I-02 Projektový zámer (projektovy_zamer)

PROJEKTOVÝ ZÁMER 

manažérsky výstup  I-02  

 podľa vyhlášky MIRRI č. 401/2023 Z. z.   

Schvaľovanie dokumentu 

1. História DOKUMENTU 

1. ÚČEL DOKUMENTU, SKRATKY (KONVENCIE) A DEFINÍCIE 

V súlade s Vyhláškou č. 401/2023 Z.z. je dokument I-02 Projektový zámer určený na rozpracovanie detailných informácií prípravy projektu, aby bolo možné rozhodnúť o pokračovaní prípravy projektu, pláne realizácie, alokovaní rozpočtu a ľudských zdrojov. 

Dokument Projektový zámer v zmysle vyššie uvedenej vyhlášky obsahuje manažérske zhrnutie, rozsah, ciele a motiváciu na realizáciu projektu, zainteresované strany, alternatívy, návrh merateľných ukazovateľov, detailný opis požadovaných projektových výstupov, detailný opis obmedzení, predpokladov, tolerancií a návrh organizačného zabezpečenia projektu, detailný opis rozpočtu projektu a jeho prínosov, náhľad architektúry a harmonogram projektu so zoznamom rizík a závislostí. 

2. Použité skratky a pojmy 

.  

3. DEFINOVANIE PROJEKTU  

3.1 Manažérske zhrnutie 

Tento projekt je vypracovaný v súlade s: 

• Vyhláškou č. 401/2023 Z. z. o riadení projektov a zmenových požiadaviek v prevádzke informačných technológií verejnej správy; 

• Výzvou č. PSK-MIRRI-616-2024-DV-EFRR na predkladanie Žiadostí o poskytnutie nenávratného finančného príspevku so zameraním na „Zvýšenie úrovne kybernetickej a informačnej bezpečnosti“. 

Ministerstvo životného prostredia Slovenskej republiky (ďalej „MŽP SR“) je ústredný orgán štátnej správy zodpovedný za ochranu a zlepšovanie životného prostredia na Slovensku. Ministerstvo sa zaoberá ochranou prírody, správou národných parkov, odpadovým hospodárstvom, vodným hospodárstvom, ovzduším, a ochranou pôdneho a lesného fondu. Zodpovedá tiež za implementáciu environmentálnej legislatívy Európskej únie a medzinárodných dohovorov týkajúcich sa životného prostredia. Medzi hlavné úlohy ministerstva patria: 

• monitorovanie a zlepšovanie kvality ovzdušia, vody a pôdy, 

• ochrana biodiverzity a prírodných zdrojov, 

• riešenie problematiky zmeny klímy a znižovanie emisií skleníkových plynov, 

• správa a dohľad nad environmentálnymi fondami a grantovými programami. 

Ministerstvo tiež spolupracuje s ďalšími štátnymi a medzinárodnými inštitúciami, miestnou samosprávou a neziskovými organizáciami pri tvorbe a realizácii environmentálnych politík. Na čele ministerstva stojí minister životného prostredia, ktorého vymenúva vláda Slovenskej republiky. Ministerstvo životného prostredia Slovenskej republiky si uvedomuje dôležitosť údajov potrebných na efektívny výkon svojich agendových činností, ktoré mu vyplývajú z platnej legislatívy. Údaje sú kľúčovým aktívom, ktoré organizácie vlastnia bez ohľadu na to, či pôsobia vo verejnom alebo komerčnom sektore. MŽP SR je zároveň subjektom zaradeným v registri prevádzkovateľov základných služieb podľa zákona o kybernetickej bezpečnosti č. 69/2018 Z. z. v sektore Verejná správa (https://www.nbu.gov.sk/7276-sk/zoznam-zakladnych-sluzieb/). Základná prevádzkovaná služba: webové sídlo a IS Ministerstva životného prostredia SR. MŽP SR je správca a prevádzkovateľ sietí a informačných systémov verejnej správy v pôsobnosti povinnej osoby podľa zákona č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov. 

Projekt „Zvýšenie úrovne kybernetickej a informačnej bezpečnosti MŽP SR“ (ďalej len „Projekt“) bol vytvorený s cieľom posilniť kapacity v oblasti informačnej a kybernetickej bezpečnosti na Ministerstve životného prostredia Slovenskej republiky. Jeho cieľom je tiež zabezpečiť súlad s legislatívou, konkrétne so zákonom č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení ďalších zákonov (ďalej len „Zákon o KB“), a zaistiť poskytovanie služieb definovaných týmto zákonom, vrátane monitorovania a riešenia bezpečnostných incidentov týkajúcich sa dôležitých informačných systémov rezortu MŽP SR. 

Podľa zákona č. 575/2001 Z. z. o organizácii činnosti vlády a organizácii ústrednej štátnej správy, je Ministerstvo životného prostredia Slovenskej republiky centrálnym orgánom štátnej správy pre rôzne oblasti vrátane ochrany prírody, správy národných parkov, odpadového hospodárstva, vodného hospodárstva, ovzdušia, a ochrany pôdneho a lesného fondu. S touto zodpovednosťou je spojená prevádzka relevantných informačných systémov. MŽP SR je zároveň prevádzkovateľom základnej služby podľa Zákona o KB a patrí do sektora Verejnej správy, podsektora Informačné systémy verejnej správy. Úrad má povinnosť implementovať bezpečnostné opatrenia podľa legislatívy a príslušných predpisov. 

Hlavným zámerom projektu je zvýšiť úroveň kybernetickej a informačnej bezpečnosti na Ministerstve životného prostredia Slovenskej republiky v súlade s legislatívnymi požiadavkami Zákona o KB a zákona č. 95/2019 Z. z. o informačných technológiách vo verejnej správe (ďalej „Zákon o ITVS“), vrátane vykonávacích predpisov a ďalších relevantných legislatívnych rámcov. 

Tento projekt nadväzuje na predchádzajúce investičné aktivity MŽP SR, ktorých cieľom bola modernizácia infraštruktúry s dôrazom na vyššiu úroveň bezpečnosti, zavádzanie bezpečnostných opatrení a implementáciu proaktívneho monitorovania kybernetických bezpečnostných incidentov (KBI). V rámci predkladaného projektu sa plánuje pokračovať v posilňovaní kybernetickej bezpečnosti prostredníctvom rozšírenia bezpečnostných technológií a ochrany informačných systémov Úradu, vrátane zabezpečenia prístupovej infraštruktúry pre organizácie patriace do pôsobnosti MŽP SR. 

Projektové aktivity sú rozdelené na logické moduly: 

1. Bezpečnostný dohľad a riadenie incidentov, zahŕňajúce analytické práce a rozšírenie monitoringu prostredníctvom systému SIEM a SOAR. 

1. Implementácia nástroja pre zavedenie zálohovania na obnovu siete a informačného systému vrátane pravidelného testovania obnovy záloh  

1. Implementácia nástroja na inventarizáciu IT aktív (nástrojom sa taktiež realizuje manažment konfigurácií počítačových sietí a IT aktív, zoznam ich vlastníkov/správcov, vzájomných väzieb, súvisiacej dokumentácie a zoznam a opis prostredí, v ktorom sú aktíva umiestnené a prevádzkované  

1. Implementácia nástroja na manažment zraniteľností kybernetickej bezpečnosti a riadenie záplat. 

1. Hodnotenie zraniteľností a bezpečnostné aktualizácie, zamerané na zavedenie nástroja na detekovanie zraniteľností programových a technických prostriedkov. 

1. Implementácia nástrojov pre zavedenia manažmentu mobilných zariadení 

1. Implementácia 2FA (dvojfaktorovej autentifikácie) 

1. Riešenie kybernetických bezpečnostných incidentov rozšírením antivírusovej a XDR ochrany, detailná analýza koncových zariadení s cieľom zvýšenia ochrany pred kybernetickými útokmi z externého prostredia 

1. Zvyšovanie kompetencií zamestnancov cez rozvoj bezpečnostného povedomia a pravidelné testovanie 

1. Implementácia dohľadu SOC as a service 

Aktivity projektu budú realizované kombináciou interných kapacít odboru informačnej a kybernetickej bezpečnosti v spolupráci s externými dodávateľmi. Bude tiež zabezpečený nákup hardvéru a softvéru, ktorý bude využívaný v rámci integrácie a konfigurácie bez potreby vlastného vývoja. Projekt reaguje na narastajúce riziká kybernetických útokov. Podľa Správy o kybernetickej bezpečnosti v SR z roku 2023 (NBÚ) počet kybernetických útokov kontinuálne rastie. Medzi najčastejšie hrozby patria útoky prostredníctvom sociálneho inžinierstva, DDoS útoky, malvér a pokusy o zneužitie zraniteľností systémov. Hoci MŽP SR už má zavedené procesy riadenia kybernetickej bezpečnosti a spracovanú bezpečnostnú dokumentáciu, nedisponuje dostatočnými finančnými, technologickými a personálnymi zdrojmi na splnenie všetkých zákonných požiadaviek. Výstupy projektu budú zároveň v súlade s cieľmi Bezpečnostnej stratégie kybernetickej bezpečnosti a internými riadiacimi smernicami MŽP SR. Projekt reflektuje aj výsledky auditu kybernetickej bezpečnosti a analýzy rizík, ktoré definovali prioritné opatrenia a aktivity. Projektový zámer je v súlade so strategickými cieľmi Národnej koncepcie informatizácie verejnej správy (NKIVS 2021), ktorých dosiahnutie podporuje prostredníctvom administratívnych, procesných a technologických opatrení na minimalizáciu kybernetických bezpečnostných incidentov. 

V súlade s § 29 zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov (ďalej len „ZoKB“) prebiehal na MŽP SR v období od 6.12.2023 do 5.2.2024 audit kybernetickej bezpečnosti. Dňa 5.2.2024 bola MŽP SR odovzdaná finálna verzia záverečnej správy o výsledkoch auditu. V súlade s §29 ods. 5 MŽP SR ako prevádzkovateľ základnej služby v zákonom stanovenej lehote zaslala záverečnú správu o výsledkoch auditu NBÚ spolu s opatreniami na nápravu a s lehotami na ich odstránenie. Tento projekt rieši vybrané návrhy a opatrenia na nápravu nesúladov, ktoré majú pre MŽP SR najvyššiu prioritu a zabezpečia zvýšenie úrovne kybernetickej a informačnej bezpečnosti. 

Projektom budú dosiahnuté nasledovné kvantitatívne ako aj kvalitatívne prínosy: 

Kvantitatívne prínosy v rámci navrhovaného projektu sú: 

• Zamedzenie výpadku infraštruktúry z dôvodu zníženia pravdepodobnosti dopadu závažného kybernetického útoku. 

• Zabránenie riziku narušenia údajov implementáciou technických opatrení.  

Kvalitatívne prínosy v rámci navrhovaného projektu sú: 

• Zníženie miery rizika vzniku kybernetického incidentu. 

• Zvýšenie miery súladu s platnou legislatívou. 

• Zvýšenie úrovne kybernetickej a informačnej bezpečnosti. 

• Zvýšenie detekcie kybernetických bezpečnostných incidentov. 

• Zvýšená spokojnosť a dôvera používateľov. 

Časový harmonogram projektu je nastavený na 24 mesiacov a finálnym termínom dokončenia do 31.12.2027. Začiatok projektu je naplánovaný od 01/2026 a má byť ukončený najneskôr do 12/2027. Následne v rámci prevádzky bude prebiehať podpora prevádzky. Podporné aktivity budú zabezpečované počas celých 24 mesiacov od začiatku trvania projektu. 

Rámcový rozpočet projektu je stanovený na sumu  X XXX XXX,XX EUR s DPH. 

Projekt bude financovaný z Programu Slovensko: 

• špecifický cieľ RSO1.2 Využívanie prínosov digitalizácie pre občanov, podniky, výskumné organizácie a orgány verejnej správy, 

• opatrenie 1.2.1 Podpora v oblasti informatizácie a digitálnej transformácie, 

• oblasť B. Kybernetická a informačná bezpečnosť. 

Projekt je v súlade s nasledovným typom akcie PSK: - Zlepšovanie technologického, procesného, infraštruktúrneho, vedomostného a organizačného zabezpečenia zručností a kapacít pre plnenie úloh v oblasti KIB v prostredí orgánov štátnej a verejnej správy. 

s definovanou hlavnou aktivitou: - Zvýšenie úrovne informačnej a kybernetickej bezpečnosti prostredníctvom nákupu hardvéru a bezpečnostného softvéru. 

3.2 Motivácia a rozsah projektu 

MŽP SR ako prevádzkovateľ základnej služby zapísanej v registri prevádzkovateľov základných služieb má povinnosti, ktoré vyplývajú zo zákona č. 69/2018 Z.z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov. Medzi základné povinnosti patrí prijatie a dodržiavanie všeobecných bezpečnostných opatrení pre nasledovné oblasti: 

• organizácie kybernetickej bezpečnosti a informačnej bezpečnosti, 

• riadenia rizík kybernetickej bezpečnosti a informačnej bezpečnosti, 

• personálnej bezpečnosti, 

• riadenia prístupov, 

• riadenia kybernetickej bezpečnosti a informačnej bezpečnosti vo vzťahoch s tretími stranami, 

• bezpečnosti pri prevádzke informačných systémov a sietí, 

• hodnotenia zraniteľností a bezpečnostných aktualizácií, 

• ochrany proti škodlivému kódu, 

• sieťovej a komunikačnej bezpečnosti, 

• akvizície, vývoja a údržby informačných sietí a informačných systémov, 

• zaznamenávania udalostí a monitorovania, 

• fyzickej bezpečnosti a bezpečnosti prostredia, 

• riešenia kybernetických bezpečnostných incidentov, 

• kryptografických opatrení, 

• kontinuity prevádzky, 

• auditu, riadenia súladu a kontrolných činností. 

Tieto bezpečnostné opatrenia sa prijímajú a realizujú na základe schválenej bezpečnostnej dokumentácie, ktorá musí byť aktuálna a musí zodpovedať reálnemu stavu. MŽP SR je povinná preveriť účinnosť prijatých bezpečnostných opatrení a plnenie požiadaviek stanovených zákonom vykonaním auditu kybernetickej bezpečnosti v stanovenom rozsahu. V súlade s § 29 ZoKB prebiehal na MŽP SR v období od 6.12.2023 do 5.2.2024 audit kybernetickej bezpečnosti. Dňa 5.2.2024 bola MŽP SR odovzdaná finálna verzia záverečnej správy o výsledkoch auditu. V súlade s § 29 ods. 5 ZoKB MŽP SR ako prevádzkovateľ základnej služby v zákonom stanovenej lehote zaslala záverečnú správu o výsledkoch auditu NBÚ spolu s opatreniami na nápravu a s lehotami na ich odstránenie. Projektom budú financované oblasti, kde MŽP SR identifikovala najvyššiu mieru rizika a najvyššie dopady a kde má najvyššiu mieru nesúladu s legislatívnymi požiadavkami, vyplývajúce z vykonaného auditu kybernetickej bezpečnosti. 

Dotknutý IS VS: 

• Projektom priamo nie sú ovplyvnené žiadne ISVS. Projekt zabezpečuje zvýšenie kybernetickej bezpečnosti v rámci organizácie. 

Dotknuté úseky, agendy VS a životné situácie:  

• Projekt zabezpečuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci organizácie, čím pokrýva kompletne všetky úseky, agendy a životné situácie realizované na MŽP SR. 

Dotknuté prioritné osy v zmysle NKIVS: 

• Prioritná os 4 – Kybernetická a informačná bezpečnosť 

Dotknuté čiastkové ciele pre danú prioritnú os v zmysle NKIVS: 

Prioritná os 4: Kybernetická a informačná bezpečnosť 

• Zvýšenie schopnosti včasnej identifikácie kybernetických incidentov vo verejnej správe 

Projekt je vo vecnom súlade so Zlepšovaním technologického, procesného, infraštruktúrneho, vedomostného a organizačného zabezpečenia zručností a kapacít pre plnenie úloh v oblasti KIB v prostredí orgánov štátnej a verejnej správy s oprávnenou hlavnou aktivitou Realizácia opatrení na zvýšenie úrovne informačnej a kybernetickej bezpečnosti. Projektom budú adresované nasledovné merateľné ukazovatele projektu relevantné pre Program Slovensko: 

• PO095 - Verejné inštitúcie podporované v rozvoji kybernetických služieb, produktov a procesov: 1 

• PR017 - Používatelia nových a vylepšených verejných digitálnych služieb, produktov a procesov: 500 

Ukazovateľ PR017 uvádza počet všetkých zamestnancov MŽP SR, ktorí budú primárnou skupinou nových/vylepšených produktov                 a procesov realizovaných v rámci projektu. 

Identifikované problémy súčasného stavu 

Hlavným dôvodom realizácie projektu je nevyhovujúca úroveň kybernetickej bezpečnosti a potreba zavedenia nových opatrení definovaných legislatívou. Z auditu kybernetickej bezpečnosti (okrem iného) vyplynuli nasledovné skutočnosti: 

Celková úroveň riadenia kybernetickej a informačnej bezpečnosti Ministerstvu životného prostredia Slovenskej republiky v zmysle požiadaviek zákona o kybernetickej bezpečnosti a  zavedených opatrení v zmysle vyhlášky 362/2018 Z.z., ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení (ďalej len „vyhláška 362/2018 Z.z.) sú považované na základe auditu za ČIASTOČNE SPLNENÉ. Ministerstvo životného prostredia Slovenskej republiky ako poskytovateľ základnej služby vykonáva procesy na základe schválenej a vydanej dokumentácie, v zmysle požiadaviek Vyhlášky č. 362/2018 Z. z..  Touto vyhláškou Národného bezpečnostného úradu sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení. Stratégia kybernetickej bezpečnosti obsahuje všetky požadované náležitosti definované v prílohe č. 1 k vyhláške č. 362/2018 Z. z.. Zavedený proces klasifikácie informácií je v súlade s požiadavkami vyhlášky č. 362/2018 Z. z. pre klasifikáciu informácií kategorizácia sietí a informačných systémov. 

Najvyššia miera nesúladu s legislatívnymi požiadavkami vyplývajúca z auditu kybernetickej bezpečnosti bola identifikovaná v nasledovných oblastiach: 

• Nastaviť proces aktualizácie bezpečnostnej politiky tak, aby zahŕňal aj zapracovanie skúseností získaných z riešenia konkrétnych zaznamenaných incidentov.   

• Zvážiť pravidelnú revíziu procesu nahlasovania incidentov.  

• Implementovať nástroj na detegovanie zraniteľností všetkých komponentov základnej služby (vulnerability scanner).  

• Nasadiť viacfaktorovú autentizáciu pomocou certifikátov pre všetkých používateľov koncových staníc.  

• Zavedenie nástroja určeného na detegovanie existujúcich zraniteľností programových prostriedkov a ich častí a detegovanie existujúcich zraniteľností technických prostriedkov a ich častí.  

• Implementácia technických riešení podporujúcich riadenie bezpečnosti pri prevádzke, napr. nástroj pre riadenie, evidenciu a schvaľovanie zmien. 

• Implementácia nástroja na monitorovanie sieťovej prevádzky prostredníctvom dedikovaných sondovacích zariadení s cieľom identifikovať anomálie a potencionálne škodlivú činnosť na základe výstupov algoritmov strojového učenia (NDR). 

• Zavedenie SW nástroja na bezpečné tlačenie dokumentov na ľubovoľnej sieťovej tlačiarni, po autentifikácii kartou alebo PIN kódom. 

• Implementácia centrálneho nástroja na zaznamenávanie činností sietí a informačných systémov a používateľov a identifikovanie bezpečnostných incidentov (SIEM) ako aj zber a ukladanie logov z jednotlivých informačných systémov.  

• Implementácia automatizovaných systémov vykonávajúcich dohľad pred neoprávnenými zásahmi, neautorizovaným prístupom, najmä pred zmenami a zničením, vrátane monitorovania kapacity systémov a návrh adekvátnych opatrení na ukladanie záznamov a systému logovania.  

• Implementácia opatrení riadenia prístupov zariadení v sieti. 

• Riešenie kybernetických bezpečnostných incidentov. 

• Nasadenie nástroja na zálohovanie a uloženie záloh. 

S ohľadom na vyššie uvedené bude teda predmetom projektu riešenie problematiky z nasledovných oblastí kybernetickej a informačnej bezpečnosti: 

• Hodnotenie zraniteľností a bezpečnostné aktualizácie  

• Bezpečnosť pri prevádzke informačných systémov a sietí 

• Ochrana proti škodlivému kódu - XDR 

• Sieťová a komunikačná bezpečnosť - NDR 

• Zaznamenávanie udalostí a monitorovanie - SIEM 

• Riadenie prístupov zariadení v sieti – MFA, MDM 

• Riešenie kybernetických bezpečnostných incidentov (Rozšírenie existujúcej AV ochrany) (SIEM, XDR) 

• Nasadenie nástroja na zálohovanie a uloženie záloh (VEEAM a konfiguracia) 

Hlavným problémom, ktorému Ministerstvo životného prostredia Slovenskej republiky ako PZS čelí je teda vyriešenie vyššie pomenovaných oblastí informačnej a kybernetickej bezpečnosti tak, aby bol dosiahnutý významný pokrok pri plnení súladu v oblasti príslušných predpisov KIB a súčasne, aby boli technologické náležitosti KIB realizované tak, aby:  

• chránili IT systémy, ktoré zabezpečujú prevádzku základnej služby pred kybernetickými útokmi 

• plnili svoje úlohy počas implementácie i v čase udržateľnosti projektu,  

• boli pripravené na ďalší rozvoj IT technológií PZS a bolo možné ich flexibilne rozširovať bez ohrozenia prevádzkovaných i budúcich IT systémov.  

Obrázok 1. Motivačná architekúra 

Hlavné ciele:  

Hlavným cieľom projektu je zvýšenie a zlepšenie úrovne kybernetickej a informačnej bezpečnosti zavedením nových bezpečnostných opatrení: 

• Zvýšenie prijatých bezpečnostných opatrení v oblasti hodnotenia zraniteľností a bezpečnostných aktualizácií. 

• Zvýšenie prijatých bezpečnostných opatrení v oblasti bezpečnosti pri prevádzke informačných systémov a sietí. 

• Zvýšenie prijatých bezpečnostných opatrení v oblasti ochrane proti škodlivému kódu. 

• Zvýšenie prijatých bezpečnostných opatrení v oblasti sieťovej a komunikačnej bezpečnosti. 

• Zvýšenie prijatých bezpečnostných opatrení v oblasti zaznamenávaní udalostí a monitorovaní. 

• Zvýšenie prijatých bezpečnostných opatrení v oblasti riadenia prístupov zariadení v sieti. 

• Zvýšenie prijatých bezpečnostných opatrení v oblasti riešenia kybernetických bezpečnostných incidentov. 

• Zvýšenie prijatých bezpečnostných opatrení v oblasti zálohovania. 

Aplikované princípy informatizácie VS (v zmysle NKIVS): 

Princíp P6: Bezpečnosť 

• Optimálna úroveň bezpečnosti 

• Včasné riešenie bezpečnosti 

• Dostupnosť – odolnosť voči výpadkom 

3.3 Zainteresované strany/Stakeholderi 

3.4 Ciele projektu 

Hlavným cieľom projektu je zabezpečenie kybernetickej bezpečnosti Ministerstvu životného prostredia Slovenskej republiky, vrátane včasnej a efektívnej reakcie na kybernetické útoky. Zároveň by sa malo dosiahnuť kvalitnejšie a transparentnejšie riadenie celého životného cyklu identifikovaných kybernetických incidentov a zjednotenie postupov a technologickej úrovne kybernetickej odolnosti informačných systémov. Všeobecnými cieľmi preto sú:  

• Kvalitnejšie a rýchlejšie riadenie, monitorovanie a reagovanie na kybernetické hrozby. 

• Zvýšenie efektívnosti ochrany informačných systémov v oblasti ochrany životného prostredia 

• Zvýšenie odolnosti informačných systémov voči kybernetickým útokom. 

• Automatizovaný reporting o vzniku kybernetického bezpečnostného incident. 

3.5 Merateľné ukazovatele (KPI) 

3.6 Špecifikácia potrieb koncového používateľa 

Projekt je zameraný na zvýšenie úrovne kybernetickej bezpečnosti v rámci celého MŽP SR. V rámci projektu nie sú budované ani upravované koncové služby, kde by vznikla potreba zisťovania potrieb koncového používateľa. 

3.7 Riziká a závislosti 

Riziká a závislostí sú spracované v Prílohe č. 1 – Zoznam RIZÍK a ZÁVISLOSTÍ. Zoznam rizík a závislostí reflektuje riziká v čase prípravno-iniciačnej fázy projektu. 

3.8 Stanovenie alternatív v biznisovej vrstve architektúry 

V rámci biznisovej vrstvy architektúry sme porovnávali 3 variantné alternatívy riešenia súčasného stavu. Na základe identifikovaného rozsahu problému v projektovom zámere boli stanovené tri rôzne riešenia. Ako najefektívnejšia bola vybraná Alternatíva č. 2, taká, kt. pokrýva procesy a požiadavky všetkých stakeholderov a celú životnú situáciu rieši komplexne. 

Alternatíva 1 - Ponechanie súčasného stavu 

Prvou alternatívou je ponechanie existujúceho stavu ochrany informačných systémov. Zachovanie pôvodného stavu nezabezpečí povinnosť ochrany informácií a informačných aktív a je v plnom rozpore s povinnosťami vyplývajúcimi zo zákona č.69/2018 Z.z. 

Alternatíva 2 – Plošná implementácia opatrení  

Alternatíva 2 spočíva v simultánnom nasadení viacerých softvérových a hardvérových nástrojov na plošné zvýšenie úrovne kybernetickej bezpečnosti v krátkodobom časovom horizonte. Nakoľko je softvérové, hardvérové a infraštruktúrne prostredie z hľadiska KB bezpečné len do takej miery, do akej je zabezpečená jeho najzraniteľnejšia časť, považujeme centrálne plánovaný a komplexný prístup za najefektívnejší ako na biznis, aplikačnej aj technologickej vrstve. Táto alternatíva predstavuje komplexné a systémové riešenie voči kybernetickým útokom. Zabezpečí zavedenie systémových opatrení a zároveň vytvorí predpoklady na zefektívnenie poskytovaných. Realizáciou tohoto opatrenia sa zabezpečí systémové riešenie reakcie na kybernetické útoky a naplnia sa zákonom stanovené úlohy v oblasti kybernetickej bezpečnosti. Alternatíva uvažuje s implementáciou opatrení na základe zistení z vykonaného auditu kybernetickej bezpečnosti v súlade s legislatívnymi požiadavkami vyhlášky č. 362/2018 Z. z. ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení. 

Alternatíva 3 – Postupná implementácia opatrení 

Alternatíva 3 spočíva v tom, že by nedošlo k zásadným zmenám v oblasti zberu, spracovania a vyhodnocovania bezpečnostných údajov a v oblasti preventívnych opatrení, rýchlosti detekcie a riešenia incidentov. Avšak jednotlivé riešenia, nástroje a technológie by boli budované postupne a agendy v oblasti KB a jednotlivé oblasti by boli zefektívňované postupnými krokmi, viacerými projektami rozloženými v čase. 

3.9 Multikriteriálna analýza 

Výber alternatív prebieha prostredníctvom MCA zostavenej na základe kapitoly Motivácia a rozsah projektu, ktorá obsahuje ciele stakeholderov, ich požiadavky a obmedzenia pre dosiahnutie uvedených cieľov. 

Niektoré (nie všetky) kritériá, môžu byť označené ako KO kritériá. KO kritériá označujú biznis požiadavky na riešenie, ktoré sú z hľadiska rozsahu identifikovaného problému a motivácie nevyhnutné pre riešenie problému a všetky akceptovateľné alternatívy ich tak musia naplniť. Alternatívy, ktoré nesplnia všetky KO kritériá, môžu byť vylúčené z ďalšieho posudzovania. KO kritériá nesmú byť technologické (preferovať jednu formu technologickej implementácie voči druhej). 

Na základe vyhodnotenia MCA analýzy vychádza Alternatíva 2 ako jediná, ktorá spĺňa všetky požiadavky. 

3.10 Stanovenie alternatív v aplikačnej vrstve architektúry 

Na aplikačnej vrstve budú projektom riešené len aplikačné moduly/funkcionality, ktoré sú nevyhnutné pre dosiahnutie cieľov vybranej alternatívy č. 2. Alternatívy na úrovni aplikačnej architektúry reflektujú alternatívy vypracované na základe „nadradenej" architektonickej biznis vrstvy, pričom vďaka uplatneniu nasledujúcich princípov aplikačná vrstva architektúry dopĺňa informácie k alternatívam stanoveným pomocou biznis architektúry.  

3.11 Stanovenie alternatív v technologickej vrstve architektúry

Alternatívy na úrovni technologickej architektúry reflektujú alternatívy vypracované na základe „nadradenej“ architektonickej aplikačnej vrstvy. Vzhľadom na to, že ide o implementáciu nástrojov na zvýšenie kybernetickej a informačnej bezpečnosti, je nutné tieto nástroje inštalovať, resp. implementovať v existujúcom technologickom prostredí a zariadeniach. Z tohto dôvodu je ekonomicky nevýhodné uvažovať s ďalšími alternatívami na technologickej vrstve architektúry. 

4. POŽADOVANÉ VÝSTUPY  (PRODUKT PROJEKTU) 

Výstupom projektu je funkčný, stabilný, efektívny, bezpečný systém, ktorý sa dosiahne doplnením SW a HW infraštruktúry. Výstupom bude aj dodanie používateľskej príručky, inštalačnej príručky a pokynov na inštaláciu (úvodnú/opakovanú), prevádzkový opis a pokyny pre servis, údržbu a diagnostiku, pokyny na obnovu pri výpadku alebo havárii (Havarijný plán) a bezpečnostný projekt. Na dodržanie štandardov sa použije M-04 Audit kvality zameraný na výstupy z iniciačnej, realizačnej a dokončovacej fázy projektu. 

Realizácia projektu bude v zmysle vyhlášky MIRRI SR č. 401/2023 Z. z. pozostávať z uvedených etáp: 

• Analýza a dizajn, 

• Nákup technických prostriedkov, programových prostriedkov a služieb 

• Implementácia a testovanie, 

• Nasadenie. 

MŽP SR bude pri implementácii postupovať v zmysle vyhlášky MIRRI SR č. 401/2023 Z. z. Pre implementované zmeny budú dodané nasledovné špecializované a manažérske produkty, ktoré budú kompletne pokrývať celý rozsah dodávky popísaný v biznis, aplikačnej a technologickej architektúre a požadované výstupy budú dodávane primerane vzhľadom na charakter projektu. 

Predmetom dodaného výstupu Obstaranie programových prostriedkov a služieb (R2-2) musí byť: 

• Potrebné licencie na pokrytie zariadení pre jednotlivé implementované nástroje vrátane aktualizácie najmenej na 3 roky. 

• Služby súvisiace s návrhom, nasadením, migráciou a inštaláciou licencií na zariadenia v infraštruktúre MŽP SR. 

• Služby súvisiace s aktualizáciou, konfiguráciou parametrov serverov, sieťových a koncových zariadení v infraštruktúre MŽP SR. 

• Služby súvisiace s testovaním a ladením výkonnosti implementovaných nástrojov. 

5. NÁHĽAD ARCHITEKTÚRY 

Projekt zameraný na zvýšenie kybernetickej bezpečnosti Ministerstvu životného prostredia Slovenskej republiky má za cieľ riešiť komplexné oblasti ochrany infraštruktúry, dát a personálnych kapacít pred kybernetickými hrozbami. Komplexné služby a funkcie budúceho systému sú zachytené v modeli budúceho stavu biznis architektúry. Ďalším dôležitým faktorom je zabezpečenie pripojenia na jednotný informačný systém kybernetickej bezpečnosti, ako aj následné poskytovanie informácii a údajov do jednotného informačného systému kybernetickej bezpečnosti.   

Ministerstvo životného prostredia sa rozhodlo výrazne posilniť svoju kybernetickú bezpečnosť prostredníctvom komplexného súboru technologických riešení, ktoré pokrývajú rôzne aspekty ochrany infraštruktúry, dát a prevádzky. Primárnym cieľom je vybudovanie robustnej architektúry bezpečnostného monitoringu a reakcie na incidenty, ktorá integruje moderné nástroje pre zber, analýzu a koreláciu bezpečnostných udalostí, správu zraniteľností, ochranu koncových zariadení a sieťovej prevádzky, ako aj automatizáciu bezpečnostných procesov. Implementáciou týchto riešení sa výrazne zvýši schopnosť organizácie detegovať, analyzovať a reagovať na kybernetické hrozby, čím sa zabezpečí ochrana kritických systémov a údajov ministerstva pred narastajúcimi bezpečnostnými rizikami. Kľúčovým prvkom tohto zlepšenia je zavedenie systému SIEM, ktorý umožní centralizovaný zber a spracovanie bezpečnostných udalostí z rôznych prvkov IT infraštruktúry, vrátane serverov, sieťových zariadení, koncových staníc, aplikácií, autentifikačných systémov a antivírusových riešení. SIEM riešenie zabezpečí, že všetky udalosti budú agregované, normalizované a analyzované s cieľom odhaliť potenciálne bezpečnostné incidenty a poskytnúť analytikom podklady na rýchlu reakciu. Tento systém bude navyše prepojený so SOAR riešením, ktoré automatizuje proces vyšetrovania a mitigácie incidentov, čím sa podstatne zrýchli a zefektívni odozva na bezpečnostné hrozby. 

Dôležitou súčasťou architektúry je aj zavedenie XDR riešenia, ktoré umožní pokročilú detekciu a reakciu na kybernetické útoky na úrovni koncových zariadení. Tento nástroj rozšíri bezpečnostné monitorovanie o analýzu správania užívateľov a aktivity v rámci celej siete, čím umožní rýchlu identifikáciu podozrivých vzorcov a neobvyklých aktivít. XDR integruje viaceré bezpečnostné produkty do jedného systému, čo znamená, že incidenty nebudú vyhodnocované izolovane, ale v širšom kontexte celého IT prostredia. Takáto koordinovaná ochrana výrazne znižuje riziko preniknutia útočníkov do siete a umožňuje proaktívnu obranu pred neznámymi a sofistikovanými útokmi. Okrem samotnej detekcie hrozieb ministerstvo plánuje aj výrazne posilniť správu a riadenie zraniteľností. Implementáciou nástroja na manažment zraniteľností a riadenie záplat sa zabezpečí kontinuálne monitorovanie IT aktív s cieľom identifikácie slabých miest a automatizované riadenie aktualizácií softvéru a systémov. Tento proces pomôže predchádzať zneužitiu známych bezpečnostných dier, čím sa výrazne zníži riziko úspešného kybernetického útoku. Nástroj bude úzko prepojený so SIEM a XDR riešeniami, vďaka čomu budú zraniteľnosti analyzované v kontexte aktuálnych hrozieb a bezpečnostného stavu infraštruktúry. V rámci sieťovej bezpečnosti bude zavedené riešenie NDR, ktoré sa zameriava na monitorovanie a detekciu anomálií v sieťovej prevádzke. Táto technológia umožní nepretržité spracovanie sieťovej komunikácie v reálnom čase a identifikáciu podozrivých aktivít, ktoré by mohli naznačovať infiltráciu útočníkov alebo pokusy o exfiltrovanie citlivých dát. Kombinácia NDR a SIEM riešení poskytne hlbší pohľad na bezpečnostné hrozby v sieti a pomôže pri rýchlom odhaľovaní a mitigácii útokov. 

Dôležitým aspektom posilňovania bezpečnosti je aj efektívna správa a monitorovanie mobilných zariadení, čo bude riešené implementáciou MDM riešenia. Tento nástroj umožní centralizovanú správu bezpečnostných politík pre mobilné telefóny a tablety, zabezpečí oddelenie pracovných a súkromných dát a umožní vzdialené riadenie zariadení v prípade ich straty alebo odcudzenia. MDM bude integrované so SIEM riešením, čím sa rozšíri viditeľnosť nad celou bezpečnostnou infraštruktúrou. 

V neposlednom rade bude implementovaná viacfaktorová autentifikácia (MFA), ktorá posilní bezpečnosť prístupu do kritických systémov a aplikácií. Táto technológia zabezpečí, že prístup k citlivým údajom a službám bude chránený viacvrstvovou autentifikáciou, čím sa eliminuje riziko neoprávneného prístupu aj v prípade kompromitácie hesla. Celý bezpečnostný ekosystém bude spravovaný a monitorovaný z bezpečnostného operačného centra (SOC), ktoré zabezpečí dohľad nad všetkými bezpečnostnými procesmi, kontinuálnu analýzu hrozieb a rýchlu reakciu na bezpečnostné incidenty. SOC bude vybavené pokročilými analytickými nástrojmi a umožní proaktívne vyhodnocovanie bezpečnostných trendov s cieľom neustáleho zlepšovania bezpečnostného prostredia. 

Bezpečnostná architektúra TO BE STAV  

 
Popis technologických komponentov budúceho riešenia: 

SIEM 

Dobudovanie a podpora realizácie technologickej služby bezpečnostného monitoringu SIEM a SOAR si vyžaduje implementáciu nástroja na centralizovaný zber a analýzu bezpečnostných udalostí. SIEM riešenie musí byť integrované so všetkými prvkami virtualizačnej sieťovej infraštruktúry, výstupmi zo systému pre správu a riadenie prístupov, výstupmi a identifikovanými udalosťami forenzného monitoringu, ako aj s údajmi z manažmentu zraniteľností a automatizovaných penetračných testov. Medzi infraštruktúrne prvky, na ktoré je potrebné sa pripojiť, patria serverová infraštruktúra, sieťová infraštruktúra, prevádzkované aplikácie, pracovné stanice a výstupy z ESET antivírusového systému, ako aj Microsoft Active Directory a Microsoft Exchange. Základom SIEM technológie je centrálne získavanie a spracovanie bezpečnostne relevantných udalostí, pričom tieto údaje pochádzajú z rôznych zdrojov, ktoré sú následne agregované, normalizované, indexované a korelované. Tento proces umožňuje identifikáciu súvislostí medzi jednotlivými udalosťami a detekciu potenciálnych bezpečnostných incidentov. V prípade vzniku incidentu je možné prostredníctvom SIEM vykonať podrobné vyšetrovanie a analyzovať udalosti, ktoré mu predchádzali alebo ho sprevádzali. SIEM technológia zohráva kľúčovú úlohu aj v rámci forenznej analýzy bezpečnostných udalostí. 

Funkcionalita SIEM zahŕňa zber logov a flow záznamov zo širokej škály zariadení, ich normalizáciu na jednotný formát, koreláciu udalostí na identifikáciu relevantných súvislostí, správu logov vrátane ich archivácie, komprimácie a indexácie, monitoring používateľských aktivít a aplikácií na odhalenie neobvyklého správania, auditné reportovanie pomocou preddefinovaných a konfigurovateľných výstupov pre audítorov a analytikov, a využitie umelej inteligencie na automatické prepojenie súvisiacich incidentov s cieľom zníženia duplicity vyšetrovania a rozšírenia analýzy nad rámec jedného incidentu. Systém musí umožňovať priorizáciu investigácií na základe risk skóre, pričom analytici budú môcť identifikovať najkritickejšie incidenty a efektívnejšie sa zameriavať na ich riešenie. Zároveň musí poskytovať mechanizmy na proaktívne zlepšovanie bezpečnostného prostredia, automatizované eskalačné procesy a využitie externých informačných zdrojov na rozšírenie kontextu vyšetrovaných incidentov. Kognitívne uvažovanie systému musí byť schopné identifikovať hrozby a prepojiť ich s konkrétnymi aktérmi, čo umožní efektívne blokovanie škodlivých aktivít a identifikáciu podozrivých entít, ako sú škodlivé súbory, neznáme IP adresy alebo falošné identity. Architektúra SIEM riešenia pozostáva z viacerých komponentov, ktoré zabezpečujú jeho efektívnu prevádzku. Konzola poskytuje používateľské rozhranie s real-time pohľadmi na udalosti, sieťové toky a hlásenia o identifikovaných bezpečnostných incidentoch. Event kolektor slúži na zber a normalizáciu udalostí zo širokého spektra zdrojov a ich následné zasielanie do Event Procesora, ktorý tieto udalosti vyhodnocuje na základe pravidiel definovaných v Custom Rules Engine (CRE). Data Node komponenty rozširujú kapacity ukladania a spracovania udalostí a App Host zabezpečuje dedikovaný výkon pre špecializované aplikácie. Medzi kľúčové nástroje SIEM riešenia patrí Admin, ktorý umožňuje správu komponentov a konfigurácií, Dashboard poskytujúci analytikom prvý pohľad na bezpečnostnú situáciu, Offense nástroj identifikujúci a vizualizujúci bezpečnostné hrozby, Log Activity pre zobrazovanie prijatých udalostí s možnosťou ich detailného filtrovania a vyhľadávania, a Report umožňujúci generovanie výstupov na účely auditov a prezentácií. 

XDR - Extended Detection and Response 

XDR je platforma pre pokročilú detekciu a reakciu na hrozby, ktorá integruje rôzne bezpečnostné nástroje a technológie do jedného centralizovaného systému. Tento produkt poskytuje širokú škálu analytických a detekčných schopností, ktoré pomáhajú organizáciám identifikovať, vyšetriť a odpovedať na kybernetické incidenty v reálnom čase. XDR zhromažďuje a analyzuje obrovské množstvo dát z rôznych bezpečnostných zariadení a aplikácií, čím poskytuje hlbšiu a širšiu viditeľnosť o aktuálnych hrozbách. Tento nástroj je schopný detekovať aj neznáme a zložité hrozby pomocou pokročilých analytických techník a strojového učenia. Vďaka integrácii s ďalšími produktmi a službami môže XDR poskytovať komplexné riešenie pre správu incidentov a reakciu na hrozby, ktoré umožňuje bezpečnostným tímom znížiť čas potrebný na zistenie a odstránenie hrozieb. Okrem toho platforma poskytuje robustné možnosti pre automatizované reakcie, čím urýchľuje proces riešenia incidentov a minimalizuje dopad na organizáciu. XDR je veľmi efektívny pri odhaľovaní zraniteľností v sieti a v aplikáciách a pomáha udržiavať bezpečnosť pred neustále sa vyvíjajúcimi hrozbami. XDR integruje viacero bezpečnostných produktov (z celého prostredia do jedného systému. Cieľom implementácie pokročilého riešenia Endpoint Detection and Response (XDR) je zabezpečiť bezpečnosť a ochranu všetkých koncových zariadení a serverov, v správe MŽP SR. Prioritou implemntácie modulu XDR je detekcia, monitorovanie a rýchla reakcia na kybernetické hrozby. Implementáciou modulu XDR sa zabezpečí schopnosť identifikovať a zabrániť rôznym typom hrozieb, vrátane malvéru, ransomvéru a iných škodlivých aktivít, pričom toto riešenie podporuje tkz. „samoučiaci režim“, ochranu pred neznámymi hrozbami a anti-ransomware ochranu. Riešenie umožní monitorovať všetky koncové zariadenia v reálnom čase, ponúknuť centralizovanú správu, vytvárať správy pre bezpečnostných administrátorov a definovať politiky pre jednotlivé skupiny administrátorov. XDR riešenie umožní rýchlu reakciu na incidenty, vrátane izolácie postihnutých zariadení, odstránenia hrozieb a obnovy systémov, a podporí threathunting s funkciou vizualizácie a minimálnou 30-dňovou retenciou dát. Cieľom je zabezpečiť bezpečnosť a ochranu všetkých koncových zariadení a serverov, v správe MŽP SR, s dôrazom na detekciu, monitorovanie a rýchlu reakciu na kybernetické hrozby.  

Minimálne požiadavky na riešenie XDR:  

• Detekcia a prevencia hrozieb: Riešenie musí byť schopné identifikovať a zabrániť rôznym typom kybernetických hrozieb, vrátane malvéru, ransomvéru a iných škodlivých aktivít. Riešenie musí podporovať tzv. samoučiaci režim (machine learning), zero-day ochranu pred neznámymi hrozbami, anti-ramsoware ochranu (aktívne blokovanie neoprávneného šifrovania) a tiež skenovanie všetkých bežných súborov vrátane súborov typu obrázok.  

• Monitorovanie a správa: Zákazník musí mať možnosť monitorovať všetky koncové zariadenia v reálnom čase a sledovať ich bezpečnostný stav. Riešenie musí ponúkať centralizovanú správu, vytváranie správ pre bezpečnostných administrátorov, umožňovať real-time správu klientov (serverov) a možnosti špecifických politík pre jednotlivé skupiny administrátorov.  

• Rýchla reakcia na incidenty: XDR riešenie musí umožňovať rýchlu reakciu na detegované hrozby, vrátane izolácie postihnutých zariadení, odstránenia hrozieb a obnovy postihnutých systémov. Riešenie musí podporovať schopnosť threathuntingu (vrátane automatizovaného threathuntingu)  s funkciou vizualizácie, pričom požadovaná data retention je minimálne 30 dní. Riešenie musí mať schopnosť analyzovať správanie sa administrátora servera a v prípade jeho neštandardného správania odmietnuť overenie.  

• Kompatibilita a integrácia: Riešenie by malo byť kompatibilné s existujúcimi bezpečnostnými infraštruktúrami a mala by byť možnosť jeho integrovať s ďalšími bezpečnostnými nástrojmi, ako sú firewally, SIEM systémy atď.  

• Výkonnosť a škálovateľnosť: XDR riešenie musí byť dostatočne výkonné a škálovateľné, aby dokázalo spravovať a chrániť veľký počet koncových zariadení bez degradácie výkonu. V rámci dodávky požadujeme licencie pre 800  koncových zariadení. 

• Aktualizácie a podpora: Dodávateľ musí poskytovať pravidelné aktualizácie bezpečnostných záplat a signatúr, tak ako aj technickú podporu v prípade problémov. Okrem licencie operačného systému musí riešenie obsahovať všetky licencie potrebné pre plnú funkcionalitu všetkých častí riešenia s platnosťou minimálne 12 mesiacov.   

• Školenie a dokumentácia: Dodávateľ by mal poskytnúť školenie pre personál zákazníka a podrobnú dokumentáciu o používaní a konfigurácii riešenia.  

• Dátová ochrana a súlad s reguláciami: Riešenie musí spĺňať všetky relevantné normy a regulácie v oblasti kybernetickej bezpečnosti a ochrany dát.  

MDM 

Modul pre správu a monitorovanie mobilných zariadení, ako sú mobilné telefóny a tablety, používané zamestnancami v pracovnom prostredí. Nástroj zabezpečí bezpečnosť firemných dát uložených na mobilných zariadeniach a zabráni neoprávnenému prístupu alebo úniku citlivých informácií. Implemntáciou nástroja sa vytvorí centralizovaný systém pre správu všetkých mobilných zariadení a aplikácií, vrátane možnosti vzdialenej konfigurácie a ich aktualizácie. Podpora BYOD (Bring Your Own Device) - umožní zamestnancom používať vlastné zariadenia v pracovnom prostredí, s dôrazom na oddelenie pracovných a osobných dát. Podpora COPE (corporate-owned, personally enabled) - umožní zamestnancom používať mobilné zariadenie vo vlastníctve zamestnávateľa pre pracovné aj osobné účely. Modul MDM Zabezpečí dodržiavanie nastavených pravidiel a politík spoločnosti a generovať správy o stave zariadení a aplikácií. Riešenie umožní registrovať a konfigurovať zariadenia, spravovať aplikácie a ich distribúciu, riadiť prístup a oprávnenia užívateľov, monitorovať a zaznamenávať aktivity, vzdialene spravovať a uzamknúť zariadenie v prípade jeho straty alebo krádeže.  

Nástroj umožňujúci správu a monitorovanie mobilných zariadení, ako sú mobilné telefóny a tablety, ktoré sú používané zamestnancami v pracovnom prostredí.   

Požiadavky:  

• Zabezpečenie Dát: Zaistiť bezpečnosť firemných dát uložených na mobilných zariadeniach a zabrániť neoprávnenému prístupu alebo úniku citlivých informácií.  

• Centralizovaná Správa: Vytvoriť centralizovaný systém pre správu všetkých mobilných zariadení a aplikácií, vrátane možnosti vzdialeného nastavenia a aktualizácií.  

• Podpora BYOD: (Bring Your Own Device) - umožniť zamestnancom používať vlastné zariadenia v pracovnom prostredí, pričom zároveň zabezpečí oddelenie pracovných a osobných dát.  

• Podpora COPE (corporate-owned, personally enabled) - možnosť zamestnancov používať mobilné zariadenie vo vlastníctve zamestnávateľa na pracovné aj súkromné účely.  

• Súlad a Reporting: Vynucovanie nastavených pravidiel a politík spoločnosti a generovanie správ o stave zariadení a aplikácií.  

• Registrácia a konfigurácia zariadenia.  

• Správa aplikácií a ich distribúcia.  

• Riadenie prístupu a práv užívateľov.  

• Monitorovanie a logovanie aktivít.  

• Vzdialená správa a blokovanie zariadenia v prípade straty alebo krádeže.  

• Kompatibilita s rôznymi mobilnými operačnými systémami (iOS, Android, Windows).  

• Silné zabezpečenie dát a možnosť vzdialeného vymazania.  

• Intuitívne užívateľské rozhranie pre administrátorov.  

• V rámci dodávky požadujeme licencie pre 800 zariadení 

• Integrácia na SIEM riešenia objednávateľa v rozsahu zasielania bezpečnostne relevantných udalostí.   

SOAR – MONITROING 

Systém pre orchestráciu a automatizáciu bezpečnostných procesov (SOAR) bol vyvinutý s cieľom zefektívniť a urýchliť manuálne a časovo náročné úlohy v oblasti kybernetickej bezpečnosti. Jeho účelom je automatizovať opakujúce sa pracovné postupy v pracovisku Security Operations Center (SOC), orchestrovať rôzne bezpečnostné nástroje a zabezpečiť pokročilú, rýchlu, efektívnu a automatizovanú reakciu na bezpečnostné incidenty. SOAR systém umožňuje šetriť čas, finančné prostriedky a ľudské zdroje, zároveň posilňuje kybernetickú obranu organizácie. Obsahuje verejne dostupnú knižnicu s preddefinovanými pracovnými postupmi (workflows) a umožňuje organizáciám definovať vlastné pracovné postupy. Ďalšou výhodou je jednoduchá integrácia so SIEM (Security Information and Event Management) riešeniami, manažmentom zraniteľnosti a ticketovacími nástrojmi, čo zabezpečuje prehľadný reporting o spustených pracovných postupoch a celkový prehľad o kybernetických hrozbách a bezpečnostných incidentoch. 

Požiadavky na riešenie: 

• Automatizácia opakovaných pracovných postupov pracoviska SOC. 

• Orchestrácia rôznych bezpečnostných a nebezpečnostných nástrojov. 

• Pokročilejšia, zrýchlená, efektívnejšia a automatizovaná reakcia na incidenty.  

• Šetrenie času, financií a ľudských zdrojov. 

• Posilnenie kybernetickej obrany organizácie. 

• Obsahuje verejne dostupnú knižnicu s preddefinovanými workflows. 

• Umožňuje zadefinovať vlastné workflows. 

• Jednoduchá integrácia so SIEM riešením, manažmentom zraniteľnosti, ticketovacím nástrojom. 

• Prehľadný reporting spustených workflows. 

NDR 

Navrhované riešenie spočíva v implementácii centralizovaného monitorovacieho a detekčného systému pre sieťovú infraštruktúru s využitím pokročilej platformy na detekciu a odozvu na bezpečnostné hrozby. Tento systém je navrhnutý tak, aby umožňoval efektívne monitorovanie sieťového prostredia, identifikáciu bezpečnostných incidentov a rýchlu reakciu na potenciálne hrozby. Riešenie zahŕňa nasadenie softvérových a hardvérových komponentov, ktoré zabezpečujú vysokú úroveň viditeľnosti a ochrany prostredníctvom nepretržitého spracovania sieťovej komunikácie a analýzy udalostí v reálnom čase. 

Systém pozostáva zo senzorov a kolektorov, ktoré umožňujú spracovanie veľkého množstva sieťových tokov a udalostí za sekundu, pričom poskytujú možnosť monitorovania rozsiahleho počtu koncových bodov. Riešenie je vybavené širokou sadou detekčných pravidiel a mechanizmov, ktoré umožňujú identifikáciu škodlivých aktivít a anomálií v sieťovej prevádzke. Súčasťou riešenia sú aj hardvérové zariadenia optimalizované na vysokovýkonné spracovanie a ukladanie bezpečnostných údajov s podporou dlhodobej prevádzky a údržby. 

Okrem samotného nasadenia technológie je nevyhnutná aj implementácia bezpečnostných politík a konfigurácia systému na základe špecifických požiadaviek organizácie, čím sa zabezpečí efektívne fungovanie celej infraštruktúry. Neoddeliteľnou súčasťou implementácie je technické školenie pre administrátorov a bezpečnostných analytikov, ktoré pokrýva oblasti ako konfigurácia systému, správa bezpečnostných politík, bežná prevádzka, riešenie incidentov a postupy obnovy v prípade výpadkov. 

Nástroj pre zavedenie zálohovania na obnovu siete a informačného systému vrátane pravidelného testovania obnovy záloh. 

Cieľom projektu je implementovať úložný systém, ktorý poskytuje vysoko výkonné a škálovateľné riešenia pre organizácie vyžadujúce rozsiahle úložisko pre rôzne druhy dát. Tento produkt je určený pre aplikácie a úložiskové prostredia, ktoré vyžadujú vysokú kapacitu a vysokú dostupnosť. Úložný systém poskytuje možnosti pre implementáciu úložných riešení v podobe hybridných a all-flash konfigurácií, čím zaisťuje rýchly prístup k dátam a efektívne spravovanie veľkých objemov dát. Tento systém je často využívaný vo veľkých organizáciách, ktoré potrebujú spravovať kritické podnikové aplikácie, virtualizované prostredia alebo náročné databázy. Úložný systém sa vyznačuje robustnou ochranou dát, podporou pre replikáciu a zálohovanie, čím zaisťuje, že dáta sú bezpečné a dostupné aj v prípade poruchy alebo výpadku systému. Tento systém tiež poskytuje flexibilitu v oblasti škálovania, čo znamená, že organizácie môžu začať s menšími konfiguráciami a neskôr ich rozšíriť, aby pokryli rastúce potreby na úložisko. 

Nástroj pre manažment konfigurácií počítačových sietí a IT aktív, zoznam ich vlastníkov/správcov, vzájomných väzieb, súvisiacej dokumentácie a zoznam a opis prostredí, v ktorom sú aktíva umiestnené a prevádzkované 

Nástroj na manažment konfigurácií počítačových sietí a IT aktív je komplexný softvérový systém, ktorý umožňuje organizáciám efektívne riadiť a evidovať svoju IT infraštruktúru. Poskytuje centralizované riešenie na sledovanie a správu informácií o všetkých IT aktívach, ich konfiguráciách, vlastníkoch, správcoch, prevádzkovom prostredí a súvisiacej dokumentácii. Jeho využitie zabezpečuje konzistenciu údajov, podporuje strategické rozhodovanie a zvyšuje efektivitu riadenia IT prostredí. Základnou funkcionalitou tohto nástroja je evidencia IT aktív, kde sú zaznamenávané informácie o hardvérových a softvérových prvkoch, ich kategorizácia, životný cyklus a umiestnenie. Umožňuje automatizované sledovanie zmien konfigurácií a ich prepojenie s bezpečnostnými politikami a regulačnými požiadavkami, čím sa minimalizuje riziko chýb a neautorizovaných zmien. Systém zároveň poskytuje detailné informácie o vlastníkoch a správcoch jednotlivých aktív, čím je zabezpečené efektívne riadenie zodpovedností a kontrola prístupu na základe oprávnení. Jednou z dôležitých funkcií nástroja je aj prepojenie jednotlivých aktív a ich vzájomné väzby. Umožňuje vizualizáciu infraštruktúry, identifikáciu kritických bodov a analýzu potenciálnych dopadov výpadkov. Zaznamenáva informácie o sieťových prepojeniach, závislostiach medzi servermi a aplikáciami, čím podporuje rýchlejšie riešenie problémov a efektívnejšiu optimalizáciu prevádzky 

Nástroj na manažment zraniteľností kybernetickej bezpečnosti a riadenie záplat (VMP) 

Nástroj na manažment zraniteľností kybernetickej bezpečnosti a riadenie záplat je kľúčovým prvkom bezpečnostnej infraštruktúry organizácií, ktorý umožňuje efektívne identifikovať, hodnotiť a riešiť bezpečnostné slabiny v IT systémoch. Tento systém poskytuje centralizovaný prehľad o všetkých zraniteľnostiach v sieťových zariadeniach, serveroch, pracovných staniciach a softvérových aplikáciách, pričom zabezpečuje aj automatizované riadenie záplat a aktualizácií, čím minimalizuje riziko kybernetických útokov a dátových únikov. 

Primárnou úlohou takéhoto nástroja je nepretržité skenovanie IT prostredia s cieľom detekcie známych aj nových bezpečnostných zraniteľností. Systém využíva databázy známych hrozieb, ako sú CVE (Common Vulnerabilities and Exposures), a kombinuje ich s vlastnými analýzami, aby poskytol presné informácie o rizikových prvkoch v infraštruktúre. Po identifikácii zraniteľností systém vykonáva ich hodnotenie na základe závažnosti, potenciálneho dopadu a pravdepodobnosti zneužitia, pričom často využíva štandardy, ako je CVSS (Common Vulnerability Scoring System), na určenie priorít pri ich riešení. Riadenie záplat je neoddeliteľnou súčasťou tohto procesu, pričom nástroj umožňuje centralizovanú správu aktualizácií operačných systémov, softvérových aplikácií a firmvéru zariadení. Automatizuje proces nasadzovania bezpečnostných záplat na základe vopred definovaných pravidiel, čím minimalizuje manuálne zásahy a znižuje čas potrebný na ochranu pred potenciálnymi hrozbami. V prípade, že pre niektoré zraniteľnosti nie sú okamžite dostupné záplaty, systém odporúča alternatívne bezpečnostné opatrenia, ako sú konfiguračné zmeny, segmentácia siete alebo nasadenie dočasných riešení na zmiernenie rizika. Ďalšou dôležitou funkcionalitou nástroja je integrácia s existujúcimi bezpečnostnými riešeniami, ako sú SIEM (Security Information and Event Management) systémy, IDS/IPS (Intrusion Detection/Prevention Systems) alebo EDR (Endpoint Detection and Response) platformy. Táto integrácia umožňuje rýchlejšie reagovať na identifikované hrozby a efektívnejšie koordinovať bezpečnostné opatrenia v rámci celej organizácie. Okrem toho nástroj poskytuje rozsiahle reportovacie a analytické funkcie, ktoré umožňujú IT tímom monitorovať stav kybernetickej bezpečnosti, identifikovať trendy a hodnotiť účinnosť zavedených bezpečnostných opatrení. 

Multi-Factor Authentication (MFA) 

MFA je riešenie pre viacfaktorovú autentifikáciu, ktoré je určené na zabezpečenie prístupu k aplikáciám a dátam organizácie. MFA umožňuje organizáciám implementovať silnejšie bezpečnostné opatrenia na ochranu proti neoprávnenému prístupu. Tento produkt ponúka jednoduchú a intuitívnu integráciu s rôznymi aplikáciami a službami, čo umožňuje rýchlu implementáciu bezpečnostných politík pre používateľov. MFA sa zameriava na autentifikáciu dvoch faktorov – niečo, čo používateľ pozná (heslo), a niečo, čo používateľ má (napríklad mobilné zariadenie, ktoré generuje kódy alebo overuje biometrické údaje). MFA je obzvlášť efektívne pri ochrane cloudových aplikácií, VPN pripojení a podnikových aplikácií, ktoré vyžadujú bezpečný prístup. MFA je flexibilné riešenie, ktoré sa prispôsobuje potrebám rôznych veľkostí organizácií, od malých firiem po veľké podniky. Týmto spôsobom znižuje riziko kompromitácie účtov, ktoré sú jedným z najbežnejších spôsobov kybernetických útokov. 

SOC 

Súčasťou riešenia je aj zabezpečenie prevádzky bezpečnostného operačného centra (SOC), ktoré zodpovedá za komplexnú starostlivosť o bezpečnostný dohľad nad sieťovou infraštruktúrou. Tento dohľad zahŕňa proaktívny monitoring dostupnosti všetkých bezpečnostných služieb a aktívny dohľad nad pravidlami s implementáciou príslušných notifikačných mechanizmov. Riešenie ďalej zahŕňa pravidelné reportovanie bezpečnostných incidentov, pričom objednávateľ má k dispozícii tri bezpečnostné reporty mesačne. Kritické incidenty sú analyzované denne, pričom sa vykonáva forenzná analýza a poskytuje sa podpora pri ich riešení. SOC zabezpečuje priebežné rozširovanie znalostnej bázy detekovaných bezpečnostných udalostí, priebežnú kontrolu bezpečnostných politík, ako aj asistenciu pri implementácii odporúčaných opatrení. 

5.1 Prehľad e-Government komponentov

5.1.1 Prehľad koncových služieb – budúci stav: 

Vzhľadom na charakter a rozsah projektu nebudú výsledkom projektu nové požiadavky na koncové služby. 

5.1.2 Prehľad budovaných/rozvíjaných ISVS v projekte – budúci stav: 

Vzhľadom na charakter a rozsah projektu nebudú budované ani rozvíjané informačné systémy ako také. Budú nepriamo rozvíjané implementáciou licenčných riešení s pozitívnym dopadom na úroveň kybernetickej bezpečnosti a prevádzku systémov poskytovateľa základnej služby: 

5.1.3 Prehľad budovaných aplikačných služieb – budúci stav: 

Vzhľadom na charakter a rozsah projektu nebudú budované aplikačné služby ako také. Počas realizácie projektu bude dopĺňaná hardvérová infraštruktúra poskytovateľa základnej služby ako aj doplnené licenčné proprietárne softvéry s pozitívnym dopadom na úroveň kybernetickej bezpečnosti a prevádzku systémov poskytovateľa základnej služby. 

5.1.4 Prehľad integrácii ISVS na spoločné ISVS1 a ISVS iných OVM alebo IS tretích strán 

Vzhľadom na charakter a rozsah projektu nebudú výsledkom projektu nové požiadavky na integrácie na spoločné ISVS či ISVS iných OVM a tretích strán. 

5.1.5 Aplikačné služby na integráciu 

Vzhľadom na charakter a rozsah projektu nebudú výsledkom projektu nové požiadavky na budované aplikačné služby a ich využitie na integráciu na spoločné moduly a iné ISVS alebo ich poskytovanie na externú integráciu ani nie je plánované vybudovanie cloudových služieb “softvér ako služba“ (SaaS). 

5.1.6 Poskytovanie údajov z ISVS do IS CSRÚ 

Vzhľadom na charakter a rozsah projektu nebudú výsledkom projektu nové požiadavky na poskytovanie údajov do CSRÚ. 

5.1.7 Konzumovanie údajov z IS CSRÚ  

Vzhľadom na charakter a rozsah projektu nebudú výsledkom projektu nové požiadavky na konzumovanie údajov z CSRÚ. 

5.1.8 Prehľad plánovaného využívania infraštruktúrnych služieb (cloudových služieb) – budúci stav: 

Vzhľadom na charakter a rozsah projektu nebudú výsledkom projektu nové požiadavky na využívanie kapacít ktorejkoľvek časti vládneho cloudu. 

5.2 Prehľad e-Government komponentov 

Kapitola je spracovaná v dokumente I-03 Prístup k projektu. 

6. LEGISLATÍVA 

Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov. 

Vyhláška Národného bezpečnostného úradu č. 362/2018 Z. z. ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení. 

Vyhláška Národného bezpečnostného úradu č. 493/2022 Z. z o audite kybernetickej bezpečnosti. 

Zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov. 

Vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 179/2020 Z. z. ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy. 

Zákon č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov. 

Zákon č. 211/2000 Z. z. o slobodnom prístupe k informáciám a o zmene a doplnení niektorých zákonov. 

Zákon č. 218/2013 Z.z. o núdzových zásobách ropy a ropných výrobkov a o riešení stavu ropnej núdze a o zmene a doplnení niektorých zákonov 

Zákon č. 372/2012 Z. z. o štátnych hmotných rezervách a o doplnení zákona č. 25/2007 Z. z. o elektronickom výbere mýta za užívanie vymedzených úsekov pozemných komunikácií a o zmene a doplnení niektorých zákonov v znení neskorších predpisov 

Smernica č. 1/2021 Postup pri tvorbe, hospodárení a použití mobilizačných rezerv 

Smernica č. 4/2021 Postup pri tvorbe, hospodárení a použití pohotovostných zásob 

Smernica č. 17/2021 Skladová evidencia štátnych hmotných rezerv 

Smernica č. 8/2022 – Financovanie bežných výdavkov ochraňovateľov spojených s ochraňovaním mobilizačných rezerv a pohotovostných zásob hradených zo štátneho rozpočtu 

Smernica č. 15/2019 Stanovenie spôsobu merania a výpočtu množstva skladovaných hmotných rezerv, noriem strát pri skladovaní a manipulácii s materiálmi zásob hmotných rezerv 

7. ROZPOČET A PRÍNOSY 

NÁKLADY 

Sumarizácia nákladov: 

Sumarizácia nákladov a prínosov riešenia za obdobie 10 rokov: 

Interpretácia výsledkov: 

Ekonomická a finančná efektívnosť projektu je v analýze prínosov a nákladov hodnotená kvantitatívne pomocou nasledujúcich ukazovateľov: 

• Pomer prínosov a nákladov (BCR): XX,XX 

• Kumulovaná diskont. návratnosť ENPV: tX (v X roku) 

Rozpočet projektu: X XXX XXX,XX EUR 

Spôsob nacenenia rozpočtu projektu bol v súlade so zákonom č. 343/2015 Z. z. o verejnom obstarávaní a o zmene a doplnení niektorých zákonov, ktorý v § 6 ustanovuje: „Predpokladaná hodnota zákazky sa určuje ako cena bez dane z pridanej hodnoty s cieľom ustanovenia postupu verejného obstarávania podľa finančných limitov. Verejný obstarávateľ a obstarávateľ určia predpokladanú hodnotu zákazky na základe údajov a informácií o zákazkách na rovnaký alebo porovnateľný predmet zákazky. Ak nemá verejný obstarávateľ alebo obstarávateľ údaje podľa druhej vety k dispozícii, určí predpokladanú hodnotu na základe údajov získaných prieskumom trhu s požadovaným plnením, prípravnou trhovou konzultáciou, použitím systému sledovania vývoja cien podľa § 13 ods. 2 písm. d) alebo na základe údajov získaných iným vhodným spôsobom. Predpokladaná hodnota zákazky je platná v čase odoslania oznámenia o vyhlásení verejného obstarávania alebo oznámenia použitého ako výzva na súťaž na uverejnenie; ak sa uverejnenie takého oznámenia nevyžaduje, predpokladaná hodnota je platná v čase začatia postupu zadávania zákazky“ Pre účely výpočtu predpokladanej hodnoty zákazky bol uplatnený spôsob na základe údajov získaných prieskumom trhu výzvou/oslovením minimálne troch potenciálnych dodávateľov a ich následného predloženia cien alebo ponúk. Výsledkom cenového prieskumu je zistená cena s DPH za jednotlivé položky. Náklady projektu sú tvorené predovšetkým nakúpením softvérových nástrojov a ich implementáciou do prostredia MŽP SR. Celkové náklady na sluźby 518 -Ostatné služby na zabezpečenie riešenia boli vypočítané prostredníctvom UCP analýzy. Vypočítané náklady projektu a výšku rozpočtu môžeme rozdeliť nasledovne: 

Hlavné aktivity 

Vývoj aplikácií: 

Externé služby:      XXX XXX,XX EUR s DPH 

SW a Licencie:       XXX XXX,XX EUR s DPH 

HW:    X XXX XXX,XX EUR s DPH 

Podporné aktivity 

907 - Paušálna sadzba na nepriame výdavky podľa článku 54 písm. a) NSU:  XXX XXX,XX EUR 

V rámci ekonomickej analýzy je kladený dôraz predovšetkým na definovanie prínosov navrhovaného projektu a to ako kvalitatívnych, tak aj kvantitatívnych (finančné a ekonomické). 

KVANTITATÍVNE PRÍNOSY: 

1.) Zníženie % výpadku služieb Ministerstvu životného prostredia Slovenskej republikya s tým súvisiaceho „prestoja“ zamestnancov ministerstva 

% zníženia výpadkov infraštruktúry z dôvodu doplnenia kľúčových HW komponentov infraštruktúry. Prínos sme vypočítali ako rozdiel medzi nedostupnosťou infraštruktúry v AS-IS a TO-BE stave.  

2.) Zamedzenie výpadku infraštruktúry z dôvodu zníženia pravdepodobnosti dopadu závažného kybernetického útoku 

Riziko dopadu veľmi závažného incidentu p je v súčasnosti 10%. Aj keď z praxe vyplýva, že periodicita takéhoto incidentu je 1 krát za 10r. Nasadením riešenia dôjde k zníženiu pravdepodobnosti dopadu závažného incidentu o polovicu. Zároveň zmenou bezpečnostnej architektúry zavedením technologických opatrení dôjde k zníženiu doby obnovy z 14 (10 prac.) dní na 2 dni. 

3.) Zabránené riziku narušenia údajov implementáciou XDR 

Prínos je vypočítaný ako rozdiel medzi sumárom pravdepodobných priemerných nákladov v prípade narušenia údajov medzi prostredím bez implementovaného riešenia XDR a prostredím s implementovaným XDR. Priemerné náklady pre AS_IS sú vypočítané ako úspora na priemerných nákladoch pri úspešnom porušení údajov. Implementácia riešenia XDR počíta so snažením rozsahu dopadu o 97%. 

KVALITATÍVNE PRÍNOSY: 

Projekt Podpora v oblasti kybernetickej a informačnej bezpečnosti Ministerstvu životného prostredia Slovenskej republiky prináša viaceré významné kvalitatívne prínosy v oblasti kybernetickej bezpečnosti a ochrany kritických informačných systémov: 

Zvýšená kybernetická ochrana - Projekt prispieva k posilneniu ochrany pred kybernetickými hrozbami a útokmi. Zvýšená schopnosť detekcie a prevencie hrozieb pomáha minimalizovať riziko kybernetických incidentov a znefunkčnenia kritických systémov. Zvýšenie kybernetickej bezpečnosti predstavuje kľúčový prvok projektu. Hlavným cieľom je zabezpečiť, že organizácia bude vystavená menej rizikám, ktoré sú spojené s rastúcimi a sofistikovanejšími kybernetickými hrozbami. Súčasné kybernetické hrozby neustále evolvujú a stávajú sa čoraz zložitejšími a nebezpečnejšími. Útoky sa objavujú na nových frontoch a využívajú nové techniky na obehnanie existujúcich obranných mechanizmov. Tieto hrozby predstavujú závažné riziká pre organizáciu, ktoré môžu mať vážne dôsledky na jej činnosť a povesť. V rámci projektu investujeme do nových technológií, nástrojov a stratégií, ktoré organizácii umožnia identifikovať a eliminovať tieto hrozby na najvyššej úrovni. Vytvoríme širší a komplexnejší prístup k kybernetickej bezpečnosti, ktorý zabezpečí, že organizácia bude dobre pripravená na kybernetické hrozby všetkých druhov. Rozšírením kybernetickej bezpečnosti na najvyššiu úroveň budeme mať možnosť brániť sa najnáročnejším útokom a minimalizovať ich škodlivé účinky. Tým zabezpečíme ochranu aktív a dôvernosti organizácie, čo je kritické pre našich klientov, zamestnancov a partnerov. Zvýšená kybernetická bezpečnosť je kľúčovým prínosom projektu a bude mať široký dosah na bezpečnosť a prosperitu organizácie. 

Rýchlejšia reakcia na hrozby - Implementácia technologických riešení a automatizácia procesov umožní rýchlejšiu identifikáciu, analýzu a riešenie kybernetických hrozieb. Tým sa zabezpečí včasná reakcia a minimalizácia potenciálnych škôd. V rámci projektu budeme implementovať najmodernejšie technológie a nástroje, ktoré umožnia okamžité rozpoznanie potenciálnych hrozieb a ich priradenie do správnych kategórií. Implementáciou projektu dôjde k okamžitejšom nasadení potrebných opatrení na minimalizáciu potenciálnych škôd. To znamená, že vďaka implementácii projektu budeme schopní zareagovať na hrozby rýchlejšie a účinnejšie. Výsledkom je nielen zníženie rizika pre organizáciu, ale aj minimalizácia možných škôd, ktoré by takéto hrozby mohli spôsobiť. Zvýšená rýchlosť a efektivita reakcie na kybernetické hrozby prinesie organizácii významný prínos, a to v podobe zníženia rizika straty dôveryhodnosti, finančných strát a poškodenia povesť. Týmto spôsobom sa projekt stáva kľúčovým opatrením v oblasti kybernetickej bezpečnosti a ochrany organizácie pred hrozbami v dnešnom digitálnom svete. 

Hĺbková analýza hrozieb – Projektom sa zvýši schopnosť odhaľovať sofistikované hrozby a budúce kybernetické útoky. Hĺbková analýza je kritická v identifikácii a porozumení novým a komplexným hrozbám, ktoré sa vyvíjajú v kybernetickom prostredí. Prostredníctvom projektu investujeme do školenia našich expertov a do moderných nástrojov na analýzu a identifikovanie hrozieb, čo umožní získať hlbší pohľad do štruktúry hrozieb a ich metód. Okrem toho, sledovanie správania útočníkov je ďalším významným prvkom hĺbkovej analýzy. S týmito nástrojmi sme schopní sledovať, ako sa útočníci pohybujú v našej sieti a aké kroky podnikajú na dosiahnutie svojich cieľov. Toto je kľúčové pri rozpoznaní sofistikovaných útokov, ktoré môžu byť skryté a ťažko detekovateľné tradičnými metódami. Zlepšená schopnosť hĺbkovej analýzy hrozieb prinesie organizácii výhody v podobe predchádzania novým, ešte neznámym útokom a rýchlejšiemu vytváraniu ochranných opatrení. Týmto spôsobom projekt prispieva k dlhodobejšiemu zabezpečeniu organizácie pred kybernetickými hrozbami a znižuje pravdepodobnosť závažných incidentov. 

Spolupráca a komunikácia - Zlepšená spolupráca a komunikácia medzi rôznymi tímami v organizácii pomáha včasnému zdieľaniu informácií o hrozbách a koordinácii reakcií na kybernetické incidenty. Zlepšená spolupráca znamená, že tímy zamerané na bezpečnosť, IT, a všetky ďalšie príslušné oddelenia budú mať jednoduchší prístup k informáciám o kybernetických hrozbách. To umožní včasné a rýchle zdieľanie informácií o identifikovaných rizikách a aktuálnych situáciách. Týmto spôsobom môžeme predchádzať izolovaným silám a skrátiť čas, ktorý by inak bol stratený na vyhľadávanie dôležitých informácií. V prípade kybernetických incidentov, kedy každá sekunda záleží, umožňuje tento projekt okamžitú komunikáciu a koordináciu reakcií. Rôzne tímy sú schopné okamžite reagovať na situácie, spolupracovať na náprave incidentu a obnoviť normálnu prevádzku bez neprimeraného omeškania. Spolupráca a komunikácia sú kľúčom k efektívnemu kybernetickému bezpečnostnému procesu, a ich zdokonalenie v rámci tohto projektu posilňuje obranu organizácie proti hrozbám. Zabezpečuje to, že organizácia je jednotným tímom, ktorý je schopný reagovať na kybernetické hrozby s jednotným úsilím, čo vedie k zníženiu rizika a minimalizácii škôd. 

Zvýšená reputácia a dôvera - Dôsledné opatrenia v oblasti kybernetickej bezpečnosti pomáhajú zvýšiť dôveru v štát a reputáciu krajiny. Zabezpečením integrity, dôvernosti a dostupnosti dôležitých informácií a služieb v kybernetickom priestore sa zlepšuje vnímaná kvalita a spoľahlivosť verejnej správy. 

Rýchla identifikácia nových hrozieb - Vďaka zdokonaleným nástrojom môže organizácia rýchlejšie identifikovať nové kybernetické hrozby. S novými technológiami a analýzou správania útočníkov môžeme odhaliť aj rafinovanejšie útoky, ktoré by mohli uniknúť tradičným bezpečnostným systémom. 

Včasné varovania - Proaktívna kybernetická bezpečnostná stratégia umožňuje organizácii generovať včasné varovania a upozornenia na potenciálne hrozby. To dáva tímom viac času na prípravu a predchádzanie útokom. 

Preventívne opatrenia - Projekt zahŕňa implementáciu preventívnych opatrení na základe včasného rozpoznania hrozieb. Tieto opatrenia môžu zahŕňať aktualizácie zraniteľných systémov, zvýšenú monitorovanie, a iné kroky na minimalizáciu rizika. 

Znižuje zraniteľnosť organizácie - Proaktivita v reakcii na kybernetické hrozby robí organizáciu menej zraniteľnou voči novým hrozbám. Tým sa minimalizuje potenciálna škoda, ktorú by organizácia mohla utrpieť v dôsledku kybernetického útoku. 

Projektom sa zabezpečí, že organizácia nebude iba pasívnym príjemcom informácií o hrozbách, ale aktívnym účastníkom v boji proti nim. Tým sa MŽP SR stane schopnou predvídať a čeliť hrozbám s vyššou efektivitou a dôslednosťou, čím sa posilňuje celková kybernetická bezpečnosť. Celkovo projekt prispeje k vytvoreniu moderného a efektívneho systému včasnej reakcie na kybernetické hrozby v oblasti verejnej správy. Zvýšená kybernetická ochrana a reaktívna schopnosť pomôžu minimalizovať riziká, ktoré kybernetický priestor predstavuje pre dôležité informácie a služby, a to nielen v v pôsobnosti MŽP SR, ale aj pre celý štát. 

8. HARMONOGRAM JEDNOTLIVÝCH FÁZ PROJEKTU a METÓDA JEHO RIADENIA 

Časový harmonogram projektu je nastavený na 24 mesiacov a finálnym termínom dokončenia do 12/2027. Začiatok projektu je naplánovaný od 01/2026 a má byť ukončený najneskôr do 12/2027. Následne v rámci prevádzky bude prebiehať podpora prevádzky. Podporné aktivity budú zabezpečované počas celých 24 mesiacov od začiatku trvania projektu. 

Projekt bude realizovaný metódou Waterfall v súlade s Vyhláškou Ministerstva investícií, regionálneho rozvoja a informatizácie Slovenskej republiky č. 401/2023 Z. z. o riadení projektov a zmenových požiadaviek v prevádzke informačných technológií verejnej správy. Waterfall prístup počíta s detailným naplánovaním jednotlivých krokov a následnom dodržiavaní postupu počas vývoja alebo realizácie projektu. Táto metóda je vhodná v projektoch, ktoré majú jasný cieľ a jasne definovateľný postup a rozdelenie prác. Realizácia projektu, vrátane implementácie a preberanie výstupov, bude prostredníctvom jedného inkrementu v súlade s vyššie definovanou vyhláškou.  

9. PROJEKTOVÝ TÍM 

Riadiaci výbor projektu tvorí predseda riadiaceho výboru projektu a vlastníci procesov alebo nimi poverení zástupcovia.  

Riadiaci výbor sa riadi “Štatútom riadiaceho výboru”, ktorý je popísaný v dokumente Štatút RV projektu ako najvyšší riadiaci orgán na účely realizácie projektu na základe schválenej projektovej dokumentácie. 

Štatút Riadiaceho výboru upravuje najmä jeho pôsobnosť, úlohy, zloženie, zasadnutie a hlasovanie. Členom riadiaceho výboru projektu môže byť aj zástupca dodávateľa. Väčšina členov riadiaceho výboru projektu s hlasovacím právom sú osoby navrhnuté objednávateľom a zastupujú záujmy objednávateľa. Riadiaci výbor projektu dozerá na hospodárnosť, efektívnosť a účelové využívanie finančných prostriedkov a môže prispôsobiť štandardy projektového riadenia na realizovaný projekt. 

Riadiaci výbor má minimálne 5 členov, vrátane predsedu Riadiaceho výboru (ďalej len „predseda“) : 

Riadiaci výbor projektu môžu tvoriť: 

1. predseda Riadiaceho výboru projektu, 

1. podpredseda Riadiaceho výboru projektu, 

1. vlastník alebo vlastníci procesov  MŽP SR (biznis vlastník infraštruktúra) alebo nimi poverený zástupca alebo zástupcovia,  

1. zástupcu kľúčových používateľov (end user), 

1. zástupca za Dodávateľa v zmysle Zmluvy o Dielo s Dodávateľom. 

1. projektový manažér prijímateľa PPM. 

Riadiaci výbor je riadený predsedom, ktorým je zástupca Objednávateľa. V prípade neprítomnosti predsedu na zasadnutí Riadiaceho výboru, predseda musí na toto konkrétne zasadnutie písomne delegovať svoju funkciu v rozsahu svojich práv a povinností formou splnomocnenia na zástupcu, ktorým môže byť aj iný člen Riadiaceho výboru s hlasovacím právom. Na rokovanie Riadiaceho výboru môžu byť v prípade potreby prizvaní aj iní účastníci tak zo strany Objednávateľa alebo za stranu Dodávateľa.  

Riadiaci výbor zasadá pravidelne, spravidla raz za mesiac avšak najmenej jedenkrát za tri (3) po sebe nasledujúce kalendárne mesiace. Zasadnutie Riadiaceho výboru zvoláva predseda. Závery zo zasadnutia Riadiaceho výboru a jednotlivé body zo zasadnutia Riadiaceho výboru sa prijímajú súhlasným hlasovaním nadpolovičnej väčšiny prítomných členov Riadiaceho výboru s hlasovacím právom. Hlas predsedu má v prípade rovnosti hlasov hodnotu dvoch hlasov. 

Hlavné dokumenty spojené s činnosťou Riadiaceho výboru sú program zasadnutia, pracovný materiál a záznam zo zasadnutia Riadiaceho výboru, ktorého prílohou musí byť aj prezenčná listina, prípadne aj písomné splnomocnenia členov Riadiaceho výboru.  

Program zasadnutia a pracovné materiály Riadiaceho výboru distribuuje Asistent projektového manažéra na základe podkladov a inštrukcií predsedu alebo toho člena Riadiaceho výboru, ktorý požiadal o zasadnutie Riadiaceho výboru.  

Asistent projektového manažéra zabezpečí ich distribúciu členom Riadiaceho výboru najneskôr 3 pracovné dni pred zasadnutím Riadiaceho výboru. Za vecnú správnosť distribuovaného materiálu zodpovedá člen Riadiaceho výboru, ktorý ho predkladá.  

Riadiaci výbor zaniká ukončením plnohodnotnej implementácie projektu a jeho uvedením do produktívnej prevádzky. Zoznam členov Riadiaceho výboru je súčasťou dokumentu Komunikačná matica uloženom na zdieľanom projektovom úložisku. 

Riadenie projektu zo strany Objednávateľa bude zabezpečené prostredníctvom Projektového manažéra a Finančného manažéra a bude trvať počas celej doby realizácie projektu. Bude pokrývať oblasť projektového riadenia (projektový manažment, celková koordinácia projektu, celkový dohľad nad vývojom dodávaného Diela, vrátane kvality), finančného riadenia a monitorovania realizácie projektu v zmysle riadenia podľa vyhlášky MIRRI č. 401/2023 Z. z. v platnom znení.  

Projektový tím bude pozostávať z pozícií: 

• Projektové role: 

• Projektový manažér, 

• Kľúčový používateľ, 

• Manažér kybernetickej a informačnej bezpečnosti, 

• Ďalšie projektové role: 

• Finančný manažér 

• Asistent PM 

V súlade s výzvou MŽP SR zabezpečí, aby počas implementácie projektu a po jeho skončení (počas obdobia udržateľnosti) bol k dispozícii interný personál na obsluhu, prevádzku a rozvoj riešenia. Zároveň bude minimálne počas obdobia udržateľnosti zabezpečené financovanie tohto personálu zo zdrojov MŽP SR. 

Projektový manažér Objednávateľa bude zabezpečovať koordináciu projektových činností a manažment v súlade s metodikou PRINCE2 (hlavné dokumenty, priebežné manažérske výstupy, a pod.).  

Projektový manažér Objednávateľa  bude riadiť, administratívne a organizačne zabezpečovať implementáciu projektu, komunikovať s  dodávateľmi, sledovať plnenie harmonogramu projektu a zabezpečovať dokumenty požadované MIRRI. Zároveň bude v spolupráci s projektovým manažérom dodávateľa koordinovať realizáciu hlavných aktivít, činností a úloh projektu.  

Zodpovednosťou projektového manažéra je v spolupráci s finančným manažérom (objednávateľa) finančné riadenie projektu kontrolu rozpočtu projektu a jeho súlad s účtovnými dokladmi. Kontrolu podpornej účtovnej dokumentácie a poradenstvo pri definovaní oprávnených výdavkov bude zabezpečovať finančný manažér Objednávateľa.  

Súčasťou projektového riadenia bude tiež operatívna projektová podpora zabezpečujúca administratívnu podporu pre písomnú komunikáciu, administratívne vedenie projektovej dokumentácie a prípravu podkladov pre členov projektového tímu, organizáciu stretnutí a pod.. V rámci aktivity budú taktiež zabezpečovaný manažment a hodnotenie kvality zo strany Objednávateľa.  

9.1 PRACOVNÉ NÁPLNE  

10. ODKAZY 

11. PRÍLOHY 

Príloha 1: Zoznam rizík a závislostí  

Koniec dokumentu