projekt_2823_Pristup_k_projektu_detailny

OPIS NAVRHOVANÉHO RIEŠENIA

V rámci predloženého projektu sú navrhované nasledovné riešenia:

Čiastková aktivita a) Organizácia KB,

Na základe zistených nedostatkov v oblasti riadenia kybernetickej a informačnej bezpečnosti v organizácii sa určuje nasledovný cieľový stav:

1. Komplexná bezpečnostná dokumentácia bude novo vypracovaná, pričom zohľadňuje predchádzajúcu dokumentáciu a jej aktualizácie vrátane rozsahu a metód dodržiavania všeobecných bezpečnostných opatrení.
2. Budú novo sa vyvinuté a implementované špecifické interné riadiace akty pre vybrané oblasti kybernetickej a informačnej bezpečnosti.
3. Bude aktualizovaný stav bezpečnostného výboru organizácie.
4. Bude vypracovaný bezpečnostný projekt komplexnej ochrany informačného systému verejnej správy.

Čiastková činnosť b) Softvér na automatizované riadenie rizík KB,

Na základe zistených nedostatkov v oblasti riadenia rizík kybernetickej a informačnej bezpečnosti v organizácii sa určuje nasledovný cieľový stav:

1. Všetky aktíva súvisiace so spracovaním informácií a centrálnym inventárnym záznamovým zariadením budú identifikované ich hodnotou a s označením ich vlastníka, ktorý definuje ich požiadavky na dôvernosť, dostupnosť a integritu (EAM).
2. Riadenie rizík bude automatizované pomocou nástroja, pozostávajúce z identifikácie zraniteľnosti, identifikácie hrozieb, identifikácie rizík a analýzy rizík s ohľadom na aktíva, určenia vlastníka rizika a implementácie organizačných a technických bezpečnostných opatrení, funkčnej analýzy dopadov a pravidelného prehodnocovania identifikovaných rizík v závislosti od aktualizácie prijatých bezpečnostných opatrení.
3. Bude implementovaný automatizovaný systém správy a registrácie pre inventarizáciu majetku (EAM/).
4. Bude implementovaný automatizovaný systém riadenia a registrácie pre katalogizáciu hrozieb.
   •
   Bude zavedený sa automatizovaný systém riadenia a registrácie pre katalogizáciu rizík a opatrení.

- Sú identifikované všetky aktíva súvisiace so zariadením na spracovanie informácií a centrálne zaznamenávanie inventára týchto aktív podľa ich hodnoty a s určením ich vlastníka, ktorý definuje požiadavky na ich dôvernosť, dostupnosť a integritu (EAM).
- Sú automatizovane pomocou nástroja riadené riziká skladajúce sa z identifikácie zraniteľností, identifikácie hrozieb, identifikácie rizík a analýzy rizík s ohľadom na aktíva, určenie vlastníka rizika a implementácie organizačných a technických bezpečnostných opatrení, analýzy funkčného dopadu a pravidelného preskúmavania identifikovaných rizík v závislosti od aktualizácií prijatých bezpečnostných opatrení.

- Je implementovaný automatizovaný riadiaci a evidenčný systém pre inventarizáciu aktív (EAM/GRC).
- Je implementovaný automatizovaný riadiaci a evidenčný systém pre katalogizáciu hrozieb (GRC).
- Je implementovaný automatizovaný riadiaci a evidenčný systém pre katalogizáciu rizík a opatrení (GRC).- predpokladaná prácnosť v človekodňoch: 80

Nástroj na riadenie zistených aktív a rizík bude poskytovať nasledujúce funkcionality:
- Evidenciu aktív, rizík i hrozieb,
- Automatické hodnotenie a kalkulácia rizík a hrozieb,
- Zvládanie opatrení navrhnutá softvérovo,
- Automatická detekcia znižovania rizík a rekvalifikácia pôvodných aktív a hrozieb,
- Automatické generovanie podkladov pre audit,
- Integrácia s ostatnými systémami pre automatické zakladanie aktív,
- Podpora štandardov ISO27001, KyBe (NIS2), TISAX, DORA,
- Generovanie dokumentov ZHR, POA a PZR pre audit,
- Notifikácia opatrení.

Čiastková činnosť c) Personálna bezpečnosť,

Na základe zistených nedostatkov v oblasti personálnej bezpečnosti v organizácii je stanovený nasledovný cieľový stav:

1. Bude vyvinutý postup na priradenie osoby k jednej z rolí zabezpečenia
2. Bude zavedený plán na rozvoj bezpečnostného povedomia a vzdelávania
3. Bude vyvinutá metóda hodnotenia účinnosti rozvojového plánu bezpečnostného povedomia
4. Budú určené pravidlá a postupy pri riešení porušení bezpečnostnej politiky
5. Budú zavedené postupy na ukončenie pracovného pomeru
6. Budú zavedené postupy pre prípady porušenia bezpečnostných politík
7. Bude vypracovaný a aktualizovaný akt vnútorného riadenia s bezpečnostnými zásadami pre koncových používateľov
8. Postupy a procesy, ktorými sa riadi personálna bezpečnosť organizácie, budú vypracované a implementované prostredníctvom interného riadiaceho aktu.
9. Bude vyhotovený automatizovaný systém riadenia a evidencie pre prácu s organizačnou štruktúrou je implementovaný s prepojením na technické získavanie existujúcich informácií z dostupných technických zdrojov – najmä MS AD.