Naposledy upravil Admin-metais MetaIS 2024/11/13 15:51
Show last authors
1 **PROJEKTOVÝ ZÁMER**
2
3 **Vzor pre manažérsky výstup I-02**
4
5 **podľa vyhlášky MIRRI č. 401/2023 Z. z. **
6
7
8 (% class="wrapped" %)
9 |(((
10 Povinná osoba
11 )))|(((
12 Regionálny úrad verejného zdravotníctva so sídlom v Dolnom Kubíne
13 )))
14 |(((
15 Názov projektu
16 )))|(((
17 Podpora v oblasti kybernetickej a informačnej bezpečnosti RÚVZ
18 )))
19 |(((
20 Zodpovedná osoba za projekt
21 )))|(((
22 Ing. Jana Grňo Mikulášiová, manažér kybernetickej bezpečnosti
23 )))
24 |(((
25 Realizátor projektu
26 )))|(((
27 Úrad verejného zdravotníctva SR
28 )))
29 |(((
30 Vlastník projektu
31 )))|(((
32 Ing. Jana Grňo Mikulášiová, manažér kybernetickej bezpečnosti
33 )))
34
35 **~ **
36
37
38 (% class="wrapped" %)
39 |(((
40 Položka
41 )))|(((
42 Meno a priezvisko
43 )))|(((
44 Organizácia
45 )))|(((
46 Pracovná pozícia
47 )))|(((
48 Dátum
49 )))|(((
50 Podpis
51
52 (alebo elektronický súhlas)
53 )))
54 |(((
55 Vypracoval
56 )))|(((
57
58 )))|(((
59 RÚVZ Dolný Kubín
60 )))|(((
61
62 )))|(((
63
64 )))|(((
65
66 )))
67
68 **~ **
69
70 = {{id name="projekt_2887_Projektovy_zamer_detailny-1.HistóriaDOKUMENTU"/}}1.    História DOKUMENTU =
71
72 (% class="wrapped" %)
73 |(((
74 Verzia
75 )))|(((
76 Dátum
77 )))|(((
78 Zmeny
79 )))|(((
80 Meno
81 )))
82 |(((
83 //1.0.//
84 )))|(((
85 //01.07.2024//
86 )))|(((
87 //Vypracovanie dokumentu//
88 )))|(((
89
90 )))
91 |(((
92 //1.0//
93 )))|(((
94 //22.12.2023//
95 )))|(((
96 //Zapracovanie súladu s vyhláškou č. 401/2023 Z. z.//
97 )))|(((
98
99 )))
100 |(((
101
102 )))|(((
103
104 )))|(((
105
106 )))|(((
107
108 )))
109
110 **~ **
111
112 = {{id name="projekt_2887_Projektovy_zamer_detailny-2.ÚČELDOKUMENTU,SKRATKY(KONVENCIE)ADEFINÍCIE"/}}2.    ÚČEL DOKUMENTU, SKRATKY (KONVENCIE) A DEFINÍCIE =
113
114 V súlade s Vyhláškou 401/2023 Z.z. je dokument I-02 Projektový zámer určený na rozpracovanie detailných informácií prípravy projektu, aby bolo možné rozhodnúť o pokračovaní prípravy projektu, pláne realizácie, alokovaní rozpočtu a ľudských zdrojov.
115
116
117 V súlade s Vyhláškou MIRRI SR č. 401/2023 Z. z. o riadení projektov a zmenových požiadaviek v prevádzke IT VS je dokument Prístup k projektu určený na rozpracovanie detailných informácií prípravy projektu z pohľadu aktuálneho stavu, budúceho stavu a navrhovaného riešenia.
118
119 Dokument Prístup k projektu v zmysle vyššie uvedenej vyhlášky obsahuje opis navrhovaného riešenia, architektúru riešenia projektu na úrovni biznis vrstvy, aplikačnej vrstvy, dátovej vrstvy, technologickej vrstvy, infraštruktúry navrhovaného riešenia, bezpečnostnej architektúry, špecifikáciu údajov spracovaných v projekte, čistenie údajov, prevádzku a údržbu výstupov projektu, prevádzkové požiadavky, požiadavky na zdrojové kódy. Dodávané riešenie bude v súlade so zákonom. Zároveň opisuje aj implementáciu projektu a preberanie výstupov projektu.
120
121 Hlavnou motiváciou je realizácia kyberbezpečnostných opatrení definovaných v Z.z. 69/2018 a v zákone o ISVS.
122
123 Prioritne jedná o tie opatrenia, ktoré vykazujú najväčší nesúlad s uvedenými právnymi normami a vyhláškou 362/2018 Z. z.. V dôsledku realizácie týchto opatrení budú ÚVZ SR chránené v maximálnej možnej miere pred kybernetickým incidentom, ktorý by mohol mať na poskytovanie služieb a prevádzku ÚVZ SR. 
124
125
126 Medzi základné povinnosti je prijatie a dodržiavanie všeobecných bezpečnostných opatrení pre nasledovné oblasti, ktoré sú obsahom projektu:
127
128
129 1. Prehodnoténú SM-03 Bezpečnostná politika a stratégia Úradu verejného zdravotníctva s ohľadom na požiadavky nového zákona o KB a príslušných vykonávacích predpisov,
130 1. Dopracovanú smernicu pre oblasti riadenia bezpečnosti prevádzky sietí a IS/APP,
131 1. Aktualizovanú SM-25 Smernica, ktorou sa upravuje práca s informačnými technológiami,
132 1. Nasadený nástroj na automatizáciu analýzy rizík a prehodnotenie a aktualizácia analýzy rizík podľa požiadaviek nového zákona o KB,
133 1. Spracovávanie inventarizácie aktív a ich klasifikáciu s ohľadom na IS ÚVZ a dokumentovanie vzťahov a závislostí medzi IS ÚVZ a ostatnými používanými systémami a aplikáciami na ÚVZ SR,
134 1. Prehodnotenú a spracovanú novú SOA (Security Operations Architecture) s ohľadom na novú legislatívu a jej plnenie pre oblasť kybernetickej bezpečnosti,
135 1. Zavedenú kontrolu dodržiavania bezpečnostných politík zo strany zamestnancov, administrátorov a osôb zastávajúcich niektorú z bezpečnostných rolí,
136 1. Implementovaný nástroj na detekciu kybernetických bezpečnostných incidentov, ktorý spĺňa všetky požiadavky Vyhlášky § 17, ods. 03 a ods. 04,
137 1. Navrhnutý a zdokumentovaný efektívny spôsob kontroly pre účely zaručenia, že prevádzka, používanie a manažment siete a informačného systému je v súlade s vnútornými predpismi a zmluvnými záväzkami,
138 1. Prehodnotenú a aktualizovanú smernicu v oblasti SM-51 Smernica Riadenie kontinuity procesov a činností a spracované nové BCP/DRP plány potrebné na zabezpečenie kontinuity činností podľa nového zákona o KB,
139 1. Aktualizovaná SM-44 Smernica o klasifikácii informácií na Úrade verejného zdravotníctva Slovenskej republiky,
140 1. Zanalyzované existujúce prostredie ÚVZ SR s ohľadom na vzniknutý systém IS ÚVZ a vytvorené záznamy o identifikovaných vzťahoch a súvislostiach,
141 1. Zanalyzovaný spôsob efektívnej realizácie monitoringu zariadení, činností, sietí, IS a APP v prostredí ÚVZ SR a zabezpečenú podporu pre vybraté riešenie pri jeho nasadení a spustení do prevádzky.
142
143
144 Cieľom projektu je, aby po jeho realizácii naša inštitúcia dosiahla čo možno najväčší súlad s NIS2, Zákonom o kyberbezpečnosti, ako aj Zákonom o ISVS.
145
146 **~ **
147
148 == {{id name="projekt_2887_Projektovy_zamer_detailny-2.1Použitéskratkyapojmy"/}}2.1       Použité skratky a pojmy ==
149
150
151 (% class="wrapped" %)
152 |(((
153 SKRATKA/POJEM
154 )))|(((
155 POPIS
156 )))
157 |(((
158 KIB
159 )))|(((
160 Kybernetická a informačná bezpečnosť
161 )))
162 |(((
163 IT
164 )))|(((
165 Informačné technológie
166 )))
167 |(((
168 VS
169 )))|(((
170 Verejná správa
171 )))
172 |(((
173 ITVS
174 )))|(((
175 Informačné technológie verejnej správy
176 )))
177 |(((
178 NFP
179 )))|(((
180 Nenávratný finančný príspevok
181 )))
182 |(((
183 OP SK
184 )))|(((
185 Operačný program SLovensko
186 )))
187 |(((
188 ÚVZ SR
189 )))|(((
190 Úrad verejného zdravotníctva SR
191 )))
192 |(((
193 RÚVZ
194 )))|(((
195 Regionálny úrad verejného zdravotníctva
196 )))
197 |(((
198 MZ SR
199 )))|(((
200 Ministerstvo zdravotníctva SR
201 )))
202 |(((
203 NKIVS
204 )))|(((
205 Národná koncepcia informatizácie verejnej správy
206 )))
207 |(((
208 ZoBK
209 )))|(((
210 Zákon o kybernetickej bezpečnosti
211 )))
212 |(((
213 SOA
214 )))|(((
215 Security Operations Architecture
216 )))
217 |(((
218 SOC
219 )))|(((
220 Security Operation Center
221 )))
222
223
224 == {{id name="projekt_2887_Projektovy_zamer_detailny-2.2Konvenciepretypypožiadaviek(príklady)"/}}2.2       Konvencie pre typy požiadaviek (príklady) ==
225
226
227 Zvoľte si konvenciu pre označovanie požiadaviek, súborov, atd. Hlavné kategórie požiadaviek v zmysle katalógu požiadaviek, rozdeľujeme na funkčné (funkcionálne), nefunkčné (kvalitatívne, výkonové a pod.). Podskupiny v hlavných kategóriách je možné rozšíriť podľa potrieb projektu, napríklad:
228
229 **Funkcionálne (používateľské) požiadavky **majú nasledovnú konvenciu:
230
231 **FRxx**
232
233 * U – užívateľská požiadavka
234 * R – označenie požiadavky
235 * xx – číslo požiadavky
236
237 **Nefunkčné (kvalitatívne, výkonové - Non Functional Requirements - NFR) požiadavky** majú nasledovnú konvenciu:
238
239 **NRxx**
240
241 * N – nefukčná požiadavka (NFR)
242 * R – označenie požiadavky
243 * xx – číslo požiadavky
244
245 Ostatné typy požiadaviek môžu byť ďalej definované objednávateľom/PM.
246
247 **// //**
248
249 = {{id name="projekt_2887_Projektovy_zamer_detailny-3.DEFINOVANIEPROJEKTU"/}}3.    DEFINOVANIE PROJEKTU =
250
251
252 == {{id name="projekt_2887_Projektovy_zamer_detailny-3.1Manažérskezhrnutie"/}}3.1       Manažérske zhrnutie ==
253
254
255 Úrad verejného zdravotníctva SR ako prevádzkovateľ základnej služby zapísanej v registri prevádzkovateľov základných služieb má povinnosti, ktoré vyplývajú zo ZoKB. Medzi základné povinnosti je prijatie a dodržiavanie všeobecných bezpečnostných opatrení pre nasledovné oblasti:
256
257
258 1. Prehodnoténú SM-03 Bezpečnostná politika a stratégia Úradu verejného zdravotníctva s ohľadom na požiadavky nového zákona o KB a príslušných vykonávacích predpisov,
259 1. Dopracovanú smernicu pre oblasti riadenia bezpečnosti prevádzky sietí a IS/APP,
260 1. Aktualizovanú SM-25 Smernica, ktorou sa upravuje práca s informačnými technológiami,
261 1. Nasadený nástroj na automatizáciu analýzy rizík a prehodnotenie a aktualizácia analýzy rizík podľa požiadaviek nového zákona o KB,
262 1. Spracovávanie inventarizácie aktív a ich klasifikáciu s ohľadom na IS ÚVZ a dokumentovanie vzťahov a závislostí medzi IS ÚVZ a ostatnými používanými systémami a aplikáciami na ÚVZ SR,
263 1. Prehodnotenú a spracovanú novú SOA (Security Operations Architecture) s ohľadom na novú legislatívu a jej plnenie pre oblasť kybernetickej bezpečnosti,
264 1. Zavedenú kontrolu dodržiavania bezpečnostných politík zo strany zamestnancov, administrátorov a osôb zastávajúcich niektorú z bezpečnostných rolí,
265 1. Implementovaný nástroj na detekciu kybernetických bezpečnostných incidentov, ktorý spĺňa všetky požiadavky Vyhlášky § 17, ods. 03 a ods. 04,
266 1. Navrhnutý a zdokumentovaný efektívny spôsob kontroly pre účely zaručenia, že prevádzka, používanie a manažment siete a informačného systému je v súlade s vnútornými predpismi a zmluvnými záväzkami,
267 1. Prehodnotenú a aktualizovanú smernicu v oblasti SM-51 Smernica Riadenie kontinuity procesov a činností a spracované nové BCP/DRP plány potrebné na zabezpečenie kontinuity činností podľa nového zákona o KB,
268 1. Aktualizovaná SM-44 Smernica o klasifikácii informácií na Úrade verejného zdravotníctva Slovenskej republiky,
269 1. Zanalyzované existujúce prostredie ÚVZ SR s ohľadom na vzniknutý systém IS ÚVZ a vytvorené záznamy o identifikovaných vzťahoch a súvislostiach,
270 1. Zanalyzovaný spôsob efektívnej realizácie monitoringu zariadení, činností, sietí, IS a APP v prostredí ÚVZ SR a zabezpečenú podporu pre vybraté riešenie pri jeho nasadení a spustení do prevádzky
271
272
273 **Jednotlivé organizačné jednotky (OZ), teda regionálne úrady verejného zdravotníctva (ktorých je 36) využívajú centrálny informačný systém (IS ÚVZ), tzn. že každá OZ, ak sa stane terčom kybernetického útoku, ohrozuje fungovanie IS ÚVZ ako celku a môže spôsobiť odstavenie celého systému. V dôsledku toho je nevyhnutné, aby navrhovaným systémov disponovalo nie len ÚVZ, ale aj všetky RÚVZ.**
274
275
276 Zasielané udalosti sú v jednotlivých organizáciách na vstupe prijaté, označkované a parsované podľa technológie. Následne sú buď vhodnými základnými pravidlami produktu a implementačnými pravidlami na mieru spracované, aby bolo možné s nimi vytvárať potrebné navrhnuté scenáre. Ďalej sú uložené a vizualizované buď prostredníctvom základných nástrojov, alebo v budúcnosti vyššou formou pomocou integračnej platformy. Implementácia zahŕňa vytvorenie prístupových oprávnení v súlade s požiadavkami na viditeľnosť a spracovanie dát a následnú vizualizáciu.
277
278
279 Prevádzkové informácie budú zobrazovať aktuálne informácie o stave logovaných ICT systémov jednotlivých organizácií. Nad týmito logmi bude vykonané parsovanie a následne sa uložia do centrálneho dátového skladu, kde bude možné s týmito dátami ďalej pracovať. Primárne sa jedná o nepretržitý zber logov a monitorovanie prevádzky ICT technológií, systémov, aplikácií, stavu kybernetického a fyzického zabezpečenia a poskytovanie dát a informácií pre riešenie odchýlok a nápravných opatrení. Všetky údaje uložené v dátovom sklade budú podrobené procesu sledovania a vyhodnocovania podľa nižšie uvedených scenárov. Tým bude zabezpečené sledovanie jednotlivých systémov podľa nariadenia NIS2. Jednotlivé zistenia budú automaticky evidované v systéme na riadenie bezpečnosti, ktorý riadi všetky zistené riziká a navrhuje vhodné opatrenia. Takto evidované a riadené sledovanie logov povedie k včasnej detekcii rizík a ich okamžitej náprave.
280
281
282 Z pohľadu kompletného zberu logov bude vyhodnocované:
283
284 - prihlasovanie a odhlasovanie ku všetkým účtom, vrátane neúspešných pokusov
285
286 - vykonanie a neúspešný pokus o vykonanie privilegovanej činnosti
287
288 - manipulácia a neúspešný pokus o manipuláciu s účtami, oprávneniami a právami
289
290 - neuskutočnenie činností v dôsledku nedostatku prístupových práv alebo oprávnení
291
292 - začatie a ukončenie činností technických aktív
293
294 - kritické a chybové hlásenia technických aktív
295
296 - prístup a neúspešný pokus o prístup k záznamom udalostí
297
298 - manipulácia a neúspešný pokus o manipuláciu so záznamami udalostí
299
300 - zmenu a neúspešný pokus o zmenu nastavení nástrojov na zaznamenávanie udalostí
301
302 - ďalšie činnosti používateľov, ktoré môžu mať vplyv na bezpečnosť regulovanej služby.
303
304
305
306 **__Výsledky projektu a cieľový stav  (manažérske produkty)__**
307
308
309 **Čiastková aktivita a) Organizácia KB,**
310
311 Na základe zistených nedostatkov v oblasti riadenia kybernetickej a informačnej bezpečnosti v organizácii sa určuje nasledovný cieľový stav:
312
313 Komplexná bezpečnostná dokumentácia bude novo vypracovaná, pričom zohľadňuje predchádzajúcu dokumentáciu a jej aktualizácie vrátane rozsahu a metód dodržiavania všeobecných bezpečnostných opatrení.
314
315 Budú novo sa vyvinuté a implementované špecifické interné riadiace akty pre vybrané oblasti kybernetickej a informačnej bezpečnosti.
316
317 Bude aktualizovaný stav bezpečnostného výboru organizácie.
318
319 Bude vypracovaný bezpečnostný projekt komplexnej ochrany informačného systému verejnej správy.
320
321
322 **Čiastková činnosť b) Riadenie rizík KB**,
323
324 Na základe zistených nedostatkov v oblasti riadenia rizík kybernetickej a informačnej bezpečnosti v organizácii sa určuje nasledovný cieľový stav:
325
326 Všetky aktíva súvisiace so spracovaním informácií a centrálnym inventárnym záznamovým zariadením budú identifikované ich hodnotou a s označením ich vlastníka, ktorý definuje ich požiadavky na dôvernosť, dostupnosť a integritu (EAM).
327
328 Riadenie rizík bude automatizované pomocou nástroja, pozostávajúce z identifikácie zraniteľnosti, identifikácie hrozieb, identifikácie rizík a analýzy rizík s ohľadom na aktíva, určenia vlastníka rizika a implementácie organizačných a technických bezpečnostných opatrení, funkčnej analýzy dopadov a pravidelného prehodnocovania identifikovaných rizík v závislosti od aktualizácie prijatých bezpečnostných opatrení.
329
330 Bude implementovaný automatizovaný systém správy a registrácie pre inventarizáciu majetku (EAM/).
331
332 Bude implementovaný automatizovaný systém riadenia a registrácie pre katalogizáciu hrozieb.
333
334 Bude zavedený sa automatizovaný systém riadenia a registrácie pre katalogizáciu rizík a opatrení.
335
336
337 **Čiastková činnosť c) Personálna bezpečnosť**,
338
339 Na základe zistených nedostatkov v oblasti personálnej bezpečnosti v organizácii je stanovený nasledovný cieľový stav:
340
341 Bude vyvinutý postup na priradenie osoby k jednej z rolí zabezpečenia
342
343 Bude zavedený plán na rozvoj bezpečnostného povedomia a vzdelávania
344
345 Bude vyvinutá  metóda hodnotenia účinnosti rozvojového plánu bezpečnostného povedomia
346
347 Budú určené  pravidlá a postupy pri riešení porušení bezpečnostnej politiky
348
349 Budú zavedené postupy na ukončenie pracovného pomeru
350
351 Budú zavedené postupy pre prípady porušenia bezpečnostných politík
352
353 Bude vypracovaný a aktualizovaný  akt vnútorného riadenia s bezpečnostnými zásadami pre koncových používateľov
354
355 Postupy a procesy, ktorými sa riadi personálna bezpečnosť organizácie, budú vypracované a implementované prostredníctvom interného riadiaceho aktu.
356
357 Bude vyhotovený automatizovaný systém riadenia a evidencie pre prácu s organizačnou štruktúrou je implementovaný s prepojením na technické získavanie existujúcich informácií z dostupných technických zdrojov – najmä MS AD.
358
359
360 **Čiastková aktivita k) Zaznamenávanie udalostí a monitoring sietí a IS,**
361
362 Na základe zistených nedostatkov v oblasti zaznamenávania a monitorovania udalostí je stanovený nasledovný cieľový stav:
363
364 Implementovaný bude centrálny log management systém pre zber a ukladanie logov z jednotlivých informačných systémov s podporou napojenia na riadiace systémy a poskytovania potrebných podporných dát.
365
366 Bude vypracovaná  dokumentácia metód monitorovania a fungovania systému správy log a centrálneho nástroja na monitorovanie bezpečnosti a bude definovaný  spôsob evidencie prevádzkových záznamov, ich vyhodnocovanie, spôsoby hlásenia podozrivej činnosti, zodpovedné osoby a ďalšie povinnosti.
367
368 Vytvorí sa špecifikácia všetkých udalostí, ktoré sa musia zaznamenávať, a súvisiaca konfigurácia prvkov informačných technológií verejnej správy vrátane dokumentácie rozsahu údajov zaznamenaných v protokolových súboroch.
369
370 Bude vypracovaný sa vnútorný zákon o riadení, ktorý obsahuje a upravuje povinnosti stanovené platnou legislatívou.
371
372
373 == {{id name="projekt_2887_Projektovy_zamer_detailny-3.2Cieleprojektu"/}}3.2       Ciele projektu ==
374
375
376 Do tabuliek nižšie doplniť CIEĽ /CIELE PROJEKTU, ich mapovanie na strategické ciele (napr. z NKIVS, KRIT a iných strategických dokumentov) a súvisiace merateľné ukazovatele (KPI- key performance indicators). Ciele musia byť S.M.A.R.T. - konkrétne, merateľné, dosiahnuteľné, relevantné, časovo ohraničené.
377
378
379 (% class="wrapped" %)
380 |(((
381 ID
382 )))|(((
383
384
385
386 Názov cieľa
387 )))|(((
388 Názov strategického cieľa
389 )))|(((
390 Spôsob realizácie strategického cieľa
391 )))
392 |(((
393 ...
394 )))|(((
395
396 )))|(((
397 ...
398 )))|(((
399 ...
400 )))
401 |(((
402 ...
403 )))|(((
404
405 )))|(((
406 ...
407 )))|(((
408 ...
409 )))
410
411 **~ **
412
413 == {{id name="projekt_2887_Projektovy_zamer_detailny-3.3Merateľnéukazovatele(KPI)"/}}3.3       Merateľné ukazovatele (KPI) ==
414
415
416 (% class="wrapped" %)
417 |(((
418 ID
419 )))|(((
420
421
422
423 ID/Názov cieľa
424 )))|(((
425 Názov
426 ukazovateľa (KPI)
427 )))|(((
428 Popis
429 ukazovateľa
430 )))|(((
431 Merná jednotka
432
433 )))|(((
434 AS IS
435 merateľné hodnoty
436 (aktuálne)
437 )))|(((
438 TO BE
439 Merateľné hodnoty
440 (cieľové hodnoty)
441 )))|(((
442 Spôsob ich merania
443 )))|(((
444 Pozn.
445 )))
446 |(((
447 ...
448 )))|(((
449
450 )))|(((
451 ...
452 )))|(((
453 ...
454 )))|(((
455 ...
456 )))|(((
457 ...
458 )))|(((
459 ...
460 )))|(((
461 ...
462 )))|(((
463 ...
464 )))
465 |(((
466 ...
467 )))|(((
468
469 )))|(((
470 ...
471 )))|(((
472 ...
473 )))|(((
474 ...
475 )))|(((
476 ...
477 )))|(((
478 ...
479 )))|(((
480 ...
481 )))|(((
482 ...
483 )))
484 |(((
485 ...
486 )))|(((
487
488 )))|(((
489 ...
490 )))|(((
491 ...
492 )))|(((
493 ...
494 )))|(((
495 ...
496 )))|(((
497 ...
498 )))|(((
499 ...
500 )))|(((
501 ...
502 )))
503
504
505 Vysvetlivky k vyplneniu tabuľky:
506
507 * Vzory merateľných ukazovateľov pre projekt sú publikované v Checkliste pre agendu Merateľné ukazovatele/KPI ([[https:~~/~~/www.mirri.gov.sk/sekcie/informatizacia/riadenie-kvality-qa/riadenie-kvality-qa/index.html>>url:https://www.mirri.gov.sk/sekcie/informatizacia/riadenie-kvality-qa/riadenie-kvality-qa/index.html||shape="rect"]] )
508 * **AS IS merateľné ukazovatele** – t. j. popíšte, aké merateľné ukazovatele máte teraz (vpíšte výsledky meraní – v merateľných jednotkách) .
509 * **TO BE merateľné ukazovatele** – t. j. popíšte cieľové merateľné ukazovatele, ktoré chcete dosiahnuť.
510 * Odporúčame, aby váš budúci IS mal automatizovaný monitoring (na pravidelnej báze, napr. týždenne) vami stanovených merateľných ukazovateľov – s cieľom, aby ste mohli riadiť službu, produkt, proces, ľudí
511 * V prípade financovania cez zdroje EÚ uvádzať aj Projektové merateľné ukazovatele z operačného programu (špecifické ciele, merateľné ukazovatele atď).
512
513 .
514
515 == {{id name="projekt_2887_Projektovy_zamer_detailny-3.4Rizikáazávislosti"/}}3.4       Riziká a závislosti ==
516
517
518 **Zoznam rizík a závislostí realizácie projektu:**
519
520 **Realizácia projektu na zabezpečenie kyberbezpečnosti financovaného z fondov EÚ môže čeliť viacerým rizikám.**
521
522
523 1. **Nedodržanie harmonogramu aktivít**
524
525 Riziko spočíva v nedodržiavaní harmonogramu aktivít projektu, ktoré by vyústilo do oneskorenia projektu.
526
527
528 __Opatrenia na elimináciu:__
529
530 V rámci prípravy projektu bol harmonogram jednotlivých aktivít zostavený tak aby zodpovedal možnostiam žiadateľa.
531
532
533 Na elimináciu rizika nedodržania harmonogramu aktivít projektu je potrebné prijať niekoľko opatrení, ktoré zabezpečia efektívne riadenie času a zdrojov. Tu sú niektoré z nich:
534
535
536 1. a) Dôkladné plánovanie:
537
538 - žiadateľ má vypracovaný detailný projektový plán so všetkými aktivitami, úlohami a milníkmi.
539
540 - žiadateľ využil osvedčené metódy plánovania, ako sú Ganttove diagramy alebo PERT (Program Evaluation and Review Technique).
541
542
543 1. b) Realistické časové odhady:
544
545 -  v rámci žiadosti boli stanoviné realistické časové rámce pre jednotlivé aktivity na základe skúseností a po porade s odbornými konzultantmi,
546
547 - do riadenia a plánovania bol zapojený projektový tím, ktorý bude úlohy vykonávať, aby sa zabezpečila realistickosť odhadov.
548
549
550 1. c) Identifikácia kritických ciest:
551
552 -  žiadateľ určil kritické cesty (critical paths) v projekte, ktoré majú najväčší vplyv na celkový harmonogram.
553
554 -  žiadateľ bude pravidelne sledovať postup na týchto kritických cestách a zabezpečí, aby nedošlo k žiadnym oneskoreniam.
555
556
557 1. d) Rezervy na nepredvídané udalosti:
558
559 -  žiadateľ v rámci stanovenia aktivity projektu zahrnúl do plánu časové rezervy (buffer times) na pokrytie nepredvídaných udalostí alebo oneskorení.
560
561 -  projektový a odborný tím žiadateľa je pripravený flexibilne prispôsobiť plán pri výskyte neočakávaných situácií.
562
563
564 1. e) Pravidelný monitoring a kontrola:
565
566 -  žiadateľ bude mať v rámci realizácie projektu zavedený zavedený systém pravidelného monitorovania postupu projektu a porovnávania s harmonogramom.
567
568 -  súčasne budú používané softvérové nástroje na riadenie projektov, ktoré umožňujú sledovanie priebehu v reálnom čase.
569
570
571 1. f) Efektívna komunikácia:
572
573 -  žiadateľ má zavedené pravidelné stretnutia projektového tímu na hodnotenie postupu a riešenie problémov.
574
575 -  žiadateľ zabezpečí udržiavať otvorenú a transparentnú komunikáciu medzi všetkými členmi tímu a zainteresovanými stranami.
576
577
578 1. g) Riadenie rizík:
579
580 -  žiadateĺ identifikoval potenciálne riziká, ktoré by mohli ovplyvniť harmonogram, a vypracovať plány na ich zmiernenie.
581
582 - žiadateľ bude pravidelne aktualizovať rizikový register a prijímať preventívne opatrenia.
583
584
585 1. h) Dostatočné zdroje:
586
587 -  žiadateľ má zabezpečené, aby mal projektový tím k dispozícii všetky potrebné zdroje vrátane personálu, technológií a financií.
588
589 - žiadateľ bude riešiť prípadné nedostatky zdrojov čo najskôr, aby nedošlo k oneskoreniam.
590
591
592 1. i) Flexibilita a adaptabilita:
593
594 -  žiadateľ je pripravený prispôsobiť harmonogram podľa aktuálnych podmienok a vývoja situácie.
595
596 -  žiadateľ bude mať zavedené spolu s projektovými tímom procesy pre rýchlu reakciu na zmeny a úpravu plánov.
597
598
599 **Závažnosť tohto rizika však považujeme za nízku, vzhľadom na zabezpečenie účinných opatrení na elimináciu.**
600
601
602
603 1. **Nedosiahnutie plánovaných hodnôt merateľných ukazovateľov**
604
605 Hoci v rámci projektu sa nesledujú také merateľné ukazovatele, ktoré by boli merateľnými ukazovateľmi s príznakom, žiadateľ si uvedomuje možné riziká súvisiace s nenaplnením merateľných ukazovateľov.
606
607
608 __Opatrenia na elimináciu rizika:__
609
610 Keďže merateľné ukazovatele sú odrazom úspešného naplnenia jednotlivých aktivít, prijímateľ prijal alebo prijme najmä nasledovné opatrenia:
611
612 Prijímateľ dlhoročne realizuje projekty financované s fondov EÚ. Samotný projekt vyplýva z jeho dlhodobých  plánov a preto celé jeho nastavenie je podrobne analyzované vrátane nastavenia časového harmonogramu a cieľových hodnôt merateľných ukazovateľov.Prijímateľ do realizácie projektu zapojil odborných zamestnancov spoločnosti, aby bolo zaručené dosiahnutie plánovaných výsledkov.
613
614
615 Aby sa eliminovalo riziko nedosiahnutia plánovaných hodnôt merateľných ukazovateľov v rámci projektu, môžu byť prijaté nasledujúce opatrenia:
616
617
618 1. a) Precízne plánovanie a nastavenie realistických cieľov:
619
620 - V projekte sú definované jasné a realistické ciele a merateľné ukazovatele (KPIs) na základe dôkladnej analýzy, prípravy projektu a prieskumu trhu.
621
622 - Žiadateľ využil  historické údaje a osvedčené metódy na stanovenie cieľov.
623
624
625 1. b) Pravidelný monitoring a hodnotenie:
626
627 - žiadateľ zavedie v rámci realizácie projektu systém pravidelného monitoringu a hodnotenia postupu dosahovania cieľov.
628
629 - žiadateľ zavedie v rámci realizácie projektu  mechanizmy na pravidelné správy a analýzy progresu.
630
631
632 1. c) Flexibilita a adaptabilita:
633
634 -  projektový tím žiadateľa je pripravený prispôsobiť plány a stratégie na základe zistení z monitoringu.
635
636 - žiadateľ počs realizácie projektu zavedie procesy pre rýchlu reakciu na neočakávané udalosti alebo zmeny v externom prostredí.
637
638
639 1. d) Zabezpečenie potrebných zdrojov:
640
641 - žiadateľ identifikoval a zabezpečil všetky potrebné zdroje vrátane finančných, ľudských a technologických potrebných na úspešnú realizáciu projektu,
642
643 -  žiadateľ bude pravidelne preverovať dostupnosť zdrojov a riešiť prípadné nedostatky.
644
645
646 1. e) Kvalitný projektový manažment:
647
648 - žiadateľ disponuje skúsenými a certifikovanými projektovými manažérmi, ktorý skúsenosti sú uvedené v časti 7.4. ŽoNFP,
649
650 - žiadateľ  bude využívať pri realizácii projektu osvedčené metodiky projektového riadenia, ako sú PRINCE2, PMI alebo Agile.
651
652
653 1. f) Zapojenie všetkých zainteresovaných strán:
654
655 -  žiadateľ prostredndíctvom projektového tímu zabezpečí, aby všetci zainteresovaní boli  dostatočne informovaní a zapojení do projektu.
656
657 -  žiadateľ plánuje organizovať pravidelné stretnutia a konzultácie s projektovým tímom a relevantnými stranami na získanie spätnej väzby a podpory pri realizácii projektu,
658
659
660 1. g) Rizikový manažment:
661
662 - Identifikovať potenciálne riziká spojené s dosahovaním ukazovateľov a vypracovať plány na ich zmiernenie.
663
664 - Pravidelne aktualizovať rizikový register a prijímať preventívne opatrenia.
665
666
667 1. h) Komunikácia a transparentnosť:
668
669 - Zabezpečiť otvorenú a transparentnú komunikáciu o postupoch a výsledkoch.
670
671 - Informovať tím a vedenie o aktuálnom stave a prípadných problémoch.
672
673
674 1. i) Kontrola a audit:
675
676 - Zaviesť interné a externé kontroly a audity na preverenie plnenia merateľných ukazovateľov.
677
678 - Implementovať odporúčania z auditov na zlepšenie procesov a výkonnosti.
679
680
681 **Závažnosť tohto rizika však považujeme za nízku, vzhľadom na zabezpečenie účinných opatrení na elimináciu.**
682
683
684
685 1. **Nedostatky v dodávkach od externých dodávateľov**
686
687 Nedodržiavanie termínov zo strany externých dodávateľov služieb a tovarov. Dodávateľ(lia) služieb a tovarov, ktorý vzíde z procesu verejného obstarávania nebude dodržiavať harmonogram prác a dodávok, resp. bude v omeškaní.
688
689
690 __Opatrenia na elimináciu rizika: __
691
692 Projektový manažér bude pravidelne komunikovať s dodávateľom, konzultovať prípadné omeškania, hľadať riešenia. V rámci realizácie projektu budú organizované pravidelné zasadnutia Riadiaceho výboru. Postihy za škody a omeškania budú definované v rámci zmluvy o dodávke tovaru, resp. poskytnutí služieb. Ďalším opatrením je už dnes realizovaná kontrola kvality externých dodávateľov zo strany žiadateľa. Súčasne bude žiadateľ starostlivo vyberať dodávateľov na základe ich schopností a referencií. V rámci procesu verejného obstarávania budú zavedené jasné zmluvné podmienky a dohodnúť si pravidelné kontroly plnenia záväzkov, vrátane finančných sankciíí.  Žiadateľ bude sa bude usilovať o diverzifikovanie dodávateľov, aby sa minimalizovala závislosť na jedinom zdroji. Podmienkou žiadateľa bude  implementovať osvedčené technológie a riešenia, ktoré sú už overené na trhu. Žiadateľ zároveň planuje investovať do školení a certifikácií pre zamestnancov, aby mali potrebné zručnosti a vedomosti.
693
694
695 Závažnosť tohto rizika však považujeme za nízku, vzhľadom na zabezpečenie účinných opatrení na elimináciu.
696
697
698 **__Na základe vykonanej analýzy rizík ohrozujúcich úspešnú realizáciu projektu možno konštatovať, že menej ako 10 % rizík z celkového počtu identifikovaných rizík v ŽoNFP je s vysokou závažnosťou, ktoré ohrozujú úspešnú realizáciu projektu.__**
699
700
701
702 = {{id name="projekt_2887_Projektovy_zamer_detailny-4.SúčasnáarchitektúraprevádzkovanýCHIS"/}}4.    Súčasná architektúra prevádzkovanýCH IS =
703
704
705 **__ÚVZ SR, ako aj jednotlivé RÚVZ spoločne používajú IS ÚVZ.__**
706
707 [[image:attach:word1.jpg||width="1800"]]
708
709
710 [[image:attach:word2.png||width="1700"]]
711
712 = {{id name="projekt_2887_Projektovy_zamer_detailny-"/}}[[image:attach:word3.png||width="500"]] =
713
714 = {{id name="projekt_2887_Projektovy_zamer_detailny-5.ROZPOČETAPRÍNOSY"/}}5.    ROZPOČET A PRÍNOSY =
715
716
717 **__Rozpočet projektu je detailne špecifikovaný v časti 11. Rozpočet projektu v rám ci predloženej ŽoNFP.__**
718
719
720
721 = {{id name="projekt_2887_Projektovy_zamer_detailny-6.HARMONOGRAMJEDNOTLIVÝCHFÁZPROJEKTUaMETÓDAJEHORIADENIA"/}}6.    HARMONOGRAM JEDNOTLIVÝCH FÁZ PROJEKTU a METÓDA JEHO RIADENIA =
722
723
724 **__Harmonogram projektu je uvedený v časti 9. Harmonogram realizácie aktivít predloženej ŽoNFP.__**
725
726
727 **Projekt bude realizovaný metódou Waterfall:**
728
729 Waterfall - vodopádový prístup počíta s detailným naplánovaním jednotlivých krokov a následnom dodržiavaní postupu pri vývoji alebo realizácii projekty. Projektovému tímu je daný minimálny priestor na zmeny v priebehu realizácie. Vodopádový prístup je vhodný a užitočný v projektoch, ktorý majú jasný cieľ a jasne definovateľný postup a rozdelenie prác.
730
731 [[image:attach:word4.jpg||width="500"]]
732
733
734 Objednávateľ projektu vypracuje funkčnú a technickú špecifikáciu,
735
736 // //
737
738 Dokumenty obsahujúce informácie klasifikované ako chránené a prísne chránené podľa Vyhlášky č.362/2018 Z.z., ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení budú v rámci projektu odovzdávané v elektronickej podobe šifrovane pomocou PGP kľúčov, ktoré si žiadateľ a dodávateľ na začiatku projektu vymenia.
739
740
741 Pri akceptácii budú vyhotovované vopred definované akceptačné kritéria a požiadavky z katalógu funkčných a nefunkčných požiadaviek vzťahujúce sa k jednotlivým míľnikom projektu.
742
743
744 Metóda riadenia "Waterfall" (vodopád) je jedným z najtradičnejších prístupov k riadeniu projektov v oblasti IT. Tento model je lineárny a sekvenčný, čo znamená, že každá fáza projektu musí byť dokončená pred začiatkom ďalšej. Tieto fázy sú nasledovné:
745 \\1. Požiadavky (Requirements):*
746 - V tejto počiatočnej fáze sú zhromaždené všetky požiadavky na systém. Ide o veľmi dôležitý krok, pretože chyby v požiadavkách môžu mať vážne následky v neskorších fázach. Dokumentujú sa všetky požiadavky zákazníka, funkčné aj nefunkčné, a výsledkom je detailná špecifikácia požiadaviek.
747 \\2. Analýza systému (System Design):
748 - Po dokončení zhromažďovania požiadaviek sa prejde k analýze systému a návrhu. Táto fáza zahŕňa vytvorenie architektúry systému, technických špecifikácií a návrhu softvéru, ktorý bude schopný splniť všetky definované požiadavky.
749 \\3. Implementácia (Implementation):
750 - Po schválení návrhu systému sa začne s implementáciou, teda s programovaním a kódovaním systému podľa navrhnutých špecifikácií. Výsledkom tejto fázy je hotový softvér.
751 \\4. Integrácia a testovanie (Integration and Testing):
752 - V tejto fáze sa jednotlivé komponenty systému integrujú a testujú sa ako celok, aby sa overilo, či systém funguje podľa očakávaní a splňuje všetky špecifikované požiadavky. Testovanie zahŕňa rôzne typy testov, vrátane funkčných, integračných a systémových testov.
753 \\5. Nasadenie (Deployment):
754 - Po úspešnom testovaní sa systém nasadí do produkčného prostredia. Táto fáza môže zahŕňať aj školenie používateľov a prípravu dokumentácie pre používateľov.
755 \\6. Údržba (Maintenance):
756 - Po nasadení systému začína fáza údržby, ktorá zahŕňa opravy chýb, aktualizácie a vylepšenia systému na základe spätnej väzby od používateľov a meniace sa požiadavky.
757 \\**Výhody Waterfall modelu**:
758 - Jednoduchosť a jasná štruktúra:*Každá fáza má jasne definovaný začiatok a koniec.
759 - Dobre zdokumentovaný proces: Všetky požiadavky a kroky sú detailne zdokumentované.
760 - Jednoduché riadenie:*Jednoduché plánovanie a sledovanie pokroku projektu.
761 \\\\Waterfall model je ideálny pre projekty, kde sú požiadavky jasne definované a stabilné, a kde sa očakáva, že projekt prebehne bez veľkých zmien. V súčasnosti sa však stále častejšie využívajú agilné prístupy, ktoré lepšie vyhovujú dynamickým a meniacim sa požiadavkám projektov.
762
763
764
765 **__Kvantitatívne prínosy projektu:__**
766
767 * Zníženie nákladov spojených so sanáciou KBU/KBI
768 * Zníženie nákladov spojených s elimináciou následkov reaktívnych KBI
769
770
771 **__Kvalitatívne prínosy projektu:__**
772
773 * Zníženie rizika KBI,
774 * Zvýšenie súladu s platnou legislatívou,
775 * Zvyšovanie úrovne kybernetickej a informačnej bezpečnosti,
776 * Zvýšenie detekcie KBI,
777 * Zvýšte spokojnosť a dôveru používateľov,
778
779
780 **__Popis cieľového stavu__**
781
782 **__Základné ciele projektu:__**
783
784 * Aktualizácia stratégie kybernetickej bezpečnosti,
785 * Aktualizácie bezpečnostnej politiky KB vrátane implementačnej dokumentácie, v súlade s Príloha – Manažérske Produkty,
786 * Vykonávanie inventarizácie aktív, klasifikácie informácií a kategorizácie sietí a interných systémov,
787 * Stabilizácia riadenia rizík – aktualizácia analýzy rizík a analýzy dopadov a nasadenie nástroja Asset Inventory, Threats, Risks and Measures (EAM/),
788 * Implementácia nástroja na zaznamenávanie a monitorovanie udalostí (Log Management)
789 * Implementácia auditu KB, procesu riadenia a kontroly dodržiavania predpisov.
790
791
792 = {{id name="projekt_2887_Projektovy_zamer_detailny-7.PROJEKTOVÝTÍM"/}}7.    PROJEKTOVÝ TÍM =
793
794
795 **__Projektový tím je detailne popísaný v predloženej ŽoNFP, časť 7.5 Prevádzková kapacita žiadateľa.__**
796
797
798 (% class="wrapped" %)
799 |(((
800 ID
801 )))|(((
802 Meno a Priezvisko
803 )))|(((
804 Pozícia
805 )))|(((
806 Oddelenie
807 )))|(((
808 Rola v projekte
809 )))
810 |(((
811 1.
812 )))|(((
813 Doplniť meno a priezvisko
814 )))|(((
815 Doplniť pozíciu (pracovné zaradenie v línii)
816 )))|(((
817 Doplniť názov org. útvaru
818 )))|(((
819 Doplniť rolu v projekte
820 )))
821 |(((
822 2.
823 )))|(((
824 Doplniť meno a priezvisko
825 )))|(((
826 Doplniť pozíciu (pracovné zaradenie v línii)
827 )))|(((
828 Doplniť názov org. útvaru
829 )))|(((
830 Doplniť rolu v projekte
831 )))
832 |(((
833 3.
834 )))|(((
835 Doplniť meno a priezvisko
836 )))|(((
837 Doplniť pozíciu (pracovné zaradenie v línii)
838 )))|(((
839 Doplniť názov org. útvaru
840 )))|(((
841 Doplniť rolu v projekte
842 )))
843
844
845 **Vzor organizačnej štruktúry**
846
847 [[image:attach:word5.png||width="1000"]]
848
849 = {{id name="projekt_2887_Projektovy_zamer_detailny-"/}}[[image:attach:word6.png||height="70"]] =
850
851 = {{id name="projekt_2887_Projektovy_zamer_detailny-8.VÝSLEDKYPROJEKTU"/}}8.    VÝSLEDKY PROJEKTU =
852
853
854 VÝSLEDKOM PROJEKTU JE ZABEZPEČENIE SÚLADU SO SMERNICOU NIS2 a Zákonom o kybernetickej bezpečnosti Slovenskej republiky (Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti)
855
856
857 Realizáciou vyššie uvedenej aktivity, dosiahne žiadateľ súlad so Smernicou NIS2 a Zákonom o kybernetickej bezpečnosti Slovenskej republiky (Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti). Tieto aktivity pokrývajú širokú škálu oblastí vrátane bezpečnostnej politiky, správy rizík, ochrany proti škodlivému kódu, inventarizácie aktív, bezpečnosti sietí a informačných systémov, kontroly prístupu, riadenia zraniteľností, monitoringu, kontinuity činností a incident managementu.
858
859
860 __Tu je prehľad, ako tieto aktivity pomáhajú dosiahnuť súlad:__
861
862
863 1. __Bezpečnostná politika a stratégia:__ Prehodnotenie a aktualizácia bezpečnostnej politiky a stratégie zabezpečuje, že organizácia má správne nastavený rámec pre kybernetickú bezpečnosť v súlade s legislatívou.
864 1. __Smernice a procesy :__ Aktualizácia a vytváranie nových smerníc pre rôzne oblasti kybernetickej bezpečnosti zabezpečuje, že všetky činnosti sú vykonávané v súlade s novými požiadavkami Zákona a NIS2.
865 1. __Riadenie rizík:__ Nasadenie nástrojov na automatizáciu analýzy rizík a aktualizácia analýzy rizík zabezpečuje, že riziká sú riadne identifikované, hodnotené a riadené.
866 1. __Inventarizácia aktív:__ Spracovanie inventarizácie aktív a ich klasifikácia pomáha organizácii identifikovať a spravovať svoje informačné aktíva, čo je kľúčové pre ochranu citlivých informácií.
867 1. __Log management:__ Implementácia nástrojov a procesov na detekciu a riadenie kybernetických bezpečnostných incidentov zabezpečuje, že organizácia môže efektívne zvládať incidenty a minimalizovať ich dopad.
868
869
870 Realizácia týchto aktivít predstavuje komplexný prístup k dosiahnutiu súladu s NIS2 a Zákonom o kybernetickej bezpečnosti, čím sa zabezpečuje ochrana kritickej infraštruktúry a citlivých informácií v súlade s aktuálnymi požiadavkami.
871
872 = {{id name="projekt_2887_Projektovy_zamer_detailny-9.PRÍLOHY"/}}9.    PRÍLOHY =
873
874
875 **Príloha : **Zoznam rizík a závislostí (Excel): [[//https:~~/~~/www.mirri.gov.sk/sekcie/informatizacia/riadenie-kvality-qa/riadenie-kvality-qa/index.html//>>url:https://www.mirri.gov.sk/sekcie/informatizacia/riadenie-kvality-qa/riadenie-kvality-qa/index.html||shape="rect"]]