Naposledy upravil Admin-metais MetaIS 2024/11/13 16:17
Z verzie 7.1
upravil Admin-metais MetaIS
-
Zmeniť komentár: Pre túto verziu nie sú komentáre
Do verzie 2.1
upravil jozef_petrik
-
Zmeniť komentár: Pre túto verziu nie sú komentáre

Súhrn

Podrobnosti

Vlastnosti stránky
Nadradený
... ... @@ -1,1 +1,0 @@
1 -Dokumenty.projekt_2872.WebHome
Autor dokumentu
... ... @@ -1,1 +1,1 @@
1 -XWiki.metais@vicepremier\.gov\.sk
1 +projdoc:XWiki.jozef_petrik
Obsah
... ... @@ -1,153 +1,143 @@
1 -(% class="western" style="text-align:center" %)
2 -**PROJEKTOVÝ ZÁMER**
1 +(% style="margin-left: 1.27cm;" align="justify" %)
3 3  
4 -(% class="western" style="text-align:center" %)
5 -**Vzor pre manažérsky výstup I-02**
3 +\\
6 6  
7 -(% class="western" style="text-align:center" %)
8 -**podľa vyhlášky MIRRI č. 401/2023 Z. z.**
5 +(% align="center" %)
6 +**OPIS NAVRHOVANÉHO RIEŠENIA**
9 9  
10 10  
11 -Povinná osoba
12 -Regionálny úrad verejného zdravotníctva 
13 -Názov projektu
14 -Podpora v oblasti kybernetickej a informačnej bezpečnosti RÚVZ 
15 -Zodpovedná osoba za projekt
16 -Ing. Jana Grňo Mikulášiová, manažér kybernetickej bezpečnosti
17 -Realizátor projektu 
18 -Úrad verejného zdravotníctva SR
19 -Vlastník projektu
20 -Ing. Jana Grňo Mikulášiová, manažér kybernetickej bezpečnosti
9 +\\
21 21  
22 -Schvaľovanie dokumentu
23 -Položka
24 -Meno a priezvisko
25 -Organizácia
26 -Pracovná pozícia
27 -Dátum
28 -Podpis
29 -(alebo elektronický súhlas)
30 -Vypracoval
11 +V rámci predloženého projektu sú navrhované nasledovné riešenia:
31 31  
32 -ÚVZ SR
33 33  
14 +\\
34 34  
16 +**Čiastková aktivita a) Organizácia KB,**
35 35  
36 -~1. História DOKUMENTU
37 -Verzia
38 -Dátum
39 -Zmeny
40 -Meno
41 -1.0.
42 -01.07.2024
43 -Vypracovanie dokumentu
44 -\\1.0
45 -22.12.2023
46 -Zapracovanie súladu s vyhláškou č. 401/2023 Z. z.
47 -
18 +Na základe zistených nedostatkov v oblasti riadenia kybernetickej a informačnej bezpečnosti v organizácii sa určuje nasledovný cieľový stav:
48 48  
20 +1. Komplexná bezpečnostná dokumentácia bude novo vypracovaná, pričom zohľadňuje predchádzajúcu dokumentáciu a jej aktualizácie vrátane rozsahu a metód dodržiavania všeobecných bezpečnostných opatrení.
21 +1. Budú novo sa vyvinuté a implementované špecifické interné riadiace akty pre vybrané oblasti kybernetickej a informačnej bezpečnosti.
22 +1. Bude aktualizovaný stav bezpečnostného výboru organizácie.
23 +1. Bude vypracovaný bezpečnostný projekt komplexnej ochrany informačného systému verejnej správy.
49 49  
25 +\\
50 50  
51 -2. ÚČEL DOKUMENTU, SKRATKY (KONVENCIE) A DEFINÍCIE
52 -V súlade s Vyhláškou 401/2023 Z.z. je dokument I-02 Projektový zámer určený na rozpracovanie detailných informácií prípravy projektu, aby bolo možné rozhodnúť o pokračovaní prípravy projektu, pláne realizácie, alokovaní rozpočtu a ľudských zdrojov.
27 +**Čiastková činnosť b) Softvér na automatizované riadenie rizík KB,**
53 53  
54 -V súlade s Vyhláškou MIRRI SR č. 401/2023 Z. z. o riadení projektov a zmenových požiadaviek v prevádzke IT VS je dokument Prístup k projektu určený na rozpracovanie detailných informácií prípravy projektu z pohľadu aktuálneho stavu, budúceho stavu a navrhovaného riešenia.
55 -Dokument Prístup k projektu v zmysle vyššie uvedenej vyhlášky obsahuje opis navrhovaného riešenia, architektúru riešenia projektu na úrovni biznis vrstvy, aplikačnej vrstvy, dátovej vrstvy, technologickej vrstvy, infraštruktúry navrhovaného riešenia, bezpečnostnej architektúry, špecifikáciu údajov spracovaných v projekte, čistenie údajov, prevádzku a údržbu výstupov projektu, prevádzkové požiadavky, požiadavky na zdrojové kódy. Dodávané riešenie bude v súlade so zákonom. Zároveň opisuje aj implementáciu projektu a preberanie výstupov projektu.
56 -Hlavnou motiváciou je realizácia kyberbezpečnostných opatrení definovaných v Z.z. 69/2018 a v zákone o ISVS.
57 -Prioritne jedná o tie opatrenia, ktoré vykazujú najväčší nesúlad s uvedenými právnymi normami a vyhláškou 362/2018 Z. z.. V dôsledku realizácie týchto opatrení budú ÚVZ SR chránené v maximálnej možnej miere pred kybernetickým incidentom, ktorý by mohol mať na poskytovanie služieb a prevádzku ÚVZ SR. 
29 +Na základe zistených nedostatkov v oblasti riadenia rizík kybernetickej a informačnej bezpečnosti v organizácii sa určuje nasledovný cieľový stav:
58 58  
59 -Medzi základné povinnosti je prijatie a dodržiavanie všeobecných bezpečnostných opatrení pre nasledovné oblasti, ktoré sú obsahom projektu:
60 -\\1. Prehodnoténú SM-03 Bezpečnostná politika a stratégia Úradu verejného zdravotníctva s ohľadom na požiadavky nového zákona o KB a príslušných vykonávacích predpisov,
61 -2. Dopracovanú smernicu pre oblasti riadenia bezpečnosti prevádzky sietí a IS/APP,
62 -3. Aktualizovanú SM-25 Smernica, ktorou sa upravuje práca s informačnými technológiami,
63 -4. Nasadený nástroj na automatizáciu analýzy rizík a prehodnotenie a aktualizácia analýzy rizík podľa požiadaviek nového zákona o KB,
64 -5. Spracovávanie inventarizácie aktív a ich klasifikáciu s ohľadom na IS ÚVZ a dokumentovanie vzťahov a závislostí medzi IS ÚVZ a ostatnými používanými systémami a aplikáciami na ÚVZ SR,
65 -6. Prehodnotenú a spracovanú novú SOA (Security Operations Architecture) s ohľadom na novú legislatívu a jej plnenie pre oblasť kybernetickej bezpečnosti,
66 -7. Zavedenú kontrolu dodržiavania bezpečnostných politík zo strany zamestnancov, administrátorov a osôb zastávajúcich niektorú z bezpečnostných rolí,
67 -8. Implementovaný nástroj na detekciu kybernetických bezpečnostných incidentov, ktorý spĺňa všetky požiadavky Vyhlášky § 17, ods. 03 a ods. 04,
68 -9. Navrhnutý a zdokumentovaný efektívny spôsob kontroly pre účely zaručenia, že prevádzka, používanie a manažment siete a informačného systému je v súlade s vnútornými predpismi a zmluvnými záväzkami,
69 -10. Prehodnotenú a aktualizovanú smernicu v oblasti SM-51 Smernica Riadenie kontinuity procesov a činností a spracované nové BCP/DRP plány potrebné na zabezpečenie kontinuity činností podľa nového zákona o KB,
70 -~11. Aktualizovaná SM-44 Smernica o klasifikácii informácií na Úrade verejného zdravotníctva Slovenskej republiky,
71 -12. Zanalyzované existujúce prostredie ÚVZ SR s ohľadom na vzniknutý systém IS ÚVZ a vytvorené záznamy o identifikovaných vzťahoch a súvislostiach,
72 -13. Zanalyzovaný spôsob efektívnej realizácie monitoringu zariadení, činností, sietí, IS a APP v prostredí ÚVZ SR a zabezpečenú podporu pre vybraté riešenie pri jeho nasadení a spustení do prevádzky.
31 +1. Všetky aktíva súvisiace so spracovaním informácií a centrálnym inventárnym záznamovým zariadením budú identifikované ich hodnotou a s označením ich vlastníka, ktorý definuje ich požiadavky na dôvernosť, dostupnosť a integritu (EAM).
73 73  
74 -Cieľom projektu je, aby po jeho realizácii naša inštitúcia dosiahla čo možno najväčší súlad s NIS2, Zákonom o kyberbezpečnosti, ako aj Zákonom o ISVS.
33 +1. Riadenie rizík bude automatizované pomocou nástroja, pozostávajúce z identifikácie zraniteľnosti, identifikácie hrozieb, identifikácie rizík a analýzy rizík s ohľadom na aktíva, určenia vlastníka rizika a implementácie organizačných a technických bezpečnostných opatrení, funkčnej analýzy dopadov a pravidelného prehodnocovania identifikovaných rizík v závislosti od aktualizácie prijatých bezpečnostných opatrení.
75 75  
76 -2.1 Použité skratky a pojmy
35 +1. Bude implementovaný automatizovaný systém správy a registrácie pre inventarizáciu majetku (EAM/).
77 77  
78 -SKRATKA/POJEM
79 -POPIS
80 - KIB
81 - Kybernetická a informačná bezpečnosť 
82 - IT
83 - Informačné technológie 
84 - VS
85 -Verejná správa 
86 -ITVS
87 - Informačné technológie verejnej správy
88 -NFP
89 - Nenávratný finančný príspevok 
90 -OP SK
91 -Operačný program SLovensko
92 -ÚVZ SR 
93 - Úrad verejného zdravotníctva SR
94 -RÚVZ
95 - Regionálny úrad verejného zdravotníctva 
96 -MZ SR
97 - Ministerstvo zdravotníctva SR
98 -NKIVS
99 - Národná koncepcia informatizácie verejnej správy 
100 -ZoBK
101 -Zákon o kybernetickej bezpečnosti
102 -SOA
103 -Security Operations Architecture
104 -SOC
105 -Security Operation Center
37 +1. Bude implementovaný automatizovaný systém riadenia a registrácie pre katalogizáciu hrozieb.
106 106  
107 -2.2 Konvencie pre typy požiadaviek (príklady)
39 +* Bude zavedený sa automatizovaný systém riadenia a registrácie pre katalogizáciu rizík a opatrení.
108 108  
109 -Zvoľte si konvenciu pre označovanie požiadaviek, súborov, atd. Hlavné kategórie požiadaviek v zmysle katalógu požiadaviek, rozdeľujeme na funkčné (funkcionálne), nefunkčné (kvalitatívne, výkonové a pod.). Podskupiny v hlavných kategóriách je možné rozšíriť podľa potrieb projektu, napríklad:
110 -Funkcionálne (používateľské) požiadavky majú nasledovnú konvenciu:
111 -FRxx
112 - • U – užívateľská požiadavka
113 - • R – označenie požiadavky
114 - • xx – číslo požiadavky
115 -Nefunkčné (kvalitatívne, výkonové - Non Functional Requirements - NFR) požiadavky majú nasledovnú konvenciu:
116 -NRxx
117 - • N – nefukčná požiadavka (NFR)
118 - • R – označenie požiadavky
119 - • xx – číslo požiadavky
120 -Ostatné typy požiadaviek môžu byť ďalej definované objednávateľom/PM.
41 +- Sú identifikované všetky aktíva súvisiace so zariadením na spracovanie informácií a centrálne zaznamenávanie inventára týchto aktív podľa ich hodnoty a s určením ich vlastníka, ktorý definuje požiadavky na ich dôvernosť, dostupnosť a integritu (EAM).
121 121  
43 +- **Sú automatizovane pomocou nástroja riadené riziká** skladajúce sa z identifikácie zraniteľností, identifikácie hrozieb, identifikácie rizík a analýzy rizík s ohľadom na aktíva, určenie vlastníka rizika a implementácie organizačných a technických bezpečnostných opatrení, analýzy funkčného dopadu a pravidelného preskúmavania identifikovaných rizík v závislosti od aktualizácií prijatých bezpečnostných opatrení.
122 122  
45 +- Je implementovaný automatizovaný riadiaci a evidenčný systém pre inventarizáciu aktív (EAM/GRC).
123 123  
124 -3. DEFINOVANIE PROJEKTU
47 +- Je implementovaný automatizovaný riadiaci a evidenčný systém pre katalogizáciu hrozieb (GRC).
125 125  
126 -3.1 Manažérske zhrnutie
49 +- Je implementovaný automatizovaný riadiaci a evidenčný systém pre katalogizáciu rizík a opatrení (GRC).- predpokladaná prácnosť v človekodňoch: 80
127 127  
128 -Úrad verejného zdravotníctva SR ako prevádzkovateľ základnej služby zapísanej v registri prevádzkovateľov základných služieb má povinnosti, ktoré vyplývajú zo ZoKB. Medzi základné povinnosti je prijatie a dodržiavanie všeobecných bezpečnostných opatrení pre nasledovné oblasti:
129 -\\1. Prehodnoténú SM-03 Bezpečnostná politika a stratégia Úradu verejného zdravotníctva s ohľadom na požiadavky nového zákona o KB a príslušných vykonávacích predpisov,
130 -2. Dopracovanú smernicu pre oblasti riadenia bezpečnosti prevádzky sietí a IS/APP,
131 -3. Aktualizovanú SM-25 Smernica, ktorou sa upravuje práca s informačnými technológiami,
132 -4. Nasadený nástroj na automatizáciu analýzy rizík a prehodnotenie a aktualizácia analýzy rizík podľa požiadaviek nového zákona o KB,
133 -5. Spracovávanie inventarizácie aktív a ich klasifikáciu s ohľadom na IS ÚVZ a dokumentovanie vzťahov a závislostí medzi IS ÚVZ a ostatnými používanými systémami a aplikáciami na ÚVZ SR,
134 -6. Prehodnotenú a spracovanú novú SOA (Security Operations Architecture) s ohľadom na novú legislatívu a jej plnenie pre oblasť kybernetickej bezpečnosti,
135 -7. Zavedenú kontrolu dodržiavania bezpečnostných politík zo strany zamestnancov, administrátorov a osôb zastávajúcich niektorú z bezpečnostných rolí,
136 -8. Implementovaný nástroj na detekciu kybernetických bezpečnostných incidentov, ktorý spĺňa všetky požiadavky Vyhlášky § 17, ods. 03 a ods. 04,
137 -9. Navrhnutý a zdokumentovaný efektívny spôsob kontroly pre účely zaručenia, že prevádzka, používanie a manažment siete a informačného systému je v súlade s vnútornými predpismi a zmluvnými záväzkami,
138 -10. Prehodnotenú a aktualizovanú smernicu v oblasti SM-51 Smernica Riadenie kontinuity procesov a činností a spracované nové BCP/DRP plány potrebné na zabezpečenie kontinuity činností podľa nového zákona o KB,
139 -~11. Aktualizovaná SM-44 Smernica o klasifikácii informácií na Úrade verejného zdravotníctva Slovenskej republiky,
140 -12. Zanalyzované existujúce prostredie ÚVZ SR s ohľadom na vzniknutý systém IS ÚVZ a vytvorené záznamy o identifikovaných vzťahoch a súvislostiach,
141 -13. Zanalyzovaný spôsob efektívnej realizácie monitoringu zariadení, činností, sietí, IS a APP v prostredí ÚVZ SR a zabezpečenú podporu pre vybraté riešenie pri jeho nasadení a spustení do prevádzky
51 +\\
142 142  
143 -Jednotlivé organizačné jednotky (OZ), teda regionálne úrady verejného zdravotníctva (ktorých je 36) využívajú centrálny informačný systém (IS ÚVZ), tzn. že každá OZ, ak sa stane terčom kybernetického útoku, ohrozuje fungovanie IS ÚVZ ako celku a môže spôsobiť odstavenie celého systému. V dôsledku toho je nevyhnutné, aby navrhovaným systémov disponovalo nie len ÚVZ, ale aj všetky RÚVZ.
53 +__Nástroj na riadenie zistených aktív a rizík bude poskytovať nasledujúce funkcionality:__
144 144  
145 -Zasielané udalosti sú v jednotlivých organizáciách na vstupe prijaté, označkované a parsované podľa technológie. Následne sú buď vhodnými základnými pravidlami produktu a implementačnými pravidlami na mieru spracované, aby bolo možné s nimi vytvárať potrebné navrhnuté scenáre. Ďalej sú uložené a vizualizované buď prostredníctvom základných nástrojov, alebo v budúcnosti vyššou formou pomocou integračnej platformy. Implementácia zahŕňa vytvorenie prístupových oprávnení v súlade s požiadavkami na viditeľnosť a spracovanie dát a následnú vizualizáciu.
55 +- Evidenciu aktív, rizík i hrozieb,
146 146  
147 -Prevádzkové informácie budú zobrazovať aktuálne informácie o stave logovaných ICT systémov jednotlivých organizácií. Nad týmito logmi bude vykonané parsovanie a následne sa uložia do centrálneho dátového skladu, kde bude možné s týmito dátami ďalej pracovať. Primárne sa jedná o nepretržitý zber logov a monitorovanie prevádzky ICT technológií, systémov, aplikácií, stavu kybernetického a fyzického zabezpečenia a poskytovanie dát a informácií pre riešenie odchýlok a nápravných opatrení. Všetky údaje uložené v dátovom sklade budú podrobené procesu sledovania a vyhodnocovania podľa nižšie uvedených scenárov. Tým bude zabezpečené sledovanie jednotlivých systémov podľa nariadenia NIS2. Jednotlivé zistenia budú automaticky evidované v systéme na riadenie bezpečnosti, ktorý riadi všetky zistené riziká a navrhuje vhodné opatrenia. Takto evidované a riadené sledovanie logov povedie k včasnej detekcii rizík a ich okamžitej náprave.
57 +- Automatické hodnotenie a kalkulácia rizík a hrozieb,
148 148  
149 -Z pohľadu kompletného zberu logov bude vyhodnocované:
150 -- prihlasovanie a odhlasovanie ku všetkým účtom, vrátane neúspešných pokusov
59 +- Zvládanie opatrení navrhnutá softvérovo,
60 +
61 +- Automatická detekcia znižovania rizík a rekvalifikácia pôvodných aktív a hrozieb,
62 +
63 +- Automatické generovanie podkladov pre audit,
64 +
65 +- Integrácia s ostatnými systémami pre automatické zakladanie aktív,
66 +
67 +- Podpora štandardov ISO27001, KyBe (NIS2), TISAX, DORA,
68 +
69 +- Generovanie dokumentov ZHR, POA a PZR pre audit,
70 +
71 +- Notifikácia opatrení,
72 +
73 +\\
74 +
75 +\\
76 +
77 +**Čiastková činnosť c) Personálna bezpečnosť,**
78 +
79 +Na základe zistených nedostatkov v oblasti personálnej bezpečnosti v organizácii je stanovený nasledovný cieľový stav:
80 +
81 +1. Bude vyvinutý postup na priradenie osoby k jednej z rolí zabezpečenia
82 +1. Bude zavedený plán na rozvoj bezpečnostného povedomia a vzdelávania
83 +1. Bude vyvinutá  metóda hodnotenia účinnosti rozvojového plánu bezpečnostného povedomia
84 +1. Budú určené  pravidlá a postupy pri riešení porušení bezpečnostnej politiky
85 +1. Budú zavedené postupy na ukončenie pracovného pomeru
86 +1. Budú zavedené postupy pre prípady porušenia bezpečnostných politík
87 +1. Bude vypracovaný a aktualizovaný  akt vnútorného riadenia s bezpečnostnými zásadami pre koncových používateľov
88 +1. Postupy a procesy, ktorými sa riadi personálna bezpečnosť organizácie, budú vypracované a implementované prostredníctvom interného riadiaceho aktu.
89 +1. Bude vyhotovený automatizovaný systém riadenia a evidencie pre prácu s organizačnou štruktúrou je implementovaný s prepojením na technické získavanie existujúcich informácií z dostupných technických zdrojov – najmä MS AD.
90 +
91 +\\
92 +
93 +**Čiastková aktivita k) Softvér na zaznamenávanie udalostí a monitoring sietí a IS,**
94 +
95 +Na základe zistených nedostatkov v oblasti zaznamenávania a monitorovania udalostí je stanovený nasledovný cieľový stav:
96 +
97 +1. Implementovaný bude centrálny log management systém pre zber a ukladanie logov z jednotlivých informačných systémov s podporou napojenia na riadiace systémy a poskytovania potrebných podporných dát.
98 +
99 +1. Bude vypracovaná  dokumentácia metód monitorovania a fungovania systému správy log a centrálneho nástroja na monitorovanie bezpečnosti a bude definovaný  spôsob evidencie prevádzkových záznamov, ich vyhodnocovanie, spôsoby hlásenia podozrivej činnosti, zodpovedné osoby a ďalšie povinnosti.
100 +
101 +1. Vytvorí sa špecifikácia všetkých udalostí, ktoré sa musia zaznamenávať, a súvisiaca konfigurácia prvkov informačných technológií verejnej správy vrátane dokumentácie rozsahu údajov zaznamenaných v protokolových súboroch.
102 +
103 +* Bude vypracovaný sa vnútorný zákon o riadení, ktorý obsahuje a upravuje povinnosti stanovené platnou legislatívou.
104 +
105 +
106 +\\
107 +
108 +**Softvér na zaznamenávanie udalostí a monitoring sietí a IS bude spĺňať minimálne nasledovné požiadavky:**
109 +
110 +**LogManagement s neobmedzeným zberom logov vrátane HW**
111 +• Spracovanie udalostí z rôznych zdrojov logov naprieč výrobcami aplikácií, operačných systémov a sieťového hardvéru,
112 +• Možnosť dopísania parseru pre zariadenie aktuálne nepodporované výrobcom bez nutnosti spolupráce s výrobcom alebo dodávateľom (vr. subdodávateľov) ponúkaného systému,
113 +• Systém štandardizuje prijaté logy do jednotného formátu a logy sú parserované (rozdeľované) do príslušných políčok podľa ich typu,
114 +• Nad takto štandardizovanými dátami systém automaticky vytvára indexy pre rýchlejšie vyhľadávanie pre všetky polia štandardizovaného logu,
115 +• Všetky rozparsované položky prijaté systémom sú automaticky indexované. Nad všetkými položkami je možné ihneď vykonávať vyhľadávanie bez nutnosti dodatočného ručného indexovania administrátorom,
116 +• Systém nesmie umožniť mazanie alebo modifikovanie už uložených logov,
117 +• Konsolidácia logov na centrálnom mieste,
118 +• Jednoduché vyhľadávanie udalostí (ad hoc) bez nutnosti programovania,
119 +• Grafické znázornenie udalostí (grafy udalostí),
120 +• Grafické znázornenie TOP udalostí nad všetkými dátami za určité časové obdobie,
121 +• Automatické doplňovanie GeoIP informácií k udalostiam a ich grafické znázornenie na mape,
122 +• Automatické doplňovanie reverzných DNS záznamov k IP adresám,
123 +• V prípade preťaženia systému sú udalosti ukladané do vyrovnávacej pamäte,
124 +•  Unifikované vyhľadávanie naprieč všetkými typmi dát a zariadení, 
125 +•  HW dimenzovaný na zber logov aspoň po dobu 12 mesiacov, 
126 + • HW vrátane virtualizačného riešenia,  
127 +
128 +\\
129 +
130 +__**Zdôvodnenie nevyhnutnosti výdavku:**__
131 +
132 +Vo štvrtom štvrťroku 2024 nadobudne účinnosť nová legislatívna úprava premietajúca smernicu EÚ NIS2.
133 +\\__Nová povinnosť riadiť riziká dopadne na oveľa širší okruh subjektov, než tomu bolo doteraz. Pre tieto subjekty je určený systém zberu a riadenia logov s online vyhodnocovaním a napojením na systém riadenia rizík.__ Tým sa zabezpečí neustály prehľad o možných hrozbách, ich včasná identifikácia a zhodnotenie, ako aj návrh riešení pri riadení rizík. Toto riešenie popisuje možnosti pre vybudovanie centrálnej platformy, ktorá bude v prvej fáze zameraná na zber logov pomocou sofistikovaného nástroja, ich parsovanie a vyhodnocovanie na základe jednotlivých scenárov podľa nariadenia NIS2, aby sa zabezpečil bezpečný chod a včasná detekcia hrozieb všetkých organizácií. Systém bude obsahovať aj samotné riadenie aktív a rizík, aby detekované problémy boli automaticky zachytené v samostatnom systéme, kde prebehne ich vyhodnotenie. Riešenie bude realizované na výkonnom serveri tzv. „ALL in one box“. Dôležitou časťou inštalácie je konfigurácia technických aktív, aby zasielali relevantné záznamy.
134 +\\
135 +
136 +__**Jednotlivé organizačné jednotky (OZ), teda regionálne úrady verejného zdravotníctva (ktorých je 36) využívajú centrálny informačný systém (IS ÚVZ), tzn. že každá OZ, ak sa stane terčom kybernetického útoku, ohrozuje fungovanie IS ÚVZ ako celku a môže spôsobiť odstavenie celého systému. V dôsledku toho je nevyhnutné, aby navrhovaným systémov disponovalo nie len ÚVZ, ale aj všetky RÚVZ. **__
137 +\\Zasielané udalosti sú v jednotlivých organizáciách na vstupe prijaté, označkované a parsované podľa technológie. Následne sú buď vhodnými základnými pravidlami produktu a implementačnými pravidlami na mieru spracované, aby bolo možné s nimi vytvárať potrebné navrhnuté scenáre. Ďalej sú uložené a vizualizované buď prostredníctvom základných nástrojov, alebo v budúcnosti vyššou formou pomocou integračnej platformy. Implementácia zahŕňa vytvorenie prístupových oprávnení v súlade s požiadavkami na viditeľnosť a spracovanie dát a následnú vizualizáciu.
138 +\\Prevádzkové informácie budú zobrazovať aktuálne informácie o stave logovaných ICT systémov jednotlivých organizácií. Nad týmito logmi bude vykonané parsovanie a následne sa uložia do centrálneho dátového skladu, kde bude možné s týmito dátami ďalej pracovať. Primárne sa jedná o nepretržitý zber logov a monitorovanie prevádzky ICT technológií, systémov, aplikácií, stavu kybernetického a fyzického zabezpečenia a poskytovanie dát a informácií pre riešenie odchýlok a nápravných opatrení. Všetky údaje uložené v dátovom sklade budú podrobené procesu sledovania a vyhodnocovania podľa nižšie uvedených scenárov. Tým bude zabezpečené sledovanie jednotlivých systémov podľa nariadenia NIS2. Jednotlivé zistenia budú automaticky evidované v systéme na riadenie bezpečnosti, ktorý riadi všetky zistené riziká a navrhuje vhodné opatrenia. Takto evidované a riadené sledovanie logov povedie k včasnej detekcii rizík a ich okamžitej náprave.
139 +\\__Z pohľadu kompletného zberu logov bude vyhodnocované:__
140 +//- prihlasovanie a odhlasovanie ku všetkým účtom, vrátane neúspešných pokusov
151 151  - vykonanie a neúspešný pokus o vykonanie privilegovanej činnosti
152 152  - manipulácia a neúspešný pokus o manipuláciu s účtami, oprávneniami a právami
153 153  - neuskutočnenie činností v dôsledku nedostatku prístupových práv alebo oprávnení
... ... @@ -156,312 +156,371 @@
156 156  - prístup a neúspešný pokus o prístup k záznamom udalostí
157 157  - manipulácia a neúspešný pokus o manipuláciu so záznamami udalostí
158 158  - zmenu a neúspešný pokus o zmenu nastavení nástrojov na zaznamenávanie udalostí
159 -- ďalšie činnosti používateľov, ktoré môžu mať vplyv na bezpečnosť regulovanej služby.
149 +- ďalšie činnosti používateľov, ktoré môžu mať vplyv na bezpečnosť regulovanej služby.//
160 160  
151 +(% align="justify" %)
152 +\\
161 161  
162 -Výsledky projektu a cieľový stav (manažérske produkty)
163 -\\Čiastková aktivita a) Organizácia KB, 
164 -Na základe zistených nedostatkov v oblasti riadenia kybernetickej a informačnej bezpečnosti v organizácii sa určuje nasledovný cieľový stav:
165 -Komplexná bezpečnostná dokumentácia bude novo vypracovaná, pričom zohľadňuje predchádzajúcu dokumentáciu a jej aktualizácie vrátane rozsahu a metód dodržiavania všeobecných bezpečnostných opatrení.
166 -Budú novo sa vyvinuté a implementované špecifické interné riadiace akty pre vybrané oblasti kybernetickej a informačnej bezpečnosti.
167 -Bude aktualizovaný stav bezpečnostného výboru organizácie.
168 -Bude vypracovaný bezpečnostný projekt komplexnej ochrany informačného systému verejnej správy.
169 -\\Čiastková činnosť b) Riadenie rizík KB, 
170 -Na základe zistených nedostatkov v oblasti riadenia rizík kybernetickej a informačnej bezpečnosti v organizácii sa určuje nasledovný cieľový stav:
171 -Všetky aktíva súvisiace so spracovaním informácií a centrálnym inventárnym záznamovým zariadením budú identifikované ich hodnotou a s označením ich vlastníka, ktorý definuje ich požiadavky na dôvernosť, dostupnosť a integritu (EAM).
172 -Riadenie rizík bude automatizované pomocou nástroja, pozostávajúce z identifikácie zraniteľnosti, identifikácie hrozieb, identifikácie rizík a analýzy rizík s ohľadom na aktíva, určenia vlastníka rizika a implementácie organizačných a technických bezpečnostných opatrení, funkčnej analýzy dopadov a pravidelného prehodnocovania identifikovaných rizík v závislosti od aktualizácie prijatých bezpečnostných opatrení.
173 -Bude implementovaný automatizovaný systém správy a registrácie pre inventarizáciu majetku (EAM/).
174 -Bude implementovaný automatizovaný systém riadenia a registrácie pre katalogizáciu hrozieb.
175 -Bude zavedený sa automatizovaný systém riadenia a registrácie pre katalogizáciu rizík a opatrení.
176 -\\Čiastková činnosť c) Personálna bezpečnosť, 
177 -Na základe zistených nedostatkov v oblasti personálnej bezpečnosti v organizácii je stanovený nasledovný cieľový stav:
178 -Bude vyvinutý postup na priradenie osoby k jednej z rolí zabezpečenia
179 -Bude zavedený plán na rozvoj bezpečnostného povedomia a vzdelávania
180 -Bude vyvinutá metóda hodnotenia účinnosti rozvojového plánu bezpečnostného povedomia
181 -Budú určené pravidlá a postupy pri riešení porušení bezpečnostnej politiky
182 -Budú zavedené postupy na ukončenie pracovného pomeru
183 -Budú zavedené postupy pre prípady porušenia bezpečnostných politík
184 -Bude vypracovaný a aktualizovaný akt vnútorného riadenia s bezpečnostnými zásadami pre koncových používateľov
185 -Postupy a procesy, ktorými sa riadi personálna bezpečnosť organizácie, budú vypracované a implementované prostredníctvom interného riadiaceho aktu.
186 -Bude vyhotovený automatizovaný systém riadenia a evidencie pre prácu s organizačnou štruktúrou je implementovaný s prepojením na technické získavanie existujúcich informácií z dostupných technických zdrojov – najmä MS AD.
187 -\\Čiastková aktivita k) Zaznamenávanie udalostí a monitoring sietí a IS, 
188 -Na základe zistených nedostatkov v oblasti zaznamenávania a monitorovania udalostí je stanovený nasledovný cieľový stav:
189 -Implementovaný bude centrálny log management systém pre zber a ukladanie logov z jednotlivých informačných systémov s podporou napojenia na riadiace systémy a poskytovania potrebných podporných dát.
190 -Bude vypracovaná dokumentácia metód monitorovania a fungovania systému správy log a centrálneho nástroja na monitorovanie bezpečnosti a bude definovaný spôsob evidencie prevádzkových záznamov, ich vyhodnocovanie, spôsoby hlásenia podozrivej činnosti, zodpovedné osoby a ďalšie povinnosti.
191 -Vytvorí sa špecifikácia všetkých udalostí, ktoré sa musia zaznamenávať, a súvisiaca konfigurácia prvkov informačných technológií verejnej správy vrátane dokumentácie rozsahu údajov zaznamenaných v protokolových súboroch.
192 -Bude vypracovaný sa vnútorný zákon o riadení, ktorý obsahuje a upravuje povinnosti stanovené platnou legislatívou.
154 +(% align="justify" %)
155 +\\
193 193  
157 +(% align="justify" %)
158 +**Čiastková činnosť o) Audítorská a kontrolná činnosť,**
194 194  
160 +(% align="justify" %)
161 +Na základe zistených nedostatkov v oblasti audítorských a kontrolných činností sa stanovuje nasledovný cieľový stav:
195 195  
196 -3.2 Ciele projektu
163 +1. Bude vypracovaný program hodnotenia bezpečnosti pre definované informačné technológie verejnej správy, hodnotenie zraniteľnosti a penetračné testy.
164 +1. Bude realizovaný audit kybernetickej bezpečnosti, ktorý sa vykonáva v súlade so zákonom o kybernetickej bezpečnosti a smernicou NIS2.
165 +1. Budú vykonávané pravidelné externé testy zraniteľnosti, penetračné testy v nevyhnutnom rozsahu.
166 +1. Automatizované nástroje budú implementované a používané na technickú podporu riadenia bezpečnosti a audítorských činností.
167 +1. Podporné nástroje pre správu budú naplnené údajmi o existencii a stave technických a aplikačných aktív automatizovaným a technickým spôsobom.
168 +1. Základ pre audítorské a kontrolné činnosti bude vytvorený technicky na základe skutočného prevádzkového stavu majetku s prípustným oneskorením do 10 minút.
169 +1. Dokumenty pre audítorské a kontrolné činnosti budú vždy obsahovať technické diferenčné správy s presným vyznačením zmien vstupov z predchádzajúceho obdobia.
170 +1. Podporné nástroje pre správu minimalizujú ľudské chyby a maximálne využívajú napojenie existujúcich informácií o aktívach a používateľoch na technické zdroje – najmä MS Active Directory, API prístup do systému Log Management a importy výstupov zraniteľnosti.
197 197  
198 -Do tabuliek nižšie doplniť CIEĽ /CIELE PROJEKTU, ich mapovanie na strategické ciele (napr. z NKIVS, KRIT a iných strategických dokumentov) a súvisiace merateľné ukazovatele (KPI- key performance indicators). Ciele musia byť S.M.A.R.T. - konkrétne, merateľné, dosiahnuteľné, relevantné, časovo ohraničené.
172 +\\
199 199  
200 -ID
174 +(% align="justify" %)
175 +Tieto bezpečnostné opatrenia budú realizované v zmysle schválenej bezpečnostnej dokumentácie, ktorá musí byť aktuálna a musí zodpovedať reálnemu stavu. RÚVZ je povinný preveriť účinnosť prijatých bezpečnostných opatrení a plnenie požiadaviek stanovených zákonom vykonaním auditu kybernetickej bezpečnosti v stanovenom rozsahu.
201 201  
202 202  
203 -3.3 Merateľné ukazovatele (KPI)
178 +\\
204 204  
205 205  
206 -**__Základné ciele projektu:__**
181 +\\
207 207  
208 -* Aktualizácia stratégie kybernetickej bezpečnosti,
209 -* Aktualizácie bezpečnostnej politiky KB vrátane implementačnej dokumentácie, v súlade s  Príloha – Manažérske Produkty,
210 -* Vykonávanie inventarizácie aktív, klasifikácie informácií a kategorizácie sietí a interných systémov,
211 -* Stabilizácia riadenia rizík – aktualizácia analýzy rizík a analýzy dopadov a nasadenie nástroja Asset Inventory, Threats, Risks and Measures (EAM/),
212 -* Implementácia nástroja na zaznamenávanie a monitorovanie udalostí (Log Management)
213 -* Implementácia auditu KB, procesu riadenia a kontroly dodržiavania predpisov.
183 +(% class="" %)|(((
184 +(% align="center" %)
185 +Architektúra riešenia projektu na úrovni biznis vrstvy
186 +)))|(((
187 +(% align="center" %)
188 +**V rámci projektu nie sú realizované technické riešenia, preto je tento opis pre žiadateľa nerelevantný**
189 +)))
190 +(% class="" %)|(((
191 +(% align="center" %)
192 +Architektúra riešenia projektu na úrovni aplikačnej vrstvy
193 +)))|(((
194 +(% align="center" %)
195 +**V rámci projektu nie sú realizované technické riešenia, preto je tento opis pre žiadateľa nerelevantný**
196 +)))
197 +(% class="" %)|(((
198 +(% align="center" %)
199 +Architektúra riešenia projektu na úrovni dátovej vrstvy
200 +)))|(((
201 +(% align="center" %)
202 +**V rámci projektu nie sú realizované technické riešenia, preto je tento opis pre žiadateľa nerelevantný**
203 +)))
204 +(% class="" %)|(((
205 +(% align="center" %)
206 +Architektúra riešenia projektu na úrovni technologickej vrstvy
207 +)))|(((
208 +(% align="center" %)
209 +**V rámci projektu nie sú realizované technické riešenia, preto je tento opis pre žiadateľa nerelevantný**
210 +)))
211 +(% class="" %)|(((
212 +(% align="center" %)
213 +Infraštruktúra navrhovaného riešenia
214 +)))|(((
215 +(% align="center" %)
216 +**V rámci projektu nie sú realizované technické riešenia, preto je tento opis pre žiadateľa nerelevantný**
217 +)))
218 +(% class="" %)|(((
219 +(% align="center" %)
220 +Bezpečnostná architektúra
221 +)))|(((
222 +(% align="center" %)
223 +**V rámci projektu nie sú realizované technické riešenia, preto je tento opis pre žiadateľa nerelevantný**
224 +)))
225 +(% class="" %)|(((
226 +(% align="center" %)
227 +Špecifikácia údajov spracovaných v projekte, čistenie údajov
228 +)))|(((
229 +(% align="center" %)
230 +**V rámci projektu nie sú realizované technické riešenia, preto je tento opis pre žiadateľa nerelevantný**
231 +)))
232 +(% class="" %)|(((
233 +(% align="center" %)
234 +Závislosti na ostatné IS/Projekty
235 +)))|(((
236 +(% align="center" %)
237 +**Áno**
238 +)))
239 +(% class="" %)|(((
240 +(% align="center" %)
241 +Zdrojové kódy
242 +)))|(((
243 +(% align="center" %)
244 +**V rámci projektu nie sú realizované technické riešenia, preto je tento opis pre žiadateľa nerelevantný**
245 +)))
246 +(% class="" %)|(((
247 +(% align="center" %)
248 +Prevádzka a údržba výstupov projektu
249 +)))|(((
250 +(% align="center" %)
251 +**V rámci projektu nie sú realizované technické riešenia, preto je tento opis pre žiadateľa nerelevantný**
252 +)))
253 +(% class="" %)|(((
254 +(% align="center" %)
255 +Požiadavky na personál
256 +)))|(((
257 +(% align="center" %)
258 +**V rámci projektu nie sú realizované technické riešenia, preto je tento opis pre žiadateľa nerelevantný**
259 +)))
260 +(% class="" %)|(((
261 +(% align="center" %)
262 +Implementácia a preberanie výstupov projektu
263 +)))|(((
264 +(% align="center" %)
265 +**Áno**
266 +)))
214 214  
268 +(% align="justify" %)
215 215  
216 -Pozn.
217 -
270 +\\
218 218  
219 -Vysvetlivky k vyplneniu tabuľky:
220 - • Vzory merateľných ukazovateľov pre projekt sú publikované v Checkliste pre agendu Merateľné ukazovatele/KPI ([[https:~~/~~/www.mirri.gov.sk/sekcie/informatizacia/riadenie-kvality-qa/riadenie-kvality-qa/index.html>>url:https://www.mirri.gov.sk/sekcie/informatizacia/riadenie-kvality-qa/riadenie-kvality-qa/index.html||shape="rect"]] )
221 - • AS IS merateľné ukazovatele – t. j. popíšte, aké merateľné ukazovatele máte teraz (vpíšte výsledky meraní – v merateľných jednotkách) .
222 - • TO BE merateľné ukazovatele – t. j. popíšte cieľové merateľné ukazovatele, ktoré chcete dosiahnuť. 
223 - • Odporúčame, aby váš budúci IS mal automatizovaný monitoring (na pravidelnej báze, napr. týždenne) vami stanovených merateľných ukazovateľov – s cieľom, aby ste mohli riadiť službu, produkt, proces, ľudí
224 - • V prípade financovania cez zdroje EÚ uvádzať aj Projektové merateľné ukazovatele z operačného programu (špecifické ciele, merateľné ukazovatele atď).
225 -.
226 -3.4 Riziká a závislosti
272 +(% align="justify" %)
227 227  
228 -Zoznam rizík a závislostí realizácie projektu:
229 -Realizácia projektu na zabezpečenie kyberbezpečnosti financovaného z fondov EÚ môže čeliť viacerým rizikám.
230 -\\1. Nedodržanie harmonogramu aktivít
231 -Riziko spočíva v nedodržiavaní harmonogramu aktivít projektu, ktoré by vyústilo do oneskorenia projektu. 
232 -\\Opatrenia na elimináciu: 
233 -V rámci prípravy projektu bol harmonogram jednotlivých aktivít zostavený tak aby zodpovedal možnostiam žiadateľa.
234 -\\Na elimináciu rizika nedodržania harmonogramu aktivít projektu je potrebné prijať niekoľko opatrení, ktoré zabezpečia efektívne riadenie času a zdrojov. Tu sú niektoré z nich:
274 +\\
235 235  
236 -a) Dôkladné plánovanie:
237 - - žiadateľ má vypracovaný detailný projektový plán so všetkými aktivitami, úlohami a milníkmi.
238 - - žiadateľ využil osvedčené metódy plánovania, ako sú Ganttove diagramy alebo PERT (Program Evaluation and Review Technique).
276 +(% align="center" %)
239 239  
240 -b) Realistické časové odhady:
241 - - v rámci žiadosti boli stanoviné realistické časové rámce pre jednotlivé aktivity na základe skúseností a po porade s odbornými konzultantmi,
242 - - do riadenia a plánovania bol zapojený projektový tím, ktorý bude úlohy vykonávať, aby sa zabezpečila realistickosť odhadov.
278 +\\
243 243  
244 -c) Identifikácia kritických ciest:
245 - - žiadateľ určil kritické cesty (critical paths) v projekte, ktoré majú najväčší vplyv na celkový harmonogram.
246 - - žiadateľ bude pravidelne sledovať postup na týchto kritických cestách a zabezpečí, aby nedošlo k žiadnym oneskoreniam.
280 +(% align="center" %)
247 247  
248 -d) Rezervy na nepredvídané udalosti:
249 - - žiadateľ v rámci stanovenia aktivity projektu zahrnúl do plánu časové rezervy (buffer times) na pokrytie nepredvídaných udalostí alebo oneskorení.
250 - - projektový a odborný tím žiadateľa je pripravený flexibilne prispôsobiť plán pri výskyte neočakávaných situácií.
282 +\\
251 251  
252 -e) Pravidelný monitoring a kontrola:
253 - - žiadateľ bude mať v rámci realizácie projektu zavedený zavedený systém pravidelného monitorovania postupu projektu a porovnávania s harmonogramom.
254 - - súčasne budú používané softvérové nástroje na riadenie projektov, ktoré umožňujú sledovanie priebehu v reálnom čase.
284 +(% align="center" %)
255 255  
256 -f) Efektívna komunikácia:
257 - - žiadateľ má zavedené pravidelné stretnutia projektového tímu na hodnotenie postupu a riešenie problémov.
258 - - žiadateľ zabezpečí udržiavať otvorenú a transparentnú komunikáciu medzi všetkými členmi tímu a zainteresovanými stranami.
286 +\\
259 259  
260 -g) Riadenie rizík:
261 - - žiadateĺ identifikoval potenciálne riziká, ktoré by mohli ovplyvniť harmonogram, a vypracovať plány na ich zmiernenie.
262 - - žiadateľ bude pravidelne aktualizovať rizikový register a prijímať preventívne opatrenia.
288 +(% align="center" %)
263 263  
264 -h) Dostatočné zdroje:
265 - - žiadateľ má zabezpečené, aby mal projektový tím k dispozícii všetky potrebné zdroje vrátane personálu, technológií a financií.
266 - - žiadateľ bude riešiť prípadné nedostatky zdrojov čo najskôr, aby nedošlo k oneskoreniam.
290 +\\
267 267  
268 -i) Flexibilita a adaptabilita:
269 - - žiadateľ je pripravený prispôsobiť harmonogram podľa aktuálnych podmienok a vývoja situácie.
270 - - žiadateľ bude mať zavedené spolu s projektovými tímom procesy pre rýchlu reakciu na zmeny a úpravu plánov.
271 -\\Závažnosť tohto rizika však považujeme za nízku, vzhľadom na zabezpečenie účinných opatrení na elimináciu.
272 -\\\\2. Nedosiahnutie plánovaných hodnôt merateľných ukazovateľov
273 -Hoci v rámci projektu sa nesledujú také merateľné ukazovatele, ktoré by boli merateľnými ukazovateľmi s príznakom, žiadateľ si uvedomuje možné riziká súvisiace s nenaplnením merateľných ukazovateľov. 
274 -\\Opatrenia na elimináciu rizika:
275 -Keďže merateľné ukazovatele sú odrazom úspešného naplnenia jednotlivých aktivít, prijímateľ prijal alebo prijme najmä nasledovné opatrenia:
276 -Prijímateľ dlhoročne realizuje projekty financované s fondov EÚ. Samotný projekt vyplýva z jeho dlhodobých plánov a preto celé jeho nastavenie je podrobne analyzované vrátane nastavenia časového harmonogramu a cieľových hodnôt merateľných ukazovateľov.Prijímateľ do realizácie projektu zapojil odborných zamestnancov spoločnosti, aby bolo zaručené dosiahnutie plánovaných výsledkov. 
277 -\\Aby sa eliminovalo riziko nedosiahnutia plánovaných hodnôt merateľných ukazovateľov v rámci projektu, môžu byť prijaté nasledujúce opatrenia:
292 +(% align="center" %)
278 278  
279 -a) Precízne plánovanie a nastavenie realistických cieľov:
280 - - V projekte sú definované jasné a realistické ciele a merateľné ukazovatele (KPIs) na základe dôkladnej analýzy, prípravy projektu a prieskumu trhu.
281 - - Žiadateľ využil historické údaje a osvedčené metódy na stanovenie cieľov.
294 +\\
282 282  
283 -b) Pravidelný monitoring a hodnotenie:
284 - - žiadateľ zavedie v rámci realizácie projektu systém pravidelného monitoringu a hodnotenia postupu dosahovania cieľov.
285 - - žiadateľ zavedie v rámci realizácie projektu mechanizmy na pravidelné správy a analýzy progresu.
296 +(% align="center" %)
286 286  
287 -c) Flexibilita a adaptabilita:
288 - - projektový tím žiadateľa je pripravený prispôsobiť plány a stratégie na základe zistení z monitoringu.
289 - - žiadateľ počs realizácie projektu zavedie procesy pre rýchlu reakciu na neočakávané udalosti alebo zmeny v externom prostredí.
298 +\\
290 290  
291 -d) Zabezpečenie potrebných zdrojov:
292 - - žiadateľ identifikoval a zabezpečil všetky potrebné zdroje vrátane finančných, ľudských a technologických potrebných na úspešnú realizáciu projektu,
293 - - žiadateľ bude pravidelne preverovať dostupnosť zdrojov a riešiť prípadné nedostatky.
300 +(% align="center" %)
294 294  
295 -e) Kvalitný projektový manažment:
296 - - žiadateľ disponuje skúsenými a certifikovanými projektovými manažérmi, ktorý skúsenosti sú uvedené v časti 7.4. ŽoNFP,
297 - - žiadateľ bude využívať pri realizácii projektu osvedčené metodiky projektového riadenia, ako sú PRINCE2, PMI alebo Agile.
302 +\\
298 298  
299 -f) Zapojenie všetkých zainteresovaných strán:
300 - - žiadateľ prostredndíctvom projektového tímu zabezpečí, aby všetci zainteresovaní boli dostatočne informovaní a zapojení do projektu.
301 - - žiadateľ plánuje organizovať pravidelné stretnutia a konzultácie s projektovým tímom a relevantnými stranami na získanie spätnej väzby a podpory pri realizácii projektu,
304 +(% align="center" %)
302 302  
303 -g) Rizikový manažment:
304 - - Identifikovať potenciálne riziká spojené s dosahovaním ukazovateľov a vypracovať plány na ich zmiernenie.
305 - - Pravidelne aktualizovať rizikový register a prijímať preventívne opatrenia.
306 +\\
306 306  
307 -h) Komunikácia a transparentnosť:
308 - - Zabezpečiť otvorenú a transparentnú komunikáciu o postupoch a výsledkoch.
309 - - Informovať tím a vedenie o aktuálnom stave a prípadných problémoch.
308 +(% align="center" %)
310 310  
311 -i) Kontrola a audit:
312 - - Zaviesť interné a externé kontroly a audity na preverenie plnenia merateľných ukazovateľov.
313 - - Implementovať odporúčania z auditov na zlepšenie procesov a výkonnosti.
314 -\\Závažnosť tohto rizika však považujeme za nízku, vzhľadom na zabezpečenie účinných opatrení na elimináciu.
315 -\\\\3. Nedostatky v dodávkach od externých dodávateľov
316 -Nedodržiavanie termínov zo strany externých dodávateľov služieb a tovarov. Dodávateľ(lia) služieb a tovarov, ktorý vzíde z procesu verejného obstarávania nebude dodržiavať harmonogram prác a dodávok, resp. bude v omeškaní.
317 -
310 +\\
318 318  
312 +(% align="center" %)
319 319  
320 -Opatrenia na elimináciu rizika:
321 -Projektový manažér bude pravidelne komunikovať s dodávateľom, konzultovať prípadné omeškania, hľadať riešenia. V rámci realizácie projektu budú organizované pravidelné zasadnutia Riadiaceho výboru. Postihy za škody a omeškania budú definované v rámci zmluvy o dodávke tovaru, resp. poskytnutí služieb. Ďalším opatrením je už dnes realizovaná kontrola kvality externých dodávateľov zo strany žiadateľa. Súčasne bude žiadateľ starostlivo vyberať dodávateľov na základe ich schopností a referencií. V rámci procesu verejného obstarávania budú zavedené jasné zmluvné podmienky a dohodnúť si pravidelné kontroly plnenia záväzkov, vrátane finančných sankciíí. Žiadateľ bude sa bude usilovať o diverzifikovanie dodávateľov, aby sa minimalizovala závislosť na jedinom zdroji. Podmienkou žiadateľa bude implementovať osvedčené technológie a riešenia, ktoré sú už overené na trhu. Žiadateľ zároveň planuje investovať do školení a certifikácií pre zamestnancov, aby mali potrebné zručnosti a vedomosti.
322 -\\Závažnosť tohto rizika však považujeme za nízku, vzhľadom na zabezpečenie účinných opatrení na elimináciu.
323 -\\\\Na základe vykonanej analýzy rizík ohrozujúcich úspešnú realizáciu projektu možno konštatovať, že menej ako 10 % rizík z celkového počtu identifikovaných rizík v ŽoNFP je s vysokou závažnosťou, ktoré ohrozujú úspešnú realizáciu projektu.
314 +\\
324 324  
316 +(% align="center" %)
325 325  
318 +\\
326 326  
327 -4. Súčasná architektúra prevádzkovanýCH IS
320 +(% align="center" %)
328 328  
329 -ÚVZ SR, ako aj jednotlivé RÚVZ spoločne používajú IS ÚVZ.
322 +\\
330 330  
324 +(% align="center" %)
331 331  
332 -[[image:attach:6.png||height="250"]]
326 +\\
333 333  
334 334  
329 +\\
335 335  
336 -[[image:attach:7.png||height="250"]]
331 +(% align="center" %)
332 +**ZÁVISLOSTI NA OSTATNÝCH IS**
337 337  
334 +(% align="justify" %)
338 338  
339 -[[image:attach:8.png||height="250"]]
336 +\\
340 340  
338 +(% align="justify" %)
341 341  
342 -[[image:attach:9.png||thumbnail="true" height="250"]]
340 +\\
343 343  
342 +(% align="justify" %)
343 +ÚVZ SR, ako aj jednotlivé RÚVZ spoločne používajú IS ÚVZ. Všetky informácie sú spracúvané v IS ÚVZ, prístupovým bodom pre verejnosť je Portál úradov.
344 344  
345 -5. ROZPOČET A PRÍNOSY
345 +(% align="justify" %)
346 346  
347 -Rozpočet projektu je detailne špecifikovaný v časti 11. Rozpočet projektu v rám ci predloženej ŽoNFP.
347 +\\
348 348  
349 +[[image:attach:1.png||height="250"]]
350 +\\
349 349  
350 350  
351 -6. HARMONOGRAM JEDNOTLIVÝCH FÁZ PROJEKTU a METÓDA JEHO RIADENIA
353 +\\
352 352  
353 -Harmonogram projektu je uvedený v časti 9. Harmonogram realizácie aktivít predloženej ŽoNFP.
355 +[[image:attach:2.png||height="250"]]
354 354  
355 -Projekt bude realizovaný metódou Waterfall:
356 -Waterfall - vodopádový prístup počíta s detailným naplánovaním jednotlivých krokov a následnom dodržiavaní postupu pri vývoji alebo realizácii projekty. Projektovému tímu je daný minimálny priestor na zmeny v priebehu realizácie. Vodopádový prístup je vhodný a užitočný v projektoch, ktorý majú jasný cieľ a jasne definovateľný postup a rozdelenie prác.
357 357  
358 -Objednávateľ projektu vypracuje funkčnú a technickú špecifikáciu,
358 +\\
359 359  
360 -[[image:attach:10.png||thumbnail="true" height="250"]]
360 +\\
361 361  
362 +(% align="center" %)
363 +**PROJEKTOVÝ PRÍSTUP**
362 362  
363 -Dokumenty obsahujúce informácie klasifikované ako chránené a prísne chránené podľa Vyhlášky č.362/2018 Z.z., ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení budú v rámci projektu odovzdávané v elektronickej podobe šifrovane pomocou PGP kľúčov, ktoré si žiadateľ a dodávateľ na začiatku projektu vymenia.
365 +\\
364 364  
365 -Pri akceptácii budú vyhotovované vopred definované akceptačné kritéria a požiadavky z katalógu funkčných a nefunkčných požiadaviek vzťahujúce sa k jednotlivým míľnikom projektu.
366 366  
367 -Metóda riadenia "Waterfall" (vodopád) je jedným z najtradičnejších prístupov k riadeniu projektov v oblasti IT. Tento model je lineárny a sekvenčný, čo znamená, že každá fáza projektu musí byť dokončená pred začiatkom ďalšej. Tieto fázy sú nasledovné:
368 +\\
368 368  
369 -~1. Požiadavky (Requirements):*
370 - - V tejto počiatočnej fáze sú zhromaždené všetky požiadavky na systém. Ide o veľmi dôležitý krok, pretože chyby v požiadavkách môžu mať vážne následky v neskorších fázach. Dokumentujú sa všetky požiadavky zákazníka, funkčné aj nefunkčné, a výsledkom je detailná špecifikácia požiadaviek.
370 +\\
371 371  
372 -2. Analýza systému (System Design):
373 - - Po dokončení zhromažďovania požiadaviek sa prejde k analýze systému a návrhu. Táto fáza zahŕňa vytvorenie architektúry systému, technických špecifikácií a návrhu softvéru, ktorý bude schopný splniť všetky definované požiadavky.
372 +[[image:attach:4.png||width="300"]]
373 +\\
374 374  
375 -3. Implementácia (Implementation):
376 - - Po schválení návrhu systému sa začne s implementáciou, teda s programovaním a kódovaním systému podľa navrhnutých špecifikácií. Výsledkom tejto fázy je hotový softvér.
377 377  
378 -4. Integrácia a testovanie (Integration and Testing):
379 - - V tejto fáze sa jednotlivé komponenty systému integrujú a testujú sa ako celok, aby sa overilo, či systém funguje podľa očakávaní a splňuje všetky špecifikované požiadavky. Testovanie zahŕňa rôzne typy testov, vrátane funkčných, integračných a systémových testov.
376 +\\
380 380  
381 -5. Nasadenie (Deployment):
382 - - Po úspešnom testovaní sa systém nasadí do produkčného prostredia. Táto fáza môže zahŕňať aj školenie používateľov a prípravu dokumentácie pre používateľov.
378 +\\
383 383  
384 -6. Údržba (Maintenance):
385 - - Po nasadení systému začína fáza údržby, ktorá zahŕňa opravy chýb, aktualizácie a vylepšenia systému na základe spätnej väzby od používateľov a meniace sa požiadavky.
386 386  
387 - Výhody Waterfall modelu:
388 -- Jednoduchosť a jasná štruktúra:*Každá fáza má jasne definovaný začiatok a koniec.
389 -- Dobre zdokumentovaný proces: Všetky požiadavky a kroky sú detailne zdokumentované.
390 -- Jednoduché riadenie:*Jednoduché plánovanie a sledovanie pokroku projektu.
381 +\\
391 391  
383 +\\
392 392  
393 -Waterfall model je ideálny pre projekty, kde sú požiadavky jasne definované a stabilné, a kde sa očakáva, že projekt prebehne bez veľkých zmien. V súčasnosti sa však stále častejšie využívajú agilné prístupy, ktoré lepšie vyhovujú dynamickým a meniacim sa požiadavkám projektov.
385 +(% align="center" %)
394 394  
387 +\\
395 395  
396 -Kvantitatívne prínosy projektu:
397 - • Zníženie nákladov spojených so sanáciou KBU/KBI
398 - • Zníženie nákladov spojených s elimináciou následkov reaktívnych KBI
399 -\\Kvalitatívne prínosy projektu:
400 - • Zníženie rizika KBI,
401 - • Zvýšenie súladu s platnou legislatívou,
402 - • Zvyšovanie úrovne kybernetickej a informačnej bezpečnosti,
403 - • Zvýšenie detekcie KBI,
404 - • Zvýšte spokojnosť a dôveru používateľov,
405 -\\\\Popis cieľového stavu
406 -Základné ciele projektu:
407 - • Aktualizácia stratégie kybernetickej bezpečnosti,
408 - • Aktualizácie bezpečnostnej politiky KB vrátane implementačnej dokumentácie, v súlade s Príloha – Manažérske Produkty,
409 - • Vykonávanie inventarizácie aktív, klasifikácie informácií a kategorizácie sietí a interných systémov,
410 - • Stabilizácia riadenia rizík – aktualizácia analýzy rizík a analýzy dopadov a nasadenie nástroja Asset Inventory, Threats, Risks and Measures (EAM/),
411 - • Implementácia nástroja na zaznamenávanie a monitorovanie udalostí (Log Management)
412 - • Implementácia auditu KB, procesu riadenia a kontroly dodržiavania predpisov.
389 +(% align="center" %)
413 413  
391 +\\
414 414  
415 -7. PROJEKTOVÝ TÍM
393 +(% align="center" %)
416 416  
417 -Projektový tím je detailne popísaný v predloženej ŽoNFP, časť 7.5 Prevádzková kapacita žiadateľa.
395 +\\
418 418  
397 +(% align="center" %)
419 419  
420 -ID
421 -Meno a Priezvisko
422 -Pozícia
423 -Oddelenie
424 -Rola v projekte
425 -1.
426 -Doplniť meno a priezvisko
427 -Doplniť pozíciu (pracovné zaradenie v línii)
428 -Doplniť názov org. útvaru
429 -Doplniť rolu v projekte
430 -2.
431 -Doplniť meno a priezvisko
432 -Doplniť pozíciu (pracovné zaradenie v línii)
433 -Doplniť názov org. útvaru
434 -Doplniť rolu v projekte
435 -3.
436 -Doplniť meno a priezvisko
437 -Doplniť pozíciu (pracovné zaradenie v línii)
438 -Doplniť názov org. útvaru
439 -Doplniť rolu v projekte
399 +\\
440 440  
441 -Vzor organizačnej štruktúry
401 +(% align="center" %)
442 442  
443 -[[image:attach:11.png||height="250"]]
403 +\\
444 444  
405 +(% align="center" %)
445 445  
446 -[[image:attach:12.png||height="93"]]
407 +\\
447 447  
409 +(% align="center" %)
448 448  
449 -8. VÝSLEDKY PROJEKTU
411 +\\
450 450  
451 -VÝSLEDKOM PROJEKTU JE ZABEZPEČENIE SÚLADU SO SMERNICOU NIS2 a Zákonom o kybernetickej bezpečnosti Slovenskej republiky (Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti)
413 +(% align="center" %)
452 452  
453 -Realizáciou vyššie uvedenej aktivity, dosiahne žiadateľ súlad so Smernicou NIS2 a Zákonom o kybernetickej bezpečnosti Slovenskej republiky (Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti). Tieto aktivity pokrývajú širokú škálu oblastí vrátane bezpečnostnej politiky, správy rizík, ochrany proti škodlivému kódu, inventarizácie aktív, bezpečnosti sietí a informačných systémov, kontroly prístupu, riadenia zraniteľností, monitoringu, kontinuity činností a incident managementu.
415 +\\
454 454  
455 -Tu je prehľad, ako tieto aktivity pomáhajú dosiahnuť súlad:
417 +(% align="center" %)
456 456  
457 -~1. Bezpečnostná politika a stratégia: Prehodnotenie a aktualizácia bezpečnostnej politiky a stratégie zabezpečuje, že organizácia má správne nastavený rámec pre kybernetickú bezpečnosť v súlade s legislatívou.
458 -2. Smernice a procesy : Aktualizácia a vytváranie nových smerníc pre rôzne oblasti kybernetickej bezpečnosti zabezpečuje, že všetky činnosti sú vykonávané v súlade s novými požiadavkami Zákona a NIS2.
459 -3. Riadenie rizík: Nasadenie nástrojov na automatizáciu analýzy rizík a aktualizácia analýzy rizík zabezpečuje, že riziká sú riadne identifikované, hodnotené a riadené.
460 -4. Inventarizácia aktív: Spracovanie inventarizácie aktív a ich klasifikácia pomáha organizácii identifikovať a spravovať svoje informačné aktíva, čo je kľúčové pre ochranu citlivých informácií.
461 -5. Log management: Implementácia nástrojov a procesov na detekciu a riadenie kybernetických bezpečnostných incidentov zabezpečuje, že organizácia môže efektívne zvládať incidenty a minimalizovať ich dopad.
419 +\\
462 462  
463 -Realizácia týchto aktivít predstavuje komplexný prístup k dosiahnutiu súladu s NIS2 a Zákonom o kybernetickej bezpečnosti, čím sa zabezpečuje ochrana kritickej infraštruktúry a citlivých informácií v súlade s aktuálnymi požiadavkami.
464 -9. PRÍLOHY
421 +(% align="center" %)
465 465  
466 -Príloha : Zoznam rizík a závislostí (Excel): [[https:~~/~~/www.mirri.gov.sk/sekcie/informatizacia/riadenie-kvality-qa/riadenie-kvality-qa/index.html>>url:https://www.mirri.gov.sk/sekcie/informatizacia/riadenie-kvality-qa/riadenie-kvality-qa/index.html||shape="rect"]] 
467 -
423 +\\
424 +
425 +(% align="center" %)
426 +
427 +\\
428 +
429 +(% align="center" %)
430 +**IMPLEMENTÁCIA A PREBERANIE VÝSTUPOV**
431 +
432 +
433 +\\
434 +
435 +(% align="justify" %)
436 +Projekt bude realizovaný metódou Waterfall:
437 +
438 +(% align="justify" %)
439 +Waterfall - vodopádový prístup počíta s detailným naplánovaním jednotlivých krokov a následnom dodržiavaní postupu pri vývoji alebo realizácii projekty. Projektovému tímu je daný minimálny priestor na zmeny v priebehu realizácie. Vodopádový prístup je vhodný a užitočný v projektoch, ktorý majú jasný cieľ a jasne definovateľný postup a rozdelenie prác.
440 +
441 +
442 +\\
443 +
444 +
445 +\\
446 +
447 +[[image:attach:5.png||thumbnail="true" height="250"]]
448 +
449 +
450 +\\
451 +
452 +
453 +\\
454 +
455 +
456 +\\
457 +
458 +(% align="justify" %)
459 +Dokumenty obsahujúce informácie klasifikované ako chránené a prísne chránené podľa Vyhlášky č.362/2018 Z.z., ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení budú v rámci projektu odovzdávané v elektronickej podobe šifrovane pomocou PGP kľúčov, ktoré si žiadateľ a dodávateľ na začiatku projektu vymenia.
460 +
461 +(% align="justify" %)
462 +Pri akceptácii budú vyhotovované vopred definované akceptačné kritéria a požiadavky z katalógu funkčných a nefunkčných požiadaviek vzťahujúce sa k jednotlivým míľnikom projektu.
463 +
464 +(% align="justify" %)
465 +Metóda riadenia "Waterfall" (vodopád) je jedným z najtradičnejších prístupov k riadeniu projektov v oblasti IT. Tento model je lineárny a sekvenčný, čo znamená, že každá fáza projektu musí byť dokončená pred začiatkom ďalšej.
466 +
467 +(% align="justify" %)
468 +__Tieto fázy sú nasledovné:__
469 +
470 +(% align="justify" %)
471 +~1. Požiadavky (Requirements):* - V tejto počiatočnej fáze sú zhromaždené všetky požiadavky na systém. Ide o veľmi dôležitý krok, pretože chyby v požiadavkách môžu mať vážne následky v neskorších fázach. Dokumentujú sa všetky požiadavky zákazníka, funkčné aj nefunkčné, a výsledkom je detailná špecifikácia požiadaviek.
472 +
473 +(% align="justify" %)
474 +2. Analýza systému (System Design): - Po dokončení zhromažďovania požiadaviek sa prejde k analýze systému a návrhu. Táto fáza zahŕňa vytvorenie architektúry systému, technických špecifikácií a návrhu softvéru, ktorý bude schopný splniť všetky definované požiadavky.
475 +
476 +(% align="justify" %)
477 +3. Implementácia (Implementation): - Po schválení návrhu systému sa začne s implementáciou, teda s programovaním a kódovaním systému podľa navrhnutých špecifikácií. Výsledkom tejto fázy je hotový softvér.
478 +
479 +(% align="justify" %)
480 +4. Integrácia a testovanie (Integration and Testing): - V tejto fáze sa jednotlivé komponenty systému integrujú a testujú sa ako celok, aby sa overilo, či systém funguje podľa očakávaní a splňuje všetky špecifikované požiadavky. Testovanie zahŕňa rôzne typy testov, vrátane funkčných, integračných a systémových testov.
481 +
482 +(% align="justify" %)
483 +5. Nasadenie (Deployment): - Po úspešnom testovaní sa systém nasadí do produkčného prostredia. Táto fáza môže zahŕňať aj školenie používateľov a prípravu dokumentácie pre používateľov.
484 +
485 +(% align="justify" %)
486 +6. Údržba (Maintenance): - Po nasadení systému začína fáza údržby, ktorá zahŕňa opravy chýb, aktualizácie a vylepšenia systému na základe spätnej väzby od používateľov a meniace sa požiadavky.
487 +
488 +(% align="justify" %)
489 +**Výhody Waterfall modelu**: - Jednoduchosť a jasná štruktúra: Každá fáza má jasne definovaný začiatok a koniec. - Dobre zdokumentovaný proces: Všetky požiadavky a kroky sú detailne zdokumentované. - Jednoduché riadenie:*Jednoduché plánovanie a sledovanie pokroku projektu. Waterfall model je ideálny pre projekty, kde sú požiadavky jasne definované a stabilné, a kde sa očakáva, že projekt prebehne bez veľkých zmien. V súčasnosti sa však stále častejšie využívajú agilné prístupy, ktoré lepšie vyhovujú dynamickým a meniacim sa požiadavkám projektov.
490 +
491 +(% align="justify" %)
492 +
493 +\\
494 +
495 +(% align="justify" %)
496 +**Kvantitatívne prínosy projektu:**
497 +
498 +* Zníženie nákladov spojených so sanáciou KBU/KBI,
499 +* Zníženie nákladov spojených s elimináciou následkov reaktívnych KBI.
500 +
501 +(% align="justify" %)
502 +
503 +\\
504 +
505 +(% align="justify" %)
506 +**Kvalitatívne prínosy projektu:**
507 +
508 +* Zníženie rizika KBI,
509 +* Zvýšenie súladu s platnou legislatívou,
510 +* Zvyšovanie úrovne kybernetickej a informačnej bezpečnosti,
511 +* Zvýšenie detekcie KBI,
512 +* Zvýšenie spokojnosti a dôvery používateľov.
513 +
514 +(% align="justify" %)
515 +
516 +\\
1.png
Autor
... ... @@ -1,1 +1,0 @@
1 -XWiki.jozef_petrik
Veľkosť
... ... @@ -1,1 +1,0 @@
1 -114.4 KB
Obsah
10.png
Autor
... ... @@ -1,1 +1,0 @@
1 -XWiki.jozef_petrik
Veľkosť
... ... @@ -1,1 +1,0 @@
1 -150.1 KB
Obsah
11.png
Autor
... ... @@ -1,1 +1,0 @@
1 -XWiki.jozef_petrik
Veľkosť
... ... @@ -1,1 +1,0 @@
1 -113.8 KB
Obsah
12.png
Autor
... ... @@ -1,1 +1,0 @@
1 -XWiki.jozef_petrik
Veľkosť
... ... @@ -1,1 +1,0 @@
1 -7.8 KB
Obsah
2.png
Autor
... ... @@ -1,1 +1,0 @@
1 -XWiki.jozef_petrik
Veľkosť
... ... @@ -1,1 +1,0 @@
1 -54.6 KB
Obsah
3.png
Autor
... ... @@ -1,1 +1,0 @@
1 -XWiki.jozef_petrik
Veľkosť
... ... @@ -1,1 +1,0 @@
1 -50.9 KB
Obsah
4.png
Autor
... ... @@ -1,1 +1,0 @@
1 -XWiki.jozef_petrik
Veľkosť
... ... @@ -1,1 +1,0 @@
1 -28.7 KB
Obsah
5.png
Autor
... ... @@ -1,1 +1,0 @@
1 -XWiki.jozef_petrik
Veľkosť
... ... @@ -1,1 +1,0 @@
1 -78.7 KB
Obsah
6.png
Autor
... ... @@ -1,1 +1,0 @@
1 -XWiki.jozef_petrik
Veľkosť
... ... @@ -1,1 +1,0 @@
1 -244.4 KB
Obsah
7.png
Autor
... ... @@ -1,1 +1,0 @@
1 -XWiki.jozef_petrik
Veľkosť
... ... @@ -1,1 +1,0 @@
1 -45.6 KB
Obsah
8.png
Autor
... ... @@ -1,1 +1,0 @@
1 -XWiki.jozef_petrik
Veľkosť
... ... @@ -1,1 +1,0 @@
1 -45.6 KB
Obsah
9.png
Autor
... ... @@ -1,1 +1,0 @@
1 -XWiki.jozef_petrik
Veľkosť
... ... @@ -1,1 +1,0 @@
1 -24.7 KB
Obsah
Confluence.Code.ConfluencePageClass[0]
Id
... ... @@ -1,1 +1,1 @@
1 -155326242
1 +155326317