I-03 Prístup k projektu (pristup_k_projektu)

PRÍSTUP K PROJEKTU

Manažérsky výstup I-03

podľa vyhlášky MIRRI č. 401/2023 Z. z. 

Schvaľovanie dokumentu

1. História dokumentu

2. Účel dokumentu

V súlade s Vyhláškou 401/2023 Z.z. je účelom dokumentu Prístup k projektu (I-03) opísať navrhované riešenie, architektúru riešenia projektu na úrovni biznis vrstvy, aplikačnej vrstvy, dátovej vrstvy, technologickej vrstvy, infraštruktúry navrhovaného riešenia, bezpečnostnej architektúry, špecifikáciu údajov spracovaných v projekte, čistenie údajov, prevádzku a údržbu výstupov projektu, prevádzkové požiadavky, požiadavky na zdrojové kódy. Dodávané riešenie musí byť v súlade so zákonom. Zároveň dokument opisuje aj implementáciu projektu a preberanie výstupov projektu.

Nasledujúce podkapitoly rozpracujú detailné informácie prípravy projektu z pohľadu aktuálneho stavu, budúceho stavu a navrhovaného riešenia.

2.1 Použité skratky a pojmy

2.2 Konvencie pre typy požiadaviek (príklady)

Hlavné kategórie požiadaviek v zmysle katalógu požiadaviek, rozdeľujeme na funkčné (funkcionálne), nefunkčné (kvalitatívne, výkonové a pod.) a technické. Podskupiny v hlavných kategóriách  ďalej rozširujeme podľa potrieb projektu, napríklad:

Funkčné (používateľské) požiadavky majú nasledovnú konvenciu:

FRxx

• F            – užívateľská požiadavka
• R           – označenie požiadavky
• xx          – číslo požiadavky

Nefunkčné (kvalitatívne, výkonové a pod.) požiadavky majú nasledovnú konvenciu:

NRxx

• N           – nefunkčná požiadavka (Non Functional Requirements - NFR)
• R           – označenie požiadavky
• xx          – číslo požiadavky

Technické požiadavky majú nasledovnú konvenciu:

TRxx

• T            – technická požiadavka
• R           – označenie požiadavky
• xx          – číslo požiadavky

Ostatné typy požiadaviek môžu byť ďalej definované objednávateľom/PM.

3. Popis navrhovaného riešenia

Riešením projektu je modernizácia technického vybavenia zásahových jednotiek HaZZ a DHZO a objektov hasičských staníc, ktorá pozostáva z nákupu hadvéru a softvéru pre výjazdové tablety GINA v počte 2500 kusov a potrebného hardvéru na vybudovanie WiFi sietí v priestoroch 120 hasičských staníc na pripojenie výjazdových tabletov do siete MV SR.

4. Architektúra riešenia projektu

Architektúra riešenia projektu je spracovaná v súlade s funkčnými a nefunkčnými požiadavkami, ktoré sú bližšie spracované v dokumente I-04 Katalóg požiadaviek.

4.1 Biznis vrstva

Hlavným cieľom projektu je vybudovanie systému pripravenosti hasičských a záchranných zborov a dobrovoľných hasičských zbor obcí na zvládanie mimoriadnych udalostí spôsobených zmenou klímy. Realizovaním projektu sa zmodernizuje a rozšíri aktuálny stav vybavenia profesionálnych jednotiek HaZZ a DHZO a zvýši sa ich operačná akcieschopnosť modernizáciou a rozšírením technického vybavenia pre online podporu zasahujúcich jednotiek a zvýšením informačnej bázy pre operačné strediská rozšírením online prístupových údajov o nové jednotky.

4.2 Aplikačná vrstva

Popis súčasného stavu

Súčasné technické vybavenie koordinačných stredísk a ich prepojenie s operačnými strediskami zabezpečuje informačný systém HaZZ, ktorý je prispôsobený špecifickým požiadavkám IZS v Slovenskej republike a integruje funkcie pre telefonickú, rádiovú a dátovú komunikáciu medzi ohlasovateľmi incidentov, operátorom a vyslanými prostriedkami.

Operačná podpora jednotiek HaZZ pri zásahu je aktuálne vykonávaná prostredníctvom dostupných operačno-technických prostriedkov v dvoch prevedeniach:

• jednotky HaZZ bez podporných prostriedkov - výjazdových tabletov,
• jednotky HaZZ s podporou prostriedkov - výjazdových tabletov.

Aktuálne využívané podporné prostriedky Výjazdové tablety HaZZ so softvérom GINA TABLET 1.0 poskytujú funkčné prepojenie systému podpory s aplikačno-programovým vybavením výjazdového tabletu GINA a zabezpečujú komunikáciu na úrovni operačného a operatívneho riadenia medzi operačným strediskom HaZZ a hasičkou jednotkou. Obsahujú nasledovné služby:

• výjazdový lístok (adresa, druh udalosti, oznamovateľ, popis trasy),
• mapové podklady,
• navigáciu na miesto udalosti,
• informácie z miesta udalosti (informácie od veliteľa zásahu),
• Informáciu o aktuálnej polohe vozidla v systéme GIS na operačnom stredisku HaZZ,
• stav techniky,
• dátový sklad – taktika zásahu (off-line na tablete),
• databázu chemických látok,
• databázu záchranných kariet vozidiel,
• funkcionalitu k tvorbe fotodokumentácie.

V súčasnosti HaZZ disponuje len 360 kusmi výjazdových tabletov, z ktorých 159 je už nefunkčných. Aktuálne množstvo funkčných výjazdových tabletov tak nepokrýva všetky výjazdové vozidlá HaZZ a výjazdové tablety absentujú aj na staniciach DHZO.

Popis budúceho stavu

Obstaraním výjazdových tabletov a licencií pre softvér GINA TABLET 2.0 sa zvýši informačná podpora pre zásahové jednotky HaZZ v podobe podporných aplikácii ako Navigácia, Databáza záchranných kariet vozidiel, Databáza chemických látok, Dátový sklad – taktika zásahu. Zásahovým jednotkám DHZO kat. A1/A pribudnú podporné aplikácie Navigácia, Databáza záchranných kariet vozidiel, Databáza chemických látok, Dátový sklad – taktika zásahu a Zvolanie a pre DHZO kat. B/C to budú aplikácie Navigácia, Dátový sklad – taktika zásahu a Zvolanie. Zabezpečí sa tiež dátová podpora pre manažment HaZZ, zisťovateľov príčin požiarov a riadiacich dôstojníkov pomocou mobilnej aplikácie (v počte 200 kusov) nainštalovanej v služobnom mobilnom telefóne. Operačný dôstojník na operačnom stredisku HaZZ získa informácie o aktuálnej polohe vozidla v geografickom informačnom systéme (GIS).

Výjazdové tablety budú napojené na centrálnu serverovú aplikáciu, ktorá bude prispôsobená pre potreby a procesy v rámci HaZZ a bude prepojená so systémom podpory. Serverová aplikácia bude zabezpečovať vzdialenú konfiguráciu a umožňovať centralizovanú správu jednotlivých zariadení.

Obrázok č. 1: Tok informácií pri využívaní obstaraných prostriedkov

4.2.1Rozsah informačných systémov – AS IS

Nie je relevantné pre projekt, nebudú využívané žiadne ISVS.

4.2.2 Rozsah informačných systémov – TO BE

Nie je relevantné pre projekt, nebudú využívané žiadne ISVS.

4.2.3 Využívanie nadrezortných a spoločných ISVS – AS IS

Nie je relevantné pre projekt, nebudú využívané žiadne ISVS.

4.2.1 Prehľad plánovaných integrácií ISVS na nadrezortné ISVS – spoločné moduly podľa zákona č. 305/2013  e-Governmente – TO BE

Nie je relevantné pre projekt, nebudú využívané žiadne ISVS.

4.2.5 Prehľad plánovaného využívania iných ISVS (integrácie) – TO BE

Nie je relevantné pre projekt, nebudú využívané žiadne ISVS.

4.2.6 Aplikačné služby pre realizáciu koncových služieb – TO BE

Nie je relevantné pre projekt, nebudú využívané žiadne ISVS.

4.2.7 Aplikačné služby na integráciu – TO BE

Nie je relevantné pre projekt, nebudú využívané žiadne ISVS.

4.2.8 Poskytovanie údajov z ISVS do IS CSRÚ – TO BE

Nie je relevantné pre projekt, nebudú využívané žiadne ISVS.

4.2.9 Konzumovanie údajov z IS CSRU – TO BE

Nie je relevantné pre projekt, nebudú využívané žiadne ISVS.

4.3 Dátová vrstva

Nie je relevantné pre projekt. Systematický manažment údajov nie je predmetom navrhovaného projektu.

4.4 Technologická vrstva

4.4.1 Prehľad technologického stavu - AS IS

Celý systém sa skladá z výjazdových tabletov komunikujícich na báze protokolov HTTPs/JSON s aplikačným serverom výjazdového tabletu pomocou webových služieb (IIS). Komunikácia je typicky v rámci portu 443, resp. može byť použitý  iný komunikačný port. Aplikačný server výjazdového tabletu využíva vlastnú databázu, ktorá je umiestnená na DB serveroch systému HaZZ v lokalitách Banská Bystrica a Bratislava. Integrácia na systém podpory HaZZ je realizovaná na báze webových služieb.

Aplikačný server výjazdového tabletu spracováva jednotlivé požiadavky bez-stavovo, umožňuje tak jednoduchú realizáciu load balancingu a fail-overu na aplikačnej úrovni. V rámci navrhovanej architektúry sú všetky logické bloky realizované v redundantnej konfigurácii – primárnej a záložnej.

Tablet je vybavený SIM kartou s definovanou APN sprístupnenou do sieťovej infraštruktúry MINV. Priamo v APN je sprístupnená iba komunikácia na MDM server. Komunikácia na ostatné komponenty je realizovaná pomocou AnyConnect VPN klienta na základe definovanej komunikačnej matice.

Komunikácia medzi tabletom a aplikačným serverom je kvôli bezpečnosti zabezpečovaná cez aplikačný firewall – SSG.

Obrázok č. 2: Prehľad AS-IS architektúry systému výjazdových tabletov

4.4.2 Požiadavky na výkonnostné parametre, kapacitné požiadavky – TO BE

V rámci projektu sa predpokladá obstaranie 2500 kusov výjazdových tabletov so softvérovou licenciou GINA TABLET 2.0 a potrebného hardvéru na vybudovanie WiFi sietí v priestoroch 120 hasičských staníc.

Hardvérové požiadavky na výjazdový tablet:

Hardvérové požiadavky na komponenty WiFi siete:

4.4.3 Využívanie služieb z katalógu služieb vládneho cloudu

Nie je relevantné pre projekt, nebudú využívané žiadne služby vládneho cloudu.

4.5 Bezpečnostná architektúra

Finálna navrhovaná bezpečnostná architektúra bude popísaná v rámci Detailného návrhu riešenia vypracovaného spolu s vybraným dodávateľom v rámci verejného obstarávania a bude vypracovaný bezpečnostný projekt, ktorý bude pozostávať z dvoch hlavných výstupov: bezpečnostného zámeru a analýzy bezpečnosti.

Navrhované riešenie projektu bude v súlade s nasledujúcimi právnymi normami, ktoré stanovujú úroveň potrebnej bezpečnosti IS, pre manipuláciu so samotnými dátami, alebo technické/technologické/personálne zabezpečenie samotnej výpočtovej techniky/HW vybavenia:

• zákon č. 95/2019 Z.z. o informačných technológiách vo verejnej správe,
• zákon č. 69/2018 Z.z. o kybernetickej bezpečnosti,
• zákon č. 45/2011 Z.z. o kritickej infraštruktúre,
• vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 78/2020 Z. z. o štandardoch pre informačné technológie verejnej správy,
• vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 179/2020 Z. z., ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy,
• vyhláška Úradu na ochranu osobných údajov Slovenskej republiky č. 158/2018 Z. z. o postupe pri posudzovaní vplyvu na ochranu osobných údajov ,
• nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),
• zákon č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov.

Komunikácia medzi jednotlivými komponentmi systému bude prebiehať pomocou REST volaní cez protokol HTTPS. Dáta budú chránené pri uložení, ale aj pri prenose symetrickým šifrovaním. Údaje, ktoré sú citlivé z hľadiska integrity alebo dôvernosti, sa musia prenášať iba prostredníctvom zašifrovaného spojenia SSL/TLS. Na prístup k službám bude potrebná autentifikácia s použitím protokolu.

Architektúra systému bude rozdelená do príslušných vrstiev plniacich špecifickú úlohu:

• prístupová vrstva (zodpovedná za autentifikáciu a autorizáciu používateľov),
• aplikačná vrstva (spravujúca logiku a funkcionalitu aplikácie),
• databázová vrstva (zabezpečená proti neoprávnenému prístupu a chránená šifrovaním a pravidelnými zálohami).

Jednotlivé vrstvy budú umiestnené v separátnych, logicky oddelených sieťových segmentoch pričom komunikácia medzi nimi bude umožnená na základe pravidiel nastavených vo firewalle. Komunikácia bude kontinuálne monitorovaná a filtrovaná.

Za monitoring eventov bude zodpovedný prevádzkovateľ IS. Správcovské a monitorovacie rozhrania sieťových prvkov a serverov nebudú prístupné priamo z externej siete, internetu, ale len z vopred špecifikovaných sietí.

Validácia vstupov bude vykonávaná ako na strane servera, tak aj na strane klienta. Na systémoch bude nainštalovaný systém na kontrolu integrity konfiguračných súborov a narušenie integrity bude logované do centrálneho log manažmentu. Integrita používateľských dát uložených v aplikácii bude zabezpečená pomocou vhodných kryptografických prostriedkov. Integrita auditných záznamov a logov bude zabezpečená vhodnými kryptografickými prostriedkami a vynucovaná pomocou oddelenia právomocí. Bude použitý centrálny logovací a auditovací nástroj určený budúcim prevádzkovateľom.

Privilegované prístupy (administrátorské prístupy) budú obmedzené na poverených administrátorov unikátnych pre každý webový server a realizované pomocou šifrovaných kanálov. Pre administrátorov systému bude implementovaný systém riadenia privilegovaných prístupov (PAM), ktorý bude:

• obmedzovať prístup len z vopred definovaných kontrolovaných pracovných staníc,
• používať dvojfaktorovú autentifikáciu,
• monitorovať všetky administrátorské operácie.

Je nutné vytvárať log záznamy všetkých pokusov o autentifikáciu pre aplikáciu, ako aj pre všetky technologické komponenty, na ktorých aplikácia beží a systém pre riadenie privilegovaného prístupu. Logy budú uchovávané na separátnom zariadení a archivované po dobu stanovenú pravidlami budúceho prevádzkovateľa, minimálne však počas 6 mesiacov.

V rámci systému sa budú používateľské roly rozlišovať podľa dvoch oblastí:

• role definované v samotnej aplikácii podľa identifikovaných aktérov v tejto fáze uvedených v Projektovom zámere
• role definované v prostredí, v ktorom sa aplikácia prevádzkuje, ako napr. správca operačného systému, správca databázy, administrátor bezpečnosti, administrátor siete

Na komunikáciu s tretími stranami sa využije napríklad API Gateway, ktorá vytvorí bezpečnostnú vrstvu pre komunikáciu s riadne integrovanými tretími strany (ISVS, komerčné subjekty). Integrované tretie strany sa budú k publikovaným službám pripájať cez REST API publikovanými a dokumentovanými v súlade so štandardom OAS3.0.

5. Závislosti na ostatné ISVS / projekty

Projekt nie je závislý od iných ISVS alebo projektov.

6. Zdrojové kódy

Nie je relevantné pre projekt. Obstaráva sa softvérová licencia, ktorej zdrojové kódy výrobcovia ich zákazníkom neposkytujú.

7. Prevádzka a údržba

Doba udržateľnosti projektu je 5 rokov. Udržateľnosť projektu znamená udržanie (zachovanie) výsledkov realizovaného projektu. Obdobie udržateľnosti projektu sa začína v kalendárny deň, ktorý bezprostredne nasleduje po kalendárnom dni, v ktorom došlo k ukončeniu projektu.

V súčasnom stave je prevádzka a údržba výjazdových tabletov zabezpečená na základe existujúcej SLA zmluvy so súčasným dodávateľom riešenia.

V cieľovom stave bude v rámci zabezpečenia udržateľnosti projektu zabezpečené poskytovanie servisnej podpory a údržby pre SW licencie štandardnou SLA zmluvou na obdobie 5 rokov (ráta sa od ukončenia projektu a nasadenia do prevádzky). Prevádzka a podpora HW bude zabezpečená dodávateľom v rámci štandardnej záručnej doby počas obdobia 2 rokov. Dodávateľ zabezpečí opravu HW v mieste inštalácie v rámci celého Slovenska najneskôr nasledujúci pracovný deň počas obdobia 3 rokov.

K výjazdovým tabletom prideleným na hasičských staniciach alebo iných organizačných jednotkách HaZZ budú mať prístup príslušníci HaZZ pri výkone služobných činností. Tablety určené pre jednotlivé DHZO budú v majetku MV SR a na základe zmluvy o výpožičke budú poskytnuté obciam, ktoré sú zriaďovateľom daných DHZO, bezodplatne a budú využívané členmi DHZO pri výkone zásahových činností alebo administratívnych činností súvisiacich so zásahovou činnosťou DHZO a ich akcieschopnosťou.

Licencie pre mobilné zariadenia určené pre manažment HaZZ, riadiacich dôstojníkov a zisťovateľov príčin požiarov budú inštalované do existujúcich služobných mobilných zariadení v majetku MV SR a využívané budú určenými príslušníkmi pri výkone služobných činností.

Wifi moduly budú inštalované len na hasičských staniciach HaZZ a vo vzdelávacích inštitúciach HaZZ, t.j. Stredná škola požiarnej ochrany MV SR v Žiline a Výcvikové centrum HaZZ Lešť a prístup k nim bude mať len obmedzený počet určených príslušníkov HaZZ alebo zamestnancov MV SR pri ich správe. Majetkovo-právne vzťahy súvisiace s realizovaným projektom sú vysporiadané a na miestach inštalácie obstarávaných zariadení je MV SR majiteľom, správcom alebo v zmluvnom vzťahu prostredníctvom nájomných zmlúv.

Materiálno-technické vybavenie obstarané v rámci projektu bude riadne vedené v majetku a udržiavané v prevádzkyschopnom stave. Materiálno-technické vybavenie obstarané pre DHZO bude týmto jednotkám odovzdávané na základe zmlúv o výpožičke bezodplatne, v ktorých budú uvedené podmienky ich používania a ktoré zabezpečia ich používanie v súlade s cieľmi projektu. V rámci procesu odovzdávania obstaraného materiálno-technického vybavenia bude zrealizované aj zaškolenie používateľov na ovládanie obstaraných zariadení a informovanie o podmienkach používania obstaraných zariadení. Taktiež v rámci pravidelných opakovaných výcvikov a súčinnostných cvičení budú obstarané zariadenia využívané na zabezpečenie komunikácie medzi operačnými strediskami, veliacimi dôstojníkmi a jednotlivými hasičskými jednotkami.

7.1 Prevádzkové požiadavky

Budú zachované rovnako ako v súčasnom stave.

7.2 Požadovaná dostupnosť IS:

Bude zachovaná rovnako ako v súčasnom stave.

8. Požiadavky na personál

Zostavuje sa Riadiaci výbor (RV), v minimálnom zložení:

• Predseda riadiaceho výboru
• Biznis vlastník
• Zástupca prevádzky
• Zástupca dodávateľa (dopĺňa sa až po VO / voliteľný člen)
• Projektový manažér objednávateľa (PM)

Zostavuje sa Projektový tím objednávateľa:

• Kľúčový používateľ,
• IT analytik alebo biznis analytik,
• IT architekt,
• Biznis vlastník,
• Manažér kvality,
• Manažér IT prevádzky (nepovinný člen),
• Manažér kybernetickej a informačnej bezpečnosti (nepovinný člen)

Dodanie, inštalácia a montáž HW pre WiFi prístupové body na hasičských staniciach bude realizovaná externými zdrojmi ako súčasť obstarania HW.

Inštalácia SW na výjazdové tablety a na služobné mobilné telefóny bude realizovaná externými zdrojmi ako súčasť obstarania SW licencií.

9. Implementácia a preberanie výstupov projektu

Projekt bude realizovaný metódou Waterfall po jednotlivých etapách, ktoré za sebou nasledujú (etapa Nákup technických prostriedkov, programových prostriedkov a služieb sa bude prelínať s ostatnými etapami). Waterfall prístup počíta s detailným naplánovaním jednotlivých krokov a následnom dodržiavaní postupu počas vývoja alebo realizácie projektu.

Riešenie projektu bude implementované dodávateľským spôsobom – dodávateľ nasadí riešenie v prostredí objednávateľa, t.j. dodávateľ HW zabezpečí dovoz HW, jeho montáž a konfiguráciu na hasičských staniciach a dodávateľ SW licencií zabezpečí inštaláciu a konfiguráciu SW na výjazdových tabletoch a mobilných telefónoch.

10. Prílohy