projekt_2892_Projektovy_zamer_detailny

= {{id name="projekt_2892_Projektovy_zamer_detailny-2.ÚČELDOKUMENTU,SKRATKY(KONVENCIE)ADEFINÍCIE"/}}2. ÚČEL DOKUMENTU, SKRATKY (KONVENCIE) A DEFINÍCIE =

111

112

V súlade s Vyhláškou 401/2023 Z.z. je dokument I-02 Projektový zámer určený na rozpracovanie detailných informácií prípravy projektu, aby bolo možné rozhodnúť o pokračovaní prípravy projektu, pláne realizácie, alokovaní rozpočtu a ľudských zdrojov.

113

114

115

V súlade s Vyhláškou MIRRI SR č. 401/2023 Z. z. o riadení projektov a zmenových požiadaviek v prevádzke IT VS je dokument Prístup k projektu určený na rozpracovanie detailných informácií prípravy projektu z pohľadu aktuálneho stavu, budúceho stavu a navrhovaného riešenia.

116

117

Dokument Prístup k projektu v zmysle vyššie uvedenej vyhlášky obsahuje opis navrhovaného riešenia, architektúru riešenia projektu na úrovni biznis vrstvy, aplikačnej vrstvy, dátovej vrstvy, technologickej vrstvy, infraštruktúry navrhovaného riešenia, bezpečnostnej architektúry, špecifikáciu údajov spracovaných v projekte, čistenie údajov, prevádzku a údržbu výstupov projektu, prevádzkové požiadavky, požiadavky na zdrojové kódy. Dodávané riešenie bude v súlade so zákonom. Zároveň opisuje aj implementáciu projektu a preberanie výstupov projektu.

118

119

Hlavnou motiváciou je realizácia kyberbezpečnostných opatrení definovaných v Z.z. 69/2018 a v zákone o ISVS.

120

121

Prioritne jedná o tie opatrenia, ktoré vykazujú najväčší nesúlad s uvedenými právnymi normami a vyhláškou 362/2018 Z. z.. V dôsledku realizácie týchto opatrení budú ÚVZ SR chránené v maximálnej možnej miere pred kybernetickým incidentom, ktorý by mohol mať na poskytovanie služieb a prevádzku ÚVZ SR.

122

123

124

Medzi základné povinnosti je prijatie a dodržiavanie všeobecných bezpečnostných opatrení pre nasledovné oblasti, ktoré sú obsahom projektu:

125

126

127

1. Prehodnotenú SM-03 Bezpečnostná politika a stratégia Úradu verejného zdravotníctva s ohľadom na požiadavky nového zákona o KB a príslušných vykonávacích predpisov,

128

1. Dopracovanú smernicu pre oblasti riadenia bezpečnosti prevádzky sietí a IS/APP,

129

1. Aktualizovanú SM-25 Smernica, ktorou sa upravuje práca s informačnými technológiami,

130

1. Nasadený nástroj na automatizáciu analýzy rizík a prehodnotenie a aktualizácia analýzy rizík podľa požiadaviek nového zákona o KB,

131

1. Spracovávanie inventarizácie aktív a ich klasifikáciu s ohľadom na IS ÚVZ a dokumentovanie vzťahov a závislostí medzi IS ÚVZ a ostatnými používanými systémami a aplikáciami na ÚVZ SR,

132

1. Prehodnotenú a spracovanú novú SOA (Security Operations Architecture) s ohľadom na novú legislatívu a jej plnenie pre oblasť kybernetickej bezpečnosti,

133

1. Zavedenú kontrolu dodržiavania bezpečnostných politík zo strany zamestnancov, administrátorov a osôb zastávajúcich niektorú z bezpečnostných rolí,

134

1. Implementovaný nástroj na detekciu kybernetických bezpečnostných incidentov, ktorý spĺňa všetky požiadavky Vyhlášky § 17, ods. 03 a ods. 04,

135

1. Navrhnutý a zdokumentovaný efektívny spôsob kontroly pre účely zaručenia, že prevádzka, používanie a manažment siete a informačného systému je v súlade s vnútornými predpismi a zmluvnými záväzkami,

136

1. Prehodnotenú a aktualizovanú smernicu v oblasti SM-51 Smernica Riadenie kontinuity procesov a činností a spracované nové BCP/DRP plány potrebné na zabezpečenie kontinuity činností podľa nového zákona o KB,

137

1. Aktualizovaná SM-44 Smernica o klasifikácii informácií na Úrade verejného zdravotníctva Slovenskej republiky,

138

1. Zanalyzované existujúce prostredie ÚVZ SR s ohľadom na vzniknutý systém IS ÚVZ a vytvorené záznamy o identifikovaných vzťahoch a súvislostiach,

139

1. Zanalyzovaný spôsob efektívnej realizácie monitoringu zariadení, činností, sietí, IS a APP v prostredí ÚVZ SR a zabezpečenú podporu pre vybraté riešenie pri jeho nasadení a spustení do prevádzky.

140

141

142

Cieľom projektu je, aby po jeho realizácii naša inštitúcia dosiahla čo možno najväčší súlad s NIS2, Zákonom o kyberbezpečnosti, ako aj Zákonom o ISVS.

143

144

== {{id name="projekt_2892_Projektovy_zamer_detailny-1.1Použitéskratkyapojmy"/}}1.1 Použité skratky a pojmy ==

|(((

SKRATKA/POJEM

)))|(((

POPIS

)))

|(((

KIB

)))|(((

Kybernetická a informačná bezpečnosť

)))

|(((

IT

)))|(((

Informačné technológie

)))

|(((

VS

)))|(((

Verejná správa

)))

|(((

ITVS

)))|(((

Informačné technológie verejnej správy

)))

|(((

NFP

)))|(((

Nenávratný finančný príspevok

)))

|(((

OP SK

)))|(((

Operačný program Slovensko

)))

|(((

ÚVZ SR

)))|(((

Úrad verejného zdravotníctva SR

)))

|(((

RÚVZ

)))|(((

Regionálny úrad verejného zdravotníctva

)))

|(((

MZ SR

)))|(((

Ministerstvo zdravotníctva SR

)))

|(((

NKIVS

)))|(((

Národná koncepcia informatizácie verejnej správy

)))

|(((

ZoBK

)))|(((

Zákon o kybernetickej bezpečnosti

)))

|(((

SOA

)))|(((

Security Operations Architecture

)))

|(((

SOC

)))|(((

Security Operation Center

)))

== {{id name="projekt_2892_Projektovy_zamer_detailny-1.2Konvenciepretypypožiadaviek(príklady)"/}}1.2 Konvencie pre typy požiadaviek (príklady) ==

220

221

222

Zvoľte si konvenciu pre označovanie požiadaviek, súborov, atd. Hlavné kategórie požiadaviek v zmysle katalógu požiadaviek, rozdeľujeme na funkčné (funkcionálne), nefunkčné (kvalitatívne, výkonové a pod.). Podskupiny v hlavných kategóriách je možné rozšíriť podľa potrieb projektu, napríklad:

223

224

**Funkcionálne (používateľské) požiadavky **majú nasledovnú konvenciu:

**FRxx**

* U – užívateľská požiadavka

229

* R – označenie požiadavky

230

* xx – číslo požiadavky

231

232

**Nefunkčné (kvalitatívne, výkonové - Non Functional Requirements - NFR) požiadavky** majú nasledovnú konvenciu:

**NRxx**

* N – nefukčná požiadavka (NFR)

237

* R – označenie požiadavky

238

* xx – číslo požiadavky

239

240

Ostatné typy požiadaviek môžu byť ďalej definované objednávateľom/PM.

**// //**

= {{id name="projekt_2892_Projektovy_zamer_detailny-2.DEFINOVANIEPROJEKTU"/}}2. DEFINOVANIE PROJEKTU =

245

246

== {{id name="projekt_2892_Projektovy_zamer_detailny-2.1Manažérskezhrnutie"/}}2.1 Manažérske zhrnutie ==

247

248

249

Úrad verejného zdravotníctva SR ako prevádzkovateľ základnej služby zapísanej v registri prevádzkovateľov základných služieb má povinnosti, ktoré vyplývajú zo ZoKB. Medzi základné povinnosti je prijatie a dodržiavanie všeobecných bezpečnostných opatrení pre nasledovné oblasti:

250

251

252

1. Prehodnotenú SM-03 Bezpečnostná politika a stratégia Úradu verejného zdravotníctva s ohľadom na požiadavky nového zákona o KB a príslušných vykonávacích predpisov,

253

1. Dopracovanú smernicu pre oblasti riadenia bezpečnosti prevádzky sietí a IS/APP,

254

1. Aktualizovanú SM-25 Smernica, ktorou sa upravuje práca s informačnými technológiami,

255

1. Nasadený nástroj na automatizáciu analýzy rizík a prehodnotenie a aktualizácia analýzy rizík podľa požiadaviek nového zákona o KB,

256

1. Spracovávanie inventarizácie aktív a ich klasifikáciu s ohľadom na IS ÚVZ a dokumentovanie vzťahov a závislostí medzi IS ÚVZ a ostatnými používanými systémami a aplikáciami na ÚVZ SR,

257

1. Prehodnotenú a spracovanú novú SOA (Security Operations Architecture) s ohľadom na novú legislatívu a jej plnenie pre oblasť kybernetickej bezpečnosti,

258

1. Zavedenú kontrolu dodržiavania bezpečnostných politík zo strany zamestnancov, administrátorov a osôb zastávajúcich niektorú z bezpečnostných rolí,

259

1. Implementovaný nástroj na detekciu kybernetických bezpečnostných incidentov, ktorý spĺňa všetky požiadavky Vyhlášky § 17, ods. 03 a ods. 04,

260

1. Navrhnutý a zdokumentovaný efektívny spôsob kontroly pre účely zaručenia, že prevádzka, používanie a manažment siete a informačného systému je v súlade s vnútornými predpismi a zmluvnými záväzkami,

261

1. Prehodnotenú a aktualizovanú smernicu v oblasti SM-51 Smernica Riadenie kontinuity procesov a činností a spracované nové BCP/DRP plány potrebné na zabezpečenie kontinuity činností podľa nového zákona o KB,

262

1. Aktualizovaná SM-44 Smernica o klasifikácii informácií na Úrade verejného zdravotníctva Slovenskej republiky,

263

1. Zanalyzované existujúce prostredie ÚVZ SR s ohľadom na vzniknutý systém IS ÚVZ a vytvorené záznamy o identifikovaných vzťahoch a súvislostiach,

264

1. Zanalyzovaný spôsob efektívnej realizácie monitoringu zariadení, činností, sietí, IS a APP v prostredí ÚVZ SR a zabezpečenú podporu pre vybraté riešenie pri jeho nasadení a spustení do prevádzky

265

266

267

**Jednotlivé organizačné jednotky (OZ), teda regionálne úrady verejného zdravotníctva (ktorých je 36) využívajú centrálny informačný systém (IS ÚVZ), tzn. že každá OZ, ak sa stane terčom kybernetického útoku, ohrozuje fungovanie IS ÚVZ ako celku a môže spôsobiť odstavenie celého systému. V dôsledku toho je nevyhnutné, aby navrhovaným systémov disponovalo nie len ÚVZ, ale aj všetky RÚVZ.**

268

269

270

Zasielané udalosti sú v jednotlivých organizáciách na vstupe prijaté, označkované a parsované podľa technológie. Následne sú buď vhodnými základnými pravidlami produktu a implementačnými pravidlami na mieru spracované, aby bolo možné s nimi vytvárať potrebné navrhnuté scenáre. Ďalej sú uložené a vizualizované buď prostredníctvom základných nástrojov, alebo v budúcnosti vyššou formou pomocou integračnej platformy. Implementácia zahŕňa vytvorenie prístupových oprávnení v súlade s požiadavkami na viditeľnosť a spracovanie dát a následnú vizualizáciu.

271

272

273

Prevádzkové informácie budú zobrazovať aktuálne informácie o stave logovaných ICT systémov jednotlivých organizácií. Nad týmito logmi bude vykonané parsovanie a následne sa uložia do centrálneho dátového skladu, kde bude možné s týmito dátami ďalej pracovať. Primárne sa jedná o nepretržitý zber logov a monitorovanie prevádzky ICT technológií, systémov, aplikácií, stavu kybernetického a fyzického zabezpečenia a poskytovanie dát a informácií pre riešenie odchýlok a nápravných opatrení. Všetky údaje uložené v dátovom sklade budú podrobené procesu sledovania a vyhodnocovania podľa nižšie uvedených scenárov. Tým bude zabezpečené sledovanie jednotlivých systémov podľa nariadenia NIS2. Jednotlivé zistenia budú automaticky evidované v systéme na riadenie bezpečnosti, ktorý riadi všetky zistené riziká a navrhuje vhodné opatrenia. Takto evidované a riadené sledovanie logov povedie k včasnej detekcii rizík a ich okamžitej náprave.

274

275

276

Z pohľadu kompletného zberu logov bude vyhodnocované:

277

278

- prihlasovanie a odhlasovanie ku všetkým účtom, vrátane neúspešných pokusov

279

280

- vykonanie a neúspešný pokus o vykonanie privilegovanej činnosti

281

282

- manipulácia a neúspešný pokus o manipuláciu s účtami, oprávneniami a právami

283

284

- neuskutočnenie činností v dôsledku nedostatku prístupových práv alebo oprávnení

285

286

- začatie a ukončenie činností technických aktív

287

288

- kritické a chybové hlásenia technických aktív

289

290

- prístup a neúspešný pokus o prístup k záznamom udalostí

291

292

- manipulácia a neúspešný pokus o manipuláciu so záznamami udalostí

293

294

- zmenu a neúspešný pokus o zmenu nastavení nástrojov na zaznamenávanie udalostí

295

296

- ďalšie činnosti používateľov, ktoré môžu mať vplyv na bezpečnosť regulovanej služby.

**__Výsledky projektu a cieľový stav (manažérske produkty)__**

301

302

303

**Čiastková aktivita a) Organizácia KB,**

304

305

Na základe zistených nedostatkov v oblasti riadenia kybernetickej a informačnej bezpečnosti v organizácii sa určuje nasledovný cieľový stav:

306

307

Komplexná bezpečnostná dokumentácia bude novo vypracovaná, pričom zohľadňuje predchádzajúcu dokumentáciu a jej aktualizácie vrátane rozsahu a metód dodržiavania všeobecných bezpečnostných opatrení.

308

309

Budú novo sa vyvinuté a implementované špecifické interné riadiace akty pre vybrané oblasti kybernetickej a informačnej bezpečnosti.

310

311

Bude aktualizovaný stav bezpečnostného výboru organizácie.

312

313

Bude vypracovaný bezpečnostný projekt komplexnej ochrany informačného systému verejnej správy.

314

315

316

**Čiastková činnosť b) Riadenie rizík KB**,

317

318

Na základe zistených nedostatkov v oblasti riadenia rizík kybernetickej a informačnej bezpečnosti v organizácii sa určuje nasledovný cieľový stav:

319

320

Všetky aktíva súvisiace so spracovaním informácií a centrálnym inventárnym záznamovým zariadením budú identifikované ich hodnotou a s označením ich vlastníka, ktorý definuje ich požiadavky na dôvernosť, dostupnosť a integritu (EAM).

321

322

Riadenie rizík bude automatizované pomocou nástroja, pozostávajúce z identifikácie zraniteľnosti, identifikácie hrozieb, identifikácie rizík a analýzy rizík s ohľadom na aktíva, určenia vlastníka rizika a implementácie organizačných a technických bezpečnostných opatrení, funkčnej analýzy dopadov a pravidelného prehodnocovania identifikovaných rizík v závislosti od aktualizácie prijatých bezpečnostných opatrení.

323

324

Bude implementovaný automatizovaný systém správy a registrácie pre inventarizáciu majetku (EAM/).

325

326

Bude implementovaný automatizovaný systém riadenia a registrácie pre katalogizáciu hrozieb.

327

328

Bude zavedený sa automatizovaný systém riadenia a registrácie pre katalogizáciu rizík a opatrení.

329

330

331

**Čiastková činnosť c) Personálna bezpečnosť**,

332

333

Na základe zistených nedostatkov v oblasti personálnej bezpečnosti v organizácii je stanovený nasledovný cieľový stav:

334

335

Bude vyvinutý postup na priradenie osoby k jednej z rolí zabezpečenia

336

337

Bude zavedený plán na rozvoj bezpečnostného povedomia a vzdelávania

338

339

Bude vyvinutá metóda hodnotenia účinnosti rozvojového plánu bezpečnostného povedomia

340

341

Budú určené pravidlá a postupy pri riešení porušení bezpečnostnej politiky

342

343

Budú zavedené postupy na ukončenie pracovného pomeru

344

345

Budú zavedené postupy pre prípady porušenia bezpečnostných politík

346

347

Bude vypracovaný a aktualizovaný akt vnútorného riadenia s bezpečnostnými zásadami pre koncových používateľov

348

349

Postupy a procesy, ktorými sa riadi personálna bezpečnosť organizácie, budú vypracované a implementované prostredníctvom interného riadiaceho aktu.

350

351

Bude vyhotovený automatizovaný systém riadenia a evidencie pre prácu s organizačnou štruktúrou je implementovaný s prepojením na technické získavanie existujúcich informácií z dostupných technických zdrojov – najmä MS AD.

352

353

354

**Čiastková aktivita k) Zaznamenávanie udalostí a monitoring sietí a IS,**

355

356

Na základe zistených nedostatkov v oblasti zaznamenávania a monitorovania udalostí je stanovený nasledovný cieľový stav:

357

358

Implementovaný bude centrálny log management systém pre zber a ukladanie logov z jednotlivých informačných systémov s podporou napojenia na riadiace systémy a poskytovania potrebných podporných dát.

359

360

Bude vypracovaná dokumentácia metód monitorovania a fungovania systému správy log a centrálneho nástroja na monitorovanie bezpečnosti a bude definovaný spôsob evidencie prevádzkových záznamov, ich vyhodnocovanie, spôsoby hlásenia podozrivej činnosti, zodpovedné osoby a ďalšie povinnosti.

361

362

Vytvorí sa špecifikácia všetkých udalostí, ktoré sa musia zaznamenávať, a súvisiaca konfigurácia prvkov informačných technológií verejnej správy vrátane dokumentácie rozsahu údajov zaznamenaných v protokolových súboroch.

363

364

Bude vypracovaný sa vnútorný zákon o riadení, ktorý obsahuje a upravuje povinnosti stanovené platnou legislatívou.

2.2 Ciele projektu

Do tabuliek nižšie doplniť CIEĽ /CIELE PROJEKTU, ich mapovanie na strategické ciele (napr. z NKIVS, KRIT a iných strategických dokumentov) a súvisiace merateľné ukazovatele (KPI- key performance indicators). Ciele musia byť S.M.A.R.T. - konkrétne, merateľné, dosiahnuteľné, relevantné, časovo ohraničené.

|(((

ID

)))|(((

Názov cieľa

)))|(((

Názov strategického cieľa

382

)))|(((

383

Spôsob realizácie strategického cieľa

)))

|(((

...

)))|(((

)))|(((

...

)))|(((

...

)))

|(((

...

)))|(((

)))|(((

...

)))|(((

...

)))

**~ **

== {{id name="projekt_2892_Projektovy_zamer_detailny-2.3Merateľnéukazovatele(KPI)"/}}2.3 Merateľné ukazovatele (KPI) ==

|(((

ID

)))|(((

ID/Názov cieľa

)))|(((

Názov

ukazovateľa (KPI)

)))|(((

Popis

ukazovateľa

)))|(((

Merná jednotka

)))|(((

AS IS

merateľné hodnoty

(aktuálne)

)))|(((

TO BE

Merateľné hodnoty

(cieľové hodnoty)

)))|(((

Spôsob ich merania

)))|(((

Pozn.

)))

|(((

...

)))|(((

)))|(((

...

)))|(((

...

)))|(((

...

)))|(((

...

)))|(((

...

)))|(((

...

)))|(((

...

)))

|(((

...

)))|(((

)))|(((

...

)))|(((

...

)))|(((

...

)))|(((

...

)))|(((

...

)))|(((

...

)))|(((

...

)))

|(((

...

)))|(((

)))|(((

...

)))|(((

...

)))|(((

...

)))|(((

...

)))|(((

...

)))|(((

...

)))|(((

...

)))

Vysvetlivky k vyplneniu tabuľky:

498

499

* Vzory merateľných ukazovateľov pre projekt sú publikované v Checkliste pre agendu Merateľné ukazovatele/KPI (//[[https:~~/~~/www.mirri.gov.sk/sekcie/informatizacia/riadenie-kvality-qa/riadenie-kvality-qa/index.html>>url:https://www.mirri.gov.sk/sekcie/informatizacia/riadenie-kvality-qa/riadenie-kvality-qa/index.html||shape="rect"]]// )

500

* **AS IS merateľné ukazovatele** – t. j. popíšte, aké merateľné ukazovatele máte teraz (vpíšte výsledky meraní – v merateľných jednotkách) .

501

* **TO BE merateľné ukazovatele** – t. j. popíšte cieľové merateľné ukazovatele, ktoré chcete dosiahnuť.

502

* Odporúčame, aby váš budúci IS mal automatizovaný monitoring (na pravidelnej báze, napr. týždenne) vami stanovených merateľných ukazovateľov – s cieľom, aby ste mohli riadiť službu, produkt, proces, ľudí

503

* V prípade financovania cez zdroje EÚ uvádzať aj Projektové merateľné ukazovatele z operačného programu (špecifické ciele, merateľné ukazovatele atď).

.

== {{id name="projekt_2892_Projektovy_zamer_detailny-2.4Rizikáazávislosti"/}}2.4 Riziká a závislosti ==

508

509

510

**Zoznam rizík a závislostí realizácie projektu:**

511

512

**Realizácia projektu na zabezpečenie kyberbezpečnosti financovaného z fondov EÚ môže čeliť viacerým rizikám.**

513

514

515

1. **Nedodržanie harmonogramu aktivít**

516

517

Riziko spočíva v nedodržiavaní harmonogramu aktivít projektu, ktoré by vyústilo do oneskorenia projektu.

518

519

520

__Opatrenia na elimináciu:__

521

522

V rámci prípravy projektu bol harmonogram jednotlivých aktivít zostavený tak aby zodpovedal možnostiam žiadateľa.

523

524

525

Na elimináciu rizika nedodržania harmonogramu aktivít projektu je potrebné prijať niekoľko opatrení, ktoré zabezpečia efektívne riadenie času a zdrojov. Tu sú niektoré z nich:

526

527

528

1. a) Dôkladné plánovanie:

529

530

- žiadateľ má vypracovaný detailný projektový plán so všetkými aktivitami, úlohami a míľnikmi.

531

532

- žiadateľ využil osvedčené metódy plánovania, ako sú Ganttove diagramy alebo PERT (Program Evaluation and Review Technique).

533

534

535

1. b) Realistické časové odhady:

536

537

- v rámci žiadosti boli stanovené realistické časové rámce pre jednotlivé aktivity na základe skúseností a po porade s odbornými konzultantmi,

538

539

- do riadenia a plánovania bol zapojený projektový tím, ktorý bude úlohy vykonávať, aby sa zabezpečila realistickosť odhadov.

540

541

542

1. c) Identifikácia kritických ciest:

543

544

- žiadateľ určil kritické cesty (critical paths) v projekte, ktoré majú najväčší vplyv na celkový harmonogram.

545

546

- žiadateľ bude pravidelne sledovať postup na týchto kritických cestách a zabezpečí, aby nedošlo k žiadnym oneskoreniam.

547

548

549

1. d) Rezervy na nepredvídané udalosti:

550

551

- žiadateľ v rámci stanovenia aktivity projektu zahrnul do plánu časové rezervy (buffer times) na pokrytie nepredvídaných udalostí alebo oneskorení.

552

553

- projektový a odborný tím žiadateľa je pripravený flexibilne prispôsobiť plán pri výskyte neočakávaných situácií.

554

555

556

1. e) Pravidelný monitoring a kontrola:

557

558

- žiadateľ bude mať v rámci realizácie projektu zavedený systém pravidelného monitorovania postupu projektu a porovnávania s harmonogramom.

559

560

- súčasne budú používané softvérové nástroje na riadenie projektov, ktoré umožňujú sledovanie priebehu v reálnom čase.

561

562

563

1. f) Efektívna komunikácia:

564

565

- žiadateľ má zavedené pravidelné stretnutia projektového tímu na hodnotenie postupu a riešenie problémov.

566

567

- žiadateľ zabezpečí udržiavať otvorenú a transparentnú komunikáciu medzi všetkými členmi tímu a zainteresovanými stranami.

568

569

570

1. g) Riadenie rizík:

571

572

- žiadateľ identifikoval potenciálne riziká, ktoré by mohli ovplyvniť harmonogram, a vypracovať plány na ich zmiernenie.

573

574

- žiadateľ bude pravidelne aktualizovať rizikový register a prijímať preventívne opatrenia.

575

576

577

1. h) Dostatočné zdroje:

578

579

- žiadateľ má zabezpečené, aby mal projektový tím k dispozícii všetky potrebné zdroje vrátane personálu, technológií a financií.

580

581

- žiadateľ bude riešiť prípadné nedostatky zdrojov čo najskôr, aby nedošlo k oneskoreniam.

582

583

584

1. i) Flexibilita a adaptabilita:

585

586

- žiadateľ je pripravený prispôsobiť harmonogram podľa aktuálnych podmienok a vývoja situácie.

587

588

- žiadateľ bude mať zavedené spolu s projektovými tímom procesy pre rýchlu reakciu na zmeny a úpravu plánov.

589

590

591

**Závažnosť tohto rizika však považujeme za nízku, vzhľadom na zabezpečenie účinných opatrení na elimináciu.**

1. **Nedosiahnutie plánovaných hodnôt merateľných ukazovateľov**

596

597

Hoci v rámci projektu sa nesledujú také merateľné ukazovatele, ktoré by boli merateľnými ukazovateľmi s príznakom, žiadateľ si uvedomuje možné riziká súvisiace s nenaplnením merateľných ukazovateľov.

598

599

600

__Opatrenia na elimináciu rizika:__

601

602

Keďže merateľné ukazovatele sú odrazom úspešného naplnenia jednotlivých aktivít, prijímateľ prijal alebo prijme najmä nasledovné opatrenia:

603

604

Prijímateľ dlhoročne realizuje projekty financované s fondov EÚ. Samotný projekt vyplýva z jeho dlhodobých plánov a preto celé jeho nastavenie je podrobne analyzované vrátane nastavenia časového harmonogramu a cieľových hodnôt merateľných ukazovateľov. Prijímateľ do realizácie projektu zapojil odborných zamestnancov spoločnosti, aby bolo zaručené dosiahnutie plánovaných výsledkov.

605

606

607

Aby sa eliminovalo riziko nedosiahnutia plánovaných hodnôt merateľných ukazovateľov v rámci projektu, môžu byť prijaté nasledujúce opatrenia:

608

609

610

1. a) Precízne plánovanie a nastavenie realistických cieľov:

611

612

- V projekte sú definované jasné a realistické ciele a merateľné ukazovatele (KPIs) na základe dôkladnej analýzy, prípravy projektu a prieskumu trhu.

613

614

- Žiadateľ využil historické údaje a osvedčené metódy na stanovenie cieľov.

615

616

617

1. b) Pravidelný monitoring a hodnotenie:

618

619

- žiadateľ zavedie v rámci realizácie projektu systém pravidelného monitoringu a hodnotenia postupu dosahovania cieľov.

620

621

- žiadateľ zavedie v rámci realizácie projektu mechanizmy na pravidelné správy a analýzy progresu.

622

623

624

1. c) Flexibilita a adaptabilita:

625

626

- projektový tím žiadateľa je pripravený prispôsobiť plány a stratégie na základe zistení z monitoringu.

627

628

- žiadateľ počs realizácie projektu zavedie procesy pre rýchlu reakciu na neočakávané udalosti alebo zmeny v externom prostredí.

629

630

631

1. d) Zabezpečenie potrebných zdrojov:

632

633

- žiadateľ identifikoval a zabezpečil všetky potrebné zdroje vrátane finančných, ľudských a technologických potrebných na úspešnú realizáciu projektu,

634

635

- žiadateľ bude pravidelne preverovať dostupnosť zdrojov a riešiť prípadné nedostatky.

636

637

638

1. e) Kvalitný projektový manažment:

639

640

- žiadateľ disponuje skúsenými a certifikovanými projektovými manažérmi, ktorý skúsenosti sú uvedené v časti 7.4. ŽoNFP,

641

642

- žiadateľ bude využívať pri realizácii projektu osvedčené metodiky projektového riadenia, ako sú PRINCE2, PMI alebo Agile.

643

644

645

1. f) Zapojenie všetkých zainteresovaných strán:

646

647

- žiadateľ prostredníctvom projektového tímu zabezpečí, aby všetci zainteresovaní boli dostatočne informovaní a zapojení do projektu.

648

649

- žiadateľ plánuje organizovať pravidelné stretnutia a konzultácie s projektovým tímom a relevantnými stranami na získanie spätnej väzby a podpory pri realizácii projektu,

650

651

652

1. g) Rizikový manažment:

653

654

- Identifikovať potenciálne riziká spojené s dosahovaním ukazovateľov a vypracovať plány na ich zmiernenie.

655

656

- Pravidelne aktualizovať rizikový register a prijímať preventívne opatrenia.

657

658

659

1. h) Komunikácia a transparentnosť:

660

661

- Zabezpečiť otvorenú a transparentnú komunikáciu o postupoch a výsledkoch.

662

663

- Informovať tím a vedenie o aktuálnom stave a prípadných problémoch.

664

665

666

1. i) Kontrola a audit:

667

668

- Zaviesť interné a externé kontroly a audity na preverenie plnenia merateľných ukazovateľov.

669

670

- Implementovať odporúčania z auditov na zlepšenie procesov a výkonnosti.

671

672

673

**Závažnosť tohto rizika však považujeme za nízku, vzhľadom na zabezpečenie účinných opatrení na elimináciu.**

1. **Nedostatky v dodávkach od externých dodávateľov**

678

679

Nedodržiavanie termínov zo strany externých dodávateľov služieb a tovarov. Dodávateľ(lia) služieb a tovarov, ktorý vzíde z procesu verejného obstarávania nebude dodržiavať harmonogram prác a dodávok, resp. bude v omeškaní.

__Opatrenia na elimináciu rizika: __

685

686

Projektový manažér bude pravidelne komunikovať s dodávateľom, konzultovať prípadné omeškania, hľadať riešenia. V rámci realizácie projektu budú organizované pravidelné zasadnutia Riadiaceho výboru. Postihy za škody a omeškania budú definované v rámci zmluvy o dodávke tovaru, resp. poskytnutí služieb. Ďalším opatrením je už dnes realizovaná kontrola kvality externých dodávateľov zo strany žiadateľa. Súčasne bude žiadateľ starostlivo vyberať dodávateľov na základe ich schopností a referencií. V rámci procesu verejného obstarávania budú zavedené jasné zmluvné podmienky a dohodnúť si pravidelné kontroly plnenia záväzkov, vrátane finančných sankcii. Žiadateľ bude sa bude usilovať o diverzifikované dodávateľov, aby sa minimalizovala závislosť na jedinom zdroji. Podmienkou žiadateľa bude implementovať osvedčené technológie a riešenia, ktoré sú už overené na trhu. Žiadateľ zároveň plánuje investovať do školení a certifikácií pre zamestnancov, aby mali potrebné zručnosti a vedomosti.

687

688

689

Závažnosť tohto rizika však považujeme za nízku, vzhľadom na zabezpečenie účinných opatrení na elimináciu.

690

691

692

**__Na základe vykonanej analýzy rizík ohrozujúcich úspešnú realizáciu projektu možno konštatovať, že menej ako 10 % rizík z celkového počtu identifikovaných rizík v ŽoNFP je s vysokou závažnosťou, ktoré ohrozujú úspešnú realizáciu projektu.__**

693

694

695

= {{id name="projekt_2892_Projektovy_zamer_detailny-3.SúčasnáarchitektúraprevádzkovanýCHIS"/}}3. Súčasná architektúra prevádzkovanýCH IS =

696

697

698

**__ÚVZ SR, ako aj jednotlivé RÚVZ spoločne používajú IS ÚVZ.__**

699

700

[[image:attach:image-2024-8-12_10-2-52.png||height="400"]]

701

702

703

[[image:attach:image-2024-8-12_10-3-24.png||height="400"]]

704

705

706

[[image:attach:image-2024-8-12_10-3-46.png||height="400"]]

= {{id name="projekt_2892_Projektovy_zamer_detailny-5.ROZPOČETAPRÍNOSY"/}}5. ROZPOČET A PRÍNOSY =

711

712

713

**__Rozpočet projektu je detailne špecifikovaný v časti 11. Rozpočet projektu v rám ci predloženej ŽoNFP.__**

714

715

716

= {{id name="projekt_2892_Projektovy_zamer_detailny-6.HARMONOGRAMJEDNOTLIVÝCHFÁZPROJEKTUaMETÓDAJEHORIADENIA"/}}6. HARMONOGRAM JEDNOTLIVÝCH FÁZ PROJEKTU a METÓDA JEHO RIADENIA =

717

718

719

**__Harmonogram projektu je uvedený v časti 9. Harmonogram realizácie aktivít predloženej ŽoNFP.__**

720

721

722

**Projekt bude realizovaný metódou Waterfall:**

723

724

Waterfall - vodopádový prístup počíta s detailným naplánovaním jednotlivých krokov a následnom dodržiavaní postupu pri vývoji alebo realizácii projekty. Projektovému tímu je daný minimálny priestor na zmeny v priebehu realizácie. Vodopádový prístup je vhodný a užitočný v projektoch, ktorý majú jasný cieľ a jasne definovateľný postup a rozdelenie prác.

725

726

[[image:attach:image-2024-8-12_10-7-25.png||height="400"]]

727

728

729

Dokumenty obsahujúce informácie klasifikované ako chránené a prísne chránené podľa Vyhlášky č.362/2018 Z.z., ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení budú v rámci projektu odovzdávané v elektronickej podobe šifrovane pomocou PGP kľúčov, ktoré si žiadateľ a dodávateľ na začiatku projektu vymenia.

730

731

732

Pri akceptácii budú vyhotovované vopred definované akceptačné kritéria a požiadavky z katalógu funkčných a nefunkčných požiadaviek vzťahujúce sa k jednotlivým míľnikom projektu.

733

734

735

Metóda riadenia "Waterfall" (vodopád) je jedným z najtradičnejších prístupov k riadeniu projektov v oblasti IT. Tento model je lineárny a sekvenčný, čo znamená, že každá fáza projektu musí byť dokončená pred začiatkom ďalšej. Tieto fázy sú nasledovné:

736

\\1. Požiadavky (Requirements):*

737

- V tejto počiatočnej fáze sú zhromaždené všetky požiadavky na systém. Ide o veľmi dôležitý krok, pretože chyby v požiadavkách môžu mať vážne následky v neskorších fázach. Dokumentujú sa všetky požiadavky zákazníka, funkčné aj nefunkčné, a výsledkom je detailná špecifikácia požiadaviek.

738

\\2. Analýza systému (System Design):

739

- Po dokončení zhromažďovania požiadaviek sa prejde k analýze systému a návrhu. Táto fáza zahŕňa vytvorenie architektúry systému, technických špecifikácií a návrhu softvéru, ktorý bude schopný splniť všetky definované požiadavky.

740

\\3. Implementácia (Implementáciou):

741

- Po schválení návrhu systému sa začne s implementáciou, teda s programovaním a kódovaním systému podľa navrhnutých špecifikácií. Výsledkom tejto fázy je hotový softvér.

742

\\4. Integrácia a testovanie (Integration and Testing):

743

- V tejto fáze sa jednotlivé komponenty systému integrujú a testujú sa ako celok, aby sa overilo, či systém funguje podľa očakávaní a splňuje všetky špecifikované požiadavky. Testovanie zahŕňa rôzne typy testov, vrátane funkčných, integračných a systémových testov.

744

\\5. Nasadenie (Deployment):

745

- Po úspešnom testovaní sa systém nasadí do produkčného prostredia. Táto fáza môže zahŕňať aj školenie používateľov a prípravu dokumentácie pre používateľov.

746

\\6. Údržba (Maintenance):

747

- Po nasadení systému začína fáza údržby, ktorá zahŕňa opravy chýb, aktualizácie a vylepšenia systému na základe spätnej väzby od používateľov a meniace sa požiadavky.

748

\\**Výhody Waterfall modelu**:

749

- Jednoduchosť a jasná štruktúra:*Každá fáza má jasne definovaný začiatok a koniec.

750

- Dobre zdokumentovaný proces: Všetky požiadavky a kroky sú detailne zdokumentované.

751

- Jednoduché riadenie:*Jednoduché plánovanie a sledovanie pokroku projektu.

752

\\\\Waterfall model je ideálny pre projekty, kde sú požiadavky jasne definované a stabilné, a kde sa očakáva, že projekt prebehne bez veľkých zmien. V súčasnosti sa však stále častejšie využívajú agilné prístupy, ktoré lepšie vyhovujú dynamickým a meniacim sa požiadavkám projektov.

**__Kvantitatívne prínosy projektu:__**

757

758

* Zníženie nákladov spojených so sanáciou KBU/KBI

759

* Zníženie nákladov spojených s elimináciou následkov reaktívnych KBI

760

761

762

**__Kvalitatívne prínosy projektu:__**

763

764

* Zníženie rizika KBI,

765

* Zvýšenie súladu s platnou legislatívou,

766

* Zvyšovanie úrovne kybernetickej a informačnej bezpečnosti,

767

* Zvýšenie detekcie KBI,

768

* Zvýšte spokojnosť a dôveru používateľov,

**__Popis cieľového stavu__**

773

774

**__Základné ciele projektu:__**

775

776

* Aktualizácia stratégie kybernetickej bezpečnosti,

777

* Aktualizácie bezpečnostnej politiky KB vrátane implementačnej dokumentácie, v súlade s Príloha – Manažérske Produkty,

778

* Vykonávanie inventarizácie aktív, klasifikácie informácií a kategorizácie sietí a interných systémov,

779

* Stabilizácia riadenia rizík – aktualizácia analýzy rizík a analýzy dopadov a nasadenie nástroja Asset Inventory, Threats, Risks and Measures (EAM/),

780

* Implementácia nástroja na zaznamenávanie a monitorovanie udalostí (Log Management)

781

* Implementácia auditu KB, procesu riadenia a kontroly dodržiavania predpisov.

= {{id name="projekt_2892_Projektovy_zamer_detailny-7.PROJEKTOVÝTÍM"/}}7. PROJEKTOVÝ TÍM =

787

788

789

**__Projektový tím je detailne popísaný v predloženej ŽoNFP, časť 7.5 Prevádzková kapacita žiadateľa.__**

|(((

ID

)))|(((

Meno a Priezvisko

)))|(((

Pozícia

)))|(((

Oddelenie

)))|(((

Rola v projekte

)))

|(((

1.

)))|(((

Doplniť meno a priezvisko

808

)))|(((

809

Doplniť pozíciu (pracovné zaradenie v línii)

810

)))|(((

811

Doplniť názov org. útvaru

812

)))|(((

813

Doplniť rolu v projekte

)))

|(((

2.

)))|(((

Doplniť meno a priezvisko

819

)))|(((

820

Doplniť pozíciu (pracovné zaradenie v línii)

821

)))|(((

822

Doplniť názov org. útvaru

823

)))|(((

824

Doplniť rolu v projekte

)))

|(((

3.

)))|(((

Doplniť meno a priezvisko

830

)))|(((

831

Doplniť pozíciu (pracovné zaradenie v línii)

832

)))|(((

833

Doplniť názov org. útvaru

834

)))|(((

835

Doplniť rolu v projekte

)))

**Vzor organizačnej štruktúry**

840

841

[[image:attach:image-2024-8-12_10-9-26.png||height="250"]]

842

843

= {{id name="projekt_2892_Projektovy_zamer_detailny-"/}}[[image:attach:image-2024-8-12_10-9-57.png||height="64"]] =

844

845

= {{id name="projekt_2892_Projektovy_zamer_detailny-8.VÝSLEDKYPROJEKTU"/}}8. VÝSLEDKY PROJEKTU =

846

847

848

VÝSLEDKOM PROJEKTU JE ZABEZPEČENIE SÚLADU SO SMERNICOU NIS2 a Zákonom o kybernetickej bezpečnosti Slovenskej republiky (Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti)

849

850

851

Realizáciou vyššie uvedenej aktivity, dosiahne žiadateľ súlad so Smernicou NIS2 a Zákonom o kybernetickej bezpečnosti Slovenskej republiky (Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti). Tieto aktivity pokrývajú širokú škálu oblastí vrátane bezpečnostnej politiky, správy rizík, ochrany proti škodlivému kódu, inventarizácie aktív, bezpečnosti sietí a informačných systémov, kontroly prístupu, riadenia zraniteľností, monitoringu, kontinuity činností a incident managementu.

852

853

854

__Tu je prehľad, ako tieto aktivity pomáhajú dosiahnuť súlad:__

855

856

857

1. __Bezpečnostná politika a stratégia:__ Prehodnotenie a aktualizácia bezpečnostnej politiky a stratégie zabezpečuje, že organizácia má správne nastavený rámec pre kybernetickú bezpečnosť v súlade s legislatívou.

858

1. __Smernice a procesy :__ Aktualizácia a vytváranie nových smerníc pre rôzne oblasti kybernetickej bezpečnosti zabezpečuje, že všetky činnosti sú vykonávané v súlade s novými požiadavkami Zákona a NIS2.

859

1. __Riadenie rizík:__ Nasadenie nástrojov na automatizáciu analýzy rizík a aktualizácia analýzy rizík zabezpečuje, že riziká sú riadne identifikované, hodnotené a riadené.

860

1. __Inventarizácia aktív:__ Spracovanie inventarizácie aktív a ich klasifikácia pomáha organizácii identifikovať a spravovať svoje informačné aktíva, čo je kľúčové pre ochranu citlivých informácií.

861

1. __Log management:__ Implementácia nástrojov a procesov na detekciu a riadenie kybernetických bezpečnostných incidentov zabezpečuje, že organizácia môže efektívne zvládať incidenty a minimalizovať ich dopad.

862

863

864

Realizácia týchto aktivít predstavuje komplexný prístup k dosiahnutiu súladu s NIS2 a Zákonom o kybernetickej bezpečnosti, čím sa zabezpečuje ochrana kritickej infraštruktúry a citlivých informácií v súlade s aktuálnymi požiadavkami.

865

866

= {{id name="projekt_2892_Projektovy_zamer_detailny-9.PRÍLOHY"/}}9. PRÍLOHY =

867

868

869

**Príloha : **Zoznam rizík a závislostí (Excel): //[[https:~~/~~/www.mirri.gov.sk/sekcie/informatizacia/riadenie-kvality-qa/riadenie-kvality-qa/index.html>>url:https://www.mirri.gov.sk/sekcie/informatizacia/riadenie-kvality-qa/riadenie-kvality-qa/index.html||shape="rect"]]//

870

871

// //

Wiki zdrojový kód pre projekt_2892_Projektovy_zamer_detailny

Aplikácie

Navigácia

Moje posledné úpravy

Need help?