Naposledy upravil Lucia Lelkes 2025/04/25 09:46
Z verzie 2.3
upravil Adriana Mlynarovicova
-
Zmeniť komentár: Pre túto verziu nie sú komentáre
Do verzie 2.1
upravil Adriana Mlynarovicova
-
Zmeniť komentár: Pre túto verziu nie sú komentáre

Súhrn

Podrobnosti

Vlastnosti stránky
Obsah
... ... @@ -11,6 +11,7 @@
11 11  |Realizátor projektu|Ministerstvo investícií, regionálneho rozvoja a informatizácie Slovenskej republiky
12 12  |Vlastník projektu|Názov inštitúcie, ktorá zodpovedá za projekt a schvaľuje dokumenty
13 13  
14 +
14 14  **Schvaľovanie dokumentu**
15 15  
16 16  |Položka|Meno a priezvisko|Organizácia|Pracovná pozícia|Dátum|(((
... ... @@ -20,23 +20,28 @@
20 20  )))
21 21  |Vypracoval|Bc. Adriána Mlynarovičová|MIRRI|Projektový manažér| |
22 22  
23 -**1.História DOKUMENTU**
24 24  
25 +1. História DOKUMENTU
26 +
25 25  |Verzia|Dátum|Zmeny|Meno
26 26  |1.0|3.2.2025|Pracovný návrh|
27 27  
28 -**~ 2.ÚČEL DOKUMENTU, SKRATKY (KONVENCIE) A DEFINÍCIE**
29 29  
31 +1. ÚČEL DOKUMENTU, SKRATKY (KONVENCIE) A DEFINÍCIE
32 +
30 30  V súlade s Vyhláškou 401/2023 Z.z. je dokument I-02 Projektový zámer určený na rozpracovanie detailných informácií prípravy projektu, aby bolo možné rozhodnúť o pokračovaní prípravy projektu, pláne realizácie, alokovaní rozpočtu a ľudských zdrojov.
31 31  
32 32  
33 33  Dokument Projektový zámer v zmysle vyššie uvedenej vyhlášky má obsahovať manažérske zhrnutie, rozsah, ciele a motiváciu na realizáciu projektu, zainteresované strany, alternatívy, návrh merateľných ukazovateľov, detailný opis požadovaných projektových výstupov, detailný opis obmedzení, predpokladov, tolerancií a návrh organizačného zabezpečenia projektu, detailný opis rozpočtu projektu a jeho prínosov, náhľad architektúry a harmonogram projektu so zoznamom rizík a závislostí,
34 34  
35 - **2.1 Použité skratky a pojmy**
36 36  
39 +1.
40 +11. Použité skratky a pojmy
41 +
42 +
37 37  |SKRATKA/POJEM|POPIS
38 38  | HW|Hardvér
39 -| IKT|Informačno-komunikačné technológie (organizácie) 
45 +| IKT|Informačno-komunikačné technológie (organizácie)
40 40  | NKÚ|Najvyšší kontrolný úrad Slovenskej republiky
41 41  | IT|Informačné technológie
42 42  | PZS|Pracovná zdravotná služba
... ... @@ -50,10 +50,13 @@
50 50  |VO|Verejné obstarávanie
51 51  
52 52  
53 -**3.DEFINOVANIE PROJEKTU**
54 54  
55 - **3.1 Manažérske zhrnutie**
60 +1. DEFINOVANIE PROJEKTU
56 56  
62 +
63 +1.
64 +11. Manažérske zhrnutie
65 +
57 57  Ministerstvo investícií, regionálneho rozvoja a informatizácie ako orgán vedenia v oblasti informatizácie a zriaďovateľ vládnej jednotky CSIRT pre podsektor informačné systémy verejnej správy predkladaným projektom reaguje na celkovú úroveň kybernetickej bezpečnosti v podsektore. Každá obec je prevádzkovateľom základnej služby štátu a je povinná dodržiavať bezpečnostné opatrenia podľa §20 zákona  č.69/2018 Z.z. o kybernetickej bezpečnosti.
58 58  
59 59  Projekt kybernetická bezpečnosť v samospráve do 6 000 obyvateľov bude realizovaný externým dodávateľom, ktorý bude vybraný cez verejné obstarávanie. Cieľom projektu je zvýšiť kybernetickú bezpečnosť na obciach pomocou procesného, technického, hardvérového vybavenie, aplikácií, softvéru ako ja zastrešenie zdieľanej funkcie IT security experta pre kybernetickú bezpečnosť.
... ... @@ -62,18 +62,19 @@
62 62  Projekt bude realizovaný v 3 oblastiach
63 63  
64 64  1. Technologické zvýšenie bezpečnosti
65 -1*. ​​​​​​​​​​​​​​V prvej etape bude realizovaná implementácia hardvérových a softvérových riešení na základe vykonanej vstupnej GAP analýzy pre každú obec samostatne. Pilotné overenie na vzorke obcí (max. 10), ktorého analytickým výstupom bude vypracovaná vzorová dokumentácia, ktorá sa bude upravovať a aktualizovať pre potreby každej obce. Nasadenie a inštalácia NAS, EDR a Firewall.
66 -1*. Postupný rollout na ďalšie obce na základe prejaveného záujmu obcí. Platforma Centrálny portál kybernetickej bezpečnosti ďalej nazývaný ako „kyberportál“, bude slúžiť ako hlavný komunikačný nástroj ohľadom možnej participácie obcí na projekte (nahlasovanie sa do databázy žiadateľov, zasielanie dokumentácie/informácie o AS IS stave obce z pohľadu KB, atď.). Obce si cez katalóg služieb v kyberportáli vyberú záujem o službu (NAS, EDR, Firewall, školenie zamestnancov, konzultačné služby kybernetickej a informačnej bezpečnosti experta, podpora pri implementácii dokumentácií kybernetickej bezpečnosti, dispečing).
67 -1*. Dispečing a L1/ L2 podpora počas projektu (poskytnutie služieb podpory)
74 +11. V prvej etape bude realizovaná implementácia hardvérových a softvérových riešení na základe vykonanej vstupnej GAP analýzy pre každú obec samostatne. Pilotné overenie na vzorke obcí (max. 10), ktorého analytickým výstupom bude vypracovaná vzorová dokumentácia, ktorá sa bude upravovať a aktualizovať pre potreby každej obce. Nasadenie a inštalácia NAS, EDR a Firewall.
75 +11. Postupný rollout na ďalšie obce na základe prejaveného záujmu obcí. Platforma Centrálny portál kybernetickej bezpečnosti ďalej nazývaný ako „kyberportál“, bude slúžiť ako hlavný komunikačný nástroj ohľadom možnej participácie obcí na projekte (nahlasovanie sa do databázy žiadateľov, zasielanie dokumentácie/informácie o AS IS stave obce z pohľadu KB, atď.). Obce si cez katalóg služieb v kyberportáli vyberú záujem o službu (NAS, EDR, Firewall, školenie zamestnancov, konzultačné služby kybernetickej a informačnej bezpečnosti experta, podpora pri implementácii dokumentácií kybernetickej bezpečnosti, dispečing).
76 +11. Dispečing a L1/ L2 podpora počas projektu (poskytnutie služieb podpory)
68 68  1. Zabezpečenie súladu s legislatívnymi požiadavkami
69 -1*. Táto aktivita bude zameraná na zistenie stavu bezpečnostných opatrení pomocou checklistu pre subjekty kategórie I podľa vyhlášky č. 179/2020 Z.z. Celkovo ide o systematický prístup k hodnoteniu a zlepšovaniu bezpečnosti IT systémov pomocou kontrolného zoznamu a analýzy rozdielov. Zistenie stavu bezpečnostných opatrení na pomocou checklistu, základný stav bezpečnosti IT systémov a GAP analýza.
70 -1*. Spracovanie bezpečnostnej dokumentácie v súlade s požiadavkami zákona č. 95/2019 Z. z. o informačných technológiách  vo verejnej správe a o zmene a doplnení niektorých zákonov  (ďalej len ako ZoITVS) a zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov (ďalej len ako ZoKB).
71 -1*. Implementácia zavedenia procesov a organizácie kybernetickej bezpečnosti. Celkovo ide o to, aby organizácia mala jasne definované a efektívne fungujúce mechanizmy na ochranu svojich informačných systémov a dát pred kybernetickými hrozbami.
72 -1*. Zdieľanie pozície IT security experta pre kybernetickú bezpečnosť. Celkovo teda ide o to, že jeden IT bezpečnostný expert bude poskytovať svoje služby viacerým organizáciám alebo oddeleniam, aby im pomohol zabezpečiť ich informačné systémy a dáta pred kybernetickými hrozbami.
78 +11. Táto aktivita bude zameraná na zistenie stavu bezpečnostných opatrení pomocou checklistu pre subjekty kategórie I podľa vyhlášky č. 179/2020 Z.z. Celkovo ide o systematický prístup k hodnoteniu a zlepšovaniu bezpečnosti IT systémov pomocou kontrolného zoznamu a analýzy rozdielov. Zistenie stavu bezpečnostných opatrení na pomocou checklistu, základný stav bezpečnosti IT systémov a GAP analýza.
79 +11. Spracovanie bezpečnostnej dokumentácie v súlade s požiadavkami zákona č. 95/2019 Z. z. o informačných technológiách  vo verejnej správe a o zmene a doplnení niektorých zákonov  (ďalej len ako ZoITVS) a zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov (ďalej len ako ZoKB).
80 +11. Implementácia zavedenia procesov a organizácie kybernetickej bezpečnosti. Celkovo ide o to, aby organizácia mala jasne definované a efektívne fungujúce mechanizmy na ochranu svojich informačných systémov a dát pred kybernetickými hrozbami.
81 +11. Zdieľanie pozície IT security experta pre kybernetickú bezpečnosť. Celkovo teda ide o to, že jeden IT bezpečnostný expert bude poskytovať svoje služby viacerým organizáciám alebo oddeleniam, aby im pomohol zabezpečiť ich informačné systémy a dáta pred kybernetickými hrozbami.
73 73  1. Zvýšenia povedomia o kybernetických hrozbách
74 -1*. Školenia na úrovni používateľov pre technológiu a nástroje inštalované na obciach (NAS, EDR, firewall).
75 -1*. Školenia pre štatutárov a zamestnancov. Tieto školenia budú zamerané na základy kybernetickej bezpečnosti, phishingové útoky, bezpečné používanie hesiel. Súčasťou školení bude aj predstavenie spracovanie bezpečnostnej dokumentácie a oboznámenie zamestnancov so základnými zásadami z pohľadu KB.
83 +11. Školenia na úrovni používateľov pre technológiu a nástroje inštalované na obciach (NAS, EDR, firewall).
84 +11. Školenia pre štatutárov a zamestnancov. Tieto školenia budú zamerané na základy kybernetickej bezpečnosti, phishingové útoky, bezpečné používanie hesiel. Súčasťou školení bude aj predstavenie spracovanie bezpečnostnej dokumentácie a oboznámenie zamestnancov so základnými zásadami z pohľadu KB.
76 76  
86 +
77 77  Ciele projektu:
78 78  
79 79  * Umožniť dosiahnuť požadovanú úroveň kybernetickej bezpečnosti samospráv v súlade s platnou legislatívou podľa zákona  č.69/2018.
... ... @@ -94,6 +94,7 @@
94 94  * Obstaranie technológií pre obce NAS, Firewall a EDR.
95 95  * Implementácia s poskytnutím služieb podpory
96 96  
107 +
97 97  Dĺžka projektu je plánová na 36 mesiacov.
98 98  
99 99  
... ... @@ -100,8 +100,10 @@
100 100  Odhadované náklady sú 13 243 401 EUR s DPH.
101 101  
102 102  
103 - **3.2 Motivácia a rozsah projektu**
114 +1.
115 +11. Motivácia a rozsah projektu
104 104  
117 +
105 105  V zmysle zákona  č.69/2018 Z.z. o kybernetickej bezpečnosti, je každá obec s počtom obyvateľov viac než 1.000 prevádzkovateľom základnej služby štátu a je povinná dodržiavať bezpečnostné opatrenia podľa §20 (1). Sú to úlohy, procesy, role a technológie v organizačnej, personálnej a technickej oblasti, ktorých cieľom je zabezpečenie kybernetickej bezpečnosti počas životného cyklu sietí a informačných systémov.
106 106  
107 107  
... ... @@ -111,6 +111,7 @@
111 111  * úniku osobných údajov v dôsledku čoho môže vzniknúť škoda na zdraví, či ujma na majetku,
112 112  * obmedzenie výkonu, alebo ohrozenie pôsobnosti obce, najmä s ohľadom na schopnosť zabezpečenia bezpečia, verejného poriadku alebo zvládnutia mimoriadnej udalosti.
113 113  
127 +
114 114  Zvýšená schopnosť detekcie a prevencie hrozieb znižuje riziko kybernetických incidentov a znefunkčnenia informačných systémov územnej samosprávy a poskytovaných služieb občanom a podnikateľom. Zvýšením úrovne kybernetickej bezpečnosti dôjde k skvalitneniu ochrany aktív a celkovej dôveryhodnosti občanov voči samospráve a jej službám.
115 115  
116 116  
... ... @@ -138,6 +138,7 @@
138 138  |Audit, riadenie súladu a kontrolné činnosti|Odporúčané|**Povinné**|**Povinné**
139 139  |Určenie manažéra kybernetickej bezpečnosti|**Povinné**|**Povinné**|**Povinné**
140 140  
155 +
141 141  V závislosti od tabuľky uvedenej vyššie sú obce do 6000 obyvateľov povinné spĺňať tieto bezpečnostné opatrenia:
142 142  
143 143  * riadenie kybernetickej bezpečnosti a informačnej bezpečnosti vo vzťahoch s tretími stranami
... ... @@ -145,6 +145,7 @@
145 145  * riešenie kybernetických bezpečnostných incidentov
146 146  * určenie manažéra kybernetickej bezpečnosti.
147 147  
163 +
148 148  Kybernetická bezpečnosť na samosprávach je zanedbávaná a zriaďovatelia si neuvedomujú jej dôležitosť. Túto skutočnosť potvrdzuje aj správa o kybernetickej bezpečnosti v Slovenskej republike z roku 2023 kde v sektore verejná správa sa stav kybernetickej bezpečnosti dlhodobo nemení aj napriek veľkému počtu prevádzkovateľov. V danej správe vládna jednotka CSIRT v roku 2023 zaznamenal 1 012 incidentov čo oproti minulému roku je nemenné číslo. Najviac hlásení o incidentoch pochádza zo sektorov verejná správa (478), bankovníctvo (77) a zdravotníctvo (26). Dominovali technické typy útokov, ako sú získavanie informácií, nedostupnosť, prienik do systému, škodlivý kód a zraniteľnosť.
149 149  
150 150  
... ... @@ -166,11 +166,14 @@
166 166  Podľa správy ENISA o hrozbách patria podobne ako v roku 2023 verejná správa a štátne inštitúcie najviac preferované hacktivistami. Verejná správa sú pre nich atraktívne ciele, pretože ich útoky môžu mať veľký dopad na spoločnosť a pritiahnuť pozornosť verejnosti.
167 167  
168 168  
185 +
186 +
187 +
169 169  [1] Najaktuálnejšie údaje v čase spracovania dokumentácie. Dostupné na: [[https:~~/~~/www.enisa.europa.eu/publications/enisa-threat-landscape-2024>>url:https://www.enisa.europa.eu/publications/enisa-threat-landscape-2024]]
170 170  
171 171  
172 -[[image:1741949325480-215.png]]
173 173  
192 +[[image:file:///C:/Users/MLYNAR~~1/AppData/Local/Temp/msohtmlclip1/01/clip_image001.jpg]]
174 174  
175 175  Náhľad č.1 Schéma motivačnej architektúry
176 176  
... ... @@ -181,9 +181,8 @@
181 181  Schéma ako si budú obce podávať žiadosti o zapojenie do projektu.
182 182  
183 183  
184 -[[image:1741949306358-762.png]]
203 +[[image:file:///C:/Users/MLYNAR~~1/AppData/Local/Temp/msohtmlclip1/01/clip_image002.jpg]]
185 185  
186 -
187 187  Náhľad č.2 Schéma procesu zapojenia do projektu
188 188  
189 189  V rámci procesu kategorizácie budú jednotlivé obce rozdelené do troch rôznych kategórií. Toto rozdelenie bude založené na ich konkrétnych potrebách a záujmoch, ktoré vyjadria pri výbere služieb z dostupného katalógu. Každá kategória bude zohľadňovať špecifické požiadavky a priority obcí, čím sa zabezpečí, že im budú poskytnuté najvhodnejšie a najefektívnejšie služby v oblasti kybernetickej bezpečnosti.
... ... @@ -215,11 +215,11 @@
215 215  
216 216  Nasadenie a inštalácia NAS, EDR a Firewall:
217 217  
218 - NAS (Network Attached Storage): Zariadenie na ukladanie a zdieľanie dát v rámci siete.
236 +NAS (Network Attached Storage): Zariadenie na ukladanie a zdieľanie dát v rámci siete.
219 219  
220 - EDR (Endpoint Detection and Response): Technológia na monitorovanie a reakciu na kybernetické hrozby na koncových zariadeniach.
238 +EDR (Endpoint Detection and Response): Technológia na monitorovanie a reakciu na kybernetické hrozby na koncových zariadeniach.
221 221  
222 - Firewall: Zariadenie alebo softvér na kontrolu a filtrovanie sieťovej komunikácie.
240 +Firewall: Zariadenie alebo softvér na kontrolu a filtrovanie sieťovej komunikácie.
223 223  
224 224  V zmysle požiadaviek vyhlášky 401/2023 Ministerstva investícií, regionálneho rozvoja a informatizácie Slovenskej republiky o riadení projektov a zmenových požiadaviek v prevádzke informačných technológií verejnej správy, ktoré vyžadujú realizáciu pilotného overenia za účelom minimalizácie rizík, overenia konceptu, funkčnosti riešenia a získania spätnej väzby od používateľov bude v prvom kroku realizovaný pilotné nasadenie bezpečnostných opatrení nasledovne:
225 225  
... ... @@ -229,19 +229,24 @@
229 229  * automatizácia procesov, a výkon úloh tak, aby sa do projektu mohlo zapojiť maximum obcí so záujmom zabezpečenia vlastnej kybernetickej bezpečnosti a súladu so zákonom o kybernetickej bezpečnosti
230 230  * vypracovanie štandardov pre rollout, využitie existujúcich podkladov a materiálov
231 231  
250 +
232 232  Postupný rollout na ďalšie obce na základe prejaveného záujmu obcí. Platforma Centrálny portál kybernetickej bezpečnosti ďalej nazývaný ako „kyberportál“, bude slúžiť ako hlavný komunikačný nástroj ohľadom možnej participácie obcí na projekte (nahlasovanie sa do databázy žiadateľov, zasielanie dokumentácie/informácie o AS IS stave obce z pohľadu KB, atď.). Obce si cez katalóg služieb v kyberportáli vyberú záujem o službu (NAS, EDR, Firewall, školenie zamestnancov, konzultačné služby kybernetickej a informačnej bezpečnosti experta, podpora pri implementácii dokumentácií kybernetickej bezpečnosti, dispečing).
233 233  
234 234  
254 +
235 235  **Zabezpečenie súladu s legislatívnymi požiadavkami**
236 236  
237 237  
238 238  Táto aktivita bude zameraná na zistenie stavu bezpečnostných opatrení pomocou checklistu pre subjekty kategórie I podľa vyhlášky č. 179/2020 Z.z. Celkovo ide o systematický prístup k hodnoteniu a zlepšovaniu bezpečnosti IT systémov pomocou kontrolného zoznamu a analýzy rozdielov.
239 239  
240 -* __Zistenie stavu bezpečnostných opatrení pomocou checklistu__: Použije sa kontrolný zoznam (checklist), ktorý je určený pre subjekty kategórie I podľa vyhlášky 179/2020. Tento zoznam obsahuje konkrétne kritériá a otázky, ktoré pomôžu zistiť, aké bezpečnostné opatrenia sú aktuálne zavedené.
241 -* __Základný stav bezpečnosti IT systémov:__ Checklist umožní získať prehľad o aktuálnom stave bezpečnosti IT systémov. To znamená, že sa identifikujú existujúce bezpečnostné opatrenia a ich účinnosť (napríklad kontrola active directory, firewall-konfigurácia, a pod.).
242 -* __GAP analýza__: Bude vykonaná analýza rozdielov (GAP analýza), ktorá porovná aktuálny stav (as-is) s požiadavkami a osvedčenými postupmi (best practice). Táto analýza pomôže identifikovať slabé miesta a nedostatky v zabezpečení IT systémov. Zároveň budú navrhnuté oblasti zlepšenia tak, aby sa dosiahla požadovaná úroveň bezpečnosti
243 243  
261 +Zistenie stavu bezpečnostných opatrení pomocou checklistu: Použije sa kontrolný zoznam (checklist), ktorý je určený pre subjekty kategórie I podľa vyhlášky 179/2020. Tento zoznam obsahuje konkrétne kritériá a otázky, ktoré pomôžu zistiť, aké bezpečnostné opatrenia sú aktuálne zavedené.
244 244  
263 +Základný stav bezpečnosti IT systémov: Checklist umožní získať prehľad o aktuálnom stave bezpečnosti IT systémov. To znamená, že sa identifikujú existujúce bezpečnostné opatrenia a ich účinnosť (napríklad kontrola active directory, firewall-konfigurácia, a pod.).
264 +
265 +GAP analýza: Bude vykonaná analýza rozdielov (GAP analýza), ktorá porovná aktuálny stav (as-is) s požiadavkami a osvedčenými postupmi (best practice). Táto analýza pomôže identifikovať slabé miesta a nedostatky v zabezpečení IT systémov. Zároveň budú navrhnuté oblasti zlepšenia tak, aby sa dosiahla požadovaná úroveň bezpečnosti.
266 +
267 +
245 245  Spracovanie bezpečnostnej dokumentácie v súlade s požiadavkami zákona č. 95/2019 Z. z.
246 246  
247 247  o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov  (ďalej len ako ZoITVS) a zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov (ďalej len ako ZoKB)
... ... @@ -255,9 +255,10 @@
255 255  
256 256  Implementácia zavedenia procesov a organizácie kybernetickej bezpečnosti
257 257  
258 -* Implementácia procesov: Vytvorenie a zavedenie postupov a pravidiel, ktorými sa bude riadiť KB. To môže zahŕňať pravidelné bezpečnostné kontroly, monitorovanie systémov, reakcie na incidenty a obnovu po útokoch.
259 -* Organizácia kybernetickej bezpečnosti: Stanovenie štruktúry a zodpovedností v rámci organizácie, ktoré sa budú zaoberať kybernetickou bezpečnosťou. To môže zahŕňať určenie za KIB zodpovedných osôb, definovanie ich úloh a povinností.
281 +Implementácia procesov: Vytvorenie a zavedenie postupov a pravidiel, ktorými sa bude riadiť KB. To môže zahŕňať pravidelné bezpečnostné kontroly, monitorovanie systémov, reakcie na incidenty a obnovu po útokoch.
260 260  
283 + Organizácia kybernetickej bezpečnosti: Stanovenie štruktúry a zodpovedností v rámci organizácie, ktoré sa budú zaoberať kybernetickou bezpečnosťou. To môže zahŕňať určenie za KIB zodpovedných osôb, definovanie ich úloh a povinností.
284 +
261 261  Celkovo ide o to, aby organizácia mala jasne definované a efektívne fungujúce mechanizmy na ochranu svojich informačných systémov a dát pred kybernetickými hrozbami
262 262  
263 263  Zdieľanie pozície IT security experta pre kybernetickú bezpečnosť
... ... @@ -351,10 +351,12 @@
351 351  
352 352  
353 353  
354 -1.
378 +
379 +1.
355 355  11. Zainteresované strany/Stakeholderi
356 356  
357 357  
383 +
358 358  |ID|AKTÉR / STAKEHOLDER|(((
359 359  SUBJEKT
360 360  
... ... @@ -375,9 +375,11 @@
375 375  |5.|Externí dodávatelia|ED|Dodávatelia|
376 376  
377 377  
378 -1.
404 +
405 +1.
379 379  11. Ciele projektu
380 380  
408 +
381 381  |ID|(((
382 382  
383 383  
... ... @@ -410,9 +410,11 @@
410 410  - pravidelná aktualizácia bezpečnostných opatrení a politík na základe získaných poznatkov a skúseností
411 411  )))
412 412  
413 -1.
441 +
442 +1.
414 414  11. Merateľné ukazovatele (KPI)
415 415  
445 +
416 416  |ID|(((
417 417  
418 418  
... ... @@ -429,6 +429,7 @@
429 429  |01|Zvýšenie a zlepšenie úrovne kybernetickej a informačnej bezpečnosti v prostredí samosprávy|Počet podporených obcí|Zvýšenie bezpečnostného štandardu v oblasti kybernetickej a informačnej bezpečnosti pre obce do 6.000 obyvateľov v podobe procesného, technického, hardvérového vybavenia, EDR, NAS, firewall, dokumentácia.|Počet (ks)|0|1500|Údaje z projektu|...
430 430  |02|Zvýšenie a zlepšenie úrovne kybernetickej a informačnej bezpečnosti v prostredí samosprávy|Počet obcí s pravidelným skenovaním zraniteľnosti|Počet obcí kde bude zavedené pravidelné skenovanie zraniteľnosti na koncových bodoch monitorovaných prostredníctvom EDR|Počet (ks)|0|1500|Údaje z projektu|
431 431  
462 +
432 432  Cieľom projektu je zvýšiť úroveň kybernetickej bezpečnosti v prípade viac ako polovice obcí na Slovensku do 6000 obyvateľov. To umožní signifikantné posilnenie kybernetickej a informačnej bezpečnosti samosprávy na Slovensku, ktorá je dohodobo prehliadaná. Podľa § 5 ods. 2 písm. c) ZoITVS (95/2019 Z.z.) je obec orgánom riadenia a zároveň aj správcom ITVS. Do registra prevádzkovateľov základnej služby sa podľa § 17 ods. 1 písm. g) ZoKB (69/2018 Z.z.) zapisuje, každý správca ITVS. Ako poskytovatelia základných služieb štátu, sú obce povinné zabezpečiť kybernetickú bezpečnosť podľa požiadaviek definovaných v príslušnej legislatíve. Vo väčšine obcí s počtom obyvateľov do 6 000 je však táto problematika často zanedbávaná a je na pokraji záujmu obce. Na Slovensku je aktuálne v uvedenej veľkostnej kategórii 2795 obcí (na základe počtu obyvateľov na konci roka 2023). Naplnením cieľa projektu by sa tak kybernetická bezpečnosť zvýšila celkovo v prípade 54 % obcí. Výška cieľovej hodnoty bola zvolená na základe časového a finančného rámca pre úspešne zvládnutie naplnenia cieľa so zachovaním kvality dodaných služieb.
433 433  
434 434  
... ... @@ -440,9 +440,10 @@
440 440  
441 441  
442 442  
443 -1.
474 +1.
444 444  11. Špecifikácia potrieb koncového používateľa
445 445  
477 +
446 446  Súčasťou realizácie projektu je implementácia elektronických služieb, ktoré  majú grafické alebo iné používateľské rozhranie a sú určené pre občanov/podnikateľov (alebo aj pracovníkov verejnej správy pracujúcich s agendovým systémom), ďalej označených ako koncoví používatelia. Špecifikácia požiadaviek bola realizovaná koncovými používateľmi a je v súlade s legislatívou (s aktuálne platnou a s návrhom jej zmien ako súčasť projektov) a s postupmi pri vytváraní elektronických služieb verejnej správy podľa vyhlášky 547/2021 Z. z. o elektronizácii agendy verejnej správy. Špecifikácia potrieb resp. cieľov koncových používateľov, ktoré identifikujú, čo jednotlivé skupiny koncových používateľov od elektronickej služby požadujú boli definované na základe analýzy riadených rozhovorov (prieskumu) s predstaviteľmi samospráv.
447 447  
448 448  
... ... @@ -461,17 +461,20 @@
461 461  * používateľ bude mať možnosť podať spätnú väzbu
462 462  * služba bude využívať inteligentné formuláre a minimalizuje zber nepotrebných údajov
463 463  
496 +
464 464  .
465 465  
466 -1.
499 +1.
467 467  11. Riziká a závislosti
468 468  
502 +
469 469  Riziká a závislostí sú spracované v Prílohe č. 1 – **Zoznam RIZÍK a ZÁVISLOSTI.**
470 470  
471 471  
472 -1.
506 +1.
473 473  11. Stanovenie alternatív v biznisovej vrstve architektúry
474 474  
509 +
475 475  Pretože tento projekt nezahŕňa budovanie ani rozvoj informačných systémov verejnej správy (ISVS), alternatívy sa nehodnotili tradičným spôsobom podľa biznisovej architektúry. Namiesto toho sa porovnali tri rôzne možnosti riešenia aktuálnej situácie. Na základe rozsahu problému, ktorý sa identifikoval v projektovom zámere, sa stanovili tri rôzne alternatívne riešenia. Ako najefektívnejšie sa vybrala alternatíva č.3 ktorá komplexne pokrýva procesy a požiadavky všetkých zainteresovaných strán.
476 476  
477 477  
... ... @@ -527,7 +527,8 @@
527 527  
528 528  
529 529  
530 -1.
565 +
566 +1.
531 531  11. Multikriteriálna analýza
532 532  
533 533  Výber alternatív prebieha prostredníctvom MCA zostavenej na základe kapitoly Motivácia, ktorá obsahuje ciele stakeholderov, ich požiadavky a obmedzenia pre dosiahnutie uvedených cieľov.
... ... @@ -543,6 +543,7 @@
543 543  * Súlad s legislatívnymi požiadavkami
544 544  * Zníženie rizika kybernetických útokov v rámci samosprávy
545 545  
582 +
546 546  | |KRITÉRIUM|ZDÔVODNENIE KRIÉRIA|Obec|MIRRI|NBÚ|Občania
547 547  |(% rowspan="4" %) |Zjednotenie štandardov, zautomatizovanie a efektivita procesov|Implementácia zavedenia procesov a organizácie kybernetickej bezpečnosti, zjednotenie štandardov, zautomatizovanie procesov, nahlasovanie a riešenie incidentov kvality|X|X|X|
548 548  |Zvýšenie odolnosti voči kybernetickým incidentom a zabezpečenie kontinuity prevádzky|Zvýšením úrovne kybernetickej bezpečnosti dôjde k skvalitneniu ochranu aktív a celkovej dôveryhodnosti občanov voči samospráve a jej službám. Školenia technológiou čo bude inštalovaná na obciach úrovni používateľov (NAS, EDR, firewall)|X|X| |X
... ... @@ -560,6 +560,7 @@
560 560  
561 561  
562 562  
600 +
563 563  |Zoznam kritérií|(((
564 564  Alternatíva
565 565  
... ... @@ -583,21 +583,25 @@
583 583  |Zníženie rizika kybernetických útokov v rámci samosprávy|nie|alternatíva 1 je zachovanie statusu quo bez realizácie projektu|áno|Implementáciou alternatívy 2 sa zníži riziko kybernetických útokov, vďaka metodickej a odbornej pomoci MIRRI SR|áno|Implementáciou alternatívy 3 kde im budú poskytnuté školenia na základy kybernetickej bezpečnosti, phishingové útoky, bezpečné používanie hesiel
584 584  
585 585  
586 -1.
624 +
625 +1.
587 587  11. Stanovenie alternatív v aplikačnej vrstve architektúry
588 588  
628 +
589 589  Alternatívy na základe aplikačnej vrstvy architektúry neboli posudzované nakoľko nedochádza k zmene na úrovni aplikačnej vrstvy architektúry. Zvolené aplikačné komponenty vychádzajú z nadradenej biznis alternatívy a predstavujú minimálny rozsah, ktorým je možné biznis alternatívu naplniť. Z hľadiska aplikačnej vrstvy je pre dosiahnutie cieľov projektu nevyhnutná navrhovaná komplementárna kombinácia nástrojov. Uplatnenie open source riešení bolo zvažované avšak vzhľadom na priamy súvis aplikačnej a technologickej vrstvy, kde aplikačnú vrstvu tvorí obslužný SW pre HW, resp. bezpečnostný charakter aplikačných nástrojov neboli identifikované vhodné open source riešenia. V prípade, že v procese implementácie bude identifikovaný vhodný open source nástroj, bude jeho implementácia predmetom fázy analýza a dizajn.
590 590  
591 591  
592 592  
593 -1.
633 +1.
594 594  11. Stanovenie alternatív v technologickej vrstve architektúry
595 595  
636 +
596 596  Výber alternatívy na úrovni technologickej a bezpečnostnej vrstvy architektúry kopíruje výber alternatívy č. 3 na základe MCA. Náklady na údržbu a prevádzku projektu sú uvedené v CBA analýze ako percentuálny pomer z obstarávacej ceny diela.
597 597  
598 598  
599 599  1. POŽADOVANÉ VÝSTUPY (PRODUKT PROJEKTU)
600 600  
642 +
601 601  Projekt bude pri implementácii postupovať v zmysle vyhlášky 401/2023 Z.z.
602 602  
603 603  
... ... @@ -632,6 +632,7 @@
632 632  |(% colspan="2" %)M-03 Akceptačný protokol
633 633  |(% colspan="2" %)M-04 Audit kvality projektu na mieste
634 634  
677 +
635 635  Výstupy projektu, ktoré sa týkajú aktivít kybernetickej bezpečnosti na obci do 6000 obyvateľov:
636 636  
637 637  * Analýza a dizajn
... ... @@ -639,6 +639,7 @@
639 639  * Implementácia a testovanie
640 640  * Nasadenie
641 641  
685 +
642 642  Po zhodnotení jednotlivých alternatív a ich vyhodnotenia pomocou stanovených kritérií výstupom projektu bude súbor viacerých
643 643  
644 644  vzájomne prepojených riešení v podobe bezpečnostných nástrojov.
... ... @@ -658,8 +658,10 @@
658 658  ** školenia technológiou čo bude inštalovaná na obciach úrovni používateľov (NAS, EDR, firewall), v rámci projektu budú zapojení aj do fázy testovania navrhovaných opatrení
659 659  ** školenia pre zamestnancov a štatutárov na základy kybernetickej bezpečnosti, phishingové útoky, bezpečné používanie hesiel a súčasťou bude aj predstavenie spracovanej bezpečnostnej dokumentácie a oboznámenie zamestnancov so základnými zásadami z pohľadu kybernetickej bezpečnosti
660 660  
705 +
661 661  1. NÁHĽAD ARCHITEKTÚRY
662 662  
708 +
663 663  Biznis architektúra budúceho stavu reflektuje zámer projekt, ktorým je zvýšenie kybernetickej a informačnej bezpečnosti na obciach do 6000 obyvateľov.
664 664  
665 665  Biznis aktéri projektu sú Ministerstvo investícií, regionálneho rozvoja a informatizácie SR, vládna jednotka CSIRT, NASES, obec, dodávateľ a NBÚ.
... ... @@ -699,6 +699,7 @@
699 699  * **Automatizovaná detekcia a reakcia na incidenty **doplneným tohto komponentu v rámci automatizovanej detekcie a reakcie bude súčasťou reakcia v reálnom čase, minimalizácia ľudského zásahu a zlepšenie bezpečnosti.
700 700  * **Vzdialený zber forenzných dôkazov pri riešení incidentu **doplneným tohto komponentu sa  budú používať špeciálne softvérové nástroje na zber dôkazov, dôkazy budú bezpečne uchovávané a podpora pri vyšetrovaní ako poskytovanie podrobných správ a analýz.
701 701  
748 +
702 702  [[image:file:///C:/Users/MLYNAR~~1/AppData/Local/Temp/msohtmlclip1/01/clip_image003.jpg]]
703 703  
704 704  Náhľad č.3 Schéma aplikačnej architektúry
... ... @@ -724,6 +724,7 @@
724 724  * Zoznamy riadenia prístupu: Zahŕňa to vytvorenie zoznamu konkrétnych používateľov alebo skupín, ktorí majú povolený prístup k určitým zdrojom alebo funkciám, a odmietnutie prístupu každému, kto nie je na zozname. Môže to byť dobrý spôsob, ako zabezpečiť, aby k citlivým zdrojom alebo funkciám mali prístup iba oprávnení používatelia.
725 725  * Všetky komponenty riešenia musia byť časovo synchronizované. Presná synchronizácia času je dôležitá pre bezpečnosť z pohľadu forénzmych analýz
726 726  
774 +
727 727  1. LEGISLATÍVA
728 728  
729 729  Projekt nemá žiadny legislatívny dopad. Nové riešenie musí byť v súlade s platnou legislatívou a to najmä:
... ... @@ -742,6 +742,7 @@
742 742  * Zákon č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov.
743 743  
744 744  
793 +
745 745  1. ROZPOČET A PRÍNOSY
746 746  
747 747  |SW produkty - sumár obstaranie| 2 710 399,91 €
... ... @@ -750,6 +750,7 @@
750 750  |Riadenie a publicita projektu| 429 256,80 €
751 751  |**Rozpočet celkovo**|** 13 320 221,26 €**
752 752  
802 +
753 753  **PRÍNOSY:**
754 754  
755 755  
... ... @@ -785,6 +785,7 @@
785 785  
786 786  1. HARMONOGRAM JEDNOTLIVÝCH FÁZ PROJEKTU a METÓDA JEHO RIADENIA
787 787  
838 +
788 788  |ID|FÁZA/AKTIVITA|(((
789 789  ZAČIATOK
790 790  
... ... @@ -804,6 +804,7 @@
804 804  |3.|Dokončovacia fáza|08/2027|03/2028|vlastné kapacity MIRRI a dodávateľ
805 805  
806 806  
858 +
807 807  1. PROJEKTOVÝ TÍM
808 808  
809 809  Zostavuje sa Riadiaci výbor (RV) v minimálnom zložení:
... ... @@ -817,6 +817,7 @@
817 817  
818 818  * Zástupcovia kľúčových dodávateľov (bude doplnený až po ukončení VO/voliteľný člen).
819 819  
872 +
820 820  Určuje sa Projektový manažér verejného obstarávateľa (PM) a zostavuje sa projektový tím v nasledujúcom zložení:
821 821  
822 822  
... ... @@ -831,6 +831,7 @@
831 831  |11.|TBD|Finančný manažér|MIRRI|Finančný manažér
832 832  |12.|TBD|Špecialista na publicitu|MIRRI|Špecialista na publicitu
833 833  
887 +
834 834  Vzor organizačnej štruktúry
835 835  
836 836  [[image:file:///C:/Users/MLYNAR~~1/AppData/Local/Temp/msohtmlclip1/01/clip_image004.png]]
... ... @@ -837,7 +837,7 @@
837 837  
838 838  [[image:file:///C:/Users/MLYNAR~~1/AppData/Local/Temp/msohtmlclip1/01/clip_image005.png]]
839 839  
840 -1.
894 +1.
841 841  11. PRACOVNÉ NÁPLNE
842 842  
843 843  Podrobné pracovné náplne, povinnosti projektového tímu a ich zodpovednosti budú predmetom menovacích dekrétov.
... ... @@ -848,6 +848,7 @@
848 848  * Zodpovedá za riadenie prideleného projektu - stanovenie cieľov, spracovanie harmonogramu prác, koordináciu členov projektového tímu, sledovanie dodržiavania harmonogramu prác a rozpočtu, hodnotenie a prezentáciu výsledkov a za riadenie s tým súvisiacich rizík. Projektový manažér vedie špecifikáciu a implementáciu projektov v súlade s firemnými štandardami, zásadami a princípmi projektového riadenia.
849 849  * Zodpovedá za plnenie projektových/programových cieľov v rámci stanovených kvalitatívnych, časových a rozpočtovým plánov a za riadenie s tým súvisiacich rizík. V prípade externých kontraktov sa vedúci projektu/projektový manažér obvykle podieľa na ich plánovaní a vyjednávaní a je hlavnou kontaktnou osobou pre zákazníka.
850 850  
905 +
851 851  **IT analytik**
852 852  
853 853  * Zodpovedá za zber a analyzovanie funkčných požiadaviek, analyzovanie a spracovanie dokumentácie z pohľadu procesov, metodiky, technických možností a inej dokumentácie. Podieľa sa na návrhu riešenia vrátane návrhu zmien procesov v oblasti biznis analýzy a analýzy softvérových riešení. Zodpovedá za výkon analýzy IS, koordináciu a dohľad nad činnosťou SW analytikov.
... ... @@ -863,6 +863,7 @@
863 863  * Vykonáva, prípadne riadi vysoko odborné tvorivé činnosti v oblasti návrhu IT. Študuje a stanovuje smery technického rozvoja informačných technológií, navrhuje riešenia na optimalizáciu a zvýšenie efektívnosti prostriedkov výpočtovej techniky. Navrhuje základnú architektúru informačných systémov, ich komponentov a vzájomných väzieb. Zabezpečuje projektovanie dizajnu, architektúry IT štruktúry, špecifikácie jej prvkov a parametrov, vhodnej softvérovej a hardvérovej infraštruktúry podľa základnej špecifikácie riešenia.
864 864  * Zodpovedá za spracovanie a správu projektovej dokumentácie a za kontrolu súladu implementácie s dokumentáciou. Môže tiež poskytovať konzultácie, poradenstvo a vzdelávanie v oblasti svojej špecializácie. IT architekt, projektant analyzuje, vytvára a konzultuje so zákazníkom riešenia na úrovni komplexných IT systémov a IT architektúr, najmä na úrovni aplikačného vybavenia, infraštruktúrnych systémov, sietí a pod. Zaručuje, že návrh architektúry a/alebo riešenia zodpovedá zmluvne dohodnutým požiadavkám zákazníka v zmysle rozsahu, kvality a ceny celej služby/riešenia.
865 865  
921 +
866 866  **Manažér kvality**
867 867  
868 868  
... ... @@ -870,6 +870,7 @@
870 870  * Plánuje, koordinuje, riadi a kontroluje systém manažérstva kvality, monitoruje a meria procesy a identifikuje príležitosti na trvalé zlepšovanie systému manažérstva kvality v organizácii v súlade s platnými normami. Zabezpečuje tvorbu cieľov a koncepcie kvality, vrátane kontroly ich plnenia a vykonáva interné a externé audity kvality v súlade s plánom.
871 871  * Počas celej doby realizácie projektu zabezpečuje zhodu kvality projektových výstupov s požiadavkami. Realizuje postupy riadenia kvality tak, aby výsledkom boli projektové výstupy spĺňajúce požiadavky objednávateľa. Kontroluje, či sa riadenie a proces zabezpečenia kvality vykonáva správnym spôsobom, v správnom čase a správnymi osobami.
872 872  
929 +
873 873  **Vlastník procesov**
874 874  
875 875  
... ... @@ -877,6 +877,7 @@
877 877  * Zodpovedný za schválenie funkčných a technických požiadaviek, potreby, obsahu, kvalitatívnych a kvantitatívnych prínosov projektu. Definuje očakávania na kvalitu projektu, kvalitu projektových produktov, prínosy pre koncových používateľov a požiadavky na bezpečnosť. Definuje merateľné výkonnostné ukazovatele projektov a prvkov. Vlastník procesov schvaľuje  akceptačné kritériá, rozsah a kvalitu dodávaných projektových výstupov pri dosiahnutí platobných míľnikov, odsúhlasuje spustenie výstupov projektu do produkčnej prevádzky a dostupnosť ľudských zdrojov alokovaných na realizáciu projektu.
878 878  
879 879  
937 +
880 880  **Manažér kybernetickej a informačnej bezpečnosti**
881 881  
882 882  
... ... @@ -883,12 +883,15 @@
883 883  * Zodpovedá za dodržanie princípov a štandardov v oblasti informačnej a  kybernetickej bezpečnosti  a za kontrolu a audit implementovaných bezpečnostných opatrení (technológií, procesov atď.).
884 884  * Koordinuje a riadi činnosť v oblasti bezpečnosti prevádzky IT, spolupracuje na projektoch, na rozvoji nástrojov a postupov k optimalizácii bezpečnostných systémov a opatrení. Stanovuje základné požiadavky, podmienky a štandardy pre oblasť bezpečnosti programov, systémov, databázy či sieti. Spracováva a kontroluje príslušné interné predpisy a dohliada nad plnením týchto štandardov a predpisov. Kontroluje a riadi činnosť nad bezpečnostnými testami, bezpečnostnými incidentmi v prevádzke IT. Poskytuje inštrukcie a poradenstvo používateľom počítačov a informačných systémov pre oblasť bezpečnosti.
885 885  
944 +
886 886  1. ODKAZY
887 887  
947 +
888 888  Táto verzia neobsahuje odkazy, budú doplnené pri ďalšej aktualizácií.
889 889  
890 890  1. PRÍLOHY
891 891  
952 +
892 892  Príloha 1: Zoznam rizík a závislostí
893 893  
894 894  Príloha 2: BC_CBA
1741949306358-762.png
Autor
... ... @@ -1,1 +1,0 @@
1 -XWiki.adriana\.mlynarovicova@mirri\.gov\.sk
Veľkosť
... ... @@ -1,1 +1,0 @@
1 -60.5 KB
Obsah
1741949325480-215.png
Autor
... ... @@ -1,1 +1,0 @@
1 -XWiki.adriana\.mlynarovicova@mirri\.gov\.sk
Veľkosť
... ... @@ -1,1 +1,0 @@
1 -499.9 KB
Obsah