Zmeny dokumentu I-02 Projektový zámer (projektovy_zamer)

Naposledy upravil MVDr. Milan Kolesár 2025/04/29 14:42

From 3.7 to 3.6

Z verzie 4.1

upravil MVDr. Milan Kolesár
-

Zmeniť komentár: Pre túto verziu nie sú komentáre

Do verzie 3.7

upravil MVDr. Milan Kolesár
-

Zmeniť komentár: Pre túto verziu nie sú komentáre

Raw
Rendered

Súhrn

Vlastnosti stránky (1 modified, 0 added, 0 removed)

Podrobnosti

Vlastnosti stránky

Obsah

@@ -1043,192 +1043,5 @@
  Nerelevantné – projekt neplánuje využívať služby z katalógu služieb vládneho cloudu.
--== 5.7 Bezpečnostná architektúra ==
--=== 5.7.1 Návrh riešenia bezpečnosti ===
--
--Základnými východiskami pre rozvíjané riešenie bezpečnosti IS sú rovnako ako v súčasnom stave právne predpisy ako zákon č. 18/2018 Z.z. o ochrane osobných údajov, zákon č. 95/2019 Z.z. o informačných technológiách vo verejnej správe, zákon č. 69/2018 Z.z. o kybernetickej bezpečnosti a ďalej ISO/IES 27000, Common Criteria a OWASP Guides a dodatočných požiadaviek prevádzkovateľa systému.
--
--Riešenie bude v oblasti bezpečnosti a ochrany dát aplikovať relevantné centrálne nastavené bezpečnostné politiky a pravidlá. Na zabezpečenie prístupu a ochrany dát sa použijú:
--
--* Integrované systémy riadenia identity (IAM) s podporou štandardných protokolov ako SAML, OAuth2 alebo OpenID Connect. (Príklady: Azure AD/Entra ID, AWS IAM, Google Cloud IAM, Okta, Keycloak, Ping Identity a i.)
--* Role-Based Access Control (RBAC) alebo Attribute-Based Access Control (ABAC), ktoré umožňujú priraďovať oprávnenia podľa rolí, úloh či atribútov používateľa.
--* Bezpečné zdieľanie dát cez dočasné prístupové tokeny, pre-signed URL alebo iné mechanizmy kontrolovaného prístupu (napr. Shared Access Signatures, Signed URLs a pod.).
--
--Šifrovanie dát v prenose (SSL/TLS) aj v pokoji (at-rest), napr. pomocou integrovaných služieb správy kľúčov (Key Management Service – KMS) alebo samostatných trezorov na kľúče a heslá.
--
--Pri budovaní kamerových systémov je potrebné zabezpečiť integritu, dostupnosť a dôvernosť dát, ako aj celkovú odolnosť a monitoring digitálnej infraštruktúry a služieb v čase, kedy narastá počet kybernetických hrozieb, ako aj ich sofistikovanosť.
--
--Za týmto účelom je potrebné používať kamery výrobcov dodržiavajúcich smernice NIS a pripravovanej NIS2, resp. spĺňať minimálne bezpečnostné štandardy:
--
--* certifikácia ISO/IEC 27001 pre systém riadenia bezpečnosti informácií (ISMS);
--* CVE Numbering Authority (CNA) v rámci domény MITRE.
--
--Konkrétne riešenia bezpečnosti budú špecifikované v rámci etapy analýza a dizajn riešenia.
--
--=== 5.7.2 Určenie obsahu bezpečnostných opatrení ===
--
--Mesto Jelšava má pozíciu koordinátora GDPR, ktorý aktualizuje bezpečnostnú smernicu a zaškolí zamestnancov (predovšetkým tých, ktorí zabezpečujú plnenie požiadaviek v oblasti bezpečnosti informačných a zabezpečujú obsluhu a správu kamerového systému).
--
--V zmysle zákona o obecnom zriadení sú obce povinné zabezpečiť verejný poriadok v obci. Zákon o obecnom zriadení už ďalej obciam a mestám neukladá konkrétnu formu, akou majú obce túto povinnosť splniť. Keďže v tomto prípade ide o zabezpečovanie verejných úloh pri výkone samosprávy, monitorovanie verejných priestranstiev a  zabezpečenie verejného poriadku v obci prostredníctvom monitorovania je v širšom rozsahu v súlade s povinnosťou obce a zabezpečenie verejného poriadku. Osobné údaje budú spracúvané iba v rozsahu nevyhnutnom na dosiahnutie účelu spracúvania, oblasti monitorovania kamerovým systém riadne označené a sprístupnenie záznamov tretím osobám bude
--
--Uchovávanie údajov bude  v zmysle odporúčania Európskeho výboru pre ochranu osobných údajov (https:~/~/www.edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_201903_video_devices_sk.pdf) v závislosti od konkrétnej situácie 1 až 5 dní.
--
--Sprístupňovanie údajov z kamier tretím osobám (polícia, iné bezpečnostné zložky a pod.) bude rozsahu daného účelu spracovania (pri riešení náhrady škody alebo identifikácií páchateľa, ktorých právnym základom je plnenie zákonných povinností prevádzkovateľa, ktoré mu vyplývajú z osobitných právnych predpisov, upravujúcich trestné alebo priestupkové konanie, napríklad z Trestného poriadku alebo zákona o obecnej polícií).
--
--Projekt je v súlade s Národnou koncepciou informatizácie verejnej správy Slovenskej republiky, najmä so Strategickou prioritou Manažment údajov. Projekt sa zameriava na aktivity, definované v strategickej iniciatíve Analytické údaje - pre analytické účely budú údaje centralizovane, zúčtovateľne (overiteľne) a systematicky zabezpečené legislatívne, procesne aj technologicky prístupy k analytickým údajom z prostredia verejnej správy aj externého prostredia a bude nastavený koncept ich následného využívania vo verejnej správe.
--
--Konkrétny rozsah bezpečnostných opatrení bude špecifikovaný v rámci etapy analýza a dizajn riešenia.
--
--=== 5.7.3 Legislatívne, právne, štatutárne, regulačné a zmluvné požiadavky ===
--
--Bezpečnostná architektúra upraveného informačného systému bude realizovaná v súlade s dotknutými právnymi normami a zároveň s technickými normami, ktoré stanovujú úroveň potrebnej bezpečnosti IS, pre manipuláciu so samotnými dátami, alebo technické/technologické/personálne zabezpečenie samotnej výpočtovej techniky/HW vybavenia. Ide najmä o:
--
--* Zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov v znení neskorších predpisov,
--* Zákon č. 69/2018 Z.z. o kybernetickej bezpečnosti
--* Zákon č. 45/2011 Z.z. o kritickej infraštruktúre
--* Zákon č. 305/2013 Z. z. o elektronickej podobe výkonu pôsobnosti orgánov verejnej moci a o zmene a doplnení niektorých zákonov (zákon o e-Governmente)
--* Vyhláška 401/2023 MIRRI SR o riadení projektov a zmenových požiadaviek v prevádzke informačných technológií verejnej správy,
--* Vyhláška 78/2020 Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu o štandardoch pre informačné technológie verejnej správy,
--* Vyhláška 547/2021 MIRRI SR o elektronizácii agendy verejnej správy.
--* Vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 78/2020 Z. z. o štandardoch pre informačné technológie verejnej správy
--* Vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 179/2020 Z. z., ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy
--* Vyhláška Úradu na ochranu osobných údajov Slovenskej republiky č. 158/2018 Z. z. o postupe pri posudzovaní vplyvu na ochranu osobných údajov
--* Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov)
--* Zákon č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov.
--
--Projekt bude:
--
--* Plne riadený v súlade s vyhláškou Ministerstva investícií, regionálneho rozvoja a informatizácie Slovenskej republiky č. 401/2023 Z. z. o riadení projektov a zmenových požiadaviek v prevádzke informačných technológií verejnej správy a všetky manažérske produkty vyhlášky o riadení projektov budú vypracované a nahraté v Centrálnom metainformačnom systéme verejnej správy SR.
--* Realizovaný v súlade s požiadavkou na - data driven government (prílohe č. 11 Výzvy Integračno-analytická platforma), t.j. integráciou dátovej platformy do integračno-analytickej platformy formou Azure Data Lake Storage, AzureDataFactory, SQL Database alebo PowerBI na základe dodávky konkrétneho riešenia a podporovaných foriem integrácie podľa uvedenej Prílohy.
--
--=== 5.7.4 Riešenie autentifikácie a prístupov používateľov ===
--
--Konkrétne návrhy riešenia autentifikácie a prístupu používateľov budú špecifikované v rámci etapy analýza a dizajn riešenia.
--
--= 6. PREVÁDZKA A ÚDRŽBA VÝSTUPOV PROJEKTU =
--
--== 6.1 Návrh riešenia prevádzky a údržby ==
--
--Prevádzka a údržba navrhnutého riešenia projektu bude zabezpečená internými personálnymi kapacitami na úrovni podpory L1 až L3 (L3 externe). Pre hlásenie problémov bude využívaný Helpdesk. Predpoklad riešenia problémov a požiadaviek bude od nahlásenia problému alebo požiadavky prostredníctvom helpdesku (e-mailom, telefonicky, formulárom), identifikácia a preverenie problému/požiadavky, vykonanie opravy/podpory.
--
--== 6.2 Zabezpečenie podpory používateľov a prevádzky ==
--
--Help Desk bude realizovaný cez 3 úrovne podpory s nasledujúcim označením:
--
--* L1 podpora - začiatočná úroveň podpory, ktorá je zodpovedná za riešenie základných problémov a požiadaviek koncových užívateľov a ďalšie služby vyžadujúce základnú úroveň technickej podpory. Základnou funkciou podpory 1. stupňa je zhromaždiť informácie, previesť základnú analýzu a určiť príčinu problému a jeho klasifikáciu. Typicky sú v úrovni L1 riešené priamočiare a jednoduché problémy a základné diagnostiky, overenie dostupnosti jednotlivých vrstiev infraštruktúry (sieťové, operačné, vizualizačné, aplikačné atď.) a základné užívateľské problémy (typicky zabudnutie hesla), overovanie nastavení SW a HW atď.
--* L2 podpora - riešiteľské tímy s hlbšou technologickou znalosťou danej oblasti. Riešitelia na úrovni Podpory L2 nekomunikujú priamo s koncovým užívateľom, ale sú zodpovední za poskytovanie súčinnosti riešiteľom 1. úrovne podpory pri riešení eskalovaného hlásenia, čo mimo iného obsahuje aj spätnú kontrolu a podrobnejšiu analýzu zistených dát predaných riešiteľom 1. úrovne podpory. Výstupom takejto kontroly môže byť potvrdenie, upresnenie, alebo prehodnotenie hlásenia v závislosti na potrebách Objednávateľa. Primárnym cieľom riešiteľov na úrovni Podpory L2 je dostať Hlásenie čo najskôr pod kontrolu a následne ho vyriešiť – s možnosťou eskalácie na vyššiu úroveň podpory – Podpora L3.
--* L3 podpora - Podpora 3. stupňa predstavuje najvyššiu úroveň podpory pre riešenie tých najobťažnejších hlásení, vrátane prevádzania hĺbkových analýz a riešenie extrémnych prípadov, ktorú bude zabezpečovať výrobca implementovaných nástrojov.
--
--Prevádzka implementovaných nástrojov v rámci projektu L1 až L3 bude zabezpečená internými zamestnancami Mesta Jelšava. V prípade nevyhnutnej potreby bude zabezpečená L3 podpora výrobcu implementovaných nástrojov, ktorá bude financovaná z vlastných zdrojov Mesta Jelšava.
--
--== 6.3 Riešenie incidentov v prevádzke - parametre úrovní služby ==
--
--Parametre služby riešenia incidentov v prevádzke sú špecifikované na základe určenia priority incidentu pomocou kombinácie jeho naliehavosti a dopadu podľa najlepších skúseností z praxe (best practice) z oblasti manažmentu IT služieb (Information Technology Infrastructure Library - ITIL V3) nasledovným spôsobom:
--
--**Incident** - za incident je považovaná každá nahlásená alebo inak zistená relevantná skutočnosť týkajúca sa aktíva (informačného systému) alebo jeho časti, ktorého nedostupnosť alebo nefunkčnosť má vplyv na poskytovanie služieb.
--
--Tabuľka č. 19: Klasifikácia Naliehavosti incidentu
--
--|**Klasifikácia naliehavosti incidentu**|**Závažnosť  incidentu**|**Popis naliehavosti incidentu**
--|A|Kritická|Kritické chyby, ktoré spôsobia úplné zlyhanie systému ako celku a nie je možné používať ani jednu jeho časť, nie je možné poskytnúť požadovaný výstup z IS.
--|B|Vysoká|Chyby a nedostatky, ktoré zapríčinia čiastočné zlyhanie systému a neumožňuje používať časť systému.
--|C|Stredná|Chyby a nedostatky, ktoré spôsobia čiastočné obmedzenia používania systému.
--|D|Nízka|Kozmetické a drobné chyby.
--
--Tabuľka č. 20: Klasifikácia Závažnosti incidentu
--
--|**Klasifikácia závažnosti incidentu**|(((
--**Dopad**
--)))|**Popis dopadu**
--|1|katastrofický|katastrofický dopad, priamy finančný dopad alebo strata dát,
--|2|značný|značný dopad alebo strata dát
--|3|malý|malý dopad alebo strata dát
--
--Určenie priority incidentu je kombináciou dopadu a naliehavosti podľa nasledovnej matice:
--
--Tabuľka č. 21: Určenie priority incidentu
--
--|(% colspan="2" rowspan="2" %)**Matica priority incidentov**|(% colspan="3" %)**Dopad**
--|**Katastrofický - 1**|**Značný - 2**|**Malý - 3**
--|(% rowspan="4" %)Naliehavosť|Kritická - A|1|2|3
--|Vysoká - B|2|3|3
--|Stredná - C|2|3|4
--|Nízka - D|3|4|4
--
--**Parametre služby Riešenia incidentov v prevádzke:**
--
--Tabuľka č. 22: Parametre služby Riešenia incidentov v prevádzke
--
--|**Označenie priority incidentu**|**Reakčná doba^^(1)^^ od nahlásenia incidentu po začiatok riešenia incidentu**|**Doba konečného vyriešenia incidentu od nahlásenia incidentu (DKVI) ^^(2)^^**|(((
--**Spoľahlivosť ^^(3) ^^(počet incidentov za mesiac)**
--)))
--|1|1 hod.|4  hodín|1
--|2|1 hod.|12 hodín|2
--|3|1 hod.|24 hodín|10
--|4|1 hod.|(% colspan="2" %)Vyriešené a nasadené v rámci plánovaných releasov (vydaní novej verzie programového vybavenia a konfigurácie)
--
--Vysvetlivky k tabuľke
--
--(1) **Reakčná doba** je čas medzi nahlásením incidentu verejným obstarávateľom (vrátane užívateľov IS, ktorí nie sú v pracovnoprávnom vzťahu s verejným obstarávateľom) na helpdesk úrovne L3 a jeho prevzatím na riešenie.
--
--(2) **DKVI **(Doba konečného vyriešenia incidentu) - znamená čas obnovenia štandardnej prevádzky - čas medzi nahlásením incidentu verejným obstarávateľom a vyriešením incidentu poskytovateľom podpory (do doby, kedy je funkčnosť prostredia znovu obnovená v plnom rozsahu). Doba konečného vyriešenia incidentu od nahlásenia incidentu verejným obstarávateľom sa počíta počas celého dňa. Do tejto doby sa nezarátava čas potrebný na nevyhnutnú súčinnosť verejného obstarávateľa, ak je potrebná pre vyriešenie incidentu. V prípade potreby je poskytovateľ podpory oprávnený požadovať od verejného obstarávateľa schválenie riešenia incidentu.
--
--(3) **Spoľahlivosť** - maximálny počet incidentov za kalendárny mesiac. Každá ďalšia chyba nad stanovený limit spoľahlivosti sa počíta ako začatý deň omeškania bez odstránenia vady alebo incidentu. Duplicitné alebo technicky súvisiace incidenty (zadané v rámci jedného pracovného dňa, počas pracovného času 8 hodín) sú považované ako jeden incident.
--
--(4) Incidenty nahlásené verejným obstarávateľom poskytovateľovi podpory v rámci testovacieho prostredia majú prioritu 3 a nižšiu. Vzťahujú sa výhradne k dostupnosti testovacieho prostredia. Za incident v testovacom prostredí sa nepovažuje incident vztiahnutý k práve testovanej funkcionalite.
--
--Vyššie uvedené SLA parametre nebudú použité pre nasledovné služby:
--
--* Služby systémovej podpory na požiadanie (nad paušál)
--* Služby realizácie aplikačných zmien vyplývajúcich z legislatívnych a metodických zmien (nad paušál)
--
--Pre tieto služby budú dohodnuté osobitné parametre dodávky.
--
--== 6.4 Požadovaná dostupnosť informačného systému ==
--
--|Popis|Parameter|Upresnenie
--|Prevádzkové hodiny|8 hodín|od 8:00 hod. - do 16:00 hod. počas pracovných dní
--|(% rowspan="2" %)Servisné okno|14 hodín|od 17:00 hod. - do 7:00 hod. počas pracovných dní
--|24 hodín|(((
--od 00:00 hod. - 23:59 hod. počas dní pracovného pokoja a štátnych sviatkov
--
--Servis a údržba sa bude realizovať mimo pracovného času.
--)))
--|Dostupnosť produkčného prostredia IS|98,5%|(((
--98,5% z 24/7/365  t.j. max ročný výpadok je 66 hod.
--
--Maximálny mesačný výpadok je 5,5 hodiny.
--
--Vždy sa za takúto dobu považuje čas od 0.00 hod. do 23.59 hod. počas pracovných dní v týždni.
--
--Nedostupnosť IS sa počíta od nahlásenia incidentu Zákazníkom v čase dostupnosti podpory Poskytovateľa (t.j. nahlásenie incidentu na L3 v čase od 6:00 hod. - do 18:00 hod. počas pracovných dní).  Do dostupnosti IS nie sú započítavané servisné okná a plánované odstávky IS.
--
--V prípade nedodržania dostupnosti IS bude každý ďalší začatý pracovný deň nedostupnosti braný ako deň omeškania bez odstránenia vady alebo incidentu.
--)))
--|RTO (Recovery Time Objective)|4 hodiny|RTO vyjadruje množstvo času potrebné pre obnovenie dát a celej prevádzky nedostupného systému
--|RPO (Recovery Point Objective)|6 hodín|RPO vyjadruje, do akého času (bodu) v minulosti možno obnoviť dáta, t.j. rozsah dát, o ktoré môže organizácia prísť
--
--== 6.5 Požiadavky na ľudské zdroje potrebné pre zabezpečenie prevádzky ==
--
--Prevádzka budovaného riešenia bude využívať existujúce ľudské zdroje žiadateľa a nebude vyžadovať ďalšie odborné kapacity.
--
--== 6.6 Požiadavky na zdrojové kódy ==
--
--Súčasťou dodávky budú aj zdrojové kódy k vytvorenému riešeniu, pokiaľ to nevylučujú licenčné podmienky tretích osôb vo vzťahu k štandardným Softvérovým produktom, s komentármi a technickým popisom, a to pre prevádzkové a testovacie verzie počítačových programov, a práva na ich zverejnenie v centrálnom repozitári zdrojových kódov podľa § 15 ods. 2 písm. d) Zákona o informačných technológiách vo verejnej správe a § 31 vyhlášky Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu o štandardoch pre informačné technológie verejnej správy č. 78/2020 Z. z., a iného predpisu, ktorý môže v budúcnosti vyhlášku č. 78/2020 Z. z. nahradiť alebo doplniť.
--
--= 7. OPIS IMPLEMENTÁCIE PROJEKTU A PREBERANIA VÝSTUPOV PROJEKTU =
--
--Projekt bude realizovaný metódou Waterfall.
--
--Waterfall- vodopádový prístup počíta s detailným naplánovaním jednotlivých krokov a následnom dodržiavaní postupu pri vývoji alebo realizácii projekty. Projektovému tímu je daný minimálny priestor na zmeny v priebehu realizácie. Vodopádový prístup je vhodný a užitočný v projektoch, ktorý majú jasný cieľ a jasne definovateľný postup a rozdelenie prác.
--
--Projekt bude riadený v zmysle Vyhlášky 401/2023 MIRRI SR o riadení projektov a zmenových požiadaviek v prevádzke informačných technológií verejnej správy.
--
--= 8. ODKAZY =
--
--N/A
--
--= 9. PRÍLOHY =
--
--**Príloha 1: **Zoznam rizík a závislostí
++| | |

Zmeny dokumentu I-02 Projektový zámer (projektovy_zamer)

Súhrn

Podrobnosti

Aplikácie

Navigácia

Moje posledné úpravy

Need help?