projekt_2974_Pristup_k_projektu_detailny

Naposledy upravil Admin-metais MetaIS 2024/11/06 08:24

PRÍSTUP K PROJEKTU

 Manažérsky výstup I-03

podľa vyhlášky MIRRI č. 401/2023 Z. z. 

Povinná osoba

Nemocnica s poliklinikou Myjava

Názov projektu

Realizácia opatrení kybernetickej a informačnej bezpečnosti - Nemocnica s poliklinikou Myjava

Zodpovedná osoba za projekt

Ján Pražienka

Realizátor projektu

Nemocnica s poliklinikou Myjava

Vlastník projektu

Nemocnica s poliklinikou Myjava

 

Schvaľovanie dokumentu

Položka

Meno a priezvisko

Organizácia

Pracovná pozícia

Dátum

Podpis

(alebo elektronický súhlas)

Vypracoval

Vladimír Stromček

Amazonite s.r.o.

Konateľ

17.08.2024

 

 

1.     História dokumentu

Verzia

Dátum

Zmeny

Meno

0.1

31.07.2024

Pracovný návrh

Vladimír Stromček

1.0

17.08.2024

Finálne znenie

Vladimír Stromček

2.     Účel dokumentu

V súlade s Vyhláškou 401/2023 Z.z. je dokument I-03 Prístup k projektu určený na rozpracovanie detailných informácií prípravy projektu z pohľadu aktuálneho stavu, budúceho stavu a navrhovaného riešenia.

Dokument Prístup k projektu v zmysle vyššie uvedenej vyhlášky a požiadaviek výzvy: Podpora v oblasti kybernetickej a informačnej bezpečnosti na regionálnej úrovni – zdravotnícke zariadenia, číslo výzvy: PSK-MIRRI-615-2024-DV-EFRR (ďalej len „výzva“) bude obsahovať opis navrhovaného riešenia, architektúru riešenia projektu na úrovni biznis vrstvy, aplikačnej vrstvy, dátovej vrstvy, technologickej vrstvy, infraštruktúry navrhovaného riešenia, bezpečnostnej architektúry, špecifikáciu údajov spracovaných v projekte, čistenie údajov, prevádzku a údržbu výstupov projektu, prevádzkové požiadavky, požiadavky na zdrojové kódy. Zároveň opisuje aj implementáciu projektu a preberanie výstupov projektu.

V zmysle usmernenia MIRRI SR sa v projektovej dokumentácii (ani v žiadosti) nešpecifikujú detailne konkrétne riziká a dopady a nezverejňuje sa podrobná dokumentácia toho, kde sú najväčšie riziká IT systémov a uvádzajú sa iba oblasti identifikovaných rizík a dopadov. Zároveň je možné manažérske produkty napísať všeobecne.

2.1        Použité skratky a pojmy

Z hľadiska formálneho sú použité skratky a pojmy rámci celého dokumentu definované priebežne, zvyčajne pri prvom použití v zátvorke označením „ďalej len“).

2.2        Konvencie pre typy požiadaviek (príklady)

V rámci projektu budú definované tri základné typy požiadaviek:

Funkčné (používateľské) požiadavky majú nasledovnú konvenciu:

Fxx

  • F – funkčná požiadavka
  • xx – číslo požiadavky

Nefunkčné (kvalitatívne, výkonové - Non Functional Requirements - NFR) požiadavky majú nasledovnú konvenciu:

Nxx

  • N – nefunkčná požiadavka (NFR)
  • xx – číslo požiadavky

Technické požiadavky majú nasledovnú konvenciu:

Txx

  • T – technická požiadavka
  • xx – číslo požiadavky

3.     Popis navrhovaného riešenia

Navrhované riešenie vychádza z aktuálnych zistení posledného samohodnotenia kybernetickej bezpečnosti Nemocnice s poliklinikou Myjava (ďalej len „NsP Myjava“ alebo „žiadateľ“). Ten definuje potreby, ktoré je nevyhnuté riešiť pre dosiahnutie súladu úrovne kybernetickej a informačnej bezpečnosti (ďalej len KIB) so zákonom č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov (ďalej len “zákon o kybernetickej bezpečnosti), zákonom Zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov(ďalej len “zákon o ISVS”), vyhláškou 362/2018 Z.z. o obsahu bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení  (ďalej len vyhláška č. 362/2018 Z. z.) a ďalšími súvisiacimi predpismi.

V rámci projektového zámeru boli stanovené nasledovné ciele a spôsob ich riešenia:

ID

 

 

Názov cieľa

Názov strategického cieľa*

Spôsob realizácie strategického cieľa

1

Zvýšenie kvality riadenia prístupov

Cieľ realizovaný v zmysle oprávnenej podaktivity: Riadenie prístupov

 

Dôveryhodný štát pripravený na hrozby

(Realizovanie opatrení kybernetickej a informačnej bezpečnosti)

a)    Dodávka a inštalácia softvéru -Zavedenie centrálneho nástroja na správu pracovných staníc a prístupových oprávnení vybudovanie PKI infraštruktúry

b)    Dodávka a inštalácia softvéru -centrálnej správy aktualizácií OS Windows/WSUS

c)    Technická dokumentácia a zaškolenie

 

2.

Zabezpečenie sieťovej a komunikačnej bezpečnosti

Cieľ realizovaný v zmysle oprávnenej podaktivity: Sieťová a komunikačná bezpečnosť

 

Dôveryhodný štát pripravený na hrozby

(Realizovanie opatrení kybernetickej a informačnej bezpečnosti)

a)     Dodávka a inštalácia hardvéru -  2x NGFW firewall

b)     Dodávka a inštalácia hardvéru – 35x sieťový prepínač

c)     Analýza stavu s implementačnými prácami

d)     Technická dokumentácia a zaškolenie

 

3.

Ochrana proti škodlivému kódu

Cieľ realizovaný v zmysle oprávnenej podaktivity: Ochrana proti škodlivému kódu

Dôveryhodný štát pripravený na hrozby

(Realizovanie opatrení kybernetickej a informačnej bezpečnosti)

a)     Inštalácia a nasadenia zabezpečenia pracovných staníc a nových prvkov infraštruktúry EDR

b)     Technická dokumentácia a zaškolenie

4.

Zabezpečenie kontinuity prevádzky

Cieľ realizovaný v zmysle oprávnenej podaktivity: Kontinuita prevádzky

Dôveryhodný štát pripravený na hrozby

(Realizovanie opatrení kybernetickej a informačnej bezpečnosti)

a)     Dodávka a inštalácia hardvéru -  2x server

b)     Dodávka a inštalácia hardvéru – dátové úložisko

c)     Dodávka a inštalácia hardvéru – diskové pole/NAS na ukladanie šifrovaných záloh

d)     Dodávka a inštalácia softvéru – SW na ukladanie šifrovaných záloh

e)     Technická dokumentácia a zaškolenie

 

4.     Architektúra riešenia projektu

Architektúra celého riešenia je v zmysle usmernenia MIRRI SR rámcová tak, aby bolo z projektu zrejmé, ktoré komponenty v rámci realizácie projektu budú vytvorené (a budú realizovať opatrenia KIB).

Primárne opatrenia kybernetickej bezpečnosti chránia IS NsP Myjava, ktoré sú určené na prevádzkovanie základnej služby NsP Myjava. Z vyššie definovaných spôsobov realizácie cieľov (viď kapitola 3 Popis navrhovaného riešenia) je zrejmé, o aké komponenty zabezpečenia pôjde – SW riešenia na správu riadenia prístupov, zabezpečenia proti škodlivému kódu, firewally, prepínače, servery, technológie zálohovania.

image-2024-8-17_21-19-55.png

4.1        Biznis vrstva

Predmetom realizácie projektu bude zavedenie a IT podpora nasledovných business procesov:

  • Bezpečnostné riadenie prístupov
  • Riadenie prevádzky siete a informačného systému
  • Procesy ochrany proti škodlivému kódu
  • Zabezpečovanie kontinuity prevádzky

Okrem samotného zabezpečenia opatrení KIB v zmysle zákona o ISVS a zákona o kybernetickej bezpečnosti sa projekt bude dotýkať prakticky všetkých biznis procesov, ktoré sú vykonávané NsP Myjava, a ktoré sú realizované prostredníctvom informačných systémov NsP Myjava.

 

4.1.1        Prehľad koncových služieb – budúci stav:

Projekt nerealizuje koncové služby pre občanov a podnikateľov. Realizáciou projektu dochádza k zavedeniu opatrení kybernetickej a informačnej bezpečnosti (ďalej len KIB), ktoré zabraňujú kybernetickým útokom a na základe toho chránia prevádzku ostatných koncových služieb.

Z toho vyplýva, že v rámci projektu nevznikne žiadna nová koncová služba v zmysle zákona o ISVS.

4.1.2        Jazyková podpora a lokalizácia

Projekt bude realizovaný v podobe dokumentov (politiky, plány, stratégie atď.), ktoré budú akceptované výhradne v slovenskom jazyku. Implementované softvérové riešenia budú akceptované v slovenskej, českej alebo na základe súhlasu NsP Myjava v anglickej mutácií. Dodané softvérové riešenia alebo hardvérové komponenty musia mať návod v slovenskom jazyku. Projektová dokumentácia bude vyhotovovaná v slovenskom alebo českom jazyku. Výstupy z prevádzky systémov budú akceptované v slovenskom, vo výnimočných prípadoch anglickom jazyku, niektoré čiastkové výstupy (napr. logy incidendov) sú akceptované v podobe skriptov, ktoré musí byť možné transformovať do používateľsky zrozumiteľného jazyka resp. zabezpečiť ich vhodnú interpretáciu.

4.2        Aplikačná vrstva

Aplikačná vrstva bude realizovaná súborom opatrení KIB, ktoré budú ochraňovať IS zabezpečujúce primárne prevádzku služieb  NsP Myjava. V aplikačnej vrstve je potrebné uvažovať o FrontEnd (verejných) častiach IS NsP Myjava a Back-Office (neverejných častiach) IS NsP Myjava.

Implementované komponenty budú pre NsP Myjava inštalované in situ v rámci NsP Myjava.

4.2.1        Rozsah informačných systémov – AS IS

V nasledujúcej tabuľke uvádzame ISVS, ktoré zabezpečujú prevádzku NsP Myjava a budú chránené proti incidentom KIB po ukončení projektu:

Kód ISVS (z MetaIS)

Názov ISVS

Modul ISVS

(zaškrtnite ak ISVS je modulom)

Stav IS VS

(AS IS)

Typ IS VS

Kód nadradeného ISVS

(v prípade zaškrtnutého checkboxu pre modul ISVS)

isvs_14547

Komplexný informačný systém pre medicínske laboratóriá

☐

  Prevádzkovaný a plánujem rozvíjať

Agendový

 

isvs_14548

Klinický informačný systém

☐

  Prevádzkovaný a plánujem rozvíjať

Agendový

 

isvs_14549

Medix

☐

  Prevádzkovaný a plánujem rozvíjať

Agendový

 

isvs_14550

Systém pre správu, archiváciu a komunikáciu v medicíne

☐

  Prevádzkovaný a plánujem rozvíjať

Agendový

 

svs_14551

Rádiologická diagnostická softvérová stanica

☐

  Prevádzkovaný a plánujem rozvíjať

Agendový

 

svs_14552

Telerádiologické komunikačné centrum

☐

  Prevádzkovaný a plánujem rozvíjať

Agendový

 

svs_14553

Ekonomický informačný systém

☐

  Prevádzkovaný a plánujem rozvíjať

Ekonomický  a administratívny

chod inštitúcie

 

svs_14554

Webové sídlo

☐

  Prevádzkovaný a plánujem rozvíjať

Prezentačný

 

svs_14555

Emailový server

☐

  Prevádzkovaný a plánujem rozvíjať

Ekonomický  a administratívny

chod inštitúcie

 

svs_14556

Komplexný registratúrny IS

☐

  Prevádzkovaný a plánujem rozvíjať

Ekonomický  a administratívny

chod inštitúcie

 

4.2.2        Rozsah informačných systémov – TO BE

 

V rámci projektu nevznikne nový ISVS v zmysle definície zákona o ISVS. Vznikne súbor opatrení, ktorý bude chrániť existujúce ISVS (ich zoznam viď predchádzajúca kapitola) – k nim je vytvorený vzťah realizovaného projektu.

4.2.3        Využívanie nadrezortných a spoločných ISVS – AS IS

Projekt nebude využívať nadrezortné a spoločne ISVS .

4.2.4        Prehľad plánovaných integrácií ISVS na nadrezortné ISVS – spoločné moduly podľa zákona č. 305/2013  e-Governmente – TO BE

Projekt nebude integrovaný na ISVS a nadrezortné ISVS – spoločné moduly podľa zákona č. 305/2013 o e-Governmente.

4.2.5        Prehľad plánovaného využívania iných ISVS (integrácie) – TO BE

Projekt nebude integrovaný na iné ISVS.

4.2.6        Aplikačné služby pre realizáciu koncových služieb – TO BE

V rámci projektu nevznikne žiadna nová aplikačná služba.

4.2.7        Aplikačné služby na integráciu – TO BE

Predmetom realizácie projektu nebudú žiadne služby určené na integráciu v rámci TO BE stavu.

4.2.8        Poskytovanie údajov z ISVS do IS CSRÚ – TO BE

Projekt nebude poskytovať údaje z ISVS do IS CSRÚ.

4.2.9        Konzumovanie údajov z IS CSRU – TO BE

Projekt nebude konzumovať údaje z IS CSRU.

4.3        Dátová vrstva

4.3.1        Údaje v správe organizácie

Projekt nebude priamo zabezpečovať správu údajov NsP Myjava.

4.3.2        Dátový rozsah projektu - Prehľad objektov evidencie - TO BE

V rámci realizovaného projektu nevzniknú nové objekty evidencie tak, ako vznikajú v prípade štandardných informačných systémov. Predmetom evidencie nebudú napríklad údaje pacientov  resp. informácie o nich atď. Nástroje kybernetických opatrení budú viesť napríklad evidenciu prístupov a oprávnení.

4.3.3        Referenčné údaje

V rámci projektu nebudú využívané referenčné údaje ani projekt nebude poskytovať referenčné údaje.

4.3.3.1         Identifikácia údajov pre konzumovanie alebo poskytovanie údajov  do/z CSRU

V rámci projektu nebudú spravované údaje určené na konzumovanie alebo poskytovanie do/z CSRU.

4.3.4        Kvalita a čistenie údajov

4.3.4.1         Zhodnotenie objektov evidencie z pohľadu dátovej kvality

Predmetom projektu nebude hodnotenie kvality ani čistenie údajov.

4.3.5        Otvorené údaje

V rámci projektu nebudú vytvárané otvorené údaje.

4.3.6        Analytické údaje

V rámci projektu nebudú vytvárané analytické údaje.

4.3.7        Moje údaje

V rámci projektu nebudú vytvárané moje údaje.

4.3.8        Prehľad jednotlivých kategórií údajov

Predmetom realizácie projektu nebudú žiadne údaje, ktoré by boli referenčnými, spadali by do kategórie “Moje údaje”, “Otvorené údaje” a tiež nebudú poskytované ako analytické údaje.

4.4        Technologická vrstva

4.4.1        Prehľad technologického stavu - AS IS

S ohľadom na inštrukcie MIRRI SR neuvádzame podrobný prehľad technologického stavu AS IS.

Konštatujeme, že z pohľadu zabezpečenia KIB je potrebné AS IS stav doplniť tak, aby bol zabezpečený súlad opatrení KIB s požiadavkami zákona o kybernetickej bezpečnosti.

 

4.4.2        Požiadavky na výkonnostné parametre, kapacitné požiadavky – TO BE

 

Parameter

Jednotky

Predpokladaná hodnota

Poznámka

Počet interných používateľov

Počet

257

 

Počet súčasne pracujúcich interných používateľov v špičkovom zaťažení

Počet

257

 

Počet externých používateľov (internet)

Počet

70 000

 

Počet externých používateľov používajúcich systém v špičkovom zaťažení

Počet

70 000

Maximálny počet používateľov – interných aj externých, ktorí sa môžu prihlásiť naraz k verejným IS NsP Myjava(webová stránka) i neverejným IS NsP Myjava, či už ako poskytovatelia (zamestnanci) alebo ako konzumenti (pacienti, podnikatelia,  a podnikatelia)

Počet transakcií (podaní, požiadaviek) za obdobie

Počet/obdobie

irelevantné

 

Objem údajov na transakciu

Objem/transakcia

1 MB/transakcia

Maximálna predpokladaná hodnota

Objem existujúcich kmeňových dát

Objem

irelevantné

 

4.4.3        Návrh riešenia technologickej architektúry

 

Technologicky pôjde o realizáciu nasledovných opatrení:

1. Technológie sieťovej a komunikačnej bezpečnosti NsP Myjava

Cieľom verejného obstarávania je zvýšenie úrovne kybernetickej bezpečnosti nemocnice NsP Myjava z pohľadu sieťového zabezpečenia a ochrany citlivých informácií.

Realizáciou predmetu zákazky verejný obstarávateľ realizuje nasledovné oprávnené podaktivity: 

  • Sieťová a komunikačná bezpečnosť

A/ Popis súčasného stavu:

Súčasný stav úrovne kybernetickej bezpečnosti nemocnice NsP Myjava z pohľadu sieťového zabezpečenia a ochrany citlivých informácií je nedostatočný. Nie je skoro žiadna segmentácia siete, užívatelia sú identifikovaní maximálne na úrovni lokálnych hesiel, bez centrálnej správy, logovania a overenia identifikácie, siete sú voľne dostupné bez autentizácie, citlivé dáta ani informačné systémy nie sú chránené ani voči možných jednoduchým hrozbám typu malware, čím nespĺňajú ani základné požiadavky pre zabezpečenie opatrení kybernetickej bezpečnosti v súlade so zákonom o kybernetickej bezpečnosti a vyhláškou NBÚ č. 362/2018 Z. z. . Stav je neudržateľný a je len otázka času kedy príde ku kompromitácii citlivých dát alebo ich strate.

Nemocnica má do 290 pracovných staníc s maximálne 300 používateľmi.

B/ Popis plánovaného stavu:

Vybaviť technické miestnosti novým Next Generation Firewallmi (NGWF), izolovať siete, nastaviť HW inšpekciu toku dát na úrovni L7 pre prevádzkovanie interných aplikácií a pripravovaných nových systémov na centrálnu správu užívateľov. Zabezpečiť sieť podľa súčasných bezpečnostných štandardov. Obnova nevyhovujúcich sieťových prepínačov (switch) s ich konfiguráciou podľa rozdelenia sietí do jednotlivých vlan a novej sieťovej segmentácie.

C/ Zabezpečenie sietí ich segmentácia a jasná identifikácia užívateľov a ich prístupov:

Potrebný HW - NGFW firewally musia spĺňať nasledujúce požiadavky:

Komponent

Popis

Prevedenie

2ks HW boxy - NGFW firewally

Form Factor

Rack-mount 1U

Konektivita

Minimálne 8x GE RJ45

Minimálne 4x10Gb Port SFP+

Minimálne 1x 2.5Gb RJ45

Súčasťou dodávky - originál od výrobcu s garanciou podpory a kompatibility 10G Fiber Optic Transceivers: LR, LC MM, 4 kusy (pre každý firewall 2 kusy – 4 kusy spolu)

Encryption Algorithm

Podporované minimálne nasledovné : DES, Triple DES, Blowfish, RSA, IKE, DSS, SHA-1, ECDSA, 128-bit AES, 256-bit AES, IKEv2, SHA-2, AES-GCM, 256-bit SHA-2, 512-bit SHA-2, 256-bit AES-GCM

Authentication Method

Podporované minimálne nasledovné : RADIUS, X.509 certificates, TACACS+, LDAP, Active Directory, Extensible Authentication Protocol (EAP), XAUTH authentication

Požadovaná priepustnosť dát

NGFW/NGIPS Throughput minimálne: 4.0 Gbps

Max Firewall Throughput minimálne: 40 Gbps

Max Inspection Throughput minimálne: 6.0 Gbps

TLS (1.2) Inspection Throughput minimálne: 1300 Mbps

IPsec VPN Throughput(AES-GCM-256) minimálne: 24 Gbps

Concurrent IPsec VPN Tunnels minimálne: 30,000

Mobile VPN Clients : neobmedzený počet – bez potrebnej ďalšej licencie

Concurrent Inspected TCP Connections minimálne: 0,2 Million 

Max Concurrent Connections minimálne: 15 Million  

New TCP Connections/sekundu minimálne: 300,000 

VLAN Tagging : neobmedzene

Virtual Contexts min 5 súčasťou dodávky, možnosť rozšírenia do 20

Bezpečnostné certifikáty

CB, UL/ EN60950, NOM, BSMI, CTICK

Rozšírenia

Anti-Malware (File reputation & AV), URL Filtering,  Advanced Malware Detection, IPS Inspection, Application Control (SSH/SFTP, HTTP, HTTPS, TCP, UDP, TFTP, FTP, DNS), Endpoint context, SD-WAN Multi-Link Optimization, Server Load Balancing, Clustering

Protocol-specific traffic handling/inspectio: Ethernet, H.323, GRE, IPv4, IPv6, ICMP, IP-in-IP, IPv6 encapsulation, UDP, TCP, DNS, FTP, HTTP, HTTPS, IMAP, IMAPS, MGCP, MSRPC, NetBIOS Datagram, OPC Classic, OPC UA, Oracle SQL Net, POP3, POP3S, RSH, RSTP, SIP, SMTP, SSH, SunRPC, NBT, SCCP, SMB, SMB2, SIP, TCP Proxy, TFTP, Integrated inspection with Sidewinder Security Proxies

Vulnerability exploit detection. DoS/DDoS protection

Centrálny manažment

Spoločný centrálny manažment v režime HA pre všetky dodané firewally.

Samostatne oddelený manažment FW (mimo FW HW boxy).

Centralizovaná správa v jednom paneli .

Neobmedzený počet administrátorov.

Neobmedzený počet pravidiel

Autentifikácia administrátora : lokálna, RADIUS, TACACS+, Client Certificate

Reporting – súčasťou centrálneho manažmentu 

Firewall Log manažment – prehľadné vyhľadávanie v logoch

Event Reporting a dashboardy 

Subskripcie

NGFW centrálny manažment pre všetky firewally v režime HA – počas trvania projektu

URL Filtering – počas trvania projektu

Advanced Malware Detection – počas trvania projektu

 

SW požiadavky

NAT support, PAT support, load balancing, LDAP support, DoS attack prevention, IPv6 support, DDos attack prevention, Virtual Route Redundancy Protocol (VRRP) support, anti-malware protection, Dead Peer Detection (DPD), IPSec NAT-Traversal (NAT-T), RADIUS support, DHCP server, 3G USB Dongle Support, LACP support, DHCP relay, clustering technology, Stateful Packet Inspection Firewall (SPIF), application level inspection, SD-WAN Multi-Link Optimization , ZTNA

Úroveň technickej  podpory

Počas trvania projektu

Podpora výrobcu je požadovaná v časovom pokrytí 24x7, HW záruka výrobcu so servisom s výmenou alebo opravou do 1 pracovného dňa

Zhrnutie – perimetrové firewally musia spĺňať vyššie uvedené požiadavky a musia byť dodané (ako je uvedené) s licenciami na dobu minimálne trvania projektu „NGFW centrálny manažment pre všetky firewally v režime HA“, „URL Filtering“, „Advanced Malware Detection“ a s rozšírenou zárukou počas trvania projektu (oprava/výmena) do jedného pracovného dňa + podpora v prípade problémov v prevádzke + produkt musí mať garantovanú minimálnu „životnosť“ (možnosť dokúpiť rozšírenú záruku a podporu na celkovo 6 rokov priamo do výrobcu). 

Potrebný HW – sieťové prepínače:

10 ks sieťových prepínačov 48 portových PoE+ s nasledujúcimi minimálnymi parametrami:

Access switche s možnosťou zapojenia do stacku alebo MLAG

 

 

 

 

Vlastnosť alebo funkcia zariadenia

Požadované

1

Trieda zariadenia

L2 Switch

2

Formát zariadenia

1 RU

3

Napájanie

AC 230V

4

Interný zdroj

áno

5

Počet portov minimálne 10/100/1000 Base-T (PoE+) 

minimálne 48

6

Počet 10G SFP portov

minimálne 4

7

Celkový príkon PoE (PoE budget)

minimálne 350W

8

PoE dostupné pri reštarte switcha

áno

9

Všetky porty neblokované – wire speed

áno

10

USB port pre ukladanie konfigurácií a firmware

áno

11

Dedikovaný console port (RJ45)

áno

12

Podporované technológie a správa

 

13

Stohovanie

áno

14

STP,RSTP,MSTP a PVST+ alebo kompatibilné

áno

15

Protokol na registráciu VLAN, napríklad VTP

áno

16

Podpora VLAN, minimálne 4000 aktívnych VLAN

áno

17

Minimálny počet MAC adries

32k

18

Minimálna veľkosť FIBv4

4k

19

Podpora L3 funkcií – RIP, RIPng, OSPF, OSPFv3.

áno

20

Podpora overovania užívateľov pomocou 802.1x a pomocou MAC adries, podpora funkcií guest VLAN

áno

21

Podpora ACL 

áno

22

Podpora technológie RSPAN a lokálneho zrkadlenia prevádzky

áno

23

Podpora overovania pomocou RADIUS, TACACS

áno

24

Podpora konfigurácie cez CLI  - SSH, Telnet a lokálnu konzolu

áno

25

Scriptovanie Python

áno

26

Podpora Telemetrie a eMDI

áno

27

Netconf/Yang

áno

28

Podpora technológie SNMP  v2c a v3

áno

29

Výrobca musí poskytovať informácie o zraniteľnostiach na webe.

áno

30

Koniec podpory výrobcom (end of support) minimálne 7 rokov od dátumu nákupu. Počas tejto lehoty musí výrobca garantovať vydávanie bezpečnostných záplat.

áno

31

Záruka a support počas trvania projektu 8x5xNBD

áno

32

Súčasťou dodávky je aj potrebná kabeláž pre pripojenie na jednotlivé súčasti

áno

25 ks sieťových prepínačov 24 portových PoE+ s nasledujúcimi minimálnymi parametrami:

Access switche s možnosťou zapojenia do stacku alebo MLAG

 

 

 

 

Vlastnosť alebo funkcia zariadenia

Požadované

1

Trieda zariadenia

L2 Switch

2

Formát zariadenia

1 RU

3

Napájanie

AC 230V

4

Interný zdroj

áno

5

Počet portov minimálne 10/100/1000 Base-T (PoE+) 

minimálne 24

6

Počet 10G SFP portov

minimálne 4

7

Celkový príkon PoE (PoE budget)

minimálne 250W

8

PoE dostupné pri reštarte switcha

áno

9

Všetky porty neblokované – wire speed

áno

10

USB port pre ukladanie konfigurácií a firmware

áno

11

Dedikovaný console port (RJ45)

áno

12

Podporované technológie a správa

 

13

Stohovanie

áno

14

STP,RSTP,MSTP a PVST+ alebo kompatibilné

áno

15

Protokol na registráciu VLAN, napríklad VTP

áno

16

Podpora VLAN, minimálne 4000 aktívnych VLAN

áno

17

Minimálny počet MAC adries

32k

18

Minimálna veľkosť FIBv4

4k

19

Podpora L3 funkcií – RIP, RIPng, OSPF, OSPFv3.

áno

20

Podpora overovania užívateľov pomocou 802.1x a pomocou MAC adries, podpora funkcií guest VLAN

áno

21

Podpora ACL 

áno

22

Podpora technológie RSPAN a lokálneho zrkadlenia prevádzky

áno

23

Podpora overovania pomocou RADIUS, TACACS

áno

24

Podpora konfigurácie cez CLI  - SSH, Telnet a lokálnu konzolu

áno

25

Scriptovanie Python

áno

26

Podpora Telemetrie a eMDI

áno

27

Netconf/Yang

áno

28

Podpora technológie SNMP  v2c a v3

áno

29

Výrobca musí poskytovať informácie o zraniteľnostiach na webe.

áno

30

Koniec podpory výrobcom (end of support) minimálne 7 rokov od dátumu nákupu. Počas tejto lehoty musí výrobca garantovať vydávanie bezpečnostných záplat.

áno

31

Záruka a support počas trvania projektu 8x5xNBD

áno

32

Súčasťou dodávky je aj potrebná kabeláž pre pripojenie na jednotlivé súčasti

áno

Súčasťou dodávky sú práce implementácie v minimálnom rozsahu:

Jednotlivé služby sa týkajú všetkých dodávaných sieťových prvkov, ktoré zostanú v prevádzke po ukončení prác a obnovy zariadení. Vymenia sa všetky switche a nasadia NGFW. Celkový počet switchov je cca 35 (24 a 48 portové). Súčasťou dodávky je kompletná výmena sieťových prvkov a celá revízia siete.

  • Analýza súčasného stavu s plánovanými novými systémami a potrebných prestupov pre segmentáciu siete na úrovni minimálne 2 aplikačných a 2 databázových sietí, 2 užívateľských sietí s presne riadenými prestupmi na nutné aplikácie s inšpekciou toku dát cez povolené prestupy. Oddelenie sieti pre tlačiarne, skenery a kopírovacie stroje a nové oddelené siete pre nové pripravované systémy. Logické oddelenie systémov a služieb podľa typu a bezpečnostných odporúčaní. Nové pripravované systémy ako MS AD budú v samostatnej sieti, manažment zariadení (s konfiguráciou jednotlivých zariadení), siete pre virtualizáciu, sieť pre zálohovacie riešenie.
  • Nastavenie sietí podľa vstupnej analýzy s minimálnymi dopadmi na prevádzku – nutné odstávky v neprodukčných časoch po 16:00 a víkendy podľa dohody s určenou technickou osobou obstarávateľa. 
  • Sieťové prestupy riadené NGFW firewallom podľa Zero Trust – i identifikovaný užívateľ bude mať povolené len nutné prestupy na aplikácie ktoré potrebuje ku práci (podľa výstupy z analýzy a požiadaviek obstarávateľa).
  • Inštalácia zariadení (switche a firewally) do rackov obstarávateľa a ich nastavenie podľa špecifikácie účelu zadania.
  • Zapojenie a oživenie na centrálny manažment – oddelená sieť a porty pre centrálny manažment a zvlášť LOG server s možnosťou filtrovania a prehľadávania logov cez centrálny manažment. 
  • Publikovanie služieb do internetu, striktne nastavené prestupy a kontrola na úrovni L7, nastavené DDoS a IDP profily podľa typu aplikácie – nutné rátať s priebežným „ladením“.
  • URL filter pre prístup na internet podľa zadania obstarávateľa (výstup v analýze) a best practices.
  • QoS manažment na prístup do internetu, podľa typu služby a jej priority.
  • Mesiac testovacej prevádzky so zvýšeným dohľadom a zmenou nastavení podľa potrieb prevádzky – reakčné časy v časoch od 7:00 do 16:00 (pracovné dni) do štyroch hodín.
  • Vyžaduje sa aby dodávateľ mal certifikovaného administrátora na dodávané firewally (vendora) - úroveň bezpečnostný expert s preukázanou praxou práce s firewallmi aspoň 6 mesiacov.
  • Jednotlivé samostatné siete (vlan L2) budú dostupné len tam kde je to nevyhnutné – vlan siete užívateľov/tlačiarní na access switchoch podľa potreby (len tam kde sú jednotlivý užívatelia/tlačiarne fyzicky pripojení/pripojené), aplikačné siete len na switchoch kde sú/budú servery a firewally a podobne – len na nových switch.
  • Nepoužité porty nebudú mať prístup do žiadnej siete – vypnuté – len na nových switch.
  • Konfigurácia site-to-site VPN spojení (IPSec) – maximálny počet 10 s NAT prekladmi.
  • Konfigurácia remote access VPN spojení (SSL VPN) – príprava a nastavenie pre maximálne 100 používateľov (vrátane tretích strán).
  • Dodávka a inštalácia monitoringu sieťových prvkov s využitím protokolov SNMP, kde bude vidieť vyťaženosť jednotlivých portov, ich stav s grafickou vizualizáciou – vzorkovanie dát minimálne 1x za minútu. Monitorovací nástroj musí vedieť odosielať logy do budúceho SIEM minimálne prostredníctvom syslog logovacím protokolom – monitorovať sa budú len nové sieťové prvky ktoré sú súčasťou dodávky. 
  • Výstupná dokumentácia na úrovni minimálne sieťovej topológie (znázornené všetky inštalované systémy a súčasné systémy), dodaný podrobný IP plán všetkých sietí s popisom siete minimálne vlan ID, názov, GW, maska siete, zahrnuté všetky zariadenia v sieti minimálne ich IP adresa a hostname/názov.

D/ Spoločné ustanovenia pre všetky body – celú dodávku:

NGFW, switche musia byť sprevádzkované pre produkčné použitie (best practices) tak, aby všetky dodané komponenty boli plne kompatibilné a využité v inštalácii. Dodávateľ nesie zodpovednosť za dodávku ako celok, teda plnú kompatibilitu a podporu požadovaných funkcionalít s ohľadom na plánované systémy, ktoré budú predmetom vstupnej analýzy. Všetky nové prvky celej dodávky sa musia riadiť koncepciou oddelených sietí a prestupov presne špecifikovaných bode C a best practices a to primárne z dôvodu, že celá dodávka má primárny účel zvýšenie úrovne kybernetickej bezpečnosti obstarávateľa. 

Súčasťou dodávky je i odovzdanie požadovanej dokumentácie, všetkých prístupových hesiel a zaškolenie poverených zamestnancov obstarávateľa (maximálne 5 ľudí) minimálne v rozsahu 1 človekodňa.

2. Zvýšenie úrovne kybernetickej bezpečnosti NsP Myjava

Cieľom verejného obstarávania je zvýšenie úrovne kybernetickej bezpečnosti nemocnice NsP Myjava z pohľadu sieťového zabezpečenia, užívateľských prístupov, ochrany citlivých informácií, prevádzky informačných systémov a biznis kontinuity prevádzky. 

Realizáciou predmetu zákazky verejný obstarávateľ realizuje nasledovné oprávnené podaktivity: 

  • Riadenie prístupov
  • Ochrana proti škodlivému kódu
  • Kontinuita prevádzky

A/ Popis súčasného stavu:

Súčasný stav úrovne kybernetickej bezpečnosti nemocnice NsP Myjava z pohľadu zabezpečenia užívateľských prístupov, ochrany citlivých informácií, prevádzky informačných systémov a biznis kontinuity prevádzky je blížiaci sa nule. Užívatelia sú identifikovaní maximálne na úrovni lokálnych hesiel, bez centrálnej správy, logovania a overenia identifikácie, citlivé dáta ani informačné systémy nie sú chránené ani voči možných jednoduchým hrozbám typu malware ani voči chybnej manipulácii, zálohy nie sú šifrované, nijak chránené, čím nespĺňajú ani základné požiadavky pre zabezpečenie opatrení kybernetickej bezpečnosti v súlade so zákonom o kybernetickej bezpečnosti a vyhláškou NBÚ č. 362/2018 Z. z. . Stav je neudržateľný a je prakticky len otázka času kedy príde ku kompromitácii citlivých dát alebo ich straty.

Nemocnica má do 290 pracovných staníc s maximálne 300 používateľmi.

B/ Popis plánovaného stavu:

Vybaviť technické miestnosti novým HW spĺňajúcim nové bezpečnostné štandardy (TPM2.0, šifrovanie údajov, oddelené šifrované zálohy s izolovanými sieťami a nových systémov na centrálnu správu užívateľov (ich jasnú identifikáciu, centrálne zabezpečenie proti škodlivému kódu na pracovných staniciach), zabezpečenie biznis kontinuity a ochrany dát proti škodlivému kódu a zámernou alebo chybnou manipuláciou zo strany užívateľov.

C/ Centrálna správa užívateľov a správa prístupových oprávnení:

Nevyhnutná súčasť koncepcie zvýšenia úrovne kybernetickej bezpečnosti obstarávateľa je zavedenie centrálnej správy pracovných staníc a správa prístupových oprávnení s vybudovaní PKI infraštruktúry, bez ktorej nie je možné zaviesť žiadne bezpečnostné mechanizmy a riešenia, ktoré budú nosnou súčasťou dodávky (identifikácia užívateľov v sieti a sieťových prestupov a zabezpečenie pracovných staníc). Obstarávateľ má približne 290 pracovných staníc a 300 používateľov. Cez 98 percent pracovných staníc majú operačný systém Windows nejednotných verzií, ktoré je požadované centrálne spravovať natívnou technológiou Microsoft Active Directory (MS AD). MS AD je požadované mať v 3 samostatných inštanciách (VM) s replikáciou s DNS funkcionalitou a samostatnej vlan sieti. Súčasťou dodávky sú všetky služby spojené s nastavením, nasadením, konfiguráciou a vytvorením scriptu pre pridanie PC. Samotné zaradenie PC do MS AD si za pomoci skriptu zrealizuje obstarávateľ vo vlastnej réžii.

Ďalšou súčasťou dodávky musí byť WSUS server, ktorý do koncepcie zavádza centrálnu správu aktualizácií OS Windows pomocou GPO a pri počte pracovných staníc šetrí šírku pásma internetového pripojenia. Požiadavky – inštalácia v samostatnej predpripravenej siete.

Implementácia internej PKI infraštruktúry natívnou technológiou Microsoft Windows Server 2022, ktorá je viazaná na koncepciu MS AD pomocou GPO a best practices s offline root certifikačnou autoritou a minimálne jednej online sub CA. Ako všetky prvky infraštruktúry i PKI bude mať vlastnú predpripravenú sieť.

D/ Zabezpečenie pracovných staníc a nových prvkov infraštruktúry EDR:

Súčasťou dodávky budú licencie, inštalácia a nasadenie podľa vstupnej analýzy a požiadaviek obstarávateľa pre 290 pracovných staníc a všetky nové aplikácie infraštruktúry, ktoré budú súčasťou dodávky (MS AD, PKI, Backup, ...). EDR je jedna z nosných častí dodávky pre ucelený koncept zvýšenia úrovne kybernetickej bezpečnosti. Verejný obstarávateľ očakáva lifetime licencie. Nasadenie je závislé od zaradenia pracovných staníc do MS AD.

  • Požiadavky na EDR riešenie, ktoré musí spĺňať – špecifikáciu:

Riešenie pre komplexnú ochranu PC, Linux, Mac, mobilných zariadení, fyzické a virtuálne serverové infraštruktúry musia byť spravované z jednej webovej konzoly. Navrhované riešenie musí zabezpečiť viacvrstvovú ochranu proti sofistikovaným bezpečnostným hrozbám a to anti-phishing ochranu, anti-malware ochranu, anti-spam ochranu a adaptívnu pokročilú ochranu proti zneužitiu vrátane pokročilého strojového učenia a analýzy chovania. Taktiež musí podporovať content filtering, attachement firltering, connection filtering, message filtering, ransomware mitigation, endpoint risk analytics,  a advanced anti-exploit. Výrobca nemohol získať na av-comparatives (https://www.av-comparatives.org/awards/) za posledné 2 roky ani raz menej ako 3 hviezdy v kategórií „Real World Protection“ vo firemných riešeniach.

Riešenie musí spĺňať požiadavky na správu a funkcionalitu podľa kategórií a funkcií nižšie:

  • 1. Konzola pre centrálnu správu riešenia:

Č. p.

Popis požiadavky

Spĺňa/Nespĺňa

1.

Všetky komponenty riešenia musia byť v slovenskom alebo českom jazyku – vrátane konzoly správy, klientskych aplikácií a manuálov

 

2.

Konzola pre správu nasadená v cloude výrobcu, ktorý sa stará o jej údržbu a vysokú dostupnosť všetkých jej služieb a funkcií

 

3.

Možnosť kedykoľvek migrovať konzolu pre správu do on-premise prostredia bezplatne, bez zmeny platnosti licencie a za vynaloženia minimálneho času zo strany administrátora riešenia

 

4.

Podpora produktov výrobcom nástroja bude poskytovaná v slovenskom alebo českom jazyku

 

5.

Konzola pre centrálnu správu je kompletne multi-tenantná

 

6.

Možnosť realizovať aktualizácie klientov z iných klientov a tým šetriť šírku prenosového pásma pripojenia k internetu

 

7.

Možnosť zobrazovať upozornenia v konzole pre správu a posielanie upozornení e-mailom

 

8.

Možnosť zasielať upozornenia napojením na Syslog server

 

9.

Možnosť využitia napojení akejkoľvek tretej aplikácie za pomoci zdokumentovanej verejnej API, ku ktorej je možné vytvoriť kľúče priamo z konzoly centrálnej správy bez nutnosti zásahu technickej podpory dodávateľa či výrobcu

 

10.

Riešenie musí umožniť integráciu so štruktúrami Microsoft Active Directory za účelom správy ochrany zariadení v týchto inventároch.

 

11.

Riešenie musí byť schopné odhaliť zariadenia, ktoré nie sú vedené v Active Directory pomocou Network Discovery

 

12.

Filtrovanie a riadenie v inventári aspoň podľa mena hostiteľa, operačného systému, IP adries, pridelených pravidiel a podľa času poslednej aktivity

 

13.

Možnosť vzdialenej inštalácie a odinštalácie EPP klienta priamo z konzoly centrálnej správy

 

14.

Možnosť upraviť úroveň skenovacích úloh a ich spúšťania a plánovania priamo z konzoly centrálnej správy

 

15.

Možnosť reštartovania serverov alebo desktopov priamo z konzoly centrálnej správy

 

16.

Centralizované miesto pre zaznamenávanie všetkých úloh

 

17.

Priradenie bezpečnostných pravidiel pre koncové stanice možné granulárne na každej úrovni štruktúry inventáru, vrátane koreňov a listov stromov (tzn. akékoľvek OU, prípadne až priamo konkrétna stanica)

 

18.

Podpora API, SIEM integrácia

 

19.

Viac možností priradenia pravidiel:
podľa užívateľa či skupiny v Active Directory, podľa sieťovej lokality, v ktorej sa zariadenie nachádza (vrátane identifikácie podľa možnej kombinácie – inklúzia či exklúzia - nasledujúcich znakov: IP adresa, rozsah IP adries, DNS server, WINS server,  default gateway, typ siete, názov hostiteľa, DHCP prípona, či je možné sa pripojiť ku konkrétnemu hostiteľovi alebo či je dostupná konzola centrálnej správy) alebo podľa OU, v ktorej sa nachádza v AD

 

20.

Možnosť nastavenia dedičnosti medzi bezpečnostnými pravidlami granulárne podľa sekcií a podsekcií nastavenia bezpečnostných pravidiel

 

21.

Možnosť nastavenia intervalu, v ktorom sú reporty generované, možnosť vytvoriť report okamžite

 

22.

Možnosť zasielania vygenerovaných reportov e-mailom

 

23.

Možnosť stiahnuť vygenerované reporty minimálne vo formátoch .pdf či .csv

 

24.

Možnosť upravenia reportov, vyberanie cieľa (skupina staníc, typ staníc atd.) a časového intervalu, z ktorého je report vytvorený

 

25.

Vzdialená obnova či zmazanie súboru v karanténe

 

26.

Možnosť automaticky pridať súbor do výnimky pri obnove z karantény

 

27.

Viacero preddefinovaných rolí:

- pre správu komponentov riešenia, 

- pre správu bezpečnostných pravidiel a inventár koncových zariadení

- pre správu a tvorbu reportov

 

28.

Podpora 2FA overenia s možnosťou vynútenia

 

29.

Možnosť vynútiť zmenu hesla používateľa po uplynutí určitej doby od jeho poslednej zmeny

 

30.

Možnosť automatického zablokovania užívateľského účtu pri opakovaných neúspešných pokusoch o prihlásenie

 

31.

Detailné možnosti vybrať, aké služby a aké typy staníc môže používateľ spravovať

 

32.

Zaznamenávanie používateľských aktivít

 

33.

Detailný log pre každú aktivitu

 

34.

Komplexné vyhľadávanie v logovacích záznamoch

 

35.

Administrátor môže pred inštaláciou vybrať, ktoré moduly ochrany majú byť nainštalované

 

36.

Inštalácia môže byť zrealizovaná niekoľkými spôsobmi, a to minimálne:
- Stiahnutím inštalačného balíčku priamo do pracovnej stanice, kde bude nainštalovaný

- Inštalácia vzdialene priamo zo správcovskej konzoly

- Distribúcia inštalačného balíčka cez GPO či SCCM

 

37.

Inštalácia klienta na koncové stanice vo vzdialenej lokalite môže byť zrealizovaná z existujúceho, nainštalovaného klienta v tejto vzdialenej lokalite – účelom je optimalizácia prenosu pre WAN/VPN

 

38.

Konzola centrálnej správy bude reportovať počet chránených koncových staníc a počet koncových staníc, ktoré chránené nie sú

 

39.

Konzola správy obsahuje prispôsobiteľné „widgety“ pre okamžitý prehľad o stave ochrany v organizácií

 

40.

Konzola centrálnej správy obsahuje detailné informácie o chránených zariadeniach: názov, IP adresa, operačný systém, nainštalované moduly, aplikované pravidlá, informácie o aktualizáciách

 

41.

Konzola centrálnej správy umožňuje získanie všetkých informácií potrebných pre riešenie problémov s ochranou koncových staníc vrátane podrobných logov

 

42.

Konzola správy umožňuje hromadne zmeniť nastavenia na všetkých staniciach naraz alebo len selektívne pre konkrétnu skupinu staníc naraz

 

43.

Pre rozdielne skupiny používateľov bude možné granulárne nastaviť aké skupiny zariadení majú právo spravovať

 

44.

Možnosť vytvárať inštalačné balíčky pre 32-bit a 64-bit operačné systémy, vrátane samoinštalačného balíčku, ktorý obsahuje kompletnú aplikáciu bez nutnosti prístupu k sieti pre jeho inštaláciu.

 

45.

Inštalačný balíček umožňuje tzv. „tichú“ inštaláciu (nezobrazia sa žiadne upozornenia, nevyžaduje sa žiadna používateľská interakcia)

 

46.

Administrátor bude môcť v inventári správcovskej konzoly vytvárať skupiny a podskupiny, kam bude môcť presúvať chránené koncové body

 

47.

Možnosť spustenia Network discovery z akéhokoľvek už nainštalovaného klienta

 

  1. Vlastnosti a funkcie ochrany fyzických koncových bodov (Windows, Mac, Linux):

Č. p.

Popis požiadavky

Spĺňa/Nespĺňa

1.

Podpora operačných systémov:

Windows 10 1507 a vyšší

Windows 8.1

Windows 8

Windows 7

Windows 10 IoT Enterprise

Windows Embedded 8.1 Industry

Windows Embedded 8 Standard

Windows Embedded Standard 7

Windows Embedded Compact 7

Windows Embedded POSReady 7

Windows Embedded Enterprise 7

Windows Server 2019

Windows Server 2019 Core

Windows Server 2016

Windows Server 2016 Core

Windows Server 2012 R2

Windows Server 2012

Windows Small Business Server 2011

Windows Server 2008 R2

Ubuntu 14.04 LTS a vyšší

Red Hat Enterprise Linux

CentOS 6.0 a vyšší

SUSE Linux Enterprise Server 11 SP4 a vyšší

OpenSUSELeap 42.x

Fedora 25 a vyšší

Debian 8.0 a vyšší

Oracle Linux 6.3 a vyšší

Amazon Linux AMI 2016.09 a vyšší

Mac OS X El Capitan (10.11) a vyšší

 

2.

Automatické skenovanie dát, pri ich manipulácií – t.z. otváranie súborov, kopírovanie súborov, prenášanie súborov (LAN, WAN, zdieľané úložisko, prenosné média, pevný disk...)

 

3.

Automatické skenovanie súborov v reálnom čase s možnosťou nastavenia skenovania len špecifických typov súborov

 

4.

Automatické skenovanie súborov v reálnom čase s možnosťou obmedzenia na maximálnu veľkosť súboru

 

5.

Aktualizácia bezpečnostného obsahu minimálne raz za hodinu

 

6.

Detekcia na základe vírusových definícií (tzv. signatúr)

 

7.

Threat Emulation Technológia (v cloudovom prostredí dodávateľa alebo lokálne)

 

8.

Pokročilá analýza spúšťaných procesov ešte pred ich spustením a ich zablokovanie v prípade vykázania škodlivého chovania (vrátane ochrany proti 0-day útokom)

 

9.

Pokročilá analýza bežiacich procesov v reálnom čase a ich zablokovanie v prípade detekcie škodlivého chovania (vrátane ochrany proti 0-day útokom)

 

10.

Detekcia 0-day útokov na základe cloudového i lokálneho (100% funkčnosť i v prípade výpadku pripojenia k internetu) strojového učenia

 

11.

Dynamická detekcia 0-day útokov, botnetových sietí, DDoS a exploit útokov v cloudových službách dodávateľa pomocou umelej inteligencie a pokročilých algoritmov strojového učenia

 

12.

Detekcia 0-day bez súborových útokov

 

13.

Detekcia 0-day útokov na úrovni sieťových prenosov (útoky na RDP, pokusy o zistenie dostupnosti, detekcia laterálneho pohybu útočníka)

 

14.

Možnosť automatickej kontroly koncových bodov na nesprávnu konfiguráciu a neaktuálnosť bezpečnostných záplat aplikácií na známe zraniteľnosti

 

15.

Možnosť upozornení pred rizikovým chovaním používateľa (prihlasovanie na nezabezpečených weboch, používanie podobného hesla na rôznych weboch, používanie podobného hesla v interných a externých aplikáciách, apod.)

 

16.

„Risk score“ používateľov a koncových bodov umožňujúcich administrátorom priorizovať pri riešení detegovaných incidentov

 

17.

Riziká sú ohodnotené podľa závažnosti a pokiaľ sú spájané s konkrétnym CVE, tak je to uvedené

 

18.

Možnosť automatickej opravy vybraných rizík, prípadne uvedenie návodu k odstráneniu rizík, ktoré nemožno odstrániť automaticky

 

19.

Možnosť automatického spustenia podozrivých súborov v Sandboxe

 

20.

Možnosť špecifických nastavenia Sandboxu – dĺžka pozorovania po spustení, počet opakovaných spustení, prístup k internetu počas spustení áno/nie

 

21.

Možnosť manuálneho vloženia vzorky do Sandboxu

 

22.

Sandbox po analýze vygeneruje rozsiahly report o vykonanej forenznej analýze vrátane: 

- sumárna časť zrozumiteľná pre laikov, 

- podrobné zhrnutie udalostí diania v systéme pre expertov,

- časové osi spustených procesov a zrealizovaných systémových zmien,

- zoznam a geolokačná analýza sieťových pripojení,

- prehľad všetkých vytvorených, zmenených a mazaných súborov

- snímky obrazovky prípadných chybových hlásení

 

23.

Riešenie umožňuje analýzu sieťovej komunikácie

 

24.

Možnosť preverovať http traffic

 

25.

Možnosť preverovať traffic šifrovaný pomocou SSL

 

26.

Možnosť nastavenia hesla pre odinštalovanie EPP klientskej aplikácie z koncových staníc

 

27.

Automatické skenovanie emailov na úrovni pracovnej stanice, bez ohľadu na použitie emailového klienta, obidve pre odchádzajúce (SMTP) a prichádzajúce emaily (POP3)

 

28.

Možnosť skenovať archívy, možnosť nastavenia maximálnej hĺbky skenovaných archívov a maximálnu veľkosť skenovaných archívov

 

29.

Ochrana proti podvodným a phishingovým webovým stránkam

 

30.

Detekcia používaných zariadení (device) na koncových bodoch, možnosť blokovania zariadení podľa typu, možnosť povoliť len konkrétne zariadenie podľa Device ID

 

31.

Všetky vrstvy ochrany implementované do jednej aplikácie (t.z. bez nutnosti inštalácie viac ako jednej aplikácie)

 

 

 

 

32.

Súčasťou riešenia musí byť možnosť bezdotykovej a vzdialenej distribúcie bezpečnostných záplat

 

33.

Automatická distribúcia konkrétnej záplaty pre definovanú zraniteľnosť

 

34.

Distribúcia konkrétnej záplaty pre definovanú zraniteľnosť z konzoly na vyžiadanie administrátorom

 

35.

Riešenie musí mať možnosť definovať úložisko v lokálnej sieti pre zníženie dopadu konektivity do internetu

 

36.

Možnosť zobraziť aktuálny stav nainštalovaných / chýbajúcich / nefunkčných záplat na koncových zariadeniach

 

37.

Súčasťou záplat musí byť popis a detailne informácie (CVE, BuletinID)

 

38.

Riešenie umožňuje distribúciu záplat na fyzické a virtuálne servery platformy windows, Golden Image, pracovné stanice OS windows a aplikácie tretích strán

 

39.

Možnosť odloženia reštartu pre záplaty.

 

40.

Dostupné záplaty pre platformu Windows – desktopy a servery

 

41.

Dostupné záplaty pre aplikáciu MS Office

 

42.

Dostupné záplaty pre aplikácie výrobcov: Adobe Acrobat, Adobe Reader, Google Chrome, Mozilla Firefox, Opera, Zoom client, WinZIP, VMware tools, Cisco WebEx

 

43.

Možnosť blokovať skenovanie portov

 

44.

Modul musí byť možné voliteľne hocikedy inštalovať a odinštalovať bez nutnosti reštartovať OS

 

45.

Firewall obsahuje systém IDS vrátane funkcie odhaľovania neznámych hrozieb

 

46.

Možnosť vypnutia IDS

 

47.

Možnosť nastaviť profily známych sietí

 

48.

Možnosť blokovania Network Discovery kompletne (vrátane spojenia v LAN), alebo len pre spojenia z internetu

 

49.

Po každej aktualizácii bezpečnostného obsahu sú automaticky znovu preskenované súbory v karanténe

 

50.

Možnosť obnovy súboru do originálnej, alebo do novo zadanej lokality

 

51.

Automatické mazanie súborov v karanténe starších než zadaná maximálna doba životnosti (maximum nemôže byť kratšie než 30 dní)

 

52.

Zablokovanie prístupu na internet pre špecifické stanice / skupiny staníc

 

53.

Zablokovanie prístupu ku konkrétnym webom pre špecifické koncové stanice / skupiny staníc

 

54.

Zablokovanie prístupu na internet v určený čas

 

55.

Obmedzenie prístupu k špecifickým typom webových stránok podľa výrobcom spravovaných kategórií (napr. násilie, hazard a iné)

 

56.

Obmedzenie prístupu ku konkrétnym webovým stránkam (vrátane podpory tzn. „wildcards“ pre možnú inklúziu či exklúziu subdomén)

 

  •     3. Ochrana virtualizovaných koncových bodov (Windows, Linux)

Č. p.

Popis požiadavky

Spĺňa/Nespĺňa

1.

Riešenie nepotrebuje VMware vShield či NSX, aby poskytol tzv. bezenginové skenovanie – režim klienta, keď na klientskom VM beží len ľahký klient a všetky úlohy skenovania sú realizované iným, špeciálnym „skenovacím“ zariadením; toto „skenovacie“ zariadenie môže byť virtualizované, ale nie je nutné aby bolo umiestnené na samotnom hypervisore ako chránená klientska VM. Počet týchto špeciálnych virtuálnych zariadení nesmie byť licenciou nijako obmedzený

 

2.

„Skenovacie“ zariadenia sú spravované z konzoly centrálnej správy 

– aktualizácie, reštart, priradenie jednotlivých klientov ku  „skenovacím“ virtuálnym zariadením

 

3.

„Skenovacie“ zariadenie musí byť možné prevádzkovať v režime vysokej dostupnosti a rovnomerného rozloženia záťaže

 

5.

Produkt musí hlásiť aktuálny stav zabezpečenia 

– VM chránený/nechránený, a stav „skenovacieho“ zariadenia

 

6.

Riešenie musí umožňovať optimalizáciu dátových prenosov medzi VM a „skenovacím“ zariadením pomocou deduplikácie skenovacích procesov – t.z. ten istý súbor (podľa hashu) nebude skenovaný na dvoch rôznych VM (za predpokladu, že sa medzitým nezmenila verzia bezpečnostnej klientskej aplikácie)

 

7.

Automatické skenovanie dát, pri ich manipulácií – t.z. otvorenie súborov, kopírovanie súborov, prenášanie súborov (LAN, WAN, zdieľané úložisko, prenosné média, pevný disk...)

 

8.

Automatické skenovanie súborov v reálnom čase môže byť nastavené ku skenovaniu len špecifických typov súborov

 

9.

Automatické skenovanie súborov v reálnom čase môže byť obmedzené na maximálnu veľkosť súborov

 

10.

Aktualizácie bezpečnostného obsahu minimálne raz za hodinu

 

11.

Detekcie na základe vírusových definícií (tzv. signatúr)

 

12.

Threat Emulation Technologia (v cloudovom prostredí dodávateľa alebo lokálne)

 

13.

Pokročilá analýza spúšťaných procesov ešte pred ich spustením a ich zablokovanie v prípade vykázania škodlivého chovania (vrátane ochrany proti 0-day útokom)

 

14.

Pokročilá analýza bežiacich procesov v reálnom čase a ich zablokovanie v prípade detekcie škodlivého chovania (vrátane ochrany proti 0-day útokom)

 

15.

Detekcia 0-day útokov na základe cloudového i lokálneho (100% funkčnosť i v prípade výpadku pripojenia k internetu) strojového učenia

 

16.

Detekcia 0-day útokov na základe odhaľovanie anomálií

 

17.

Dynamická detekcia 0-day útokov, botnetových sietí, DDoS a exploit útokov v cloudových službách dodávateľa pomocou umelej inteligencie a pokročilých algoritmov strojového učenia

 

18.

Detekcia 0-day bez súborových útokov

 

19.

Detekcia 0-day útokov na úrovni sieťových prenosov (útoky na RDP, pokusy o zistenie dostupnosti, detekcia laterálneho pohybu útočníka)

 

20.

Možnosť automatickej kontroly koncových bodov na nesprávnu konfiguráciu a neaktuálnosť bezpečnostných záplat aplikácií na známe zraniteľnosti

 

21.

Možnosť upozornení pred rizikovým chovaním používateľa (prihlasovanie na nezabezpečených weboch, používanie podobného hesla na rôznych weboch, používanie podobného hesla v interných a externých aplikáciách, apod.)

 

22.

„Risk score“ používateľov a koncových bodov umožňujúcich administrátorom priorizovať pri riešení detegovaných incidentov

 

23.

Riziká sú ohodnotené podľa závažnosti a pokiaľ sú spájané s konkrétnym CVE, tak je to uvedené

 

24.

Možnosť automatickej opravy vybraných rizík, prípadne uvedenie návodu k odstráneniu rizík, ktoré nemožno odstrániť automaticky

 

25.

Možnosť automatického spustenia podozrivých súborov v Sandboxe

 

26.

Možnosť špecifických nastavenia Sandboxu – dĺžka pozorovania po spustení, počet opakovaných spustení, prístup k internetu počas spustení áno/nie

 

27.

Možnosť manuálneho vloženia vzorky do Sandboxu

 

28.

Sandbox po analýze vygeneruje rozsiahly report o vykonanej forenznej analýze vrátane: 

- sumárna časť zrozumiteľná pre laikov, 

- podrobné zhrnutie udalostí diania v systéme pre expertov,

- časové osi spustených procesov a zrealizovaných systémových zmien,

- zoznam a geolokačná analýza sieťových pripojení,

- prehľad všetkých vytvorených, zmenených a mazaných súborov

- snímky obrazovky prípadných chybových hlásení

 

29.

Riešenie musí byť schopné logovania procesov, systémových a sieťových aktivít v dobe detegovania incidentu pre ďalšiu investigáciu

 

30.

Riešenie umožňuje analýzu sieťovej komunikácie

 

31.

Možnosť preverovať http traffic

 

32.

Možnosť preverovať traffic šifrovaný pomocou SSL

 

33.

Možnosť nastavenia hesla pre odinštalovanie EPP klientskej aplikácie z koncových staníc

 

34.

Automatické skenovanie emailov na úrovni pracovnej stanice, bez ohľadu na použitie emailového klienta, obidve pre odchádzajúce (SMTP) a prichádzajúce emaily (POP3)

 

35.

Možnosť skenovať archívy, možnosť nastavenia maximálnej hĺbky skenovaných archívov a maximálnu veľkosť skenovaných archívov

 

36.

Ochrana proti podvodným a phishingovým webovým stránkam

 

37.

Detekcia používaných zariadení (device) na koncových bodoch, možnosť blokovania zariadení podľa typu, možnosť povoliť len konkrétne zariadenie podľa Device ID

 

38.

Všetky vrstvy ochrany implementované do jednej aplikácie (t.z. bez nutnosti inštalácie viac ako jednej aplikácie)

 

E/ Dodávka serverovej infraštruktúry pre nové bezpečnostné a monitorovacie systémy spĺňajúca bezpečnostné štandardy a ich šifrované zálohovanie:

Všetky nové systémy, ktoré sú súčasťou dodávky (MS AD, zálohovací SW, monitoring, NTP, DNS, DHCP, centrálna správa firewallov, PKI infraštruktúra, zabezpečenie pracovných staníc EDR), nie je možné prevádzkovať na súčasnom HW vybavení obstarávateľa, nakoľko nedisponujú bezpečnostnými prvkami ani potrebnou kapacitou. Nová serverová infraštruktúra bude pozostávať z dvoch serverov a samostatného plne redundantného dátového úložiska a musí byť koncipovaná tak, aby bolo možné riešenie rozšíriť ešte o dva kompatibilné servery so zachovaním redundancie virtualizácie a live migration medzi servermi.

Potrebný HW – servery špecifikácia:

Servery musia spĺňať nasledujúce požiadavky:

Požadované množstvo 2 servery s parametrami uvedenými v tejto tabuľke.

 

Popis

Základná konfigurácia x86  servera

Základná konfigurácia servera musí minimálne obsahovať

Prevedenie

Optimalizovaný pre umiestnenie do 19" dátového rozvádzača (racku), výška max. 1U
Uchytenie servera v racku na výsuvných koľajniciach – musia byť súčasťou dodávky

Požiadavky na procesorthumb_up

Model servera umožňujúci osadenie dvomi procesormi typu x86.
Osadené procesory s parametrami: presne fyzických 8 jadier, zakladá frekvencia min 2.6GHz. Server musí byť preukázateľne schopný dosiahnuť výsledok v teste SPECrate®2017_int_peak aspoň 254 bodov pri osadení dvomi procesormi.
Údaj o výkone musí byt preukázateľný pre konkrétny ponúkaný server na verejne dostupnej stránke https://www.spec.org. 

Systémová pamäť

Server disponuje min 32 využiteľnými pamäťovými slotmi.
Osadená kapacita: min 256 DDR5 4800MHz.

Registered DIMM, s funkciou detekcie a opravy multibitových chýb ECC,SDDC, patrol scrubbing, demand scrubbing, Bounded Fault, DRAM Address Command Parity with Replay, DRAM Uncorrected ECC Error Retry, On-die ECC, ECC Error Check and Scrub (ECS), Post Package Repair

 

Požadované je použitie pamäťových modulov o kapacite minimálne 32 GB.

Subsystém pevných diskov

Osadené 2x min. 480GB M2 SATA 7mm SSD typu hot-swap v HW RAID 1. Min. prepisová kapacita 1324TB alebo min 1.5 DWPD. Minimálne výkonnostné parametre disku: 85tis IOPS pri čítaní (4kB bloky) a 36tis pri zápise (4kB bloky).

Sieťové adaptéry

Minimálne 1x 2-portový 1Gbps RJ45 ethernet adaptér pre pripojenie k externému prostrediu.
Minimálne 1x 4-portový 10/25Gbps SFP28 ethernet adaptér pre pripojenie ku core switch vrátane príslušných 25Gbps transceiverov.

Dátové a video konektory

Minimálne 1 x USB 3.1 a 1x USB 2.0 na prednom paneli.
Minimálne 3x USB 3.0 porty, 1x VGA port na zadnom paneli.
Minimálne 1x USB 3.1 priamo na matičnej doske – dostupný vo vnútri po otvorení vrchného krytu.

Rozširujúce sloty

Minimálne 2x PCIe x16 gen4, minimálne 2x PCIe x8 gen4, minimálne 1x dedikovaný PCI slot pre HW Raid adaptér.

Minimálne 1x OCP/LoM port pre onboard sieťový adaptér.

Napájanie

Minimálny príkon 750W, redundantné napájacie zdroje vymeniteľné za chodu typu hot-swap s 80 PLUS Platinum certifikáciou.

Ventilátory a chladenie

Minimálne 6ks redundantných, za chodu vymeniteľných ventilátorov typu hot-swap.

Správa a monitoring

Formou vzdialenej grafickej KVM konzoly, možnosť štartu, reštartu a vypnutia servera cez sieť LAN, nezávisle od OS, manažment hardvéru vrátane možnosti nastavenia RAID úrovni lokálnych diskov. Požadované funkcionality a prístup k aktualizáciám musia byť poskytované s časovo neobmedzeným licenčným pokrytím.

Predporuchová diagnostika

Predporuchová diagnostika procesorov, pamäťových modulov, RAID radičov, napájacích zdrojov, ventilátorov a HDD/SSD.

Záruka

Lifetime, minimálne počas trvania projektu. Oprava poruchy najneskôr do 24h od nahlásenia, vrátane víkendov a sviatkov. Servis bude poskytovaný v mieste inštalácie. Nahlasovanie poruchy v režime 24x7. Nahlasovanie porúch priamo u výrobcu zariadenia. Vrátane služby ponechania vodného disku zákazníkovi v prípade jeho poruchy.

Súčasťou dodávky sú i služby spojené so zapojením a inštaláciou serverov do racku a sprevádzkovanie virtualizácie s využitím dátového úložiska. Dodávaná virtualizácia musí podporovať živú migráciu medzi servermi, režim údržby pre host/server pre potreby údržby/aktualizácie. Virtualizácia musí byť priamo natívne podporovaná (bez nutnosti inštalácie agenta) zálohovacím riešením, ktoré je taktiež súčasťou dodávky. Súčasťou dodávky musia byť i príslušné licencie Windows Server Datacenter 2022, ktoré pokryjú oba dodané servery.

Potrebný HW – dátové úložisko:

Názov položky

Primárne diskové pole

Počet ks

1

Diskové pole musí obsahovať minimálne tieto parametre:

 

Architektúra

All Flash dátové úložisko, musí byť v portfóliu výrobcu v kategórii All Flash Arrays a určené iba pre SSD/Flash média, plne redundantné enterprise riešenie bez SPOF určené na prevádzku min. 24x7

 

Dostupnosť 99.999 deklarovaná výrobcom

 

Počet fyzických kontrolérov minimálne 2 s možnosťu ďalšieho rozšírenia počtov fyzických kontrolérov na min. 4 kontroléry

 

Architektúra kontrolérov je Active-Active a súčasťou dodávky sú minimálne. 2 kontroléry.

 

Cache celkom minimálne 64GB RAM s ochrana batériou proti strate dát a mechanizmom pre zálohu na Flash médium v prípade výpadku napájania.

 

Konektivita SAN iSCSI i podpora FC, diskové pole musí podporovať protokoly blokového typu. 

 

 

 

Rozšíriteľnosť minimálne na 400 diskov

 

Diskové pole musí byť určené pre inštaláciu do štandardného 19" racku 

 

Podpora distribuovaného RAID s ochranou proti súčasnému výpadku jedného, dvoch i troch diskov v rámci jednej RAID skupiny. Možnosť nastavenia typu ochrany užívateľom

 

Podpora distribuovaného hot spare priestoru pro rýchle zotavenie po výpadku disku.

 

Diskové pole v prevední SAS alebo NVMe s podporovanými diskami min. o týchto veľkostiach  1.92TB SSD, 3.84TB, 7.68TB

 

Podpora min. 2000 LUNov

 

V dodanom riešení musí zostať aspoň 50% pozícií voľných pre rozšírenie kapacity iba pridaním SAS/NVMe médií bez nutnosti zakúpiť ďalšiu expanznú jednotku.

Kapacita

Dátova oblasť typu SAS/NVMe SSD minimálne 12 TiB čistej využiteľnej kapacity bez využitia kompresie a deduplikácie. Táto oblasť musí mať naviac dedikovanú hot spare kapacitu o veľkosti minimálne 1 disku. Paritná a spare kapacita sa nezapočítava do čistej využiteľnej kapacity. Typ RAID zabezpečenia minimálne so single parity.

 

Z návrhu musí byť jasne známe: počet a typ diskov, typ RAID ochrany, veľkosť RAID, hrubá kapacita v TiB, čistá využiteľná kapacita v TiB, kapacita hot spare v TiB. Kapacitná analýza výrobcu musí byť priložená k ponuke.

Fyzická konektivita

Pripojenie do LAN pomocou 10 GE vrátane optických modulov SFP+. Počet fyzických portov minimálne 8.

 

Pripojenie do LAN pomocou 1 GE RJ45. Počet fyzických portov celkom minimálne 4.

 

 

 

Pripojenie do management LAN pomocou vyhradených 1GbE portov, min. 1 port v každom kontroléry.

 

Redundantné hotswap napájanie.

Prístupové protokoly

Podpora blokových protokolov iSCSI, ako po 1GE, tak aj po 10 GE - súčasťou požadovanej konfigurácie.

 

 

SW funkcionality - povinná výbava vrátane licencie na celú dodanú kapacitu

Základný užívateľský manažment celého poľa vrátane GUI a CLI

 

Monitoring výkonostných charakteristík a historický reporting

 

Thin provisioning pre efektívne sledovanie kapacít

 

Snapshoty pre vytváranie kapacitne efektivných kópií LUN v diskovom poli

 

Klony pre vytváranie kapacitne efektívnych kópií LUN za chodu a transparentne voči serverom

 

Nástroj pre interné migrácie medzi LUN za chodu a transparentne voči serverom

 

Správa QoS a možnosť nastavenia politík a výkonostných cieľov per LUN. Nastavenie musí byť možné všetkými nasledujúcimi metódami: podľa IOPS, alebo podľa MB/s, alebo podľa priorít.

 

Vzdialená replikácia synchrónne a asynchrónne pre LUNy

 

 

 

Virtualizácia LUN diskových polí iných výrobcov

 

Kontinuálna ochrana pred ransomware na základe kontinuálnych snapshotov celých LUN s možnosťou nastaviť retenciu, čas a počet snapshotov pri takýchto LUN

 

Storage musí podporovať deduplikáciu a kompresiu dát.

Technická podpora

Podpora HW: minimálne počas trvania projektu 5x9 NBD onsite.

 

Podpora SW: minimálne počas trvania projektu, nárok na nové SW verzie, patche, prístup na portál výrobcu.

 

Musí sa jednať o komerčne dostupný produkt podporvaný výrobcom. Uchádzač k ponuke priloží produktový list, datasheet a zároveň uvedie priamy odkaz na produktovú stránku výrobcu

 

Výrobca musí zverejňovať na svojich stránkach informácie o zraniteľnostiach (CVE) pre svoje produkty

 

Možnosť monitorovať zariadenie a hlásiť udalosti priamo výrobcovi ponúkaného diskového poľa

 

Možnosť monitorovať diskové pole pomocou mobilnej aplikácie.

Služby

Fyzická inštalácia v prostredí verejného obstáravateľa, likvidácia obalov.

 

Inštalácia aktuálneho firmware vrátane posledných patchov.

 

Sprevádzkovanie GUI.

 

Namapovanie jedného LUN na zariadenie verejného obstarávateľa 

 

 

Súčasťou dodávky je i inštalácia a konfigurácia storage – zapojenie do switch s agregovaným portom 2x10GB i nastavením switchov alebo priamo do serverov (každý server 1*10 GB do každého kontrolera), mapovania iSCSI LUN pre fyzické servery (ktoré sú súčasťou dodávky). Nastavenie manažment interface do manažment vlan pre každý kontrolér, iSCSI služby v neroutovanej vlan na to určenej – mimo iSCSI vlan backup dát. Nastavenie RAID 6 alebo RAID TP s 1 hotspare diskom.

Potrebný HW – vyhradené diskové pole/NAS na ukladanie šifrovaných záloh:

  • Prevedenie 19“ rack
  • 8 pozícií 2,5“ alebo 3,5“ SATA HDD/SSD
  • RAM minimálne 4 GB DDR4 s možnosťou rozšírenia do 64GB (2x32GB)
  • CPU 64bit x86 s minimálne 4 jadrami a 2.2 GHz 
  • 2 x M2 2280 (PCIe Gen3 x 1)
  • Podpora SSD cache
  • Redundantné napájanie – minimálne 2x 300W PSU
  • Podpora File-based iSCSI LUN a Block-based iSCSI LUN
  • Porty minimálne 2x1GB a 2x10GB s podporou agregácie LACP
  • Veľkosť LUN minimálne 200 TB
  • Podpora Multipath IO (MPIO)
  • Podpora JBOD, Single, RAID 0, 1, 5, 6, 10, 50, 60
  • Podpora EXT3, EXT4, NTFS, FAT32, HFS+, and exFAT
  • Podpora Volume Snapshot, Secure Erase, SSD Trim, SSD Life Estimation, Disk Roaming, Disk Standby, LUN Snapshot
  • Osadené minimálne 4* 8TB SATA HDD alebo SDD – ak HDD minimálne 7200 rpm – disky musia byť určené do NAS s prevádzkou 24/7, podporou RAID a 5 ročnou zárukou.

Súčasťou dodávky je i inštalácia a konfigurácia NAS – zapojenie do switch s agregovaným portom 2x10GB i nastavením switchov, mapovania iSCSI LUN pre zálohovací server (VM). Nastavenie manažment interface do manažment vlan, iSCSI služby v neroutovanej vlan na to určenej – mimo iSCSI vlan produkčných dát. Nastavenie RAID 6 so všetkými diskami.

Potrebný SW – na ukladanie šifrovaných záloh:

  • Natívna podpora inštalácie ako VM priamo v dokumentácii výrobcu.
  • Natívna podpora virtualizácií minimálne:

    • Huawei FusionCompute (KVM): 6.5.1, 8.0.0, 8.0.1, 8.5.1, 8.6.1

    • Microsoft Hyper-V on Windows Server: 2012 R2, 2016, 2019, 2022

    • Microsoft Hyper-V Server: 2012R2, 2016, 2019, 2022, Windows 8.1 (Desktop), Windows 10 (Desktop), Windows 11 (Desktop)

    • Oracle Linux Virtualization Manager (OLVM): 4.3, 4.4, 4.5

    • oVirt: 4.0, 4.1, 4.2, 4.3, 4.4, 4.5

    • Proxmox VE: 7.2, 7.4, 8.0, 8.1, 8.2

    • RHV: 4.0, 4.1, 4.2, 4.3, 4.4

    • VMware vSphere: 5.0.0, 5.1.0, 5.5, 6.0, 6.5, 6.7, 7.0(U1, U2, U3), 8.0(U1, U2)
  • Zálohovanie VM s nastavením periodicity inkrementálnych i plných záloh s držaním plnej konzistencie dát.
  • Podpora V2V migrácie medzi virtualizáciami minimálne:

    •  z vmware na proxmox

    •  z vmware na Hyper-V 

    •  z vmware na Huawei FusionCompute

    •  z Proxmox na vmware

    •  z Proxmox na Hyper-V

    •  z Proxmox na Huawei FusionCompute

    •  z Huawei FusionCompute na proxmox

    •  z Huawei FusionCompute na vmware

    •  z Huawei FusionCompute na Hyper-V

    •  z Hyper-V na proxmox

    •  z Hyper-V na vmware

    •  z Hyper-V na Hyper-V na Huawei FusionCompute
  • Natívna podpora zálohovania databáz:

    •  MS SQL Server 2019 – i klaster

    •  MySQL

    •  MaiaDB
  • Ochrana záloh proti zmene – malware
  • Notifikácie o stave zálohovacích úloh a chýb minimálne mailom.
  • Natívna podpora iSCSI priamo na NAS/storage
  • Podpora „Backup Encryption“ – šifrovania jednotlivých záloh s minimálna úroveň šifry AES-256
  • Plnohodnotné web GUI
  • Podpora inštalácie na OS linux – Rocky linux 9
  • Dodané licencie musia byť perpetuálne (doživotné) s priamou podporou od výrobcu minimálne počas doby trvania projektu.

Súčasťou dodávky je i kompletná inštalácia a sprevádzkovanie zálohovania všetkých VM a databáz inštalovaných na serveroch, ktoré sú súčasťou dodávky. Nastavenie zálohovania konfigurácie na zálohovacie pole/NAS. Nutné nastavenie šifrovania všetkých záloh a nemožnosť zmeny záloh zásahom mimo administrácie samotného hlavného zálohovacieho serveru (webGUI).

F/ Spoločné ustanovenia pre všetky body – celú dodávku:

Dodané servery, dátové úložiská, NAS, virtualizácia, zálohovacie riešenie musí byť kompletne nainštalované a sprevádzkované pre produkčné použitie (best practices použitej virtualizácie) tak, aby všetky dodané komponenty boli plne kompatibilné a využité v inštalácii. Na túto virtualizačnú platformu budú inštalované všetky potrebné a požadované prvky dodanej infraštruktúry a bezpečnostných prvkov. Dodávateľ nesie zodpovednosť za dodávku ako celok, teda plnú kompatibilitu a podporu požadovaných funkcionalít. 

Súčasťou dodávky je i odovzdanie požadovanej dokumentácie, všetkých prístupových hesiel a zaškolenie poverených zamestnancov obstarávateľa (maximálne 5 ľudí) minimálne v rozsahu 1 človekodňa.

image-2024-8-17_21-18-49.png

4.4.4        Využívanie služieb z katalógu služieb vládneho cloudu

Projekt nebude využívať služby vládneho cloudu.

 

4.5        Bezpečnostná architektúra

 

V súčasnosti - ako vyplýva z projektového zámeru - nie sú opatrenia KIB NsP Myjava - v súlade s požiadavkami príslušných predpisov. Navrhovaná architektúra riešenia t.j. dosiahnutie TO BE stavu bude znamenať dosiahnutie súladu opatrení s nasledovnou legislatívou:

  • Zákon č. 95/2019 Z.z. o informačných technológiách vo verejnej správe
  • Zákon č. 69/2018 Z.z. o kybernetickej bezpečnosti
  • Zákon č. 45/2011 Z.z. o kritickej infraštruktúre
  • vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 78/2020 Z. z. o štandardoch pre informačné technológie verejnej správy
  • vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 179/2020 Z. z., ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy
  • vyhláška Úradu na ochranu osobných údajov Slovenskej republiky č. 158/2018 Z. z. o postupe pri posudzovaní vplyvu na ochranu osobných údajov
  • Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov)
  • Zákon č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov.
  • Zákon č. 523/2004 Z. z. o rozpočtových pravidlách verejnej správy a o zmene a doplnení niektorých zákonov v znení neskorších predpisov
  • Zákon č. 578/2004 Z. z. o poskytovateľoch zdravotnej starostlivosti, zdravotníckych pracovníkoch, stavovských organizáciách v zdravotníctve a o zmene a doplnení niektorých zákonov.

 

5.     Závislosti na ostatné ISVS / projekty

Projekt nie je závislý od iných ISVS/Projektov, poskytuje opatrenia KIB pre projekty uvedené v kapitole 4.2.1.

 

6.     Zdrojové kódy

NsP Myjava plánuje pri obstarávaní jednotlivých súčastí projektu, pri ktorých môžu vzniknúť zdrojové kódy postupovať v zmysle vzoru Zmluvy o dielo. Zmluvnú úpravu predkladáme nasledujúcu:

  • Zhotoviteľ je povinný pri akceptácii Informačného systému odovzdať Objednávateľovi funkčné vývojové a produkčné prostredie, ktoré je súčasťou Informačného systému.
  • Zhotoviteľ je povinný pri akceptácii Informačného systému alebo jeho časti odovzdať Objednávateľovi Vytvorený zdrojový kód v jeho úplnej aktuálnej podobe, zapečatený, na neprepisovateľnom technickom nosiči dát s označením časti a verzie Informačného systému, ktorej sa týka. Za odovzdanie Vytvoreného zdrojového kódu Objednávateľovi sa na účely tejto Zmluvy o dielo rozumie odovzdanie technického nosiča dát Oprávnenej osobe Objednávateľa. O odovzdaní a prevzatí technického nosiča dát bude oboma Zmluvnými stranami spísaný a podpísaný preberací protokol.
  • Informačný systém (Dielo) v súlade s Technickou špecifikáciou obsahuje od zvyšku Diela oddeliteľný modul (časť) vytvorený Zhotoviteľom pri plnení tejto Zmluvy o dielo, ktorý je bez úpravy použiteľný aj tretími osobami, aj na iné alebo podobné účely, ako je účel vyplývajúci z tejto Zmluvy o dielo Vytvorený zdrojový kód Informačného systému vrátane jeho dokumentácie bude prístupný v režime podľa § 31 ods. 4 písm. b) Vyhlášky č. 78/2020 (s obmedzenou dostupnosťou pre orgán vedenia a orgány riadenia v zmysle Zákona o ITVS – vytvorený zdrojový kód je dostupný len pre orgán vedenia a orgány riadenia). Pre zamedzenie pochybností uvádzame, že sa jedná len o zdrojový kód ktorý Dodávateľ vytvoril, alebo pozmenil v súvislosti s realizáciou diela. Objednávateľ je oprávnený sprístupniť Vytvorený zdrojový kód okrem orgánov podľa predchádzajúcej vety aj tretím osobám, ale len na špecifický účel, na základe riadne uzatvorenej písomnej zmluvy o mlčanlivosti a ochrane dôverných informácií.
  • Ak je medzi zmluvnými stranami uzatvorená SLA zmluva, od prevzatia Informačného systému sa prístup k vytvorenému zdrojovému kódu vo vývojovom a produkčnom prostredí, vrátane nakladania s týmto zdrojovým kódom, začne riadiť podmienkami dohodnutými v SLA zmluve. Vytvorený zdrojový kód musí byť v podobe, ktorá zaručuje možnosť overenia, že je kompletný a v správnej verzii, t. j. v takej, ktorá umožňuje kompiláciu, inštaláciu, spustenie a overenie funkcionality, a to vrátane kompletnej dokumentácie zdrojového kódu (napr. interfejsov a pod.) takejto Informačného systému alebo jeho časti. Zároveň odovzdaný Vytvorený zdrojový kód musí byť pokrytý testami (aspoň na 90%) a dosahovať rating kvality (statická analýza kódu) podľa CodeClimate/CodeQLa pod. (minimálne stupňa B).
  • Pre zamedzenie pochybností, povinnosti Zhotoviteľa týkajúce sa Vytvoreného zdrojového kódu platí i na akékoľvek opravy, zmeny, doplnenia, upgrade alebo update Vytvoreného zdrojového kódu a/alebo vyššie uvedenej dokumentácie, ku ktorým dôjde pri plnení tejto Zmluvy o dielo alebo v rámci záručných opráv. Vytvorené zdrojové kódy budú vytvorené vyexportovaním z produkčného prostredia a budú odovzdané Objednávateľovi na elektronickom médiu v zapečatenom obale. Zhotoviteľ je povinný umožniť Objednávateľovi pri odovzdávaní Vytvoreného zdrojového kódu, pred zapečatením obalu, skontrolovať v priestoroch Objednávateľa prítomnosť Vytvoreného zdrojového kódu na odovzdávanom elektronickom médiu.
  • Nebezpečenstvo poškodenia zdrojových kódov prechádza na Objednávateľa momentom prevzatia Informačného systému alebo jeho časti, pričom Objednávateľ sa zaväzuje uložiť zdrojové kódy takým spôsobom, aby zamedzil akémukoľvek neoprávnenému prístupu tretej osoby. Momentom platnosti SLA zmluvy umožní Objednávateľ poskytovateľovi, za predpokladu, že to je nevyhnutné, prístup k Vytvorenému zdrojovému kódu výlučne na účely plnenia povinností z uzatvorenej SLA zmluvy.

Ďalej uvádzame postupy, v zmysle ktorých bude narábané so zdrojovým kódom

Centrálny repozitár zdrojových kódov: https://www.zakonypreludi.sk/zz/2020-78/znenie-20200501#p31

Overenie zdrojového kódu s cieľom jeho prepoužitia: https://www.zakonypreludi.sk/zz/2020-85/znenie-20200501#p7-3-c

Spôsoby zverejňovania zdrojového kódu: https://www.zakonypreludi.sk/zz/2020-85/znenie-20200501#p8-9

Inštrukcie k EUPL licenciám: https://joinup.ec.europa.eu/sites/default/files/inline-files/EUPL%201_1%20Guidelines%20SK%20Joinup.pdf

Uvedeným spôsobom obstarávania dôjde k zamedzeniu „Vendor lock-in" v súlade so Zákonom o ITVS.

7.     Prevádzka a údržba

Požadované SLA na služby systémovej a aplikačnej podpory – servisné služby vzťahujúce sa na produkčné a testovacie prostredie IS Úrovne podpory používateľov: Help Desk bude realizovaný cez 3 úrovne podpory, s nasledujúcim označením:

  • L1 podpory IS (Level 1, priamy kontakt zákazníka) - jednotný kontaktný bod verejného obstarávateľa.
  • L2 podpory IS (Level 2, postúpenie požiadaviek od L1) - vybraná skupina garantov, so znalosťou IS (zabezpečuje prevádzkovateľ IS – verejný obstarávateľ).
  • L3 podpory IS (Level 3, postúpenie požiadaviek od L2) - na základe zmluvy o podpore IS (zabezpečuje úspešný uchádzač).

 

Definície:

  • Podpora L1 (podpora 1. stupňa) - začiatočná úroveň podpory, ktorá je zodpovedná za riešenie základných problémov a požiadaviek koncových užívateľov a ďalšie služby vyžadujúce základnú úroveň technickej podpory. Základnou funkciou podpory 1. stupňa je zhromaždiť informácie, previesť základnú analýzu a určiť príčinu problému a jeho klasifikáciu. Typicky sú v úrovni L1 riešené priamočiare a jednoduché problémy a základné diagnostiky, overenie dostupnosti jednotlivých vrstiev infraštruktúry (sieťové, operačné, vizualizačné, aplikačné atď.) a základné užívateľské problémy (typicky zabudnutie hesla), overovanie nastavení SW a HW atď.
  • Podpora L2 (podpora 2. stupňa) – riešiteľské tímy s hlbšou technologickou znalosťou danej oblasti. Riešitelia na úrovni Podpory L2 nekomunikujú priamo s koncovým užívateľom, ale sú zodpovední za poskytovanie súčinnosti riešiteľom 1. úrovne podpory pri riešení eskalovaného hlásenia, čo mimo iného obsahuje aj spätnú kontrolu a podrobnejšiu analýzu zistených dát odovzdaných riešiteľmi 1. úrovne podpory. Výstupom takejto kontroly môže byť potvrdenie, upresnenie, alebo prehodnotenie hlásenia v závislosti na potrebách Objednávateľa. Primárnym cieľom riešiteľov na úrovni Podpory L2 je dostať Hlásenie čo najskôr pod kontrolu a následne ho vyriešiť - s možnosťou eskalácie na vyššiu úroveň podpory – Podpora L3.
  • Podpora L3 (podpora 3. stupňa) - Podpora 3. stupňa predstavuje najvyššiu úroveň podpory pre riešenie tých najobtiažnejších Hlásení, vrátane vykonávania hĺbkových analýz a riešenie extrémnych prípadov.
  • Riešenie incidentov – SLA parametre Za incident je považovaná chyba IS, t.j. správanie sa v rozpore s prevádzkovou a používateľskou dokumentáciou IS. Za incident nie je považovaná chyba, ktorá nastala mimo prostredia IS napr. výpadok poskytovania konkrétnej služby. Označenie závažnosti incidentu:

Závažnosť incidentu

Popis naliehavosti incidentu

Kritická, Bezpečnostná

Kritické chyby, ktoré spôsobia úplné zlyhanie systému ako celku a nie je možné používať ani jednu jeho časť, nie je možné poskytnúť požadovaný výstup z IS.

Bežná

Chyby a nedostatky, ktoré spôsobia čiastočné obmedzenia používania systému

Nekritická

Kozmetické a drobné chyby.

Vyžadované reakčné doby:

Označenie závažnosti incidentu

Reakčná doba od nahlásenia incidentu po začiatok riešenia incidentu

Doba konečného vyriešenia incidentu od nahlásenia incidentu (DKVI)

Spoľahlivosť (počet incidentov za mesiac)

Bežná

Do 24 hodín

48 hodín

5

Kritická

Do 12 hodín

24 hodín

3

Nekritická

Do 48 hodín

Vyriešené a nasadené v rámci plánovaných

releasov

 

Bezpečnostná

Do 12 hodín

24 hodín

1

                   Požiadavky na hlásenie Incidentov sa spracúvajú v rámci časového pokrytia od 8:00 do 16:00.

  • Reakčná doba je čas medzi nahlásením incidentu verejným obstarávateľom (vrátane užívateľov IS, ktorí nie sú v pracovnoprávnom vzťahu s verejným obstarávateľom) na helpdesk úrovne L3 a jeho prevzatím na riešenie.
  • DKVI znamená obnovenie štandardnej prevádzky – čas medzi nahlásením incidentu verejným obstarávateľom a vyriešením incidentu úspešným uchádzačom (do doby, kedy je funkčnosť prostredia znovu obnovená v plnom rozsahu). Do tejto doby sa nezarátava čas potrebný na nevyhnutnú súčinnosť verejného obstarávateľa, ak je potrebná pre vyriešenie incidentu. V prípade potreby je úspešný uchádzač oprávnený požadovať od verejného obstarávateľa schválenie riešenia incidentu.
  • Maximálny počet incidentov za kalendárny mesiac. Každá ďalšia chyba nad stanovený limit spoľahlivosti sa počíta ako začatý deň omeškania bez odstránenia vady alebo incidentu. Duplicitné alebo technicky súvisiace incidenty (zadané v rámci jedného pracovného dňa, počas pracovného času 8 hodín) sú považované ako jeden incident.

                   Incidenty nahlásené verejným obstarávateľom úspešnému uchádzačovi v rámci testovacieho prostredia

  • Majú závažnosť incidentu nekritickú a nižšiu
  • Vzťahujú sa výhradne k dostupnosti testovacieho prostredia
  • Za incident na testovacom prostredí sa nepovažuje incident vztiahnutý k práve testovanej funkcionalite

                   Vyššie uvedené SLA parametre nebudú použité pre nasledovné služby:

  • Služby systémovej podpory na požiadanie (nad paušál)
  • Služby realizácie aplikačných zmien vyplývajúcich z legislatívnych a metodických zmien (nad paušál)

 

8.     Požiadavky na personál

Výzva definuje požiadavky na IT odborníkov participujúcich v rámci projektu – má ísť minimálne o manažéra kybernetickej bezpečnosti. Aby bol dodržaný súlad realizácie projektu s vyhláškou č.401/2023 Z.z. bude zostavený nasledovný projektový tím objednávateľa:

  • kľúčový používateľ a IT architekt: Ján Pražienka
  • manažér kybernetickej bezpečnosti – Ing. Peter Rejta
  • projektový manažér (pre účely realizácie) – Ing. Ladislav Mačuha, MPH

ID

Meno a Priezvisko

Pozícia

Oddelenie

Rola v projekte

1.

Ing. Peter Rejta

Manažér kybernetickej bezpečnosti

Oddelenie informatiky NsP Myjava

manažér kybernetickej a informačnej bezpečnosti

 

2.

Ján Pražienka

Pracovník oddelenia informatiky

Oddelenie informatiky NsP Myjava

kľúčový používateľ a IT architekt

3.

Ing. Ladislav Mačuha, MPH

EPT námestník

NsP Myjava

projektový manažér

Uvedený projektový tím je garanciou úspešnej realizácie projektu po zabezpečení jeho financovania na základe ŽoNFP v rámci výzvy. Všetci členovia tímu budú internými zamestnancami NsP Myjava ku dňu začatia realizácie projektu. Ing. Ladislav Mačuha a Ján Pražienka sú v súčasnosti zamestnancami žiadateľa. Ing. Peter Rejta podpíše Dohodu o prácach vykonávaných mimo pracovného pomeru k začatiu hlavnej aktivity projektu (viď čestné prehlásenie).

Pracovné náplne členov tímu

V zmysle Vyhlášky 401/2023 Z.z. o riadení projektov a zmenových požiadaviek v prevádzke a požiadaviek Výzvy budú obsadené vyššie uvedené role v projektovom tíme. Náplne práce a požiadavky na členov tímu sú nasledovné:

 

Projektová rola:

 

PROJEKTOVÝ MANAŽÉR

 

Stručný popis:

●         zodpovedá za riadenie projektu počas celého životného cyklu projektu. Riadi projektové (ľudské a finančné) zdroje, zabezpečuje tvorbu obsahu, neustále odôvodňovanie projektu (aktualizuje BC/CBA) a predkladá vstupy na rokovanie Riadiaceho výboru. Zodpovedá za riadenie všetkých (ľudských a finančných) zdrojov, členov projektovému tím objednávateľa a za efektívnu komunikáciu s dodávateľom alebo stanovených zástupcom dodávateľa.

●         zodpovedá za riadenie prideleného projektu - stanovenie cieľov, spracovanie harmonogramu prác, koordináciu členov projektového tímu, sledovanie dodržiavania harmonogramu prác a rozpočtu, hodnotenie a prezentáciu výsledkov a za riadenie s tým súvisiacich rizík. Projektový manažér vedie špecifikáciu a implementáciu projektov v súlade s firemnými štandardami, zásadami a princípmi projektového riadenia.

●         zodpovedá za plnenie projektových/programových cieľov v rámci stanovených kvalitatívnych, časových a rozpočtovým plánov a za riadenie s tým súvisiacich rizík. V prípade externých kontraktov sa vedúci projektu/ projektový manažér obvykle podieľa na ich plánovaní a vyjednávaní a je hlavnou kontaktnou osobou pre zákazníka.

Detailný popis rozsahu zodpovednosti, povinností a kompetencií

Zodpovedný za:

●         Riadenie projektu podľa pravidiel stanovených vo Vyhláške 85/2020 Z.z.

●         Riadenie prípravy, inicializácie a realizácie projektu

●         Identifikovanie kritických miest projektu a navrhovanie ciest k ich eliminácii

●         Plánovanie, organizovanie, motivovanie projektového tímu a monitorovanie projektu

●         Zabezpečenie efektívneho riadenia všetkých projektových zdrojov s cieľom vytvorenia a dodania obsahu a zabezpečenie naplnenie cieľov projektu

●         Určenie pravidiel, spôsobov, metód a nástrojov riadenia projektu a získanie podpory Riadiaceho výboru (RV) pre riadenie, plánovanie a kontrolu projektu a využívanie projektových zdrojov

●         Zabezpečenie vypracovania manažérskej a špecializovanej dokumentácie a produktov v minimálnom rozsahu určenom Vyhláškou 85/2020 Z.z., Prílohou č.1

●         Zabezpečenie realizácie projektu podľa štandardov definovaných vo Vyhláške 78/2020 Z.z.

●         Zabezpečenie priebežnej aktualizácie a verzionovania manažérskej a špecializovanej dokumentácie v minimálnom rozsahu Vyhlášky 85/2020 Z.z., Prílohy č.1

●         Vypracovanie, pravidelné predkladanie a zabezpečovanie prezentácie stavov projektu, reportov, návrhov riešení problémov a odsúhlasovania manažérskej a špecializovanej dokumentácie v rozsahu určenom Vyhláškou 85/2020 Z.z., Prílohou č.1 na rokovanie RV

●         Riadenie a operatívne riešenie a odstraňovanie strategických / projektových rizík a závislostí

●         Predkladanie návrhov na zlepšenia na rokovanie Riadiaceho výboru (RV)

●         Zabezpečenie vytvorenia a pravidelnej aktualizácie BC/CBA a priebežné zdôvodňovanie projektu a predkladanie na rokovania RV

●         Celkovú alokáciu a efektívne využívanie ľudských a finančných zdrojov v projekte

●         Celkový postup prác v projekte a realizuje nápravné kroky v prípade potreby

●         Vypracovanie požiadaviek na zmenu (CR), návrh ich prioritizácie a predkladanie zmenových požiadaviek na rokovanie RV

●         Riadenie zmeny (CR) a prípadné požadované riadenie konfigurácií a ich zmien

●         Riadenie implementačných a prevádzkových aktivít v rámci projektov.

●         Aktívne komunikuje s dodávateľom, zástupcom dodávateľa a projektovým manažérom dodávateľa s cieľom zabezpečiť úspešné dodanie a nasadenie požadovaných projektových výstupov,

●         Formálnu administráciu projektu, riadenie centrálneho projektového úložiska, správu a archiváciu projektovej dokumentácie

●         Kontrolu dodržiavania a plnenia míľnikov v zmysle zmluvy s dodávateľom,

●         Dodržiavanie metodík projektového riadenia,

●         Predkladanie požiadaviek dodávateľa na rokovanie Riadiaceho výboru (RV),

●         Vecnú a procesnú administráciu zúčtovania dodávateľských faktúr

 

Odporúčané kvalifikačné predpoklady

 

Poznámka

 

V prípade, ak v projektom tíme NIE SÚ vytvorené projektové role Manažér zmien (Change manager) a Implementačný manažér (Release manager), tak rozsah a povinnosti týchto rolí vykonáva rola Projektový manažér

 

 

 

Projektová rola:

 

IT ARCHITEKT

 

Stručný popis:

●       zodpovedá za návrh architektúry riešenia IS a implementáciu technológií predovšetkým z pohľadu udržateľnosti, kvality a nákladov, za riešenie architektonických cieľov projektu dizajnu IS a súlad s architektonickými princípmi.

●       vykonáva, prípadne riadi vysoko odborné tvorivé činnosti v oblasti návrhu IT. Študuje a stanovuje smery technického rozvoja informačných technológií, navrhuje riešenia na optimalizáciu a zvýšenie efektívnosti prostriedkov výpočtovej techniky. Navrhuje základnú architektúru informačných systémov, ich komponentov a vzájomných väzieb. Zabezpečuje projektovanie dizajnu, architektúry IT štruktúry, špecifikácie jej prvkov a parametrov, vhodnej softvérovej a hardvérovej infraštruktúry podľa základnej špecifikácie riešenia.

●       zodpovedá za spracovanie a správu projektovej dokumentácie a za kontrolu súladu implementácie s dokumentáciou. Môže tiež poskytovať konzultácie, poradenstvo a vzdelávanie v oblasti svojej špecializácie. IT architekt, projektant analyzuje, vytvára a konzultuje so zákazníkom riešenia na úrovni komplexných IT systémov a IT architektúr, najmä na úrovni aplikačného vybavenia, infraštruktúrnych systémov, sietí a pod. Zaručuje, že návrh architektúry a/alebo riešenia zodpovedá zmluvne dohodnutým požiadavkám zákazníka v zmysle rozsahu, kvality a ceny celej služby/riešenia.

Detailný popis rozsahu zodpovednosti, povinností a kompetencií

 

Zodpovedný za:

●         Navrhovanie architektúry IT riešení s cieľom dosiahnuť najlepšiu efektivitu.

●         Transformovanie cieľov, prísľubov a zámerov projektu do tvorby reálnych návrhov a riešení.

●         Navrhovanie takých riešení, aby poskytovali čo najvyššiu funkčnosť a flexibilitu.

●         Posudzovanie vhodnosti navrhnutých riešení s ohľadom na požiadavky projektu.

●         Zodpovednosť za technické navrhnutie a realizáciu projektu.

●         Zodpovednosť za vytvorenie technickej IT dokumentácie a jej následná kontrola.

●         Zodpovednosť za definovanie integračných vzorov, menných konvencií, spôsobov návrhu a spôsobu programovania.

●         Definovanie architektúry systému, technických požiadaviek a funkčného modelu (Proof Of Concept.)

●         Vytvorenie požiadaviek na HW/SW infraštruktúru IS

●         Udržiavanie a rozvoj konzistentnej architektúry s dôrazom na architektúru aplikačnú, dátovú a infraštruktúru

●         Analýzu a odhad náročnosti technických požiadaviek na vytvorenie IS alebo vykonanie zmien v IS

●         Navrhovanie riešení zohľadňujúce architektonické štandardy, časové a zdrojové obmedzenia,

●         Navrhovanie dátových transformácií medzi dátovými skladmi a aplikáciami

●         Vyhodnocovanie implementačných alternatív z pohľadu celkovej IT architektúry

●         Ladenie dátových štruktúr za účelom dosiahnutia optimálneho výkonu

●         Prípravu akceptačných kritérií

●         Analýza nových nástrojov, produktov a technológií

●         Správa, rozvoj a dohľad nad dodržiavaním integračných štandardov

●         Priebežné posudzovanie vecných výstupov dodávateľa v rámci analýzy, návrhu riešenia vrátane Detailného návrhu riešenia (DNR) z pohľadu analýzy a návrhu riešenia architektúry IS

●         Vykonáva posudzovanie a úpravu testovacej stratégie, testovacích scenárov, plánov testov, samotné testovanie a účasť na viacerých druhoch testovania

●         Vykonanie záťažových, výkonnostných a integračných testov a navrhnutie následných nápravných

●         Nasadenie a otestovanie migrácie, overenie kvality dát a navrhnutie nápravných opatrení

●         Participáciu na výkone bezpečnostných testov,

●         Participáciu na výkone UAT testov,

●         Posúdenie prevádzkovo-infraštruktúrnej dokumentácie pred akceptáciou a prevzatím od dodávateľa

●         Aktívnu účasť v projektových tímoch a spoluprácu na vypracovaní manažérskej a špecializovanej dokumentácie a produktov v minimálnom rozsahu určenom Vyhláškou 85/2020 Z.z., Prílohou č.1

●         Plnenie pokynov projektového manažéra a dohôd zo stretnutí projektového tímu

 

Odporúčané kvalifikačné predpoklady

 

Poznámka

 

 

 

Projektová rola:

 

KĽUČOVÝ POUŽIVATEĽ (end user)

 

Stručný popis:

●         zodpovedný za reprezentáciu záujmov budúcich používateľov projektových produktov alebo projektových výstupov a za overenie kvality produktu.

●         zodpovedný za návrh a špecifikáciu funkčných a technických požiadaviek, potreby, obsahu, kvalitatívnych a kvantitatívnych prínosov projektu, požiadaviek koncových používateľov na prínos systému a požiadaviek na bezpečnosť.

●         Kľúčový používateľ (end user) navrhuje a definuje akceptačné kritériá, je zodpovedný za akceptačné testovanie a návrh na akceptáciu projektových produktov alebo projektových výstupov a návrh na spustenie do produkčnej prevádzky. Predkladá požiadavky na zmenu funkcionalít produktov a je súčasťou projektových tímov

Detailný popis rozsahu zodpovednosti, povinností a kompetencií

 

Zodpovedný za:

●         Návrh a špecifikáciu funkčných a technických požiadaviek

●         Jednoznačnú špecifikáciu požiadaviek na jednotlivé projektové výstupy (špecializované produkty a výstupy) z pohľadu vecno-procesného a legislatívy

●         Vytvorenie špecifikácie, obsahu, kvalitatívnych a kvantitatívnych prínosov projektu,

●         Špecifikáciu požiadaviek koncových používateľov na prínos systému

●         Špecifikáciu požiadaviek na bezpečnosť, 

●         Návrh a definovanie akceptačných kritérií,

●         Vykonanie používateľského testovania funkčného používateľského rozhrania (UX testovania)

●         Finálne odsúhlasenie používateľského rozhrania

●         Vykonanie akceptačného testovania (UAT)

●         Finálne odsúhlasenie a  akceptáciu manažérskych a špecializovaných produktov alebo projektových výstupov

●         Finálny návrh na spustenie do produkčnej prevádzky, 

●         Predkladanie požiadaviek na zmenu funkcionalít produktov

●         Aktívnu účasť v projektových tímoch a spoluprácu na vypracovaní manažérskej a špecializovanej dokumentácie a produktov v minimálnom rozsahu určenom Vyhláškou 85/2020 Z.z., Príloha č.1

●         Plnenie pokynov projektového manažéra a dohôd zo stretnutí projektového tímu

 

 

Odporúčané kvalifikačné predpoklady

 

 

Poznámka

 

 

Projektová rola:

 

MANAŽER KYBERNETICKEJ BEZPEČNOSTI (KIB) a IT BEZPEČNOSTI (ITB)

 

Stručný popis:

●         zodpovedá za dodržanie princípov a štandardov na kybernertickú a IT bezpečnosť, za kontrolu a audit správnosti riešenia v oblasti bezpečnosti.

●         koordinuje a riadi činnosť v oblasti bezpečnosti prevádzky IT, spolupracuje na projektoch, na rozvoji nástrojov a postupov k optimalizácii bezpečnostných systémov a opatrení. Stanovuje základné požiadavky, podmienky a štandardy pre oblasť bezpečnosti programov, systémov, databázy či sieti. Spracováva a kontroluje príslušné interné predpisy a dohliada nad plnením týchto štandardov a predpisov. Kontroluje a riadi činnosť nad bezpečnostnými testami, bezpečnostnými incidentmi v prevádzke IT. Poskytuje inštrukcie a poradenstvo používateľom počítačov a informačných systémov pre oblasť bezpečnosti

PODMIENKY SPRÁVNEHO a EFEKTÍVNEHO VÝKONU ČINNOSTI role Manažér KIB a ITB:

1)    neobmedzený aktívny prístup ku všetkým projektovým dokumentom, nástrojom a výstupom projektu, v ktorých sa opisuje predmet projektu z hľadiska jeho architektúry, funkcií, procesov, manažmentu informačnej bezpečnosti a spôsobov spracúvania dát, ako aj dát samotných.

2)    rola manažér Kybernetickej a IT bezpečnosti si vyžaduje mať sprístupnené všetky informácie o bezpečnostných opatreniach zavádzaných projektom v zmysle:

a)     § 20 zákona č.69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov

b)     ustanovení zákona č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov

Detailný popis rozsahu zodpovednosti, povinností a kompetencií

Zodpovedný za:

●       špecifikovanie štandardov, princípov a stratégií v oblasti ITB a KIB,

●       ak je projekt primárne zameraný na problematiku ITB a KIB – je priamo zodpovedný za špecifikáciu a analýzu funkčných požiadaviek na ITB a KIB,

●       špecifikovanie požiadaviek na ITB a KIB, kontroluje ich implementáciu v realizovanom projekte,

●       špecifikovanie požiadaviek na bezpečnosť vývojového, testovacieho a produkčného prostredia,

●       špecifikovanie funkčných a nefunkčných požiadaviek pre oblasť ITB a KIB,

●       špecifikovanie požiadaviek na bezpečnosť v rámci bezpečnostnej vrstvy,

●       špecifikovanie požiadaviek na školenia pre oblasť ITB a KIB,

●       špecifikovanie požiadaviek na bezpečnostnú architektúru riešenia a technickú infraštruktúru pre oblasť ITB a KIB,

●       špecifikovanie požiadaviek na dostupnosť, zálohovanie, archiváciu a obnovu IS vzťahujúce sa na ITB a KIB,

●       realizáciu posúdenie požiadaviek agendy ITB a KIB na integrácie a procesov konverzie a migrácie, identifikácia nesúladu a návrh riešenia

●       špecifikovanie požiadaviek na ITB a KIB, bezpečnostný projekt a riadenie prístupu,

●       špecifikovanie požiadaviek na testovanie z hľadiska ITB a KIB, realizáciu kontroly zapracovania a retestu,

●       špecifikovanie požiadaviek na obsah dokumentácie v zmysle legislatívnych požiadaviek pre oblasť ITB a KIB, ako aj v zmysle "best practies",

●       špecifikovanie požiadaviek na dodanie potrebnej dokumentácie súvisiacej s ITB a KIB kontroluje ich implementáciu v realizovanom projekte,

●       špecifikovanie požiadaviek a konzultácie pri návrhu riešenia za agendu ITB a KIB v rámci procesu „Mapovanie a analýza technických požiadaviek - detailný návrh riešenia (DNR)“,

●       špecifikáciu požiadaviek na bezpečnosť IT a KIB v rámci procesu "akceptácie, odovzdania a správy zdroj. kódov“

●       špecifikáciu akceptačných kritérií za oblasť ITB a KIB,

●       špecifikáciu pravidiel pre publicitu a informovanosť s ohľadom na ITB a KIB,

●       poskytovanie konzultácií pri tvorbe šablón a vzorov dokumentácie pre oblasť ITB a KIB,

●       získavanie informácií nutných pre plnenie úloh v oblasti ITB a KIB,

●       špecifikáciu podmienok na testovanie, reviduje výsledky a výstupy z testovania za oblasť ITB a KIB,

●       konzultácie a vykonávanie kontrolnej činnosť zameranej na obsah a komplexnosť dok. z hľadiska ITB a KIB,

●       špecifikáciu požiadaviek na bezpečnostný projekt pre oblasť ITB a KIB,

●       realizáciu kontroly zameranej na naplnenie požiadaviek definovaných v bezp. projekte za oblasť ITB a KIB

●       realizáciu kontroly zameranú na správnosť nastavení a konfigurácii bezpečnosti jednotlivých prostredí,

●       realizáciu kontroly zameranú realizáciu procesu posudzovania a komplexnosti bezpečnostných rizík, bezpečnosť a kompletný popis rozhraní, správnu identifikácia závislostí,

●       realizáciu kontroly naplnenia definovaných požiadaviek pre oblasť ITB a KIB,

●       realizáciu kontroly zameranú na implementovaný proces v priamom súvise s ITB a KIB,

●       realizáciu kontroly súladu s planou legislatívou v oblasti ITB a KIB (obsahuje aj kontrolu leg. požiadaviek)

●       realizáciu kontroly zameranú zabezpečenie procesu, interfejsov, integrácii, kompletného popisu rozhraní a spoločných komponentov a posúdenia z pohľadu bezpečnosti,

●       poskytovanie konzultácií a súčinnosti pre problematiku ITB a KIB,

●       získavanie a spracovanie informácií nutných pre plnenie úloh v oblasti ITB a KIB,

●       aktívnu účasť v projektových tímoch a spoluprácu na vypracovaní manažérskej a špecializovanej dokumentácie a produktov v minimálnom rozsahu určenom Vyhláškou 85/2020 Z.z., Prílohou č.1

●       plnenie pokynov projektového manažéra a dohôd zo stretnutí projektového tímu

Odporúčané kvalifikačné predpoklady

 

 

9.     Implementácia a preberanie výstupov projektu

Projekt bude realizovaný metódou Waterfall s logickými nadväznosťami realizácie jednotlivých modulov na základe funkčnej a technickej špecifikácie vypracovanej v rámci prípravy projektu.

Tento prístup bol zvolený nakoľko opatrenia KIB je potrebné realizovať vo vzájomných súvislostiach, avšak v správnom postupe. Niektoré môžu byť realizované paralelne, dokonca rôznymi tímami, avšak na základe vopred stanovenej stratégie a plánu celého projektu. Agilný prístup na realizáciu nami plánovaného projektu nie je vhodný i s ohľadom na potrebu realizácie projektu za plnej prevádzky IS NsP Myjava.

10.  Prílohy

Dokument neobsahuje prílohy.

Koniec dokumentu.