Naposledy upravil Admin-metais MetaIS 2024/11/14 18:36
Show last authors
1 **~ **
2
3 **PRÍSTUP K PROJEKTU**
4
5 **manažérsky výstup I-03**
6
7 **podľa vyhlášky MIRRI č. 401/2023 Z. z.**
8
9
10
11 |(((
12 Povinná osoba
13 )))|(((
14 Obec Bernolákovo
15 )))
16 |(((
17 Názov projektu
18 )))|(((
19 Zvýšenie úrovne kybernetickej bezpečnosti - Bernolákovo
20 )))
21 |(((
22 Zodpovedná osoba za projekt
23 )))|(((
24 JUDr. Ing. Michal Bartók
25 )))
26 |(((
27 Realizátor projektu
28 )))|(((
29 Obec Bernolákovo
30 )))
31 |(((
32 Vlastník projektu
33 )))|(((
34 Bc. Miroslav Turenič, MBA, LL.M.
35 )))
36
37 **~ **
38
39 **Schvaľovanie dokumentu**
40
41 **~ **
42
43 |(((
44 Položka
45 )))|(((
46 Meno a priezvisko
47 )))|(((
48 Organizácia
49 )))|(((
50 Pracovná pozícia
51 )))|(((
52 Dátum
53 )))|(((
54 Podpis
55
56 (alebo elektronický súhlas)
57 )))
58 |(((
59 Schválil
60 )))|(((
61 JUDr. Ing. Michal Bartók
62 )))|(((
63 Obec Bernolákovo
64 )))|(((
65 Zástupca starostu obce Bernolákovo
66 )))|(((
67 30.4.2024
68 )))|(((
69
70 )))
71
72 **~ **
73
74 = {{id name="projekt_2529_Pristup_k_projektu_detailny-1.Históriadokumentu"/}}1.     História dokumentu =
75
76 |(((
77 Verzia
78 )))|(((
79 Dátum
80 )))|(((
81 Zmeny
82 )))|(((
83 Meno
84 )))
85 |(((
86 V_1.6
87 )))|(((
88 30.4.2024
89 )))|(((
90 Schválenie finálnej verzie projektovej dokumentácie
91 )))|(((
92 JUDr. Ing. Michal Bartók
93 )))
94
95
96 = {{id name="projekt_2529_Pristup_k_projektu_detailny-2.Účeldokumentu"/}}2.     Účel dokumentu =
97
98
99 V súlade s Vyhláškou 401/2023 Z.z. je dokument I-02 Projektový zámer určený na rozpracovanie detailných informácií prípravy projektu, aby bolo možné rozhodnúť o pokračovaní prípravy projektu, pláne realizácie, alokovaní rozpočtu a ľudských zdrojov.
100
101
102 Dokument Projektový zámer v zmysle vyššie uvedenej vyhlášky má obsahovať manažérske zhrnutie, rozsah, ciele a motiváciu na realizáciu projektu, zainteresované strany, alternatívy, návrh merateľných ukazovateľov, detailný opis požadovaných projektových výstupov, detailný opis obmedzení, predpokladov, tolerancií a návrh organizačného zabezpečenia projektu, detailný opis rozpočtu projektu a jeho prínosov, náhľad architektúry a harmonogram projektu so zoznamom rizík a závislostí.
103
104
105 == {{id name="projekt_2529_Pristup_k_projektu_detailny-2.1Použitéskratkyapojmy"/}}2.1        Použité skratky a pojmy ==
106
107
108 |(((
109 SKRATKA/POJEM
110 )))|(((
111 POPIS
112 )))
113 |(((
114 BEZP
115 )))|(((
116 Bezpečnosť/Bezpečnostný
117 )))
118 |(((
119 EDR
120 )))|(((
121 Endpoint Detection & Response
122 )))
123 |(((
124 EPP
125 )))|(((
126 Endpoint protection
127 )))
128 |(((
129 FW
130 )))|(((
131 Firewall
132 )))
133 |(((
134 HW
135 )))|(((
136 Hardvér
137 )))
138 |(((
139 IKT
140 )))|(((
141 Informačno-komunikačné technológie
142 )))
143 |(((
144 IS
145 )))|(((
146 Informačný systém
147 )))
148 |(((
149 ISVS
150 )))|(((
151 Informačný systém verejnej správy
152 )))
153 |(((
154 IT
155 )))|(((
156 Informačné technológie
157 )))
158 |(((
159 KB
160 )))|(((
161 Kybernetická bezpečnosť
162 )))
163 |(((
164 MKB
165 )))|(((
166 Manažér kybernetickej bezpečnosti
167 )))
168 |(((
169 NGFW
170 )))|(((
171 Next Generation Firewall
172 )))
173 |(((
174 R OIT
175 )))|(((
176 Riaditeľ odboru IT (vedúci zamestnanec na úseku IT)
177 )))
178 |(((
179 SIEM
180 )))|(((
181 Security Information and Event Management
182 )))
183 |(((
184 SOC
185 )))|(((
186 Security Operations Center
187 )))
188 |(((
189 SPoF
190 )))|(((
191 Single Point of Failure
192 )))
193 |(((
194 SW
195 )))|(((
196 Softvér
197 )))
198 |(((
199 UTM
200 )))|(((
201 Unified Threat Management
202 )))
203
204
205
206 == {{id name="projekt_2529_Pristup_k_projektu_detailny-2.2Konvenciepretypypožiadaviek(príklady)"/}}2.2        Konvencie pre typy požiadaviek (príklady) ==
207
208
209 **Funkcionálne (používateľské) požiadavky **majú nasledovnú konvenciu:
210
211 **FRxx**
212
213 * U – užívateľská požiadavka
214 * R – označenie požiadavky
215 * xx – číslo požiadavky
216
217 **Nefunkčné (kvalitatívne, výkonové - Non Functional Requirements - NFR) požiadavky** majú nasledovnú konvenciu:
218
219 **NRxx**
220
221 * N – nefukčná požiadavka (NFR)
222 * R – označenie požiadavky
223 * xx – číslo požiadavky
224
225 Ostatné typy požiadaviek môžu byť ďalej definované PM.
226
227
228 = {{id name="projekt_2529_Pristup_k_projektu_detailny-3.Popisnavrhovanéhoriešenia"/}}3.     Popis navrhovaného riešenia =
229
230
231 Územná samospráva reprezentovaná obcami a mestami predstavuje jeden zo základných pilierov verejnej správy. Primárny kontakt občana s elektronickými službami verejnej správy začína na úrovni služieb miest a obcí, ktoré poskytujú elementárne služby v podobe originálnych alebo prenesených kompetencií, a to vrátane elektronických služieb s priamym dopadom na život občana, na jeho základné životné potreby.
232
233 Proces elektronizácie služieb a procesov v samospráve na Slovensku so sebou prináša sekundárne požiadavky z procesného a finančného hľadiska na správu IKT. Technologické vybavenie v podobe hardvérového alebo softvérového vybavenia predstavuje okrem prostriedku na zefektívnenie procesov aj aktívum, ktoré je potrebné chrániť. Znefunkčnenie IKT prináša ohrozenie biznis procesov samosprávy, ohrozenie výkonu verejnej moci, reputačné riziko a v neposlednom rade možnú stratu databázových aktív spojenú s únikom informácií. Pre elimináciu uvedených ako aj ďalších rizík sa obec Bernolákovo ako žiadateľ zapája do dopytovej výzvy [[Podpora v oblasti kybernetickej a informačnej bezpečnosti na regionálnej úrovni – verejná správa (PSK-MIRRI-611-2024-DV-EFRR)>>url:https://www.itms2014.sk/vyzva?id=b9317144-baac-44a6-8256-0c48b7b551ae||shape="rect"]].
234
235 Obec Bernolákovo deklaruje v procese realizácie projektu dodať nasledovné aktivity a dodržať tak súlad s vyhláškou NBÚ č. 362/2018 Z. z. ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení v znení vyhlášky č. 264/2023 Z. z.:
236
237 1. vytvorenú stratégiu kybernetickej bezpečnosti,
238 1. vytvorené bezpečnostné politiky kybernetickej bezpečnosti,
239 1. vykonanú inventarizáciu aktív, klasifikáciu informácií a kategorizáciu sietí a informačných systémov,
240 1. realizovanú analýzu rizík a analýzu dopadov spolu, vrátane riadenia rizík.
241
242 Cieľom predloženého projektu je:
243
244 1. Zvýšenie kybernetických spôsobilostí u poskytovateľa základnej služby obce Bernolákovo v oblasti kybernetickej bezpečnosti. V rámci jednotlivých aktivít boli identifikované vhodné podaktivity, ktoré adresujú výsledok a nálezy zo sebahodnotenia úrovne kybernetickej bezpečnosti a sú popísané v nasledujúcich kapitolách.
245 1. Činnosti, ktorých cieľom je zvýšiť schopnosť detekcie škodlivých aktivít a bezpečnostných incidentov, resp. ochrana dát, dátových prenosov a komunikácie.
246 1. Inventarizácia vrátane popisu topológie počítačových sietí, zoznamu HW a SW prostriedkov, opisu súvisiacich konfigurácií, zoznamu súvisiacej dokumentácie a zoznamu a opisu prostredí, v ktorom sú aktíva umiestnené a prevádzkované, klasifikácia informačných aktív a kategorizácia informačných systémov.
247 1. Realizácia analýzy rizík podľa metodiky NBÚ, resp. MIRRI SR, a analýzy funkčného dopadu 19 (BIA) a návrh a implementácia procesov a opatrení, ktoré zabezpečia trvalé riadenie rizík
248
249 Konkrétne mapovanie aktivít, podaktivít a z projektu realizovaných činností pre naplnenie aktivít a podaktivít je popísané v dokumente I-02 Projektový zámer..
250
251 Súčasťou projektu je vykonanie auditu kybernetickej bezpečnosti podľa § 29 zákona č. 69/2018 Z. z. zahŕňa posúdenie stavu prijatia a dodržiavania všeobecných bezpečnostných opatrení vo forme úloh, procesov, rolí a technológií v organizačnej, personálnej a technickej rovine. Cieľom auditu je overiť plnenie povinností podľa zákona a posúdiť zhodu prijatých bezpečnostných opatrení s požiadavkami podľa zákona a súvisiacich osobitných predpisov vzťahujúcich sa na bezpečnosť sietí a informačných systémov, s cieľom zabezpečiť požadovanú úroveň kybernetickej bezpečnosti a predchádzať kybernetickým bezpečnostným incidentom. Auditom sa identifikujú nedostatky pri zabezpečovaní kybernetickej bezpečnosti prevádzkovateľom informačných systémov verejnej správy s cieľom prijať opatrenia na ich odstránenie a nápravu a na predchádzanie kybernetickým bezpečnostným incidentom. Audit bude vykonaný prostredníctvom certifikovaného audítora kybernetickej bezpečnosti.
252
253
254
255 = {{id name="projekt_2529_Pristup_k_projektu_detailny-4.Architektúrariešeniaprojektu"/}}4.     Architektúra riešenia projektu =
256
257
258 Predmetom projektu je zvýšenie spôsobilosti poskytovateľa základnej služby v oblasti kybernetickej bezpečnosti a svojim rozsahom priamo reflektuje reálne potreby obce Bernolákovo na pasívne a aktívne posilnenie IKT. Navrhovaným riešením sú softvérové a hardvérové doplnenia IKT infraštruktúry, postupy na úpravu procesov a zníženie rizika zlyhania ľudského faktora, plošne rozvíjajúce KB kompetencie žiadateľa. Vzhľadom na charakter adresovanej problematiky je možné poskytnúť obmedzený detail rizík súčasného stavu a rovnako obmedzený detail synergických efektov a procesného nastavenia budúceho stavu. Rámcový popis riešenia je uvedený v Projektovom zámere a v kapitole Bezpečnostná architektúra v tomto dokumente.
259
260 == {{id name="projekt_2529_Pristup_k_projektu_detailny-4.1Biznisvrstva"/}}4.1        Biznis vrstva ==
261
262 Vzhľadom na charakter projektu – oblasť kybernetickej bezpečnosti, a jeho rozsah, je táto kapitola nerelevantná. Výstupmi projektu sú sady dokumentácie v oblasti KB, ktoré špecifikujú už platnú legislatívu na prostredie poskytovateľa základnej služby. Jedná sa o smernice na úpravu interných procesov a postupov bez priamej zmeny poskytovaných služieb občanom a podnikateľom.
263
264 Obsah činností v rámci jednotlivých podaktivít je možné sumarizovať do procesných okruhov:
265
266 1. Organizácia a riadenie rizík kybernetickej a informačnej bezpečnosti
267 1. Zaznamenávanie, monitorovanie a riešenie incidentov kybernetickej a informačnej bezpečnosti
268 1. Klasifikácia informácií a kategorizácia aktív
269 1. Riadenie aktív, hrozieb a rizík
270 1. Riadenie prístupov, prevádzky siete a informačných systémov
271 1. Zabezpečovanie kontinuity prevádzky
272
273 // //
274
275 === {{id name="projekt_2529_Pristup_k_projektu_detailny-4.1.1Prehľadkoncovýchslužieb–budúcistav:"/}}4.1.1        Prehľad koncových služieb – budúci stav: ===
276
277 Vzhľadom na charakter projektu – oblasť kybernetickej bezpečnosti, a jeho rozsah, je táto kapitola nerelevantná.
278
279
280 === {{id name="projekt_2529_Pristup_k_projektu_detailny-4.1.2Jazykovápodporaalokalizácia"/}}4.1.2        Jazyková podpora a lokalizácia ===
281
282 Vzhľadom na charakter projektu – oblasť kybernetickej bezpečnosti, a jeho rozsah, je táto kapitola nerelevantná.
283
284
285 == {{id name="projekt_2529_Pristup_k_projektu_detailny-4.2Aplikačnávrstva"/}}4.2        Aplikačná vrstva ==
286
287 Vzhľadom na charakter projektu – oblasť kybernetickej bezpečnosti, a jeho rozsah, je táto kapitola nerelevantná. Projektom navrhované zmeny nezasahujú v zmysle budovania nových objektov alebo rozvoja existujúcich objektov aplikačnej vrstvy architektúry.
288
289 Prehľad informačných systémov nad ktorými budú nasadené nástroje kybernetickej bezpečnosti:
290
291 |(((
292 **Kód ISVS **//(z MetaIS)//
293 )))|(((
294 **Názov ISVS**
295 )))|(((
296 **Modul ISVS**
297
298 //(zaškrtnite ak ISVS je modulom)//
299 )))|(((
300 **Stav IS VS**
301 )))|(((
302 **Typ IS VS**
303 )))|(((
304 **Kód nadradeného ISVS**
305
306 //(v prípade zaškrtnutého checkboxu pre modul ISVS)//
307 )))
308 |(((
309 [[isvs_9857>>url:https://metais.vicepremier.gov.sk/detail/ISVS/8b8981b5-6ef7-4ff1-93b4-efa280480dc5/cimaster?tab=summarizingCart||shape="rect"]]
310 )))|(((
311 [[Registratúra - Memhhis>>url:https://metais.vicepremier.gov.sk/detail/ISVS/8b8981b5-6ef7-4ff1-93b4-efa280480dc5/cimaster?tab=summarizingCart||shape="rect"]]
312 )))|(((
313 ☐
314 )))|(((
315 Prevádzkovaný a neplánujem rozvoj
316 )))|(((
317 Agendový
318 )))|(((
319
320 )))
321 |(((
322 [[isvs_9856>>url:https://metais.vicepremier.gov.sk/detail/ISVS/2db93816-a8f9-4daf-8e37-85e2dec6ef58/cimaster?tab=summarizingCart||shape="rect"]]
323 )))|(((
324 [[GIS - Geografický informačný systém>>url:https://metais.vicepremier.gov.sk/detail/ISVS/2db93816-a8f9-4daf-8e37-85e2dec6ef58/cimaster?tab=summarizingCart||shape="rect"]]
325 )))|(((
326 ☐
327 )))|(((
328 Prevádzkovaný a neplánujem rozvoj
329 )))|(((
330 Agendový
331 )))|(((
332
333 )))
334 |(((
335 [[isvs_9853>>url:https://metais.vicepremier.gov.sk/detail/ISVS/ed8ec628-165b-425b-ae5a-ee890ca1ba95/cimaster?tab=summarizingCart||shape="rect"]]
336 )))|(((
337 [[Korwin>>url:https://metais.vicepremier.gov.sk/detail/ISVS/ed8ec628-165b-425b-ae5a-ee890ca1ba95/cimaster?tab=summarizingCart||shape="rect"]]
338 )))|(((
339 ☐
340 )))|(((
341 Prevádzkovaný a neplánujem rozvoj
342 )))|(((
343 Agendový
344 )))|(((
345
346 )))
347 |(((
348 [[isvs_9854>>url:https://metais.vicepremier.gov.sk/detail/ISVS/6e03661d-53df-4cc9-80ab-ff4b454ee17b/cimaster?tab=summarizingCart||shape="rect"]]
349 )))|(((
350 [[Účtovníctvo>>url:https://metais.vicepremier.gov.sk/detail/ISVS/6e03661d-53df-4cc9-80ab-ff4b454ee17b/cimaster?tab=summarizingCart||shape="rect"]]
351 )))|(((
352 ☐
353 )))|(((
354 Prevádzkovaný a neplánujem rozvoj
355 )))|(((
356 Agendový
357 )))|(((
358
359 )))
360 |(((
361 [[isvs_9852>>url:https://metais.vicepremier.gov.sk/detail/ISVS/b7eba255-d9f6-4f8c-92f8-d6f8b7e91331/cimaster?tab=summarizingCart||shape="rect"]]
362 )))|(((
363 [[ESMAO>>url:https://metais.vicepremier.gov.sk/detail/ISVS/b7eba255-d9f6-4f8c-92f8-d6f8b7e91331/cimaster?tab=summarizingCart||shape="rect"]]
364 )))|(((
365 ☐
366 )))|(((
367 Prevádzkovaný a neplánujem rozvoj
368 )))|(((
369 Agendový
370 )))|(((
371
372 )))
373 |(((
374 [[isvs_9850>>url:https://metais.vicepremier.gov.sk/detail/ISVS/99bcea42-26f4-444c-b2e2-665cabdce627/cimaster?tab=summarizingCart||shape="rect"]]
375 )))|(((
376 [[Registratúra - Memhhis>>url:https://metais.vicepremier.gov.sk/detail/ISVS/99bcea42-26f4-444c-b2e2-665cabdce627/cimaster?tab=summarizingCart||shape="rect"]]
377 )))|(((
378 ☐
379 )))|(((
380 Prevádzkovaný a neplánujem rozvoj
381 )))|(((
382 Agendový
383 )))|(((
384
385 )))
386 |(((
387 [[isvs_9847>>url:https://metais.vicepremier.gov.sk/detail/ISVS/211d4f7c-9656-490d-a4c6-f7c204031ba3/cimaster?tab=summarizingCart||shape="rect"]]
388 )))|(((
389 [[Účtovníctvo>>url:https://metais.vicepremier.gov.sk/detail/ISVS/211d4f7c-9656-490d-a4c6-f7c204031ba3/cimaster?tab=summarizingCart||shape="rect"]]
390 )))|(((
391 ☐
392 )))|(((
393 Prevádzkovaný a neplánujem rozvoj
394 )))|(((
395 Agendový
396 )))|(((
397
398 )))
399 |(((
400 [[isvs_9841>>url:https://metais.vicepremier.gov.sk/detail/ISVS/6d1720a5-4c22-4293-8958-ef023a177fcd/cimaster?tab=summarizingCart||shape="rect"]]
401 )))|(((
402 [[Webový portál obce Benolákovo>>url:https://metais.vicepremier.gov.sk/detail/ISVS/6d1720a5-4c22-4293-8958-ef023a177fcd/cimaster?tab=summarizingCart||shape="rect"]]
403 )))|(((
404 ☐
405 )))|(((
406 Prevádzkovaný a neplánujem rozvoj
407 )))|(((
408 Agendový
409 )))|(((
410
411 )))
412 |(((
413 [[isvs_9831>>url:https://metais.vicepremier.gov.sk/detail/ISVS/c2875774-c6ac-4497-ae7b-8307f0b9f1b1/cimaster?tab=summarizingCart||shape="rect"]]
414 )))|(((
415 [[Integrovaný informačnýsystém obce Bernolákovo>>url:https://metais.vicepremier.gov.sk/detail/ISVS/c2875774-c6ac-4497-ae7b-8307f0b9f1b1/cimaster?tab=summarizingCart||shape="rect"]]
416 )))|(((
417 ☐
418 )))|(((
419 Prevádzkovaný a plánujem rozvoj
420 )))|(((
421 Agendový
422 )))|(((
423
424 )))
425
426
427 === {{id name="projekt_2529_Pristup_k_projektu_detailny-4.2.1VyužívanienadrezortnýchaspoločnýchISVS–ASIS"/}}4.2.1        Využívanie nadrezortných a spoločných ISVS – AS IS ===
428
429 Vzhľadom na charakter projektu – oblasť kybernetickej bezpečnosti, a jeho rozsah, je táto kapitola nerelevantná.
430
431
432 === {{id name="projekt_2529_Pristup_k_projektu_detailny-4.2.2PrehľadplánovanýchintegráciíISVSnanadrezortnéISVS–spoločnémodulypodľazákonač.305/2013e-Governmente–TOBE"/}}4.2.2        Prehľad plánovaných integrácií ISVS na nadrezortné ISVS – spoločné moduly podľa zákona č. 305/2013  e-Governmente – TO BE ===
433
434 Vzhľadom na charakter projektu – oblasť kybernetickej bezpečnosti, a jeho rozsah, je táto kapitola nerelevantná.
435
436
437 === {{id name="projekt_2529_Pristup_k_projektu_detailny-4.2.3PrehľadplánovanéhovyužívaniainýchISVS(integrácie)–TOBE"/}}4.2.3        Prehľad plánovaného využívania iných ISVS (integrácie) – TO BE ===
438
439 Vzhľadom na charakter projektu – oblasť kybernetickej bezpečnosti, a jeho rozsah, je táto kapitola nerelevantná.
440
441
442 === {{id name="projekt_2529_Pristup_k_projektu_detailny-4.2.4Aplikačnéslužbyprerealizáciukoncovýchslužieb–TOBE"/}}4.2.4        Aplikačné služby pre realizáciu koncových služieb – TO BE ===
443
444 Vzhľadom na charakter projektu – oblasť kybernetickej bezpečnosti, a jeho rozsah, je táto kapitola nerelevantná.
445
446
447 === {{id name="projekt_2529_Pristup_k_projektu_detailny-4.2.5Aplikačnéslužbynaintegráciu–TOBE"/}}4.2.5        Aplikačné služby na integráciu – TO BE ===
448
449 Vzhľadom na charakter projektu – oblasť kybernetickej bezpečnosti, a jeho rozsah, je táto kapitola nerelevantná.
450
451
452 === {{id name="projekt_2529_Pristup_k_projektu_detailny-4.2.6PoskytovanieúdajovzISVSdoISCSRÚ–TOBE"/}}4.2.6        Poskytovanie údajov z ISVS do IS CSRÚ – TO BE ===
453
454 Vzhľadom na charakter projektu – oblasť kybernetickej bezpečnosti, a jeho rozsah, je táto kapitola nerelevantná.
455
456
457 === {{id name="projekt_2529_Pristup_k_projektu_detailny-4.2.7KonzumovanieúdajovzISCSRU–TOBE"/}}4.2.7        Konzumovanie údajov z IS CSRU – TO BE ===
458
459 Vzhľadom na charakter projektu – oblasť kybernetickej bezpečnosti, a jeho rozsah, je táto kapitola nerelevantná.
460
461
462 == {{id name="projekt_2529_Pristup_k_projektu_detailny-4.3Dátovávrstva"/}}4.3        Dátová vrstva ==
463
464 Vzhľadom na charakter projektu – oblasť kybernetickej bezpečnosti, a jeho rozsah, je táto kapitola nerelevantná.
465
466
467 === {{id name="projekt_2529_Pristup_k_projektu_detailny-4.3.1Údajevspráveorganizácie"/}}4.3.1        Údaje v správe organizácie ===
468
469 Vzhľadom na charakter projektu – oblasť kybernetickej bezpečnosti, a jeho rozsah, je táto kapitola nerelevantná.
470
471
472 === {{id name="projekt_2529_Pristup_k_projektu_detailny-4.3.2Dátovýrozsahprojektu-Prehľadobjektovevidencie-TOBE"/}}4.3.2        Dátový rozsah projektu - Prehľad objektov evidencie - TO BE ===
473
474 Vzhľadom na charakter projektu – oblasť kybernetickej bezpečnosti, a jeho rozsah, je táto kapitola nerelevantná.
475
476
477 === {{id name="projekt_2529_Pristup_k_projektu_detailny-4.3.3Referenčnéúdaje"/}}4.3.3        Referenčné údaje ===
478
479
480 Vzhľadom na charakter projektu – oblasť kybernetickej bezpečnosti, a jeho rozsah, je táto kapitola nerelevantná.
481
482
483 === {{id name="projekt_2529_Pristup_k_projektu_detailny-4.3.4Kvalitaačistenieúdajov"/}}4.3.4        Kvalita a čistenie údajov ===
484
485 Vzhľadom na charakter projektu – oblasť kybernetickej bezpečnosti, a jeho rozsah, je táto kapitola nerelevantná.
486
487
488 === {{id name="projekt_2529_Pristup_k_projektu_detailny-4.3.5Otvorenéúdaje"/}}4.3.5        Otvorené údaje ===
489
490 Vzhľadom na charakter projektu – oblasť kybernetickej bezpečnosti, a jeho rozsah, je táto kapitola nerelevantná.
491
492
493 === {{id name="projekt_2529_Pristup_k_projektu_detailny-4.3.6Analytickéúdaje"/}}4.3.6        Analytické údaje ===
494
495 Vzhľadom na charakter projektu – oblasť kybernetickej bezpečnosti, a jeho rozsah, je táto kapitola nerelevantná.
496
497
498 === {{id name="projekt_2529_Pristup_k_projektu_detailny-4.3.7Mojeúdaje"/}}4.3.7        Moje údaje ===
499
500 Vzhľadom na charakter projektu – oblasť kybernetickej bezpečnosti, a jeho rozsah, je táto kapitola nerelevantná.
501
502
503 === {{id name="projekt_2529_Pristup_k_projektu_detailny-4.3.8Prehľadjednotlivýchkategóriíúdajov"/}}4.3.8        Prehľad jednotlivých kategórií údajov ===
504
505 Vzhľadom na charakter projektu – oblasť kybernetickej bezpečnosti, a jeho rozsah, je táto kapitola nerelevantná.
506
507
508 == {{id name="projekt_2529_Pristup_k_projektu_detailny-4.4Technologickávrstva"/}}4.4        Technologická vrstva ==
509
510 === {{id name="projekt_2529_Pristup_k_projektu_detailny-4.4.1Prehľadtechnologickéhostavu-ASIS"/}}4.4.1        Prehľad technologického stavu - AS IS ===
511
512 Súčasťou projektu je tiež doplnenie jednotlivých HW položiek pre potreby rozšírenie Bezpečnostnej vrstvy. Nedochádza k zmene architektúry technologickej vrstvy. Z dôvodu, že s jedná o projekt kybernetickej bezpečnosti detailný popis jednotlivých HW položiek na vyžiadanie.
513
514
515 === {{id name="projekt_2529_Pristup_k_projektu_detailny-4.4.2Požiadavkynavýkonnostnéparametre,kapacitnépožiadavky–TOBE"/}}4.4.2        Požiadavky na výkonnostné parametre, kapacitné požiadavky – TO BE ===
516
517 Požiadavky na početnosť obstarávaných zariadení, príslušenstva a popis požadovaných vlastností jednotlivých položiek na vyžiadanie.
518
519
520 === {{id name="projekt_2529_Pristup_k_projektu_detailny-4.4.3Návrhriešeniatechnologickejarchitektúry"/}}4.4.3        Návrh riešenia technologickej architektúry ===
521
522 Doplnením jednotlivých položiek nedochádza k zmene architektúry technologickej vrstvy. Z projektu budú obmenené limitované prvky sieťovej infraštruktúry. Požiadavky na obstarávané riešenie, príslušenstvo a popis požadovaných vlastností jednotlivých komponentov na vyžiadanie.
523
524
525 === {{id name="projekt_2529_Pristup_k_projektu_detailny-4.4.4Využívanieslužiebzkatalóguslužiebvládnehocloudu"/}}4.4.4        Využívanie služieb z katalógu služieb vládneho cloudu ===
526
527 Vládny cloud neposkytuje služby, ktoré sú predmetom projektu a tieto služby nie sú poskytované v rámci katalógu služieb vládneho cloudu.
528
529
530 == {{id name="projekt_2529_Pristup_k_projektu_detailny-4.5Bezpečnostnáarchitektúra"/}}4.5        Bezpečnostná architektúra ==
531
532
533 Vzhľadom na verejný charakter projektovej dokumentácie nie je možné poskytnúť detailnú špecifikáciu súčasného technologického stavu a mieru zraniteľnosti z pohľadu kybernetickej a informačnej bezpečnosti. Navrhované opatrenia v budúcom stave majú za cieľ zabezpečiť súlad aplikačnej a technologickej infraštruktúry s požiadavkami zákona o kybernetickej bezpečnosti, súvisiacich legislatívnych noriem a výsledkov samohodnotenia v zmysle zákona o kybernetickej bezpečnosti.
534
535 Za účelom zvýšenia úrovne zavedených postupov a opatrení týkajúcich sa kybernetickej a informačnej bezpečnosti je potrebné konsolidovať existujúcu bezpečnostnú architektúru a dobudovať security operation center implementáciou nových a inováciou existujúcich bezpečnostných nástrojov a procesov, a to najmä v nasledovných oblastiach a v súlade s nálezmi sebahodnotenia:
536
537 1. kybernetická ochrana a bezpečnostný monitoring a identifikácia bezpečnostných incidentov,
538 1. riadenie bezpečnostných incidentov,
539 1. ochrana proti externým hrozbám,
540 1. ochrana dát, dátových prenosov a komunikácie,
541 1. zvyšovanie bezpečnostného povedomia,
542 1. implementácia bezpečnostných opatrení na zabezpečenie súladu so zákonom.
543
544
545 Základný rámec budúceho stavu bezpečnostnej architektúry:
546
547 1. Kybernetická ochrana a detekcia škodlivých aktivít a bezpečnostných incidentov: Bezpečnostný monitoring informačných systémov, platforiem, aplikácií a používateľských aktivít. Monitoring sietí, činností a aktivít privilegovaných používateľov.
548 1. Riadenie bezpečnostných incidentov: Identifikácia, hlásenie, registrácia, kategorizácia a klasifikácia bezpečnostných incidentov. Akceptácia incidentov a určenie riešiteľov. Analýza, vyšetrovanie, riešenie a obnova prevádzky po bezpečnostných incidentoch. Následné vyhodnotenie, zavedenie do databázy kybernetickej bezpečnosti, spätná väzba a poučenie sa z incidentov.
549 1. Zvýšenie ochrany pred útokmi z externého prostredia: Ochrana pred malware a ransomware, manažment bezpečnosti sietí, manažment bezpečnostných konfigurácií, nástroje a protokoly segmentácie siete.
550 1. Ochrana dát, dátových prenosov a komunikácie: Bezpečnosť virtualizovaných prostredí, ochrana dát v databázach a dátových úložiskách, ochrana dát na koncových zariadeniach. Manažment logov a prístupov.
551
552 Z pohľadu previazania podaktivít výzvy na nálezy samohodnotenia poskytovateľa základnej služby z hľadiska zákona o kybernetickej bezpečnosti (viď dokument I-02 Projektový zámer, kapitola 3.2 Motivácia a rozsah projektu) je možné nálezy a súvisiace plánované výstupy projektu podľa urgencie a závažnosti zoradiť nasledovne:
553
554 1. Vyžaduje sa revízia a aktualizácia existujúcej dokumentácie o kybernetickej bezpečnosti, vrátane interných dokumentov a smerníc, aby zohľadňovali všetky relevantné aspekty. Okrem toho je potrebné doplniť identifikované zistenia počas auditu a zahrnúť ich do dokumentácie. Náhľad biznis, aplikačnej a technologickej vrstvy architektúry v granularite verejne dostupného dokumentu. Nové prvky sú vyznačené zelenou farbou.
555 1. Je nevyhnutná implementácia aplikačných a technologických nástrojov na bezpečnostný monitoring nad aktívami a absentuje orchestrácia procesu reakcie na kybernetický incident.
556 1. Neexistuje proces a súvisiace aplikačné vybavenie pre incident manažment a kontinuity manažment na obnovu po havárii
557 1. Nie sú definované procesy a politiky logických a fyzických prístupových oprávnení zamestnancov k aktívam.
558 1. Sieťová infraštruktúra je segmentovaná iba čiastočne a je bez aktívnej a priebežnej správy pravidiel na zariadeniach oddeľujúcich jednotlivé segmenty.
559
560
561 Vychádzajúc z výsledkov samohodnotenia úrovne kybernetickej bezpečnosti u poskytovateľa základnej služby, obce Bernolákovo, má byť rešpektujúc jednotlivé podaktivity výzvy v budúcom stave implemetnované:
562
563 1. Centralizovaná platforma NGFW alebo UTM firewall vrátane inštalácie zariadení a príslušného softvérového riešenia a školení. Platforma postavená na HW akcelerovanej architektúre (t.j. zariadenia vybavené špecializovanými obvodmi FPGA/ASIC pre spracovanie komunikácie a vybraných výpočtovo náročných funkcií. Podpora služby výrobcu umožňujúca detekovať malware, ktorý bol objavený v dobe od poslednej aktualizácie AV signatúrovej databázy pomocou globálnej a rýchle sa aktualizujúcej databázy hash-ov. Podpora funkcie odstránenia aktívneho obsahu z dokumentov kancelárskych aplikácií – AV engine na firewalle v reálnom čase odstráni aktívny obsah z dokumentu pričom tento zostáva v pôvodnom formáte, ale sú z neho odstránené všetky aktívne prvky a ďalšie funkcie. Zaškolenie oprávnených osôb obstarávateľa preberajúcich implementovanú technológiu pod svoju správu, administrátorov. Nejedná sa o školenie pre zamestnancov za účelom zvýšenia ich povedomia v oblasti kybernetickej bezpečnosti. Cieľom zaškolenia je odovzdanie takých poznatkov, ktoré sú nevyhnutné na každodennú prácu s dodaným firewallom.
564
565
566 1. Softvérové vybavenie typu Endpoint Protection a Endpoint Detection & Response vrátane inštalácie a príslušných školení. Softvérové vybavenie slúžiace na prevenciu kybernetických útokov, detekciu a reakciu na už existujúce hrozby pre pracovné stanice poskytovateľa základnej služby. Prioritou implemntácie modulu EDR je detekcia, monitorovanie a rýchla reakcia na kybernetické hrozby. Implemntáciou modulu EDR sa zabezpečí schopnosť identifikovať a zabrániť rôznym typom hrozieb, vrátane malvéru, ransomvéru a iných škodlivých aktivít, pričom toto riešenie podporuje tkz. „samoučiaci režim“, ochranu pred neznámymi hrozbami a anti-ransomware ochranu. Riešenie umožní monitorovať všetky koncové zariadenia v reálnom čase, ponúknuť centralizovanú správu, vytvárať správy pre bezpečnostných administrátorov a definovať politiky pre jednotlivé skupiny administrátorov. EDR riešenie umožní rýchlu reakciu na incidenty, vrátane izolácie postihnutých zariadení, odstránenia hrozieb a obnovy systémov, a podporí threat hunting s funkciou vizualizácie a minimálnou 30-dňovou retenciou dát. Možnosť integrácie s Microsoft Active Directory s cieľom importovať strom Active Directory. Dodávaná ako cloudová platforma. Poskytuje vyhradený komponent na centralizáciu komunikácie medzi koncovými bodmi a cloudom. Poskytuje komponent, ktorý funguje ako vyrovnávacia pamäť pre aktualizácie a opravy podpisov. Poskytuje komponent, ktorý môže odosielať všetky bezpečnostné výstrahy do interného syslogu alebo SIEM.
567
568
569 1. Softvérové vybavenie pre hash certifikáciu aplikácii a kontrolu aplikačného vybavenia, aplikovanie bezpečnostných politík blokovania sieťovej komunikácie, white & black listing hardvérových zariadení, monitoring a inštalácia záplatových balíčkov a aktualizácií, monitoring ransomvérových útokov.
570
571
572 1. Dokumentácia pre plány, spôsoby, riešenia a implementáciu pravidiel zvýšenia úrovne kybernetickej bezpečnosti (kapitola Výstupy.
573
574
575
576 1. Penetračné testovanie delené na test externého perimetra (Reconnisaince, Service discovery, Overenie bezpečnosti VPN, Externý sken IPs vystavených do internetu; Manuálna analýza Service version discovery, Vulnerability discovery; Manuálne overenie zraniteľností – Exploitácia), interný infraštruktúrny test (Reconnisaince, Service discovery, Overenie bezpečnosti VPN, Externý sken IPs vystavených do internetu; Manuálna analýza Service version discovery, Vulnerability discovery, Manuálne overenie zraniteľností, Exploitácia), Reporting - Executive summary; Krátky zoznam zraniteľností s ich hodnotením podľa impact-severity; Popis jednotlivých identifikovaných zraniteľností, Umiestnenie zraniteľností, Odporúčania na odstránenie, Popis vykonaného testovania spolu s dátumami). Testované budú aj webové služby informačných systémov s dodaním reportu (Mechanizmy autentifikácie, Kontroly autorizácie, Validácia údajov a filtrovanie vstupov, Session management, Spracovanie chýb, Riadenie konfigurácie, Šifrovanie a ochrana údajov, Bezpečnosť API (ak je to relevantné), Dodržiavanie zvolených bezpečnostných metód OWASP API TOP 10 2019)
577
578
579 1. Vykonanie auditu kybernetickej bezpečnosti podľa § 29 zákona č. 69/2018 Z. z. zahŕňa posúdenie stavu prijatia a dodržiavania všeobecných bezpečnostných opatrení vo forme úloh, procesov, rolí a technológií v organizačnej, personálnej a technickej rovine. Vykonanie auditu kybernetickej bezpečnosti Objednávateľa podľa zákona č.69/2018 v súlade s vyhláškou Národného bezpečnostného úradu č. 493/2022 Z. z. o audite kybernetickej bezpečnosti a znalostnom štandarde audítora (ďalej len „vyhláška o audite“) s cieľom overiť plnenie povinností podľa zákona a posúdiť zhodu prijatých bezpečnostných opatrení s požiadavkami podľa zákona a súvisiacich osobitných predpisov vzťahujúcich sa na bezpečnosť sietí a informačných systémov, s cieľom zabezpečiť požadovanú úroveň kybernetickej bezpečnosti a predchádzať kybernetickým bezpečnostným incidentom. Auditom sa identifikujú nedostatky pri zabezpečovaní kybernetickej bezpečnosti prevádzkovateľom informačných systémov verejnej správy s cieľom prijať opatrenia na ich odstránenie a nápravu a na predchádzanie kybernetickým bezpečnostným incidentom.
580
581
582 1. Softvérové riešenie pre bezpečnostné incidenty poskytuje komplexný softvérový nástroj a jeho integráciu do existujúcej infraštruktúry, ktorý zabezpečuje bezpečnostný monitoring, reportovanie, forenznú analýzu bezpečnostných incidentov a pomáha pri zlepšovaní bezpečnostného postavenia organizácie pri predchádzaní, zisťovaní, analýze a reagovaní na incidenty kybernetickej bezpečnosti. Riešenie nepretržite monitoruje sieť a infraštruktúru organizácie, dokáže odhaliť škodlivé aktivity a zabrániť im skôr, ako môžu spôsobiť akúkoľvek škodu. Ak sa odhalí bezpečnostný incident alebo podozrivá aktivita, zhromaždí sa čo najviac informácií zo systémových logov, systémov EDR, firewallov a iných bezpečnostných prvkov na hlbšie vyšetrovanie. Získané informácie pomáhajú v procese forenznej analýzy, aby sa určila povaha hrozby a rozsah, v akom prenikla do infraštruktúry organizácie. Identifikácia a triedenie rôznych typov bezpečnostných incidentov prebieha tak, že riešenie na základe analýzy siete a bežného správania používateľov odhalí incident alebo podozrivé správanie skôr, ako by vznikla škoda alebo úspešný útok. Riešenie kombinuje informácie o sieti organizácie s najnovšími informáciami o globálnych hrozbách, ktoré zahŕňajú špecifiká nástrojov, techník a trendov útočníkov, aby bolo možné efektívne triediť a identifikovať incidenty. Pri bezpečnostnom incidente riešenie koordinuje reakciu na nápravu problému. Hneď ako je incident potvrdený, riešenie koná ako prvý zasahujúci a vykonáva akcie, ako je izolácia koncových bodov organizácie, ukončenie škodlivých procesov, zabránenie ich spusteniu, vymazanie súborov a ďalšie. Taktiež o incidente informuje príslušných zamestnancov.
583
584 * Požadovaný rozsah zberu dát 24/7 na vybraných zariadeniach:
585 * 2 ks fyzický server Windows
586 * 100 ks desktopy/notebooky Windows
587 * 2 ks dodávaný firewall v zmysle položky č. 1
588 * Bezpečnostný monitoring v počiatočnom objeme približne 1100 EPS / 10 GB denne
589 * 100 ks userov
590 * Požadované hlásenie bezpečnostných incidentov v pracovnom čase 5/8
591 * Uchovávanie dát v požadovanom bezpečnostnom rozsahu do veľkosti 2 TB
592
593
594 Náhľad aplikačnej to be vrstvy architektúry
595
596 [[image:attach:image-2024-4-30_23-46-48-1.png||height="400"]]
597
598 Náhľad technologickej to be vrstvy architektúry
599
600 [[image:attach:image-2024-4-30_23-47-4-1.png||height="400"]]
601
602 Z hľadiska výstupov projektu sa vzhľadom na charakter projektu dopĺňa repozitár dokumentácie o nasledovné:
603
604 Oblasť organizácia kybernetickej bezpečnosti:
605
606 * Bezpečnostná stratégia kybernetickej bezpečnosti (Klasifikačný stupeň Chránené, okruh oprávnených osôb – MKB, R OIT, BEZP Výbor, Poverení riadiaci zamestnanci),
607 * Smernica - Bezpečnostná politika kybernetickej bezpečnosti a informačnej bezpečnosti redukovaná, TYP B (tzv. veľká politika, analytický vstup pre danú kategóriu), (Klasifikačný stupeň Interné),
608 * Štatút bezpečnostného výboru, rokovací poriadok.
609
610
611 Oblasť aktíva:
612
613 * Smernica pre klasifikáciu informačných aktív, informácií a kategorizáciu sietí a informačných systémov, 5 príloh (Klasifikačný stupeň Interné),
614 * Metodika pre klasifikáciu informačných aktív, informácií a kategorizáciu sietí a informačných systémov (Klasifikačný stupeň Interné).
615
616
617 Oblasť incidenty:
618
619 * Smernica - Riešenie bezpečnostných incidentov, 2 prílohy (Klasifikačný stupeň Interné),
620 * Metodika - Riešenie bezpečnostných incidentov (Klasifikačný stupeň Chránené, okruh oprávnených osôb – MKB, R OIT, BEZP Výbor, Poverení zamestnanci pre riešenie bezpečnostných incidentov (vybraní administrátori, bezpečnostní špecialisti, audit, poverené ext. subjekty pre riešenie KBI).
621
622
623 Oblasť Riadenie bezpečnosti prevádzky IS a IT, riadenie bezpečnosti sietí
624
625 * Smernica - Pravidlá pre používanie informačných systémov a služieb (Klasifikačný stupeň Interné).
626 * Smernica riadenie prístupových práv (Klasifikačný stupeň Interné), Prílohy vzory a formuláre pre schválenie prístupových práv a nástupné a výstupné formuláre zamestnanca a administrátora a pod.,
627 * Vzor RACI matica (Klasifikačný stupeň Chránené, okruh oprávnených osôb – MKB, R OIT, BEZP Výbor, Poverení riadiaci zamestnanci, Poverení vybraní zamestnanci RĽZ/HR),
628 * Smernica správa a prevádzka informačných systémov a služieb, 2 prílohy redukovaná, TYP B (pohľad administrátora, Klasifikačný stupeň Interné),
629 * Smernica pre riadenie zmien (Klasifikačný stupeň Interné).
630
631
632 Oblasť tretie strany:
633
634 * Smernica riadenie tretích strán (smernica pre zamestnancov, Klasifikačný stupeň Interné),
635 * Smernica požiadavky pre tretie strany (smernica pre dodávateľov a zamestnancov zazmluvnených tretích strán, táto Smernica sa po úprave – spresnení požiadaviek na bezpečnosť oboma zmluvnými stranami - špecifikuje ako príloha ku Zmluve o zabezpečení plnenia bezpečnostných opatrení, Klasifikačný stupeň Interné),
636 * Vzor zmluvy pre tretie strany podľa ZoKB Zmluva o zabezpečení plnenia bezpečnostných opatrení (táto zmluva buď nie je predmetom zverejnenia na CRZ, alebo jej príloha/prílohy týkajúce sa špecifických bezpečnostných opatrení (napr. vychádzajúcich z metodiky pre riadenie cloudových služieb, metodiky pre SSDLC, resp. smernice Požiadavky pre tretie strany (viď. vyššie)) sa nezverejňuje.
637
638
639 Oblasť riadenie rizík:
640
641 * Smernica Riadenie bezpečnostných rizík (Klasifikačný stupeň Chránené, okruh oprávnených osôb – MKB, R OIT, BEZP Výbor, Poverení riadiaci zamestnanci),
642 * Metodika Riadenie bezpečnostných rizík (Klasifikačný stupeň Chránené, okruh oprávnených osôb – MKB, R OIT, BEZP Výbor, Poverení riadiaci zamestnanci),
643 * Metodika Riadenie bezpečnostných rizík tretích strán (Klasifikačný stupeň Chránené, okruh oprávnených osôb), riadenie bezpečnostných rizík tretích strán, dotazník pre tretie strany (Klasifikačný stupeň Chránené, okruh oprávnených osôb).
644
645
646 Oblasť špecifické (riadenie súladu a audit):
647
648 * Smernica - Riadenie súladu a audit (Klasifikačný stupeň Chránené, okruh oprávnených osôb – MKB, R OIT, BEZP Výbor, Poverení riadiaci zamestnanci),
649 * Audit checklist redukovaný, TYP B (Kontrolné checklisty pre jednotlivé prípady, s ktorými sa pracuje pri vyhodnocovaní plnenia bezpečnostných opatrení – či už v rámci prostredia verejného obstarávateľa, alebo vyhodnocovania plnenia požiadaviek tretími stranami a pod., Klasifikačný stupeň Chránené, okruh oprávnených osôb – MKB, R OIT, zamestnanci OIT, BEZP Výbor, Poverení riadiaci zamestnanci).
650
651
652 = {{id name="projekt_2529_Pristup_k_projektu_detailny-5.ZávislostinaostatnéISVS/projekty"/}}5.     Závislosti na ostatné ISVS / projekty =
653
654 Projekt nemá známe závislosti na iných ISVS alebo projektoch rozvoja IT, ktoré by mali priamy či nepriamy vplyv na dodanie cieľov a naplnenie merateľných ukazovateľov.
655
656 **~ **
657
658 = {{id name="projekt_2529_Pristup_k_projektu_detailny-6.Zdrojovékódy"/}}6.     Zdrojové kódy =
659
660 V prípade nelicencovaného vývoja softvéru budú dodržané nasledovné princípy:
661
662 * Zhotoviteľ je povinný pri akceptácii Informačného systému odovzdať Objednávateľovi funkčné vývojové a produkčné prostredie, ktoré je súčasťou Informačného systému.
663 * Zhotoviteľ je povinný pri akceptácii Informačného systému alebo jeho časti odovzdať Objednávateľovi Vytvorený zdrojový kód v jeho úplnej aktuálnej podobe, zapečatený, na neprepisovateľnom technickom nosiči dát s označením časti a verzie Informačného systému, ktorej sa týka. Za odovzdanie Vytvoreného zdrojového kódu Objednávateľovi sa na účely tejto Zmluvy o dielo rozumie odovzdanie technického nosiča dát Oprávnenej osobe Objednávateľa. O odovzdaní a prevzatí technického nosiča dát bude oboma Zmluvnými stranami spísaný a podpísaný preberací protokol.
664 * Informačný systém (Dielo) v súlade s Technickou špecifikáciou obsahuje od zvyšku Diela oddeliteľný modul (časť) vytvorený Zhotoviteľom pri plnení tejto Zmluvy o dielo, ktorý je bez úpravy použiteľný aj tretími osobami, aj na iné alebo podobné účely, ako je účel vyplývajúci z tejto Zmluvy o dielo Vytvorený zdrojový kód Informačného systému vrátane jeho dokumentácie bude prístupný v režime podľa § 31 ods. 4 písm. b) Vyhlášky č. 78/2020 (s obmedzenou dostupnosťou pre orgán vedenia a orgány riadenia v zmysle Zákona o ITVS – vytvorený zdrojový kód je dostupný len pre orgán vedenia a orgány riadenia). Pre zamedzenie pochybností uvádzame, že sa jedná len o zdrojový kód ktorý Dodávateľ vytvoril, alebo pozmenil v súvislosti s realizáciou diela. Objednávateľ je oprávnený sprístupniť Vytvorený zdrojový kód okrem orgánov podľa predchádzajúcej vety aj tretím osobám, ale len na špecifický účel, na základe riadne uzatvorenej písomnej zmluvy o mlčanlivosti a ochrane dôverných informácií.
665 * Ak je medzi zmluvnými stranami uzatvorená SLA zmluva, od prevzatia Informačného systému sa prístup k vytvorenému zdrojovému kódu vo vývojovom a produkčnom prostredí, vrátane nakladania s týmto zdrojovým kódom, začne riadiť podmienkami dohodnutými v SLA zmluve. Vytvorený zdrojový kód musí byť v podobe, ktorá zaručuje možnosť overenia, že je kompletný a v správnej verzii, t. j. v takej, ktorá umožňuje kompiláciu, inštaláciu, spustenie a overenie funkcionality, a to vrátane kompletnej dokumentácie zdrojového kódu (napr. interfejsov a pod.) takejto Informačného systému alebo jeho časti. Zároveň odovzdaný Vytvorený zdrojový kód musí byť pokrytý testami (aspoň na 90%) a dosahovať rating kvality (statická analýza kódu) podľa CodeClimate/CodeQLa pod. (minimálne stupňa B).
666 * Pre zamedzenie pochybností, povinnosti Zhotoviteľa týkajúce sa Vytvoreného zdrojového kódu platí i na akékoľvek opravy, zmeny, doplnenia, upgrade alebo update Vytvoreného zdrojového kódu a/alebo vyššie uvedenej dokumentácie, ku ktorým dôjde pri plnení tejto Zmluvy o dielo alebo v rámci záručných opráv. Vytvorené zdrojové kódy budú vytvorené vyexportovaním z produkčného prostredia a budú odovzdané Objednávateľovi na elektronickom médiu v zapečatenom obale. Zhotoviteľ je povinný umožniť Objednávateľovi pri odovzdávaní Vytvoreného zdrojového kódu, pred zapečatením obalu, skontrolovať v priestoroch Objednávateľa prítomnosť Vytvoreného zdrojového kódu na odovzdávanom elektronickom médiu.
667 * Nebezpečenstvo poškodenia zdrojových kódov prechádza na Objednávateľa momentom prevzatia Informačného systému alebo jeho časti, pričom Objednávateľ sa zaväzuje uložiť zdrojové kódy takým spôsobom, aby zamedzil akémukoľvek neoprávnenému prístupu tretej osoby. Momentom platnosti SLA zmluvy umožní Objednávateľ poskytovateľovi, za predpokladu, že to je nevyhnutné, prístup k Vytvorenému zdrojovému kódu výlučne na účely plnenia povinností z uzatvorenej SLA zmluvy.
668 * Budú dodržané inštrukcie k EUPL licenciám, uvedeným spôsobom obstarávania dôjde k zamedzeniu „Vendor lock-in" v súlade so Zákonom o ITVS.
669
670
671
672 = {{id name="projekt_2529_Pristup_k_projektu_detailny-7.Prevádzkaaúdržba"/}}7.     Prevádzka a údržba =
673
674 == {{id name="projekt_2529_Pristup_k_projektu_detailny-7.1Prevádzkovépožiadavky"/}}7.1        Prevádzkové požiadavky ==
675
676 Help Desk bude realizovaný cez 3 úrovne podpory, s nasledujúcim označením:
677
678 * L1 podpory IS (Level 1, priamy kontakt zákazníka) – zabezpečuje Národné centrum zdravotníckych informácií
679 * L2 podpory IS (Level 2, postúpenie požiadaviek od L1) - vybraná skupina garantov, so znalosťou IS (zabezpečuje prevádzkovateľ IS – verejný obstarávateľ).
680 * L3 podpory IS (Level 3, postúpenie požiadaviek od L2) - na základe zmluvy o podpore IS (zabezpečuje úspešný uchádzač).
681
682
683 === {{id name="projekt_2529_Pristup_k_projektu_detailny-7.1.1Úrovnepodporypoužívateľov"/}}7.1.1        Úrovne podpory používateľov ===
684
685 Definície úrovní:
686
687 * Podpora L1 (podpora 1. stupňa) - začiatočná úroveň podpory, ktorá je zodpovedná za riešenie základných problémov a požiadaviek koncových užívateľov a ďalšie služby vyžadujúce základnú úroveň technickej podpory. Základnou funkciou podpory 1. stupňa je zhromaždiť informácie, previesť základnú analýzu a určiť príčinu problému a jeho klasifikáciu. Typicky sú v úrovni L1 riešené priamočiare a jednoduché problémy a základné diagnostiky, overenie dostupnosti jednotlivých vrstiev infraštruktúry (sieťové, operačné, vizualizačné, aplikačné atď.) a základné užívateľské problémy (typicky zabudnutie hesla), overovanie nastavení SW a HW atď.
688 * Podpora L2 (podpora 2. stupňa) – riešiteľské tímy s hlbšou technologickou znalosťou danej oblasti. Riešitelia na úrovni Podpory L2 nekomunikujú priamo s koncovým užívateľom, ale sú zodpovední za poskytovanie súčinnosti riešiteľom 1. úrovne podpory pri riešení eskalovaného hlásenia, čo mimo iného obsahuje aj spätnú kontrolu a podrobnejšiu analýzu zistených dát predaných riešiteľom 1. úrovne podpory. Výstupom takejto kontroly môže byť potvrdenie, upresnenie, alebo prehodnotenie hlásenia v závislosti na potrebách Objednávateľa. Primárnym cieľom riešiteľov na úrovni Podpory L2 je dostať Hlásenie čo najskôr pod kontrolu a následne ho vyriešiť - s možnosťou eskalácie na vyššiu úroveň podpory – Podpora L3.
689 * Podpora L3 (podpora 3. stupňa) - Podpora 3. stupňa predstavuje najvyššiu úroveň podpory pre riešenie tých najobťiažnejších Hlásení, vrátane prevádzania hĺbkových analýz a riešenie extrémnych prípadov.
690
691
692 Pre služby sú definované takéto SLA: Služby pre zamestnancov úradu Po – Pia, 8:00 - 16:00 (8x5)
693
694 // //
695
696 === {{id name="projekt_2529_Pristup_k_projektu_detailny-7.1.2Riešenieincidentov–SLAparametre"/}}7.1.2        Riešenie incidentov – SLA parametre ===
697
698 Za incident je považovaná chyba IS, t.j. správanie sa v rozpore s prevádzkovou a používateľskou  dokumentáciou IS. Za incident nie je považovaná chyba, ktorá nastala mimo prostredia IS napr. výpadok poskytovania konkrétnej služby Vládneho cloudu alebo komunikačnej infraštruktúry.
699
700
701 Označenie naliehavosti incidentu:
702
703 |(((
704 Označenie naliehavosti incidentu
705 )))|(((
706 Závažnosť  incidentu
707 )))|(((
708 Popis naliehavosti incidentu
709 )))
710 |(((
711 A
712 )))|(((
713 Kritická
714 )))|(((
715 Kritické chyby, ktoré spôsobia úplné zlyhanie systému ako celku a nie je možné používať ani jednu jeho časť, nie je možné poskytnúť požadovaný výstup z IS.
716 )))
717 |(((
718 B
719 )))|(((
720 Vysoká
721 )))|(((
722 Chyby a nedostatky, ktoré zapríčinia čiastočné zlyhanie systému a neumožňuje používať časť systému.
723 )))
724 |(((
725 C
726 )))|(((
727 Stredná
728 )))|(((
729 Chyby a nedostatky, ktoré spôsobia čiastočné obmedzenia používania systému.
730 )))
731 |(((
732 D
733 )))|(((
734 Nízka
735 )))|(((
736 Kozmetické a drobné chyby.
737 )))
738
739 // //
740
741 možný dopad:
742
743 |(((
744 Označenie závažnosti incidentu
745 )))|(((
746
747
748 Dopad
749 )))|(((
750 Popis dopadu
751 )))
752 |(((
753 1
754 )))|(((
755 katastrofický
756 )))|(((
757 katastrofický dopad, priamy finančný dopad alebo strata dát,
758 )))
759 |(((
760 2
761 )))|(((
762 značný
763 )))|(((
764 značný dopad alebo strata dát
765 )))
766 |(((
767 3
768 )))|(((
769 malý
770 )))|(((
771 malý dopad alebo strata dát
772 )))
773
774 **// //**
775
776 Výpočet priority incidentu je kombináciou dopadu a naliehavosti v súlade s best practices ITIL V3 uvedený v nasledovnej matici:
777
778 |(% colspan="2" rowspan="2" %)(((
779 Matica priority incidentov
780 )))|(% colspan="3" %)(((
781 Dopad
782 )))
783 |(((
784 Katastrofický - 1
785 )))|(((
786 Značný - 2
787 )))|(((
788 Malý - 3
789 )))
790 |(% rowspan="4" %)(((
791 **Naliehavosť**
792 )))|(((
793 **Kritická - A**
794 )))|(((
795 1
796 )))|(((
797 2
798 )))|(((
799 3
800 )))
801 |(((
802 **Vysoká - B**
803 )))|(((
804 2
805 )))|(((
806 3
807 )))|(((
808 3
809 )))
810 |(((
811 **Stredná - C**
812 )))|(((
813 2
814 )))|(((
815 3
816 )))|(((
817 4
818 )))
819 |(((
820 **Nízka - D**
821 )))|(((
822 3
823 )))|(((
824 4
825 )))|(((
826 4
827 )))
828
829 **// //**
830
831 Vyžadované reakčné doby:
832
833 |(((
834 Označenie priority incidentu
835 )))|(((
836 Reakčná doba^^(1)^^ od nahlásenia incidentu po začiatok riešenia incidentu
837 )))|(((
838 Doba konečného vyriešenia incidentu od nahlásenia incidentu (DKVI) ^^(2)^^
839 )))|(((
840 Spoľahlivosť ^^(3)^^
841
842 (počet incidentov za mesiac)
843 )))
844 |(((
845 1
846 )))|(((
847 0,5 hod.
848 )))|(((
849 4  hodín
850 )))|(((
851 1
852 )))
853 |(((
854 2
855 )))|(((
856 1 hod.
857 )))|(((
858 12 hodín
859 )))|(((
860 2
861 )))
862 |(((
863 3
864 )))|(((
865 1 hod.
866 )))|(((
867 24 hodín
868 )))|(((
869 10
870 )))
871 |(((
872 4
873 )))|(((
874 1 hod.
875 )))|(% colspan="2" %)(((
876 Vyriešené a nasadené v rámci plánovaných releasov
877 )))
878
879 // //
880
881 Vysvetlivky k tabuľke
882
883 (1) Reakčná doba je čas medzi nahlásením incidentu verejným obstarávateľom (vrátane užívateľov IS, ktorí nie sú v pracovnoprávnom vzťahu s verejným obstarávateľom) na helpdesk úrovne L3 a jeho prevzatím na riešenie.
884
885
886 (2) DKVI znamená obnovenie štandardnej prevádzky - čas medzi nahlásením incidentu verejným obstarávateľom a vyriešením incidentu úspešným uchádzačom (do doby, kedy je funkčnosť prostredia znovu obnovená v plnom rozsahu). Doba konečného vyriešenia incidentu od nahlásenia incidentu verejným obstarávateľom (DKVI) sa počíta počas celého dňa. Do tejto doby sa nezarátava čas potrebný na nevyhnutnú súčinnosť verejného obstarávateľa, ak je potrebná pre vyriešenie incidentu. V prípade potreby je úspešný uchádzač oprávnený požadovať od verejného obstarávateľa schválenie riešenia incidentu.
887
888
889 (3) Maximálny počet incidentov za kalendárny mesiac. Každá ďalšia chyba nad stanovený limit spoľahlivosti sa počíta ako začatý deň omeškania bez odstránenia vady alebo incidentu. Duplicitné alebo technicky súvisiace incidenty (zadané v rámci jedného pracovného dňa, počas pracovného času 8 hodín) sú považované ako jeden incident.
890
891
892 (4) Incidenty nahlásené verejným obstarávateľom úspešnému uchádzačovi v rámci testovacieho prostredia majú prioritu 3 a nižšiu
893
894 Vzťahujú sa výhradne k dostupnosti testovacieho prostredia. Za incident na testovacom prostredí sa nepovažuje incident vztiahnutý k práve testovanej funkcionalite.
895
896 // //
897
898 Vyššie uvedené SLA parametre nebudú použité pre nasledovné služby:
899
900 * Služby systémovej podpory na požiadanie (nad paušál)
901 * Služby realizácie aplikačných zmien vyplývajúcich z legislatívnych a metodických zmien (nad paušál)
902
903 Pre tieto služby budú dohodnuté osobitné parametre dodávky.
904
905 // //
906
907 == {{id name="projekt_2529_Pristup_k_projektu_detailny-7.2PožadovanádostupnosťIS:"/}}7.2        Požadovaná dostupnosť IS: ==
908
909 **// //**
910
911 |(((
912 Popis
913 )))|(((
914 Parameter
915 )))|(((
916 Poznámka
917 )))
918 |(((
919 **Prevádzkové hodiny**
920 )))|(((
921 8 hodín
922 )))|(((
923 Po – Pia, 8:00 - 16:00
924 )))
925 |(% rowspan="2" %)(((
926 **Servisné okno**
927 )))|(((
928 14 hodín
929 )))|(((
930 od 17:00 hod. - do 7:00 hod. počas pracovných dní
931 )))
932 |(((
933 24 hodín
934 )))|(((
935 od 00:00 hod. - 23:59 hod. počas dní pracovného pokoja a štátnych sviatkov
936
937 Servis a údržba sa bude realizovať mimo pracovného času.
938 )))
939 |(((
940 **Dostupnosť produkčného prostredia IS**
941 )))|(((
942 97%
943 )))|(((
944 · 97% z 24/7/365 t.j. max ročný výpadok je 10,95 dňa. Maximálny mesačný výpadok je 21,9 hodiny.
945
946 · Vždy sa za takúto dobu považuje čas od 0.00 hod. do 23.59 hod. počas pracovných dní v týždni.
947
948 · Nedostupnosť IS sa počíta od nahlásenia incidentu Zákazníkom v čase dostupnosti podpory Poskytovateľa (t.j. nahlásenie incidentu na L3 v čase od 6:00 hod. - do 18:00 hod. počas pracovných dní). Do dostupnosti IS nie sú započítavané servisné okná a plánované odstávky IS.
949
950 · V prípade nedodržania dostupnosti IS bude každý ďalší začatý pracovný deň nedostupnosti braný ako deň omeškania bez odstránenia vady alebo incidentu.
951 )))
952
953 // //
954
955 === {{id name="projekt_2529_Pristup_k_projektu_detailny-7.2.1Dostupnosť(Availability)"/}}7.2.1        Dostupnosť (Availability) ===
956
957 Dostupnosť znamená, že dáta sú prístupné v okamihu jej potreby. Narušenie dostupnosti sa označuje ako nežiaduce zničenie (destruction) alebo nedostupnosť. Dostupnosť je zvyčajne vyjadrená ako percento času v danom období, obvykle za rok. V projekte sa uvažuje 97% dostupnosť znamená výpadok 10,95 dňa.
958
959
960 === {{id name="projekt_2529_Pristup_k_projektu_detailny-7.2.2RTO(RecoveryTimeObjective)"/}}7.2.2        RTO (Recovery Time Objective) ===
961
962
963 V rámci projektu sa očakáva tradičné zálohovanie - výpadok a obnova trvá cca hodiny až dni.
964
965 === {{id name="projekt_2529_Pristup_k_projektu_detailny-7.2.3RPO(RecoveryPointObjective)"/}}7.2.3        RPO (Recovery Point Objective) ===
966
967
968 V rámci projektu sa očakáva tradičné zálohovanie - výpadok a obnova trvá cca hodiny až dni.
969
970 = {{id name="projekt_2529_Pristup_k_projektu_detailny-8.Požiadavkynapersonál"/}}8.     Požiadavky na personál =
971
972 Projekt sa bude riadiť v súlade s platnou legislatívou v oblasti riadenia projektov IT. Pre potreby riadenia projektu bude vytvorený riadiaci výbor projektu a budú menovaní členovia Riadiaceho výboru projektu (ďalej len „RV“), projektový manažér a členovia projektového tímu. Najvyššou autoritou projektu je RV, ktorý tvorí:
973
974 1. predseda Riadiaceho výboru projektu,
975 1. biznis vlastník,
976 1. zástupca prevádzky,
977 1. zástupca dodávateľa (doplnený po VO ako voliteľný člen)
978 1. projektový manažér objednávateľa
979
980 RV je riadiaci orgán projektu, ktorý zodpovedá najmä za splnenie stanovených cieľov projektu, rozhoduje o zmenách, ktoré majú zásadný význam a prejavujú sa hlavne dopadom na časový harmonogram a finančné prostriedky projektu. Reprezentuje najvyššiu akceptačnú autoritu projektu. Štatút Riadiaceho výboru projektu upravuje najmä úlohy, zloženie a pôsobnosť RV, ako aj práva a povinnosti členov RV pri riadení a realizácii predmetného projektu. Projektový manažér riadi projekt, kvalitu a riziká projektu a zabezpečuje plnenie úloh uložených RV. Členovia projektového tímu zabezpečujú plnenie úloh uložených projektovým manažérom, alebo RV. Ďalšie povinnosti členov RV, projektového manažéra a členov projektového tímu sú uvedené vo Vyhláške č. 401/2023 Z. z. a v doplňujúcich vzoroch a šablónach zverejnených na webovom sídle MIRRI SR.
981
982
983 Výkonnou zložkou projektu je projektový tím, ktorý je ustanovený v zložení:
984
985 1. kľúčový používateľ,
986 1. manažér kybernetickej a informačnej bezpečnosti
987 1. projektový manažér
988
989 Matica obsadenosti riadiaceho výboru a projektového tímu je zvedená v dokumente I-02 Projektový zámer.
990
991
992 = {{id name="projekt_2529_Pristup_k_projektu_detailny-9.Implementáciaapreberanievýstupovprojektu"/}}9.     Implementácia a preberanie výstupov projektu =
993
994 Projekt bude v zmysle Vyhlášky 401/2023 Zz o projektovom riadení realizovaný metódou waterfall. V zmysle vyhlášky je možné pristupovať k realizácii projektu prostredníctvom čiastkových plnení, t.j. inkrementov. V projekte je definovaný jeden inkrement na obdobie hlavných aktivít.
995
996 = {{id name="projekt_2529_Pristup_k_projektu_detailny-10.Prílohy"/}}10.  Prílohy =
997
998 Dokument je bez príloh.
999
1000
1001 Koniec dokumentu