Naposledy upravil Admin-metais MetaIS 2024/11/07 09:38
Show last authors
1 **PROJEKTOVÝ ZÁMER**
2
3 **manažérsky výstup I-02**
4
5 **podľa vyhlášky MIRRI č. 401/2023 Z. z.**
6
7
8 |(((
9 Povinná osoba
10 )))|(((
11 Záchranná služba Košice
12 )))
13 |(((
14 Názov projektu
15 )))|(((
16 Podpora v oblasti kybernetickej a informačnej bezpečnosti na regionálnej úrovni – Záchranná služba Košice
17 )))
18 |(((
19 Zodpovedná osoba za projekt
20 )))|(((
21 Erik Bašista (projektový manažér)
22 )))
23 |(((
24 Realizátor projektu
25 )))|(((
26 Záchranná služba Košice
27 )))
28 |(((
29 Vlastník projektu
30 )))|(((
31 Záchranná služba Košice
32 )))
33
34 **~ **
35
36 **Schvaľovanie dokumentu**
37
38 |(((
39 Položka
40 )))|(((
41 Meno a priezvisko
42 )))|(((
43 Organizácia
44 )))|(((
45 Pracovná pozícia
46 )))|(((
47 Dátum
48 )))|(((
49 Podpis
50
51 (alebo elektronický súhlas)
52 )))
53 |(((
54 Vypracoval
55 )))|(((
56 Pavol Sokol
57 )))|(((
58 Záchranná služba Košice
59 )))|(((
60 Manažér kybernetickej bezpečnosti
61 )))|(((
62 3.7.2024
63 )))|(((
64
65 )))
66
67 **~ **
68
69 = {{id name="projekt_2813_Projektovy_zamer_detailny-1.HistóriaDOKUMENTU"/}}1.     História DOKUMENTU =
70
71 |(((
72 Verzia
73 )))|(((
74 Dátum
75 )))|(((
76 Zmeny
77 )))|(((
78 Meno
79 )))
80 |(((
81 0.1
82 )))|(((
83 6.6.2024
84 )))|(((
85 Pracovný návrh
86 )))|(((
87 Pavol Sokol
88 )))
89 |(((
90 0.2
91 )))|(((
92 1.7.2024
93 )))|(((
94 Zapracovanie pripomienok
95 )))|(((
96 Pavol Sokol
97 )))
98 |(((
99 0.3
100 )))|(((
101 2.7.2024
102 )))|(((
103 Zapracovanie pripomienok
104 )))|(((
105 Pavol Sokol
106 )))
107 |(((
108 0.4
109 )))|(((
110 3.7.2024
111 )))|(((
112 Zapracovanie pripomienok
113 )))|(((
114 Pavol Sokol
115 )))
116 |(((
117 0.5
118 )))|(((
119 3.7.2024
120 )))|(((
121 Zapracovanie pripomienok
122 )))|(((
123 Pavol Sokol
124 )))
125
126 **~ **
127
128 = {{id name="projekt_2813_Projektovy_zamer_detailny-2.DEFINOVANIEPROJEKTU"/}}2.     DEFINOVANIE PROJEKTU =
129
130
131 == {{id name="projekt_2813_Projektovy_zamer_detailny-2.1Manažérskezhrnutie"/}}2.1        Manažérske zhrnutie ==
132
133 Tento dokument je vypracovaný v súlade s Vyhláškou č. 401/2023 Z. z. o riadení projektov a zmenových požiadaviek v prevádzke informačných technológií verejnej správy. Dokument Projektový zámer pre iniciačnú fázu je určený na rozpracovanie informácií k projektu, aby bolo možné rozhodnúť o pokračovaní prípravy projektu, alokovaní rozpočtu, ľudských zdrojov a prechode do realizačnej fázy.
134
135 Ide o detailný projektový zámer k výzve "Podpora v oblasti kybernetickej a informačnej bezpečnosti na regionálnej úrovni – zdravotnícke zariadenia". Účelom dokumentu je rozšíriť spôsobilosti v oblasti informačnej a kybernetickej bezpečnosti a zabezpečiť súlad so zákonom č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov (ďalej ako “zákon o ITVS”) a zákonom č. 69/2018 Z. z. o kybernetickej bezpečnosti (ďalej len „zákon o KB“) v oblasti riadenia informačnej a kybernetickej bezpečnosti (ďalej ako „KIB“).
136
137 Aktuálna situácia v oblasti KIB v Záchrannej službe Košice (ďalej ako „ZS KE“) nie je ideálna. ZS KE nemá implementované všetky riešenia a opatrenia pre zvýšenie úrovne KIB. Z externého pohľadu sa zvyšuje frekvencia a závažnosť bezpečnostných hrozieb a útokov, z interného pohľadu sa zase neustále zvyšuje závislosť na informačných aktívach a IT systémoch. Zvyšujú sa teda bezpečnostné hrozby, výskyt zraniteľnosti a následne aj dopady bezpečnostných incidentov. Realizácia projektu zabezpečí zlepšenie technologického, procesného, infraštruktúrneho, vedomostného a organizačného zabezpečenia zručností, kapacít a spôsobilostí pre plnenie úloh v oblasti KIB.
138
139
140 ZS KE má vykonaný audit kybernetickej bezpečnosti v zmysle platnej právnej úpravy a zároveň na ZS KE prebehla Analýza aktuálneho stavu bezpečnostných opatrení a postupov v organizácii, pričom bolo odhalených niekoľko dôležitých oblastí, ktoré vyžadujú okamžitú pozornosť a zlepšenie. Ide najmä o oblasť riadenia prístupov, riadenia kontinuity činností (ďalej ako „BCM“) a zálohovania.
141
142
143 Hlavným cieľom je zabezpečiť integritu, dostupnosť a dôvernosť informácií organizácie, a to prostredníctvom účinných bezpečnostných opatrení a postupov.
144
145
146 ZSKE nemá implementované požadované požiadavky v niektorých oblastiach KIB z nasledovných dôvodov:
147
148 * nie sú k dispozícii personálne kapacity pre oblasť riadenia KIB a na prevádzku bezpečnostných systémov,
149 * nie sú k dispozícii dostatočné finančné zdroje,
150 * nemáme zavedené všetky procesy riadenia KIB.
151
152
153 Predmetom projektu je realizácia opatrení na zvýšenie úrovne informačnej a kybernetickej bezpečnosti ZS KE, čo chceme naplniť nasledujúcimi podaktivitami: 
154
155 * Aktivity ohľadom aktualizácie dokumentácie a nastavenia procesov riadenia KIB:
156 ** aktualizácia bezpečnostnej politiky kybernetickej bezpečnosti najmä vo väzbe na opatrenia zavedené týmto projektom,
157 ** aktualizácia interných smerníc a politík pre všetky relevantné oblasti riadenia KIB, najmä pre oblasti pokryté opatreniami v rámci tohto projektu.
158 * Analytické aktivity:
159 ** aktualizácia identifikácie a evidencie informačných aktív,
160 ** aktualizácia klasifikácie informácií a kategorizácie IS a sietí,
161 ** aktualizácia analýzy rizík a analýzy dopadov (AR/BIA),
162 ** zavedenie procesu formálneho rozhodovania ohľadom riadenia identifikovaných rizík,
163 ** na základe výsledkov AR/BIA zadefinovanie stratégie obnovy pre jednotlivé IS,
164 ** aktualizácia plánu zálohovania podľa výsledkov AR/BIA.
165 * Implementačné a konfiguračné aktivity bezpečnostných riešení:
166 ** zavedenie nástroja na udržiavanie a správu aktív (asset management),
167 ** implementácia riešenia pre správu identít a prístupov (IDM), ktorého súčasťou bude aj:
168 *** zavedenie viacfaktorového overovania pre privilegovaných používateľov,
169 *** re-konfigurácia a “hardening” existujúceho AD riešenia,
170 *** zavedenie Network Access Control (NAC) v súlade so štandardom IEEE 802.1x, vrátane autentifikačného servera (RADIUS) a PKI infraštruktúry pre generovanie a distribúciu šifrovacích kľúčov,
171 ** implementácia riešenia pre zálohovanie a bezpečné uloženie záloh v inej lokalite (mimo serverovní s primárnou infraštruktúrou) a zladenie procesu s plánom zálohovania navrhnutým na základe výsledkov AR/BIA (RPO definované vlastníkmi aktív).
172 * Pre-financovanie spracovania žiadosti o NFP.
173
174
175 Výsledkom projektu bude aktualizácia základných dokumentov a nastavenie základného rámca a procesov riadenia KIB (tzv. governance), zrealizovaná aktualizácia inventarizácie a klasifikácie aktív a kategorizácie IS, aktualizácia AR/BIA a zavedený formalizovaný  proces riadenia rizík, vrátane podpory evidencie a správy aktív SW nástrojom. Okrem toho projekt zabezpečí nasadenie potrebných bezpečnostných nástrojov, najmä pre účely riadenia prístupov, riadenia BCM a zálohovania a pod.
176
177 Po implementácii projektu bude proces už zavedený a vykonávaný internými ľuďmi, predovšetkým manažérom kybernetickej bezpečnosti a pracovníkmi útvaru IT.
178
179
180 Projekt je vypracovaný v súlade s nasledovným typom aktivity: Zlepšovanie technologického, procesného, infraštruktúrneho, vedomostného a organizačného zabezpečenia zručností a kapacít pre plnenie úloh v oblasti KIB v prostredí zdravotníckych zariadení s definovanou hlavnou aktivitou: Realizácia opatrení na zvýšenie úrovne informačnej a kybernetickej bezpečnosti.
181
182
183 Celková žiadaná výška ŽoNFP je 299.300 EUR.
184
185
186 == {{id name="projekt_2813_Projektovy_zamer_detailny-2.2Motiváciaarozsahprojektu"/}}2.2        Motivácia a rozsah projektu ==
187
188
189 Hlavnou motiváciou projektu je zvýšenie úrovne KIB v ZS KE, najmä  pripravenosti čeliť interným a externým hrozbám v oblasti KIB. Na rozdiel od súčasného stavu bude ZS KE disponovať výrazne vyššími schopnosťami predchádzať bezpečnostným incidentom súvisiacim najmä s oblasťou riadenia a správy prístupov. Technologické vybavenie bude umožňovať lepšiu ochranu pred útokmi z externého a interného prostredia, ako aj ochranu dát a zároveň bude zabezpečená dostatočná redundancia a bezpečné uloženie systémových záloh a záloh dát.
190
191
192 Medzi hlavné ciele systému riadenia KIB patria:
193
194 * zabezpečenie správnej a bezpečnej prevádzky prostriedkov spracúvajúcich informácie,
195 * monitorovanie prostredia,
196 * riadenie a povoľovanie prístupov len autorizovaným osobám.
197
198
199 Navrhovaný projekt „Podpora v oblasti kybernetickej a informačnej bezpečnosti na regionálnej úrovni – zdravotnícke zariadenia" súvisí najmä s:
200
201 * naplnením povinností definovanými v zákone o KB a zákone o ITVS, najmä opatreniami definovanými v § 20 zákona o KB,
202 * nutnosťou zvýšenia úrovne a schopnosti zabezpečovať a riadiť KIB vzhľadom na sústavne sa zvyšujúce bezpečnostné hrozby a riziká,
203 * nutnosťou reagovať na prípadné bezpečnostné incidenty, napr. ransomware útoky, ktoré sú v poslednej dobe značne rozšírené najmä v oblasti zdravotníctva,
204 * zabezpečením realizácie spoločných blokov bezpečnostnej architektúry v súlade s NKIVS a strategickou prioritou informačnej a kybernetickej bezpečnosti,
205 * ako reakcia na aktuálny nedostatočný stav úrovne vyspelosti procesov riadenia KIB,
206 * ako reakcia na aktuálne zmeny v používaní IT, ako aj závažné útoky v oblasti kybernetickej bezpečnosti.
207
208
209 Projekt rieši nasledovné špecifické problémy v oblasti KIB:
210
211 * Nová legislatíva v oblasti KIB je náročne implementovateľná bez značných investícií a najmä bez potrebných expertných ľudských zdrojov.
212 * Absencia fundovaných ľudí, ale aj vzorov, návodov, metodických usmernení a inštrukcií.
213 * Pravidelnú, povinnú aktualizáciu inventarizácie informačných aktív, klasifikácie a kategorizácie IS a sietí, analýzy rizík a analýzy dopadov aj so zapojením vlastníkov aktív a zabezpečený formalizovaný a opakovaný proces riadenia identifikovaných rizík (ich mitigácie). Ide o aktivity, ktoré sú nevyhnutným a nutným predpokladom pre efektívne riadenie KIB a ďalší rozvoj v tejto oblasti.
214 * Oblasť riadenia prístupov je bez IKT podpory, takže samotné riadenie prístupov je aktuálne zdĺhavé a značne neefektívne, pričom sa zároveň zvyšuje aj pravdepodobnosť výskytu ľudských chýb.
215 * Taktiež nie je zabezpečená multi-faktorová autentifikácia, min. na strane privilegovaných používateľov pri prístupe k informačným systémom v ich správe a rovnako aj autentifikácia zariadení pripojených do siete ZS KE.
216 * Značne neefektívny a nedostatočný z pohľadu bezpečnosti a redundancie záloh je aj proces zálohovania, kedy je potrebné, v prípade bezpečnostného incidentu alebo chyby, bezpečne a spoľahlivo obnoviť informačné systémy a dáta.
217
218
219 Chýbajú bezpečnostné funkcie a opatrenia najmä v oblasti:
220
221 * viac-faktorovej autentifikácie,
222 * autentifikácie zariadení v sieti ZS KE,
223 * riadenia prístupov a identít,
224 * zálohovania a redundancie záloh.
225
226
227 Okrem toho ZS KE nemá dostatočne zabezpečenú serverovňu a HW vybavenie je zastaralé. Sieťová infraštruktúra pre spájanie pobočiek je zabezpečená prostredníctvom VPN siete dodávanej a spravovanej externým dodávateľom (v čase podania projektu spoločnosťou Slovanet). ZS KE prevádzkuje v riaditeľstve a na centrále vlastnú lokálnu počítačovú sieť s nízkou úrovňou segmentácie siete. Jej komponenty sú však zastarané a bez podpory.
228
229
230 Rovnako chýbajú ľudské zdroje pre celkové riadenie KIB ale najmä pre oblasti:
231
232 * konsolidácie logov a auditných záznamov,
233 * analyzovanie bezpečnostných udalostí a incidentov v režime 24/7 a ich vyhodnocovanie,
234 * riešenie bezpečnostných incidentov,
235 * obnova systémov do pôvodného stavu v prípade výskytu incidentu alebo poruchy systémov.
236
237
238 **Informačné systémy v správe ZSKE:**
239
240 * Garis ERP (Enterprise resource planing) – účtovný ekonomický software. V implementácii je aj personalistický a mzdový modul.
241 * PROMIS Doprava - kľúčový systém, v ktorom sú zhromaždené dáta pre vykazovanie zdravotnej starostlivosti na zdravotné poisťovne.
242 * WEB, intranet interná sekcia – systém na zápis záznamu služby.
243
244
245 __Implementácia projektu bude prebiehať v nasledovných krokoch:__
246
247 __ __
248
249 **__Hlavná aktivita: __Realizácia opatrení na zvýšenie úrovne informačnej a kybernetickej bezpečnosti**
250
251
252 Jednotlivé pod-aktivity v rámci implementácie projektu:
253
254 * **Analýza a dizajn bude obsahovať:**
255 * konzultačné a analytické práce spojené s identifikáciou možností realizácie, potrebných zdrojov a riešení,
256 * identifikáciu a analýzu rolí, procesov a integrácii,
257 * funkčnú a nefunkčnú špecifikáciu celého riešenia,
258 * definíciu všetkých manažérskych a špecializovaných produktov spolu s akceptačnými kritériami.
259
260
261 * **Nákup HW a prípadne aj krabicového SW pozostáva z nákupu hardvérového a softvérového vybavenia**
262 * Nástroj na evidenciu aktív (asset management).
263 * Nástroj na riadenie identít a prístupov (IDM) vrátane:
264 ** SW vybavenia pre MFA pre „privilegovaných používateľov“.
265 ** SW vybavenia pre NAC (autentifikačný server a PKI).
266 * Nástroja pre riešenie zálohovania a ukladanie záloh.
267 * Potrebného HW vybavenia.
268
269
270 * **Implementácia bude obsahovať:**
271 * implementáciu a nastavenie jednotlivých technických služieb,
272 * implementácia bezpečnostných opatrení,
273 * implementácia proaktívnych a reaktívnych služieb,
274 * obvyklé testovanie celého riešenia popri implementácii,
275 * zladenie interných procesov riešenia zálohovania s plánom zálohovania vytvoreným na základe výsledkov AR/BIA (RPO definované vlastníkmi aktív).
276
277
278 * **Testovanie obsahuje**:
279 * testovanie funkcionality riešenia,
280 * vulnerability testovanie,
281 * testovanie integrácii,
282 * pilotnú prevádzku,
283 * akceptačné testovanie.
284
285
286 * **Nasadenie obsahuje:**
287 * nasadenie riešenia do produkčného prostredia, zaškolenie pre celé riešenie
288 * prechod na plnú prevádzku.
289
290
291 * **Podporná aktivita** – Projektový manažér interný/externý na riadenie hlavných aktivít projektu.
292
293
294 * **Podporná aktivita – Publicita a informovanosť** vzhľadom na povahu projektu obsahuje iba povinné položky, t. j. umiestnenie trvalo vysvetľujúcej tabule a dočasný veľkoplošný pútač
295
296
297 == {{id name="projekt_2813_Projektovy_zamer_detailny-2.3Zainteresovanéstrany/Stakeholderi"/}}2.3        Zainteresované strany/Stakeholderi ==
298
299
300 |(((
301 ID
302 )))|(((
303 AKTÉR / STAKEHOLDER
304 )))|(((
305 SUBJEKT
306
307 (názov / skratka)
308 )))|(((
309 ROLA
310
311 (vlastník procesu/ vlastník dát/zákazník/ užívateľ …. člen tímu atď.)
312 )))|(((
313 Informačný systém
314
315 (MetaIS kód a názov ISVS)
316 )))
317 |(((
318 1.
319 )))|(((
320 Záchranná služba Košice
321 )))|(((
322 ZSKE
323 )))|(((
324 Používateľ opatrení na zvýšenie úrovne informačnej a kybernetickej bezpečnosti
325 )))|(((
326 -
327 )))
328
329
330
331 == {{id name="projekt_2813_Projektovy_zamer_detailny-2.4Cieleprojektu"/}}2.4        Ciele projektu ==
332
333
334
335 |(((
336 ID
337 )))|(((
338
339
340
341 Názov cieľa
342 )))|(((
343 Názov strategického cieľa
344 )))|(((
345 Spôsob realizácie strategického cieľa
346 )))
347 |(((
348 1
349 )))|(((
350 RSO 1.2 Využívanie prínosov digitalizácie pre občanov, podniky, výskumné organizácie a orgány verejnej správy
351 )))|(((
352 Zlepšovanie technologického, procesného, infraštruktúrneho, vedomostného a organizačného zabezpečenia zručností a kapacít pre plnenie úloh v oblasti KIB v prostredí orgánov štátnej a verejnej správy.
353 )))|(((
354 Implementácia projektu
355 )))
356
357 **~ **
358
359 **~ **
360
361 == {{id name="projekt_2813_Projektovy_zamer_detailny-2.5Merateľnéukazovatele(KPI)"/}}2.5        Merateľné ukazovatele (KPI) ==
362
363
364 |(((
365 ID
366 )))|(((
367
368
369
370 ID/Názov cieľa
371 )))|(((
372 Názov
373 ukazovateľa (KPI)
374 )))|(((
375 Merná jednotka
376
377 )))|(((
378 Čas plnenia
379
380 merateľného
381
382 ukazovateľa projektu
383 )))|(((
384 závislosti
385
386 merateľného
387
388 ukazovateľa
389
390 projektu)
391 )))|(((
392 Príznak rizika
393 )))|(((
394 Relevancia
395
396 k HP
397 )))
398 |(((
399 VÝSTUP
400
401 PO095 / PSKPSOI12
402 )))|(((
403 RSO 1.2 Využívanie prínosov digitalizácie pre občanov, podniky, výskumné organizácie a orgány verejnej správy
404 )))|(((
405 Verejné inštitúcie podporované v
406
407 rozvoji kybernetických služieb,
408
409 produktov a procesov
410 )))|(((
411 verejné inštitúcie
412 )))|(((
413 ku koncu realizácie
414
415 hlavných aktivít
416
417 projektu
418 )))|(((
419 1
420 )))|(((
421 nie
422 )))|(((
423 n/a
424 )))
425 |(((
426 VÝSLEDOK
427
428 PR017 / PSKPRCR11
429 )))|(((
430 RSO 1.2 Využívanie prínosov digitalizácie pre občanov, podniky, výskumné organizácie a orgány verejnej správy
431 )))|(((
432 Používatelia nových a vylepšených
433
434 verejných digitálnych služieb,
435
436 produktov a procesov
437 )))|(((
438 Používatelia/rok
439 )))|(((
440 v rámci udržateľnosti
441
442 projektu
443 )))|(((
444 150
445 )))|(((
446 nie
447 )))|(((
448 n/a
449 )))
450
451
452 == {{id name="projekt_2813_Projektovy_zamer_detailny-2.6Rizikáazávislosti"/}}2.6        Riziká a závislosti ==
453
454
455 Riziká sa nachádzajú v samostatnej prílohe.
456
457
458
459 == {{id name="projekt_2813_Projektovy_zamer_detailny-2.7Stanoveniealternatívvbiznisovejvrstvearchitektúry"/}}2.7        Stanovenie alternatív v biznisovej vrstve architektúry ==
460
461
462 V rámci biznis architektúry sú popísané služby, ktoré by v zmysle § 20 zákona o KB, mali byť implementované za účelom vytvorenia efektívneho a spoľahlivého systému kybernetickej ochrany IS a implementácie bezpečnostných opatrení vyžadovaných zákonom o KB. Na základe tohto projektu sa implementujú služby bezpečnosti definované v § 20 zákona o KB, resp. zefektívnia sa existujúce postupy a opatrenia, a tým sa zvýši úroveň KIB a zabezpečí sa súlad s legislatívnymi požiadavkami.
463
464 Cieľom tohto projektu je implementovať systém riadenia KIB a bezpečnostné opatrenia v súlade so zákonom o KB, a to hlavne:
465
466 * zvýšením úrovne governance a vyspelosti procesov riadenia KIB,
467 * zvýšením ochrany pred útokmi z externého, ale aj interného prostredia,
468 * zvýšením schopnosti detekcie a reakcie na škodlivé aktivity a bezpečnostné incidenty,
469 * zvýšením úrovne ochrany dát, dátových prenosov a komunikácie,
470 * zvýšením schopnosti proaktívne identifikovať možné zraniteľnosti prevádzkovaných systémov.
471
472 Bez implementácie governance, procesov a analýzy rizík nie je možné efektívne riadiť informačnú a kybernetickú bezpečnosť a zabezpečiť efektívne vynakladanie prostriedkov na IKIB a nie je možné efektívne implementovať ďalšie, dodatočné bezpečnostné opatrenia, riešenia a systémy ochrany.
473
474
475 __Alternatívy riešenia sú nasledovné__:
476
477 **Alternatíva 1:** realizácia KIB** **v rámci tohto projektu.
478
479 **Alternatíva 2:** ponechanie realizácie bezpečnostných opatrení a rozvoja KIB  v rámci zdrojov, kapacít a rozpočtu organizácie, čo predstavuje realizáciu za veľmi dlhý čas a najmä aktuálny nedostatok ľudských zdrojov na implementáciu všetkých potrebných bezpečnostných riešení.
480
481
482 Projekt Podpora v oblasti kybernetickej a informačnej bezpečnosti na regionálnej úrovni – zdravotnícke zariadenia na úrovni biznis architektúry v súlade s Alternatívou A bude pozostávať z nasledovných biznis funkcií, ktoré budú realizovať nižšie uvedené procesy:
483
484 * Riadenie aktív a riadenie rizík.
485 ** Proces evidencie a správy aktív.
486 ** Proces klasifikácie informácií a kategorizácie IS a sietí.
487 ** Proces realizácie AR/BIA.
488 ** Proces rozhodovania ohľadom riadenia identifikovaných rizík.
489 * Riadenie prístupov.
490 ** Proces riadenia identít a prístupov.
491 ** Proces bezpečného prístupu a viac-faktorovej autentifikácie pri prístupe privilegovaných používateľov k správe IS.
492 ** Proces autentifikácie a prístupu k sieti len autorizovaných zariadení.
493 * Riadenie kontinuity činností.
494 ** Proces zálohovania.
495 ** Proces ochrany a redundancie záloh.
496
497
498 Okrem uvedených biznis funkcií je projekt zameraný aj na podporu pre oblasti:
499
500 * governance KIB a bezpečnostná dokumentácia,
501 * zavedenie procesov riadenia KIB pre všetky relevantné oblasti riadenia.
502
503
504 V alternatíve B odhadujeme, že za rovnaký čas (trvanie projektu) a z aktuálne dostupnými technickými prostriedkami a ľudskými zdrojmi by ZS KE bola schopná zrealizovať a do praxe implementovať len nasledovné biznis funkcie:
505
506 * Riadenie aktív a riadenie rizík.
507
508
509 Implementácia len tejto biznis funkcie je z pohľadu zabezpečenia ochrany informačných aktív ZS KE a naplnenia legislatívnych požiadaviek absolútne nepostačujúca.
510
511
512
513 == {{id name="projekt_2813_Projektovy_zamer_detailny-2.8Multikriteriálnaanalýza"/}}2.8        Multikriteriálna analýza ==
514
515
516
517 |(((
518 **// //**
519 )))|(((
520 KRITÉRIUM
521 )))|(((
522 ZDÔVODNENIE KRIÉRIA
523 )))|(((
524 MIRRI (výzva)
525 )))|(((
526 Organizácia
527 )))|(((
528 STAKEHOLDER
529
530 3
531 )))
532 |(% rowspan="6" %)(((
533 BIZNIS VRSTVA
534
535 // //
536 )))|(((
537 A Súlad s legislatívou a zabezpečenie legislatívnych požiadaviek čo najjednoduchším riešením.
538 )))|(((
539 Je potrebné naplniť požiadavky zákonov 69/2018 Z. z. a 95/2019 Z. z., čo najefektívnejšie
540 )))|(((
541 áno
542 )))|(((
543 áno
544 )))|(((
545
546 )))
547 |(((
548 B Rýchlosť implementácie.
549 )))|(((
550 Z pohľadu zákona 69/2018 Z. z. je potrebné implementáciu stihnúť čo najskôr
551 )))|(((
552 áno
553 )))|(((
554 nie
555 )))|(((
556
557 )))
558 |(((
559 C Nízka náročnosť implementácie z pohľadu ľudských zdrojov a času
560 )))|(((
561 Vzhľadom na stav ľudských zdrojov je potrebné projekt navrhnúť tak, aby mal čo najmenšiu náročnosť na ľudské zdroje
562 )))|(((
563 áno
564 )))|(((
565 nie
566 )))|(((
567
568 )))
569 |(((
570 Kritérium D (KO)
571 )))|(((
572
573 )))|(((
574
575 )))|(((
576
577 )))|(((
578
579 )))
580 |(((
581 Kritérium E
582 )))|(((
583
584 )))|(((
585
586 )))|(((
587
588 )))|(((
589
590 )))
591 |(((
592 Kritérium F
593 )))|(((
594
595 )))|(((
596
597 )))|(((
598
599 )))|(((
600
601 )))
602
603
604
605 |(((
606 Zoznam kritérií
607 )))|(((
608 Alternatíva
609
610 1
611 )))|(((
612 Spôsob
613
614 dosiahnutia
615 )))|(((
616 Alternatíva 2
617 )))|(((
618 Spôsob
619
620 dosiahnutia
621 )))
622 |(((
623 Kritérium A
624 )))|(((
625 áno
626 )))|(((
627 Projekt zavádza procesy Governance v oblasti KIB
628 )))|(((
629 čiastočne
630 )))|(((
631
632 )))
633 |(((
634 Kritérium B
635 )))|(((
636 áno
637 )))|(((
638 Realizácia výzvy je najrýchlejšou možnosťou implementácie
639 )))|(((
640 nie
641 )))|(((
642
643 )))
644 |(((
645 Kritérium C
646 )))|(((
647 áno
648 )))|(((
649 Projekty budú realizované formou dodávky a budú minimalizovať nároky na interné ľudské zdroje
650 )))|(((
651 nie
652 )))|(((
653
654 )))
655 |(((
656 Kritérium D
657 )))|(((
658
659 )))|(((
660
661 )))|(((
662
663 )))|(((
664
665 )))
666
667
668 Na základe vyhodnotenia MCA analýzy je možné konštatovať, že najvýhodnejšou alternatívou je alt. 1 - realizácia KIB v rámci tohto projektu.
669
670 // //
671
672 == {{id name="projekt_2813_Projektovy_zamer_detailny-2.9Stanoveniealternatívvaplikačnejvrstvearchitektúry"/}}2.9        Stanovenie alternatív v aplikačnej vrstve architektúry ==
673
674 Na základe výberu Alternatívy A pre naplnenie cieľov projektu je nevyhnutné nastavenie procesov pre riadenie a kontinuálne zvyšovanie úrovne informačnej a kybernetickej bezpečnosti ZSKE.
675
676
677 Z pohľadu aplikačnej vrstvy architektúry  je účelom projektu:
678
679 * implementácia preventívnych služieb, ktorých cieľom je ochrana kybernetického priestoru s cieľom zamedziť narušeniu z vnútorného, alebo vonkajšieho prostredia,
680 * budovanie reaktívnych služieb za účelom identifikácie (preventívne služby) a riešenia (reaktívne služby) kybernetických bezpečnostných incidentov.
681
682
683 **Preventívne služby budú zamerané na prevenciu kybernetických bezpečnostných incidentov a budú sa skladať z týchto procesov a funkcií:**
684
685 * vytváranie bezpečnostného povedomia,
686 * vzdelávanie zamestnancov a správcov IS v oblasti kybernetickej bezpečnosti,
687 * technologický dozor,
688 * vykonávanie bezpečnostných auditov,
689 * poskytovanie informácií a údajov do jednotného informačného systému kybernetickej bezpečnosti a prijímanie a zasielanie včasného varovania pred bezpečnostnými incidentmi,
690 * riadenie identít a prístupov,
691 * vykonávanie pravidelného hardeningu a aktualizácie infraštruktúry a softvérového vybavenia.
692
693
694 **Reaktívne služby pre bezpečnostný monitoring budú zamerané na riešenie kybernetických bezpečnostných incidentov a budú vykonávané prostredníctvom nasledujúcich procesov a funkcií:**
695
696 * obnova systémov a dát zo záloh,
697 * návrh opatrení na zabránenie ďalšiemu pokračovaniu, šíreniu a opakovanému výskytu kybernetických bezpečnostných incidentov.
698
699
700 Aplikačná architektúra bude pre jednotlivé biznis funkcie, uvedené v časti biznis architektúry, tvorená nasledovnými aplikačnými modulmi:
701
702 * Riadenie aktív a riadenie rizík.
703 ** Implementácia nástroja na evidenciu aktív (asset management).
704 * Riadenie prístupov.
705 ** Implementácia IDM vrátane 2FA:
706 *** Zavedenie 2FA pre privilegovaných používateľov pre prístup k IS a zariadeniam.
707 *** Zavedenie autentifikácie zariadení v sieti ZS KE.
708 ** Riadenie kontinuity činností.
709 *** Implementácia nástroja pre zálohovanie.
710 *** Implementácia úložiska záloh mimo priestorov umiestnenia primárnej technológie (princíp 3-2-1).
711
712
713 == {{id name="projekt_2813_Projektovy_zamer_detailny-2.10Stanoveniealternatívvtechnologickejvrstvearchitektúry"/}}2.10     Stanovenie alternatív v technologickej vrstve architektúry ==
714
715 Ciele projektu a súlad s platnou legislatívou KIB je možné naplniť iba výberom Alternatívy A, ktorá z pohľadu technologickej vrstvy znamená implementáciu požiadaviek.
716
717 // //
718
719 = {{id name="projekt_2813_Projektovy_zamer_detailny-3.POŽADOVANÉVÝSTUPY(PRODUKTPROJEKTU)"/}}3.     POŽADOVANÉ VÝSTUPY (PRODUKT PROJEKTU) =
720
721
722 |(((
723 **ID**
724 )))|(((
725 **Aktivita/prevádzková dokumentácia (výstup)**
726 )))|(((
727 **Poznámka**
728 )))
729 |(((
730 1.1
731 )))|(((
732 Aktualizácia smerníc a prevádzkovej dokumentácie riadenia informačnej bezpečnosti a kybernetickej bezpečnosti
733 )))|(((
734 Výstupom aktivity budú aktualizované nasledovné smernice a dokumenty, najmä vo väzbe na implementované technické bezpečnostné riešenia uvedené nižšie v bodoch 2.1 až 2.3:
735
736 ·        Smernica riadenia prístupových práv a postupy multi-faktorovej autentifikácie.
737
738 ·        Plán zálohovania (na základe výsledkov RPO v aktivite 1.2) a smernica ohľadom postupov zálohovania.
739
740 ·        Definovanie stratégie obnovy (na základe výsledkov RTO v aktivite 1.2).
741
742 ·        Stratégia kybernetickej bezpečnosti.
743
744 ·        Bezpečnostná politika.
745
746 ·        Bezpečnostná smernica pre používateľov.
747
748 ·        Smernica o bezpečnej prevádzke IS pre administrátorov.
749
750 ·        Smernica pre riadenie informačnej bezpečnosti.
751
752 ·        Smernica pre riadenie aktív a rizík, vrátane AR/BIA metodiky vytvorenej a v súlade s NBÚ metodikou a prispôsobenej podmienkam ZSKE.
753
754 ·        Smernica klasifikácie a kategorizácie IS a sietí.
755
756 ·        Smernica ohľadom bezpečnostných požiadaviek pre obstarávanie nových IS.
757 )))
758 |(((
759 1.2
760 )))|(((
761 Aktualizácia inventarizácie aktív, klasifikácie, kategorizácie a AR/BIA
762 )))|(((
763 Vykonanie povinnej a pravidelnej (raz ročne) aktualizácie inventarizácie aktív, klasifikácie aktív, kategorizácie IS a sietí a analýzy rizík a analýzy dopadov (AR/BIA) aj so zapojením vlastníkov aktív.  Súčasťou analýzy bude aj určenie RTO a RPO parametrov vlastníkmi aktív a zadefinovanie stratégie obnovy pre jednotlivé IS na základe RTO a plánu zálohovania na základe RPO. Predmetom dodávky bude aj vytvorenie katalógu rizík a podpora pri procese jeho formálneho schvaľovania vedením ZS KE.
764 )))
765 |(((
766 2.1
767 )))|(((
768 Nástroj na udržiavanie a správu aktív (asset management tool)
769 )))|(((
770 Informačný nástroj na efektívne udržiavanie aktuálneho zoznamu informačných aktív, napr. formou CMDB databázy.
771 )))
772 |(((
773 2.2
774 )))|(((
775 Nástroj na riadenie identít a prístupov
776 )))|(((
777 Centrálny nástroj na riadenie všetkých identít (používateľov IKT ZS KE – cca 750 používateľov) a najmä riadenie (prideľovanie, zmena, odoberanie) prístupov do IS v správe ZS KE. Súčasťou riešenia bude aj:
778
779 ·        re-konfigurácia a “hardening” existujúceho AD riešenia,
780
781 ·        SW vybavenie pre multi-faktorovú autentifikáciu privilegovaných používateľov k správe IS (cca 50 privilegovaných používateľov),
782
783 ·        technologické vybavenie pre autentifikáciu zariadení v sieti ZSKE (802.1x) pre cca 500 zariadení, najmä autentifikačný server (RADIUS) a PKI infraštruktúra pre generovanie a distribúciu šifrovacích kľúčov.
784 )))
785 |(((
786 2.3
787 )))|(((
788 Nasadenie nástroja na zálohovanie a uloženie záloh
789 )))|(((
790 Nasadenie nástroja pre manažovanie a automatické spúšťanie inkrementálnych a plných („full backup“) záloh systémov a dát a rovnako aj technologické vybavenie pre bezpečné uloženie záloh v primárnej lokalite a zároveň aj v inej lokalite mimo primárnych systémov formou automatickej replikácie záloh do tejto vzdialenej lokality.
791 )))
792
793
794 = {{id name="projekt_2813_Projektovy_zamer_detailny-4.NÁHĽADARCHITEKTÚRY"/}}4.     NÁHĽAD ARCHITEKTÚRY =
795
796
797 Náhľad architektúry sa nachádza v dokumente Prístup k projektu.
798
799
800 = {{id name="projekt_2813_Projektovy_zamer_detailny-5.ROZPOČETAPRÍNOSY"/}}5.     ROZPOČET A PRÍNOSY =
801
802
803 Prínosy projektu sú vypočítané na základe zákona o KB, kde zákonodarca priamo v § 31 ods. 2, písm. c) ohodnotil porušenie niektorých povinností pokutou do 1 percenta obratu, maximálne 300 000 EUR. Vzhľadom na zmeny v bezpečnostnom prostredí (zvýšenie frekvencií útokov, zraniteľností ako aj dopadov) je dôvodné predpokladať, že dnes by zákonodarca toto hodnotenie ešte zvýšil. Z tohto dôvodu považujeme za hodnotu "non-compliance" práve 300 000 EUR.
804
805
806 Túto hodnotu je možné považovať za minimálny prínos, nakoľko je možné uvažovať aj tým smerom, že bez implementácie riadenia informačnej a kybernetickej bezpečnosti hrozí riziko, že investície do tejto oblasti skončia bez zavedených procesov (a tým pádom nebudú ani zďaleka dosahovať svoj potenciál).
807
808 Tento prínos by však bol náročne objektívne ohodnotiteľný, preto zostávame pri hodnotení stanovenom zákonodarcom.
809
810
811 == {{id name="projekt_2813_Projektovy_zamer_detailny-5.1Sumarizácianákladovaprínosov"/}}5.1        Sumarizácia nákladov a prínosov ==
812
813
814 |(((
815 Náklady
816 )))|(((
817 Názov modulu
818 )))|(((
819 Názov modulu
820 )))|(((
821 Názov modulu
822 )))
823 |(((
824 **Všeobecný materiál**
825 )))|(((
826 Nástroj na udržiavanie a správu aktív (asset management tool)
827 )))|(((
828 Nástroj na riadenie identít a prístupov
829 )))|(((
830 Nástroj na zálohovanie a uloženie záloh
831 )))
832 |(((
833 **IT - CAPEX**
834 )))|(((
835 32.887 EUR
836 )))|(((
837 28.080 EUR
838 )))|(((
839 202.446 EUR
840 )))
841 |(((
842 Aplikácie
843 )))|(((
844
845 )))|(((
846
847 )))|(((
848 // //
849 )))
850 |(((
851 SW
852 )))|(((
853
854 )))|(((
855
856 )))|(((
857 // //
858 )))
859 |(((
860 HW
861 )))|(((
862
863 )))|(((
864
865 )))|(((
866 // //
867 )))
868 |(((
869 **IT - OPEX- prevádzka**
870 )))|(((
871 50 EUR
872 )))|(((
873 2400 EUR
874 )))|(((
875 2000 EUR
876 )))
877 |(((
878 Aplikácie
879 )))|(((
880
881 )))|(((
882
883 )))|(((
884 // //
885 )))
886 |(((
887 SW
888 )))|(((
889
890 )))|(((
891
892 )))|(((
893 // //
894 )))
895 |(((
896 HW
897 )))|(((
898
899 )))|(((
900
901 )))|(((
902 // //
903 )))
904
905
906 = {{id name="projekt_2813_Projektovy_zamer_detailny-6.HARMONOGRAMJEDNOTLIVÝCHFÁZPROJEKTUaMETÓDAJEHORIADENIA"/}}6.     HARMONOGRAM JEDNOTLIVÝCH FÁZ PROJEKTU a METÓDA JEHO RIADENIA =
907
908
909
910 |(((
911 ID
912 )))|(((
913 FÁZA/AKTIVITA
914 )))|(((
915 ZAČIATOK
916
917 (odhad termínu)
918 )))|(((
919 KONIEC
920
921 (odhad termínu)
922 )))
923 |(((
924 1.
925 )))|(((
926 Prípravná fáza a Iniciačná fáza
927 )))|(((
928 06/2024
929 )))|(((
930 10/2024
931 )))
932 |(((
933 2.
934 )))|(((
935 Realizačná fáza
936 )))|(((
937 11/2024
938 )))|(((
939 04/2026
940 )))
941 |(((
942 2a
943 )))|(((
944 Analýza a Dizajn
945 )))|(((
946 11/2024
947 )))|(((
948 04/2025
949 )))
950 |(((
951 2b
952 )))|(((
953 Nákup technických prostriedkov, programových prostriedkov a služieb
954 )))|(((
955 01/2025
956 )))|(((
957 06/2025
958 )))
959 |(((
960 2c
961 )))|(((
962 Implementácia a testovanie
963 )))|(((
964 05/2025
965 )))|(((
966 12/2025
967 )))
968 |(((
969 2d
970 )))|(((
971 Nasadenie
972 )))|(((
973 11/2025
974 )))|(((
975 02/2026
976 )))
977 |(((
978 3.
979 )))|(((
980 Dokončovacia fáza
981 )))|(((
982 01/2026
983 )))|(((
984 04/2026
985 )))
986 |(((
987 4.
988 )))|(((
989 Podpora prevádzky (SLA)
990 )))|(((
991 04/2026
992 )))|(((
993 04/2030
994 )))
995
996
997 ,
998
999 // //
1000
1001 // //
1002
1003
1004 = {{id name="projekt_2813_Projektovy_zamer_detailny-7.PROJEKTOVÝTÍM"/}}7.     PROJEKTOVÝ TÍM =
1005
1006
1007 Zostavuje sa **Riadiaci výbor (RV),** v minimálnom zložení:
1008
1009 Predseda RV
1010
1011 Biznis vlastník
1012
1013 Zástupca prevádzky
1014
1015 Zástupca dodávateľa (dopĺňa sa až po VO / voliteľný člen)
1016
1017 Projektový manažér objednávateľa (PM)
1018
1019
1020
1021
1022 |(((
1023 ID
1024 )))|(((
1025 Meno a Priezvisko
1026 )))|(((
1027 Pozícia
1028 )))|(((
1029 Rola v projekte
1030 )))
1031 |(((
1032 1.
1033 )))|(((
1034 Erik Bašista
1035 )))|(((
1036 odborný zamestnanec
1037 )))|(((
1038 Projektový manažér
1039 )))
1040 |(((
1041 2.
1042 )))|(((
1043 Tomáš Tomčík
1044 )))|(((
1045 odborný zamestnanec IT
1046 )))|(((
1047 Systémový manažér
1048 )))
1049 |(((
1050 3.
1051 )))|(((
1052 Pavol Sokol
1053 )))|(((
1054 odborný zamestnanec IT
1055 )))|(((
1056 Manažér kybernetickej bezpečnosti
1057 )))
1058
1059
1060 == {{id name="projekt_2813_Projektovy_zamer_detailny-7.1PRACOVNÉNÁPLNE"/}}7.1        PRACOVNÉ NÁPLNE ==
1061
1062
1063 __Riadiaci výbor projektu budú tvoriť:__
1064
1065 Členovia Riadiaceho výboru s hlasovacím právom:
1066
1067 * predseda Riadiaceho výboru projektu
1068 * manažér kybernetickej bezpečnosti objednávateľa (biznis vlastník), môže byť totožný s predsedom RV,
1069 * zástupca prevádzky
1070
1071
1072 Členovia Riadiaceho výboru bez hlasovacieho práva:
1073
1074 * projektový manažér prijímateľa
1075 * projektový manažér dodávateľa
1076 * zástupca dodávateľa
1077
1078
1079 Určenie zodpovednosti členov Riadiaceho výboru
1080
1081 Hlavným záujmom a zodpovednosťou predsedu Riadiaceho výboru projektu je:
1082
1083 * celkovo zodpovedať za projekt,
1084 * kontrolovať súlad projektu a projektových cieľov so strategickými cieľmi,
1085 * zabezpečiť a udržať finančné a personálne krytie realizácie projektu,
1086 * zabezpečiť nákladovo prijateľný prístup v projekte,
1087
1088 Hlavným záujmom a zodpovednosťou biznis vlastníka je:
1089
1090 * schválenie funkčných a technických požiadaviek alebo ich zmien, potreby, obsahu, kvalitatívnych a kvantitatívnych prínosov projektu,
1091 * definovanie očakávaní na kvalitu projektu, kritérií kvality projektových produktov, prínosov pre koncových používateľov a požiadaviek na
1092 * bezpečnosť,
1093 * definovanie merateľných výkonnostných ukazovateľov projektov a prvkov,
1094 * schválenie akceptačných kritérií,
1095 * odsúhlasenie spustenia výstupov projektu do produkčnej prevádzky,
1096 * dostupnosť ľudských zdrojov alokovaných na realizáciu projektu
1097
1098 Hlavným záujmom a zodpovednosťou zástupcu dodávateľa je:
1099
1100 * návrh riešenia, vytvorenie, vývoj, implementáciu, otestovanie a nasadenie projektových produktov,
1101 * zodpovedá za plnenie a dodávku predmetu projektu v zmluvne dohodnutom rozsahu, čase, kvalite a nákladoch,
1102
1103 .
1104
1105 = {{id name="projekt_2813_Projektovy_zamer_detailny-8.Legislatíva"/}}8.     Legislatíva =
1106
1107 V rámci platnej legislatívy nie je nutná zmeny legislatívy.
1108
1109
1110 Projekt je realizovaný za účelom dosiahnutia súladu s platnou legislatívou, najmä s:
1111
1112
1113 Zákonom č.69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov,
1114
1115 Zákonom č.95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov,
1116
1117 Vyhláškou č.401/2023 Z. z. o riadení projektov a zmenových požiadaviek v prevádzke informačných technológií verejnej správy,
1118
1119 Vyhláškou č.78/2020 Z. z. o štandardoch pre ITVS,
1120
1121 Vyhláškou č.179/2020 Z. z. o obsahu bezpečnostných opatrení ITVS,
1122
1123 Vyhláškou 362/2018 Z .z. o obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení).
1124
1125 = {{id name="projekt_2813_Projektovy_zamer_detailny-9.PRÍLOHY"/}}9.     PRÍLOHY =
1126
1127
1128 **Príloha: **Zoznam rizík a závislostí (Excel)
1129
1130 **Príloha:** Katalóg požiadaviek
1131
1132 // //
1133
1134