Naposledy upravil Admin-metais MetaIS 2024/11/13 16:05
Show last authors
1 **PROJEKTOVÝ ZÁMER**
2
3 **Vzor pre manažérsky výstup I-02**
4
5 **~ podľa vyhlášky MIRRI č. 401/2023 Z. z. **
6
7
8 |(((
9 Povinná osoba
10 )))|(((
11 Regionálny úrad verejného zdravotníctva
12 )))
13 |(((
14 Názov projektu
15 )))|(((
16 Podpora v oblasti kybernetickej a informačnej bezpečnosti RÚVZ
17 )))
18 |(((
19 Zodpovedná osoba za projekt
20 )))|(((
21 Ing. Jana Grňo Mikulášiová, manažér kybernetickej bezpečnosti
22 )))
23 |(((
24 Realizátor projektu
25 )))|(((
26 Úrad verejného zdravotníctva SR
27 )))
28 |(((
29 Vlastník projektu
30 )))|(((
31 Ing. Jana Grňo Mikulášiová, manažér kybernetickej bezpečnosti
32 )))
33
34 **~ **
35
36 **Schvaľovanie dokumentu**
37
38 |(((
39 Položka
40 )))|(((
41 Meno a priezvisko
42 )))|(((
43 Organizácia
44 )))|(((
45 Pracovná pozícia
46 )))|(((
47 Dátum
48 )))|(((
49 Podpis
50
51 (alebo elektronický súhlas)
52 )))
53 |(((
54 Vypracoval
55 )))|(((
56
57 )))|(((
58 ÚVZ SR
59 )))|(((
60
61 )))|(((
62
63 )))|(((
64
65 )))
66
67 **~ **
68
69 = {{id name="projekt_2886_Projektovy_zamer_detailny-1.HistóriaDOKUMENTU"/}}1.    História DOKUMENTU =
70
71 |(((
72 Verzia
73 )))|(((
74 Dátum
75 )))|(((
76 Zmeny
77 )))|(((
78 Meno
79 )))
80 |(((
81 //1.0.//
82 )))|(((
83 //01.07.2024//
84 )))|(((
85 //Vypracovanie dokumentu//
86 )))|(((
87
88 )))
89 |(((
90 //1.0//
91 )))|(((
92 //22.12.2023//
93 )))|(((
94 //Zapracovanie súladu s vyhláškou č. 401/2023 Z. z.//
95 )))|(((
96
97 )))
98 |(((
99
100 )))|(((
101
102 )))|(((
103
104 )))|(((
105
106 )))
107
108 **~ **
109
110 = {{id name="projekt_2886_Projektovy_zamer_detailny-2.ÚČELDOKUMENTU,SKRATKY(KONVENCIE)ADEFINÍCIE"/}}2.    ÚČEL DOKUMENTU, SKRATKY (KONVENCIE) A DEFINÍCIE =
111
112 V súlade s Vyhláškou 401/2023 Z.z. je dokument I-02 Projektový zámer určený na rozpracovanie detailných informácií prípravy projektu, aby bolo možné rozhodnúť o pokračovaní prípravy projektu, pláne realizácie, alokovaní rozpočtu a ľudských zdrojov.
113
114
115 V súlade s Vyhláškou MIRRI SR č. 401/2023 Z. z. o riadení projektov a zmenových požiadaviek v prevádzke IT VS je dokument Prístup k projektu určený na rozpracovanie detailných informácií prípravy projektu z pohľadu aktuálneho stavu, budúceho stavu a navrhovaného riešenia.
116
117 Dokument Prístup k projektu v zmysle vyššie uvedenej vyhlášky obsahuje opis navrhovaného riešenia, architektúru riešenia projektu na úrovni biznis vrstvy, aplikačnej vrstvy, dátovej vrstvy, technologickej vrstvy, infraštruktúry navrhovaného riešenia, bezpečnostnej architektúry, špecifikáciu údajov spracovaných v projekte, čistenie údajov, prevádzku a údržbu výstupov projektu, prevádzkové požiadavky, požiadavky na zdrojové kódy. Dodávané riešenie bude v súlade so zákonom. Zároveň opisuje aj implementáciu projektu a preberanie výstupov projektu.
118
119 Hlavnou motiváciou je realizácia kyberbezpečnostných opatrení definovaných v Z.z. 69/2018 a v zákone o ISVS.
120
121 Prioritne jedná o tie opatrenia, ktoré vykazujú najväčší nesúlad s uvedenými právnymi normami a vyhláškou 362/2018 Z. z.. V dôsledku realizácie týchto opatrení budú ÚVZ SR chránené v maximálnej možnej miere pred kybernetickým incidentom, ktorý by mohol mať na poskytovanie služieb a prevádzku ÚVZ SR. 
122
123
124 Medzi základné povinnosti je prijatie a dodržiavanie všeobecných bezpečnostných opatrení pre nasledovné oblasti, ktoré sú obsahom projektu:
125
126
127 1. Prehodnoténú SM-03 Bezpečnostná politika a stratégia Úradu verejného zdravotníctva s ohľadom na požiadavky nového zákona o KB a príslušných vykonávacích predpisov,
128 1. Dopracovanú smernicu pre oblasti riadenia bezpečnosti prevádzky sietí a IS/APP,
129 1. Aktualizovanú SM-25 Smernica, ktorou sa upravuje práca s informačnými technológiami,
130 1. Nasadený nástroj na automatizáciu analýzy rizík a prehodnotenie a aktualizácia analýzy rizík podľa požiadaviek nového zákona o KB,
131 1. Spracovávanie inventarizácie aktív a ich klasifikáciu s ohľadom na IS ÚVZ a dokumentovanie vzťahov a závislostí medzi IS ÚVZ a ostatnými používanými systémami a aplikáciami na ÚVZ SR,
132 1. Prehodnotenú a spracovanú novú SOA (Security Operations Architecture) s ohľadom na novú legislatívu a jej plnenie pre oblasť kybernetickej bezpečnosti,
133 1. Zavedenú kontrolu dodržiavania bezpečnostných politík zo strany zamestnancov, administrátorov a osôb zastávajúcich niektorú z bezpečnostných rolí,
134 1. Implementovaný nástroj na detekciu kybernetických bezpečnostných incidentov, ktorý spĺňa všetky požiadavky Vyhlášky § 17, ods. 03 a ods. 04,
135 1. Navrhnutý a zdokumentovaný efektívny spôsob kontroly pre účely zaručenia, že prevádzka, používanie a manažment siete a informačného systému je v súlade s vnútornými predpismi a zmluvnými záväzkami,
136 1. Prehodnotenú a aktualizovanú smernicu v oblasti SM-51 Smernica Riadenie kontinuity procesov a činností a spracované nové BCP/DRP plány potrebné na zabezpečenie kontinuity činností podľa nového zákona o KB,
137 1. Aktualizovaná SM-44 Smernica o klasifikácii informácií na Úrade verejného zdravotníctva Slovenskej republiky,
138 1. Zanalyzované existujúce prostredie ÚVZ SR s ohľadom na vzniknutý systém IS ÚVZ a vytvorené záznamy o identifikovaných vzťahoch a súvislostiach,
139 1. Zanalyzovaný spôsob efektívnej realizácie monitoringu zariadení, činností, sietí, IS a APP v prostredí ÚVZ SR a zabezpečenú podporu pre vybraté riešenie pri jeho nasadení a spustení do prevádzky.
140
141
142 Cieľom projektu je, aby po jeho realizácii naša inštitúcia dosiahla čo možno najväčší súlad s NIS2, Zákonom o kyberbezpečnosti, ako aj Zákonom o ISVS.
143
144 **~ **
145
146 == {{id name="projekt_2886_Projektovy_zamer_detailny-2.1Použitéskratkyapojmy"/}}2.1       Použité skratky a pojmy ==
147
148
149 |(((
150 SKRATKA/POJEM
151 )))|(((
152 POPIS
153 )))
154 |(((
155 KIB
156 )))|(((
157 Kybernetická a informačná bezpečnosť
158 )))
159 |(((
160 IT
161 )))|(((
162 Informačné technológie
163 )))
164 |(((
165 VS
166 )))|(((
167 Verejná správa
168 )))
169 |(((
170 ITVS
171 )))|(((
172 Informačné technológie verejnej správy
173 )))
174 |(((
175 NFP
176 )))|(((
177 Nenávratný finančný príspevok
178 )))
179 |(((
180 OP SK
181 )))|(((
182 Operačný program SLovensko
183 )))
184 |(((
185 ÚVZ SR
186 )))|(((
187 Úrad verejného zdravotníctva SR
188 )))
189 |(((
190 RÚVZ
191 )))|(((
192 Regionálny úrad verejného zdravotníctva
193 )))
194 |(((
195 MZ SR
196 )))|(((
197 Ministerstvo zdravotníctva SR
198 )))
199 |(((
200 NKIVS
201 )))|(((
202 Národná koncepcia informatizácie verejnej správy
203 )))
204 |(((
205 ZoBK
206 )))|(((
207 Zákon o kybernetickej bezpečnosti
208 )))
209 |(((
210 SOA
211 )))|(((
212 Security Operations Architecture
213 )))
214 |(((
215 SOC
216 )))|(((
217 Security Operation Center
218 )))
219
220
221 == {{id name="projekt_2886_Projektovy_zamer_detailny-2.2Konvenciepretypypožiadaviek(príklady)"/}}2.2       Konvencie pre typy požiadaviek (príklady) ==
222
223
224 Zvoľte si konvenciu pre označovanie požiadaviek, súborov, atd. Hlavné kategórie požiadaviek v zmysle katalógu požiadaviek, rozdeľujeme na funkčné (funkcionálne), nefunkčné (kvalitatívne, výkonové a pod.). Podskupiny v hlavných kategóriách je možné rozšíriť podľa potrieb projektu, napríklad:
225
226 **Funkcionálne (používateľské) požiadavky **majú nasledovnú konvenciu:
227
228 **FRxx**
229
230 * U – užívateľská požiadavka
231 * R – označenie požiadavky
232 * xx – číslo požiadavky
233
234 **Nefunkčné (kvalitatívne, výkonové - Non Functional Requirements - NFR) požiadavky** majú nasledovnú konvenciu:
235
236 **NRxx**
237
238 * N – nefukčná požiadavka (NFR)
239 * R – označenie požiadavky
240 * xx – číslo požiadavky
241
242 Ostatné typy požiadaviek môžu byť ďalej definované objednávateľom/PM.
243
244 = {{id name="projekt_2886_Projektovy_zamer_detailny-3.DEFINOVANIEPROJEKTU"/}}3.    DEFINOVANIE PROJEKTU =
245
246 == {{id name="projekt_2886_Projektovy_zamer_detailny-3.1Manažérskezhrnutie"/}}3.1       Manažérske zhrnutie ==
247
248
249 Úrad verejného zdravotníctva SR ako prevádzkovateľ základnej služby zapísanej v registri prevádzkovateľov základných služieb má povinnosti, ktoré vyplývajú zo ZoKB. Medzi základné povinnosti je prijatie a dodržiavanie všeobecných bezpečnostných opatrení pre nasledovné oblasti:
250
251
252 1. Prehodnoténú SM-03 Bezpečnostná politika a stratégia Úradu verejného zdravotníctva s ohľadom na požiadavky nového zákona o KB a príslušných vykonávacích predpisov,
253 1. Dopracovanú smernicu pre oblasti riadenia bezpečnosti prevádzky sietí a IS/APP,
254 1. Aktualizovanú SM-25 Smernica, ktorou sa upravuje práca s informačnými technológiami,
255 1. Nasadený nástroj na automatizáciu analýzy rizík a prehodnotenie a aktualizácia analýzy rizík podľa požiadaviek nového zákona o KB,
256 1. Spracovávanie inventarizácie aktív a ich klasifikáciu s ohľadom na IS ÚVZ a dokumentovanie vzťahov a závislostí medzi IS ÚVZ a ostatnými používanými systémami a aplikáciami na ÚVZ SR,
257 1. Prehodnotenú a spracovanú novú SOA (Security Operations Architecture) s ohľadom na novú legislatívu a jej plnenie pre oblasť kybernetickej bezpečnosti,
258 1. Zavedenú kontrolu dodržiavania bezpečnostných politík zo strany zamestnancov, administrátorov a osôb zastávajúcich niektorú z bezpečnostných rolí,
259 1. Implementovaný nástroj na detekciu kybernetických bezpečnostných incidentov, ktorý spĺňa všetky požiadavky Vyhlášky § 17, ods. 03 a ods. 04,
260 1. Navrhnutý a zdokumentovaný efektívny spôsob kontroly pre účely zaručenia, že prevádzka, používanie a manažment siete a informačného systému je v súlade s vnútornými predpismi a zmluvnými záväzkami,
261 1. Prehodnotenú a aktualizovanú smernicu v oblasti SM-51 Smernica Riadenie kontinuity procesov a činností a spracované nové BCP/DRP plány potrebné na zabezpečenie kontinuity činností podľa nového zákona o KB,
262 1. Aktualizovaná SM-44 Smernica o klasifikácii informácií na Úrade verejného zdravotníctva Slovenskej republiky,
263 1. Zanalyzované existujúce prostredie ÚVZ SR s ohľadom na vzniknutý systém IS ÚVZ a vytvorené záznamy o identifikovaných vzťahoch a súvislostiach,
264 1. Zanalyzovaný spôsob efektívnej realizácie monitoringu zariadení, činností, sietí, IS a APP v prostredí ÚVZ SR a zabezpečenú podporu pre vybraté riešenie pri jeho nasadení a spustení do prevádzky
265
266
267 **Jednotlivé organizačné jednotky (OZ), teda regionálne úrady verejného zdravotníctva (ktorých je 36) využívajú centrálny informačný systém (IS ÚVZ), tzn. že každá OZ, ak sa stane terčom kybernetického útoku, ohrozuje fungovanie IS ÚVZ ako celku a môže spôsobiť odstavenie celého systému. V dôsledku toho je nevyhnutné, aby navrhovaným systémov disponovalo nie len ÚVZ, ale aj všetky RÚVZ.**
268
269
270 Zasielané udalosti sú v jednotlivých organizáciách na vstupe prijaté, označkované a parsované podľa technológie. Následne sú buď vhodnými základnými pravidlami produktu a implementačnými pravidlami na mieru spracované, aby bolo možné s nimi vytvárať potrebné navrhnuté scenáre. Ďalej sú uložené a vizualizované buď prostredníctvom základných nástrojov, alebo v budúcnosti vyššou formou pomocou integračnej platformy. Implementácia zahŕňa vytvorenie prístupových oprávnení v súlade s požiadavkami na viditeľnosť a spracovanie dát a následnú vizualizáciu.
271
272
273 Prevádzkové informácie budú zobrazovať aktuálne informácie o stave logovaných ICT systémov jednotlivých organizácií. Nad týmito logmi bude vykonané parsovanie a následne sa uložia do centrálneho dátového skladu, kde bude možné s týmito dátami ďalej pracovať. Primárne sa jedná o nepretržitý zber logov a monitorovanie prevádzky ICT technológií, systémov, aplikácií, stavu kybernetického a fyzického zabezpečenia a poskytovanie dát a informácií pre riešenie odchýlok a nápravných opatrení. Všetky údaje uložené v dátovom sklade budú podrobené procesu sledovania a vyhodnocovania podľa nižšie uvedených scenárov. Tým bude zabezpečené sledovanie jednotlivých systémov podľa nariadenia NIS2. Jednotlivé zistenia budú automaticky evidované v systéme na riadenie bezpečnosti, ktorý riadi všetky zistené riziká a navrhuje vhodné opatrenia. Takto evidované a riadené sledovanie logov povedie k včasnej detekcii rizík a ich okamžitej náprave.
274
275
276 Z pohľadu kompletného zberu logov bude vyhodnocované:
277
278 - prihlasovanie a odhlasovanie ku všetkým účtom, vrátane neúspešných pokusov
279
280 - vykonanie a neúspešný pokus o vykonanie privilegovanej činnosti
281
282 - manipulácia a neúspešný pokus o manipuláciu s účtami, oprávneniami a právami
283
284 - neuskutočnenie činností v dôsledku nedostatku prístupových práv alebo oprávnení
285
286 - začatie a ukončenie činností technických aktív
287
288 - kritické a chybové hlásenia technických aktív
289
290 - prístup a neúspešný pokus o prístup k záznamom udalostí
291
292 - manipulácia a neúspešný pokus o manipuláciu so záznamami udalostí
293
294 - zmenu a neúspešný pokus o zmenu nastavení nástrojov na zaznamenávanie udalostí
295
296 - ďalšie činnosti používateľov, ktoré môžu mať vplyv na bezpečnosť regulovanej služby.
297
298
299 **__Výsledky projektu a cieľový stav  (manažérske produkty)__**
300
301
302 **Čiastková aktivita a) Organizácia KB,**
303
304 Na základe zistených nedostatkov v oblasti riadenia kybernetickej a informačnej bezpečnosti v organizácii sa určuje nasledovný cieľový stav:
305
306 Komplexná bezpečnostná dokumentácia bude novo vypracovaná, pričom zohľadňuje predchádzajúcu dokumentáciu a jej aktualizácie vrátane rozsahu a metód dodržiavania všeobecných bezpečnostných opatrení.
307
308 Budú novo sa vyvinuté a implementované špecifické interné riadiace akty pre vybrané oblasti kybernetickej a informačnej bezpečnosti.
309
310 Bude aktualizovaný stav bezpečnostného výboru organizácie.
311
312 Bude vypracovaný bezpečnostný projekt komplexnej ochrany informačného systému verejnej správy.
313
314
315 **Čiastková činnosť b) Riadenie rizík KB**,
316
317 Na základe zistených nedostatkov v oblasti riadenia rizík kybernetickej a informačnej bezpečnosti v organizácii sa určuje nasledovný cieľový stav:
318
319 Všetky aktíva súvisiace so spracovaním informácií a centrálnym inventárnym záznamovým zariadením budú identifikované ich hodnotou a s označením ich vlastníka, ktorý definuje ich požiadavky na dôvernosť, dostupnosť a integritu (EAM).
320
321 Riadenie rizík bude automatizované pomocou nástroja, pozostávajúce z identifikácie zraniteľnosti, identifikácie hrozieb, identifikácie rizík a analýzy rizík s ohľadom na aktíva, určenia vlastníka rizika a implementácie organizačných a technických bezpečnostných opatrení, funkčnej analýzy dopadov a pravidelného prehodnocovania identifikovaných rizík v závislosti od aktualizácie prijatých bezpečnostných opatrení.
322
323 Bude implementovaný automatizovaný systém správy a registrácie pre inventarizáciu majetku (EAM/).
324
325 Bude implementovaný automatizovaný systém riadenia a registrácie pre katalogizáciu hrozieb.
326
327 Bude zavedený sa automatizovaný systém riadenia a registrácie pre katalogizáciu rizík a opatrení.
328
329
330 **Čiastková činnosť c) Personálna bezpečnosť**,
331
332 Na základe zistených nedostatkov v oblasti personálnej bezpečnosti v organizácii je stanovený nasledovný cieľový stav:
333
334 Bude vyvinutý postup na priradenie osoby k jednej z rolí zabezpečenia
335
336 Bude zavedený plán na rozvoj bezpečnostného povedomia a vzdelávania
337
338 Bude vyvinutá  metóda hodnotenia účinnosti rozvojového plánu bezpečnostného povedomia
339
340 Budú určené  pravidlá a postupy pri riešení porušení bezpečnostnej politiky
341
342 Budú zavedené postupy na ukončenie pracovného pomeru
343
344 Budú zavedené postupy pre prípady porušenia bezpečnostných politík
345
346 Bude vypracovaný a aktualizovaný  akt vnútorného riadenia s bezpečnostnými zásadami pre koncových používateľov
347
348 Postupy a procesy, ktorými sa riadi personálna bezpečnosť organizácie, budú vypracované a implementované prostredníctvom interného riadiaceho aktu.
349
350 Bude vyhotovený automatizovaný systém riadenia a evidencie pre prácu s organizačnou štruktúrou je implementovaný s prepojením na technické získavanie existujúcich informácií z dostupných technických zdrojov – najmä MS AD.
351
352
353 **Čiastková aktivita k) Zaznamenávanie udalostí a monitoring sietí a IS,**
354
355 Na základe zistených nedostatkov v oblasti zaznamenávania a monitorovania udalostí je stanovený nasledovný cieľový stav:
356
357 Implementovaný bude centrálny log management systém pre zber a ukladanie logov z jednotlivých informačných systémov s podporou napojenia na riadiace systémy a poskytovania potrebných podporných dát.
358
359 Bude vypracovaná  dokumentácia metód monitorovania a fungovania systému správy log a centrálneho nástroja na monitorovanie bezpečnosti a bude definovaný  spôsob evidencie prevádzkových záznamov, ich vyhodnocovanie, spôsoby hlásenia podozrivej činnosti, zodpovedné osoby a ďalšie povinnosti.
360
361 Vytvorí sa špecifikácia všetkých udalostí, ktoré sa musia zaznamenávať, a súvisiaca konfigurácia prvkov informačných technológií verejnej správy vrátane dokumentácie rozsahu údajov zaznamenaných v protokolových súboroch.
362
363 Bude vypracovaný sa vnútorný zákon o riadení, ktorý obsahuje a upravuje povinnosti stanovené platnou legislatívou.
364
365 (% style="color:#333333; font-size:20.0px; letter-spacing:-0.008em" %)3.2       Ciele projektu
366
367
368 Do tabuliek nižšie doplniť CIEĽ /CIELE PROJEKTU, ich mapovanie na strategické ciele (napr. z NKIVS, KRIT a iných strategických dokumentov) a súvisiace merateľné ukazovatele (KPI- key performance indicators). Ciele musia byť S.M.A.R.T. - konkrétne, merateľné, dosiahnuteľné, relevantné, časovo ohraničené.
369
370
371 |(((
372 ID
373 )))|(((
374
375
376
377 Názov cieľa
378 )))|(((
379 Názov strategického cieľa
380 )))|(((
381 Spôsob realizácie strategického cieľa
382 )))
383 |(((
384 ...
385 )))|(((
386
387 )))|(((
388 ...
389 )))|(((
390 ...
391 )))
392 |(((
393 ...
394 )))|(((
395
396 )))|(((
397 ...
398 )))|(((
399 ...
400 )))
401
402 **~ **
403
404 == {{id name="projekt_2886_Projektovy_zamer_detailny-3.3Merateľnéukazovatele(KPI)"/}}3.3       Merateľné ukazovatele (KPI) ==
405
406
407 |(((
408 ID
409 )))|(((
410
411
412
413 ID/Názov cieľa
414 )))|(((
415 Názov
416 ukazovateľa (KPI)
417 )))|(((
418 Popis
419 ukazovateľa
420 )))|(((
421 Merná jednotka
422
423 )))|(((
424 AS IS
425 merateľné hodnoty
426 (aktuálne)
427 )))|(((
428 TO BE
429 Merateľné hodnoty
430 (cieľové hodnoty)
431 )))|(((
432 Spôsob ich merania
433 )))|(((
434 Pozn.
435 )))
436 |(((
437 ...
438 )))|(((
439
440 )))|(((
441 ...
442 )))|(((
443 ...
444 )))|(((
445 ...
446 )))|(((
447 ...
448 )))|(((
449 ...
450 )))|(((
451 ...
452 )))|(((
453 ...
454 )))
455 |(((
456 ...
457 )))|(((
458
459 )))|(((
460 ...
461 )))|(((
462 ...
463 )))|(((
464 ...
465 )))|(((
466 ...
467 )))|(((
468 ...
469 )))|(((
470 ...
471 )))|(((
472 ...
473 )))
474 |(((
475 ...
476 )))|(((
477
478 )))|(((
479 ...
480 )))|(((
481 ...
482 )))|(((
483 ...
484 )))|(((
485 ...
486 )))|(((
487 ...
488 )))|(((
489 ...
490 )))|(((
491 ...
492 )))
493
494
495 Vysvetlivky k vyplneniu tabuľky:
496
497 * Vzory merateľných ukazovateľov pre projekt sú publikované v Checkliste pre agendu Merateľné ukazovatele/KPI ([[https:~~/~~/www.mirri.gov.sk/sekcie/informatizacia/riadenie-kvality-qa/riadenie-kvality-qa/index.html>>url:https://www.mirri.gov.sk/sekcie/informatizacia/riadenie-kvality-qa/riadenie-kvality-qa/index.html||shape="rect"]] )
498 * **AS IS merateľné ukazovatele** – t. j. popíšte, aké merateľné ukazovatele máte teraz (vpíšte výsledky meraní – v merateľných jednotkách) .
499 * **TO BE merateľné ukazovatele** – t. j. popíšte cieľové merateľné ukazovatele, ktoré chcete dosiahnuť.
500 * Odporúčame, aby váš budúci IS mal automatizovaný monitoring (na pravidelnej báze, napr. týždenne) vami stanovených merateľných ukazovateľov – s cieľom, aby ste mohli riadiť službu, produkt, proces, ľudí
501 * V prípade financovania cez zdroje EÚ uvádzať aj Projektové merateľné ukazovatele z operačného programu (špecifické ciele, merateľné ukazovatele atď).
502
503 == {{id name="projekt_2886_Projektovy_zamer_detailny-3.4Rizikáazávislosti"/}}3.4       Riziká a závislosti ==
504
505
506 **Zoznam rizík a závislostí realizácie projektu:**
507
508 **Realizácia projektu na zabezpečenie kyberbezpečnosti financovaného z fondov EÚ môže čeliť viacerým rizikám.**
509
510
511 1. **Nedodržanie harmonogramu aktivít**
512
513 Riziko spočíva v nedodržiavaní harmonogramu aktivít projektu, ktoré by vyústilo do oneskorenia projektu.
514
515
516 __Opatrenia na elimináciu:__
517
518 V rámci prípravy projektu bol harmonogram jednotlivých aktivít zostavený tak aby zodpovedal možnostiam žiadateľa.
519
520
521 Na elimináciu rizika nedodržania harmonogramu aktivít projektu je potrebné prijať niekoľko opatrení, ktoré zabezpečia efektívne riadenie času a zdrojov. Tu sú niektoré z nich:
522
523
524 1. a) Dôkladné plánovanie:
525
526 - žiadateľ má vypracovaný detailný projektový plán so všetkými aktivitami, úlohami a milníkmi.
527
528 - žiadateľ využil osvedčené metódy plánovania, ako sú Ganttove diagramy alebo PERT (Program Evaluation and Review Technique).
529
530
531 1. b) Realistické časové odhady:
532
533 -  v rámci žiadosti boli stanoviné realistické časové rámce pre jednotlivé aktivity na základe skúseností a po porade s odbornými konzultantmi,
534
535 - do riadenia a plánovania bol zapojený projektový tím, ktorý bude úlohy vykonávať, aby sa zabezpečila realistickosť odhadov.
536
537
538 1. c) Identifikácia kritických ciest:
539
540 -  žiadateľ určil kritické cesty (critical paths) v projekte, ktoré majú najväčší vplyv na celkový harmonogram.
541
542 -  žiadateľ bude pravidelne sledovať postup na týchto kritických cestách a zabezpečí, aby nedošlo k žiadnym oneskoreniam.
543
544
545 1. d) Rezervy na nepredvídané udalosti:
546
547 -  žiadateľ v rámci stanovenia aktivity projektu zahrnúl do plánu časové rezervy (buffer times) na pokrytie nepredvídaných udalostí alebo oneskorení.
548
549 -  projektový a odborný tím žiadateľa je pripravený flexibilne prispôsobiť plán pri výskyte neočakávaných situácií.
550
551
552 1. e) Pravidelný monitoring a kontrola:
553
554 -  žiadateľ bude mať v rámci realizácie projektu zavedený zavedený systém pravidelného monitorovania postupu projektu a porovnávania s harmonogramom.
555
556 -  súčasne budú používané softvérové nástroje na riadenie projektov, ktoré umožňujú sledovanie priebehu v reálnom čase.
557
558
559 1. f) Efektívna komunikácia:
560
561 -  žiadateľ má zavedené pravidelné stretnutia projektového tímu na hodnotenie postupu a riešenie problémov.
562
563 -  žiadateľ zabezpečí udržiavať otvorenú a transparentnú komunikáciu medzi všetkými členmi tímu a zainteresovanými stranami.
564
565
566 1. g) Riadenie rizík:
567
568 -  žiadateĺ identifikoval potenciálne riziká, ktoré by mohli ovplyvniť harmonogram, a vypracovať plány na ich zmiernenie.
569
570 - žiadateľ bude pravidelne aktualizovať rizikový register a prijímať preventívne opatrenia.
571
572
573 1. h) Dostatočné zdroje:
574
575 -  žiadateľ má zabezpečené, aby mal projektový tím k dispozícii všetky potrebné zdroje vrátane personálu, technológií a financií.
576
577 - žiadateľ bude riešiť prípadné nedostatky zdrojov čo najskôr, aby nedošlo k oneskoreniam.
578
579
580 1. i) Flexibilita a adaptabilita:
581
582 -  žiadateľ je pripravený prispôsobiť harmonogram podľa aktuálnych podmienok a vývoja situácie.
583
584 -  žiadateľ bude mať zavedené spolu s projektovými tímom procesy pre rýchlu reakciu na zmeny a úpravu plánov.
585
586
587 **Závažnosť tohto rizika však považujeme za nízku, vzhľadom na zabezpečenie účinných opatrení na elimináciu.**
588
589
590
591 1. **Nedosiahnutie plánovaných hodnôt merateľných ukazovateľov**
592
593 Hoci v rámci projektu sa nesledujú také merateľné ukazovatele, ktoré by boli merateľnými ukazovateľmi s príznakom, žiadateľ si uvedomuje možné riziká súvisiace s nenaplnením merateľných ukazovateľov.
594
595
596 __Opatrenia na elimináciu rizika:__
597
598 Keďže merateľné ukazovatele sú odrazom úspešného naplnenia jednotlivých aktivít, prijímateľ prijal alebo prijme najmä nasledovné opatrenia:
599
600 Prijímateľ dlhoročne realizuje projekty financované s fondov EÚ. Samotný projekt vyplýva z jeho dlhodobých  plánov a preto celé jeho nastavenie je podrobne analyzované vrátane nastavenia časového harmonogramu a cieľových hodnôt merateľných ukazovateľov.Prijímateľ do realizácie projektu zapojil odborných zamestnancov spoločnosti, aby bolo zaručené dosiahnutie plánovaných výsledkov.
601
602
603 Aby sa eliminovalo riziko nedosiahnutia plánovaných hodnôt merateľných ukazovateľov v rámci projektu, môžu byť prijaté nasledujúce opatrenia:
604
605
606 1. a) Precízne plánovanie a nastavenie realistických cieľov:
607
608 - V projekte sú definované jasné a realistické ciele a merateľné ukazovatele (KPIs) na základe dôkladnej analýzy, prípravy projektu a prieskumu trhu.
609
610 - Žiadateľ využil  historické údaje a osvedčené metódy na stanovenie cieľov.
611
612
613 1. b) Pravidelný monitoring a hodnotenie:
614
615 - žiadateľ zavedie v rámci realizácie projektu systém pravidelného monitoringu a hodnotenia postupu dosahovania cieľov.
616
617 - žiadateľ zavedie v rámci realizácie projektu  mechanizmy na pravidelné správy a analýzy progresu.
618
619
620 1. c) Flexibilita a adaptabilita:
621
622 -  projektový tím žiadateľa je pripravený prispôsobiť plány a stratégie na základe zistení z monitoringu.
623
624 - žiadateľ počs realizácie projektu zavedie procesy pre rýchlu reakciu na neočakávané udalosti alebo zmeny v externom prostredí.
625
626
627 1. d) Zabezpečenie potrebných zdrojov:
628
629 - žiadateľ identifikoval a zabezpečil všetky potrebné zdroje vrátane finančných, ľudských a technologických potrebných na úspešnú realizáciu projektu,
630
631 -  žiadateľ bude pravidelne preverovať dostupnosť zdrojov a riešiť prípadné nedostatky.
632
633
634 1. e) Kvalitný projektový manažment:
635
636 - žiadateľ disponuje skúsenými a certifikovanými projektovými manažérmi, ktorý skúsenosti sú uvedené v časti 7.4. ŽoNFP,
637
638 - žiadateľ  bude využívať pri realizácii projektu osvedčené metodiky projektového riadenia, ako sú PRINCE2, PMI alebo Agile.
639
640
641 1. f) Zapojenie všetkých zainteresovaných strán:
642
643 -  žiadateľ prostredndíctvom projektového tímu zabezpečí, aby všetci zainteresovaní boli  dostatočne informovaní a zapojení do projektu.
644
645 -  žiadateľ plánuje organizovať pravidelné stretnutia a konzultácie s projektovým tímom a relevantnými stranami na získanie spätnej väzby a podpory pri realizácii projektu,
646
647
648 1. g) Rizikový manažment:
649
650 - Identifikovať potenciálne riziká spojené s dosahovaním ukazovateľov a vypracovať plány na ich zmiernenie.
651
652 - Pravidelne aktualizovať rizikový register a prijímať preventívne opatrenia.
653
654
655 1. h) Komunikácia a transparentnosť:
656
657 - Zabezpečiť otvorenú a transparentnú komunikáciu o postupoch a výsledkoch.
658
659 - Informovať tím a vedenie o aktuálnom stave a prípadných problémoch.
660
661
662 1. i) Kontrola a audit:
663
664 - Zaviesť interné a externé kontroly a audity na preverenie plnenia merateľných ukazovateľov.
665
666 - Implementovať odporúčania z auditov na zlepšenie procesov a výkonnosti.
667
668
669 **Závažnosť tohto rizika však považujeme za nízku, vzhľadom na zabezpečenie účinných opatrení na elimináciu.**
670
671
672
673 1. **Nedostatky v dodávkach od externých dodávateľov**
674
675 Nedodržiavanie termínov zo strany externých dodávateľov služieb a tovarov. Dodávateľ(lia) služieb a tovarov, ktorý vzíde z procesu verejného obstarávania nebude dodržiavať harmonogram prác a dodávok, resp. bude v omeškaní.
676
677
678
679
680 __Opatrenia na elimináciu rizika: __
681
682 Projektový manažér bude pravidelne komunikovať s dodávateľom, konzultovať prípadné omeškania, hľadať riešenia. V rámci realizácie projektu budú organizované pravidelné zasadnutia Riadiaceho výboru. Postihy za škody a omeškania budú definované v rámci zmluvy o dodávke tovaru, resp. poskytnutí služieb. Ďalším opatrením je už dnes realizovaná kontrola kvality externých dodávateľov zo strany žiadateľa. Súčasne bude žiadateľ starostlivo vyberať dodávateľov na základe ich schopností a referencií. V rámci procesu verejného obstarávania budú zavedené jasné zmluvné podmienky a dohodnúť si pravidelné kontroly plnenia záväzkov, vrátane finančných sankciíí.  Žiadateľ bude sa bude usilovať o diverzifikovanie dodávateľov, aby sa minimalizovala závislosť na jedinom zdroji. Podmienkou žiadateľa bude  implementovať osvedčené technológie a riešenia, ktoré sú už overené na trhu. Žiadateľ zároveň planuje investovať do školení a certifikácií pre zamestnancov, aby mali potrebné zručnosti a vedomosti.
683
684
685 Závažnosť tohto rizika však považujeme za nízku, vzhľadom na zabezpečenie účinných opatrení na elimináciu.
686
687
688
689 **__Na základe vykonanej analýzy rizík ohrozujúcich úspešnú realizáciu projektu možno konštatovať, že menej ako 10 % rizík z celkového počtu identifikovaných rizík v ŽoNFP je s vysokou závažnosťou, ktoré ohrozujú úspešnú realizáciu projektu.__**
690
691
692 = {{id name="projekt_2886_Projektovy_zamer_detailny-4.SúčasnáarchitektúraprevádzkovanýCHIS"/}}4.    Súčasná architektúra prevádzkovanýCH IS =
693
694
695 **__ÚVZ SR, ako aj jednotlivé RÚVZ spoločne používajú IS ÚVZ.__**
696
697 **__[[image:attach:Snímka 1.png||thumbnail="true" height="150"]]__**
698
699
700 **__[[image:attach:Snímka 2.png||thumbnail="true" height="150"]]__**
701
702
703 **__[[image:attach:Snímka 3.png||thumbnail="true" height="150"]]__**
704
705 = {{id name="projekt_2886_Projektovy_zamer_detailny-5.ROZPOČETAPRÍNOSY"/}}5.    ROZPOČET A PRÍNOSY =
706
707
708 **__Rozpočet projektu je detailne špecifikovaný v časti 11. Rozpočet projektu v rám ci predloženej ŽoNFP.__**
709
710
711 = {{id name="projekt_2886_Projektovy_zamer_detailny-6.HARMONOGRAMJEDNOTLIVÝCHFÁZPROJEKTUaMETÓDAJEHORIADENIA"/}}6.    HARMONOGRAM JEDNOTLIVÝCH FÁZ PROJEKTU a METÓDA JEHO RIADENIA =
712
713
714 **__Harmonogram projektu je uvedený v časti 9. Harmonogram realizácie aktivít predloženej ŽoNFP.__**
715
716
717 **Projekt bude realizovaný metódou Waterfall:**
718
719 Waterfall - vodopádový prístup počíta s detailným naplánovaním jednotlivých krokov a následnom dodržiavaní postupu pri vývoji alebo realizácii projekty. Projektovému tímu je daný minimálny priestor na zmeny v priebehu realizácie. Vodopádový prístup je vhodný a užitočný v projektoch, ktorý majú jasný cieľ a jasne definovateľný postup a rozdelenie prác.
720
721
722 [[image:attach:Snímka 4.png||thumbnail="true" height="150"]]
723
724
725 Dokumenty obsahujúce informácie klasifikované ako chránené a prísne chránené podľa Vyhlášky č.362/2018 Z.z., ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení budú v rámci projektu odovzdávané v elektronickej podobe šifrovane pomocou PGP kľúčov, ktoré si žiadateľ a dodávateľ na začiatku projektu vymenia.
726
727
728 Pri akceptácii budú vyhotovované vopred definované akceptačné kritéria a požiadavky z katalógu funkčných a nefunkčných požiadaviek vzťahujúce sa k jednotlivým míľnikom projektu.
729
730
731 Metóda riadenia "Waterfall" (vodopád) je jedným z najtradičnejších prístupov k riadeniu projektov v oblasti IT. Tento model je lineárny a sekvenčný, čo znamená, že každá fáza projektu musí byť dokončená pred začiatkom ďalšej. Tieto fázy sú nasledovné:
732 \\1. Požiadavky (Requirements):*
733 - V tejto počiatočnej fáze sú zhromaždené všetky požiadavky na systém. Ide o veľmi dôležitý krok, pretože chyby v požiadavkách môžu mať vážne následky v neskorších fázach. Dokumentujú sa všetky požiadavky zákazníka, funkčné aj nefunkčné, a výsledkom je detailná špecifikácia požiadaviek.
734 \\2. Analýza systému (System Design):
735 - Po dokončení zhromažďovania požiadaviek sa prejde k analýze systému a návrhu. Táto fáza zahŕňa vytvorenie architektúry systému, technických špecifikácií a návrhu softvéru, ktorý bude schopný splniť všetky definované požiadavky.
736 \\3. Implementácia (Implementation):
737 - Po schválení návrhu systému sa začne s implementáciou, teda s programovaním a kódovaním systému podľa navrhnutých špecifikácií. Výsledkom tejto fázy je hotový softvér.
738 \\4. Integrácia a testovanie (Integration and Testing):
739 - V tejto fáze sa jednotlivé komponenty systému integrujú a testujú sa ako celok, aby sa overilo, či systém funguje podľa očakávaní a splňuje všetky špecifikované požiadavky. Testovanie zahŕňa rôzne typy testov, vrátane funkčných, integračných a systémových testov.
740 \\5. Nasadenie (Deployment):
741 - Po úspešnom testovaní sa systém nasadí do produkčného prostredia. Táto fáza môže zahŕňať aj školenie používateľov a prípravu dokumentácie pre používateľov.
742 \\6. Údržba (Maintenance):
743 - Po nasadení systému začína fáza údržby, ktorá zahŕňa opravy chýb, aktualizácie a vylepšenia systému na základe spätnej väzby od používateľov a meniace sa požiadavky.
744 \\**Výhody Waterfall modelu**:
745 - Jednoduchosť a jasná štruktúra:*Každá fáza má jasne definovaný začiatok a koniec.
746 - Dobre zdokumentovaný proces: Všetky požiadavky a kroky sú detailne zdokumentované.
747 - Jednoduché riadenie:*Jednoduché plánovanie a sledovanie pokroku projektu.
748 \\\\Waterfall model je ideálny pre projekty, kde sú požiadavky jasne definované a stabilné, a kde sa očakáva, že projekt prebehne bez veľkých zmien. V súčasnosti sa však stále častejšie využívajú agilné prístupy, ktoré lepšie vyhovujú dynamickým a meniacim sa požiadavkám projektov.
749
750
751
752 **__Kvantitatívne prínosy projektu:__**
753
754 * Zníženie nákladov spojených so sanáciou KBU/KBI
755 * Zníženie nákladov spojených s elimináciou následkov reaktívnych KBI
756
757
758 **__Kvalitatívne prínosy projektu:__**
759
760 * Zníženie rizika KBI,
761 * Zvýšenie súladu s platnou legislatívou,
762 * Zvyšovanie úrovne kybernetickej a informačnej bezpečnosti,
763 * Zvýšenie detekcie KBI,
764 * Zvýšte spokojnosť a dôveru používateľov,
765
766
767
768 **__Popis cieľového stavu__**
769
770 **__Základné ciele projektu:__**
771
772 * Aktualizácia stratégie kybernetickej bezpečnosti,
773 * Aktualizácie bezpečnostnej politiky KB vrátane implementačnej dokumentácie, v súlade s Príloha – Manažérske Produkty,
774 * Vykonávanie inventarizácie aktív, klasifikácie informácií a kategorizácie sietí a interných systémov,
775 * Stabilizácia riadenia rizík – aktualizácia analýzy rizík a analýzy dopadov a nasadenie nástroja Asset Inventory, Threats, Risks and Measures (EAM/),
776 * Implementácia nástroja na zaznamenávanie a monitorovanie udalostí (Log Management)
777 * Implementácia auditu KB, procesu riadenia a kontroly dodržiavania predpisov.
778
779
780
781
782 = {{id name="projekt_2886_Projektovy_zamer_detailny-7.PROJEKTOVÝTÍM"/}}7.    PROJEKTOVÝ TÍM =
783
784
785 **__Projektový tím je detailne popísaný v predloženej ŽoNFP, časť 7.5 Prevádzková kapacita žiadateľa.__**
786
787
788
789 |(((
790 ID
791 )))|(((
792 Meno a Priezvisko
793 )))|(((
794 Pozícia
795 )))|(((
796 Oddelenie
797 )))|(((
798 Rola v projekte
799 )))
800 |(((
801 1.
802 )))|(((
803 Doplniť meno a priezvisko
804 )))|(((
805 Doplniť pozíciu (pracovné zaradenie v línii)
806 )))|(((
807 Doplniť názov org. útvaru
808 )))|(((
809 Doplniť rolu v projekte
810 )))
811 |(((
812 2.
813 )))|(((
814 Doplniť meno a priezvisko
815 )))|(((
816 Doplniť pozíciu (pracovné zaradenie v línii)
817 )))|(((
818 Doplniť názov org. útvaru
819 )))|(((
820 Doplniť rolu v projekte
821 )))
822 |(((
823 3.
824 )))|(((
825 Doplniť meno a priezvisko
826 )))|(((
827 Doplniť pozíciu (pracovné zaradenie v línii)
828 )))|(((
829 Doplniť názov org. útvaru
830 )))|(((
831 Doplniť rolu v projekte
832 )))
833
834
835 **Vzor organizačnej štruktúry**
836
837
838 **[[image:attach:image-2024-8-12_10-55-59.png||height="150"]]**
839
840 **[[image:attach:image-2024-8-12_10-56-13.png||height="104"]]**
841
842 = {{id name="projekt_2886_Projektovy_zamer_detailny-8.VÝSLEDKYPROJEKTU"/}}8.    VÝSLEDKY PROJEKTU =
843
844
845 VÝSLEDKOM PROJEKTU JE ZABEZPEČENIE SÚLADU SO SMERNICOU NIS2 a Zákonom o kybernetickej bezpečnosti Slovenskej republiky (Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti)
846
847
848 Realizáciou vyššie uvedenej aktivity, dosiahne žiadateľ súlad so Smernicou NIS2 a Zákonom o kybernetickej bezpečnosti Slovenskej republiky (Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti). Tieto aktivity pokrývajú širokú škálu oblastí vrátane bezpečnostnej politiky, správy rizík, ochrany proti škodlivému kódu, inventarizácie aktív, bezpečnosti sietí a informačných systémov, kontroly prístupu, riadenia zraniteľností, monitoringu, kontinuity činností a incident managementu.
849
850
851 __Tu je prehľad, ako tieto aktivity pomáhajú dosiahnuť súlad:__
852
853
854 1. __Bezpečnostná politika a stratégia:__ Prehodnotenie a aktualizácia bezpečnostnej politiky a stratégie zabezpečuje, že organizácia má správne nastavený rámec pre kybernetickú bezpečnosť v súlade s legislatívou.
855 1. __Smernice a procesy :__ Aktualizácia a vytváranie nových smerníc pre rôzne oblasti kybernetickej bezpečnosti zabezpečuje, že všetky činnosti sú vykonávané v súlade s novými požiadavkami Zákona a NIS2.
856 1. __Riadenie rizík:__ Nasadenie nástrojov na automatizáciu analýzy rizík a aktualizácia analýzy rizík zabezpečuje, že riziká sú riadne identifikované, hodnotené a riadené.
857 1. __Inventarizácia aktív:__ Spracovanie inventarizácie aktív a ich klasifikácia pomáha organizácii identifikovať a spravovať svoje informačné aktíva, čo je kľúčové pre ochranu citlivých informácií.
858 1. __Log management:__ Implementácia nástrojov a procesov na detekciu a riadenie kybernetických bezpečnostných incidentov zabezpečuje, že organizácia môže efektívne zvládať incidenty a minimalizovať ich dopad.
859
860
861 Realizácia týchto aktivít predstavuje komplexný prístup k dosiahnutiu súladu s NIS2 a Zákonom o kybernetickej bezpečnosti, čím sa zabezpečuje ochrana kritickej infraštruktúry a citlivých informácií v súlade s aktuálnymi požiadavkami.
862
863 = {{id name="projekt_2886_Projektovy_zamer_detailny-9.PRÍLOHY"/}}9.    PRÍLOHY =
864
865
866 **Príloha : **Zoznam rizík a závislostí (Excel): [[//https:~~/~~/www.mirri.gov.sk/sekcie/informatizacia/riadenie-kvality-qa/riadenie-kvality-qa/index.html//>>url:https://www.mirri.gov.sk/sekcie/informatizacia/riadenie-kvality-qa/riadenie-kvality-qa/index.html||shape="rect"]]
867
868 // //