Naposledy upravil Admin-metais MetaIS 2024/11/13 15:14
Show last authors
1 **PROJEKTOVÝ ZÁMER**
2
3 **Vzor pre manažérsky výstup I-02**
4
5 **~ podľa vyhlášky MIRRI č. 401/2023 Z. z. **
6
7
8 (% class="wrapped" %)
9 |(((
10 Povinná osoba
11 )))|(((
12 Regionálny úrad verejného zdravotníctva
13 )))
14 |(((
15 Názov projektu
16 )))|(((
17 Podpora v oblasti kybernetickej a informačnej bezpečnosti RÚVZ
18 )))
19 |(((
20 Zodpovedná osoba za projekt
21 )))|(((
22 Ing. Jana Grňo Mikulášiová, manažér kybernetickej bezpečnosti
23 )))
24 |(((
25 Realizátor projektu
26 )))|(((
27 Úrad verejného zdravotníctva SR
28 )))
29 |(((
30 Vlastník projektu
31 )))|(((
32 Ing. Jana Grňo Mikulášiová, manažér kybernetickej bezpečnosti
33 )))
34
35 **~ **
36
37 **Schvaľovanie dokumentu**
38
39 (% class="wrapped" %)
40 |(((
41 Položka
42 )))|(((
43 Meno a priezvisko
44 )))|(((
45 Organizácia
46 )))|(((
47 Pracovná pozícia
48 )))|(((
49 Dátum
50 )))|(((
51 Podpis
52
53 (alebo elektronický súhlas)
54 )))
55 |(((
56 Vypracoval
57 )))|(((
58
59 )))|(((
60 ÚVZ SR
61 )))|(((
62
63 )))|(((
64
65 )))|(((
66
67 )))
68
69 **~ **
70
71 = {{id name="projekt_2912_Projektovy_zamer_detailny-1.HistóriaDOKUMENTU"/}}1.    História DOKUMENTU =
72
73 (% class="wrapped" %)
74 |(((
75 Verzia
76 )))|(((
77 Dátum
78 )))|(((
79 Zmeny
80 )))|(((
81 Meno
82 )))
83 |(((
84 //1.0.//
85 )))|(((
86 //01.07.2024//
87 )))|(((
88 //Vypracovanie dokumentu//
89 )))|(((
90
91 )))
92 |(((
93 //1.0//
94 )))|(((
95 //22.12.2023//
96 )))|(((
97 //Zapracovanie súladu s vyhláškou č. 401/2023 Z. z.//
98 )))|(((
99
100 )))
101 |(((
102
103 )))|(((
104
105 )))|(((
106
107 )))|(((
108
109 )))
110
111 **~ **
112
113 = {{id name="projekt_2912_Projektovy_zamer_detailny-2.ÚČELDOKUMENTU,SKRATKY(KONVENCIE)ADEFINÍCIE"/}}2.    ÚČEL DOKUMENTU, SKRATKY (KONVENCIE) A DEFINÍCIE =
114
115 V súlade s Vyhláškou 401/2023 Z.z. je dokument I-02 Projektový zámer určený na rozpracovanie detailných informácií prípravy projektu, aby bolo možné rozhodnúť o pokračovaní prípravy projektu, pláne realizácie, alokovaní rozpočtu a ľudských zdrojov.
116
117
118 V súlade s Vyhláškou MIRRI SR č. 401/2023 Z. z. o riadení projektov a zmenových požiadaviek v prevádzke IT VS je dokument Prístup k projektu určený na rozpracovanie detailných informácií prípravy projektu z pohľadu aktuálneho stavu, budúceho stavu a navrhovaného riešenia.
119
120 Dokument Prístup k projektu v zmysle vyššie uvedenej vyhlášky obsahuje opis navrhovaného riešenia, architektúru riešenia projektu na úrovni biznis vrstvy, aplikačnej vrstvy, dátovej vrstvy, technologickej vrstvy, infraštruktúry navrhovaného riešenia, bezpečnostnej architektúry, špecifikáciu údajov spracovaných v projekte, čistenie údajov, prevádzku a údržbu výstupov projektu, prevádzkové požiadavky, požiadavky na zdrojové kódy. Dodávané riešenie bude v súlade so zákonom. Zároveň opisuje aj implementáciu projektu a preberanie výstupov projektu.
121
122 Hlavnou motiváciou je realizácia kyberbezpečnostných opatrení definovaných v Z.z. 69/2018 a v zákone o ISVS.
123
124 Prioritne jedná o tie opatrenia, ktoré vykazujú najväčší nesúlad s uvedenými právnymi normami a vyhláškou 362/2018 Z. z.. V dôsledku realizácie týchto opatrení budú ÚVZ SR chránené v maximálnej možnej miere pred kybernetickým incidentom, ktorý by mohol mať na poskytovanie služieb a prevádzku ÚVZ SR. 
125
126
127 Medzi základné povinnosti je prijatie a dodržiavanie všeobecných bezpečnostných opatrení pre nasledovné oblasti, ktoré sú obsahom projektu:
128
129
130 1. Prehodnoténú SM-03 Bezpečnostná politika a stratégia Úradu verejného zdravotníctva s ohľadom na požiadavky nového zákona o KB a príslušných vykonávacích predpisov,
131 1. Dopracovanú smernicu pre oblasti riadenia bezpečnosti prevádzky sietí a IS/APP,
132 1. Aktualizovanú SM-25 Smernica, ktorou sa upravuje práca s informačnými technológiami,
133 1. Nasadený nástroj na automatizáciu analýzy rizík a prehodnotenie a aktualizácia analýzy rizík podľa požiadaviek nového zákona o KB,
134 1. Spracovávanie inventarizácie aktív a ich klasifikáciu s ohľadom na IS ÚVZ a dokumentovanie vzťahov a závislostí medzi IS ÚVZ a ostatnými používanými systémami a aplikáciami na ÚVZ SR,
135 1. Prehodnotenú a spracovanú novú SOA (Security Operations Architecture) s ohľadom na novú legislatívu a jej plnenie pre oblasť kybernetickej bezpečnosti,
136 1. Zavedenú kontrolu dodržiavania bezpečnostných politík zo strany zamestnancov, administrátorov a osôb zastávajúcich niektorú z bezpečnostných rolí,
137 1. Implementovaný nástroj na detekciu kybernetických bezpečnostných incidentov, ktorý spĺňa všetky požiadavky Vyhlášky § 17, ods. 03 a ods. 04,
138 1. Navrhnutý a zdokumentovaný efektívny spôsob kontroly pre účely zaručenia, že prevádzka, používanie a manažment siete a informačného systému je v súlade s vnútornými predpismi a zmluvnými záväzkami,
139 1. Prehodnotenú a aktualizovanú smernicu v oblasti SM-51 Smernica Riadenie kontinuity procesov a činností a spracované nové BCP/DRP plány potrebné na zabezpečenie kontinuity činností podľa nového zákona o KB,
140 1. Aktualizovaná SM-44 Smernica o klasifikácii informácií na Úrade verejného zdravotníctva Slovenskej republiky,
141 1. Zanalyzované existujúce prostredie ÚVZ SR s ohľadom na vzniknutý systém IS ÚVZ a vytvorené záznamy o identifikovaných vzťahoch a súvislostiach,
142 1. Zanalyzovaný spôsob efektívnej realizácie monitoringu zariadení, činností, sietí, IS a APP v prostredí ÚVZ SR a zabezpečenú podporu pre vybraté riešenie pri jeho nasadení a spustení do prevádzky.
143
144
145 Cieľom projektu je, aby po jeho realizácii naša inštitúcia dosiahla čo možno najväčší súlad s NIS2, Zákonom o kyberbezpečnosti, ako aj Zákonom o ISVS.
146
147 **~ **
148
149 == {{id name="projekt_2912_Projektovy_zamer_detailny-2.1Použitéskratkyapojmy"/}}2.1       Použité skratky a pojmy ==
150
151
152 (% class="wrapped" %)
153 |(((
154 SKRATKA/POJEM
155 )))|(((
156 POPIS
157 )))
158 |(((
159 KIB
160 )))|(((
161 Kybernetická a informačná bezpečnosť
162 )))
163 |(((
164 IT
165 )))|(((
166 Informačné technológie
167 )))
168 |(((
169 VS
170 )))|(((
171 Verejná správa
172 )))
173 |(((
174 ITVS
175 )))|(((
176 Informačné technológie verejnej správy
177 )))
178 |(((
179 NFP
180 )))|(((
181 Nenávratný finančný príspevok
182 )))
183 |(((
184 OP SK
185 )))|(((
186 Operačný program SLovensko
187 )))
188 |(((
189 ÚVZ SR
190 )))|(((
191 Úrad verejného zdravotníctva SR
192 )))
193 |(((
194 RÚVZ
195 )))|(((
196 Regionálny úrad verejného zdravotníctva
197 )))
198 |(((
199 MZ SR
200 )))|(((
201 Ministerstvo zdravotníctva SR
202 )))
203 |(((
204 NKIVS
205 )))|(((
206 Národná koncepcia informatizácie verejnej správy
207 )))
208 |(((
209 ZoBK
210 )))|(((
211 Zákon o kybernetickej bezpečnosti
212 )))
213 |(((
214 SOA
215 )))|(((
216 Security Operations Architecture
217 )))
218 |(((
219 SOC
220 )))|(((
221 Security Operation Center
222 )))
223
224
225 == {{id name="projekt_2912_Projektovy_zamer_detailny-2.2Konvenciepretypypožiadaviek(príklady)"/}}2.2       Konvencie pre typy požiadaviek (príklady) ==
226
227
228 Zvoľte si konvenciu pre označovanie požiadaviek, súborov, atd. Hlavné kategórie požiadaviek v zmysle katalógu požiadaviek, rozdeľujeme na funkčné (funkcionálne), nefunkčné (kvalitatívne, výkonové a pod.). Podskupiny v hlavných kategóriách je možné rozšíriť podľa potrieb projektu, napríklad:
229
230 **Funkcionálne (používateľské) požiadavky **majú nasledovnú konvenciu:
231
232 **FRxx**
233
234 * U – užívateľská požiadavka
235 * R – označenie požiadavky
236 * xx – číslo požiadavky
237
238 **Nefunkčné (kvalitatívne, výkonové - Non Functional Requirements - NFR) požiadavky** majú nasledovnú konvenciu:
239
240 **NRxx**
241
242 * N – nefukčná požiadavka (NFR)
243 * R – označenie požiadavky
244 * xx – číslo požiadavky
245
246 Ostatné typy požiadaviek môžu byť ďalej definované objednávateľom/PM.
247
248 **// //**
249
250 **// //**
251
252 = {{id name="projekt_2912_Projektovy_zamer_detailny-3.DEFINOVANIEPROJEKTU"/}}3.    DEFINOVANIE PROJEKTU =
253
254
255 == {{id name="projekt_2912_Projektovy_zamer_detailny-3.1Manažérskezhrnutie"/}}3.1       Manažérske zhrnutie ==
256
257
258 Úrad verejného zdravotníctva SR ako prevádzkovateľ základnej služby zapísanej v registri prevádzkovateľov základných služieb má povinnosti, ktoré vyplývajú zo ZoKB. Medzi základné povinnosti je prijatie a dodržiavanie všeobecných bezpečnostných opatrení pre nasledovné oblasti:
259
260
261 1. Prehodnoténú SM-03 Bezpečnostná politika a stratégia Úradu verejného zdravotníctva s ohľadom na požiadavky nového zákona o KB a príslušných vykonávacích predpisov,
262 1. Dopracovanú smernicu pre oblasti riadenia bezpečnosti prevádzky sietí a IS/APP,
263 1. Aktualizovanú SM-25 Smernica, ktorou sa upravuje práca s informačnými technológiami,
264 1. Nasadený nástroj na automatizáciu analýzy rizík a prehodnotenie a aktualizácia analýzy rizík podľa požiadaviek nového zákona o KB,
265 1. Spracovávanie inventarizácie aktív a ich klasifikáciu s ohľadom na IS ÚVZ a dokumentovanie vzťahov a závislostí medzi IS ÚVZ a ostatnými používanými systémami a aplikáciami na ÚVZ SR,
266 1. Prehodnotenú a spracovanú novú SOA (Security Operations Architecture) s ohľadom na novú legislatívu a jej plnenie pre oblasť kybernetickej bezpečnosti,
267 1. Zavedenú kontrolu dodržiavania bezpečnostných politík zo strany zamestnancov, administrátorov a osôb zastávajúcich niektorú z bezpečnostných rolí,
268 1. Implementovaný nástroj na detekciu kybernetických bezpečnostných incidentov, ktorý spĺňa všetky požiadavky Vyhlášky § 17, ods. 03 a ods. 04,
269 1. Navrhnutý a zdokumentovaný efektívny spôsob kontroly pre účely zaručenia, že prevádzka, používanie a manažment siete a informačného systému je v súlade s vnútornými predpismi a zmluvnými záväzkami,
270 1. Prehodnotenú a aktualizovanú smernicu v oblasti SM-51 Smernica Riadenie kontinuity procesov a činností a spracované nové BCP/DRP plány potrebné na zabezpečenie kontinuity činností podľa nového zákona o KB,
271 1. Aktualizovaná SM-44 Smernica o klasifikácii informácií na Úrade verejného zdravotníctva Slovenskej republiky,
272 1. Zanalyzované existujúce prostredie ÚVZ SR s ohľadom na vzniknutý systém IS ÚVZ a vytvorené záznamy o identifikovaných vzťahoch a súvislostiach,
273 1. Zanalyzovaný spôsob efektívnej realizácie monitoringu zariadení, činností, sietí, IS a APP v prostredí ÚVZ SR a zabezpečenú podporu pre vybraté riešenie pri jeho nasadení a spustení do prevádzky
274
275
276 **Jednotlivé organizačné jednotky (OZ), teda regionálne úrady verejného zdravotníctva (ktorých je 36) využívajú centrálny informačný systém (IS ÚVZ), tzn. že každá OZ, ak sa stane terčom kybernetického útoku, ohrozuje fungovanie IS ÚVZ ako celku a môže spôsobiť odstavenie celého systému. V dôsledku toho je nevyhnutné, aby navrhovaným systémov disponovalo nie len ÚVZ, ale aj všetky RÚVZ.**
277
278
279 Zasielané udalosti sú v jednotlivých organizáciách na vstupe prijaté, označkované a parsované podľa technológie. Následne sú buď vhodnými základnými pravidlami produktu a implementačnými pravidlami na mieru spracované, aby bolo možné s nimi vytvárať potrebné navrhnuté scenáre. Ďalej sú uložené a vizualizované buď prostredníctvom základných nástrojov, alebo v budúcnosti vyššou formou pomocou integračnej platformy. Implementácia zahŕňa vytvorenie prístupových oprávnení v súlade s požiadavkami na viditeľnosť a spracovanie dát a následnú vizualizáciu.
280
281
282 Prevádzkové informácie budú zobrazovať aktuálne informácie o stave logovaných ICT systémov jednotlivých organizácií. Nad týmito logmi bude vykonané parsovanie a následne sa uložia do centrálneho dátového skladu, kde bude možné s týmito dátami ďalej pracovať. Primárne sa jedná o nepretržitý zber logov a monitorovanie prevádzky ICT technológií, systémov, aplikácií, stavu kybernetického a fyzického zabezpečenia a poskytovanie dát a informácií pre riešenie odchýlok a nápravných opatrení. Všetky údaje uložené v dátovom sklade budú podrobené procesu sledovania a vyhodnocovania podľa nižšie uvedených scenárov. Tým bude zabezpečené sledovanie jednotlivých systémov podľa nariadenia NIS2. Jednotlivé zistenia budú automaticky evidované v systéme na riadenie bezpečnosti, ktorý riadi všetky zistené riziká a navrhuje vhodné opatrenia. Takto evidované a riadené sledovanie logov povedie k včasnej detekcii rizík a ich okamžitej náprave.
283
284
285 Z pohľadu kompletného zberu logov bude vyhodnocované:
286
287 - prihlasovanie a odhlasovanie ku všetkým účtom, vrátane neúspešných pokusov
288
289 - vykonanie a neúspešný pokus o vykonanie privilegovanej činnosti
290
291 - manipulácia a neúspešný pokus o manipuláciu s účtami, oprávneniami a právami
292
293 - neuskutočnenie činností v dôsledku nedostatku prístupových práv alebo oprávnení
294
295 - začatie a ukončenie činností technických aktív
296
297 - kritické a chybové hlásenia technických aktív
298
299 - prístup a neúspešný pokus o prístup k záznamom udalostí
300
301 - manipulácia a neúspešný pokus o manipuláciu so záznamami udalostí
302
303 - zmenu a neúspešný pokus o zmenu nastavení nástrojov na zaznamenávanie udalostí
304
305 - ďalšie činnosti používateľov, ktoré môžu mať vplyv na bezpečnosť regulovanej služby.
306
307
308
309 **__Výsledky projektu a cieľový stav  (manažérske produkty)__**
310
311
312 **Čiastková aktivita a) Organizácia KB,**
313
314 Na základe zistených nedostatkov v oblasti riadenia kybernetickej a informačnej bezpečnosti v organizácii sa určuje nasledovný cieľový stav:
315
316 Komplexná bezpečnostná dokumentácia bude novo vypracovaná, pričom zohľadňuje predchádzajúcu dokumentáciu a jej aktualizácie vrátane rozsahu a metód dodržiavania všeobecných bezpečnostných opatrení.
317
318 Budú novo sa vyvinuté a implementované špecifické interné riadiace akty pre vybrané oblasti kybernetickej a informačnej bezpečnosti.
319
320 Bude aktualizovaný stav bezpečnostného výboru organizácie.
321
322 Bude vypracovaný bezpečnostný projekt komplexnej ochrany informačného systému verejnej správy.
323
324
325 **Čiastková činnosť b) Riadenie rizík KB**,
326
327 Na základe zistených nedostatkov v oblasti riadenia rizík kybernetickej a informačnej bezpečnosti v organizácii sa určuje nasledovný cieľový stav:
328
329 Všetky aktíva súvisiace so spracovaním informácií a centrálnym inventárnym záznamovým zariadením budú identifikované ich hodnotou a s označením ich vlastníka, ktorý definuje ich požiadavky na dôvernosť, dostupnosť a integritu (EAM).
330
331 Riadenie rizík bude automatizované pomocou nástroja, pozostávajúce z identifikácie zraniteľnosti, identifikácie hrozieb, identifikácie rizík a analýzy rizík s ohľadom na aktíva, určenia vlastníka rizika a implementácie organizačných a technických bezpečnostných opatrení, funkčnej analýzy dopadov a pravidelného prehodnocovania identifikovaných rizík v závislosti od aktualizácie prijatých bezpečnostných opatrení.
332
333 Bude implementovaný automatizovaný systém správy a registrácie pre inventarizáciu majetku (EAM/).
334
335 Bude implementovaný automatizovaný systém riadenia a registrácie pre katalogizáciu hrozieb.
336
337 Bude zavedený sa automatizovaný systém riadenia a registrácie pre katalogizáciu rizík a opatrení.
338
339
340 **Čiastková činnosť c) Personálna bezpečnosť**,
341
342 Na základe zistených nedostatkov v oblasti personálnej bezpečnosti v organizácii je stanovený nasledovný cieľový stav:
343
344 Bude vyvinutý postup na priradenie osoby k jednej z rolí zabezpečenia
345
346 Bude zavedený plán na rozvoj bezpečnostného povedomia a vzdelávania
347
348 Bude vyvinutá  metóda hodnotenia účinnosti rozvojového plánu bezpečnostného povedomia
349
350 Budú určené  pravidlá a postupy pri riešení porušení bezpečnostnej politiky
351
352 Budú zavedené postupy na ukončenie pracovného pomeru
353
354 Budú zavedené postupy pre prípady porušenia bezpečnostných politík
355
356 Bude vypracovaný a aktualizovaný  akt vnútorného riadenia s bezpečnostnými zásadami pre koncových používateľov
357
358 Postupy a procesy, ktorými sa riadi personálna bezpečnosť organizácie, budú vypracované a implementované prostredníctvom interného riadiaceho aktu.
359
360 Bude vyhotovený automatizovaný systém riadenia a evidencie pre prácu s organizačnou štruktúrou je implementovaný s prepojením na technické získavanie existujúcich informácií z dostupných technických zdrojov – najmä MS AD.
361
362
363 **Čiastková aktivita k) Zaznamenávanie udalostí a monitoring sietí a IS,**
364
365 Na základe zistených nedostatkov v oblasti zaznamenávania a monitorovania udalostí je stanovený nasledovný cieľový stav:
366
367 Implementovaný bude centrálny log management systém pre zber a ukladanie logov z jednotlivých informačných systémov s podporou napojenia na riadiace systémy a poskytovania potrebných podporných dát.
368
369 Bude vypracovaná  dokumentácia metód monitorovania a fungovania systému správy log a centrálneho nástroja na monitorovanie bezpečnosti a bude definovaný  spôsob evidencie prevádzkových záznamov, ich vyhodnocovanie, spôsoby hlásenia podozrivej činnosti, zodpovedné osoby a ďalšie povinnosti.
370
371 Vytvorí sa špecifikácia všetkých udalostí, ktoré sa musia zaznamenávať, a súvisiaca konfigurácia prvkov informačných technológií verejnej správy vrátane dokumentácie rozsahu údajov zaznamenaných v protokolových súboroch.
372
373 Bude vypracovaný sa vnútorný zákon o riadení, ktorý obsahuje a upravuje povinnosti stanovené platnou legislatívou.
374
375
376
377
378
379 == {{id name="projekt_2912_Projektovy_zamer_detailny-3.2Cieleprojektu"/}}3.2       Ciele projektu ==
380
381
382 Do tabuliek nižšie doplniť CIEĽ /CIELE PROJEKTU, ich mapovanie na strategické ciele (napr. z NKIVS, KRIT a iných strategických dokumentov) a súvisiace merateľné ukazovatele (KPI- key performance indicators). Ciele musia byť S.M.A.R.T. - konkrétne, merateľné, dosiahnuteľné, relevantné, časovo ohraničené.
383
384
385 (% class="wrapped" %)
386 |(((
387 ID
388 )))|(((
389
390
391
392 Názov cieľa
393 )))|(((
394 Názov strategického cieľa
395 )))|(((
396 Spôsob realizácie strategického cieľa
397 )))
398 |(((
399 ...
400 )))|(((
401
402 )))|(((
403 ...
404 )))|(((
405 ...
406 )))
407 |(((
408 ...
409 )))|(((
410
411 )))|(((
412 ...
413 )))|(((
414 ...
415 )))
416
417 **~ **
418
419 == {{id name="projekt_2912_Projektovy_zamer_detailny-3.3Merateľnéukazovatele(KPI)"/}}3.3       Merateľné ukazovatele (KPI) ==
420
421
422 (% class="wrapped" %)
423 |(((
424 ID
425 )))|(((
426
427
428
429 ID/Názov cieľa
430 )))|(((
431 Názov
432 ukazovateľa (KPI)
433 )))|(((
434 Popis
435 ukazovateľa
436 )))|(((
437 Merná jednotka
438
439 )))|(((
440 AS IS
441 merateľné hodnoty
442 (aktuálne)
443 )))|(((
444 TO BE
445 Merateľné hodnoty
446 (cieľové hodnoty)
447 )))|(((
448 Spôsob ich merania
449 )))|(((
450 Pozn.
451 )))
452 |(((
453 ...
454 )))|(((
455
456 )))|(((
457 ...
458 )))|(((
459 ...
460 )))|(((
461 ...
462 )))|(((
463 ...
464 )))|(((
465 ...
466 )))|(((
467 ...
468 )))|(((
469 ...
470 )))
471 |(((
472 ...
473 )))|(((
474
475 )))|(((
476 ...
477 )))|(((
478 ...
479 )))|(((
480 ...
481 )))|(((
482 ...
483 )))|(((
484 ...
485 )))|(((
486 ...
487 )))|(((
488 ...
489 )))
490 |(((
491 ...
492 )))|(((
493
494 )))|(((
495 ...
496 )))|(((
497 ...
498 )))|(((
499 ...
500 )))|(((
501 ...
502 )))|(((
503 ...
504 )))|(((
505 ...
506 )))|(((
507 ...
508 )))
509
510
511 Vysvetlivky k vyplneniu tabuľky:
512
513 * Vzory merateľných ukazovateľov pre projekt sú publikované v Checkliste pre agendu Merateľné ukazovatele/KPI ([[https:~~/~~/www.mirri.gov.sk/sekcie/informatizacia/riadenie-kvality-qa/riadenie-kvality-qa/index.html>>url:https://www.mirri.gov.sk/sekcie/informatizacia/riadenie-kvality-qa/riadenie-kvality-qa/index.html||shape="rect"]] )
514 * **AS IS merateľné ukazovatele** – t. j. popíšte, aké merateľné ukazovatele máte teraz (vpíšte výsledky meraní – v merateľných jednotkách) .
515 * **TO BE merateľné ukazovatele** – t. j. popíšte cieľové merateľné ukazovatele, ktoré chcete dosiahnuť.
516 * Odporúčame, aby váš budúci IS mal automatizovaný monitoring (na pravidelnej báze, napr. týždenne) vami stanovených merateľných ukazovateľov – s cieľom, aby ste mohli riadiť službu, produkt, proces, ľudí
517 * V prípade financovania cez zdroje EÚ uvádzať aj Projektové merateľné ukazovatele z operačného programu (špecifické ciele, merateľné ukazovatele atď).
518
519 .
520
521 == {{id name="projekt_2912_Projektovy_zamer_detailny-3.4Rizikáazávislosti"/}}3.4       Riziká a závislosti ==
522
523
524 **Zoznam rizík a závislostí realizácie projektu:**
525
526 **Realizácia projektu na zabezpečenie kyberbezpečnosti financovaného z fondov EÚ môže čeliť viacerým rizikám.**
527
528
529 1. **Nedodržanie harmonogramu aktivít**
530
531 Riziko spočíva v nedodržiavaní harmonogramu aktivít projektu, ktoré by vyústilo do oneskorenia projektu.
532
533
534 __Opatrenia na elimináciu:__
535
536 V rámci prípravy projektu bol harmonogram jednotlivých aktivít zostavený tak aby zodpovedal možnostiam žiadateľa.
537
538
539 Na elimináciu rizika nedodržania harmonogramu aktivít projektu je potrebné prijať niekoľko opatrení, ktoré zabezpečia efektívne riadenie času a zdrojov. Tu sú niektoré z nich:
540
541
542 1. a) Dôkladné plánovanie:
543
544 - žiadateľ má vypracovaný detailný projektový plán so všetkými aktivitami, úlohami a milníkmi.
545
546 - žiadateľ využil osvedčené metódy plánovania, ako sú Ganttove diagramy alebo PERT (Program Evaluation and Review Technique).
547
548
549 1. b) Realistické časové odhady:
550
551 -  v rámci žiadosti boli stanoviné realistické časové rámce pre jednotlivé aktivity na základe skúseností a po porade s odbornými konzultantmi,
552
553 - do riadenia a plánovania bol zapojený projektový tím, ktorý bude úlohy vykonávať, aby sa zabezpečila realistickosť odhadov.
554
555
556 1. c) Identifikácia kritických ciest:
557
558 -  žiadateľ určil kritické cesty (critical paths) v projekte, ktoré majú najväčší vplyv na celkový harmonogram.
559
560 -  žiadateľ bude pravidelne sledovať postup na týchto kritických cestách a zabezpečí, aby nedošlo k žiadnym oneskoreniam.
561
562
563 1. d) Rezervy na nepredvídané udalosti:
564
565 -  žiadateľ v rámci stanovenia aktivity projektu zahrnúl do plánu časové rezervy (buffer times) na pokrytie nepredvídaných udalostí alebo oneskorení.
566
567 -  projektový a odborný tím žiadateľa je pripravený flexibilne prispôsobiť plán pri výskyte neočakávaných situácií.
568
569
570 1. e) Pravidelný monitoring a kontrola:
571
572 -  žiadateľ bude mať v rámci realizácie projektu zavedený zavedený systém pravidelného monitorovania postupu projektu a porovnávania s harmonogramom.
573
574 -  súčasne budú používané softvérové nástroje na riadenie projektov, ktoré umožňujú sledovanie priebehu v reálnom čase.
575
576
577 1. f) Efektívna komunikácia:
578
579 -  žiadateľ má zavedené pravidelné stretnutia projektového tímu na hodnotenie postupu a riešenie problémov.
580
581 -  žiadateľ zabezpečí udržiavať otvorenú a transparentnú komunikáciu medzi všetkými členmi tímu a zainteresovanými stranami.
582
583
584 1. g) Riadenie rizík:
585
586 -  žiadateĺ identifikoval potenciálne riziká, ktoré by mohli ovplyvniť harmonogram, a vypracovať plány na ich zmiernenie.
587
588 - žiadateľ bude pravidelne aktualizovať rizikový register a prijímať preventívne opatrenia.
589
590
591 1. h) Dostatočné zdroje:
592
593 -  žiadateľ má zabezpečené, aby mal projektový tím k dispozícii všetky potrebné zdroje vrátane personálu, technológií a financií.
594
595 - žiadateľ bude riešiť prípadné nedostatky zdrojov čo najskôr, aby nedošlo k oneskoreniam.
596
597
598 1. i) Flexibilita a adaptabilita:
599
600 -  žiadateľ je pripravený prispôsobiť harmonogram podľa aktuálnych podmienok a vývoja situácie.
601
602 -  žiadateľ bude mať zavedené spolu s projektovými tímom procesy pre rýchlu reakciu na zmeny a úpravu plánov.
603
604
605 **Závažnosť tohto rizika však považujeme za nízku, vzhľadom na zabezpečenie účinných opatrení na elimináciu.**
606
607
608
609 1. **Nedosiahnutie plánovaných hodnôt merateľných ukazovateľov**
610
611 Hoci v rámci projektu sa nesledujú také merateľné ukazovatele, ktoré by boli merateľnými ukazovateľmi s príznakom, žiadateľ si uvedomuje možné riziká súvisiace s nenaplnením merateľných ukazovateľov.
612
613
614 __Opatrenia na elimináciu rizika:__
615
616 Keďže merateľné ukazovatele sú odrazom úspešného naplnenia jednotlivých aktivít, prijímateľ prijal alebo prijme najmä nasledovné opatrenia:
617
618 Prijímateľ dlhoročne realizuje projekty financované s fondov EÚ. Samotný projekt vyplýva z jeho dlhodobých  plánov a preto celé jeho nastavenie je podrobne analyzované vrátane nastavenia časového harmonogramu a cieľových hodnôt merateľných ukazovateľov.Prijímateľ do realizácie projektu zapojil odborných zamestnancov spoločnosti, aby bolo zaručené dosiahnutie plánovaných výsledkov.
619
620
621 Aby sa eliminovalo riziko nedosiahnutia plánovaných hodnôt merateľných ukazovateľov v rámci projektu, môžu byť prijaté nasledujúce opatrenia:
622
623
624 1. a) Precízne plánovanie a nastavenie realistických cieľov:
625
626 - V projekte sú definované jasné a realistické ciele a merateľné ukazovatele (KPIs) na základe dôkladnej analýzy, prípravy projektu a prieskumu trhu.
627
628 - Žiadateľ využil  historické údaje a osvedčené metódy na stanovenie cieľov.
629
630
631 1. b) Pravidelný monitoring a hodnotenie:
632
633 - žiadateľ zavedie v rámci realizácie projektu systém pravidelného monitoringu a hodnotenia postupu dosahovania cieľov.
634
635 - žiadateľ zavedie v rámci realizácie projektu  mechanizmy na pravidelné správy a analýzy progresu.
636
637
638 1. c) Flexibilita a adaptabilita:
639
640 -  projektový tím žiadateľa je pripravený prispôsobiť plány a stratégie na základe zistení z monitoringu.
641
642 - žiadateľ počs realizácie projektu zavedie procesy pre rýchlu reakciu na neočakávané udalosti alebo zmeny v externom prostredí.
643
644
645 1. d) Zabezpečenie potrebných zdrojov:
646
647 - žiadateľ identifikoval a zabezpečil všetky potrebné zdroje vrátane finančných, ľudských a technologických potrebných na úspešnú realizáciu projektu,
648
649 -  žiadateľ bude pravidelne preverovať dostupnosť zdrojov a riešiť prípadné nedostatky.
650
651
652 1. e) Kvalitný projektový manažment:
653
654 - žiadateľ disponuje skúsenými a certifikovanými projektovými manažérmi, ktorý skúsenosti sú uvedené v časti 7.4. ŽoNFP,
655
656 - žiadateľ  bude využívať pri realizácii projektu osvedčené metodiky projektového riadenia, ako sú PRINCE2, PMI alebo Agile.
657
658
659 1. f) Zapojenie všetkých zainteresovaných strán:
660
661 -  žiadateľ prostredndíctvom projektového tímu zabezpečí, aby všetci zainteresovaní boli  dostatočne informovaní a zapojení do projektu.
662
663 -  žiadateľ plánuje organizovať pravidelné stretnutia a konzultácie s projektovým tímom a relevantnými stranami na získanie spätnej väzby a podpory pri realizácii projektu,
664
665
666 1. g) Rizikový manažment:
667
668 - Identifikovať potenciálne riziká spojené s dosahovaním ukazovateľov a vypracovať plány na ich zmiernenie.
669
670 - Pravidelne aktualizovať rizikový register a prijímať preventívne opatrenia.
671
672
673 1. h) Komunikácia a transparentnosť:
674
675 - Zabezpečiť otvorenú a transparentnú komunikáciu o postupoch a výsledkoch.
676
677 - Informovať tím a vedenie o aktuálnom stave a prípadných problémoch.
678
679
680 1. i) Kontrola a audit:
681
682 - Zaviesť interné a externé kontroly a audity na preverenie plnenia merateľných ukazovateľov.
683
684 - Implementovať odporúčania z auditov na zlepšenie procesov a výkonnosti.
685
686
687 **Závažnosť tohto rizika však považujeme za nízku, vzhľadom na zabezpečenie účinných opatrení na elimináciu.**
688
689
690 1. **Nedostatky v dodávkach od externých dodávateľov**
691
692 Nedodržiavanie termínov zo strany externých dodávateľov služieb a tovarov. Dodávateľ(lia) služieb a tovarov, ktorý vzíde z procesu verejného obstarávania nebude dodržiavať harmonogram prác a dodávok, resp. bude v omeškaní.
693
694
695 __Opatrenia na elimináciu rizika: __
696
697 Projektový manažér bude pravidelne komunikovať s dodávateľom, konzultovať prípadné omeškania, hľadať riešenia. V rámci realizácie projektu budú organizované pravidelné zasadnutia Riadiaceho výboru. Postihy za škody a omeškania budú definované v rámci zmluvy o dodávke tovaru, resp. poskytnutí služieb. Ďalším opatrením je už dnes realizovaná kontrola kvality externých dodávateľov zo strany žiadateľa. Súčasne bude žiadateľ starostlivo vyberať dodávateľov na základe ich schopností a referencií. V rámci procesu verejného obstarávania budú zavedené jasné zmluvné podmienky a dohodnúť si pravidelné kontroly plnenia záväzkov, vrátane finančných sankciíí.  Žiadateľ bude sa bude usilovať o diverzifikovanie dodávateľov, aby sa minimalizovala závislosť na jedinom zdroji. Podmienkou žiadateľa bude  implementovať osvedčené technológie a riešenia, ktoré sú už overené na trhu. Žiadateľ zároveň planuje investovať do školení a certifikácií pre zamestnancov, aby mali potrebné zručnosti a vedomosti.
698
699
700 Závažnosť tohto rizika však považujeme za nízku, vzhľadom na zabezpečenie účinných opatrení na elimináciu.
701
702
703
704 **__Na základe vykonanej analýzy rizík ohrozujúcich úspešnú realizáciu projektu možno konštatovať, že menej ako 10 % rizík z celkového počtu identifikovaných rizík v ŽoNFP je s vysokou závažnosťou, ktoré ohrozujú úspešnú realizáciu projektu.__**
705
706
707 = {{id name="projekt_2912_Projektovy_zamer_detailny-4.SúčasnáarchitektúraprevádzkovanýCHIS"/}}4.    Súčasná architektúra prevádzkovanýCH IS =
708
709
710 **__ÚVZ SR, ako aj jednotlivé RÚVZ spoločne používajú IS ÚVZ.__**
711
712
713 **__[[image:attach:image-2024-8-12_9-58-40.png||height="400"]]__**
714
715
716 **__[[image:attach:image-2024-8-12_9-58-58.png||height="400"]]__**
717
718 **__[[image:attach:image-2024-8-12_9-59-20.png||height="400"]]__**
719
720 = {{id name="projekt_2912_Projektovy_zamer_detailny-5.ROZPOČETAPRÍNOSY"/}}5.    ROZPOČET A PRÍNOSY =
721
722
723 **__Rozpočet projektu je detailne špecifikovaný v časti 11. Rozpočet projektu v rám ci predloženej ŽoNFP.__**
724
725
726 **__Základné ciele projektu:__**
727
728 * Aktualizácia stratégie kybernetickej bezpečnosti,
729 * Aktualizácie bezpečnostnej politiky KB vrátane implementačnej dokumentácie, v súlade s  Príloha – Manažérske Produkty,
730 * Vykonávanie inventarizácie aktív, klasifikácie informácií a kategorizácie sietí a interných systémov,
731 * Stabilizácia riadenia rizík – aktualizácia analýzy rizík a analýzy dopadov a nasadenie nástroja Asset Inventory, Threats, Risks and Measures (EAM/),
732 * Implementácia nástroja na zaznamenávanie a monitorovanie udalostí (Log Management)
733 * Implementácia auditu KB, procesu riadenia a kontroly dodržiavania predpisov.
734
735 = {{id name="projekt_2912_Projektovy_zamer_detailny-6.HARMONOGRAMJEDNOTLIVÝCHFÁZPROJEKTUaMETÓDAJEHORIADENIA"/}}6.    HARMONOGRAM JEDNOTLIVÝCH FÁZ PROJEKTU a METÓDA JEHO RIADENIA =
736
737
738 **__Harmonogram projektu je uvedený v časti 9. Harmonogram realizácie aktivít predloženej ŽoNFP.__**
739
740
741 **Projekt bude realizovaný metódou Waterfall:**
742
743 Waterfall - vodopádový prístup počíta s detailným naplánovaním jednotlivých krokov a následnom dodržiavaní postupu pri vývoji alebo realizácii projekty. Projektovému tímu je daný minimálny priestor na zmeny v priebehu realizácie. Vodopádový prístup je vhodný a užitočný v projektoch, ktorý majú jasný cieľ a jasne definovateľný postup a rozdelenie prác.
744
745
746 Objednávateľ projektu vypracuje funkčnú a technickú špecifikáciu,
747
748 // [[image:attach:image-2024-8-12_10-0-24.png||height="400"]]//
749
750
751 Dokumenty obsahujúce informácie klasifikované ako chránené a prísne chránené podľa Vyhlášky č.362/2018 Z.z., ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení budú v rámci projektu odovzdávané v elektronickej podobe šifrovane pomocou PGP kľúčov, ktoré si žiadateľ a dodávateľ na začiatku projektu vymenia.
752
753
754 Pri akceptácii budú vyhotovované vopred definované akceptačné kritéria a požiadavky z katalógu funkčných a nefunkčných požiadaviek vzťahujúce sa k jednotlivým míľnikom projektu.
755
756
757 Metóda riadenia "Waterfall" (vodopád) je jedným z najtradičnejších prístupov k riadeniu projektov v oblasti IT. Tento model je lineárny a sekvenčný, čo znamená, že každá fáza projektu musí byť dokončená pred začiatkom ďalšej. Tieto fázy sú nasledovné:
758 \\1. Požiadavky (Requirements):*
759 - V tejto počiatočnej fáze sú zhromaždené všetky požiadavky na systém. Ide o veľmi dôležitý krok, pretože chyby v požiadavkách môžu mať vážne následky v neskorších fázach. Dokumentujú sa všetky požiadavky zákazníka, funkčné aj nefunkčné, a výsledkom je detailná špecifikácia požiadaviek.
760 \\2. Analýza systému (System Design):
761 - Po dokončení zhromažďovania požiadaviek sa prejde k analýze systému a návrhu. Táto fáza zahŕňa vytvorenie architektúry systému, technických špecifikácií a návrhu softvéru, ktorý bude schopný splniť všetky definované požiadavky.
762 \\3. Implementácia (Implementation):
763 - Po schválení návrhu systému sa začne s implementáciou, teda s programovaním a kódovaním systému podľa navrhnutých špecifikácií. Výsledkom tejto fázy je hotový softvér.
764 \\4. Integrácia a testovanie (Integration and Testing):
765 - V tejto fáze sa jednotlivé komponenty systému integrujú a testujú sa ako celok, aby sa overilo, či systém funguje podľa očakávaní a splňuje všetky špecifikované požiadavky. Testovanie zahŕňa rôzne typy testov, vrátane funkčných, integračných a systémových testov.
766 \\5. Nasadenie (Deployment):
767 - Po úspešnom testovaní sa systém nasadí do produkčného prostredia. Táto fáza môže zahŕňať aj školenie používateľov a prípravu dokumentácie pre používateľov.
768 \\6. Údržba (Maintenance):
769 - Po nasadení systému začína fáza údržby, ktorá zahŕňa opravy chýb, aktualizácie a vylepšenia systému na základe spätnej väzby od používateľov a meniace sa požiadavky.
770 \\**Výhody Waterfall modelu**:
771 - Jednoduchosť a jasná štruktúra:*Každá fáza má jasne definovaný začiatok a koniec.
772 - Dobre zdokumentovaný proces: Všetky požiadavky a kroky sú detailne zdokumentované.
773 - Jednoduché riadenie:*Jednoduché plánovanie a sledovanie pokroku projektu.
774 \\\\Waterfall model je ideálny pre projekty, kde sú požiadavky jasne definované a stabilné, a kde sa očakáva, že projekt prebehne bez veľkých zmien. V súčasnosti sa však stále častejšie využívajú agilné prístupy, ktoré lepšie vyhovujú dynamickým a meniacim sa požiadavkám projektov.
775
776
777 **__Kvantitatívne prínosy projektu:__**
778
779 * Zníženie nákladov spojených so sanáciou KBU/KBI
780 * Zníženie nákladov spojených s elimináciou následkov reaktívnych KBI
781
782
783 **__Kvalitatívne prínosy projektu:__**
784
785 * Zníženie rizika KBI,
786 * Zvýšenie súladu s platnou legislatívou,
787 * Zvyšovanie úrovne kybernetickej a informačnej bezpečnosti,
788 * Zvýšenie detekcie KBI,
789 * Zvýšte spokojnosť a dôveru používateľov,
790
791
792
793 **__Popis cieľového stavu__**
794
795 **__Základné ciele projektu:__**
796
797 * Aktualizácia stratégie kybernetickej bezpečnosti,
798 * Aktualizácie bezpečnostnej politiky KB vrátane implementačnej dokumentácie, v súlade s Príloha – Manažérske Produkty,
799 * Vykonávanie inventarizácie aktív, klasifikácie informácií a kategorizácie sietí a interných systémov,
800 * Stabilizácia riadenia rizík – aktualizácia analýzy rizík a analýzy dopadov a nasadenie nástroja Asset Inventory, Threats, Risks and Measures (EAM/),
801 * Implementácia nástroja na zaznamenávanie a monitorovanie udalostí (Log Management)
802 * Implementácia auditu KB, procesu riadenia a kontroly dodržiavania predpisov.
803
804
805 = {{id name="projekt_2912_Projektovy_zamer_detailny-7.PROJEKTOVÝTÍM"/}}7.    PROJEKTOVÝ TÍM =
806
807
808 **__Projektový tím je detailne popísaný v predloženej ŽoNFP, časť 7.5 Prevádzková kapacita žiadateľa.__**
809
810
811
812 (% class="wrapped" %)
813 |(((
814 ID
815 )))|(((
816 Meno a Priezvisko
817 )))|(((
818 Pozícia
819 )))|(((
820 Oddelenie
821 )))|(((
822 Rola v projekte
823 )))
824 |(((
825 1.
826 )))|(((
827 Doplniť meno a priezvisko
828 )))|(((
829 Doplniť pozíciu (pracovné zaradenie v línii)
830 )))|(((
831 Doplniť názov org. útvaru
832 )))|(((
833 Doplniť rolu v projekte
834 )))
835 |(((
836 2.
837 )))|(((
838 Doplniť meno a priezvisko
839 )))|(((
840 Doplniť pozíciu (pracovné zaradenie v línii)
841 )))|(((
842 Doplniť názov org. útvaru
843 )))|(((
844 Doplniť rolu v projekte
845 )))
846 |(((
847 3.
848 )))|(((
849 Doplniť meno a priezvisko
850 )))|(((
851 Doplniť pozíciu (pracovné zaradenie v línii)
852 )))|(((
853 Doplniť názov org. útvaru
854 )))|(((
855 Doplniť rolu v projekte
856 )))
857
858
859 **Vzor organizačnej štruktúry**
860
861 **[[image:attach:image-2024-8-12_10-1-34.png||height="400"]]**
862
863 **[[image:attach:image-2024-8-12_10-1-45.png||height="68"]]**
864
865 = {{id name="projekt_2912_Projektovy_zamer_detailny-8.VÝSLEDKYPROJEKTU"/}}8.    VÝSLEDKY PROJEKTU =
866
867
868 VÝSLEDKOM PROJEKTU JE ZABEZPEČENIE SÚLADU SO SMERNICOU NIS2 a Zákonom o kybernetickej bezpečnosti Slovenskej republiky (Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti)
869
870
871 Realizáciou vyššie uvedenej aktivity, dosiahne žiadateľ súlad so Smernicou NIS2 a Zákonom o kybernetickej bezpečnosti Slovenskej republiky (Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti). Tieto aktivity pokrývajú širokú škálu oblastí vrátane bezpečnostnej politiky, správy rizík, ochrany proti škodlivému kódu, inventarizácie aktív, bezpečnosti sietí a informačných systémov, kontroly prístupu, riadenia zraniteľností, monitoringu, kontinuity činností a incident managementu.
872
873
874 __Tu je prehľad, ako tieto aktivity pomáhajú dosiahnuť súlad:__
875
876
877 1. __Bezpečnostná politika a stratégia:__ Prehodnotenie a aktualizácia bezpečnostnej politiky a stratégie zabezpečuje, že organizácia má správne nastavený rámec pre kybernetickú bezpečnosť v súlade s legislatívou.
878 1. __Smernice a procesy :__ Aktualizácia a vytváranie nových smerníc pre rôzne oblasti kybernetickej bezpečnosti zabezpečuje, že všetky činnosti sú vykonávané v súlade s novými požiadavkami Zákona a NIS2.
879 1. __Riadenie rizík:__ Nasadenie nástrojov na automatizáciu analýzy rizík a aktualizácia analýzy rizík zabezpečuje, že riziká sú riadne identifikované, hodnotené a riadené.
880 1. __Inventarizácia aktív:__ Spracovanie inventarizácie aktív a ich klasifikácia pomáha organizácii identifikovať a spravovať svoje informačné aktíva, čo je kľúčové pre ochranu citlivých informácií.
881 1. __Log management:__ Implementácia nástrojov a procesov na detekciu a riadenie kybernetických bezpečnostných incidentov zabezpečuje, že organizácia môže efektívne zvládať incidenty a minimalizovať ich dopad.
882
883
884 Realizácia týchto aktivít predstavuje komplexný prístup k dosiahnutiu súladu s NIS2 a Zákonom o kybernetickej bezpečnosti, čím sa zabezpečuje ochrana kritickej infraštruktúry a citlivých informácií v súlade s aktuálnymi požiadavkami.
885
886 = {{id name="projekt_2912_Projektovy_zamer_detailny-9.PRÍLOHY"/}}9.    PRÍLOHY =
887
888
889 **Príloha : **Zoznam rizík a závislostí (Excel): [[//https:~~/~~/www.mirri.gov.sk/sekcie/informatizacia/riadenie-kvality-qa/riadenie-kvality-qa/index.html//>>url:https://www.mirri.gov.sk/sekcie/informatizacia/riadenie-kvality-qa/riadenie-kvality-qa/index.html||shape="rect"]]
890
891 // //
892
893
894