Version 2.1 by marian_spisiak2 on 2024/09/09 16:26
Show last authors
1 **PRÍSTUP K PROJEKTU**
2
3 **~ Vzor pre manažérsky výstup I-03**
4
5 **podľa vyhlášky MIRRI č. 401/2023 Z. z. **
6
7 \\
8
9 (% class="" %)|(((
10 Povinná osoba
11 )))|(((
12 DataCentrum
13 )))
14 (% class="" %)|(((
15 Názov projektu
16 )))|(((
17 Zvýšenie bezpečnosti pre IS RVO a CES
18 )))
19 (% class="" %)|(((
20 Zodpovedná osoba za projekt
21 )))|(((
22 Peter Holba
23 )))
24 (% class="" %)|(((
25 Realizátor projektu
26 )))|(((
27 DataCentrum
28 )))
29 (% class="" %)|(((
30 Vlastník projektu
31 )))|(((
32 PhDr. Eduard Jambor, PhD., LL.M
33 )))
34
35 **~ **
36
37 **Schvaľovanie dokumentu**
38
39 (% class="" %)|(((
40 Položka
41 )))|(((
42 Meno a priezvisko
43 )))|(((
44 Organizácia
45 )))|(((
46 Pracovná pozícia
47 )))|(((
48 Dátum
49 )))|(((
50 Podpis
51
52 (alebo elektronický súhlas)
53 )))
54 (% class="" %)|(((
55 Vypracoval
56 )))|(((
57 Peter Holba
58 )))|(((
59 DataCentrum
60 )))|(((
61 projektový manažér
62 )))|(((
63 \\
64 )))|(((
65 \\
66 )))
67 (% class="" %)|(((
68 Schválil
69 )))|(((
70 PhDr. Eduard Jambor, PhD., LL.M
71 )))|(((
72 DataCentrum
73 )))|(((
74 riaditeľ
75 )))|(((
76 \\
77 )))|(((
78 \\
79 )))
80
81 **~ **
82
83 = {{id name="projekt_2971_Pristup_k_projektu_detailny-1.Históriadokumentu"/}}1.    História dokumentu =
84
85 (% class="" %)|(((
86 Verzia
87 )))|(((
88 Dátum
89 )))|(((
90 Zmeny
91 )))|(((
92 Meno
93 )))
94 (% class="" %)|(((
95 1.0
96 )))|(((
97 24.7.2024
98 )))|(((
99 Iniciálna verzia
100 )))|(((
101 Peter Holba
102 )))
103 (% class="" %)|(((
104 \\
105 )))|(((
106 \\
107 )))|(((
108 \\
109 )))|(((
110 \\
111 )))
112 (% class="" %)|(((
113 \\
114 )))|(((
115 \\
116 )))|(((
117 \\
118 )))|(((
119 \\
120 )))
121
122 \\
123
124 = {{id name="projekt_2971_Pristup_k_projektu_detailny-2.Účeldokumentu"/}}2.    Účel dokumentu =
125
126 \\
127
128 Dokument je určený na rozpracovanie informácií k projektu „ Zvýšenie bezpečnosti pre IS RVO a CES“ k službám
129
130 prevádzkovaným v DataCentre, ktorý zahŕňa nákup hardvéru, bezpečnostnej infraštruktúry firewallov, softvéru a subskripcií, sieťových prvkov potrebných na obmenu a doplnenie existujúcej bezpečnostnej Checkpoint infraštruktúry v lokalite ZVS poskytujúcej kľúčové bezpečnostné služby pre informačné systémy IS CES a IS RVO.
131
132 \\
133
134 \\
135
136 == {{id name="projekt_2971_Pristup_k_projektu_detailny-2.1Použitéskratkyapojmy"/}}2.1      Použité skratky a pojmy ==
137
138 \\
139
140 (% class="" %)|(((
141 SKRATKA/POJEM
142 )))|(((
143 POPIS
144 )))
145 (% class="" %)|(((
146 IS CES
147 )))|(((
148 Informačný systém Centrálny Ekonomický Systém
149 )))
150 (% class="" %)|(((
151 IS RVO
152 )))|(((
153 Informačný systém Register vyhradených osôb
154 )))
155
156
157
158 \\
159
160 = {{id name="projekt_2971_Pristup_k_projektu_detailny-3.Popisnavrhovanéhoriešenia"/}}3.    Popis navrhovaného riešenia =
161
162 \\
163
164 Navrhované riešenie predstavuje obmenu hardvéru bezpečnostnej infraštruktúry poskytujúcej kľúčové bezpečnostné služby pre informačné systémy. Riešenie zároveň umožní požadovaný rozvoj aplikačného programového vybavenia a dokáže obslúžiť pripravované projekty.
165
166 \\
167
168 Riešenie pozostáva z nasledovných celkov:
169
170 \\
171
172 1. Obmena hardvérového vybavenia bezpečnostnej infraštruktúry, doplnenie platformy jednotného manažmentu pre bezpečnostné zariadenia a zabezpečenie zariadení sieťovej konektivity pre nové zariadenia
173 1. Optimalizácia bezpečnostnej politiky na modernizovaných zariadeniach, migrácia existujúcich služieb a konfigurácií na nové zaraidenia, zabezpečenie vysokej dostupnosti novoinštalovanej architektúry pre existujúce požiadavky spomínaných informačných systémov
174 1. Príprava bezpečnostnej infraštruktúry na ďalší rozvoj a integráciu novo pripravovaných projektov s najvyššími bezpečnostnými nárokmi v súlade s aktuálnymi architektonickými koncepciami
175
176 \\
177
178 \\
179
180 Hlavnými prínosmi modernizácie sú:
181
182 \\
183
184 1. Zabezpečenie technologického lifecycle bezpečnostných technológií Checkpoint v ZVS
185 1. Zabezpečenie splnenie nových požiadaviek na výkonnosť, robustnosť a redundanciu bezpečnostných technológií Checkpoint
186 1. Umožniť ďalší rozvoj a posilnenie bezpečnosti IS systémov DataCentra vďaka novej funkcionalite dostupnej vďaka technologickému lifecycle prvkov Checkpoint a zabezpečeniu efektívneho manažmentu skrz existujúce lokality organizácie DataCentrum
187 1. Doplnenie zariadení zabezpečujúcich potrebnú sieťovú konektivitu pre nové bezpečnostné zariadenia
188 1. Zosúladenie s aktuálnymi požiadavkami na úroveň bezpečnosti a manažmentu bezpečnostných udalostí a politík v rámci prostredia DataCentra
189
190 \\
191
192 Navrhované riešenie počíta s umiestnením hardvéru do lokality ZVS a umiestnením Log servera do locality DC Cintorínska pre zabezpečenie vysokej dostupnosti.
193
194 \\
195
196 Zachovanie existujúcej architektúry zabezpečí dostatočnú flexibilitu pri nasadzovaní nových riešení v infraštruktúre zákazníka pri zachovaní existujúcich architektonických pravidiel
197
198 Implementácia riešenia pozostáva z nasadenia nového HW v rámci locality ZVS. Pričom potrebné konfigurácie budú prenesené na ďalšie lokality podľa potreby.
199
200 \\
201
202 \\
203
204 = {{id name="projekt_2971_Pristup_k_projektu_detailny-4.Architektúrariešeniaprojektu"/}}4.    Architektúra riešenia projektu =
205
206 \\
207
208 == {{id name="projekt_2971_Pristup_k_projektu_detailny-4.1Biznisvrstva"/}}4.1      Biznis vrstva ==
209
210 \\
211
212 Nie je relevantné pre projekt. Cieľom projektu sa realizuje zvýšenie bezpečnosti pre informačné systémy prevádzkované v DataCentre. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.
213
214 \\
215
216 \\
217
218 == {{id name="projekt_2971_Pristup_k_projektu_detailny-4.2Aplikačnávrstva"/}}4.2      Aplikačná vrstva ==
219
220 \\
221
222 Nie je relevantné pre projekt. Cieľom projektu sa realizuje zvýšenie bezpečnosti pre informačné systémy prevádzkované v DataCentre. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.
223
224 \\
225
226 \\
227
228 \\
229
230 == {{id name="projekt_2971_Pristup_k_projektu_detailny-4.3Dátovávrstva"/}}4.3      Dátová vrstva ==
231
232 \\
233
234 Nie je relevantné pre projekt. Cieľom projektu sa realizuje zvýšenie bezpečnosti pre informačné systémy prevádzkované v DataCentre. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.
235
236 \\
237
238
239
240 == {{id name="projekt_2971_Pristup_k_projektu_detailny-4.4Technologickávrstva"/}}4.4      Technologická vrstva ==
241
242 \\
243
244 === {{id name="projekt_2971_Pristup_k_projektu_detailny-4.4.1Aktuálnytechnologickýstav"/}}4.4.1    Aktuálny technologický stav ===
245
246 \\
247
248 === {{id name="projekt_2971_Pristup_k_projektu_detailny-OpissúčasnejkonfiguráciebránCheckPointvlokaliteZVS"/}}//Opis súčasnej konfigurácie brán Check Point v lokalite ZVS// ===
249
250 \\
251
252 V lokalite Záložné Výpočtové Stredisko (ďalej len ZVS) sa aktuálne od výrobcu Check Point nachádzajú nasledujúce zariadenia:
253
254 * 2x CPAP-MHO-140
255 * 3x CPAP-SG6500-TURBO-NGFW
256
257 Pre zariadenia CPAP-SG6500-TURBO výrobca udáva nasledujúce výkonnostné parametre:
258
259 * Threat Prevention: 3.4 Gbps
260 * IPS: 7.8 Gbps
261 * L4 Firewall: 20.6 Gbps
262 * Nových spojení za sekundu: 140000
263
264 Zariadenia CPAP-SG6500-TURBO boli v Decembri roku 2020 výrobcom označené ako End of Sale, pričom posledný termín ku ktorému je možné na zariadenia kúpiť technickú podporu je December 2025 (počnúc dátumom 1.1.2026 už nebude výrobca na zariadenia poskytovať softvérovú ani hardvérovú podporu).
265
266 Vzhľadom na výkonnostné a technologické požiadavky v infraštruktúre organizácie DataCentrum sa preto odporúča uvedené zariadenia vymeniť za aktuálne ponúkanú next-gen platformu výrobcu.
267
268 \\
269
270 === {{id name="projekt_2971_Pristup_k_projektu_detailny-OpissúčasnejkonfiguráciesprávylogovbránCheckPoint"/}}//Opis súčasnej konfigurácie správy logov brán Check Point// ===
271
272 \\
273
274 V súčasnosti sa v organizácií DataCentrum pre zber a uchovávanie záznamov z brán Check Point používa hardvérová platforma Smart-1 5050 daného výrobcu. Zariadenia Smart-1 5050 boli v Septembri roku 2021 výrobcom označené ako End of Sale, pričom posledný termín ku ktorému je možné na zariadenia kúpiť technickú podporu je September 2026 (počnúc dátumom 1.10.2026 už nebude výrobca na zariadenia poskytovať softvérovú ani hardvérovú podporu).
275
276 Nakoľko sa funkcionalita centralizovaného systému pre zber logov z brán Check Point plánuje zachovať, zariadenia Smart-1 5050 sa odporúča nahradiť aktuálnou hardvérovou platformou pre zber logov.
277
278 \\
279
280 === {{id name="projekt_2971_Pristup_k_projektu_detailny-OpissúčasnejkonfiguráciemanažmentubránCheckPoint"/}}//Opis súčasnej konfigurácie manažmentu brán Check Point// ===
281
282 \\
283
284 V súčasnosti sa v organizácií DataCentrum pre manažment brán Check Point používa virtuálna platforma na ktorej je prevádzkovaný systém výrobcom označovaný ako Secure Management System (ďalej len SMS). V prípade výpadku systému SMS prichádza DataCentrum o možnosť upravovať nastavenie bezpečnostnej politike na všetkých bránach a reagovať tak na prípadné bezpečnostné či prevádzkové incidenty.
285
286 Pre zabezpečenie vysokej dostupnosti funkcinality správy brán výrobca odporúča využiť vstavanú funkcionalitu systému SMS označovanú ako Management High Availability.
287
288 \\
289
290 === {{id name="projekt_2971_Pristup_k_projektu_detailny-4.4.2Návrhriešeniatechnologickejarchitektúry"/}}4.4.2    Návrh riešenia technologickej architektúry ===
291
292 \\
293
294 === {{id name="projekt_2971_Pristup_k_projektu_detailny-NávrhriešeniaobmenybránCheckPointvlokaliteZVS"/}}//Návrh riešenia obmeny brán Check Point v lokalite ZVS// ===
295
296 \\
297
298 Za účelom modernizácie infraštruktúry pre ochranu pred kybernetickými hrozbami sa súčasný systém odporúča vymeniť za aktuálne ponúkanie zariadenia z katalógu výrobcu, a to konkrétne zariadenie Check Point Quantum Force, model CPAP-SG9300–PLUS. Pre toto zariadenie výrobca udáva nasledujúce výkonnostné parametre:
299
300 * Threat Prevention: 9 Gbps
301 * IPS: 39 Gbps
302 * L4 Firewall: 70 Gbps
303 * Nových spojení za sekundu: 300000
304
305 Z hľadiska architektúry je súčasné riešenie kompatibilné s navrhovaným riešením a súčasný dizajn je tak možné zachovať.
306
307 Hlavnými prínosmi tejto aktivitu sú najmä:
308
309 * Odstránenie hardvéru s končiacou životnosťou – //ak by sa zmena nezrealizovala, na platforme by už nebolo možné vykonávať aktualizácie ani žiadať o hardvérovú či softvérovú podporu//
310 * Zvýšenie maximálneho výkonnostného stropu bezpečnostných brán v lokalite ZVS //– výrobca pre zariadenia udáva 2 až 2,5-násobne väčší výkon pri zachovaní aktuálnych priestorových požiadaviek v dátovom racku//
311
312 === {{id name="projekt_2971_Pristup_k_projektu_detailny-"/}}// // ===
313
314 === {{id name="projekt_2971_Pristup_k_projektu_detailny-NávrhriešeniavysokejdostupnostisprávyCheckPoint"/}}//Návrh riešenia vysokej dostupnosti správy Check Point// ===
315
316 \\
317
318 Pre účely modernizácie systému pre manažment brán Check Point sa odporúča súčasný systém nahradiť zariadením z aktuálnej ponuky výrobcu, a to zariadením označeným ako CPAP-NGSM6000L-BASE. Pre toto zariadenie výrobca udáva nasledujúce technické parametre:
319
320 * Maximálny súbežný spravovaných brán: 75
321 * Počet jadier CPU: 16
322 * Veľkosť RAM: 96 GB
323 * Veľkosť diskového priestoru: 6x 4 TB HDD (pozn.: celkový diskový priestor je závislý od konfigurácie diskovej redundancie, tzv. režim RAID-u)
324
325 \\
326
327 Z hľadiska architektúry je súčasné riešenie pre manažment brán kompatibilné s navrhovaným riešením a súčasný dizajn je tak možné zachovať. Zmena v architektúre spočíva v doplnení sekundárneho zariadenia do lokality ZVS, ktoré v prípade výpadku dostupnosti riešenia v primárnej lokalite na seba preberie funkcionalitu správy zariadení Check Point.
328
329 Hlavnými prínosmi tejto aktivitu sú najmä:
330
331 * Doplnenie funkcionality vysokej dostupnosti pre správu brán Check Point
332
333 \\
334
335 === {{id name="projekt_2971_Pristup_k_projektu_detailny-NávrhriešeniasprávylogovbránCheckPoint"/}}//Návrh riešenia správy logov brán Check Point// ===
336
337 \\
338
339 Pre účely modernizácie systému pre zber a vyhodnocovanie logov z brán Check Point sa odporúča súčasný systém nahradiť zariadením z aktuálnej ponuky výrobcu, a to zariadením označeným ako CPAP-NGSM6000L-BASE. Pre toto zariadenie výrobca udáva nasledujúce technické parametre:
340
341 * Maximálny súbežný počet logov za sekundu: 150000
342 * Maximálny objem logov za deň: 616 GB
343 * Počet jadier CPU: 16
344 * Veľkosť RAM: 96 GB
345 * Veľkosť diskového priestoru: 6x 4 TB HDD (pozn.: celkový diskový priestor je závislý od konfigurácie diskovej redundancie, tzv. režim RAID-u)
346
347 \\
348
349 Z hľadiska architektúry je súčasné riešenie pre zber logov kompatibilné s navrhovaným riešením a súčasný dizajn je tak možné zachovať.
350
351 Hlavnými prínosmi tejto aktivitu sú najmä:
352
353 * Odstránenie hardvéru s končiacou životnosťou – //ak by sa zmena nezrealizovala, na platforme by časom už nebolo možné vykonávať aktualizácie ani žiadať o hardvérovú či softvérovú podporu//
354 * Zvýšenie doby retencie logov
355
356 \\
357
358 \\
359
360 \\
361
362 === {{id name="projekt_2971_Pristup_k_projektu_detailny-4.4.3Logickáarchitektúra"/}}4.4.3       Logická architektúra ===
363
364 \\
365
366 [[image:attach:image-2024-9-9_16-25-22-1.png]]
367
368 Obr. 1 – Návrh modernizovanej architektúry systémov Check Point
369
370 \\
371
372 Navrhované riešenie počíta s umiestnením hardvéru do lokality ZVS a umiestnením Log servera do lokality DC Cintorínska pre zabezpečenie vysokej dostupnosti.
373
374 \\
375
376 Zachovanie existujúcej architektúry zabezpečí dostatočnú flexibilitu pri nasadzovaní nových riešení v infraštruktúre zákazníka pri zachovaní existujúcich architektonických pravidiel
377
378 Implementácia riešenia pozostáva z nasadenia nového HW v rámci locality ZVS. Pričom potrebné konfigurácie budú prenesené na ďalšie lokality podľa potreby.
379
380 \\
381
382 === {{id name="projekt_2971_Pristup_k_projektu_detailny-4.4.4Využívanieslužiebzkatalóguslužiebvládnehocloudu"/}}4.4.4       Využívanie služieb z katalógu služieb vládneho cloudu ===
383
384 \\
385
386 Projekt nebude využívať služby z katalógu vládneho cloudu. Implementované zariadenia budú prevádzkované v infraštruktúre DataCentra.
387
388 \\
389
390 == {{id name="projekt_2971_Pristup_k_projektu_detailny-4.5Bezpečnostnáarchitektúra"/}}4.5      Bezpečnostná architektúra ==
391
392 \\
393
394 V rámci projektu nedôjde k zmene bezpečnostnej architektúry. Cieľom projektu sa realizuje zvýšenie úrovne bezpečnosti pre informačné systémy prevádzkované v DataCentre. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.
395
396 \\
397
398 \\
399
400 = {{id name="projekt_2971_Pristup_k_projektu_detailny-5.ZávislostinaostatnéISVS/projekty"/}}5.    Závislosti na ostatné ISVS / projekty =
401
402 \\
403
404 Predkladaný projekt nie je závislý na iných pripravovaných resp. prebiehajúcich projektoch
405
406 \\
407
408 **~ **
409
410 = {{id name="projekt_2971_Pristup_k_projektu_detailny-6.Zdrojovékódy"/}}6.    Zdrojové kódy =
411
412 \\
413
414 V rámci projektu nedôjde k vývoju na aplikácií mieru, z tohto hľadiska je pre projekt táto kapitola bezpredmetná.
415
416 \\
417
418 \\
419
420 \\
421
422 = {{id name="projekt_2971_Pristup_k_projektu_detailny-7.Prevádzkaaúdržba"/}}7.    Prevádzka a údržba =
423
424 \\
425
426 Keďže princípom projektu je technologická obmena existujúcich zariadení, po skončení projektu budú tieto automaticky zaradené v rámci existujúcich prevádzkových postupov do štandardnej prevádzkovej podpory.
427
428 \\
429
430 \\
431
432 = {{id name="projekt_2971_Pristup_k_projektu_detailny-8.Požiadavkynapersonál"/}}8.    Požiadavky na personál =
433
434 \\
435
436 (% class="" %)|(((
437 ID
438 )))|(((
439 Meno a Priezvisko
440 )))|(((
441 Pozícia
442 )))|(((
443 Oddelenie
444 )))|(((
445 Rola v projekte
446 )))
447 (% class="" %)|(((
448 1.
449 )))|(((
450 PhDr. Eduard Jambor, PhD., LL.M
451 )))|(((
452 riaditeľ DataCentra
453 )))|(((
454 DataCentrum
455 )))|(((
456 sponzor / predseda RV
457 )))
458 (% class="" %)|(((
459 2.
460 )))|(((
461 Peter Holba
462 )))|(((
463 Projektový manažer
464 )))|(((
465 DataCentrum
466 )))|(((
467 Projektový manažer
468 )))
469 (% class="" %)|(((
470 3.
471 )))|(((
472 Ing. Michal Majerčík
473 )))|(((
474 vedúci útvaru
475 )))|(((
476 DataCentrum
477 )))|(((
478 zástupca vlastníkov procesov
479 )))
480
481 \\
482
483 \\
484
485 = {{id name="projekt_2971_Pristup_k_projektu_detailny-9.Implementáciaapreberanievýstupovprojektu"/}}9.    Implementácia a preberanie výstupov projektu =
486
487 \\
488
489 (% class="" %)|(((
490 ID
491 )))|(((
492 \\
493
494 \\
495
496 ID/Názov cieľa
497 )))|(((
498 Názov
499 ukazovateľa (KPI)
500 )))|(((
501 Popis
502 ukazovateľa
503 )))|(((
504 Merná jednotka
505 \\
506 )))|(((
507 AS IS
508 merateľné hodnoty
509 (aktuálne)
510 )))|(((
511 TO BE
512 Merateľné hodnoty
513 (cieľové hodnoty)
514 )))|(((
515 Spôsob ich merania
516 )))
517 (% class="" %)|(((
518 1
519 )))|(((
520 Zvýšenie bezpečnosti IS RVO a IS CES
521 )))|(((
522 Náhrada existujúcich zariadení - firewall
523 )))|(((
524 Celkový počet zariadení firewall
525 )))|(((
526 ks
527 )))|(((
528 3
529 )))|(((
530 2
531 )))|(((
532 Overenie fyzickou kontrolou pri dodávke, prevzatie od dodávateľa
533 )))
534 (% class="" %)|(((
535 \\
536 )))|(((
537 \\
538 )))|(((
539 Náhrada existujúcich zariadení – virtualizácia firewall
540 )))|(((
541 Celkový počet zariadení – virtualizácia firewall
542 )))|(((
543 ks
544 )))|(((
545 2
546 )))|(((
547 2
548 )))|(((
549 Overenie fyzickou kontrolou pri dodávke, prevzatie od dodávateľa
550 )))
551 (% class="" %)|(((
552 \\
553 )))|(((
554 \\
555 )))|(((
556 Zabezpečenie manažment appliance
557 )))|(((
558 Celkový počet zariadení – manažment appliance
559 )))|(((
560 ks
561 )))|(((
562 0
563 )))|(((
564 2
565 )))|(((
566 Overenie fyzickou kontrolou pri dodávke, prevzatie od dodávateľa
567 )))
568 (% class="" %)|(((
569 \\
570 )))|(((
571 \\
572 )))|(((
573 Migrácia funkcionality firewall prostredia
574 )))|(((
575 Zabezpečenie migrácie konfigurácií a nastavení, testovanie funkcionality riešenia
576 )))|(((
577 Ks
578 )))|(((
579 0
580 )))|(((
581 1
582 )))|(((
583 Otestovanie nového riešenia, akceptácia nasadenia do produkcie, prevzatie od dodávateľa
584 )))
585
586 \\
587
588 \\
589
590 // //
591
592 = {{id name="projekt_2971_Pristup_k_projektu_detailny-10.Prílohy"/}}10. Prílohy =
593
594 // //
595
596 \\
597
598 \\