasledovné smernice a dokumenty, najmä vo väzbe na implementované technické bezpečnostné riešenia uvedené nižšie v bodoch 2.1 až 2.3:

793

794

· Smernica riadenia prístupových práv a postupy multi-faktorovej autentifikácie.

795

796

· Plán zálohovania (na základe výsledkov RPO v aktivite 1.2) a smernica ohľadom postupov zálohovania.

797

798

· Definovanie stratégie obnovy (na základe výsledkov RTO v aktivite 1.2).

799

800

· Stratégia kybernetickej bezpečnosti.

801

802

· Bezpečnostná politika.

803

804

· Bezpečnostná smernica pre používateľov.

805

806

· Smernica o bezpečnej prevádzke IS pre administrátorov.

807

808

· Smernica pre riadenie informačnej bezpečnosti.

809

810

· Smernica pre riadenie aktív a rizík, vrátane AR/BIA metodiky vytvorenej a v súlade s NBÚ metodikou a prispôsobenej podmienkam ZSKE.

811

812

· Smernica klasifikácie a kategorizácie IS a sietí.

813

814

· Smernica ohľadom bezpečnostných požiadaviek pre obstarávanie nových IS.

)))

(% class="" %)|(((

1.2

)))|(((

Aktualizácia inventarizácie aktív, klasifikácie, kategorizácie a AR/BIA

820

)))|(((

821

Vykonanie povinnej a pravidelnej (raz ročne) aktualizácie inventarizácie aktív, klasifikácie aktív, kategorizácie IS a sietí a analýzy rizík a analýzy dopadov (AR/BIA) aj so zapojením vlastníkov aktív. Súčasťou analýzy bude aj určenie RTO a RPO parametrov vlastníkmi aktív a zadefinovanie stratégie obnovy pre jednotlivé IS na základe RTO a plánu zálohovania na základe RPO. Predmetom dodávky bude aj vytvorenie katalógu rizík a podpora pri procese jeho formálneho schvaľovania vedením ZS KE.

)))

(% class="" %)|(((

2.1

)))|(((

Nástroj na udržiavanie a správu aktív (asset management tool)

827

)))|(((

828

Informačný nástroj na efektívne udržiavanie aktuálneho zoznamu informačných aktív, napr. formou CMDB databázy.

)))

(% class="" %)|(((

2.2

)))|(((

Nástroj na riadenie identít a prístupov

834

)))|(((

835

Centrálny nástroj na riadenie všetkých identít (používateľov IKT ZS KE – cca 750 používateľov) a najmä riadenie (prideľovanie, zmena, odoberanie) prístupov do IS v správe ZS KE. Súčasťou riešenia bude aj:

836

837

· re-konfigurácia a “hardening” existujúceho AD riešenia,

838

839

· SW vybavenie pre multi-faktorovú autentifikáciu privilegovaných používateľov k správe IS (cca 50 privilegovaných používateľov),

840

841

· technologické vybavenie pre autentifikáciu zariadení v sieti ZSKE (802.1x) pre cca 500 zariadení, najmä autentifikačný server (RADIUS) a PKI infraštruktúra pre generovanie a distribúciu šifrovacích kľúčov.

)))

(% class="" %)|(((

2.3

)))|(((

Nasadenie nástroja na zálohovanie a uloženie záloh

847

)))|(((

848

Nasadenie nástroja pre manažovanie a automatické spúšťanie inkrementálnych a plných („full backup“) záloh systémov a dát a rovnako aj technologické vybavenie pre bezpečné uloženie záloh v primárnej lokalite a zároveň aj v inej lokalite mimo primárnych systémov formou automatickej replikácie záloh do tejto vzdialenej lokality.

)))

= {{id name="projekt_2813_Projektovy_zamer_detailny-4.NÁHĽADARCHITEKTÚRY"/}}4. NÁHĽAD ARCHITEKTÚRY =

Náhľad architektúry sa nachádza v dokumente Prístup k projektu.

= {{id name="projekt_2813_Projektovy_zamer_detailny-5.ROZPOČETAPRÍNOSY"/}}5. ROZPOČET A PRÍNOSY =

Prínosy projektu sú vypočítané na základe zákona o KB, kde zákonodarca priamo v § 31 ods. 2, písm. c) ohodnotil porušenie niektorých povinností pokutou do 1 percenta obratu, maximálne 300 000 EUR. Vzhľadom na zmeny v bezpečnostnom prostredí (zvýšenie frekvencií útokov, zraniteľností ako aj dopadov) je dôvodné predpokladať, že dnes by zákonodarca toto hodnotenie ešte zvýšil. Z tohto dôvodu považujeme za hodnotu "non-compliance" práve 300 000 EUR.

Túto hodnotu je možné považovať za minimálny prínos, nakoľko je možné uvažovať aj tým smerom, že bez implementácie riadenia informačnej a kybernetickej bezpečnosti hrozí riziko, že investície do tejto oblasti skončia bez zavedených procesov (a tým pádom nebudú ani zďaleka dosahovať svoj potenciál).

870

871

Tento prínos by však bol náročne objektívne ohodnotiteľný, preto zostávame pri hodnotení stanovenom zákonodarcom.

== {{id name="projekt_2813_Projektovy_zamer_detailny-5.1Sumarizácianákladovaprínosov"/}}5.1 Sumarizácia nákladov a prínosov ==

(% class="" %)|(((

Náklady

)))|(((

Názov modulu

)))|(((

Názov modulu

)))|(((

Názov modulu

)))

(% class="" %)|(((

**Všeobecný materiál**

890

)))|(((

891

Nástroj na udržiavanie a správu aktív (asset management tool)

892

)))|(((

893

Nástroj na riadenie identít a prístupov

894

)))|(((

895

Nástroj na zálohovanie a uloženie záloh

)))

(% class="" %)|(((

**IT - CAPEX**

)))|(((

32.887 EUR

)))|(((

28.080 EUR

)))|(((

202.446 EUR

)))

(% class="" %)|(((

Aplikácie

)))|(((

\\

)))|(((

\\

)))|(((

// //

)))

(% class="" %)|(((

SW

)))|(((

\\

)))|(((

\\

)))|(((

// //

)))

(% class="" %)|(((

HW

)))|(((

\\

)))|(((

\\

)))|(((

// //

)))

(% class="" %)|(((

**IT - OPEX- prevádzka**

)))|(((

50 EUR

)))|(((

2400 EUR

)))|(((

2000 EUR

)))

(% class="" %)|(((

Aplikácie

)))|(((

\\

)))|(((

\\

)))|(((

// //

)))

(% class="" %)|(((

SW

)))|(((

\\

)))|(((

\\

)))|(((

// //

)))

(% class="" %)|(((

HW

)))|(((

\\

)))|(((

\\

)))|(((

// //

)))

= {{id name="projekt_2813_Projektovy_zamer_detailny-6.HARMONOGRAMJEDNOTLIVÝCHFÁZPROJEKTUaMETÓDAJEHORIADENIA"/}}6. HARMONOGRAM JEDNOTLIVÝCH FÁZ PROJEKTU a METÓDA JEHO RIADENIA =

(% class="" %)|(((

ID

)))|(((

FÁZA/AKTIVITA

)))|(((

ZAČIATOK

(odhad termínu)

)))|(((

KONIEC

(odhad termínu)

)))

(% class="" %)|(((

1.

)))|(((

Prípravná fáza a Iniciačná fáza

)))|(((

06/2024

)))|(((

10/2024

)))

(% class="" %)|(((

2.

)))|(((

Realizačná fáza

)))|(((

11/2024

)))|(((

04/2026

)))

(% class="" %)|(((

2a

)))|(((

Analýza a Dizajn

)))|(((

11/2024

)))|(((

04/2025

)))

(% class="" %)|(((

2b

)))|(((

Nákup technických prostriedkov, programových prostriedkov a služieb

)))|(((

01/2025

)))|(((

06/2025

)))

(% class="" %)|(((

2c

)))|(((

Implementácia a testovanie

)))|(((

05/2025

)))|(((

12/2025

)))

(% class="" %)|(((

2d

)))|(((

Nasadenie

)))|(((

11/2025

)))|(((

02/2026

)))

(% class="" %)|(((

3.

)))|(((

Dokončovacia fáza

)))|(((

01/2026

)))|(((

04/2026

)))

(% class="" %)|(((

4.

)))|(((

Podpora prevádzky (SLA)

)))|(((

04/2026

)))|(((

04/2030

)))

\\

,

// //

// //

\\

= {{id name="projekt_2813_Projektovy_zamer_detailny-7.PROJEKTOVÝTÍM"/}}7. PROJEKTOVÝ TÍM =

Zostavuje sa **Riadiaci výbor (RV),** v minimálnom zložení:

Predseda RV

Biznis vlastník

Zástupca prevádzky

Zástupca dodávateľa (dopĺňa sa až po VO / voliteľný člen)

1087

1088

Projektový manažér objednávateľa (PM)

\\

\\

\\

(% class="" %)|(((

ID

)))|(((

Meno a Priezvisko

)))|(((

Pozícia

)))|(((

Rola v projekte

)))

(% class="" %)|(((

1.

)))|(((

Erik Bašista

)))|(((

odborný zamestnanec

)))|(((

Projektový manažér

)))

(% class="" %)|(((

2.

)))|(((

Tomáš Tomčík

)))|(((

odborný zamestnanec IT

)))|(((

Systémový manažér

)))

(% class="" %)|(((

3.

)))|(((

Pavol Sokol

)))|(((

odborný zamestnanec IT

1129

)))|(((

1130

Manažér kybernetickej bezpečnosti

)))

\\

== {{id name="projekt_2813_Projektovy_zamer_detailny-7.1PRACOVNÉNÁPLNE"/}}7.1 PRACOVNÉ NÁPLNE ==

__Riadiaci výbor projektu budú tvoriť:__

1140

1141

Členovia Riadiaceho výboru s hlasovacím právom:

1142

1143

* predseda Riadiaceho výboru projektu

1144

* manažér kybernetickej bezpečnosti objednávateľa (biznis vlastník), môže byť totožný s predsedom RV,

* zástupca prevádzky

\\

Členovia Riadiaceho výboru bez hlasovacieho práva:

1150

1151

* projektový manažér prijímateľa

1152

* projektový manažér dodávateľa

1153

* zástupca dodávateľa

\\

Určenie zodpovednosti členov Riadiaceho výboru

1158

1159

Hlavným záujmom a zodpovednosťou predsedu Riadiaceho výboru projektu je:

1160

1161

* celkovo zodpovedať za projekt,

1162

* kontrolovať súlad projektu a projektových cieľov so strategickými cieľmi,

1163

* zabezpečiť a udržať finančné a personálne krytie realizácie projektu,

1164

* zabezpečiť nákladovo prijateľný prístup v projekte,

1165

1166

Hlavným záujmom a zodpovednosťou biznis vlastníka je:

1167

1168

* schválenie funkčných a technických požiadaviek alebo ich zmien, potreby, obsahu, kvalitatívnych a kvantitatívnych prínosov projektu,

1169

* definovanie očakávaní na kvalitu projektu, kritérií kvality projektových produktov, prínosov pre koncových používateľov a požiadaviek na

1170

* bezpečnosť,

1171

* definovanie merateľných výkonnostných ukazovateľov projektov a prvkov,

1172

* schválenie akceptačných kritérií,

1173

* odsúhlasenie spustenia výstupov projektu do produkčnej prevádzky,

1174

* dostupnosť ľudských zdrojov alokovaných na realizáciu projektu

1175

1176

Hlavným záujmom a zodpovednosťou zástupcu dodávateľa je:

1177

1178

* návrh riešenia, vytvorenie, vývoj, implementáciu, otestovanie a nasadenie projektových produktov,

1179

* zodpovedá za plnenie a dodávku predmetu projektu v zmluvne dohodnutom rozsahu, čase, kvalite a nákladoch,

.

= {{id name="projekt_2813_Projektovy_zamer_detailny-8.Legislatíva"/}}8. Legislatíva =

1184

1185

V rámci platnej legislatívy nie je nutná zmeny legislatívy.

Projekt je realizovaný za účelom dosiahnutia súladu s platnou legislatívou, najmä s:

Zákonom č.69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov,

1194

1195

Zákonom č.95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov,

1196

1197

Vyhláškou č.401/2023 Z. z. o riadení projektov a zmenových požiadaviek v prevádzke informačných technológií verejnej správy,

1198

1199

Vyhláškou č.78/2020 Z. z. o štandardoch pre ITVS,

1200

1201

Vyhláškou č.179/2020 Z. z. o obsahu bezpečnostných opatrení ITVS,

1202

1203

Vyhláškou 362/2018 Z .z. o obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení).

1204

1205

= {{id name="projekt_2813_Projektovy_zamer_detailny-9.PRÍLOHY"/}}9. PRÍLOHY =

**Príloha: **Zoznam rizík a závislostí (Excel)

1210

1211

**Príloha:** Katalóg požiadaviek

// //

Wiki zdrojový kód pre projektovy_zamer