Version 4.1 by jozef_petrik on 2024/08/12 09:59
Show last authors
1 (% class="western" align="center" %)
2 **PROJEKTOVÝ ZÁMER**
3
4 (% class="western" align="center" %)
5 **Vzor pre manažérsky výstup I-02**
6
7 (% class="western" align="center" %)
8 **podľa vyhlášky MIRRI č. 401/2023 Z. z.**
9
10
11 Povinná osoba
12 Regionálny úrad verejného zdravotníctva 
13 Názov projektu
14 Podpora v oblasti kybernetickej a informačnej bezpečnosti RÚVZ 
15 Zodpovedná osoba za projekt
16 Ing. Jana Grňo Mikulášiová, manažér kybernetickej bezpečnosti
17 Realizátor projektu 
18 Úrad verejného zdravotníctva SR
19 Vlastník projektu
20 Ing. Jana Grňo Mikulášiová, manažér kybernetickej bezpečnosti
21
22 Schvaľovanie dokumentu
23 Položka
24 Meno a priezvisko
25 Organizácia
26 Pracovná pozícia
27 Dátum
28 Podpis
29 (alebo elektronický súhlas)
30 Vypracoval
31
32 ÚVZ SR
33
34 \\
35
36
37 ~1. História DOKUMENTU
38 Verzia
39 Dátum
40 Zmeny
41 Meno
42 1.0.
43 01.07.2024
44 Vypracovanie dokumentu
45
46 1.0
47 22.12.2023
48 Zapracovanie súladu s vyhláškou č. 401/2023 Z. z.
49
50
51 \\
52
53 \\
54
55 2. ÚČEL DOKUMENTU, SKRATKY (KONVENCIE) A DEFINÍCIE
56 V súlade s Vyhláškou 401/2023 Z.z. je dokument I-02 Projektový zámer určený na rozpracovanie detailných informácií prípravy projektu, aby bolo možné rozhodnúť o pokračovaní prípravy projektu, pláne realizácie, alokovaní rozpočtu a ľudských zdrojov.
57
58 V súlade s Vyhláškou MIRRI SR č. 401/2023 Z. z. o riadení projektov a zmenových požiadaviek v prevádzke IT VS je dokument Prístup k projektu určený na rozpracovanie detailných informácií prípravy projektu z pohľadu aktuálneho stavu, budúceho stavu a navrhovaného riešenia.
59 Dokument Prístup k projektu v zmysle vyššie uvedenej vyhlášky obsahuje opis navrhovaného riešenia, architektúru riešenia projektu na úrovni biznis vrstvy, aplikačnej vrstvy, dátovej vrstvy, technologickej vrstvy, infraštruktúry navrhovaného riešenia, bezpečnostnej architektúry, špecifikáciu údajov spracovaných v projekte, čistenie údajov, prevádzku a údržbu výstupov projektu, prevádzkové požiadavky, požiadavky na zdrojové kódy. Dodávané riešenie bude v súlade so zákonom. Zároveň opisuje aj implementáciu projektu a preberanie výstupov projektu.
60 Hlavnou motiváciou je realizácia kyberbezpečnostných opatrení definovaných v Z.z. 69/2018 a v zákone o ISVS.
61 Prioritne jedná o tie opatrenia, ktoré vykazujú najväčší nesúlad s uvedenými právnymi normami a vyhláškou 362/2018 Z. z.. V dôsledku realizácie týchto opatrení budú ÚVZ SR chránené v maximálnej možnej miere pred kybernetickým incidentom, ktorý by mohol mať na poskytovanie služieb a prevádzku ÚVZ SR.
62
63 Medzi základné povinnosti je prijatie a dodržiavanie všeobecných bezpečnostných opatrení pre nasledovné oblasti, ktoré sú obsahom projektu:
64
65 ~1. Prehodnoténú SM-03 Bezpečnostná politika a stratégia Úradu verejného zdravotníctva s ohľadom na požiadavky nového zákona o KB a príslušných vykonávacích predpisov,
66 2. Dopracovanú smernicu pre oblasti riadenia bezpečnosti prevádzky sietí a IS/APP,
67 3. Aktualizovanú SM-25 Smernica, ktorou sa upravuje práca s informačnými technológiami,
68 4. Nasadený nástroj na automatizáciu analýzy rizík a prehodnotenie a aktualizácia analýzy rizík podľa požiadaviek nového zákona o KB,
69 5. Spracovávanie inventarizácie aktív a ich klasifikáciu s ohľadom na IS ÚVZ a dokumentovanie vzťahov a závislostí medzi IS ÚVZ a ostatnými používanými systémami a aplikáciami na ÚVZ SR,
70 6. Prehodnotenú a spracovanú novú SOA (Security Operations Architecture) s ohľadom na novú legislatívu a jej plnenie pre oblasť kybernetickej bezpečnosti,
71 7. Zavedenú kontrolu dodržiavania bezpečnostných politík zo strany zamestnancov, administrátorov a osôb zastávajúcich niektorú z bezpečnostných rolí,
72 8. Implementovaný nástroj na detekciu kybernetických bezpečnostných incidentov, ktorý spĺňa všetky požiadavky Vyhlášky § 17, ods. 03 a ods. 04,
73 9. Navrhnutý a zdokumentovaný efektívny spôsob kontroly pre účely zaručenia, že prevádzka, používanie a manažment siete a informačného systému je v súlade s vnútornými predpismi a zmluvnými záväzkami,
74 10. Prehodnotenú a aktualizovanú smernicu v oblasti SM-51 Smernica Riadenie kontinuity procesov a činností a spracované nové BCP/DRP plány potrebné na zabezpečenie kontinuity činností podľa nového zákona o KB,
75 ~11. Aktualizovaná SM-44 Smernica o klasifikácii informácií na Úrade verejného zdravotníctva Slovenskej republiky,
76 12. Zanalyzované existujúce prostredie ÚVZ SR s ohľadom na vzniknutý systém IS ÚVZ a vytvorené záznamy o identifikovaných vzťahoch a súvislostiach,
77 13. Zanalyzovaný spôsob efektívnej realizácie monitoringu zariadení, činností, sietí, IS a APP v prostredí ÚVZ SR a zabezpečenú podporu pre vybraté riešenie pri jeho nasadení a spustení do prevádzky.
78
79 Cieľom projektu je, aby po jeho realizácii naša inštitúcia dosiahla čo možno najväčší súlad s NIS2, Zákonom o kyberbezpečnosti, ako aj Zákonom o ISVS.
80
81 2.1 Použité skratky a pojmy
82
83 SKRATKA/POJEM
84 POPIS
85 KIB
86 Kybernetická a informačná bezpečnosť 
87 IT
88 Informačné technológie 
89 VS
90 Verejná správa 
91 ITVS
92 Informačné technológie verejnej správy
93 NFP
94 Nenávratný finančný príspevok 
95 OP SK
96 Operačný program SLovensko
97 ÚVZ SR 
98 Úrad verejného zdravotníctva SR
99 RÚVZ
100 Regionálny úrad verejného zdravotníctva 
101 MZ SR
102 Ministerstvo zdravotníctva SR
103 NKIVS
104 Národná koncepcia informatizácie verejnej správy 
105 ZoBK
106 Zákon o kybernetickej bezpečnosti
107 SOA
108 Security Operations Architecture
109 SOC
110 Security Operation Center
111
112 2.2 Konvencie pre typy požiadaviek (príklady)
113
114 Zvoľte si konvenciu pre označovanie požiadaviek, súborov, atd. Hlavné kategórie požiadaviek v zmysle katalógu požiadaviek, rozdeľujeme na funkčné (funkcionálne), nefunkčné (kvalitatívne, výkonové a pod.). Podskupiny v hlavných kategóriách je možné rozšíriť podľa potrieb projektu, napríklad:
115 Funkcionálne (používateľské) požiadavky majú nasledovnú konvenciu:
116 FRxx
117 • U – užívateľská požiadavka
118 • R – označenie požiadavky
119 • xx – číslo požiadavky
120 Nefunkčné (kvalitatívne, výkonové - Non Functional Requirements - NFR) požiadavky majú nasledovnú konvenciu:
121 NRxx
122 • N – nefukčná požiadavka (NFR)
123 • R – označenie požiadavky
124 • xx – číslo požiadavky
125 Ostatné typy požiadaviek môžu byť ďalej definované objednávateľom/PM.
126
127 \\
128
129 \\
130
131 3. DEFINOVANIE PROJEKTU
132
133 3.1 Manažérske zhrnutie
134
135 Úrad verejného zdravotníctva SR ako prevádzkovateľ základnej služby zapísanej v registri prevádzkovateľov základných služieb má povinnosti, ktoré vyplývajú zo ZoKB. Medzi základné povinnosti je prijatie a dodržiavanie všeobecných bezpečnostných opatrení pre nasledovné oblasti:
136
137 ~1. Prehodnoténú SM-03 Bezpečnostná politika a stratégia Úradu verejného zdravotníctva s ohľadom na požiadavky nového zákona o KB a príslušných vykonávacích predpisov,
138 2. Dopracovanú smernicu pre oblasti riadenia bezpečnosti prevádzky sietí a IS/APP,
139 3. Aktualizovanú SM-25 Smernica, ktorou sa upravuje práca s informačnými technológiami,
140 4. Nasadený nástroj na automatizáciu analýzy rizík a prehodnotenie a aktualizácia analýzy rizík podľa požiadaviek nového zákona o KB,
141 5. Spracovávanie inventarizácie aktív a ich klasifikáciu s ohľadom na IS ÚVZ a dokumentovanie vzťahov a závislostí medzi IS ÚVZ a ostatnými používanými systémami a aplikáciami na ÚVZ SR,
142 6. Prehodnotenú a spracovanú novú SOA (Security Operations Architecture) s ohľadom na novú legislatívu a jej plnenie pre oblasť kybernetickej bezpečnosti,
143 7. Zavedenú kontrolu dodržiavania bezpečnostných politík zo strany zamestnancov, administrátorov a osôb zastávajúcich niektorú z bezpečnostných rolí,
144 8. Implementovaný nástroj na detekciu kybernetických bezpečnostných incidentov, ktorý spĺňa všetky požiadavky Vyhlášky § 17, ods. 03 a ods. 04,
145 9. Navrhnutý a zdokumentovaný efektívny spôsob kontroly pre účely zaručenia, že prevádzka, používanie a manažment siete a informačného systému je v súlade s vnútornými predpismi a zmluvnými záväzkami,
146 10. Prehodnotenú a aktualizovanú smernicu v oblasti SM-51 Smernica Riadenie kontinuity procesov a činností a spracované nové BCP/DRP plány potrebné na zabezpečenie kontinuity činností podľa nového zákona o KB,
147 ~11. Aktualizovaná SM-44 Smernica o klasifikácii informácií na Úrade verejného zdravotníctva Slovenskej republiky,
148 12. Zanalyzované existujúce prostredie ÚVZ SR s ohľadom na vzniknutý systém IS ÚVZ a vytvorené záznamy o identifikovaných vzťahoch a súvislostiach,
149 13. Zanalyzovaný spôsob efektívnej realizácie monitoringu zariadení, činností, sietí, IS a APP v prostredí ÚVZ SR a zabezpečenú podporu pre vybraté riešenie pri jeho nasadení a spustení do prevádzky
150
151 Jednotlivé organizačné jednotky (OZ), teda regionálne úrady verejného zdravotníctva (ktorých je 36) využívajú centrálny informačný systém (IS ÚVZ), tzn. že každá OZ, ak sa stane terčom kybernetického útoku, ohrozuje fungovanie IS ÚVZ ako celku a môže spôsobiť odstavenie celého systému. V dôsledku toho je nevyhnutné, aby navrhovaným systémov disponovalo nie len ÚVZ, ale aj všetky RÚVZ.
152
153 Zasielané udalosti sú v jednotlivých organizáciách na vstupe prijaté, označkované a parsované podľa technológie. Následne sú buď vhodnými základnými pravidlami produktu a implementačnými pravidlami na mieru spracované, aby bolo možné s nimi vytvárať potrebné navrhnuté scenáre. Ďalej sú uložené a vizualizované buď prostredníctvom základných nástrojov, alebo v budúcnosti vyššou formou pomocou integračnej platformy. Implementácia zahŕňa vytvorenie prístupových oprávnení v súlade s požiadavkami na viditeľnosť a spracovanie dát a následnú vizualizáciu.
154
155 Prevádzkové informácie budú zobrazovať aktuálne informácie o stave logovaných ICT systémov jednotlivých organizácií. Nad týmito logmi bude vykonané parsovanie a následne sa uložia do centrálneho dátového skladu, kde bude možné s týmito dátami ďalej pracovať. Primárne sa jedná o nepretržitý zber logov a monitorovanie prevádzky ICT technológií, systémov, aplikácií, stavu kybernetického a fyzického zabezpečenia a poskytovanie dát a informácií pre riešenie odchýlok a nápravných opatrení. Všetky údaje uložené v dátovom sklade budú podrobené procesu sledovania a vyhodnocovania podľa nižšie uvedených scenárov. Tým bude zabezpečené sledovanie jednotlivých systémov podľa nariadenia NIS2. Jednotlivé zistenia budú automaticky evidované v systéme na riadenie bezpečnosti, ktorý riadi všetky zistené riziká a navrhuje vhodné opatrenia. Takto evidované a riadené sledovanie logov povedie k včasnej detekcii rizík a ich okamžitej náprave.
156
157 Z pohľadu kompletného zberu logov bude vyhodnocované:
158 - prihlasovanie a odhlasovanie ku všetkým účtom, vrátane neúspešných pokusov
159 - vykonanie a neúspešný pokus o vykonanie privilegovanej činnosti
160 - manipulácia a neúspešný pokus o manipuláciu s účtami, oprávneniami a právami
161 - neuskutočnenie činností v dôsledku nedostatku prístupových práv alebo oprávnení
162 - začatie a ukončenie činností technických aktív
163 - kritické a chybové hlásenia technických aktív
164 - prístup a neúspešný pokus o prístup k záznamom udalostí
165 - manipulácia a neúspešný pokus o manipuláciu so záznamami udalostí
166 - zmenu a neúspešný pokus o zmenu nastavení nástrojov na zaznamenávanie udalostí
167 - ďalšie činnosti používateľov, ktoré môžu mať vplyv na bezpečnosť regulovanej služby.
168
169
170 Výsledky projektu a cieľový stav (manažérske produkty)
171
172 Čiastková aktivita a) Organizácia KB, 
173 Na základe zistených nedostatkov v oblasti riadenia kybernetickej a informačnej bezpečnosti v organizácii sa určuje nasledovný cieľový stav:
174 Komplexná bezpečnostná dokumentácia bude novo vypracovaná, pričom zohľadňuje predchádzajúcu dokumentáciu a jej aktualizácie vrátane rozsahu a metód dodržiavania všeobecných bezpečnostných opatrení.
175 Budú novo sa vyvinuté a implementované špecifické interné riadiace akty pre vybrané oblasti kybernetickej a informačnej bezpečnosti.
176 Bude aktualizovaný stav bezpečnostného výboru organizácie.
177 Bude vypracovaný bezpečnostný projekt komplexnej ochrany informačného systému verejnej správy.
178
179 Čiastková činnosť b) Riadenie rizík KB, 
180 Na základe zistených nedostatkov v oblasti riadenia rizík kybernetickej a informačnej bezpečnosti v organizácii sa určuje nasledovný cieľový stav:
181 Všetky aktíva súvisiace so spracovaním informácií a centrálnym inventárnym záznamovým zariadením budú identifikované ich hodnotou a s označením ich vlastníka, ktorý definuje ich požiadavky na dôvernosť, dostupnosť a integritu (EAM).
182 Riadenie rizík bude automatizované pomocou nástroja, pozostávajúce z identifikácie zraniteľnosti, identifikácie hrozieb, identifikácie rizík a analýzy rizík s ohľadom na aktíva, určenia vlastníka rizika a implementácie organizačných a technických bezpečnostných opatrení, funkčnej analýzy dopadov a pravidelného prehodnocovania identifikovaných rizík v závislosti od aktualizácie prijatých bezpečnostných opatrení.
183 Bude implementovaný automatizovaný systém správy a registrácie pre inventarizáciu majetku (EAM/).
184 Bude implementovaný automatizovaný systém riadenia a registrácie pre katalogizáciu hrozieb.
185 Bude zavedený sa automatizovaný systém riadenia a registrácie pre katalogizáciu rizík a opatrení.
186
187 Čiastková činnosť c) Personálna bezpečnosť, 
188 Na základe zistených nedostatkov v oblasti personálnej bezpečnosti v organizácii je stanovený nasledovný cieľový stav:
189 Bude vyvinutý postup na priradenie osoby k jednej z rolí zabezpečenia
190 Bude zavedený plán na rozvoj bezpečnostného povedomia a vzdelávania
191 Bude vyvinutá metóda hodnotenia účinnosti rozvojového plánu bezpečnostného povedomia
192 Budú určené pravidlá a postupy pri riešení porušení bezpečnostnej politiky
193 Budú zavedené postupy na ukončenie pracovného pomeru
194 Budú zavedené postupy pre prípady porušenia bezpečnostných politík
195 Bude vypracovaný a aktualizovaný akt vnútorného riadenia s bezpečnostnými zásadami pre koncových používateľov
196 Postupy a procesy, ktorými sa riadi personálna bezpečnosť organizácie, budú vypracované a implementované prostredníctvom interného riadiaceho aktu.
197 Bude vyhotovený automatizovaný systém riadenia a evidencie pre prácu s organizačnou štruktúrou je implementovaný s prepojením na technické získavanie existujúcich informácií z dostupných technických zdrojov – najmä MS AD.
198
199 Čiastková aktivita k) Zaznamenávanie udalostí a monitoring sietí a IS, 
200 Na základe zistených nedostatkov v oblasti zaznamenávania a monitorovania udalostí je stanovený nasledovný cieľový stav:
201 Implementovaný bude centrálny log management systém pre zber a ukladanie logov z jednotlivých informačných systémov s podporou napojenia na riadiace systémy a poskytovania potrebných podporných dát.
202 Bude vypracovaná dokumentácia metód monitorovania a fungovania systému správy log a centrálneho nástroja na monitorovanie bezpečnosti a bude definovaný spôsob evidencie prevádzkových záznamov, ich vyhodnocovanie, spôsoby hlásenia podozrivej činnosti, zodpovedné osoby a ďalšie povinnosti.
203 Vytvorí sa špecifikácia všetkých udalostí, ktoré sa musia zaznamenávať, a súvisiaca konfigurácia prvkov informačných technológií verejnej správy vrátane dokumentácie rozsahu údajov zaznamenaných v protokolových súboroch.
204 Bude vypracovaný sa vnútorný zákon o riadení, ktorý obsahuje a upravuje povinnosti stanovené platnou legislatívou.
205
206 \\
207
208
209 3.2 Ciele projektu
210
211 Do tabuliek nižšie doplniť CIEĽ /CIELE PROJEKTU, ich mapovanie na strategické ciele (napr. z NKIVS, KRIT a iných strategických dokumentov) a súvisiace merateľné ukazovatele (KPI- key performance indicators). Ciele musia byť S.M.A.R.T. - konkrétne, merateľné, dosiahnuteľné, relevantné, časovo ohraničené.
212
213 ID
214
215
216 Názov cieľa
217 Názov strategického cieľa
218 Spôsob realizácie strategického cieľa 
219 ...
220
221 ...
222 ...
223 ...
224
225 ...
226 ...
227
228 3.3 Merateľné ukazovatele (KPI)
229
230 ID
231
232
233 ID/Názov cieľa
234 Názov
235 ukazovateľa (KPI)
236 Popis
237 ukazovateľa
238 Merná jednotka
239
240 AS IS
241 merateľné hodnoty
242 (aktuálne)
243 TO BE 
244 Merateľné hodnoty
245 (cieľové hodnoty)
246 Spôsob ich merania
247
248 Pozn.
249 \\
250
251 Vysvetlivky k vyplneniu tabuľky:
252 • Vzory merateľných ukazovateľov pre projekt sú publikované v Checkliste pre agendu Merateľné ukazovatele/KPI ([[https:~~/~~/www.mirri.gov.sk/sekcie/informatizacia/riadenie-kvality-qa/riadenie-kvality-qa/index.html>>url:https://www.mirri.gov.sk/sekcie/informatizacia/riadenie-kvality-qa/riadenie-kvality-qa/index.html||shape="rect"]] )
253 • AS IS merateľné ukazovatele – t. j. popíšte, aké merateľné ukazovatele máte teraz (vpíšte výsledky meraní – v merateľných jednotkách) .
254 • TO BE merateľné ukazovatele – t. j. popíšte cieľové merateľné ukazovatele, ktoré chcete dosiahnuť. 
255 • Odporúčame, aby váš budúci IS mal automatizovaný monitoring (na pravidelnej báze, napr. týždenne) vami stanovených merateľných ukazovateľov – s cieľom, aby ste mohli riadiť službu, produkt, proces, ľudí
256 • V prípade financovania cez zdroje EÚ uvádzať aj Projektové merateľné ukazovatele z operačného programu (špecifické ciele, merateľné ukazovatele atď).
257 .
258 3.4 Riziká a závislosti
259
260 Zoznam rizík a závislostí realizácie projektu:
261 Realizácia projektu na zabezpečenie kyberbezpečnosti financovaného z fondov EÚ môže čeliť viacerým rizikám.
262
263 ~1. Nedodržanie harmonogramu aktivít
264 Riziko spočíva v nedodržiavaní harmonogramu aktivít projektu, ktoré by vyústilo do oneskorenia projektu. 
265
266 Opatrenia na elimináciu: 
267 V rámci prípravy projektu bol harmonogram jednotlivých aktivít zostavený tak aby zodpovedal možnostiam žiadateľa.
268
269 Na elimináciu rizika nedodržania harmonogramu aktivít projektu je potrebné prijať niekoľko opatrení, ktoré zabezpečia efektívne riadenie času a zdrojov. Tu sú niektoré z nich:
270
271 a) Dôkladné plánovanie:
272 - žiadateľ má vypracovaný detailný projektový plán so všetkými aktivitami, úlohami a milníkmi.
273 - žiadateľ využil osvedčené metódy plánovania, ako sú Ganttove diagramy alebo PERT (Program Evaluation and Review Technique).
274
275 b) Realistické časové odhady:
276 - v rámci žiadosti boli stanoviné realistické časové rámce pre jednotlivé aktivity na základe skúseností a po porade s odbornými konzultantmi,
277 - do riadenia a plánovania bol zapojený projektový tím, ktorý bude úlohy vykonávať, aby sa zabezpečila realistickosť odhadov.
278
279 c) Identifikácia kritických ciest:
280 - žiadateľ určil kritické cesty (critical paths) v projekte, ktoré majú najväčší vplyv na celkový harmonogram.
281 - žiadateľ bude pravidelne sledovať postup na týchto kritických cestách a zabezpečí, aby nedošlo k žiadnym oneskoreniam.
282
283 d) Rezervy na nepredvídané udalosti:
284 - žiadateľ v rámci stanovenia aktivity projektu zahrnúl do plánu časové rezervy (buffer times) na pokrytie nepredvídaných udalostí alebo oneskorení.
285 - projektový a odborný tím žiadateľa je pripravený flexibilne prispôsobiť plán pri výskyte neočakávaných situácií.
286
287 e) Pravidelný monitoring a kontrola:
288 - žiadateľ bude mať v rámci realizácie projektu zavedený zavedený systém pravidelného monitorovania postupu projektu a porovnávania s harmonogramom.
289 - súčasne budú používané softvérové nástroje na riadenie projektov, ktoré umožňujú sledovanie priebehu v reálnom čase.
290
291 f) Efektívna komunikácia:
292 - žiadateľ má zavedené pravidelné stretnutia projektového tímu na hodnotenie postupu a riešenie problémov.
293 - žiadateľ zabezpečí udržiavať otvorenú a transparentnú komunikáciu medzi všetkými členmi tímu a zainteresovanými stranami.
294
295 g) Riadenie rizík:
296 - žiadateĺ identifikoval potenciálne riziká, ktoré by mohli ovplyvniť harmonogram, a vypracovať plány na ich zmiernenie.
297 - žiadateľ bude pravidelne aktualizovať rizikový register a prijímať preventívne opatrenia.
298
299 h) Dostatočné zdroje:
300 - žiadateľ má zabezpečené, aby mal projektový tím k dispozícii všetky potrebné zdroje vrátane personálu, technológií a financií.
301 - žiadateľ bude riešiť prípadné nedostatky zdrojov čo najskôr, aby nedošlo k oneskoreniam.
302
303 i) Flexibilita a adaptabilita:
304 - žiadateľ je pripravený prispôsobiť harmonogram podľa aktuálnych podmienok a vývoja situácie.
305 - žiadateľ bude mať zavedené spolu s projektovými tímom procesy pre rýchlu reakciu na zmeny a úpravu plánov.
306
307 Závažnosť tohto rizika však považujeme za nízku, vzhľadom na zabezpečenie účinných opatrení na elimináciu.
308
309
310 2. Nedosiahnutie plánovaných hodnôt merateľných ukazovateľov
311 Hoci v rámci projektu sa nesledujú také merateľné ukazovatele, ktoré by boli merateľnými ukazovateľmi s príznakom, žiadateľ si uvedomuje možné riziká súvisiace s nenaplnením merateľných ukazovateľov. 
312
313 Opatrenia na elimináciu rizika:
314 Keďže merateľné ukazovatele sú odrazom úspešného naplnenia jednotlivých aktivít, prijímateľ prijal alebo prijme najmä nasledovné opatrenia:
315 Prijímateľ dlhoročne realizuje projekty financované s fondov EÚ. Samotný projekt vyplýva z jeho dlhodobých plánov a preto celé jeho nastavenie je podrobne analyzované vrátane nastavenia časového harmonogramu a cieľových hodnôt merateľných ukazovateľov.Prijímateľ do realizácie projektu zapojil odborných zamestnancov spoločnosti, aby bolo zaručené dosiahnutie plánovaných výsledkov. 
316
317 Aby sa eliminovalo riziko nedosiahnutia plánovaných hodnôt merateľných ukazovateľov v rámci projektu, môžu byť prijaté nasledujúce opatrenia:
318
319 a) Precízne plánovanie a nastavenie realistických cieľov:
320 - V projekte sú definované jasné a realistické ciele a merateľné ukazovatele (KPIs) na základe dôkladnej analýzy, prípravy projektu a prieskumu trhu.
321 - Žiadateľ využil historické údaje a osvedčené metódy na stanovenie cieľov.
322
323 b) Pravidelný monitoring a hodnotenie:
324 - žiadateľ zavedie v rámci realizácie projektu systém pravidelného monitoringu a hodnotenia postupu dosahovania cieľov.
325 - žiadateľ zavedie v rámci realizácie projektu mechanizmy na pravidelné správy a analýzy progresu.
326
327 c) Flexibilita a adaptabilita:
328 - projektový tím žiadateľa je pripravený prispôsobiť plány a stratégie na základe zistení z monitoringu.
329 - žiadateľ počs realizácie projektu zavedie procesy pre rýchlu reakciu na neočakávané udalosti alebo zmeny v externom prostredí.
330
331 d) Zabezpečenie potrebných zdrojov:
332 - žiadateľ identifikoval a zabezpečil všetky potrebné zdroje vrátane finančných, ľudských a technologických potrebných na úspešnú realizáciu projektu,
333 - žiadateľ bude pravidelne preverovať dostupnosť zdrojov a riešiť prípadné nedostatky.
334
335 e) Kvalitný projektový manažment:
336 - žiadateľ disponuje skúsenými a certifikovanými projektovými manažérmi, ktorý skúsenosti sú uvedené v časti 7.4. ŽoNFP,
337 - žiadateľ bude využívať pri realizácii projektu osvedčené metodiky projektového riadenia, ako sú PRINCE2, PMI alebo Agile.
338
339 f) Zapojenie všetkých zainteresovaných strán:
340 - žiadateľ prostredndíctvom projektového tímu zabezpečí, aby všetci zainteresovaní boli dostatočne informovaní a zapojení do projektu.
341 - žiadateľ plánuje organizovať pravidelné stretnutia a konzultácie s projektovým tímom a relevantnými stranami na získanie spätnej väzby a podpory pri realizácii projektu,
342
343 g) Rizikový manažment:
344 - Identifikovať potenciálne riziká spojené s dosahovaním ukazovateľov a vypracovať plány na ich zmiernenie.
345 - Pravidelne aktualizovať rizikový register a prijímať preventívne opatrenia.
346
347 h) Komunikácia a transparentnosť:
348 - Zabezpečiť otvorenú a transparentnú komunikáciu o postupoch a výsledkoch.
349 - Informovať tím a vedenie o aktuálnom stave a prípadných problémoch.
350
351 i) Kontrola a audit:
352 - Zaviesť interné a externé kontroly a audity na preverenie plnenia merateľných ukazovateľov.
353 - Implementovať odporúčania z auditov na zlepšenie procesov a výkonnosti.
354
355 Závažnosť tohto rizika však považujeme za nízku, vzhľadom na zabezpečenie účinných opatrení na elimináciu.
356
357
358 3. Nedostatky v dodávkach od externých dodávateľov
359 Nedodržiavanie termínov zo strany externých dodávateľov služieb a tovarov. Dodávateľ(lia) služieb a tovarov, ktorý vzíde z procesu verejného obstarávania nebude dodržiavať harmonogram prác a dodávok, resp. bude v omeškaní.
360
361
362
363 Opatrenia na elimináciu rizika:
364 Projektový manažér bude pravidelne komunikovať s dodávateľom, konzultovať prípadné omeškania, hľadať riešenia. V rámci realizácie projektu budú organizované pravidelné zasadnutia Riadiaceho výboru. Postihy za škody a omeškania budú definované v rámci zmluvy o dodávke tovaru, resp. poskytnutí služieb. Ďalším opatrením je už dnes realizovaná kontrola kvality externých dodávateľov zo strany žiadateľa. Súčasne bude žiadateľ starostlivo vyberať dodávateľov na základe ich schopností a referencií. V rámci procesu verejného obstarávania budú zavedené jasné zmluvné podmienky a dohodnúť si pravidelné kontroly plnenia záväzkov, vrátane finančných sankciíí. Žiadateľ bude sa bude usilovať o diverzifikovanie dodávateľov, aby sa minimalizovala závislosť na jedinom zdroji. Podmienkou žiadateľa bude implementovať osvedčené technológie a riešenia, ktoré sú už overené na trhu. Žiadateľ zároveň planuje investovať do školení a certifikácií pre zamestnancov, aby mali potrebné zručnosti a vedomosti.
365
366 Závažnosť tohto rizika však považujeme za nízku, vzhľadom na zabezpečenie účinných opatrení na elimináciu.
367
368
369 Na základe vykonanej analýzy rizík ohrozujúcich úspešnú realizáciu projektu možno konštatovať, že menej ako 10 % rizík z celkového počtu identifikovaných rizík v ŽoNFP je s vysokou závažnosťou, ktoré ohrozujú úspešnú realizáciu projektu.
370
371 \\
372
373
374 4. Súčasná architektúra prevádzkovanýCH IS
375
376 ÚVZ SR, ako aj jednotlivé RÚVZ spoločne používajú IS ÚVZ.
377
378 \\
379
380 [[image:attach:6.png||height="250"]]
381
382 \\
383
384 \\
385
386 [[image:attach:7.png||height="250"]]
387
388 \\
389
390 [[image:attach:8.png||height="250"]]
391
392 \\
393
394 [[image:attach:9.png||thumbnail="true" height="250"]]
395
396
397 5. ROZPOČET A PRÍNOSY
398
399 Rozpočet projektu je detailne špecifikovaný v časti 11. Rozpočet projektu v rám ci predloženej ŽoNFP.
400
401 \\
402
403
404 6. HARMONOGRAM JEDNOTLIVÝCH FÁZ PROJEKTU a METÓDA JEHO RIADENIA
405
406 Harmonogram projektu je uvedený v časti 9. Harmonogram realizácie aktivít predloženej ŽoNFP.
407
408 Projekt bude realizovaný metódou Waterfall:
409 Waterfall - vodopádový prístup počíta s detailným naplánovaním jednotlivých krokov a následnom dodržiavaní postupu pri vývoji alebo realizácii projekty. Projektovému tímu je daný minimálny priestor na zmeny v priebehu realizácie. Vodopádový prístup je vhodný a užitočný v projektoch, ktorý majú jasný cieľ a jasne definovateľný postup a rozdelenie prác.
410
411 Objednávateľ projektu vypracuje funkčnú a technickú špecifikáciu,
412
413 [[image:attach:10.png||thumbnail="true" height="250"]]
414
415 \\
416
417 Dokumenty obsahujúce informácie klasifikované ako chránené a prísne chránené podľa Vyhlášky č.362/2018 Z.z., ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení budú v rámci projektu odovzdávané v elektronickej podobe šifrovane pomocou PGP kľúčov, ktoré si žiadateľ a dodávateľ na začiatku projektu vymenia.
418
419 Pri akceptácii budú vyhotovované vopred definované akceptačné kritéria a požiadavky z katalógu funkčných a nefunkčných požiadaviek vzťahujúce sa k jednotlivým míľnikom projektu.
420
421 Metóda riadenia "Waterfall" (vodopád) je jedným z najtradičnejších prístupov k riadeniu projektov v oblasti IT. Tento model je lineárny a sekvenčný, čo znamená, že každá fáza projektu musí byť dokončená pred začiatkom ďalšej. Tieto fázy sú nasledovné:
422
423 ~1. Požiadavky (Requirements):*
424 - V tejto počiatočnej fáze sú zhromaždené všetky požiadavky na systém. Ide o veľmi dôležitý krok, pretože chyby v požiadavkách môžu mať vážne následky v neskorších fázach. Dokumentujú sa všetky požiadavky zákazníka, funkčné aj nefunkčné, a výsledkom je detailná špecifikácia požiadaviek.
425
426 2. Analýza systému (System Design):
427 - Po dokončení zhromažďovania požiadaviek sa prejde k analýze systému a návrhu. Táto fáza zahŕňa vytvorenie architektúry systému, technických špecifikácií a návrhu softvéru, ktorý bude schopný splniť všetky definované požiadavky.
428
429 3. Implementácia (Implementation):
430 - Po schválení návrhu systému sa začne s implementáciou, teda s programovaním a kódovaním systému podľa navrhnutých špecifikácií. Výsledkom tejto fázy je hotový softvér.
431
432 4. Integrácia a testovanie (Integration and Testing):
433 - V tejto fáze sa jednotlivé komponenty systému integrujú a testujú sa ako celok, aby sa overilo, či systém funguje podľa očakávaní a splňuje všetky špecifikované požiadavky. Testovanie zahŕňa rôzne typy testov, vrátane funkčných, integračných a systémových testov.
434
435 5. Nasadenie (Deployment):
436 - Po úspešnom testovaní sa systém nasadí do produkčného prostredia. Táto fáza môže zahŕňať aj školenie používateľov a prípravu dokumentácie pre používateľov.
437
438 6. Údržba (Maintenance):
439 - Po nasadení systému začína fáza údržby, ktorá zahŕňa opravy chýb, aktualizácie a vylepšenia systému na základe spätnej väzby od používateľov a meniace sa požiadavky.
440
441 Výhody Waterfall modelu:
442 - Jednoduchosť a jasná štruktúra:*Každá fáza má jasne definovaný začiatok a koniec.
443 - Dobre zdokumentovaný proces: Všetky požiadavky a kroky sú detailne zdokumentované.
444 - Jednoduché riadenie:*Jednoduché plánovanie a sledovanie pokroku projektu.
445
446
447 Waterfall model je ideálny pre projekty, kde sú požiadavky jasne definované a stabilné, a kde sa očakáva, že projekt prebehne bez veľkých zmien. V súčasnosti sa však stále častejšie využívajú agilné prístupy, ktoré lepšie vyhovujú dynamickým a meniacim sa požiadavkám projektov.
448
449
450 Kvantitatívne prínosy projektu:
451 • Zníženie nákladov spojených so sanáciou KBU/KBI
452 • Zníženie nákladov spojených s elimináciou následkov reaktívnych KBI
453
454 Kvalitatívne prínosy projektu:
455 • Zníženie rizika KBI,
456 • Zvýšenie súladu s platnou legislatívou,
457 • Zvyšovanie úrovne kybernetickej a informačnej bezpečnosti,
458 • Zvýšenie detekcie KBI,
459 • Zvýšte spokojnosť a dôveru používateľov,
460
461
462 Popis cieľového stavu
463 Základné ciele projektu:
464 • Aktualizácia stratégie kybernetickej bezpečnosti,
465 • Aktualizácie bezpečnostnej politiky KB vrátane implementačnej dokumentácie, v súlade s Príloha – Manažérske Produkty,
466 • Vykonávanie inventarizácie aktív, klasifikácie informácií a kategorizácie sietí a interných systémov,
467 • Stabilizácia riadenia rizík – aktualizácia analýzy rizík a analýzy dopadov a nasadenie nástroja Asset Inventory, Threats, Risks and Measures (EAM/),
468 • Implementácia nástroja na zaznamenávanie a monitorovanie udalostí (Log Management)
469 • Implementácia auditu KB, procesu riadenia a kontroly dodržiavania predpisov.
470
471 \\
472
473 7. PROJEKTOVÝ TÍM
474
475 Projektový tím je detailne popísaný v predloženej ŽoNFP, časť 7.5 Prevádzková kapacita žiadateľa.
476
477
478 ID
479 Meno a Priezvisko
480 Pozícia
481 Oddelenie
482 Rola v projekte
483 1.
484 Doplniť meno a priezvisko
485 Doplniť pozíciu (pracovné zaradenie v línii)
486 Doplniť názov org. útvaru
487 Doplniť rolu v projekte
488 2.
489 Doplniť meno a priezvisko
490 Doplniť pozíciu (pracovné zaradenie v línii)
491 Doplniť názov org. útvaru
492 Doplniť rolu v projekte
493 3.
494 Doplniť meno a priezvisko
495 Doplniť pozíciu (pracovné zaradenie v línii)
496 Doplniť názov org. útvaru
497 Doplniť rolu v projekte
498
499 Vzor organizačnej štruktúry
500
501 [[image:attach:11.png||height="250"]]
502
503 \\
504
505 [[image:attach:12.png||height="93"]]
506
507 \\
508
509 8. VÝSLEDKY PROJEKTU
510
511 VÝSLEDKOM PROJEKTU JE ZABEZPEČENIE SÚLADU SO SMERNICOU NIS2 a Zákonom o kybernetickej bezpečnosti Slovenskej republiky (Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti)
512
513 Realizáciou vyššie uvedenej aktivity, dosiahne žiadateľ súlad so Smernicou NIS2 a Zákonom o kybernetickej bezpečnosti Slovenskej republiky (Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti). Tieto aktivity pokrývajú širokú škálu oblastí vrátane bezpečnostnej politiky, správy rizík, ochrany proti škodlivému kódu, inventarizácie aktív, bezpečnosti sietí a informačných systémov, kontroly prístupu, riadenia zraniteľností, monitoringu, kontinuity činností a incident managementu.
514
515 Tu je prehľad, ako tieto aktivity pomáhajú dosiahnuť súlad:
516
517 ~1. Bezpečnostná politika a stratégia: Prehodnotenie a aktualizácia bezpečnostnej politiky a stratégie zabezpečuje, že organizácia má správne nastavený rámec pre kybernetickú bezpečnosť v súlade s legislatívou.
518 2. Smernice a procesy : Aktualizácia a vytváranie nových smerníc pre rôzne oblasti kybernetickej bezpečnosti zabezpečuje, že všetky činnosti sú vykonávané v súlade s novými požiadavkami Zákona a NIS2.
519 3. Riadenie rizík: Nasadenie nástrojov na automatizáciu analýzy rizík a aktualizácia analýzy rizík zabezpečuje, že riziká sú riadne identifikované, hodnotené a riadené.
520 4. Inventarizácia aktív: Spracovanie inventarizácie aktív a ich klasifikácia pomáha organizácii identifikovať a spravovať svoje informačné aktíva, čo je kľúčové pre ochranu citlivých informácií.
521 5. Log management: Implementácia nástrojov a procesov na detekciu a riadenie kybernetických bezpečnostných incidentov zabezpečuje, že organizácia môže efektívne zvládať incidenty a minimalizovať ich dopad.
522
523 Realizácia týchto aktivít predstavuje komplexný prístup k dosiahnutiu súladu s NIS2 a Zákonom o kybernetickej bezpečnosti, čím sa zabezpečuje ochrana kritickej infraštruktúry a citlivých informácií v súlade s aktuálnymi požiadavkami.
524 9. PRÍLOHY
525
526 Príloha : Zoznam rizík a závislostí (Excel): [[https:~~/~~/www.mirri.gov.sk/sekcie/informatizacia/riadenie-kvality-qa/riadenie-kvality-qa/index.html>>url:https://www.mirri.gov.sk/sekcie/informatizacia/riadenie-kvality-qa/riadenie-kvality-qa/index.html||shape="rect"]] 
527