Version 2.1 by Adriana Mlynarovicova on 2025/03/14 10:03
Show last authors
1 **PROJEKTOVÝ ZÁMER**
2
3 **manažérsky výstup I-02**
4
5 **~ podľa vyhlášky MIRRI č. 401/2023 Z. z. **
6
7
8 |Povinná osoba|Kybernetická bezpečnosť oddelenie projektov
9 |Názov projektu|Kybernetická bezpečnosť v samospráve do 6 000 obyvateľov
10 |Zodpovedná osoba za projekt|Bc Adriána Mlynarovičová
11 |Realizátor projektu|Ministerstvo investícií, regionálneho rozvoja a informatizácie Slovenskej republiky
12 |Vlastník projektu|Názov inštitúcie, ktorá zodpovedá za projekt a schvaľuje dokumenty
13
14
15 **Schvaľovanie dokumentu**
16
17 |Položka|Meno a priezvisko|Organizácia|Pracovná pozícia|Dátum|(((
18 Podpis
19
20 (alebo elektronický súhlas)
21 )))
22 |Vypracoval|Bc. Adriána Mlynarovičová|MIRRI|Projektový manažér| |
23
24
25 1. História DOKUMENTU
26
27 |Verzia|Dátum|Zmeny|Meno
28 |1.0|3.2.2025|Pracovný návrh|
29
30
31 1. ÚČEL DOKUMENTU, SKRATKY (KONVENCIE) A DEFINÍCIE
32
33 V súlade s Vyhláškou 401/2023 Z.z. je dokument I-02 Projektový zámer určený na rozpracovanie detailných informácií prípravy projektu, aby bolo možné rozhodnúť o pokračovaní prípravy projektu, pláne realizácie, alokovaní rozpočtu a ľudských zdrojov.
34
35
36 Dokument Projektový zámer v zmysle vyššie uvedenej vyhlášky má obsahovať manažérske zhrnutie, rozsah, ciele a motiváciu na realizáciu projektu, zainteresované strany, alternatívy, návrh merateľných ukazovateľov, detailný opis požadovaných projektových výstupov, detailný opis obmedzení, predpokladov, tolerancií a návrh organizačného zabezpečenia projektu, detailný opis rozpočtu projektu a jeho prínosov, náhľad architektúry a harmonogram projektu so zoznamom rizík a závislostí,
37
38
39 1.
40 11. Použité skratky a pojmy
41
42
43 |SKRATKA/POJEM|POPIS
44 | HW|Hardvér
45 | IKT|Informačno-komunikačné technológie (organizácie)
46 | NKÚ|Najvyšší kontrolný úrad Slovenskej republiky
47 | IT|Informačné technológie
48 | PZS|Pracovná zdravotná služba
49 | CBA|Cost-benefit analýza
50 | SW|Softvér
51 | MIRRI|Ministerstvo investícií, regionálneho rozvoja a informatizácie Slovenskej republiky
52 | NAS|Network Attached Storage
53 |KB|Kybernetická bezpečnosť
54 |EDR|Endpoint Detection and Response
55 |FW|Firewall
56 |VO|Verejné obstarávanie
57
58
59
60 1. DEFINOVANIE PROJEKTU
61
62
63 1.
64 11. Manažérske zhrnutie
65
66 Ministerstvo investícií, regionálneho rozvoja a informatizácie ako orgán vedenia v oblasti informatizácie a zriaďovateľ vládnej jednotky CSIRT pre podsektor informačné systémy verejnej správy predkladaným projektom reaguje na celkovú úroveň kybernetickej bezpečnosti v podsektore. Každá obec je prevádzkovateľom základnej služby štátu a je povinná dodržiavať bezpečnostné opatrenia podľa §20 zákona  č.69/2018 Z.z. o kybernetickej bezpečnosti.
67
68 Projekt kybernetická bezpečnosť v samospráve do 6 000 obyvateľov bude realizovaný externým dodávateľom, ktorý bude vybraný cez verejné obstarávanie. Cieľom projektu je zvýšiť kybernetickú bezpečnosť na obciach pomocou procesného, technického, hardvérového vybavenie, aplikácií, softvéru ako ja zastrešenie zdieľanej funkcie IT security experta pre kybernetickú bezpečnosť.
69
70
71 Projekt bude realizovaný v 3 oblastiach
72
73 1. Technologické zvýšenie bezpečnosti
74 11. V prvej etape bude realizovaná implementácia hardvérových a softvérových riešení na základe vykonanej vstupnej GAP analýzy pre každú obec samostatne. Pilotné overenie na vzorke obcí (max. 10), ktorého analytickým výstupom bude vypracovaná vzorová dokumentácia, ktorá sa bude upravovať a aktualizovať pre potreby každej obce. Nasadenie a inštalácia NAS, EDR a Firewall.
75 11. Postupný rollout na ďalšie obce na základe prejaveného záujmu obcí. Platforma Centrálny portál kybernetickej bezpečnosti ďalej nazývaný ako „kyberportál“, bude slúžiť ako hlavný komunikačný nástroj ohľadom možnej participácie obcí na projekte (nahlasovanie sa do databázy žiadateľov, zasielanie dokumentácie/informácie o AS IS stave obce z pohľadu KB, atď.). Obce si cez katalóg služieb v kyberportáli vyberú záujem o službu (NAS, EDR, Firewall, školenie zamestnancov, konzultačné služby kybernetickej a informačnej bezpečnosti experta, podpora pri implementácii dokumentácií kybernetickej bezpečnosti, dispečing).
76 11. Dispečing a L1/ L2 podpora počas projektu (poskytnutie služieb podpory)
77 1. Zabezpečenie súladu s legislatívnymi požiadavkami
78 11. Táto aktivita bude zameraná na zistenie stavu bezpečnostných opatrení pomocou checklistu pre subjekty kategórie I podľa vyhlášky č. 179/2020 Z.z. Celkovo ide o systematický prístup k hodnoteniu a zlepšovaniu bezpečnosti IT systémov pomocou kontrolného zoznamu a analýzy rozdielov. Zistenie stavu bezpečnostných opatrení na pomocou checklistu, základný stav bezpečnosti IT systémov a GAP analýza.
79 11. Spracovanie bezpečnostnej dokumentácie v súlade s požiadavkami zákona č. 95/2019 Z. z. o informačných technológiách  vo verejnej správe a o zmene a doplnení niektorých zákonov  (ďalej len ako ZoITVS) a zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov (ďalej len ako ZoKB).
80 11. Implementácia zavedenia procesov a organizácie kybernetickej bezpečnosti. Celkovo ide o to, aby organizácia mala jasne definované a efektívne fungujúce mechanizmy na ochranu svojich informačných systémov a dát pred kybernetickými hrozbami.
81 11. Zdieľanie pozície IT security experta pre kybernetickú bezpečnosť. Celkovo teda ide o to, že jeden IT bezpečnostný expert bude poskytovať svoje služby viacerým organizáciám alebo oddeleniam, aby im pomohol zabezpečiť ich informačné systémy a dáta pred kybernetickými hrozbami.
82 1. Zvýšenia povedomia o kybernetických hrozbách
83 11. Školenia na úrovni používateľov pre technológiu a nástroje inštalované na obciach (NAS, EDR, firewall).
84 11. Školenia pre štatutárov a zamestnancov. Tieto školenia budú zamerané na základy kybernetickej bezpečnosti, phishingové útoky, bezpečné používanie hesiel. Súčasťou školení bude aj predstavenie spracovanie bezpečnostnej dokumentácie a oboznámenie zamestnancov so základnými zásadami z pohľadu KB.
85
86
87 Ciele projektu:
88
89 * Umožniť dosiahnuť požadovanú úroveň kybernetickej bezpečnosti samospráv v súlade s platnou legislatívou podľa zákona  č.69/2018.
90 * Zvýšiť kybernetickú bezpečnosť obce a informovanosť o kybernetickej bezpečnosti.
91 * Vzdelanosť pracovníkov ohľadom kybernetickej bezpečnosti.
92 * Poskytovanie služieb (EDR, NAS, firewall, školenie zamestnancov, konzultačné služby kybernetickej a informačnej bezpečnosti experta, podpora pri implementácii dokumentácií kybernetickej bezpečnosti).
93
94 Projekt bude realizovaný v rámci:
95
96 Operačný program: Program Slovensko
97
98 Špecifický cieľ: RSO1.2 Využívanie prínosov digitalizácie pre občanov, podniky, výskumné organizácie a orgány verejnej správy
99
100
101 Hlavné aktivity projektu:
102
103 * Analýza a dizajn
104 * Obstaranie technológií pre obce NAS, Firewall a EDR.
105 * Implementácia s poskytnutím služieb podpory
106
107
108 Dĺžka projektu je plánová na 36 mesiacov.
109
110
111 Odhadované náklady sú 13 243 401 EUR s DPH.
112
113
114 1.
115 11. Motivácia a rozsah projektu
116
117
118 V zmysle zákona  č.69/2018 Z.z. o kybernetickej bezpečnosti, je každá obec s počtom obyvateľov viac než 1.000 prevádzkovateľom základnej služby štátu a je povinná dodržiavať bezpečnostné opatrenia podľa §20 (1). Sú to úlohy, procesy, role a technológie v organizačnej, personálnej a technickej oblasti, ktorých cieľom je zabezpečenie kybernetickej bezpečnosti počas životného cyklu sietí a informačných systémov.
119
120
121 V zásade ide o opatrenia, ktoré majú za cieľ minimalizovať riziko vzniku negatívnej udalosti akými sú napríklad:
122
123 * Narušenie prevádzky siete alebo informačného systému, ktoré ohrozí integritu alebo dôvernosť spracovávaných osobných údajov
124 * úniku osobných údajov v dôsledku čoho môže vzniknúť škoda na zdraví, či ujma na majetku,
125 * obmedzenie výkonu, alebo ohrozenie pôsobnosti obce, najmä s ohľadom na schopnosť zabezpečenia bezpečia, verejného poriadku alebo zvládnutia mimoriadnej udalosti.
126
127
128 Zvýšená schopnosť detekcie a prevencie hrozieb znižuje riziko kybernetických incidentov a znefunkčnenia informačných systémov územnej samosprávy a poskytovaných služieb občanom a podnikateľom. Zvýšením úrovne kybernetickej bezpečnosti dôjde k skvalitneniu ochrany aktív a celkovej dôveryhodnosti občanov voči samospráve a jej službám.
129
130
131 Taktiež je potrebné dodať že na obce do 6 000 obyvateľov sa vzťahujú bezpečnostné opatrenia Kategórie I. podľa zákona č.69/2018 Z.z.
132
133 V závislosti od kategórie sú určené minimálne požiadavky na bezpečnostné opatrenia, v prílohe č.3 vyhlášky č. 179/2020 Z.z..
134
135
136 |Bezpečnostné opatrenie|Kategória I|Kategória II|Kategória III
137 |organizácia kybernetickej bezpečnosti a informačnej bezpečnosti|Odporúčané|**Povinné**|**Povinné**
138 |Riadenie rizík kybernetickej bezpečnosti a informačnej bezpečnosti|Odporúčané|**Povinné**|**Povinné**
139 |Personálna bezpečnosť|Odporúčané|**Povinné**|**Povinné**
140 |Riadenie prístupov|Odporúčané|**Povinné**|**Povinné**
141 |Riadenie kybernetickej bezpečnosti a informačnej bezpečnosti vo vzťahoch s tretími stranami|**Povinné**|**Povinné**|**Povinné**
142 |Bezpečnosť pri prevádzke informačných systémov a sietí|Odporúčané|**Povinné**|**Povinné**
143 |Hodnotenie zraniteľnosti a bezpečnosť aktualizácie|Odporúčané|**Povinné**|**Povinné**
144 |Ochrana proti škodlivému kódu|Odporúčané|**Povinné**|**Povinné**
145 |Sieťová a komunikačná bezpečnosť|Odporúčané|Odporúčané|**Povinné**
146 |Akvizícia, vývoj a údržba informačných sietí a informačných systémov|Odporúčané|Odporúčané|**Povinné**
147 |Zaznamenávanie udalosti a monitorovanie|**Povinné**|**Povinné**|**Povinné**
148 |Fyzická bezpečnosť a bezpečnosť prostredia|Odporúčané|Odporúčané|**Povinné**
149 |Riešenie kybernetických bezpečnostných incidentov|**Povinné**|**Povinné**|**Povinné**
150 |Kryptografické opatrenia|Odporúčané|Odporúčané|**Povinné**
151 |Kontinuita prevádzky|Odporúčané|Odporúčané|**Povinné**
152 |Audit, riadenie súladu a kontrolné činnosti|Odporúčané|**Povinné**|**Povinné**
153 |Určenie manažéra kybernetickej bezpečnosti|**Povinné**|**Povinné**|**Povinné**
154
155
156 V závislosti od tabuľky uvedenej vyššie sú obce do 6000 obyvateľov povinné spĺňať tieto bezpečnostné opatrenia:
157
158 * riadenie kybernetickej bezpečnosti a informačnej bezpečnosti vo vzťahoch s tretími stranami
159 * zaznamenávanie udalosti a monitorovanie
160 * riešenie kybernetických bezpečnostných incidentov
161 * určenie manažéra kybernetickej bezpečnosti.
162
163
164 Kybernetická bezpečnosť na samosprávach je zanedbávaná a zriaďovatelia si neuvedomujú jej dôležitosť. Túto skutočnosť potvrdzuje aj správa o kybernetickej bezpečnosti v Slovenskej republike z roku 2023 kde v sektore verejná správa sa stav kybernetickej bezpečnosti dlhodobo nemení aj napriek veľkému počtu prevádzkovateľov. V danej správe vládna jednotka CSIRT v roku 2023 zaznamenal 1 012 incidentov čo oproti minulému roku je nemenné číslo. Najviac hlásení o incidentoch pochádza zo sektorov verejná správa (478), bankovníctvo (77) a zdravotníctvo (26). Dominovali technické typy útokov, ako sú získavanie informácií, nedostupnosť, prienik do systému, škodlivý kód a zraniteľnosť.
165
166
167 Na kybernetické hrozby v sektoroch nevyhnutných pre chod spoločnosti upozorňuje aj Európska agentúra pre kybernetickú bezpečnosť (ENISA). Medzi sektory najviac ovplyvnené hrozbami podľa ENISA patrili v období júl 2023 až jún 2024:
168
169 1)              verejná správa a štátne inštitúcie (19 % zaznamenaných hrozieb),
170
171 2)              doprava (11 % zaznamenaných hrozieb),
172
173 3)              finančníctvo/bankovníctvo (9 % zaznamenaných hrozieb),
174
175 4)              služby (8 % zaznamenaných hrozieb),
176
177 5)              široká verejnosť (8 % zaznamenaných hrozieb),a
178
179 6)              poskytovatelia digitálnych služieb (8 % zaznamenaných hrozieb).
180
181
182 Podľa správy ENISA o hrozbách patria podobne ako v roku 2023 verejná správa a štátne inštitúcie najviac preferované hacktivistami. Verejná správa sú pre nich atraktívne ciele, pretože ich útoky môžu mať veľký dopad na spoločnosť a pritiahnuť pozornosť verejnosti.
183
184
185
186
187
188 [1] Najaktuálnejšie údaje v čase spracovania dokumentácie. Dostupné na: [[https:~~/~~/www.enisa.europa.eu/publications/enisa-threat-landscape-2024>>url:https://www.enisa.europa.eu/publications/enisa-threat-landscape-2024]]
189
190
191
192 [[image:file:///C:/Users/MLYNAR~~1/AppData/Local/Temp/msohtmlclip1/01/clip_image001.jpg]]
193
194 Náhľad č.1 Schéma motivačnej architektúry
195
196
197 Zároveň s narastajúcou digitalizáciou verejných služieb je dôležité, aby verejnosť mala dôveru v to, že ich údaje sú bezpečné a chránené. V súčasnom digitálnom prostredí, v ktorom sa významná časť kritických informácií a transakcií presúva do online sféry, sa vytvára potreba osobitného dôrazu na zachovanie dôvery medzi verejnosťou a verejnými inštitúciami. Niet pochýb o tom, že bezpečnostné mechanizmy zohrávajú strategickú úlohu pri ochrane dôvernosti údajov. Ak by však došlo k neautorizovanému prístupu či narušeniu bezpečnosti údajov, vzniká nebezpečenstvo nielen pre samotnú integritu údajov, ale aj pre základné vzťahy medzi verejnosťou a verejnými inštitúciami. Je rovnako kritické zdôrazniť, že kybernetické útoky majú potenciál spôsobiť vážne výpadky v poskytovaní verejných služieb. Tieto výpadky by mohli mať priamy negatívny dopad na efektívne fungovanie územnej samosprávy a dostupnosť verejných služieb, pričom ich dôsledky by postihli každodenný život občanov. V súvislosti s tým je preto neodkladné zabezpečiť, aby tieto služby fungovali nepretržite a spoľahlivo. Implementácia a udržiavanie adekvátnych bezpečnostných opatrení a prvkov na zabezpečenie nepretržitej dostupnosti verejných služieb preto nesie výrazný význam. Celkovo, integrovaním týchto bezpečnostných mechanizmov nejde len o technologický rozmer. Ide o kľúčový krok v procese budovania a posilňovania dôvery medzi verejnosťou a orgánmi verejnej správy. Tento krok zabezpečuje, že každý občan môže s istotou veriť, že jeho osobné údaje sú uchránené, a že verejné služby sú dostupné v každom momente, kedy sú potrebné.
198
199
200 Schéma ako si budú obce podávať žiadosti o zapojenie do projektu.
201
202
203 [[image:file:///C:/Users/MLYNAR~~1/AppData/Local/Temp/msohtmlclip1/01/clip_image002.jpg]]
204
205 Náhľad č.2 Schéma procesu zapojenia do projektu
206
207 V rámci procesu kategorizácie budú jednotlivé obce rozdelené do troch rôznych kategórií. Toto rozdelenie bude založené na ich konkrétnych potrebách a záujmoch, ktoré vyjadria pri výbere služieb z dostupného katalógu. Každá kategória bude zohľadňovať špecifické požiadavky a priority obcí, čím sa zabezpečí, že im budú poskytnuté najvhodnejšie a najefektívnejšie služby v oblasti kybernetickej bezpečnosti.
208
209
210 Kategória I:
211
212 -obce si vyberú všetko z katalógu služieb
213
214 Kategória II:
215
216 -obce si vyberú konzultačné služby MKIB a podpora pri implementácia KB
217
218 Kategória III:
219
220 -obce si vyberú NAS, EDR, Firewall a Dispečing
221
222
223
224 Projekt bude realizovaný v 3 oblastiach:
225
226
227 **Technologické zvýšenie bezpečnosti:**
228
229
230 V prvej etape bude realizovaná implementácia hardvérových a softvérových riešení na základe vykonanej vstupnej GAP analýzy pre každú obec samostatne.
231
232 Implementácia softvérových nástrojov kybernetickej bezpečnosti: Budú zavedené konkrétne softvérové nástroje na zabezpečenie kybernetickej bezpečnosti.
233
234 Nasadenie a inštalácia NAS, EDR a Firewall:
235
236 NAS (Network Attached Storage): Zariadenie na ukladanie a zdieľanie dát v rámci siete.
237
238 EDR (Endpoint Detection and Response): Technológia na monitorovanie a reakciu na kybernetické hrozby na koncových zariadeniach.
239
240 Firewall: Zariadenie alebo softvér na kontrolu a filtrovanie sieťovej komunikácie.
241
242 V zmysle požiadaviek vyhlášky 401/2023 Ministerstva investícií, regionálneho rozvoja a informatizácie Slovenskej republiky o riadení projektov a zmenových požiadaviek v prevádzke informačných technológií verejnej správy, ktoré vyžadujú realizáciu pilotného overenia za účelom minimalizácie rizík, overenia konceptu, funkčnosti riešenia a získania spätnej väzby od používateľov bude v prvom kroku realizovaný pilotné nasadenie bezpečnostných opatrení nasledovne:
243
244 Pilotné overenie na vzorke obcí (max. 10), ktorého analytickým výstupom bude vypracovaná vzorová dokumentácia, ktorá sa bude upravovať a aktualizovať pre potreby každej obce pre oblasti: organizácia kybernetickej a informačnej bezpečnosti, riadenia rizík, personálnej bezpečnosti, riadenie prístupov, riadenie kybernetickej a informačnej bezpečnosti vo vzťahoch s tretími stranami, bezpečnosť pri prevádzke informačných systémov a sietí, hodnotenie zraniteľností a bezpečnostné aktualizácie, ochrana proti škodlivému kódu, sieťová a komunikačná bezpečnosť, riešenie kybernetických bezpečnostných incidentov, kontinuita prevádzky a audit a kontrolné činnosti.
245
246 * odladenie procesu implementácie aktivít na jednotlivých typoch obcí s cieľom potvrdenia ich užitočnosti a využitia na obciach
247 * automatizácia procesov, a výkon úloh tak, aby sa do projektu mohlo zapojiť maximum obcí so záujmom zabezpečenia vlastnej kybernetickej bezpečnosti a súladu so zákonom o kybernetickej bezpečnosti
248 * vypracovanie štandardov pre rollout, využitie existujúcich podkladov a materiálov
249
250
251 Postupný rollout na ďalšie obce na základe prejaveného záujmu obcí. Platforma Centrálny portál kybernetickej bezpečnosti ďalej nazývaný ako „kyberportál“, bude slúžiť ako hlavný komunikačný nástroj ohľadom možnej participácie obcí na projekte (nahlasovanie sa do databázy žiadateľov, zasielanie dokumentácie/informácie o AS IS stave obce z pohľadu KB, atď.). Obce si cez katalóg služieb v kyberportáli vyberú záujem o službu (NAS, EDR, Firewall, školenie zamestnancov, konzultačné služby kybernetickej a informačnej bezpečnosti experta, podpora pri implementácii dokumentácií kybernetickej bezpečnosti, dispečing).
252
253
254
255 **Zabezpečenie súladu s legislatívnymi požiadavkami**
256
257
258 Táto aktivita bude zameraná na zistenie stavu bezpečnostných opatrení pomocou checklistu pre subjekty kategórie I podľa vyhlášky č. 179/2020 Z.z. Celkovo ide o systematický prístup k hodnoteniu a zlepšovaniu bezpečnosti IT systémov pomocou kontrolného zoznamu a analýzy rozdielov.
259
260
261 Zistenie stavu bezpečnostných opatrení pomocou checklistu: Použije sa kontrolný zoznam (checklist), ktorý je určený pre subjekty kategórie I podľa vyhlášky 179/2020. Tento zoznam obsahuje konkrétne kritériá a otázky, ktoré pomôžu zistiť, aké bezpečnostné opatrenia sú aktuálne zavedené.
262
263 Základný stav bezpečnosti IT systémov: Checklist umožní získať prehľad o aktuálnom stave bezpečnosti IT systémov. To znamená, že sa identifikujú existujúce bezpečnostné opatrenia a ich účinnosť (napríklad kontrola active directory, firewall-konfigurácia, a pod.).
264
265 GAP analýza: Bude vykonaná analýza rozdielov (GAP analýza), ktorá porovná aktuálny stav (as-is) s požiadavkami a osvedčenými postupmi (best practice). Táto analýza pomôže identifikovať slabé miesta a nedostatky v zabezpečení IT systémov. Zároveň budú navrhnuté oblasti zlepšenia tak, aby sa dosiahla požadovaná úroveň bezpečnosti.
266
267
268 Spracovanie bezpečnostnej dokumentácie v súlade s požiadavkami zákona č. 95/2019 Z. z.
269
270 o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov  (ďalej len ako ZoITVS) a zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov (ďalej len ako ZoKB)
271
272 ZoKB: Tento zákon stanovuje pravidlá a požiadavky na ochranu informačných systémov a sietí pred kybernetickými hrozbami. Zahŕňa opatrenia na prevenciu, detekciu a reakciu na kybernetické incidenty.
273
274 ZoITVS: Tento zákon upravuje používanie informačných technológií v orgánoch verejnej správy. Stanovuje štandardy a postupy na zabezpečenie efektívneho a bezpečného využívania IT systémov v štátnej správe.
275
276 Spracovanie bezpečnostnej dokumentácie v súlade s týmito zákonmi znamená, že dokumentácia musí obsahovať všetky potrebné informácie a opatrenia, ktoré sú vyžadované týmito právnymi predpismi, aby bola zabezpečená požadovaná kybernetická a informačná bezpečnosť v súlade s platnými normami a predpismi.
277
278
279 Implementácia zavedenia procesov a organizácie kybernetickej bezpečnosti
280
281 Implementácia procesov: Vytvorenie a zavedenie postupov a pravidiel, ktorými sa bude riadiť KB. To môže zahŕňať pravidelné bezpečnostné kontroly, monitorovanie systémov, reakcie na incidenty a obnovu po útokoch.
282
283 Organizácia kybernetickej bezpečnosti: Stanovenie štruktúry a zodpovedností v rámci organizácie, ktoré sa budú zaoberať kybernetickou bezpečnosťou. To môže zahŕňať určenie za KIB zodpovedných osôb, definovanie ich úloh a povinností.
284
285 Celkovo ide o to, aby organizácia mala jasne definované a efektívne fungujúce mechanizmy na ochranu svojich informačných systémov a dát pred kybernetickými hrozbami
286
287 Zdieľanie pozície IT security experta pre kybernetickú bezpečnosť
288
289 Zdieľaná funkcia: Expert nebude pracovať výlučne pre jednu organizáciu, ale bude svoje odborné znalosti a skúsenosti poskytovať viacerým subjektom. To môže byť efektívne riešenie pre menšie organizácie, ktoré nemajú dostatočné zdroje na zamestnanie vlastného bezpečnostného experta na plný úväzok.
290
291 IT security expert: Ide o odborníka, ktorý má hlboké znalosti a skúsenosti v oblasti kybernetickej a informačnej bezpečnosti. Tento expert bude zodpovedný za identifikáciu, hodnotenie, riadenie kybernetických rizík a riešení.
292
293 Kybernetická bezpečnosť: Oblasť, ktorá sa zaoberá ochranou informačných systémov, sietí a dát pred kybernetickými hrozbami a útokmi.
294
295 Celkovo ide o to, že jeden IT bezpečnostný expert bude poskytovať svoje služby viacerým organizáciám alebo oddeleniam, aby im pomohol zabezpečiť ich informačné systémy a dáta pred kybernetickými hrozbami.
296
297
298 **Zvýšenia povedomia o kybernetických hrozbách**
299
300
301 Školenia technológiou čo bude inštalovaná na obciach úrovni používateľov (NAS, EDR, firewall)
302
303 NAS (Network Attached Storage): Toto je zariadenie, ktoré umožňuje ukladať a zdieľať dáta v rámci siete. Používatelia sa naučia, ako efektívne ukladať, spravovať a pristupovať k svojim dátam pomocou NAS.
304
305 EDR (Endpoint Detection and Response): Toto je bezpečnostná technológia, ktorá monitoruje a reaguje na kybernetické hrozby na koncových zariadeniach (napr. počítače, mobilné zariadenia). Školenie bude zamerané na to, ako používatelia môžu rozpoznať a reagovať na potenciálne bezpečnostné incidenty.
306
307 Firewall: Toto je bezpečnostné zariadenie alebo softvér, ktorý kontroluje a filtruje sieťovú komunikáciu s cieľom zabrániť neoprávnenému prístupu. Používatelia sa naučia, ako firewall funguje a ako ho môžu používať na ochranu svojich zariadení a dát.
308
309 Celkovo teda školenia zabezpečia, že používatelia budú vedieť, ako používať tieto technológie na zvýšenie bezpečnosti a efektivity svojej práce.
310
311 V rámci projektu budú kľúčoví používatelia nielen zapojení do školení, ale aj do fázy testovania navrhovaných opatrení. Tento prístup má za cieľ zabezpečiť, aby konečné výsledky projektu presne reflektovali ich potreby a prispeli k zlepšeniu celkovej kybernetickej a informačnej bezpečnosti v obci. Okrem toho bude zabezpečené, že všetci používatelia budú dôkladne oboznámení a zaškolení na prácu s novými procesmi. Tým sa nielen zvýši ich efektivita, ale aj prispeje k vytvoreniu bezpečnejšieho pracovného prostredia.
312
313
314 Školenia pre štatutárov a zamestnancov
315
316 Tieto školenia budú zamerané na základy kybernetickej bezpečnosti, phishingové útoky, bezpečné používanie hesiel. Súčasťou školení bude aj predstavenie spracovanie bezpečnostnej dokumentácie a oboznámenie zamestnancov so základnými zásadami z pohľadu KB.
317
318 Základy kybernetickej bezpečnosti: Účastníci sa naučia základné princípy a postupy na ochranu svojich informačných systémov a dát pred kybernetickými hrozbami. To zahŕňa pochopenie rôznych typov hrozieb a základných bezpečnostných opatrení.
319
320 Phishingové útoky: Školenia budú obsahovať informácie o tom, čo sú phishingové útoky, ako ich rozpoznať a ako sa pred nimi chrániť. Phishing je technika, ktorou sa útočníci snažia získať citlivé informácie (napr. heslá, finančné údaje) tým, že sa vydávajú za dôveryhodné osoby alebo organizácie.
321
322 Bezpečné používanie hesiel: Účastníci sa naučia, ako vytvárať a používať silné heslá, ako ich bezpečne ukladať a ako sa vyhnúť bežným chybám, ktoré môžu viesť k ich kompromitácii. To zahŕňa aj používanie dvojfaktorovej autentifikácie a ďalších bezpečnostných opatrení.
323
324 Zaškolenie na bezpečnostnú dokumentáciu a smernice: Okrem vydania týchto dokumentov bude potrebné, aby používatelia boli zaškolení na ich správne používanie. To znamená, že budú organizované školenia, kde sa účastníci naučia, ako aplikovať tieto metodiky a smernice v praxi. Školenia zabezpečia, že všetci používatelia budú rozumieť obsahu dokumentácie a budú vedieť, ako ju správne implementovať.
325
326 Celkovo tieto školenia pomôžu účastníkom získať dôležité znalosti a zručnosti na ochranu svojich digitálnych aktív a aby boli vytvorené jasné a zrozumiteľné pravidlá pre kybernetickú bezpečnosť
327
328
329 **Informácie o oblasti (OBSAH / AGENDA / ŽIVOTNÁ SITUÁCIA), ktorým sa projekt venuje**
330
331
332 Z pohľadu životných situácií sa projekt venuje nasledovným životným situáciám:
333
334 |**Kód v číselníku (MetaIS)**|**Názov**
335 |131|Práca vo verejnom záujme
336 |051|Demokracia
337 |058|Účasť na veciach verejných
338
339 Tabuľka č. 1 - Zoznam projektom zlepšovaných životných situácií
340
341
342
343 Výnos MF SR č. 478/2010 Z. z. o základnom číselníku úsekov verejnej správy a agend verejnej správy definoval pre NBÚ nasledovný úsek VS:
344
345 |**Kód v číselníku (MetaIS)**|**Názov úseku**
346 |U00207|Ochrana utajovaných skutočností, šifrová služba a elektronický podpis
347
348 Tabuľka č. 2 - Zoznam projektom zlepšovaných úsekov
349
350
351 Vyššie uvedený úsek pozostáva z agiend, pričom agenda priamo relevantná pre projekt je uvedená v tabuľke nižšie:
352
353 |**Kód v číselníku (MetaIS)**|**Názov úseku**
354 |A0002910|Ochrana utajovaných skutočností
355
356 Tabuľka č. 3 - Zoznam agend relevantných pre projekt
357
358
359 **Aktéri projektu, ich ciele, požiadavky a obmedzenia:**
360
361
362 |**Aktér**|**Cieľ**|**Požiadavka**|(% colspan="2" %)**Obmedzenie**
363 |**MIRRI**|Zabezpečiť zvýšenie kybernetickej a informačnej bezpečnosti|Realizácia projektu Kybernetická bezpečnosť pre samosprávy SR do 6000 obyvateľov. Zamedziť riziku kybernetických útokov a výpadku eSlužieb.|(% colspan="2" %)Súčasné finančné zabezpečenie MIRRI neumožňuje realizáciu projektu bez financovania zo zdrojov EÚ.
364 |**NBÚ**|Zvýšenie úrovne kybernetickej a informačnej bezpečnosti na národnej úrovni|(((
365 Poskytovanie podpory samospráve.
366
367 Zvýšenie bezpečnostného povedomia obyvateľov SR
368 )))|Pre dosiahnutie cieľov na národnej úrovni je potrebný partner na úrovni samosprávy.|
369 |**Obec (samospráva)**|Zabezpečiť HW a SW infraštruktúru obcí.|Realizácia projektu Kybernetická bezpečnosť pre samosprávy SR do 6000 obyvateľov. Využitie synergického efektu spoločného obstarania.|(((
370 Chýbajúce ľudské a finančné zdroje na zabezpečenie infraštruktúry.
371
372 Dostupné finančné prostriedky sú smerované na zabezpečenie akútnych potrieb samosprávy.
373 )))|
374 |**Verejnosť**|Zvyšovanie bezpečnostného povedomia občanov obcí|Zabezpečenie aktivít pre zvyšovanie povedomia obyvateľov obcí|(% colspan="2" %)Nedostatok vlastných finančných zdrojov
375
376
377
378
379 1.
380 11. Zainteresované strany/Stakeholderi
381
382
383
384 |ID|AKTÉR / STAKEHOLDER|(((
385 SUBJEKT
386
387 (názov / skratka)
388 )))|(((
389 ROLA
390
391 (vlastník procesu/ vlastník dát/zákazník/ užívateľ …. člen tímu atď.)
392 )))|(((
393 Informačný systém
394
395 (MetaIS kód a názov ISVS)
396 )))
397 |1.|Ministerstvo investícií, regionálneho rozvoja a informatizácie SR|MIRRI|Subjekt zodpovedný za realizáciu projektu a jednotlivých riešení|nerelevantné
398 |2.|Občan / podnikateľ|Verejnosť|Používateľ služieb štátu. Úžitok  zo zvýšenej bezpečnosti a dostupnosti verejných elektronických služieb vrátane vyššej ochrany osobných údajov.|nerelevantné
399 |3.|Úradník samosprávy|samospráva|Používateľ služieb|nerelevantné
400 |4.|Národný bezpečnostný úrad|NBÚ|Riadi a koordinuje výkon štátnej správy v oblasti kybernetickej bezpečnosti.|nerelevantné
401 |5.|Externí dodávatelia|ED|Dodávatelia|
402
403
404
405 1.
406 11. Ciele projektu
407
408
409 |ID|(((
410
411
412
413 Názov cieľa
414 )))|Názov strategického cieľa|Spôsob realizácie strategického cieľa
415 |01|Zvýšenie a zlepšenie úrovne kybernetickej a informačnej bezpečnosti v prostredí samosprávy|(((
416 Národná stratégia Kybernetickej bezpečnosti na roky 2021 – 2025:
417
418 4.1 Dôveryhodný štát pripravený na hrozby
419
420 4.4 Kybernetická bezpečnosť ako základná súčasť verejnej správy
421 )))|(((
422 -zavedením funkčných procesov riadenia rizík kybernetickej bezpečnosti
423
424 -vypracovanie dlhodobej bezpečnostnej stratégie, ktorá bude zahŕňať ciele, priority a konkrétne opatrenia na zlepšenie bezpečnosti
425
426 - zasadenie pokročilých bezpečnostných technológií, ako sú EDR (Endpoint Detection and Response), firewall, NAS
427
428 - organizácia pravidelných školení pre zamestnancov obecných úradov na zvýšenie ich povedomia a znalostí v oblasti kybernetickej bezpečnosti
429
430 - vytvorenie vzdelávacích materiálov a online kurzov, ktoré budú dostupné pre všetkých zamestnancov
431
432 - zavedenie systémov na neustále monitorovanie bezpečnostných incidentov a hrozieb
433
434 - vytvorenie a implementácia plánov reakcie na bezpečnostné incidenty, vrátane postupov na rýchlu obnovu systémov a dát
435
436 - zabezpečenie efektívnej komunikácie medzi obcami, centrálnymi orgánmi a externými partnermi
437
438 - pravidelná aktualizácia bezpečnostných opatrení a politík na základe získaných poznatkov a skúseností
439 )))
440
441
442 1.
443 11. Merateľné ukazovatele (KPI)
444
445
446 |ID|(((
447
448
449
450 ID/Názov cieľa
451 )))|Názov
452 ukazovateľa (KPI)|Popis
453 ukazovateľa|Merná jednotka
454 |AS IS
455 merateľné hodnoty
456 (aktuálne)|TO BE
457 Merateľné hodnoty
458 (cieľové hodnoty)|Spôsob ich merania|Pozn.
459 |01|Zvýšenie a zlepšenie úrovne kybernetickej a informačnej bezpečnosti v prostredí samosprávy|Počet podporených obcí|Zvýšenie bezpečnostného štandardu v oblasti kybernetickej a informačnej bezpečnosti pre obce do 6.000 obyvateľov v podobe procesného, technického, hardvérového vybavenia, EDR, NAS, firewall, dokumentácia.|Počet (ks)|0|1500|Údaje z projektu|...
460 |02|Zvýšenie a zlepšenie úrovne kybernetickej a informačnej bezpečnosti v prostredí samosprávy|Počet obcí s pravidelným skenovaním zraniteľnosti|Počet obcí kde bude zavedené pravidelné skenovanie zraniteľnosti na koncových bodoch monitorovaných prostredníctvom EDR|Počet (ks)|0|1500|Údaje z projektu|
461
462
463 Cieľom projektu je zvýšiť úroveň kybernetickej bezpečnosti v prípade viac ako polovice obcí na Slovensku do 6000 obyvateľov. To umožní signifikantné posilnenie kybernetickej a informačnej bezpečnosti samosprávy na Slovensku, ktorá je dohodobo prehliadaná. Podľa § 5 ods. 2 písm. c) ZoITVS (95/2019 Z.z.) je obec orgánom riadenia a zároveň aj správcom ITVS. Do registra prevádzkovateľov základnej služby sa podľa § 17 ods. 1 písm. g) ZoKB (69/2018 Z.z.) zapisuje, každý správca ITVS. Ako poskytovatelia základných služieb štátu, sú obce povinné zabezpečiť kybernetickú bezpečnosť podľa požiadaviek definovaných v príslušnej legislatíve. Vo väčšine obcí s počtom obyvateľov do 6 000 je však táto problematika často zanedbávaná a je na pokraji záujmu obce. Na Slovensku je aktuálne v uvedenej veľkostnej kategórii 2795 obcí (na základe počtu obyvateľov na konci roka 2023). Naplnením cieľa projektu by sa tak kybernetická bezpečnosť zvýšila celkovo v prípade 54 % obcí. Výška cieľovej hodnoty bola zvolená na základe časového a finančného rámca pre úspešne zvládnutie naplnenia cieľa so zachovaním kvality dodaných služieb.
464
465
466 Tento projekt by tak umožnil obciam s najnižšími rozpočtami aspoň čiastočne pokryť investície do kybernetickej a informačnej bezpečnosti. Aby sme tento cieľ dosiahli, plánujeme uskutočniť verejnú prezentáciu projektu, ktorá bude zameraná na zvýšenie povedomia a informovanosti o dôležitosti kybernetickej bezpečnosti. Okrem toho budeme realizovať cielenú komunikáciu na obce prostredníctvom centrálneho portálu kybernetickej bezpečnosti, známeho ako 'kyberportál'.
467
468
469 Tento portál slúži ako hlavný komunikačný kanál, kde budú obce môcť nájsť všetky potrebné informácie, návody a aktualizácie týkajúce sa kybernetickej bezpečnosti. Sekcia kybernetickej bezpečnosti disponuje databázou kontaktov všetkých obcí, čo nám umožní efektívne a rýchlo komunikovať s cieľovou skupinou a zabezpečiť, že všetky obce budú informované o našich aktivitách a možnostiach zapojenia sa do projektu. Pomocou kybernportálu sa rozpošle každej obci email, ktorý bude obsahovať link na formulár na zapojenie do projektu. Tento formulár bude cez platformu officeforms, ktorého výstupy budú sprístupnené projektovému manažérovi na ďalšie kroky projektu.
470
471
472
473
474 1.
475 11. Špecifikácia potrieb koncového používateľa
476
477
478 Súčasťou realizácie projektu je implementácia elektronických služieb, ktoré  majú grafické alebo iné používateľské rozhranie a sú určené pre občanov/podnikateľov (alebo aj pracovníkov verejnej správy pracujúcich s agendovým systémom), ďalej označených ako koncoví používatelia. Špecifikácia požiadaviek bola realizovaná koncovými používateľmi a je v súlade s legislatívou (s aktuálne platnou a s návrhom jej zmien ako súčasť projektov) a s postupmi pri vytváraní elektronických služieb verejnej správy podľa vyhlášky 547/2021 Z. z. o elektronizácii agendy verejnej správy. Špecifikácia potrieb resp. cieľov koncových používateľov, ktoré identifikujú, čo jednotlivé skupiny koncových používateľov od elektronickej služby požadujú boli definované na základe analýzy riadených rozhovorov (prieskumu) s predstaviteľmi samospráv.
479
480
481 Vzhľadom na rozsah a charakter projektu bola riadenými rozhovormi potvrdená požiadavka na využitie Centrálneho portálu kybernetickej bezpečnosti ako hlavného komunikačného nástroja pre proces prihlasovania sa obcí do projektu, zdieľanie informácií pre potreby GAP analýzy a inej dokumentácie. Súčasná verzia portálu bola implementovaná za dodržania Jednotného dizajn manuálu pre tvorbu elektronických služieb a webových sídel ID-SK. Akékoľvek úpravy Centrálneho portálu kybernetickej bezpečnosti budú vykonané taktiež v súlade s dizajn manuálom. Identifikovaní koncoví používatelia sú zamestnanci a štatutári zapojených obcí. Pre proces onboardingu, zdieľania informácií a inej dokumentácie bude zmapovaná používateľská cesta.
482
483
484 Pri mapovaní používateľskej cesty a dizajne služieb budú aplikované princípy:
485
486 * minimalizácie počtu krokov nevyhnutných k úspešnému získaniu/dokončeniu služby
487 * dizajnu služieb bez slepých uličiek
488 * interné procesy budú ukryté pred používateľom
489 * správne názvoslovie - služba sa bude dať jednoducho vyhľadať
490 * zrozumiteľný popis koncovej služby
491 * služba bude pocitovo konzistentná a opakovane použije dizajn IDSK
492 * služba bude vychádzať z aktuálnych trendov a bude fungovať používateľovi známym spôsobom
493 * používateľ bude mať možnosť podať spätnú väzbu
494 * služba bude využívať inteligentné formuláre a minimalizuje zber nepotrebných údajov
495
496
497 .
498
499 1.
500 11. Riziká a závislosti
501
502
503 Riziká a závislostí sú spracované v Prílohe č. 1 – **Zoznam RIZÍK a ZÁVISLOSTI.**
504
505
506 1.
507 11. Stanovenie alternatív v biznisovej vrstve architektúry
508
509
510 Pretože tento projekt nezahŕňa budovanie ani rozvoj informačných systémov verejnej správy (ISVS), alternatívy sa nehodnotili tradičným spôsobom podľa biznisovej architektúry. Namiesto toho sa porovnali tri rôzne možnosti riešenia aktuálnej situácie. Na základe rozsahu problému, ktorý sa identifikoval v projektovom zámere, sa stanovili tri rôzne alternatívne riešenia. Ako najefektívnejšie sa vybrala alternatíva č.3 ktorá komplexne pokrýva procesy a požiadavky všetkých zainteresovaných strán.
511
512
513 1.               **Zachovanie súčasného stavu bez realizácie projektu** - stav zostane nezmenený (v kritickom režime), bez dostatočných finančných kapacít a kvalifikovaných ľudských zdrojov dostupných pre potreby obcí, kedy prípadný kybernetický/bezpečnostný incident môže viesť k nedostupnosti časti alebo celého riešenia. Táto alternatíva predstavuje vysoké riziko vzhľadom na citlivosť údajov.
514
515 2.               **Kybernetická bezpečnosť  realizovaná obcami  samostatne (decentralizovane)**- alternatíva predstavuje zabezpečenie kybernetickej bezpečnosti zo strany samotných obcí za zvýšenej metodickej a odbornej pomoci MIRRI SR. Toto riešenie si vyžaduje posilnenie personálnych kapacít MIRRI SR, avšak vzhľadom na početnosť individuálnych samospráv predstavuje neefektívne riešenie bez ďalších dokumentačných, SW a HW nástrojov. Samotné zabezpečenie súladu s legislatívnymi požiadavkami KB kategórie I. podľa zákona č. 69/2018 Z.z. naprieč všetkými používanými informačnými systémami a internými procesmi by bolo výlučne na pleciach príslušnej obce. Uvedená alternatíva znamená vysokú heterogenitu z pohľadu aplikačnej vrstvy použitých nástrojov kybernetickej bezpečnosti, čo negatívne ovplyvňuje prevádzkovanie a stabilitu vzájomne prepojených prostredí.
516
517 3.               **Realizácia Kybernetická bezpečnosť pre samosprávy SR do 6000 obyvateľov** – realizáciou projektu sa zabezpečí zvýšenie úrovne kybernetickej a informačnej bezpečnosti obcí do 6000 obyvateľov prostredníctvom zabezpečenia bezpečnostnej dokumentácie, efektívneho centrálneho obstarania, inštalácie. Zabezpečí sa aj zastrešenie zdieľanej funkcie IT security experta pre kybernetickú bezpečnosť. Táto alternatíva je podporená výstupmi NKÚ o nutnej podpore štátu mitigujúcej nedostatok zdrojov samospráv pre riešenie zabezpečenia kybernetickej bezpečnosti. Zvolená alternatíva predstavuje minimálny rozsah plošného zvýšenia úrovne kybernetickej bezpečnosti prostredníctvom zabezpečenia zálohovania a obnovy, centrálneho nastavenie bezpečnostných politík, ochrany siete prostredníctvom firewallu a systematického monitoringu a ochrany koncových zariadení.
518
519
520
521
522
523
524 |(((
525 Kybernetická bezpečnosť pre samosprávy SR do 6000 obyvateľov
526 )))
527
528 |(((
529 Zachovanie súčasného stavu bez realizácie projektu
530 )))
531
532 |(((
533 Zvyšovanie kybernetickej bezpečnosti realizovaná obcami samostatne (decentralizovane)
534 )))
535
536 |(((
537 Realizácia KB pre samosprávy SR do 6000 obyvateľov
538 )))
539
540 |(((
541 Alternatíva 1
542 )))
543
544 |(((
545 Alternatíva 3
546 )))
547
548 |(((
549 Alternatíva  2
550 )))
551
552
553
554
555
556
557
558
559
560
561
562
563
564
565
566 1.
567 11. Multikriteriálna analýza
568
569 Výber alternatív prebieha prostredníctvom MCA zostavenej na základe kapitoly Motivácia, ktorá obsahuje ciele stakeholderov, ich požiadavky a obmedzenia pre dosiahnutie uvedených cieľov.
570
571
572 Niektoré (nie všetky) kritériá môžu byť označené ako KO kritériá. KO kritériá označujú biznis požiadavky na riešenie, ktoré sú z hľadiska rozsahu identifikovaného problému a motivácie nevyhnutné pre riešenie problému a všetky akceptovateľné alternatívy ich tak musia naplniť. Alternatívy, ktoré nesplnia všetky KO kritériá, môžu byť vylúčené z ďalšieho posudzovania. KO kritériá nesmú byť technologické (preferovať jednu formu technologickej implementácie voči druhej).
573
574
575 Kritéria:
576
577 * Zlepšenie kvality, nezávislosti a efektivity procesov
578 * Zvýšenie kybernetickej a informačnej bezpečnosti
579 * Súlad s legislatívnymi požiadavkami
580 * Zníženie rizika kybernetických útokov v rámci samosprávy
581
582
583 | |KRITÉRIUM|ZDÔVODNENIE KRIÉRIA|Obec|MIRRI|NBÚ|Občania
584 |(% rowspan="4" %) |Zjednotenie štandardov, zautomatizovanie a efektivita procesov|Implementácia zavedenia procesov a organizácie kybernetickej bezpečnosti, zjednotenie štandardov, zautomatizovanie procesov, nahlasovanie a riešenie incidentov kvality|X|X|X|
585 |Zvýšenie odolnosti voči kybernetickým incidentom a zabezpečenie kontinuity prevádzky|Zvýšením úrovne kybernetickej bezpečnosti dôjde k skvalitneniu ochranu aktív a celkovej dôveryhodnosti občanov voči samospráve a jej službám. Školenia technológiou čo bude inštalovaná na obciach úrovni používateľov (NAS, EDR, firewall)|X|X| |X
586 |Súlad s legislatívnymi požiadavkami|(((
587 Citlivé údaje občanov a subjektov verejnej správy vyžadujú osobitnú ochranu, aby sa predišlo neoprávnenému prístupu. Spracovanie bezpečnostnej dokumentácie v súlade s požiadavkami zákona č. 95/2019 Z.
588
589 a zákona č. 69/2018 Z. z.
590 )))|X|X|X|
591 |Zníženie rizika kybernetických útokov v rámci samosprávy|školenia budú zamerané na základy kybernetickej bezpečnosti, phishingové útoky, bezpečné používanie hesiel. Súčasťou školení bude aj predstavenie spracovanie bezpečnostnej dokumentácie a oboznámenie zamestnancov so základnými zásadami z pohľadu KB.|X|X| |X
592
593
594
595
596
597
598
599
600
601 |Zoznam kritérií|(((
602 Alternatíva
603
604 1
605 )))|(((
606 Spôsob
607
608 dosiahnutia
609 )))|Alternatíva 2|(((
610 Spôsob
611
612 dosiahnutia
613 )))|Alternatíva 3|(((
614 Spôsob
615
616 dosiahnutia
617 )))
618 |Zjednotenie štandardov, zautomatizovanie a efektivita procesov|nie|alternatíva 1 je zachovanie statusu quo bez realizácie projektu|nie|Implementáciou alternatívy 2 sa nezabezpečí zjednotenie štandardov a zautomatizovanie procesov|áno|Implementáciou alternatívy 3 sa zjednotia štandardy
619 |Zvýšenie odolnosti voči kybernetickým incidentom a zabezpečenie kontinuity prevádzky|nie|alternatíva 1 je zachovanie statusu quo bez realizácie projektu|Nie|Realizáciou alternatívy 2 sa nezabezpečí zvýšenie odolnosti|áno|Implementáciou alternatívy 3 a dodania firewallu, EDR a NAS sa zvýši odolnosť procesov a zabezpečí sa kontinuita prevádzky a prípade incidentu
620 |Súlad s legislatívnymi požiadavkami|nie|alternatíva 1 je zachovanie statusu quo bez realizácie projektu|Nie|Realizáciou alternatívy 2 sa nezabezpečí súladu s legislatívnymi požiadavkami|áno|Implementáciou alternatívy 3 kde im bude dodaná bezpečnostnej dokumentácie
621 |Zníženie rizika kybernetických útokov v rámci samosprávy|nie|alternatíva 1 je zachovanie statusu quo bez realizácie projektu|áno|Implementáciou alternatívy 2 sa zníži riziko kybernetických útokov, vďaka metodickej a odbornej pomoci MIRRI SR|áno|Implementáciou alternatívy 3 kde im budú poskytnuté školenia na základy kybernetickej bezpečnosti, phishingové útoky, bezpečné používanie hesiel
622
623
624
625 1.
626 11. Stanovenie alternatív v aplikačnej vrstve architektúry
627
628
629 Alternatívy na základe aplikačnej vrstvy architektúry neboli posudzované nakoľko nedochádza k zmene na úrovni aplikačnej vrstvy architektúry. Zvolené aplikačné komponenty vychádzajú z nadradenej biznis alternatívy a predstavujú minimálny rozsah, ktorým je možné biznis alternatívu naplniť. Z hľadiska aplikačnej vrstvy je pre dosiahnutie cieľov projektu nevyhnutná navrhovaná komplementárna kombinácia nástrojov. Uplatnenie open source riešení bolo zvažované avšak vzhľadom na priamy súvis aplikačnej a technologickej vrstvy, kde aplikačnú vrstvu tvorí obslužný SW pre HW, resp. bezpečnostný charakter aplikačných nástrojov neboli identifikované vhodné open source riešenia. V prípade, že v procese implementácie bude identifikovaný vhodný open source nástroj, bude jeho implementácia predmetom fázy analýza a dizajn.
630
631
632
633 1.
634 11. Stanovenie alternatív v technologickej vrstve architektúry
635
636
637 Výber alternatívy na úrovni technologickej a bezpečnostnej vrstvy architektúry kopíruje výber alternatívy č. 3 na základe MCA. Náklady na údržbu a prevádzku projektu sú uvedené v CBA analýze ako percentuálny pomer z obstarávacej ceny diela.
638
639
640 1. POŽADOVANÉ VÝSTUPY (PRODUKT PROJEKTU)
641
642
643 Projekt bude pri implementácii postupovať v zmysle vyhlášky 401/2023 Z.z.
644
645
646 |(% colspan="2" %)**Realizačná fáza projektu**
647 |(% colspan="2" %)**Manažérsky produkt**
648 |(% colspan="2" %)Projektový iniciálny dokument (PID) (R-01)
649 |(((
650 **Hlavné aktivity**
651
652
653 )))|**Špecializovaný produkt**
654 |(% rowspan="2" %)Analýza a dizajn|Detailný technický návrh riešenia (R1-1)
655 |Plán testov (R1-2)
656 |(% rowspan="2" %)Nákup technických prostriedkov, programových prostriedkov a služieb|Obstaranie technických prostriedkov (R2-1)
657 |Obstaranie programových prostriedkov a služieb (R2-2)
658 |(% rowspan="4" %)Implementácia a Testovanie|Vývoj, migrácia údajov a integrácia (R3-1)
659 |Testovanie (R3-2)
660 |Školenia personálu (R3-3)
661 |Dokumentácia (R3-4)
662 |(% rowspan="2" %)Nasadenie a Postimplementačná podpora|Nasadenie do produkcie (vyhodnotenie) (R4-1)
663 |Preskúšanie a akceptácia spustenia do produkcie (vyhodnotenie) (R4-2)
664 |(% colspan="2" %)**Dokončovacia fáza projektu**
665 |(% colspan="2" %)**Manažérsky produkt**
666 |(% colspan="2" %)D-01 Správa o dokončení projektu
667 |(% colspan="2" %)D-01 Správa o získaných poznatkoch
668 |(% colspan="2" %)D-01 Plán kontroly po odovzdaní projektu
669 |(% colspan="2" %)D-01 Odporúčanie nadväzných krokov
670 |(% colspan="2" %)**Služby projektového riadenia**
671 |(% colspan="2" %)**Manažérsky produkt**
672 |(% colspan="2" %)M-01 Plán etapy
673 |(% colspan="2" %)M-02 Manažérske správy, reporty, zoznamy a požiadavky
674 |(% colspan="2" %)M-03 Akceptačný protokol
675 |(% colspan="2" %)M-04 Audit kvality projektu na mieste
676
677
678 Výstupy projektu, ktoré sa týkajú aktivít kybernetickej bezpečnosti na obci do 6000 obyvateľov:
679
680 * Analýza a dizajn
681 * Nákup technických prostriedkov, programových prostriedkov a služieb
682 * Implementácia a testovanie
683 * Nasadenie
684
685
686 Po zhodnotení jednotlivých alternatív a ich vyhodnotenia pomocou stanovených kritérií výstupom projektu bude súbor viacerých
687
688 vzájomne prepojených riešení v podobe bezpečnostných nástrojov.
689
690 Zabezpečenie kybernetickej bezpečnosti výkonom aktivít priamo na obciach
691
692 * Technologické zvýšenie kybernetickej a informačnej bezpečnosti implementáciou softvérových nástrojov kybernetickej bezpečnosti:
693 ** NAS (Network Attached Storage)
694 ** EDR (Endpoint Detection and Response)
695 ** Firewall
696 * Zabezpečenie súladu s legislatívnymi požiadavkami
697 ** zistenie základného stavu pomocou checklistu pre subjekty kategórie I.
698 ** spracovanie bezpečnostnej dokumentácie v súlade so zákonmi č.95/2019 Z.z. a 69/2018 Z.z., že dokumentácia musí obsahovať všetky potrebné informácie a opatrenia, ktoré sú vyžadované týmito právnymi predpismi, aby bola zabezpečená požadovaná kybernetická a informačná bezpečnosť v súlade s platnými normami a predpismi.
699 ** implementácia zavedenia procesov a organizácie kybernetickej bezpečnosti, aby boli jasne definované a fungujúce mechanizmy na ochranu informačných systémov a dát pred kybernetickými hrozbami
700 ** zdieľaná pozícia IT security experta pre kybernetickú bezpečnosť, ide o to aby poskytoval svoje služby viacerým organizáciám alebo oddeleniam, aby im pomohol zabezpečiť ich informačné systémy a dáta pred kybernetickými hrozbami
701 * Zvýšenie povedomia o kybernetických hrozbách
702 ** školenia technológiou čo bude inštalovaná na obciach úrovni používateľov (NAS, EDR, firewall), v rámci projektu budú zapojení aj do fázy testovania navrhovaných opatrení
703 ** školenia pre zamestnancov a štatutárov na základy kybernetickej bezpečnosti, phishingové útoky, bezpečné používanie hesiel a súčasťou bude aj predstavenie spracovanej bezpečnostnej dokumentácie a oboznámenie zamestnancov so základnými zásadami z pohľadu kybernetickej bezpečnosti
704
705
706 1. NÁHĽAD ARCHITEKTÚRY
707
708
709 Biznis architektúra budúceho stavu reflektuje zámer projekt, ktorým je zvýšenie kybernetickej a informačnej bezpečnosti na obciach do 6000 obyvateľov.
710
711 Biznis aktéri projektu sú Ministerstvo investícií, regionálneho rozvoja a informatizácie SR, vládna jednotka CSIRT, NASES, obec, dodávateľ a NBÚ.
712
713 Z pohľadu prístupových miest a kanálov realizáciou projektu dôjde k doplneniu funkcionalít systému EDR s centrálnou konzolou, Firewall a Dispečing.
714
715 V rámci poskytovaných služieb príde ku zmenám a doplnením nových služieb.
716
717 * Dodávateľ:
718 ** Nové služby
719 *** Podpora L1, L2 pre správu nástrojov a bezpečnosti
720 *** Konzultačné služby KIB experta (zdieľané)
721 ** Rozšírené služby
722 *** Ochrana perimetra
723 *** Školenie zamestnancov obce
724 *** Uchovávanie, spravovanie a zálohovanie dát
725 *** Ochrana koncových bodov (pracovná stanica)
726 * MIRRI
727 ** Nové služby
728 *** Bezpečnostný monitoring 24/7
729 *** Riešenie incidentov L3
730
731 Zásadné zmeny v rámci navrhovaného riešenia sa dotknú nasledovných biznis funkcií:
732
733 * **Vzdialená správa firewall** - vzdialená správa firewallu je nový komponent ktorý bude obsahovať nasadenie a inštaláciu firewall, správu firewallu, vrátane jeho konfigurácie, monitorovanie bezpečnostných incidentov, aktualizácii softvéru a zabezpečenia nepretržitej prevádzky, aby bola zaistená maximálna ochrana IT infraštruktúry
734 * **Podpora pri nastavení a návrhu konceptu kybernetickej a informačnej bezpečnosti (MKIB) **– podpora bude doplnená o návrh konceptu kybernetickej a informačnej bezpečnosti, vrátane analýzy súčasného stavu, identifikácie rizík, návrhu bezpečnostných opatrení a implementácie najlepších postupov na ochranu citlivých údajov a IT infraštruktúry
735 * **Podpora pri implementácií dokumentácie MKIB experta **– podpora pri implementácií dokumentácie KIB bude rozšírená o rozšírená o spracovanie bezpečnostnej dokumentácie v súlade s požiadavkami zákona č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov a zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov
736 * **Nastavenie procesov zálohovania a obnovy**- nastavenie bude rozšírené o nasadenie a inštalácia Network Attached Storage (NAS), vrátane konfigurácie zálohových plánov, pravidelného testovania obnovy dát, monitorovanie zálohovacích úloh
737 * **Poskytovanie školení pre zamestnancov obce- **pre zamestnancov obce** **budú poskytované školenia ohľadom kybernetickej bezpečnosti, phishingové útoky, bezpečné používanie hesiel.
738 * **Centrálne nastavenie politík (baseline) – **implementáciou tohto nového riešenia sa vytvorí nová dokumentácia a centrálne nastavenie politík, bude vytvorená bezpečnostná dokumentácia a smernice. Budú taktiež organizované školenia kde používatelia porozumejú obsahu dokumentácie, ako aplikovať dané metodiky a smernice v praxi.** **
739
740 * **Analýza malvéru a forenzná analýza**- podrobná analýza malvéru a forenznej analýzy, vrátane identifikácie a odstránenie škodlivého softvéru, analýza útokov a incidentov, zhromažďovania a uchovávania dôkazov, a poskytovania podrobných správ o zisteniach a odporúčaniach na zlepšenie opatrení
741 * **Next-gen antimalware ochrana firewall (endpoint server) **– jedná sa o pokročilú technológiu na ochranu koncových zariadení pred malvérom a inými kybernetickými hrozbami. Next-gen antimalware ochrana umelú inteligenciu, strojové učenie a behaviorálnu analýzu na identifikáciu a blokovanie neznámych hrozieb v reálnom čase.
742 * **Evidencia a nahlasovanie incidentov- **v rámci podpory** **sa obci bude dodávať podpora L1 a L2 od dodávateľa. Súčasťou rozšírenia tohto komponentu obce získajú dispečing pre podporu incidentov. Podpora L3 bude dodávaná od MIRRI.
743 * **Bezpečnostný dohľad a reakcia na hrozby a incidenty **súčasťou tohto komponentu je monitorovanie IT infraštruktúry obce, detekcia hrozieb (identifikácia a analýza potencionálnych hrozieb), reakcia na incidenty (vrátane izolácie postihnutých systémov) a reportovanie (vytváranie podrobných správ o zistených hrozbách a incidentoch).
744 * **Včasné varovania pred kybernetickými hrozbami (zapojenie do EWS MIRRI) **tento nový komponent pomôže obciam reagovať vďaka implementácií nových nástrojov ktoré umožňujú zber, monitoring a vyhodnocovanie informácií na centrálnej úrovni rýchlejšie na bezpečnostné normy.
745 * **Automatizovaná detekcia a reakcia na incidenty **doplneným tohto komponentu v rámci automatizovanej detekcie a reakcie bude súčasťou reakcia v reálnom čase, minimalizácia ľudského zásahu a zlepšenie bezpečnosti.
746 * **Vzdialený zber forenzných dôkazov pri riešení incidentu **doplneným tohto komponentu sa  budú používať špeciálne softvérové nástroje na zber dôkazov, dôkazy budú bezpečne uchovávané a podpora pri vyšetrovaní ako poskytovanie podrobných správ a analýz.
747
748
749 [[image:file:///C:/Users/MLYNAR~~1/AppData/Local/Temp/msohtmlclip1/01/clip_image003.jpg]]
750
751 Náhľad č.3 Schéma aplikačnej architektúry
752
753
754
755 **Bezpečnostná architektúra**
756
757
758 Bezpečnostná architektúra navrhnutá v rámci projektu je zameraná na vytvorenie národného prostredia, ktoré umožní efektívne zvyšovať úroveň kybernetickej bezpečnosti pre samosprávy a občanov Slovenskej republiky využívajúcich elektronické služby.
759
760
761 Implementované riešenia budú v súlade s nasledujúcimi princípmi bezpečnej architektúry.
762
763 Ide najmä o nasledovné princípy:
764
765 * Obrana do hĺbky - v systéme informačných technológií (IT) sú umiestnené viaceré vrstvy bezpečnostných kontrol (obrana). Jeho zámerom je poskytnúť redundanciu v prípade zlyhania bezpečnostnej kontroly alebo zneužitia zraniteľnosti, ktorá môže pokryť aspekty personálnej, procedurálnej, technickej a fyzickej bezpečnosti počas trvania životného cyklu systému.
766 * Rozčlenenie - je umiestnenie riadenia prístupu medzi rôzne podsiete, aby sa obmedzila komunikácia medzi systémami a službami a aby sa identifikovali neočakávané komunikácie, ktoré môžu byť znakom útoku. V každej sieti sú systémy a služby, ktoré by spolu nikdy nemali komunikovať.
767 * Princíp najmenších privilégií – predstavuje prístup „need-to-know“. Používatelia a technologické komponenty by mali by ste mať len takú úroveň prístupov a oprávnení, aby vedeli vykonať svoju prácu a nič navyše.
768 * Všetka komunikácia medzi bezpečnostnými nástrojmi a centrálnou časťou systému včasného varovania je zabezpečená.
769 * Všetka komunikácia bude prebiehať najbezpečnejším dostupným spôsobom, chrániť dôvernosť a integritu.
770 * Riadenie prístupu na základe rolí: Zahŕňa priradenie konkrétnych rolí alebo povolení používateľom a umožnenie prístupu iba k určitým zdrojom alebo funkciám na základe týchto rolí. Môže to byť dobrý spôsob, ako zabezpečiť, aby používatelia mali prístup len k zdrojom a funkciám, ktoré sú relevantné pre ich pracovné povinnosti.
771 * Zoznamy riadenia prístupu: Zahŕňa to vytvorenie zoznamu konkrétnych používateľov alebo skupín, ktorí majú povolený prístup k určitým zdrojom alebo funkciám, a odmietnutie prístupu každému, kto nie je na zozname. Môže to byť dobrý spôsob, ako zabezpečiť, aby k citlivým zdrojom alebo funkciám mali prístup iba oprávnení používatelia.
772 * Všetky komponenty riešenia musia byť časovo synchronizované. Presná synchronizácia času je dôležitá pre bezpečnosť z pohľadu forénzmych analýz
773
774
775 1. LEGISLATÍVA
776
777 Projekt nemá žiadny legislatívny dopad. Nové riešenie musí byť v súlade s platnou legislatívou a to najmä:
778
779
780 * Zákon č. 95/2019 Z.z. o informačných technológiách vo verejnej správe Zákon č. 69/2018 Z.z. o kybernetickej bezpečnosti
781 * Zákon č. 45/2011 Z.z. o kritickej infraštruktúre
782 * Zákon č. 215/2004 Z. z. o ochrane utajovaných skutočností a o zmene a doplnení niektorých zákonov v znení neskorších predpisov,
783 * Zákon č. 272/2016 Z. z. o dôveryhodných službách pre elektronické transakcie na vnútornom trhu a o zmene a doplnení niektorých zákonov (zákon o dôveryhodných službách),
784 * Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov
785 * Vyhláška NBÚ č. 492/2022 Z. z. ktorou sa ustanovujú znalostné štandardy v oblasti kybernetickej bezpečnosti
786 * Vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 78/2020 Z. z. o štandardoch pre informačné technológie verejnej správy
787 * Vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 179/2020 Z. z., ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy
788 * Vyhláška Úradu na ochranu osobných údajov Slovenskej republiky č. 158/2018 Z. z. o postupe pri posudzovaní vplyvu na ochranu osobných údajov
789 * Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov)
790 * Zákon č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov.
791
792
793
794 1. ROZPOČET A PRÍNOSY
795
796 |SW produkty - sumár obstaranie| 2 710 399,91 €
797 |Aplikácie - sumár obstaranie| 6 424 144,55 €
798 |HW sumár obstaranie| 3 756 420,00 €
799 |Riadenie a publicita projektu| 429 256,80 €
800 |**Rozpočet celkovo**|** 13 320 221,26 €**
801
802
803 **PRÍNOSY:**
804
805
806 **Prínosy sú podrobnejšie rozpísané v CBA na karte faktory.**
807
808
809 Centrálne obstaranie firewall, NAS a EDR licencií.
810
811 Centrálna správa firewall, EDR, dispečing pre všetky zapojené obce, riešenie bezpečnostných incidentov a bezpečnostný monitoring.
812
813 Zdieľaná funkcia IT security experta pre kybernetickú bezpečnosť, daný IT bezpečnostný expert bude poskytovať svoje služby viacerým organizáciám alebo oddeleniam, aby im pomohol zabezpečiť ich informačné systémy a dáta pred kybernetickými hrozbami,
814
815 Úspora času zamestnanca úradu pri samostatnom riešení verejného obstarávania.
816
817
818
819 **Prínosy nižšie uvedené nie sú uvedené ako kvantifikované prínosy a vypočítané v CBA:**
820
821
822 **Plošné dosiahnutie minimálnych štandardov kybernetickej a informačnej bezpečnosti**
823
824 Každá obec dosiahne minimálne štandardy bezpečnosti vrátane aktívneho firewallu, aktualizovaných systémov, ochrany koncových zariadení (EDR), zálohy dát, pravidelný monitoring (nepretržité vyhodnocovanie kybernetických bezpečnostných udalostí) a detegovanie existujúcich zraniteľností programových a technických prostriedkov a ich častí. Prevádzkovanie infraštruktúry bude spoločné – obce budú zodpovedné za miestnu správu, MIRRI SR za strategickú podporu a monitoring. Baseline implementácie projektu: Modernizované systémy, zníženie rizík incidentov, zaškolený personál a zvýšená dôvera občanov.
825
826
827 **Zvýšenie kybernetickej bezpečnosti**
828
829 Projekt posilní ochranu obcí pred narastajúcimi kybernetickými hrozbami. S progresom informatizácie a elektronizácie služieb rastie aj riziko vzniku, no predovšetkým potencionálneho dopadu kybernetického incidentu. Zvýšená efektivita reakcie na kybernetické hrozby a spoľahlivosť IT infraštruktúry prinesie organizácii významný prínos, a to v podobe zníženia rizika straty dôveryhodnosti, finančných strát a poškodenia povesť. Týmto spôsobom sa projekt stáva kľúčovým opatrením v oblasti kybernetickej bezpečnosti a ochrany organizácie pred hrozbami v dnešnom digitálnom svete. V rámci rozvoja manažmentu kybernetickej a informačnej bezpečnosti bude zvýšené povedomie zamestnancov o dôležitosti kybernetickej bezpečnosti. Toto je kľúčové pre prevenciu a efektívnu reakciu na incidenty.
830
831
832 Projekt sa zabezpečí, že organizácia nebude iba pasívnym príjemcom informácií o hrozbách, ale aktívnym účastníkom v boji proti nim. Tým sa MIRRI stane schopný predvídať a čeliť hrozbám s vyššou efektivitou a dôslednosťou, čím sa posilňuje celková kybernetická bezpečnosť. Celkovo projekt prispeje k vytvoreniu moderného a efektívneho systému včasnej reakcie na kybernetické hrozby v oblasti verejnej správy. Zvýšená kybernetická ochrana a reaktívna schopnosť pomôžu minimalizovať riziká, ktoré kybernetický priestor predstavuje pre dôležité informácie a služby, a to nielen v samospráve, ale aj pre celý štát.
833
834
835
836 1. HARMONOGRAM JEDNOTLIVÝCH FÁZ PROJEKTU a METÓDA JEHO RIADENIA
837
838
839 |ID|FÁZA/AKTIVITA|(((
840 ZAČIATOK
841
842 (odhad termínu)
843 )))|(((
844 KONIEC
845
846 (odhad termínu)
847 )))|POZNÁMKA
848 |1.|Prípravná fáza a Iniciačná fáza|10/2024|04/2025|Vlastné kapacity MIRRI. Predpokladom je, že prípravná fáza je ukončená s kladným výsledkom z riadiaceho výboru.
849 Iniciačná fáza končí vyhlásením Verejného obstarania.
850 |2.|Realizačná fáza|05/2025|07/2027|vlastné kapacity MIRRI a dodávateľ
851 |2a|Analýza a Dizajn|03/2025|05/2025|vlastné kapacity MIRRI a dodávateľ, rozhodnutie RV po ukončení VO
852 |2b|Nákup technických prostriedkov, programových prostriedkov a služieb|06/2025|12/2025|vlastné kapacity MIRRI a dodávateľ
853 |2c|Implementácia a testovanie|01/2026|06/2026|vlastné kapacity MIRRI a dodávateľ
854 |2d|Nasadenie|07/2026|07/2027|vlastné kapacity MIRRI a dodávateľ
855 |3.|Dokončovacia fáza|08/2027|03/2028|vlastné kapacity MIRRI a dodávateľ
856
857
858
859 1. PROJEKTOVÝ TÍM
860
861 Zostavuje sa Riadiaci výbor (RV) v minimálnom zložení:
862
863 * Predseda;
864 * podpredseda;
865 * Projektový manažér
866 * vlastník alebo vlastníci procesov MIRRI SR (biznis vlastník) alebo nimi poverený zástupca alebo zástupcovia;
867 * riaditeľ odboru riadenia kybernetickej a informačnej bezpečnosti MIRRI SR;
868 * zástupca odboru implementácie plánu obnovy a odolnosti MIRRI SR;
869
870 * Zástupcovia kľúčových dodávateľov (bude doplnený až po ukončení VO/voliteľný člen).
871
872
873 Určuje sa Projektový manažér verejného obstarávateľa (PM) a zostavuje sa projektový tím v nasledujúcom zložení:
874
875
876 |ID|Meno a Priezvisko|Pozícia|Oddelenie|Rola v projekte
877 |1.|TBD|projektový manažér|MIRRI|Projektový manažér
878 |3.|TBD|IT architekt|MIRRI|IT architekt
879 |4.|TBD|IT analytik|Dodávateľ|IT analytik
880 |5.|TBD|Vlastník procesov|MIRRI|Vlastník procesov
881 |7.|TBD|Špecialista pre infraštruktúrny/HW špecialista|dodávateľ|Špecialista pre infraštruktúrny/HW špecialista
882 |8.|TBD|Manažér kybernetickej a informačnej bezpečnosti|dodávateľ|Manažér kybernetickej a informačnej bezpečnosti
883 |10.|TBD|Manažér kvality|dodávateľ|Manažér kvality
884 |11.|TBD|Finančný manažér|MIRRI|Finančný manažér
885 |12.|TBD|Špecialista na publicitu|MIRRI|Špecialista na publicitu
886
887
888 Vzor organizačnej štruktúry
889
890 [[image:file:///C:/Users/MLYNAR~~1/AppData/Local/Temp/msohtmlclip1/01/clip_image004.png]]
891
892 [[image:file:///C:/Users/MLYNAR~~1/AppData/Local/Temp/msohtmlclip1/01/clip_image005.png]]
893
894 1.
895 11. PRACOVNÉ NÁPLNE
896
897 Podrobné pracovné náplne, povinnosti projektového tímu a ich zodpovednosti budú predmetom menovacích dekrétov.
898
899 **Projektový manažér**
900
901 * Zodpovedá za riadenie projektu počas celého životného cyklu projektu. Riadi projektové (ľudské a finančné) zdroje, zabezpečuje tvorbu obsahu, neustále odôvodňovanie projektu (aktualizuje BC/CBA) a predkladá vstupy na rokovanie Riadiaceho výboru. Zodpovedá za riadenie všetkých (ľudských a finančných) zdrojov, členov projektovému tím objednávateľa a za efektívnu komunikáciu s dodávateľom alebo stanovených zástupcom dodávateľa.
902 * Zodpovedá za riadenie prideleného projektu - stanovenie cieľov, spracovanie harmonogramu prác, koordináciu členov projektového tímu, sledovanie dodržiavania harmonogramu prác a rozpočtu, hodnotenie a prezentáciu výsledkov a za riadenie s tým súvisiacich rizík. Projektový manažér vedie špecifikáciu a implementáciu projektov v súlade s firemnými štandardami, zásadami a princípmi projektového riadenia.
903 * Zodpovedá za plnenie projektových/programových cieľov v rámci stanovených kvalitatívnych, časových a rozpočtovým plánov a za riadenie s tým súvisiacich rizík. V prípade externých kontraktov sa vedúci projektu/projektový manažér obvykle podieľa na ich plánovaní a vyjednávaní a je hlavnou kontaktnou osobou pre zákazníka.
904
905
906 **IT analytik**
907
908 * Zodpovedá za zber a analyzovanie funkčných požiadaviek, analyzovanie a spracovanie dokumentácie z pohľadu procesov, metodiky, technických možností a inej dokumentácie. Podieľa sa na návrhu riešenia vrátane návrhu zmien procesov v oblasti biznis analýzy a analýzy softvérových riešení. Zodpovedá za výkon analýzy IS, koordináciu a dohľad nad činnosťou SW analytikov.
909 * Analyzuje požiadavky na informačný systém/softvérový systém, formálnym spôsobom zaznamenáva činnosti/procesy, vytvára analytický model systému, okrem analýzy realizuje aj návrh systému, ten vyjadruje návrhovým modelom.
910 * Analytik informačných technológií pripravuje špecifikáciu cieľového systému od procesnej až po technickú rovinu. Mapuje a analyzuje existujúce podnikateľské a procesné prostredie, analyzuje biznis požiadavky na informačný systém, špecifikuje požiadavky na informačnú podporu procesov, navrhuje koncept riešenia a pripravuje podklady pre architektov a vývojárov riešenia, participuje na realizácii zmien, dohliada na realizáciu požiadaviek v cieľovom riešení, spolupracuje pri ich preberaní (akceptácie) používateľom.
911 * Pri návrhu IT systémov využíva odbornú špecializáciu IT architektov a projektantov. Študuje a analyzuje dokumentáciu, požiadavky klientov, legislatívne a technické podmienky a možnosti zvyšovania efektívnosti a výkonnosti riadiacich a informačných procesov. Navrhuje a prerokúva koncepcie riešenia informačných systémov a analyzuje ich efekty a dopady. Zabezpečuje spracovanie analyticko-projektovej špecifikácie s návrhom dátových a objektových štruktúr a ich väzieb, užívateľského rozhrania a ostatných podkladov pre projektovanie nových riešení.
912 * Spolupracuje na projektovaní a implementácii návrhov. Môže tiež poskytovať poradenstvo v oblasti svojej špecializácie. Zodpovedá za návrhovú (design) časť IT - pôsobí ako medzičlánok medzi používateľmi informačných systémov (biznis pohľad) a ich realizátormi (technologický pohľad).
913
914 **IT architekt**
915
916
917 * Zodpovedá za návrh architektúry riešenia IS a implementáciu technológií predovšetkým z pohľadu udržateľnosti, kvality a nákladov, za riešenie architektonických cieľov projektu dizajnu IS a súlad s architektonickými princípmi.
918 * Vykonáva, prípadne riadi vysoko odborné tvorivé činnosti v oblasti návrhu IT. Študuje a stanovuje smery technického rozvoja informačných technológií, navrhuje riešenia na optimalizáciu a zvýšenie efektívnosti prostriedkov výpočtovej techniky. Navrhuje základnú architektúru informačných systémov, ich komponentov a vzájomných väzieb. Zabezpečuje projektovanie dizajnu, architektúry IT štruktúry, špecifikácie jej prvkov a parametrov, vhodnej softvérovej a hardvérovej infraštruktúry podľa základnej špecifikácie riešenia.
919 * Zodpovedá za spracovanie a správu projektovej dokumentácie a za kontrolu súladu implementácie s dokumentáciou. Môže tiež poskytovať konzultácie, poradenstvo a vzdelávanie v oblasti svojej špecializácie. IT architekt, projektant analyzuje, vytvára a konzultuje so zákazníkom riešenia na úrovni komplexných IT systémov a IT architektúr, najmä na úrovni aplikačného vybavenia, infraštruktúrnych systémov, sietí a pod. Zaručuje, že návrh architektúry a/alebo riešenia zodpovedá zmluvne dohodnutým požiadavkám zákazníka v zmysle rozsahu, kvality a ceny celej služby/riešenia.
920
921
922 **Manažér kvality**
923
924
925 * Zodpovedá za priebežné vyžadovanie, hodnotenie a kontrolu kvality (vecnej aj formálnej) počas celého projektu. Je zodpovedný za úvodné nastavenie pravidiel riadenia kvality a za následné dodržiavanie a kontrolu kvality jednotlivých projektových výstupov. Sleduje a hodnotí kvalitatívne ukazovatele projektových výstupov a o zisteniach informuje projektového manažéra objednávateľa formou pravidelných alebo nepravidelných správ/záznamov.
926 * Plánuje, koordinuje, riadi a kontroluje systém manažérstva kvality, monitoruje a meria procesy a identifikuje príležitosti na trvalé zlepšovanie systému manažérstva kvality v organizácii v súlade s platnými normami. Zabezpečuje tvorbu cieľov a koncepcie kvality, vrátane kontroly ich plnenia a vykonáva interné a externé audity kvality v súlade s plánom.
927 * Počas celej doby realizácie projektu zabezpečuje zhodu kvality projektových výstupov s požiadavkami. Realizuje postupy riadenia kvality tak, aby výsledkom boli projektové výstupy spĺňajúce požiadavky objednávateľa. Kontroluje, či sa riadenie a proces zabezpečenia kvality vykonáva správnym spôsobom, v správnom čase a správnymi osobami.
928
929
930 **Vlastník procesov**
931
932
933 * Zodpovedá za proces - jeho výstupy i celkový priebeh poskytnutia služby alebo produktu konečnému užívateľovi. Kľúčová rola na strane zákazníka (verejného obstarávateľa), ktorá schvaľuje biznis požiadavky a zodpovedá za výsledné riešenie, prínos požadovanú hodnotu a naplnenie merateľných ukazovateľov. Úlohou tejto roly je definovať na užívateľa orientované položky (user-stories), ktoré budú zaradzované a prioritizované v produktovom zásobníku. Zodpovedá za priebežné posudzovanie vecných výstupov dodávateľa v rámci analýzy, návrhu riešenia vrátane DNR z pohľadu analýzy a návrhu riešenia aplikácii IS.
934 * Zodpovedný za schválenie funkčných a technických požiadaviek, potreby, obsahu, kvalitatívnych a kvantitatívnych prínosov projektu. Definuje očakávania na kvalitu projektu, kvalitu projektových produktov, prínosy pre koncových používateľov a požiadavky na bezpečnosť. Definuje merateľné výkonnostné ukazovatele projektov a prvkov. Vlastník procesov schvaľuje  akceptačné kritériá, rozsah a kvalitu dodávaných projektových výstupov pri dosiahnutí platobných míľnikov, odsúhlasuje spustenie výstupov projektu do produkčnej prevádzky a dostupnosť ľudských zdrojov alokovaných na realizáciu projektu.
935
936
937
938 **Manažér kybernetickej a informačnej bezpečnosti**
939
940
941 * Zodpovedá za dodržanie princípov a štandardov v oblasti informačnej a  kybernetickej bezpečnosti  a za kontrolu a audit implementovaných bezpečnostných opatrení (technológií, procesov atď.).
942 * Koordinuje a riadi činnosť v oblasti bezpečnosti prevádzky IT, spolupracuje na projektoch, na rozvoji nástrojov a postupov k optimalizácii bezpečnostných systémov a opatrení. Stanovuje základné požiadavky, podmienky a štandardy pre oblasť bezpečnosti programov, systémov, databázy či sieti. Spracováva a kontroluje príslušné interné predpisy a dohliada nad plnením týchto štandardov a predpisov. Kontroluje a riadi činnosť nad bezpečnostnými testami, bezpečnostnými incidentmi v prevádzke IT. Poskytuje inštrukcie a poradenstvo používateľom počítačov a informačných systémov pre oblasť bezpečnosti.
943
944
945 1. ODKAZY
946
947
948 Táto verzia neobsahuje odkazy, budú doplnené pri ďalšej aktualizácií.
949
950 1. PRÍLOHY
951
952
953 Príloha 1: Zoznam rizík a závislostí
954
955 Príloha 2: BC_CBA
956
957
958