Zmeny dokumentu I-02 Projektový zámer (projektovy_zamer)

Naposledy upravil Ján Segéň 2025/03/11 09:50

From 7.1 to 8.1 From 9.1 to 10.1

Z verzie 8.1

upravil Róbert Závacký
-

Zmeniť komentár: Pre túto verziu nie sú komentáre

Do verzie 9.1

upravil Róbert Závacký
-

Zmeniť komentár: Pre túto verziu nie sú komentáre

Raw
Rendered

Súhrn

Vlastnosti stránky (1 modified, 0 added, 0 removed)

Podrobnosti

Vlastnosti stránky

Obsah

@@ -22,7 +22,9 @@
  =   =
  |(((
--1. História DOKUMENTU
++1. (((
++== 1. História DOKUMENTU ==
++)))
  |Verzia|Dátum|Zmeny|Meno
  |0.1|08.11.2024|Pracovný návrh|Ing. Jaroslav Rohaľ
@@ -30,7 +30,7 @@
  |0.3|16.11.2024|Doplnená sfinalizovaná verzia|Ing. Jaroslav Rohaľ
 . (((
--== ÚČEL DOKUMENTU, SKRATKY (KONVENCIE) A DEFINÍCIE ==
++== 2. ÚČEL DOKUMENTU, SKRATKY (KONVENCIE) A DEFINÍCIE ==
  )))
  V súlade **s vyhláškou Ministerstva investícií, regionálneho rozvoja a informatizácie Slovenskej republiky č. 401/2023 Z. z.** **o riadení projektov** **a zmenových požiadaviek v prevádzke informačných technológií verejnej správy **(ďalej len „vyhláška MIRRI SR č. 401/2023 Z. z. o riadení projektov“), je dokument I-02 Projektový zámer určený na rozpracovanie detailných informácií k  projektu „Technické opatrenia na zvýšenie úrovne kybernetickej a informačnej  bezpečnosti” (ďalej len “projekt”), aby bolo možné rozhodnúť o pokračovaní prípravy projektu, pláne realizácie, alokovaní rozpočtu a ľudských zdrojov.
@@ -39,9 +39,9 @@
  Projekt bude implementovať Ministerstvo pôdohospodárstva a rozvoja vidieka Slovenskej republiky (ďalej ako „MPRV SR“ ), ktoré bude zároveň prijímateľom finančného plnenia z vyhlásenej výzvy „Zvýšenie úrovne kybernetickej a informačnej bezpečnosti “ v rámci Programu Slovensko 2021 - 2027 (ďalej len „PSK“), z ktorého má byť Projekt financovaný.
--1.
++1.
 . (((
--=== Použité skratky a pojmy ===
++=== 2.1 Použité skratky a pojmy ===
  )))
  |SKRATKA/POJEM|POPIS
@@ -91,9 +91,9 @@
  Tabuľka 1 Zoznam použitý skratiek a pojmov
--1.
++1.
 . (((
--=== Konvencie pre typy požiadaviek ===
++=== 2.2 Konvencie pre typy požiadaviek ===
  )))
  V zmysle vyhlášky č. 401/2023 Z. z. o riadení projektov je zoznam funkčných, nefunkčných a technických požiadaviek špecifikovaný v samostatnom dokumente **M-05 – Analýza nákladov a prínosov **a preto nie je súčasťou tejto kapitoly.
@@ -124,12 +124,12 @@
 . TP – technická požiadavka
 . XX – poradové číslo požiadavky
 . (((
--== DEFINOVANIE PROJEKTU ==
++== 3. DEFINOVANIE PROJEKTU ==
--1.
--
--=== Manažérske zhrnutie ===
++1. (((
++=== 3.1 Manažérske zhrnutie ===
  )))
++)))
  Cieľom projektu je zabezpečiť obstaranie a implementáciu technických a programových prostriedkov, ako aj overiť účinnosť prijatých bezpečnostných opatrení, ktoré majú priamy vplyv na zvyšovanie úrovne kybernetickej a informačnej bezpečnosti na MPRV SR. Tieto opatrenia sa týkajú správy informačných technológií v oblastiach, kde bola identifikovaná najvyššia miera rizika a najväčší dopad, alebo kde je najväčší nesúlad s požiadavkami vyplývajúcimi zo všeobecne záväzných právnych predpisov, na základe výsledkov vykonaného auditu kybernetickej bezpečnosti.
@@ -257,9 +257,9 @@
  Tabuľka 1 Sumarizácia projektových údajov
--1.
++1.
 . (((
--=== Motivácia a rozsah projektu ===
++=== 3.2 Motivácia a rozsah projektu ===
  )))
  MPRV SR ako správca ITVS a prevádzkovateľ základnej služby je povinný zabezpečiť požadovanú úroveň kybernetickej bezpečnosti informačných systémov naviazaných na poskytovanie základnej služby a celej infraštruktúry IT MPRV SR v súlade platnými všeobecne záväznými právnymi predpismi pre túto oblasť a zabezpečiť ochranu spracúvaných informácií voči kybernetickým hrozbám v súlade s povinnosťami vyplývajúcimi z ustanovení zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov v znení neskorších predpisov (ďalej len „zákon č. 69/2018 Z. z.“).
@@ -272,8 +272,8 @@
  Implementovanie navrhovaných technických opatrení v prostredí MPRV SR je kľúčové pre zabezpečenie IB a KB a ochranu pred kybernetickými hrozbami pre prevádzkované informačné technológie MPRV SR. Realizáciou projektu dôjde k zvýšeniu úrovne KB a IB v nasledujúcich oblastiach:
--*
--**
++*
++**
  *** Rýchlejšia detekcia a reakcia na kybernetické hrozby. Zlepšenie schopnosti identifikácie a reakcie na kybernetické hrozby v reálnom čase. To zahŕňa lepšiu analýzu prevádzkových záznamov, monitorovanie udalostí a upozornení a automatizáciu procesov pre rýchlejšiu identifikáciu a minimalizovanie možného dopadu kybernetických hrozieb a vzniku kybernetického bezpečnostného incidentu.
  *** Integrácia a efektívne využívanie nových technológii umožní rýchlejšie a presnejšie identifikovať kybernetické hrozby a kybernetické bezpečnostné incidenty a zároveň znížiť manuálne úkony.
  *** Posilnenie spolupráce medzi organizačnými útvarmi MPRV SR a zainteresovanými stranami, prevádzky IT a vedenia, aby sa lepšie zdieľali informácie o kybernetických hrozbách, možných dopadoch, prijatých opatreniach a koordinovali sa reakcie na kybernetické bezpečnostné incidenty.
@@ -284,9 +284,9 @@
  Implementáciou projektu „Technické opatrenia na zvýšenie úrovne kybernetickej bezpečnosti“ informačných technológií v správe MPRV SR dôjde k vytvoreniu efektívneho a odolného systému na identifikáciu, monitorovanie a riešenie kybernetických hrozieb s cieľom ochrany MPRV SR pred potenciálnymi kybernetickými útokmi v porovnaní s aktuálnym stavom a výstupom/výsledkom auditu KB.
--1.
++1.
 . (((
--=== Zainteresované strany/Stakeholderi ===
++=== 3.3 Zainteresované strany/Stakeholderi ===
  )))
  |ID|AKTÉR / STAKEHOLDER|(((
@@ -335,9 +335,9 @@
  Tabuľka 3 Zainteresované strany
--1.
++1.
 . (((
--=== Ciele projektu ===
++=== 3.4 Ciele projektu ===
  )))
  Hlavným cieľom projektu je zabezpečenie vyššej úrovne kybernetickej a informačnej bezpečnosti v MPRV SR, najmä vo zvýšení odolnosti voči kybernetickým bezpečnostným incidentom a najmä efektívne riadenie celého životného cyklu identifikovaných kybernetických bezpečnostných incidentov. Všeobecnými cieľmi preto sú:
@@ -363,9 +363,9 @@
  Tabuľka 4 Ciele projektu
--1.
++1.
 . (((
--=== Merateľné ukazovatele (KPI) ===
++=== 3.5 Merateľné ukazovatele (KPI) ===
  )))
  |ID|ID/Názov cieľa|Názov
@@ -396,9 +396,9 @@
  Tabuľka 5 Merateľné ukazovatele
--1.
++1.
 . (((
--=== Špecifikácia potrieb koncového používateľa ===
++=== 3.6 Špecifikácia potrieb koncového používateľa ===
  )))
  Predmetom projektu nie je vývoj ani rozvoj informačných systémov verejnej správy (ISVS) či elektronických služieb s grafickým alebo iným používateľským rozhraním, ktoré by boli určené pre občanov, podnikateľov alebo koncových používateľov. MPRV SR má povinnosť ako správca informačného systému verejnej správy zabezpečiť kybernetickú a informačnú bezpečnosť. Pre koncových používateľov je dôležité, aby boli poskytované služby  bezpečné a dostupné.
@@ -408,17 +408,17 @@
  Je však potrebné uviesť, že z pohľadu špecifikácie potrieb koncového používateľa, v tomto prípade je primárnym koncovým používateľom administrátor IT, manažér KB, sekundárne zamestnanci MPRV SR a terciárne FO/PO ako subjekty využívajúce poskytované služby ISVS, je elementárnou potrebou zabezpečiť minimalizovanie výpadkov prevádzky ISVS z dôvodu kybernetických útokov.
--1.
++1.
 . (((
--=== Riziká a závislosti ===
++=== 3.7 Riziká a závislosti ===
  )))
  Zoznam rizík a závislostí je špecifikovaný v samostatnej prílohe **I-02 Zoznam rizík a závislostí, **ktorá je neoddeliteľnou súčasťou tohto projektového zámeru. Zoznam rizík a závislostí bude počas aktualizovaný počas celej realizačnej etapy projektu.
--1.
++1.
 . (((
--=== Stanovenie alternatív v biznisovej vrstve architektúry ===
++=== 3.8 Stanovenie alternatív v biznisovej vrstve architektúry ===
  )))
  V rámci biznisovej vrstvy architektúry sme analyzovali tri varianty riešenia súčasného stavu. Na základe rozsahu problému identifikovaného v projektovom zámere boli navrhnuté tri alternatívne prístupy. Ako najefektívnejšia bola zvolená Alternatíva č. 2, ktorá komplexne pokrýva všetky procesy a požiadavky zainteresovaných strán (stakeholderov) a poskytuje ucelené riešenie celej životnej situácie. Nižšie sa nachádzajú alternatívy, ktoré reflektujú hlavné ciele a motiváciu pre realizáciu projektu v zmysle jednotlivých aspektov uvedených v rámci motivačnej architektúry. Vo všeobecnosti sú pre všetky vrstvy možné nasledovné všeobecné alternatívy:
@@ -427,10 +427,10 @@
  * **Alternatíva 2:** Implementácia navrhovaných technických opatrení,
  * **Alternatíva 3:** Implementácia čiastkových opatrení pomocou vlastných možností a OpenSource riešení.
--1.
--11.
++1.
++11.
 . (((
--==== Alternatíva 1 – Ponechanie súčasného stavu ====
++==== 3.8.1 Alternatíva 1 – Ponechanie súčasného stavu ====
  )))
  Táto alternatíva zahŕňa zachovanie aktuálneho stavu kybernetickej a informačnej bezpečnosti MPRV SR bez prijatia ďalších opatrení. Súčasný stav odráža existujúce bezpečnostné mechanizmy a infraštruktúru, ktoré sú zosúladené s  požiadavkami vyplývajúcimi zo zákona č. 69/2018 Z. z. a zákona č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov v znení neskorších predpisov (ďalej len “zákon č. 95/2019 Z. z. “) a ich rozsah nezodpovedá komplexnému požadovanému rozsahu čo preukázal  zistenými nesúladmi audit kybernetickej bezpečnosti.
@@ -462,10 +462,10 @@
  * Nesplnenie zákonných povinností, čo môže viesť k sankciám.
  * Negatívny vplyv na reputáciu MPRV SR v prípade vzniku a medializácie kybernetického bezpečnostného incidentu alebo úniku dát.
--1.
--11.
++1.
++11.
 . (((
--==== Alternatíva 2 – Implementácia navrhovaných technických opatrení ====
++==== 3.8.2 Alternatíva 2 – Implementácia navrhovaných technických opatrení ====
  )))
  Táto alternatíva predstavuje systémové a komplexné riešenie zamerané na implementáciu moderných technických opatrení, ktoré zvýšia úroveň kybernetickej a informačnej bezpečnosti MPRV SR. Ide o riešenie, ktoré zahŕňa zavedenie pokročilých technológií, ako je systém na správu prevádzkových záznamov (Log manažment), SIEM (Security Information and Event Management) pre identifikovanie a analyzovanie bezpečnostných udalostí, Vulnerability scanner na detekciu zraniteľností, implementáciu firewallov, riešenia pre správu mobilných zariadení (MDM), dvojfaktorovej autentifikácie a iných ochranných technológií.
@@ -510,10 +510,10 @@
  Kompletné zavedenie systémov môže trvať určitý čas, počas ktorého je potrebné zabezpečiť priebežnú ochranu.
--1.
--11.
++1.
++11.
 . (((
--==== Alternatíva 3 – Implementácia čiastkových opatrení pomocou vlastných možností a OpenSource riešení ====
++==== 3.8.3 Alternatíva 3 – Implementácia čiastkových opatrení pomocou vlastných možností a OpenSource riešení ====
  )))
  Táto alternatíva predpokladá implementáciu iba čiastkových technických opatrení s využitím dostupných riešení typu OpenSource a vlastných technických kapacít MPRV SR. Riešenie by sa zameriavalo len na kritické oblasti a nešlo by o komplexný systémový prístup. Technické opatrenia by boli implementované postupne, s využitím existujúcich možností a kapacít. Doba implementácie by bola príliš dlhá.
@@ -562,9 +562,9 @@
  Obrázok 1 Alternatívy riešenia
--1.
++1.
 . (((
--=== Multikriteriálna analýza ===
++=== 3.9 Multikriteriálna analýza ===
  )))
  V nadväznosti na rozpracovanie alternatív v kapitole 3.8 Stanovenie alternatív v biznisovej vrstve architektúry sa multikriteriálna analýza redukuje na dva základné parametre:
@@ -575,17 +575,17 @@
  Z možných a logických riešení zabezpečujúcich komplexné požiadavky na zvýšenie úrovne kybernetickej bezpečnosti a informačnej bezpečnosti, časový horizont a minimalizáciu rizík považujeme Alterantívu 2 ako najvýhodnejšiu, dlhodobo udržateľnú a racionálnu alternatívu.
--1.
++1.
 . (((
--=== Stanovenie alternatív v aplikačnej vrstve architektúry ===
++=== 3.10 Stanovenie alternatív v aplikačnej vrstve architektúry ===
  )))
  Alternatívy na úrovni aplikačnej architektúry reflektujú alternatívy vypracované na základe „nadradenej" architektonickej biznis vrstvy, pričom vďaka uplatneniu nasledujúcich princípov aplikačná vrstva architektúry dopĺňa informácie k alternatívam stanoveným pomocou biznis architektúry. Ako najvýhodnejšiu z danej analýzy považujeme Alternatívu 2. Výber Aplikačnej architektúry reflektuje výber nadradenej biznis architektúry.
--1.
++1.
 . (((
--=== Stanovenie alternatív v technologickej vrstve architektúry ===
++=== 3.11 Stanovenie alternatív v technologickej vrstve architektúry ===
  )))
  Požiadavky na technológie, prostredníctvom ktorých sa naplnia ciele projektu, sú definované všeobecne a to tak, aby na naplnenie požiadaviek bolo možné použiť technické a programové prostriedky bežne dostupné na relevantnom trhu bez konkrétnych špecifických pre daný prípad jedinečných požiadaviek.
@@ -592,7 +592,7 @@
 . (((
--== POŽADOVANÉ VÝSTUPY  (PRODUKT PROJEKTU) ==
++== 4. POŽADOVANÉ VÝSTUPY  (PRODUKT PROJEKTU) ==
  )))
  V rámci projektu budú požadované nasledovné výstupy projektu:
@@ -611,7 +611,7 @@
  ** Záverečná správa z mimoriadneho auditu KB v prípadoch podľa
 . (((
--== NÁHĽAD ARCHITEKTÚRY ==
++== 5. NÁHĽAD ARCHITEKTÚRY ==
  )))
  Tento projekt predstavuje riešenie vybraných základných prvkov bezpečnostnej architektúry a zároveň aj ďalšie bezpečnostné funkcie realizované v rámci MPRV SR.
@@ -639,9 +639,9 @@
  Špecifikácia výstupov jednotlivých aktivít je uvedená v kapitole Požadované výstupy (produkt projektu).
--1.
++1.
 . (((
--=== Biznis vrstva ===
++=== 5.1 Biznis vrstva ===
  )))
  Biznis architektúra bude pozostávať z nasledovných biznis funkcií, ktoré budú realizovať nižšie uvedené biznis procesy.
@@ -684,9 +684,9 @@
  Obrázok 2 Biznis funkcie bezpečnostnej architektúry
--1.
++1.
 . (((
--=== Aplikačná vrstva ===
++=== 5.2 Aplikačná vrstva ===
  )))
  Aplikačná architektúra bude pre jednotlivé relevantné biznis funkcie, uvedené v časti biznis architektúry, tvorená ďalej popísanými aplikačnými modulmi.
@@ -723,10 +723,10 @@
  Obrázok 3 Aplikačná architektúra
--1.
--11.
++1.
++11.
 . (((
--==== Požiadavky na aplikačné komponenty ====
++==== 5.2.1 Požiadavky na aplikačné komponenty ====
  )))
  Analýzou rizík a dopadov (AR/BIA) bolo v MPRV SR identifikovaných 68  aktív informačných technológií, z toho 15 informačných systémov alebo sietí.
@@ -736,9 +736,9 @@
  MPRV SR má približne 470 zamestnancov a prevádzkuje približne 500 osobných počítačov vrátane prenosných osobných počítačov, 250 mobilných telefónov a 400 pevných IP stolových telefónov. Na centrálnej úrovni MPRV SR prevádzkuje digitálnu telekomunikačnú ústredňu, 15 informačných systémov, 60 krabicových počítačových programov, 16 pevných a 100 virtuálnych serverov. Má vybudovanú lokálnu komunikačnú sieť (LAN a SAN), ktorá sa skladá z kabeláže a 40 aktívnych prvkov, pričom sieť LAN je segmentovaná na úrovni L3 prepínačov a smerovačov.
--1.
--11.
--111.
++1.
++11.
++111.
 . Zaznamenávanie udalostí a monitorovanie – bezpečnostný monitoring
  Bezpečnostný monitoring a riešenie kybernetických bezpečnostných incidentov sú založené na technológiách, procesoch a ľudských zdrojoch. V tejto kapitole sú uvedené základné kritériá a požiadavky na technológie akými sú log manažment (ďalej aj „LM“) . Procesná a ľudskozdrojová stránka je riešená samostatne a tento popis neobsahuje požiadavky na prípadné služby externého Security Operation Centra (ďalej aj „SOC“). Súčasťou bezpečnostného monitoringu je dodanie aj príslušných licencií, implementačných, konzultačných a konfiguračných prác potrebných na zavedenie LM a SIEM v IT prostredí MPRV SR s dostatočnou kapacitou na uloženie prevádzkových záznamov po dobu minimálne 18 mesiacov.
@@ -779,10 +779,10 @@
  MPRV SR požaduje pre LM  splnenie minimálne nasledujúcich parametrov.
--1.
--11.
--111.
--1111.
++1.
++11.
++111.
++1111.
 . Log manažment - systém správy prevádzkových záznamov
  MPRV SR v pozícii prevádzkovateľa základnej služby, je povinné implementovať centrálny nástroj na zaznamenávanie činnosti sietí a informačných systémov (LM) zabezpečujúceho dohľad nad sieťami a informačnými systémami zaznamenávaním prevádzky týchto sietí a informačných systémov v súlade s najmä § 15 vyhlášky Národného bezpečnostného úradu č. 362/2018 Z. z., ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení (ďalej len „vyhláška č. 362/2018 Z. z.“).
@@ -853,11 +853,10 @@
  * Licencia musí obsahovať možnosť zbierať všetky typy výrobcom podporovaných zdrojov udalostí a vlastných proprietárnych logov.
  * Primárne licencie riešenia LM musia byť vlastníctvom MPRV SR a nesmú mať formu predplatného
--
--1.
--11.
--111.
--1111.
++1.
++11.
++111.
++1111.
 . Security Information and Event Management - SIEM
  Povinnosť nástroja na vyhodnocovanie a analýzu prevádzkových záznamov vyplýva pre prevádzkovateľa základnej služby najmä z § 11, § 15 a § 17 vyhlášky č. 326/2018 Z. z. Ide o analytický nástroj na vyhodnocovanie a analýzu prevádzkových záznamov zhromaždených systémom správy prevádzkových záznamov v centrálnom úložisku, log manažmentom. MPRV SR má v testovacej prevádzke Open Source riešenie Wazuh.
@@ -913,9 +913,9 @@
  * obsahovať primárne licencie k riešeniu SIEM, ktorých vlastníkom bude MPRV SR a nesmú mať formu predplatného,
  * Pri zbere a spracovaní logov nesmie v prípade prekročenia licenčného limitu dôjsť ku strate udalostí a ich nespracovaniu, t. j. SIEM nesmie technicky limitovať počet udalostí, aby nedošlo k ich zahodeniu.
--1.
--11.
--111.
++1.
++11.
++111.
 . Vulnerability manažment
  Implementácia nástroja na detegovanie existujúcich zraniteľností bude súčasťou manažmentu zraniteľností (Vulnerability management – ďalej ako „VM“), ktoré zabezpečí správu zraniteľností čo je nepretržitý, proaktívny a často automatizovaný proces, ktorý chráni informačné systémy a siete pred kybernetickými útokmi a únikmi údajov. Ako taký je dôležitou súčasťou celkového bezpečnostného portfólia. Identifikáciou, hodnotením a riešením potenciálnych bezpečnostných slabín môže pomôcť MPRV SR predchádzať útokom a minimalizovať škody, ak dôjde ku kybernetickému bezpečnostnému incidentu.
@@ -1129,8 +1129,8 @@
  * Poskytuje používateľom možnosť zdieľať dashboardy.
  * Poskytuje informačný panel, ktorý obsahuje šablóny, ktoré sú tematicky zamerané na rôzne cieľové skupiny, štandardy súladu a bezpečnostné kontroly.
  * Poskytuje prispôsobiteľné možnosti rozloženia a formátovania dashboardu.
--*1.
--*11.
++*1.
++*11.
  *111. Sieťová a komunikačná bezpečnosť
  Sieťový firewall je kľúčovým prvkom kybernetickej bezpečnosti v informačných technológiách. Tento bezpečnostný nástroj je navrhnutý na sledovanie a riadenie toku dát medzi rôznymi sieťovými zariadeniami. Jeho hlavným účelom je chrániť sieť pred neoprávneným prístupom, monitorovať sieťovú prevádzku a filtrovať nebezpečnú alebo neautorizovanú komunikáciu. Implementácia sieťových firewalov vyplýva MPRV SR najmä z § 12 vyhlášky č. 362/2018 Z. z. a z § 20 ods. 3 písm. h) zákona č. 69/2018 Z. z. MPRV SR má aktuálne túto povinnosť splnenú avšak pre súčasné firewally končí ku dňu 7.3.2025 technická podpora (EoL – End of Life) bez možnosti prolongácie tohto termínu a preto bola aj výmena týchto zariadení zaradená do predmetu projektu.
@@ -1238,9 +1238,9 @@
  ** možnosť obrátiť sa na tým technickej podpory pri riešení problémov súvisiacich s prevádzkou a aktualizáciou technických a programových prostriedkov a dosiahnuť ich odstránenie,
  ** zabezpečenie vzdialeného prístupu na umožnenie využívania služieb technickej a licenčnej podpory zariadení a možnosť spravovať licencie na portáli výrobcu zariadení, ak už bol v minulosti takýto prístup udelený, zachovať súčasné používateľské účty a prístupové oprávnenia.
--1.
--11.
--111.
++1.
++11.
++111.
 . Riadenie prístupov
  Dvojfaktorová autentifikácia, je kľúčovým prvkom kybernetickej bezpečnosti. Tento bezpečnostný postup slúži na zabezpečenie nepovoleného prieniku do IT a je určený na ochranu sietí, elektronických účtov a informačných systémov pred neoprávneným prístupom a manipuláciou. Prioritou MPRV SR je implementácia princípov 2FA, čo znamená vykonanie technických opatrení pre pridanie ďalšej vrstvy zabezpečenia nad tradičným spôsobom prihlasovania prostredníctvom prihlasovacieho mena a prihlasovacieho heslom. V závislosti od používaných technológií v prostredí MPRV SR bude pravdepodobne použitý kombinovaný model s využitím hardvérových tokenov (USB kľúče, smart karty alebo iné hardvérové tokeny) a zamestnanci s prideleným služobným mobilom budú využívať metódu generovania 2FA kódov prostredníctvom určeného programového prostriedku nainštalovaného v služobnom mobilnom telefóne.
@@ -1285,9 +1285,9 @@
  * Možnosť integrácie so SIEM (Security Information and Event Management) systémom pre pokročilú analýzu bezpečnostných udalostí.
  * Nastavenie upozornení pre prípady opakovaných neúspešných autentifikácií alebo podozrivých pokusov o prihlásenie.
--1.
--11.
--111.
++1.
++11.
++111.
 . Bezpečnosť pri prevádzke informačných systémov a sietí
  Nástroj na správu mobilných zariadení (MDM - Mobile Device Management), je komplexný nástroj, ktorý integruje správu prístupu, aplikácií a viacplatformovú správu koncových bodov. Určený je na centrálnu správu mobilných zariadení, ktorými sú primárne služobné smartfóny a tablety. Správa prenosných počítačov nie je aktuálne primárnym cieľom implementácie, ale ich zaradenie do správy mobilných zariadení v budúcnosti nie je vylúčená. Nástroj má umožniť správcom IT nastavenie politík ochrany mobilného zariadenia, monitorovať ich stav, integrovať ich do infraštruktúry, vzdialene ich konfigurovať a v prípade potreby ich zablokovať alebo celkom vymazať.
@@ -1332,10 +1332,9 @@
  * Integrácia s existujúcimi systémami - Podporuje integráciu s existujúcimi systémami správy identity, bezpečnosti a IT služieb.
--
--1.
--11.
--111.
++1.
++11.
++111.
 . Bezpečnostné testovanie
  Kvalitu prijatých bezpečnostných opatrení a technického zabezpečenia IT MPRV SR je potrebné overovať a to vykonávaním pravidelného testovania. V rámci tejto časti procesu kybernetickej ochrany plánuje vykonávať pravidelne penetračné a phishingové testovanie.
@@ -1367,9 +1367,9 @@
  Bezpečnostné testovanie bude realizované minimálne jedenkrát za rok. MPRV v rámci projektu predpokladá realizáciu týchto testov v záverečnej fáze projektu formou služby, ktorá bude vyčíslená ako náklad projektu za účelom overenia implementovaných procesov a riešení.
--1.
--11.
--111.
++1.
++11.
++111.
 . Zavedenie služby SOC (SOCaaS)
  Požaduje sa zabezpečenie služby SOC od externého subjektu v režime dohľadu 8/5 vrátane podpory riešenia kybernetických bezpečnostných incidentov. Režim 8/5 je podmienený aktuálnym stavom kapacít v rámci MPRV. MPRV nedokáže v súčasnosti disponovať takými personálnymi zdrojmi, ktoré by boli schopné poskytovateľovi služby SOC v režime 24/7, poskytovať adekvátnu súčinnosť pri riešení kybernetických bezpečnostných incidentov 24/7 a tým pádom by bola služba v takomto režime aj finančne neefektívna. Riešenie služby SOC v režime 24/7 bude predmetom ďalšieho rozvoja v budúcnosti. Požadované je aj zladenie interných procesov riešenia kybernetických bezpečnostných incidentov (internej smernice) s procesmi SOC.
@@ -1403,72 +1403,72 @@
  MPRV SR za SOC as a Service predpokladá vyčíslenie nákladov na obdobie 12 mesiacov.
--1.
++1.
 . (((
--=== Prehľad e-Government komponentov ===
++=== 5.3 Prehľad e-Government komponentov ===
  )))
  Súčasťou projekt nie je budovanie žiadneho e-Governmentového komponentu.
--1.
--11.
++1.
++11.
 . (((
--==== Prehľad koncových služieb – budúci stav: ====
++==== 5.3.1 Prehľad koncových služieb – budúci stav: ====
  )))
  Výstupom projektu nie sú žiadne koncové služby.
--1.
--11.
++1.
++11.
 . (((
--==== Prehľad budovaných/rozvíjaných ISVS v projekte – budúci stav: ====
++==== 5.3.2 Prehľad budovaných/rozvíjaných ISVS v projekte – budúci stav: ====
  )))
  Výstupom projektu nie sú budované alebo rozvíjané žiadne ISVS.
--1.
--11.
++1.
++11.
 . (((
--==== Prehľad budovaných aplikačných služieb – budúci stav: ====
++==== 5.3.3 Prehľad budovaných aplikačných služieb – budúci stav: ====
  )))
  Výstupom projektu nie sú žiadne aplikačné služby.
--1.
--11.
++1.
++11.
 . (((
--==== Prehľad integrácii ISVS na spoločné ISVS[[(% class="wikiinternallink" %)^^**~[2~]**^^>>path:#_ftn2]](%%) a ISVS iných orgánov verejne správy alebo IS tretích strán ====
++==== 5.3.4 Prehľad integrácii ISVS na spoločné ISVS[[(% class="wikiinternallink wikiinternallink" %)^^**~[2~]**^^>>path:#_ftn2]](%%) a ISVS iných orgánov verejne správy alebo IS tretích strán ====
  )))
  Súčasťou projektu nie sú plánované žiadne integrácie na ISVS, ISVS iných orgánov verejnej správy ani na IS tretích strán.
--1.
--11.
++1.
++11.
 . (((
--==== Aplikačné služby na integráciu ====
++==== 5.3.5 Aplikačné služby na integráciu ====
  )))
  Výstupom projektu nie sú žiadne aplikačné služby a zároveň výstup projektu nebude mať dopad na aktuálnu, už využívanú a fungujúcu integráciu.
--1.
--11.
++1.
++11.
 . (((
--==== Poskytovanie údajov z ISVS do IS CPDI ====
++==== 5.3.6 Poskytovanie údajov z ISVS do IS CPDI ====
  )))
  Vzhľadom na charakter projektu, ktorý je zameraný na zvýšenie úrovne kybernetickej a informačnej bezpečnosti, výstup projektu nemá vplyv na aktuálne agendové systémy a nezasahuje do rozsahu poskytovania údajov v porovnaní s aktuálnym stavom.// //
--1.
--11.
++1.
++11.
 . (((
--==== Konzumovanie údajov z IS CPDI ====
++==== 5.3.7 Konzumovanie údajov z IS CPDI ====
  )))
  Vzhľadom na charakter projektu, ktorý je zameraný na zvýšenie úrovne kybernetickej a informačnej bezpečnosti, výstup projektu nemá vplyv na aktuálne agendové systémy a nezasahuje do rozsahu konzumovania údajov z IS CPDI v porovnaní s aktuálnym stavom.// //
@@ -1475,10 +1475,10 @@
--1.
--11.
++1.
++11.
 . (((
--==== Prehľad plánovaného využívania infraštruktúrnych služieb (cloudových služieb) – budúci stav: ====
++==== 5.3.8 Prehľad plánovaného využívania infraštruktúrnych služieb (cloudových služieb) – budúci stav: ====
  )))
  Vzhľadom na charakter projektu nemá výstup projektu dopad na aktuálne využívanie infraštruktúrnych služieb.
@@ -1485,7 +1485,7 @@
 . (((
--== LEGISLATÍVA ==
++== 6. LEGISLATÍVA ==
  )))
  Projekt nevyžaduje úpravy všeobecne záväzných právnych predpisov na dosiahnutie stanovených cieľov a dodanie výstupov. V tejto časti sú uvedené všeobecne záväzné právne predpisy týkajúce sa informačných technológií vo verejnej správe, pričom zoznam nezahŕňa usmernenia a technické normy. Projekt sa bude riadiť aktuálne platnými právnymi predpismi, nariadeniami a ďalšími relevantnými právnymi normami.
@@ -1499,7 +1499,7 @@
  * Zákon č. 18/2018 Z. z. o ochrane osobných údajov v znení neskorších predpisov
 . (((
--== ROZPOČET A PRÍNOSY ==
++== 7. ROZPOČET A PRÍNOSY ==
  )))
   Rozpočet a vypočítané prínosy sú súčasťou samostatného dokumentu **M-05 Analýza nákladov a prínosov (CBA - Cost Benefit Analysis)**  v predpísanej štruktúrovanej forme a v zmysle metodického pokynu k vypracovaniu CBA pre projekty nad 1milión EUR. Tento dokument je vyhotovený v tabuľkovom formáte  a obsahuje podrobné prepočty nákladov a očakávaných prínosov projektu.
@@ -1545,9 +1545,9 @@
  Riziko reputačných škôd je obzvlášť významné, keďže obnovenie dôvery verejnosti a partnerov si vyžaduje nielen čas, ale aj značné úsilie a zdroje. Pre MPRV SR je preto nevyhnutné klásť dôraz na prevenciu kybernetických incidentov, aby ochránilo svoju povesť, finančnú stabilitu a zákonnú integritu.
--1.
++1.
 . (((
--=== Sumarizácia nákladov a prínosov ===
++=== 7.1 Sumarizácia nákladov a prínosov ===
  )))
  |Náklady|Spolu|Zaznamenávanie udalostí a monitorovanie – bezpečnostný monitoring|Nástroj na detegovanie zraniteľností (Vulnerability scanner)|Sieťová a komunikačná bezpečnosť a riadenie prístupov|Správa mobilných zariadení (MDM)|Bezpečnostné testovanie a zavedenie služby SOC (SOCaaS)
@@ -1584,7 +1584,7 @@
  Tabuľka 7 Interpretácia CBA
 . (((
--== HARMONOGRAM JEDNOTLIVÝCH FÁZ PROJEKTU a METÓDA JEHO RIADENIA ==
++== 8. HARMONOGRAM JEDNOTLIVÝCH FÁZ PROJEKTU a METÓDA JEHO RIADENIA ==
  )))
  Projekt bude realizovaný pomocou vodopádového prístupu (Waterfall), vzhľadom na absenciu vývoja „diela na mieru“, ktoré by mohlo byť rozdelené do niekoľkých inkrementov s cieľom ich priebežného nasadenia do produkčnej prevádzky. Predmetom projektu je zabezpečenie:
@@ -1653,7 +1653,7 @@
 . (((
--== PROJEKTOVÝ TÍM ==
++== 9. PROJEKTOVÝ TÍM ==
  )))
  Riadiaci výbor projektu tvorí predseda riadiaceho výboru projektu a vlastníci procesov alebo nimi poverení zástupcovia.
@@ -1670,7 +1670,7 @@
  Riadiaci výbor projektu môžu tvoriť:
--1.
++1.
 . predseda Riadiaceho výboru projektu,
 . Biznis vlastník (vlastník alebo vlastníci procesov) alebo nimi poverený zástupca alebo zástupcovia,
 . zástupcu kľúčových používateľov** **(end user) – zástupca prevádzky IT,
@@ -1731,9 +1731,9 @@
  Projektový manažér MPRV SR bude:
--1.
--11.
--111.
++1.
++11.
++111.
 . zabezpečovať koordináciu projektových činností a manažment v súlade s metodikou PRINCE2 (hlavné dokumenty, priebežné manažérske výstupy, a pod.),
 . riadiť, administratívne a organizačne zabezpečovať implementáciu projektu, komunikovať s  dodávateľmi, sledovať plnenie harmonogramu projektu a zabezpečovať dokumenty požadované MIRRI SR v súlade s podmienkami výzvy,
 . v spolupráci s projektovým manažérom dodávateľa koordinovať realizáciu hlavných aktivít, činností a úloh projektu.
@@ -1776,9 +1776,9 @@
--1.
++1.
 . (((
--=== PRACOVNÉ NÁPLNE ===
++=== 9.1 PRACOVNÉ NÁPLNE ===
  )))
  |**Projektová rola:**|**PROJEKTOVÝ MANAŽÉR**
@@ -2055,10 +2055,10 @@
  //Tabuľka 17 Náplň práce asistenta projektového manažéra//
 . (((
--== PRÍLOHY ==
++== 10. PRÍLOHY ==
--1.
--11.
++1.
++11.
 . M-05 - Analýza nákladov a prínosov
 . I-02 - Zoznam rizík a závislostí
 . I-04 - Katalóg požiadaviek
@@ -2065,7 +2065,6 @@
  )))
--
  ----
  [[~[1~]>>path:#_ftnref1]] Pojmom „prevádzkový záznam“ je pre jednoznačnosť v tomto dokumente chápaný ako udalosť (event) zaznamenaná hardvérovým alebo softvérom komponentom, ktorá je relevantná z pohľadu kybernetickej a informačnej bezpečnosti. Nejde o udalosť (event), ktorú je potrebné sledovať z pohľadu prevádzky IT.

Zmeny dokumentu I-02 Projektový zámer (projektovy_zamer)

Súhrn

Podrobnosti

Aplikácie

Navigácia

Moje posledné úpravy

Need help?