Povinná osoba

Mesto Stará Ľubovňa  

Názov projektu

Podpora v oblasti kybernetickej a informačnej bezpečnosti na regionálnej úrovni – Mesto Stará Ľubovňa

Zodpovedná osoba za projekt

Ing. Miriama Varcholová

Realizátor projektu

Mesto Stará Ľubovňa

Vlastník projektu

Mesto Stará Ľubovňa

Položka

Meno a priezvisko

Organizácia

Pracovná pozícia

Dátum

Podpis

(alebo elektronický súhlas)

Vypracoval

 Mgr. František Grich

Mesto Stará Ľubovňa

Útvar prednostu mesta-IT

18.6.2024

Verzia

Dátum

Zmeny

Meno

0.1

18.6.2024

Pracovný návrh

Mgr. František Grich

0.2

21.6.2024

Zapracovanie súladu s vyhláškou č. 401/2023 Z. z.

Mgr. František Grich

0.3

24.6.2024

Zapracovanie pripomienok

Mgr. František Grich

0.4

0.5

ID

AKTÉR / STAKEHOLDER

SUBJEKT

(názov / skratka)

ROLA

(vlastník procesu/ vlastník dát/zákazník/ užívateľ …. člen tímu atď.)

Informačný systém

(MetaIS kód a názov ISVS)

1.

Mesto Stará Ľubovňa

Mesto Stará Ľubovňa

Používateľ opatrení na zvýšenie úrovne informačnej a kybernetickej bezpečnosti

NA

ID

Názov cieľa

Názov strategického cieľa

Spôsob realizácie strategického cieľa

1

RSO 1.2 Využívanie prínosov digitalizácie pre občanov, podniky, výskumné organizácie a orgány verejnej správy

Zlepšovanie technologického, procesného, infraštruktúrneho, vedomostného a organizačného zabezpečenia zručností a kapacít pre plnenie úloh v oblasti KIB v prostredí orgánov štátnej a verejnej správy.

Implementácia projektu

ID

ID/Názov cieľa

Názov
ukazovateľa (KPI)

Merná jednotka
 

Čas plnenia

merateľného

ukazovateľa projektu

závislosti

merateľného

ukazovateľa

projektu)

Príznak rizika

Relevancia

k HP

VÝSTUP

PO095 / PSKPSOI12

RSO 1.2 Využívanie prínosov digitalizácie pre občanov, podniky, výskumné organizácie a orgány verejnej správy

Verejné inštitúcie podporované v

rozvoji kybernetických služieb,

produktov a procesov

verejné inštitúcie

 ku koncu realizácie

hlavných aktivít

projektu

1

nie

n/a

VÝSLEDOK

PR017 / PSKPRCR11

RSO 1.2 Využívanie prínosov digitalizácie pre občanov, podniky, výskumné organizácie a orgány verejnej správy

Používatelia nových a vylepšených

verejných digitálnych služieb,

produktov a procesov

Používatelia/rok

 v rámci udržateľnosti

projektu

60

nie

n/a

KRITÉRIUM

ZDÔVODNENIE KRIÉRIA

MIRRI (výzva)

Organizácia

STAKEHOLDER

3

BIZNIS VRSTVA

A Súlad s legislatívou a zabezpečenie legislatívnych požiadaviek čo najjednoduchším riešením.

Je potrebné naplniť požiadavky zákonov 69/2018 Z. z. a 95/2019 Z. z., čo najefektívnejšie

áno

áno

B Rýchlosť implementácie.

Z pohľadu zákona 69/2018 Z. z. je potrebné implementáciu stihnúť čo najskôr

áno

nie

C Nízka náročnosť implementácie z pohľadu ľudských zdrojov a času

Vzhľadom na stav ľudských zdrojov je potrebné projekt navrhnúť tak, aby mal čo najmenšiu náročnosť na ľudské zdroje

áno

nie

Kritérium D (KO)

Kritérium E

Kritérium F

Zoznam kritérií

Alternatíva

1

Spôsob

dosiahnutia

Alternatíva 2

Spôsob

dosiahnutia

Kritérium A

áno

Projekt zavádza procesy Governance v oblasti KIB

čiastočne

Kritérium B

áno

Realizácia výzvy je najrýchlejšou možnosťou implementácie

nie

Kritérium C

áno

Projekty budú realizované formou dodávky a budú minimalizovať nároky na interné ľudské zdroje

nie

Kritérium D

ID

Aktivita/prevádzková dokumentácia (výstup)

Poznámka

1.1

Vypracovanie / aktualizácia smerníc a prevádzkovej dokumentácie riadenia informačnej bezpečnosti a kybernetickej bezpečnosti v súlade s NIS 2

Výstupom aktivity budú vytvorené/aktualizované nasledovné smernice a dokumenty:

·        Stratégia kybernetickej bezpečnosti.

·        Bezpečnostná politika.

·        Bezpečnostná smernica pre používateľov.

·        Smernica o bezpečnej prevádzke IS pre administrátorov.

·        Smernica pre riadenie informačnej bezpečnosti.

·        Smernica pre riadenie aktív a rizík, vrátane AR/BIA metodiky vytvorenej v súlade s NBÚ metodikou a prispôsobenej podmienkam Mesta Stará Ľubovňa .

·        Smernica klasifikácie a kategorizácie IS a sietí.

·        Smernica riadenia prístupových práv.

·        Smernica pre riadenie dodávateľských služieb a 3tich strán.

·        Smernica ohľadom bezpečnostných požiadaviek pre obstarávanie nových IS.

·        Smernica o monitorovaní a riešení bezpečnostných incidentov.

1.2

Identifikácia a evidencia aktív

Vykonanie detailnej identifikácie a evidencie informačných aktív Mesta Stará Ľubovňa. Určenie vlastníkov jednotlivých identifikovaných aktív a zaevidovanie aktív do nástroja na správu a aktualizáciu AR/BIA (bod 2.1).

1.3

Vykonanie klasifikácie informácií a kategorizácie sietí a informačných systémov

Vykonanie klasifikácie informácií a následne kategorizácie IS a sietí podľa požiadaviek aktuálnej legislatívy.

Na klasifikácii sa budú podieľať aj interní zamestnanci, cieľom projektu je aj transfer know- how, aby si bola organizácia schopná klasifikáciu následne realizovať aj vlastnými silami.

1.4

Realizácia aktualizácie AR a vykonanie analýzy dopadov (BIA)

Zrealizovanie aktualizácie analýzy rizík a vykonanie analýzy dopadov nad identifikovanými informačnými aktívami v súlade s metodikou AR/BIA vytvorenou v bode 1.1 a zaevidovanie výsledkov do nástroja na evidenciu aktív a aktualizáciu AR/BIA uvedeného v bode 2.1. Predmetom dodávky bude aj vytvorenie katalógu rizík a podpora pri procese jeho formálneho schvaľovania vedením Mesta Stará Ľubovňa.

Analýza dopadov musí:

·        identifikovať rôzne kategórie procesov na základe ich kritickosti a posúdiť ich vzájomné závislosti,

·        určiť potenciálne dôsledky (škody/straty) pri rôznych dobách trvania kritických situácií,

·        stanoviť maximálne akceptovateľné doby prerušenia (MTO),

·        stanoviť minimálne ciele kontinuity podnikania (MBCO),

·        určiť cieľové časy obnovy (RTO) a cieľové body obnovy (RPO),

·        identifikovať potenciálne dopady vyplývajúce z možného prerušenia činností a stanoviť výšku:

o    funkčných dopadov,

o    finančných dopadov,

o    dopadov spôsobených stratou údajov a dokumentov.

·        identifikovať zdroje a prostriedky na obnovu procesov so zásadným vplyvom na kontinuitu činností organizácie na základe hodnoty RTO procesu v min. tomto typovom rozsahu zdrojov:

o    ľudia,

o    aplikácie / databázy,

o    údaje uložené v elektronickej podobe (nezahrnuté v aplikáciách a databázach),

o    údaje uložené na papierovom médiu,

o    IT a komunikačné zariadenia,

o    komunikačné kanály,

o    ostatné vybavenie,

o    vybavenie a infraštruktúra,

o    pracovný kapitál.

Záverečná správa, ako výstup z analýzy dopadov musí obsahovať:

·        prehľad vykonávaných činností, ktorý bude obsahovať názov činnosti, jej vymedzenie, vlastníka, MTO a MBCO,

·        zoznam procesov, ktorý bude (ak to je možné) obsahovať názov procesu, druh procesu, vlastníka procesu, RTO a RPO procesu (údaje, na základe ktorých bolo stanovené príslušné RTO a RPO budú taktiež súčasťou správy),

·        špecifikácie nevyhnutných zdrojov a prostriedkov pre zabezpečenie kontinuity činností.

Pri analýze dopadov je potrebné identifikovať:

·        kritické obdobie,

·        množstvo práce vykonanej v kritickom období,

·        minimálne prijateľné množstvo práce vykonávanej bezprostredne po krízovej situácii,

·        či môže definovaný typ krízovej situácie spôsobiť prerušenie procesu.

Pričom kritickým obdobím až krízovou situáciou môže byť:

·        nedostupnosť informačných technológií a/alebo dát,

·        nedostupnosť prevádzkových priestorov,

·        nedostupnosť kritickej časti ľudských zdrojov – zamestnancov,

·        zlyhanie kľúčového externého dodávateľa služieb.

1.5

Vypracovanie kontinuity činností v zmysle ZoKB

Kontinuita činností musí zadefinovať scenáre rôznych udalostí,  ktoré potencionálne môžu mať negatívny vplyv na bežné činnosti organizácie ako sú napríklad:

·        náhla nedostupnosť personálu či nepoužiteľnosť pracoviska/budovy,

·        nedostupnosť technologickej infraštruktúry či potrebných médií,

·        incident či živelná katastrofa.

V rámci kontinuity činností musia byť stanovené požiadavky na zdroje (adekvátne finančné, materiálno-technické a personálne zdroje), ktoré budú potrebné na implementáciu vybraných stratégií kontinuity činností. V zmysle požiadaviek zákona o kybernetickej bezpečnosti sa musí určiť čo má byť:

·        hlavným cieľom plánu kontinuity s ohľadom na riadenie incidentov v prípade katastrofy alebo iného rušivého incidentu a ako sa obnovia činnosti v stanovených termínoch,

·        strategickým imperatívom procesu riadenia kontinuitu s ohľadom na predchádzanie ďalším stratám.

Súčasťou kontinuity činností musí byť vypracovanie analýzy funkčných dopadov a kvalifikácia potencionálnych dopadov a straty v prípade prerušenia alebo narušenia prevádzky u všetkých procesov organizácie. Požiadavkou analýzy funkčného dopadu musí byť určenie:

·        cieľovej doby obnovy jednotlivých procesov, siete a informačných systémov a aplikácií, a to najmä určením doby obnovy prevádzky, po uplynutí ktorej je po kybernetickom bezpečnostnom incidente obnovená najnižšia úroveň poskytovania základných služieb,

·        cieľového bodu obnovy jednotlivých procesov, siete a informačných systémov základnej služby, a to najmä určením najnižšej úrovne poskytovania služieb, ktorá je dostatočná na používanie, prevádzku a správu siete a informačného systému a zachovanie kontinuity základnej služby. 

Kontinuitou musia byť zavedené postupy zálohovania na obnovy siete a informačného systému po jeho narušení alebo zlyhaní v dôsledku kybernetického bezpečnostného incidentu obsahujúce najmenej: 

·        frekvenciu a rozsah zdokumentovania a schvaľovania obnovy záloh, 

·        určenie osoby zodpovednej za zálohovanie, 

·        časový interval, identifikáciu rozsahu údajov, zadefinovanie dátového média zálohovania a zabezpečenie vedenia dokumentácie o zálohovaní, 

·        umiestnenie záloh v zabezpečenom prostredí s riadeným prístupom,

·        zabezpečenie šifrovania záloh obsahujúcich aktíva klasifikačného stupňa chránené a prísne chránené,

·        vykonávanie pravidelného preverenia záloh na základe vypracovaného plánu, testovanie obnovy záloh a precvičovanie zavedených krízových plánov najmenej raz ročne.

Kontinuita činností musí obsahovať minimálne:

·        plán kontinuity na stanovenie požiadaviek a zdrojov,

·        plán reakcie na incidenty a plány havarijnej obnovy prevádzky,

·        politiku a ciele kontinuity,

·        analýzu funkčných dopadov,

·        stratégiu riadenia kontinuity vrátane evakuačných postupov,

·        plán údržby a kontroly BCMS.

2.1

Nástroj na udržiavanie aktív a aktualizáciu AR/BIA

Informačný nástroj na efektívne udržiavanie aktuálneho zoznamu informačných aktív a pravidelné vykonávanie aktualizácie AR/BIA.

Informačný systém pre identifikáciu a riadenie rizík musí spĺňať tieto funkčných vlastnosti:

·        správa aktív – vedenie zoznamu aktív subjektu, vrátane ich vlastníkov,

·        správa zraniteľností – vedenie zoznamu rozpoznaných zraniteľností, vrátane ich vlastníkov,

·        správa hrozieb – vedenie zoznamu rozpoznaných hrozieb,

·        správa opatrení – vedenie zoznamu opatrení potrebných na potlačenie zraniteľností,

·        správa vzťahov – evidencia rozpoznaných vzťahov medzi aktívami a zraniteľnosťami,

·        správa rizík – identifikácia a ohodnotenie rizík na základe pravdepodobností hrozieb, uplatňovaných opatrení a dopadov na subjekt,

·        semikvantitatívna prípadne kvantitatívna metóda hodnotenia významnosti rizík,

·        číselné ohodnotenie pravdepodobnosti hrozieb a účinnosti opatrení,

·        významnosť rizík vyjadrená číselne a následne kategorizovaná.

Užívateľské rozhranie a výstupy musia spĺňať tieto požiadavky:

·        pre interakciu s používateľom musí byť k dispozícií webové rozhranie bez špeciálnych nárokov na webový prehliadač v plnej podpore slovenského jazyka,

·        výstupy musia byť realizované vo forme prehľadov a zostáv vo formáte PDF vyhotovené v slovenskom jazyku vrátane šablón a komentárov,

·        softvér musí umožňovať riadiť prístup užívateľov k obsahu rizikovej analýzy.

Správa používateľov musí umožňovať:

·        evidenciu používateľov, oprávnených pristupovať k subjektom a identifikovať resp. manažovať ich riziká,

·        širokú integráciu na existujúce systémy správy používateľov,

·        prideľovanie rolí oprávneným používateľom s rôznym stupňom oprávnení.

IS pre identifikáciu a riadenie rizík musí byť umožňovať vykonávať revízie a aktualizáciu rizikovej analýzy, riadiť riziká, aktíva, zraniteľnosti a hrozby systémom, ktorý dokumentuje históriu a je auditovateľný. Verejný objednávateľ požaduje informačný systém typu klient – server nasadený u verejného obstarávateľa na jeho servery bez závislosti na cloudových službách, aktualizáciách cez internet a inom komerčnom programovom vybavení okrem operačného systému.

Požiadavky na výkon činností manažéra pre riadenie rizík prostredníctvom IS pre identifikáciu a riadenie rizík:

·        tvorba analýz rizík podľa potreby a požiadaviek verejného obstarávateľa,

·        pravidelné hodnotenie a ošetrovanie rizík,

·        tvorba plánu eliminácie rizík,

·        správa aktív a ich vlastníkov,

·        dohľad nad riadením rizík.

2.2

Implementácia LMS/SIEM/SOC ako služby

Implementácia centrálneho Log Manažment Systému (LMS) pre účely zberu logov z jednotlivých agendových, podporných a infraštruktúrnych systémov a koncových zariadení. Zariadenia pre LMS sa nakúpia do majetku mesta, ale ďalšia správa LMS bude následne zabezpečená formou služby (LMS as a service) externým dodávateľom spolu so službou bezpečnostného monitoringu (SIEM/SOC as a service).

LMS bude poskytovať dostatočnú kapacitu pre uloženie všetkých logov min. po dobu 6 mesiacov. Implementácia zahŕňa zmapovania súčasných logov, nastavenie logovania zo všetkých relevantných systémov, aplikácii a sieťových zariadení a ich konsolidácia. Predpokladaná kapacita pre uloženie logov je 10 TB. Predpokladaný počet EPS je 500. Počet účtov v AD cca 90.

Súčasťou aktivity bude aj zladenie interných procesov riešenia bezpečnostných incidentov (smernica o monitorovaní a riešení bezpečnostných incidentov uvedená v bode 1.1) s procesmi SOC externého dodávateľa a zabezpečenie a sprevádzkovanie sieťovej konektivity.

Služba SIEM/SOC musí zahŕňať:

·        zber a monitorovanie udalostí v sieťach a kritických prvkoch informačných systémov v režime 24 x 7,

·        sondu pre zber údajov – virtuálne zariadenie,

·        nepretržitá detekcia kyberneticko-bezpečnostných incidentov,

·        zber relevantných informácií pri zistených kybernetických incidentoch,

·        návrh riešenia kybernetických bezpečnostných incidentov a zníženia následkov zistených kybernetických bezpečnostných incidentov,

·        vyhodnocovanie riešenia kybernetických bezpečnostných incidentov a návrh systémových opatrení s cieľom minimalizovať výskyt obdobných kybernetických bezpečnostných incidentov,

·        podrobná evidencia bezpečnostných incidentov, ich riešení a príslušnej komunikácie prostredníctvom na to určeného nástroja (ticketing/service desk),

·        pravidelný reporting (1 x mesačne).

Predmetom monitoringu budú nasledovné zariadenia:

·        Firewall

·        virtuálny server pre informačný systém samosprávy (MS Windows 2012 R2)

·        virtuálny   server       pre zálohovanie (MS Windows 2012 R2)

·        Domain Controler (Active Directory s počtom účtov cca 90) (MS Windows 2012 R2)

·        virtuálny server pre zverejňovanie (MS Windows 2012 R2)

·        pracovné stanice a noteboky W7 (cca 30), W8 (cca 10), W10 (cca 40) , W11 (cca 20) v počte spolu cca 100 ks.

Pre službu SOC požadujeme nasledovné SLA parametre:

·        Incident kategórie HIGH - vysoko nebezpečné incidenty, ktoré môžu spôsobiť vážne škody resp. môžu mať negatívny dopad na kritické aktíva.

o    maximálne 2 hodiny.

·        Incident kategórie MEDIUM - incidenty strednej závažnosti, t.j. ktoré akútne neohrozujú kritické časti prostredia.

o    maximálne 4 hodiny.

·        Incident kategórie LOW - incidenty nízkej závažnosti bez priameho negatívneho vplyvu na kontinuitu služby.

o    maximálne 8 hodín.

Súčasťou služby a jej ceny musia byť všetky implementačné, softvérové, hardvérové a licenčné prostriedky potrebné pre jej chod.

2.3

Dvojfaktorová autentifikácia

Návrh a zabezpečenie SW/HW riešenia 2FA  (napr. formou mobilnej autentifikácie) na strane používateľov pri vzdialenom prístupe (VPN) a na strane administrátorov, resp. tzv. „power users“ pri prístupe k správe systémov Mesta Stará Ľubovňa. Požadujeme:

·        rozšírenie licencií existujúceho NGFW Fortigate pre VPN vzdialený prístup s využitím 2FA pre cca 50 používateľov (Forti Token Mobile licencie),

·        zabezpečenie licencií a SW riešenia pre 2FA na prístup tzv. “privilegovaných používateľov” k jednotlivým IS Mesta Stará Ľubovňa – cca do 10 administrátorov, dvojfaktorová autentifikácia bude riešená mobilnou aplikáciou, ktorá zabezpečí druhý autentifikačný faktor.

2.4

Nasadenie nástroja na riadenie kapacít

Požadujeme nasadenie nástroja na riadenie kapacít v súlade s §10 písm. b) vyhlášky NBÚ č. 362/2018 Z. z., ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení.

Musí byť pokryté monitorovanie dostupných technologických kapacít dôležitých sieťových zariadení a služieb podľa nakonfigurovaných pravidiel. Monitorovací nástroj musí informovať o vzniknutých technických problémoch a nedostatku kapacít správcu príslušnej služby alebo servera. Musí byť schopný monitorovať rôzne druhy zariadení ako sú fyzické a virtuálne servery, sieťové prvky, dátové úložiská a iné zariadenia, ktoré dokážu poskytnúť údaje o svojej prevádzke. Monitoring musí byť v reálnom čase s možnosťou údaje okamžite vizualizovať prostredníctvom grafov, máp a rôznych náhľadov. Musí byť schopný porovnávať dáta v rôznych časových obdobiach, analyzovať históriu.

Funkčné požiadavky:                 

·        Monitorovanie kľúčových informačných systémov a ich jednotlivých komponentov.

·        Nastavenie prahových hodnôt alertov a notifikácií.

·        Eskalácia notifikácií.

·        Tvorba reportov.

·        Tvorba vlastných sledovacích schém.

Do monitoringu bude zahrnutých 10 zariadení a služieb, komponentov infraštruktúry z množiny:

·        Sieťových a výkonových zariadení.

·        VMware služieb.

·        Databázových a zálohovacích zariadení.

·        Webových služieb.

·        Kritického hardvéru.                                     

Zber údajov musí podporovať: 

·        Agentov SNMP a IPM.

·        Bezagentový a špeciálny monitoring.

·        Monitoring virtuálnych zariadení.

·        Webové aplikácie a Java scenáre.

·        Monitoring databáz.

·        Kalkulované a agregované položky.

·        Interné sledovanie výkonu.

Musí byť podporovaná vizualizácia vo webovom rozhraní a informovanosť v rozsahu:       

·        Grafov a máp so zloženými pohľadmi.

·        Globálnych Dashboardov.

·        Prístupu k získaným hodnotám a zoznamu udalostí.

·        Zasielania oznámení.

·        Potvrdenia a eskalácie prijatých informácií.

·        Schopnosti prijať opatrenia.

Systém musí byť schopný automatizácie, napr. cez Network alebo Low-level discovery. Musí byť schopný správy aj cez smartfón, schopný nasadenia vlastných skriptov s prístupom k funkciám cez API. Musia sa dať definovať pravidlá hodnotenia údajov poskytujúce logické definície stavu zariadení.

Súčasťou implementácie nástroja bude aj zabezpečenie skenovania zraniteľností interných systémov mesta formou služby min. 1x ročne. Súčasťou projektu bude pilotné otestovanie zraniteľností a preukázanie funkčnosti dodávanej služby počas nasledujúceho obdobia. Výsledkom pilotného testovania bude report obsahujúci zoznam identifikovaných zraniteľností, úroveň ich závažnosti a návrh na ich odstránenie.

Okrem toho bude súčasťou riešenia aj dokončenie návrhu segmentácie sietí, za účelom odčlenenia pracovných staníc do samostatného segmentu a nastavenie prestupových FW pravidiel.

2.5

Nasadenie nástroja na zálohovanie a uloženie záloh

Nasadenie cloudového nástroja pre manažovanie a automatické spúšťanie záloh systémov a dát a rovnako aj technologické vybavenie (NAS úložisko) pre bezpečné uloženie záloh v inej serverovni mimo primárnych systémov formou automatickej replikácie záloh do tejto vzdialenej serverovne.

Požiadavky na cloudovú službu pre zálohovanie:

·        Vytvorenie a správa backup konta a úložiska v cene predplateného balíka údajov.

·        Nastavenie a zálohovania na úložisko.

·        Bezplatný prenos údajov do úložiska, platí sa iba za uložený objem, nie za prenos údajov do úložiska.

·        Kontrola a správa zálohovania do úložiska, riešenie problémov s prenosom údajov do úložiska v cene predplateného balíka údajov.

·        Min. požadovaná kapacita 25 TB.

·        Údaje uložené v rámci EÚ.

·        Údaje sú kryptované a v prípade úniku teda nečitateľné pre útočníka.

·        Nastavenia nemennosti záloh (immutability) – ochrana pred prepísaním/vymazaním, ako ochrana záloh proti ransomware - min. retenčná doba 30 dní.

Cieľom je zároveň vytvorenie aj jednej lokálnej repliky záloh s nasledovnou špecifikáciou:

·        Server DELL PE R750xs alebo ekvivalent s rovnakými alebo lepšími parametrami:

·        1 PowerEdge R750xs Motherboard with Broadcom 5720 Dual Port 1Gb On-Board LOM, Ti

·        1x Intel® Xeon® Silver 4314 2.4G, 16C/32T, 10.4GT/s, 24M Cache, Turbo, HT (135W) DDR4-2666 (možnosť doplniť druhý CPU)  

·        (výkon 1 CPU podľa PassMark Software CPU Benchmark minimálne na úrovni 29 340 bodov k 5.4.2024)

·        1 Chassis with up to 16x2.5“ Drives

·        1 Riser config 4, Half Length, Low Profile, 1x16 + 1x4 slots, 1 CPU

·        1 PowerEdge 2U Standard Bezel

·        6x 32GB RDIMM, 3200MT/s, Dual Rank, 16Gb BASE x8 (minimálne 2 DIMM sloty voľné na doplnenie RAM, pri osadení 1CPU; minimálne 10 voľných DIMM slotov pri osadení 2CPU)

·        1 iDRAC9, Enterprise 15G (možnosť úplného manažmentu servera, vr. BIOS/UEFI; možnosť úplnej konfigurácia RAID controllera z prostredia manažment konzoly a i.)

·        1 Server Secured Component Verification

·        1x BOSS-S2 controller card +  with min. 2x M.2 240GB, Hot-Plug (RAID 1)

·        16x 2,4TB HDD SAS 12Gbps 10K 2.5in Hot-Plug (RAID6)

·        1 PERC H755 Adapter LP

·        1 Dual, Fully Redundant(1+1), Hot-Plug Power Supply,1100W MM(100-240Vac) Titanium

·        2x Rack Power Cord 2M (C13/C14 10A)

·        1 Trusted Platform Module 2.0 V3

·        1 Intel E810-XXVDA4 Quad Port 10/25GbE SFP28 Adapter, OCP NIC 3.0

·        1 High Performance Fan x5

·        1 ReadyRails Sliding Rails with Cable Management Arm

·        1 ProSupport and Next Business Day Onsite Service, 60 Month(s)

·        // Servis v trvaní 60 mesiacov, nástup na opravu v nasledujúci pracovný deň v rámci podmienok služby, nahlasovanie porúch 24/7 //

·        Server a všetky jeho relevantné komponenty (napr. CPU, NIC, RAID Controller, ai.) musia byť certifikované pre VMware vSphere ESXi 7.0 U3, 8.0, 8.0 U1, 8.0 U2, 8.0 U3, prípadne novšie verzie v čase predkladania ponuky – (preukázateľne na https://www.vmware.com/resources/

·        compatibility/search.php), keďže verejný obstarávateľ vlastní a mieni využiť existujúce softvérové vybavenie VMware a taktiež z dôvodu kompatibility a interoperability s existujúcou infraštruktúrou.

Požiadavky na UPS:

·        UPS Eaton 5PX 3000i RT2U G2 (5PX3000IRT2UG2) + 1ks sieťová manažment karta (NMC) alebo ekvivalent rovnakými alebo lepšími parametrami, s priamou podporou IPM (alebo PCNS) pre riadenie autoshutdown cez vCenter Server

·        Technológia: Line-interactive

·        Konfigurácia: Rack – možnosť osadiť do racku ako 2U zariadenie – vrátane dodania koľajníc

·        Výkon (VA/W): 3000 VA / 3000 W

·        Doba zálohovania:

·        Pre samotné UPS:

o    Pri 50 % vyťažení: 14 min.

o    Pri 70 % vyťažení: 9 min.

·        + 1 EBM:

o    Pri 50 % vyťažení: 66 min.

o    Pri 70 % vyťažení: 38 min.

·            + 4 EBM:

o    Pri 50 % vyťažení: 213 min.

o    Pri 70 % vyťažení: 121 min.

·        Užívateľské rozhranie:

o    Komunikačné porty: USB, RS232, 1 mini svorkovnica pre diaľkové zapnutie, vypnutie a pre diaľkove odstavenie (RPO)

o    Slot pre komunikačné adaptéry: 1 miesto pre NMC Minislot kartu (NMC karta je súčasťou balenia), NMC ModBus/Jbus alebo MC Contacts/Serial

o    Displej: Graficky LCD displej

·        Vstup: C20

·        Výstupy: 8 x C13, 2 x C19 (10 zásuviek so zálohováním a prepäťovou ochranou)

·        Diaľkovo ovládané výstupy: 2 skupiny po 2 x C13

·        Vstupné napätie: rozsah 160-294 V ( nastaviteľné 150-294 V)

·        Výstupné napätie: 230 V

·        Kmitočet: 50-60 Hz ( rozsah pre 50 Hz 47-70 Hz, pre 60 Hz 56.5-70 Hz), 40 Hz v režime s nízkou citlivosťou

·        Záťažové segmenty: 2 skupiny po dvoch individuálne ovládaných zásuvkách

·        Záruka výrobcu na elektroniku 3 roky a batérie 2 roky.

·        COMPLIANCE:

o    IEC/EN 62040-1, IEC/EN 62040-2, IEC/EN 62040-3, RoHS Compliant, REACH, UL 1778, CSA 22.2

·        CERTIFICATIONS:

o    CE, cTUVus, EAC, Cm, UKCA, Ukr, KCC, ENERGY STAR certified

Požiadavky na rack:

·        Serverový rack 42U

·        Rozmer ŠxHxV (600mm x 1000mm x 42U)

·        Perforované predné a zadné dvere

·        Polica 19“

·        PDU C14/8x C13 19“ a C14/6-8x eurozásuvka 19“

Požiadavky na NAS:

·        RackStation 2,2GHz, 4GBRAM, 8xSATA, 2xUSB3.0

·        záruka 5 rokov

·        kapacita 22 TB SATA, 6Gb/s, min. 256MB cache, 7200 ot. – 6ks 

·        čítanie / zápis dát min.: 2300 / 1100 MB/s

·        podpora sieťových kariet 10GbE SFP+/RJ-45 a 25GbE SFP28

·        redundantný zdroj napájania

·        technická a systémová podpora 8/5.

Riešenie musí obsahovať:

·        pokročilú technológiu vytvárania snímkou zaisťujúcu plánovateľnú a temer okamžitú ochranu dát zdieľaných zložiek a jednotiek LUN,

·        obnovu dát na úrovni súborov a zložiek s obnovením konkrétnych súborov alebo zložiek,

·        flexibilný systém kvóty pre zálohy,

·        automatické opravy súborov napr. pomocou zrkadlených metadát a konfiguráciou RAID,

·        vloženú komprimáciu dát pred zápisom na disk,

·        možnosť integrácie s ľubovoľnou virtualizačnou platformou,

·        zálohovanie bez licencií určených k ochrane počítačov a serverov so systémom Windows,

·        virtuálnych počítačov, ďalších súborových serverov a cloudových aplikácií,

·        konsolidáciu úloh zálohovania pre fyzické i virtuálne prostredie s možnosťou rýchleho obnovenia súborov, celých fyzických počítačov a virtuálnych počítačov,

·        zálohovanie v prostredí Google Workspace, Gmail, kontaktov, kalendárov a služby Drive zálohovanie dát sady Microsoft 365, OneDrive for Business, SharePoint Online, e-mailov, kontaktov a kalendárov.

Súčasťou riešenia budú aj inštalačné, konfiguračné a migračné práce:

·        1. Analýza a zber údajov

o    1  Analýza prostredia, plán implementácie, projektové riadenie

·        2. Inštalácia a konfigurácia HW/SW

o    1  Inštalácia a konfigurácia Server (Upgr. Firmware, konfigurácia RAID, nastavenie BIOS, Management)

o    2  Upgrade Firmware UPS MNC

o    2  Upgrade Firmware UPS

o    1  Inštalácia a konfigurácia vSphere ESXi (existujúca licencia)

o    1  Inštalácia a Konfigurácia IPM (alebo obdobného softvéru k UPS podľa bodu 2, vrátane licencie pre min. 3 power nodes

·        3. Inštalácia a konfigurácia Backup/Replica SW

o    1  UPGR. VEEAM BACKUP Infraštruktúry (mng, proxy, repository, ...)

o    1  Nastavenie replikačných jobov vo Veeam B&R

o    1  Opatrenia na zabezpečenie zálohovacej infraštruktúry Veeam, minimalizácia „viditeľnosti“ zálohovacej infraštruktúry v LAN

·        4. Fyzické zapojenie HW

o    1 Montáž rack, polica, PDU

o    1 SERVER - montáž do racku, zapojenie - napájanie, networking, manažment

o    2  UPS – montáž do racku, zapojenie - napájanie, manažment

·        5. Odovzdanie projektu

o    1 Základné zaškolenie

o    1 Základná dokumentácia

3.1

Audit KB

Pre-financovanie auditu kybernetickej bezpečnosti v zmysle §29 zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti, ktorý bude zrealizovaný tesne pred ukončením projektu.

3.2

Aktualizácia AR/BIA

Vzhľadom na odhadované trvanie projektu (viac ako 1 rok), a značné zmeny, ktoré implementácie projektu prinesie, je žiadúce tesne pred ukončením projektu vykonať aj aktualizáciu AR/BIA. Prvotná aktualizácia AR/BIA bude zrealizovaná hneď na začiatku projektu (bod 1.4). Výsledky aj tejto aktualizácie budú nahrané do nástroja na evidenciu aktív a aktualizáciu AR/BIA uvedeného v bode 2.1.

Náklady

Názov modulu

Názov modulu

Názov modulu

Názov modulu

Názov modulu

Názov modulu

Všeobecný materiál

RIA

Riadenie kapacít

Zálohovanie

2FA

SIEM/LMS

BCM

IT - CAPEX

48.252 EUR

15.099 EUR

87.924 EUR

7.814 EUR

108.715 EUR

28.366 EUR

Aplikácie

SW

HW

IT - OPEX- prevádzka

1.242 EUR

4.841 EUR

11.902 EUR

13.939 EUR

2.369 EUR

Aplikácie

SW

HW

ID

FÁZA/AKTIVITA

ZAČIATOK

(odhad termínu)

KONIEC

(odhad termínu)

1.

Prípravná fáza a Iniciačná fáza

06/2024

11/2024

2.

Realizačná fáza

12/2024

02/2026

2a

Analýza a Dizajn

12/2024

05/2025

2b

Nákup technických prostriedkov, programových prostriedkov a služieb

02/2025

07/2025

2c

Implementácia a testovanie

06/2025

01/2026

2d

Nasadenie

12/2025

01/2026

3.

Dokončovacia fáza

01/2026

02/2026

4.

Podpora prevádzky (SLA)

03/2026

03/2030

ID

Meno a Priezvisko

Pozícia

Oddelenie

Rola v projekte

1.

Ing. Miriama Varcholová

odborný zamestnanec

Útvar prednostu mesta - projektový referent a ŠFRB

Projektový manažér

2.

Mgr. František Grich

odborný zamestnanec IT

Útvar prednostu mesta-IT

Manažér kybernetickej bezpečnosti

3.

odborný zamestnanec IT

Odborný zamestnanec IT (Bezpečnostný analytik)

4.

odborný zamestnanec IT

Odborný zamestnanec IT (Implementácia bezpečnostných riešení)

Povinná osoba

Mesto Stará Ľubovňa  

Názov projektu

Podpora v oblasti kybernetickej a informačnej bezpečnosti na regionálnej úrovni – Mesto Stará Ľubovňa

Zodpovedná osoba za projekt

Ing. Miriama Varcholová

Realizátor projektu

Mesto Stará Ľubovňa

Vlastník projektu

Mesto Stará Ľubovňa

Položka

Meno a priezvisko

Organizácia

Pracovná pozícia

Dátum

Podpis

(alebo elektronický súhlas)

Vypracoval

 Mgr. František Grich

Mesto Stará Ľubovňa

Útvar prednostu mesta-IT

18.6.2024

Verzia

Dátum

Zmeny

Meno

0.1

18.6.2024

Pracovný návrh

Mgr. František Grich

0.2

21.6.2024

Zapracovanie súladu s vyhláškou č. 401/2023 Z. z.

Mgr. František Grich

0.3

24.6.2024

Zapracovanie pripomienok

Mgr. František Grich

0.4

0.5

ID

AKTÉR / STAKEHOLDER

SUBJEKT

(názov / skratka)

ROLA

(vlastník procesu/ vlastník dát/zákazník/ užívateľ …. člen tímu atď.)

Informačný systém

(MetaIS kód a názov ISVS)

1.

Mesto Stará Ľubovňa

Mesto Stará Ľubovňa

Používateľ opatrení na zvýšenie úrovne informačnej a kybernetickej bezpečnosti

NA

ID

Názov cieľa

Názov strategického cieľa

Spôsob realizácie strategického cieľa

1

RSO 1.2 Využívanie prínosov digitalizácie pre občanov, podniky, výskumné organizácie a orgány verejnej správy

Zlepšovanie technologického, procesného, infraštruktúrneho, vedomostného a organizačného zabezpečenia zručností a kapacít pre plnenie úloh v oblasti KIB v prostredí orgánov štátnej a verejnej správy.

Implementácia projektu

ID

ID/Názov cieľa

Názov
ukazovateľa (KPI)

Merná jednotka
 

Čas plnenia

merateľného

ukazovateľa projektu

závislosti

merateľného

ukazovateľa

projektu)

Príznak rizika

Relevancia

k HP

VÝSTUP

PO095 / PSKPSOI12

RSO 1.2 Využívanie prínosov digitalizácie pre občanov, podniky, výskumné organizácie a orgány verejnej správy

Verejné inštitúcie podporované v

rozvoji kybernetických služieb,

produktov a procesov

verejné inštitúcie

 ku koncu realizácie

hlavných aktivít

projektu

1

nie

n/a

VÝSLEDOK

PR017 / PSKPRCR11

RSO 1.2 Využívanie prínosov digitalizácie pre občanov, podniky, výskumné organizácie a orgány verejnej správy

Používatelia nových a vylepšených

verejných digitálnych služieb,

produktov a procesov

Používatelia/rok

 v rámci udržateľnosti

projektu

60

nie

n/a

KRITÉRIUM

ZDÔVODNENIE KRIÉRIA

MIRRI (výzva)

Organizácia

STAKEHOLDER

3

BIZNIS VRSTVA

A Súlad s legislatívou a zabezpečenie legislatívnych požiadaviek čo najjednoduchším riešením.

Je potrebné naplniť požiadavky zákonov 69/2018 Z. z. a 95/2019 Z. z., čo najefektívnejšie

áno

áno

B Rýchlosť implementácie.

Z pohľadu zákona 69/2018 Z. z. je potrebné implementáciu stihnúť čo najskôr

áno

nie

C Nízka náročnosť implementácie z pohľadu ľudských zdrojov a času

Vzhľadom na stav ľudských zdrojov je potrebné projekt navrhnúť tak, aby mal čo najmenšiu náročnosť na ľudské zdroje

áno

nie

Kritérium D (KO)

Kritérium E

Kritérium F

Zoznam kritérií

Alternatíva

1

Spôsob

dosiahnutia

Alternatíva 2

Spôsob

dosiahnutia

Kritérium A

áno

Projekt zavádza procesy Governance v oblasti KIB

čiastočne

Kritérium B

áno

Realizácia výzvy je najrýchlejšou možnosťou implementácie

nie

Kritérium C

áno

Projekty budú realizované formou dodávky a budú minimalizovať nároky na interné ľudské zdroje

nie

Kritérium D

ID

Aktivita/prevádzková dokumentácia (výstup)

Poznámka

1.1

Vypracovanie / aktualizácia smerníc a prevádzkovej dokumentácie riadenia informačnej bezpečnosti a kybernetickej bezpečnosti v súlade s NIS 2

Výstupom aktivity budú vytvorené/aktualizované nasledovné smernice a dokumenty:

·        Stratégia kybernetickej bezpečnosti.

·        Bezpečnostná politika.

·        Bezpečnostná smernica pre používateľov.

·        Smernica o bezpečnej prevádzke IS pre administrátorov.

·        Smernica pre riadenie informačnej bezpečnosti.

·        Smernica pre riadenie aktív a rizík, vrátane AR/BIA metodiky vytvorenej v súlade s NBÚ metodikou a prispôsobenej podmienkam Mesta Stará Ľubovňa .

·        Smernica klasifikácie a kategorizácie IS a sietí.

·        Smernica riadenia prístupových práv.

·        Smernica pre riadenie dodávateľských služieb a 3tich strán.

·        Smernica ohľadom bezpečnostných požiadaviek pre obstarávanie nových IS.

·        Smernica o monitorovaní a riešení bezpečnostných incidentov.

1.2

Identifikácia a evidencia aktív

Vykonanie detailnej identifikácie a evidencie informačných aktív Mesta Stará Ľubovňa. Určenie vlastníkov jednotlivých identifikovaných aktív a zaevidovanie aktív do nástroja na správu a aktualizáciu AR/BIA (bod 2.1).

1.3

Vykonanie klasifikácie informácií a kategorizácie sietí a informačných systémov

Vykonanie klasifikácie informácií a následne kategorizácie IS a sietí podľa požiadaviek aktuálnej legislatívy.

Na klasifikácii sa budú podieľať aj interní zamestnanci, cieľom projektu je aj transfer know- how, aby si bola organizácia schopná klasifikáciu následne realizovať aj vlastnými silami.

1.4

Realizácia aktualizácie AR a vykonanie analýzy dopadov (BIA)

Zrealizovanie aktualizácie analýzy rizík a vykonanie analýzy dopadov nad identifikovanými informačnými aktívami v súlade s metodikou AR/BIA vytvorenou v bode 1.1 a zaevidovanie výsledkov do nástroja na evidenciu aktív a aktualizáciu AR/BIA uvedeného v bode 2.1. Predmetom dodávky bude aj vytvorenie katalógu rizík a podpora pri procese jeho formálneho schvaľovania vedením Mesta Stará Ľubovňa.

Analýza dopadov musí:

·        identifikovať rôzne kategórie procesov na základe ich kritickosti a posúdiť ich vzájomné závislosti,

·        určiť potenciálne dôsledky (škody/straty) pri rôznych dobách trvania kritických situácií,

·        stanoviť maximálne akceptovateľné doby prerušenia (MTO),

·        stanoviť minimálne ciele kontinuity podnikania (MBCO),

·        určiť cieľové časy obnovy (RTO) a cieľové body obnovy (RPO),

·        identifikovať potenciálne dopady vyplývajúce z možného prerušenia činností a stanoviť výšku:

o    funkčných dopadov,

o    finančných dopadov,

o    dopadov spôsobených stratou údajov a dokumentov.

·        identifikovať zdroje a prostriedky na obnovu procesov so zásadným vplyvom na kontinuitu činností organizácie na základe hodnoty RTO procesu v min. tomto typovom rozsahu zdrojov:

o    ľudia,

o    aplikácie / databázy,

o    údaje uložené v elektronickej podobe (nezahrnuté v aplikáciách a databázach),

o    údaje uložené na papierovom médiu,

o    IT a komunikačné zariadenia,

o    komunikačné kanály,

o    ostatné vybavenie,

o    vybavenie a infraštruktúra,

o    pracovný kapitál.

Záverečná správa, ako výstup z analýzy dopadov musí obsahovať:

·        prehľad vykonávaných činností, ktorý bude obsahovať názov činnosti, jej vymedzenie, vlastníka, MTO a MBCO,

·        zoznam procesov, ktorý bude (ak to je možné) obsahovať názov procesu, druh procesu, vlastníka procesu, RTO a RPO procesu (údaje, na základe ktorých bolo stanovené príslušné RTO a RPO budú taktiež súčasťou správy),

·        špecifikácie nevyhnutných zdrojov a prostriedkov pre zabezpečenie kontinuity činností.

Pri analýze dopadov je potrebné identifikovať:

·        kritické obdobie,

·        množstvo práce vykonanej v kritickom období,

·        minimálne prijateľné množstvo práce vykonávanej bezprostredne po krízovej situácii,

·        či môže definovaný typ krízovej situácie spôsobiť prerušenie procesu.

Pričom kritickým obdobím až krízovou situáciou môže byť:

·        nedostupnosť informačných technológií a/alebo dát,

·        nedostupnosť prevádzkových priestorov,

·        nedostupnosť kritickej časti ľudských zdrojov – zamestnancov,

·        zlyhanie kľúčového externého dodávateľa služieb.

1.5

Vypracovanie kontinuity činností v zmysle ZoKB

Kontinuita činností musí zadefinovať scenáre rôznych udalostí,  ktoré potencionálne môžu mať negatívny vplyv na bežné činnosti organizácie ako sú napríklad:

·        náhla nedostupnosť personálu či nepoužiteľnosť pracoviska/budovy,

·        nedostupnosť technologickej infraštruktúry či potrebných médií,

·        incident či živelná katastrofa.

V rámci kontinuity činností musia byť stanovené požiadavky na zdroje (adekvátne finančné, materiálno-technické a personálne zdroje), ktoré budú potrebné na implementáciu vybraných stratégií kontinuity činností. V zmysle požiadaviek zákona o kybernetickej bezpečnosti sa musí určiť čo má byť:

·        hlavným cieľom plánu kontinuity s ohľadom na riadenie incidentov v prípade katastrofy alebo iného rušivého incidentu a ako sa obnovia činnosti v stanovených termínoch,

·        strategickým imperatívom procesu riadenia kontinuitu s ohľadom na predchádzanie ďalším stratám.

Súčasťou kontinuity činností musí byť vypracovanie analýzy funkčných dopadov a kvalifikácia potencionálnych dopadov a straty v prípade prerušenia alebo narušenia prevádzky u všetkých procesov organizácie. Požiadavkou analýzy funkčného dopadu musí byť určenie:

·        cieľovej doby obnovy jednotlivých procesov, siete a informačných systémov a aplikácií, a to najmä určením doby obnovy prevádzky, po uplynutí ktorej je po kybernetickom bezpečnostnom incidente obnovená najnižšia úroveň poskytovania základných služieb,

·        cieľového bodu obnovy jednotlivých procesov, siete a informačných systémov základnej služby, a to najmä určením najnižšej úrovne poskytovania služieb, ktorá je dostatočná na používanie, prevádzku a správu siete a informačného systému a zachovanie kontinuity základnej služby. 

Kontinuitou musia byť zavedené postupy zálohovania na obnovy siete a informačného systému po jeho narušení alebo zlyhaní v dôsledku kybernetického bezpečnostného incidentu obsahujúce najmenej: 

·        frekvenciu a rozsah zdokumentovania a schvaľovania obnovy záloh, 

·        určenie osoby zodpovednej za zálohovanie, 

·        časový interval, identifikáciu rozsahu údajov, zadefinovanie dátového média zálohovania a zabezpečenie vedenia dokumentácie o zálohovaní, 

·        umiestnenie záloh v zabezpečenom prostredí s riadeným prístupom,

·        zabezpečenie šifrovania záloh obsahujúcich aktíva klasifikačného stupňa chránené a prísne chránené,

·        vykonávanie pravidelného preverenia záloh na základe vypracovaného plánu, testovanie obnovy záloh a precvičovanie zavedených krízových plánov najmenej raz ročne.

Kontinuita činností musí obsahovať minimálne:

·        plán kontinuity na stanovenie požiadaviek a zdrojov,

·        plán reakcie na incidenty a plány havarijnej obnovy prevádzky,

·        politiku a ciele kontinuity,

·        analýzu funkčných dopadov,

·        stratégiu riadenia kontinuity vrátane evakuačných postupov,

·        plán údržby a kontroly BCMS.

2.1

Nástroj na udržiavanie aktív a aktualizáciu AR/BIA

Informačný nástroj na efektívne udržiavanie aktuálneho zoznamu informačných aktív a pravidelné vykonávanie aktualizácie AR/BIA.

Informačný systém pre identifikáciu a riadenie rizík musí spĺňať tieto funkčných vlastnosti:

·        správa aktív – vedenie zoznamu aktív subjektu, vrátane ich vlastníkov,

·        správa zraniteľností – vedenie zoznamu rozpoznaných zraniteľností, vrátane ich vlastníkov,

·        správa hrozieb – vedenie zoznamu rozpoznaných hrozieb,

·        správa opatrení – vedenie zoznamu opatrení potrebných na potlačenie zraniteľností,

·        správa vzťahov – evidencia rozpoznaných vzťahov medzi aktívami a zraniteľnosťami,

·        správa rizík – identifikácia a ohodnotenie rizík na základe pravdepodobností hrozieb, uplatňovaných opatrení a dopadov na subjekt,

·        semikvantitatívna prípadne kvantitatívna metóda hodnotenia významnosti rizík,

·        číselné ohodnotenie pravdepodobnosti hrozieb a účinnosti opatrení,

·        významnosť rizík vyjadrená číselne a následne kategorizovaná.

Užívateľské rozhranie a výstupy musia spĺňať tieto požiadavky:

·        pre interakciu s používateľom musí byť k dispozícií webové rozhranie bez špeciálnych nárokov na webový prehliadač v plnej podpore slovenského jazyka,

·        výstupy musia byť realizované vo forme prehľadov a zostáv vo formáte PDF vyhotovené v slovenskom jazyku vrátane šablón a komentárov,

·        softvér musí umožňovať riadiť prístup užívateľov k obsahu rizikovej analýzy.

Správa používateľov musí umožňovať:

·        evidenciu používateľov, oprávnených pristupovať k subjektom a identifikovať resp. manažovať ich riziká,

·        širokú integráciu na existujúce systémy správy používateľov,

·        prideľovanie rolí oprávneným používateľom s rôznym stupňom oprávnení.

IS pre identifikáciu a riadenie rizík musí byť umožňovať vykonávať revízie a aktualizáciu rizikovej analýzy, riadiť riziká, aktíva, zraniteľnosti a hrozby systémom, ktorý dokumentuje históriu a je auditovateľný. Verejný objednávateľ požaduje informačný systém typu klient – server nasadený u verejného obstarávateľa na jeho servery bez závislosti na cloudových službách, aktualizáciách cez internet a inom komerčnom programovom vybavení okrem operačného systému.

Požiadavky na výkon činností manažéra pre riadenie rizík prostredníctvom IS pre identifikáciu a riadenie rizík:

·        tvorba analýz rizík podľa potreby a požiadaviek verejného obstarávateľa,

·        pravidelné hodnotenie a ošetrovanie rizík,

·        tvorba plánu eliminácie rizík,

·        správa aktív a ich vlastníkov,

·        dohľad nad riadením rizík.

2.2

Implementácia LMS/SIEM/SOC ako služby

Implementácia centrálneho Log Manažment Systému (LMS) pre účely zberu logov z jednotlivých agendových, podporných a infraštruktúrnych systémov a koncových zariadení. Zariadenia pre LMS sa nakúpia do majetku mesta, ale ďalšia správa LMS bude následne zabezpečená formou služby (LMS as a service) externým dodávateľom spolu so službou bezpečnostného monitoringu (SIEM/SOC as a service).

LMS bude poskytovať dostatočnú kapacitu pre uloženie všetkých logov min. po dobu 6 mesiacov. Implementácia zahŕňa zmapovania súčasných logov, nastavenie logovania zo všetkých relevantných systémov, aplikácii a sieťových zariadení a ich konsolidácia. Predpokladaná kapacita pre uloženie logov je 10 TB. Predpokladaný počet EPS je 500. Počet účtov v AD cca 90.

Súčasťou aktivity bude aj zladenie interných procesov riešenia bezpečnostných incidentov (smernica o monitorovaní a riešení bezpečnostných incidentov uvedená v bode 1.1) s procesmi SOC externého dodávateľa a zabezpečenie a sprevádzkovanie sieťovej konektivity.

Služba SIEM/SOC musí zahŕňať:

·        zber a monitorovanie udalostí v sieťach a kritických prvkoch informačných systémov v režime 24 x 7,

·        sondu pre zber údajov – virtuálne zariadenie,

·        nepretržitá detekcia kyberneticko-bezpečnostných incidentov,

·        zber relevantných informácií pri zistených kybernetických incidentoch,

·        návrh riešenia kybernetických bezpečnostných incidentov a zníženia následkov zistených kybernetických bezpečnostných incidentov,

·        vyhodnocovanie riešenia kybernetických bezpečnostných incidentov a návrh systémových opatrení s cieľom minimalizovať výskyt obdobných kybernetických bezpečnostných incidentov,

·        podrobná evidencia bezpečnostných incidentov, ich riešení a príslušnej komunikácie prostredníctvom na to určeného nástroja (ticketing/service desk),

·        pravidelný reporting (1 x mesačne).

Predmetom monitoringu budú nasledovné zariadenia:

·        Firewall

·        virtuálny server pre informačný systém samosprávy (MS Windows 2012 R2)

·        virtuálny   server       pre zálohovanie (MS Windows 2012 R2)

·        Domain Controler (Active Directory s počtom účtov cca 90) (MS Windows 2012 R2)

·        virtuálny server pre zverejňovanie (MS Windows 2012 R2)

·        pracovné stanice a noteboky W7 (cca 30), W8 (cca 10), W10 (cca 40) , W11 (cca 20) v počte spolu cca 100 ks.

Pre službu SOC požadujeme nasledovné SLA parametre:

·        Incident kategórie HIGH - vysoko nebezpečné incidenty, ktoré môžu spôsobiť vážne škody resp. môžu mať negatívny dopad na kritické aktíva.

o    maximálne 2 hodiny.

·        Incident kategórie MEDIUM - incidenty strednej závažnosti, t.j. ktoré akútne neohrozujú kritické časti prostredia.

o    maximálne 4 hodiny.

·        Incident kategórie LOW - incidenty nízkej závažnosti bez priameho negatívneho vplyvu na kontinuitu služby.

o    maximálne 8 hodín.

Súčasťou služby a jej ceny musia byť všetky implementačné, softvérové, hardvérové a licenčné prostriedky potrebné pre jej chod.

2.3

Dvojfaktorová autentifikácia

Návrh a zabezpečenie SW/HW riešenia 2FA  (napr. formou mobilnej autentifikácie) na strane používateľov pri vzdialenom prístupe (VPN) a na strane administrátorov, resp. tzv. „power users“ pri prístupe k správe systémov Mesta Stará Ľubovňa. Požadujeme:

·        rozšírenie licencií existujúceho NGFW Fortigate pre VPN vzdialený prístup s využitím 2FA pre cca 50 používateľov (Forti Token Mobile licencie),

·        zabezpečenie licencií a SW riešenia pre 2FA na prístup tzv. “privilegovaných používateľov” k jednotlivým IS Mesta Stará Ľubovňa – cca do 10 administrátorov, dvojfaktorová autentifikácia bude riešená mobilnou aplikáciou, ktorá zabezpečí druhý autentifikačný faktor.

2.4

Nasadenie nástroja na riadenie kapacít

Požadujeme nasadenie nástroja na riadenie kapacít v súlade s §10 písm. b) vyhlášky NBÚ č. 362/2018 Z. z., ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení.

Musí byť pokryté monitorovanie dostupných technologických kapacít dôležitých sieťových zariadení a služieb podľa nakonfigurovaných pravidiel. Monitorovací nástroj musí informovať o vzniknutých technických problémoch a nedostatku kapacít správcu príslušnej služby alebo servera. Musí byť schopný monitorovať rôzne druhy zariadení ako sú fyzické a virtuálne servery, sieťové prvky, dátové úložiská a iné zariadenia, ktoré dokážu poskytnúť údaje o svojej prevádzke. Monitoring musí byť v reálnom čase s možnosťou údaje okamžite vizualizovať prostredníctvom grafov, máp a rôznych náhľadov. Musí byť schopný porovnávať dáta v rôznych časových obdobiach, analyzovať históriu.

Funkčné požiadavky:                 

·        Monitorovanie kľúčových informačných systémov a ich jednotlivých komponentov.

·        Nastavenie prahových hodnôt alertov a notifikácií.

·        Eskalácia notifikácií.

·        Tvorba reportov.

·        Tvorba vlastných sledovacích schém.

Do monitoringu bude zahrnutých 10 zariadení a služieb, komponentov infraštruktúry z množiny:

·        Sieťových a výkonových zariadení.

·        VMware služieb.

·        Databázových a zálohovacích zariadení.

·        Webových služieb.

·        Kritického hardvéru.                                     

Zber údajov musí podporovať: 

·        Agentov SNMP a IPM.

·        Bezagentový a špeciálny monitoring.

·        Monitoring virtuálnych zariadení.

·        Webové aplikácie a Java scenáre.

·        Monitoring databáz.

·        Kalkulované a agregované položky.

·        Interné sledovanie výkonu.

Musí byť podporovaná vizualizácia vo webovom rozhraní a informovanosť v rozsahu:       

·        Grafov a máp so zloženými pohľadmi.

·        Globálnych Dashboardov.

·        Prístupu k získaným hodnotám a zoznamu udalostí.

·        Zasielania oznámení.

·        Potvrdenia a eskalácie prijatých informácií.

·        Schopnosti prijať opatrenia.

Systém musí byť schopný automatizácie, napr. cez Network alebo Low-level discovery. Musí byť schopný správy aj cez smartfón, schopný nasadenia vlastných skriptov s prístupom k funkciám cez API. Musia sa dať definovať pravidlá hodnotenia údajov poskytujúce logické definície stavu zariadení.

Súčasťou implementácie nástroja bude aj zabezpečenie skenovania zraniteľností interných systémov mesta formou služby min. 1x ročne. Súčasťou projektu bude pilotné otestovanie zraniteľností a preukázanie funkčnosti dodávanej služby počas nasledujúceho obdobia. Výsledkom pilotného testovania bude report obsahujúci zoznam identifikovaných zraniteľností, úroveň ich závažnosti a návrh na ich odstránenie.

Okrem toho bude súčasťou riešenia aj dokončenie návrhu segmentácie sietí, za účelom odčlenenia pracovných staníc do samostatného segmentu a nastavenie prestupových FW pravidiel.

2.5

Nasadenie nástroja na zálohovanie a uloženie záloh

Nasadenie cloudového nástroja pre manažovanie a automatické spúšťanie záloh systémov a dát a rovnako aj technologické vybavenie (NAS úložisko) pre bezpečné uloženie záloh v inej serverovni mimo primárnych systémov formou automatickej replikácie záloh do tejto vzdialenej serverovne.

Požiadavky na cloudovú službu pre zálohovanie:

·        Vytvorenie a správa backup konta a úložiska v cene predplateného balíka údajov.

·        Nastavenie a zálohovania na úložisko.

·        Bezplatný prenos údajov do úložiska, platí sa iba za uložený objem, nie za prenos údajov do úložiska.

·        Kontrola a správa zálohovania do úložiska, riešenie problémov s prenosom údajov do úložiska v cene predplateného balíka údajov.

·        Min. požadovaná kapacita 25 TB.

·        Údaje uložené v rámci EÚ.

·        Údaje sú kryptované a v prípade úniku teda nečitateľné pre útočníka.

·        Nastavenia nemennosti záloh (immutability) – ochrana pred prepísaním/vymazaním, ako ochrana záloh proti ransomware - min. retenčná doba 30 dní.

Cieľom je zároveň vytvorenie aj jednej lokálnej repliky záloh s nasledovnou špecifikáciou:

·        Server DELL PE R750xs alebo ekvivalent s rovnakými alebo lepšími parametrami:

·        1 PowerEdge R750xs Motherboard with Broadcom 5720 Dual Port 1Gb On-Board LOM, Ti

·        1x Intel® Xeon® Silver 4314 2.4G, 16C/32T, 10.4GT/s, 24M Cache, Turbo, HT (135W) DDR4-2666 (možnosť doplniť druhý CPU)  

·        (výkon 1 CPU podľa PassMark Software CPU Benchmark minimálne na úrovni 29 340 bodov k 5.4.2024)

·        1 Chassis with up to 16x2.5“ Drives

·        1 Riser config 4, Half Length, Low Profile, 1x16 + 1x4 slots, 1 CPU

·        1 PowerEdge 2U Standard Bezel

·        6x 32GB RDIMM, 3200MT/s, Dual Rank, 16Gb BASE x8 (minimálne 2 DIMM sloty voľné na doplnenie RAM, pri osadení 1CPU; minimálne 10 voľných DIMM slotov pri osadení 2CPU)

·        1 iDRAC9, Enterprise 15G (možnosť úplného manažmentu servera, vr. BIOS/UEFI; možnosť úplnej konfigurácia RAID controllera z prostredia manažment konzoly a i.)

·        1 Server Secured Component Verification

·        1x BOSS-S2 controller card +  with min. 2x M.2 240GB, Hot-Plug (RAID 1)

·        16x 2,4TB HDD SAS 12Gbps 10K 2.5in Hot-Plug (RAID6)

·        1 PERC H755 Adapter LP

·        1 Dual, Fully Redundant(1+1), Hot-Plug Power Supply,1100W MM(100-240Vac) Titanium

·        2x Rack Power Cord 2M (C13/C14 10A)

·        1 Trusted Platform Module 2.0 V3

·        1 Intel E810-XXVDA4 Quad Port 10/25GbE SFP28 Adapter, OCP NIC 3.0

·        1 High Performance Fan x5

·        1 ReadyRails Sliding Rails with Cable Management Arm

·        1 ProSupport and Next Business Day Onsite Service, 60 Month(s)

·        // Servis v trvaní 60 mesiacov, nástup na opravu v nasledujúci pracovný deň v rámci podmienok služby, nahlasovanie porúch 24/7 //

·        Server a všetky jeho relevantné komponenty (napr. CPU, NIC, RAID Controller, ai.) musia byť certifikované pre VMware vSphere ESXi 7.0 U3, 8.0, 8.0 U1, 8.0 U2, 8.0 U3, prípadne novšie verzie v čase predkladania ponuky – (preukázateľne na https://www.vmware.com/resources/

·        compatibility/search.php), keďže verejný obstarávateľ vlastní a mieni využiť existujúce softvérové vybavenie VMware a taktiež z dôvodu kompatibility a interoperability s existujúcou infraštruktúrou.

Požiadavky na UPS:

·        UPS Eaton 5PX 3000i RT2U G2 (5PX3000IRT2UG2) + 1ks sieťová manažment karta (NMC) alebo ekvivalent rovnakými alebo lepšími parametrami, s priamou podporou IPM (alebo PCNS) pre riadenie autoshutdown cez vCenter Server

·        Technológia: Line-interactive

·        Konfigurácia: Rack – možnosť osadiť do racku ako 2U zariadenie – vrátane dodania koľajníc

·        Výkon (VA/W): 3000 VA / 3000 W

·        Doba zálohovania:

·        Pre samotné UPS:

o    Pri 50 % vyťažení: 14 min.

o    Pri 70 % vyťažení: 9 min.

·        + 1 EBM:

o    Pri 50 % vyťažení: 66 min.

o    Pri 70 % vyťažení: 38 min.

·            + 4 EBM:

o    Pri 50 % vyťažení: 213 min.

o    Pri 70 % vyťažení: 121 min.

·        Užívateľské rozhranie:

o    Komunikačné porty: USB, RS232, 1 mini svorkovnica pre diaľkové zapnutie, vypnutie a pre diaľkove odstavenie (RPO)

o    Slot pre komunikačné adaptéry: 1 miesto pre NMC Minislot kartu (NMC karta je súčasťou balenia), NMC ModBus/Jbus alebo MC Contacts/Serial

o    Displej: Graficky LCD displej

·        Vstup: C20

·        Výstupy: 8 x C13, 2 x C19 (10 zásuviek so zálohováním a prepäťovou ochranou)

·        Diaľkovo ovládané výstupy: 2 skupiny po 2 x C13

·        Vstupné napätie: rozsah 160-294 V ( nastaviteľné 150-294 V)

·        Výstupné napätie: 230 V

·        Kmitočet: 50-60 Hz ( rozsah pre 50 Hz 47-70 Hz, pre 60 Hz 56.5-70 Hz), 40 Hz v režime s nízkou citlivosťou

·        Záťažové segmenty: 2 skupiny po dvoch individuálne ovládaných zásuvkách

·        Záruka výrobcu na elektroniku 3 roky a batérie 2 roky.

·        COMPLIANCE:

o    IEC/EN 62040-1, IEC/EN 62040-2, IEC/EN 62040-3, RoHS Compliant, REACH, UL 1778, CSA 22.2

·        CERTIFICATIONS:

o    CE, cTUVus, EAC, Cm, UKCA, Ukr, KCC, ENERGY STAR certified

Požiadavky na rack:

·        Serverový rack 42U

·        Rozmer ŠxHxV (600mm x 1000mm x 42U)

·        Perforované predné a zadné dvere

·        Polica 19“

·        PDU C14/8x C13 19“ a C14/6-8x eurozásuvka 19“

Požiadavky na NAS:

·        RackStation 2,2GHz, 4GBRAM, 8xSATA, 2xUSB3.0

·        záruka 5 rokov

·        kapacita 22 TB SATA, 6Gb/s, min. 256MB cache, 7200 ot. – 6ks 

·        čítanie / zápis dát min.: 2300 / 1100 MB/s

·        podpora sieťových kariet 10GbE SFP+/RJ-45 a 25GbE SFP28

·        redundantný zdroj napájania

·        technická a systémová podpora 8/5.

Riešenie musí obsahovať:

·        pokročilú technológiu vytvárania snímkou zaisťujúcu plánovateľnú a temer okamžitú ochranu dát zdieľaných zložiek a jednotiek LUN,

·        obnovu dát na úrovni súborov a zložiek s obnovením konkrétnych súborov alebo zložiek,

·        flexibilný systém kvóty pre zálohy,

·        automatické opravy súborov napr. pomocou zrkadlených metadát a konfiguráciou RAID,

·        vloženú komprimáciu dát pred zápisom na disk,

·        možnosť integrácie s ľubovoľnou virtualizačnou platformou,

·        zálohovanie bez licencií určených k ochrane počítačov a serverov so systémom Windows,

·        virtuálnych počítačov, ďalších súborových serverov a cloudových aplikácií,

·        konsolidáciu úloh zálohovania pre fyzické i virtuálne prostredie s možnosťou rýchleho obnovenia súborov, celých fyzických počítačov a virtuálnych počítačov,

·        zálohovanie v prostredí Google Workspace, Gmail, kontaktov, kalendárov a služby Drive zálohovanie dát sady Microsoft 365, OneDrive for Business, SharePoint Online, e-mailov, kontaktov a kalendárov.

Súčasťou riešenia budú aj inštalačné, konfiguračné a migračné práce:

·        1. Analýza a zber údajov

o    1  Analýza prostredia, plán implementácie, projektové riadenie

·        2. Inštalácia a konfigurácia HW/SW

o    1  Inštalácia a konfigurácia Server (Upgr. Firmware, konfigurácia RAID, nastavenie BIOS, Management)

o    2  Upgrade Firmware UPS MNC

o    2  Upgrade Firmware UPS

o    1  Inštalácia a konfigurácia vSphere ESXi (existujúca licencia)

o    1  Inštalácia a Konfigurácia IPM (alebo obdobného softvéru k UPS podľa bodu 2, vrátane licencie pre min. 3 power nodes

·        3. Inštalácia a konfigurácia Backup/Replica SW

o    1  UPGR. VEEAM BACKUP Infraštruktúry (mng, proxy, repository, ...)

o    1  Nastavenie replikačných jobov vo Veeam B&R

o    1  Opatrenia na zabezpečenie zálohovacej infraštruktúry Veeam, minimalizácia „viditeľnosti“ zálohovacej infraštruktúry v LAN

·        4. Fyzické zapojenie HW

o    1 Montáž rack, polica, PDU

o    1 SERVER - montáž do racku, zapojenie - napájanie, networking, manažment

o    2  UPS – montáž do racku, zapojenie - napájanie, manažment

·        5. Odovzdanie projektu

o    1 Základné zaškolenie

o    1 Základná dokumentácia

3.1

Audit KB

Pre-financovanie auditu kybernetickej bezpečnosti v zmysle §29 zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti, ktorý bude zrealizovaný tesne pred ukončením projektu.

3.2

Aktualizácia AR/BIA

Vzhľadom na odhadované trvanie projektu (viac ako 1 rok), a značné zmeny, ktoré implementácie projektu prinesie, je žiadúce tesne pred ukončením projektu vykonať aj aktualizáciu AR/BIA. Prvotná aktualizácia AR/BIA bude zrealizovaná hneď na začiatku projektu (bod 1.4). Výsledky aj tejto aktualizácie budú nahrané do nástroja na evidenciu aktív a aktualizáciu AR/BIA uvedeného v bode 2.1.

Náklady

Názov modulu

Názov modulu

Názov modulu

Názov modulu

Názov modulu

Názov modulu

Všeobecný materiál

RIA

Riadenie kapacít

Zálohovanie

2FA

SIEM/LMS

BCM

IT - CAPEX

48.252 EUR

15.099 EUR

87.924 EUR

7.814 EUR

108.715 EUR

28.366 EUR

Aplikácie

SW

HW

IT - OPEX- prevádzka

1.242 EUR

4.841 EUR

11.902 EUR

13.939 EUR

2.369 EUR

Aplikácie

SW

HW

ID

FÁZA/AKTIVITA

ZAČIATOK

(odhad termínu)

KONIEC

(odhad termínu)

1.

Prípravná fáza a Iniciačná fáza

06/2024

11/2024

2.

Realizačná fáza

12/2024

02/2026

2a

Analýza a Dizajn

12/2024

05/2025

2b

Nákup technických prostriedkov, programových prostriedkov a služieb

02/2025

07/2025

2c

Implementácia a testovanie

06/2025

01/2026

2d

Nasadenie

12/2025

01/2026

3.

Dokončovacia fáza

01/2026

02/2026

4.

Podpora prevádzky (SLA)

03/2026

03/2030

ID

Meno a Priezvisko

Pozícia

Oddelenie

Rola v projekte

1.

Ing. Miriama Varcholová

odborný zamestnanec

Útvar prednostu mesta - projektový referent a ŠFRB

Projektový manažér

2.

Mgr. František Grich

odborný zamestnanec IT

Útvar prednostu mesta-IT

Manažér kybernetickej bezpečnosti

3.

odborný zamestnanec IT

Odborný zamestnanec IT (Bezpečnostný analytik)

4.

odborný zamestnanec IT

Odborný zamestnanec IT (Implementácia bezpečnostných riešení)