projekt_2813_Projektovy_zamer_detailny

Tento dokument je vypracovaný v súlade s Vyhláškou č. 401/2023 Z. z. o riadení projektov a zmenových požiadaviek v prevádzke informačných technológií verejnej správy. Dokument Projektový zámer pre iniciačnú fázu je určený na rozpracovanie informácií k projektu, aby bolo možné rozhodnúť o pokračovaní prípravy projektu, alokovaní rozpočtu, ľudských zdrojov a prechode do realizačnej fázy.

134

135

Ide o detailný projektový zámer k výzve "Podpora v oblasti kybernetickej a informačnej bezpečnosti na regionálnej úrovni – zdravotnícke zariadenia". Účelom dokumentu je rozšíriť spôsobilosti v oblasti informačnej a kybernetickej bezpečnosti a zabezpečiť súlad so zákonom č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov (ďalej ako “zákon o ITVS”) a zákonom č. 69/2018 Z. z. o kybernetickej bezpečnosti (ďalej len „zákon o KB“) v oblasti riadenia informačnej a kybernetickej bezpečnosti (ďalej ako „KIB“).

136

137

Aktuálna situácia v oblasti KIB v Záchrannej službe Košice (ďalej ako „ZS KE“) nie je ideálna. ZS KE nemá implementované všetky riešenia a opatrenia pre zvýšenie úrovne KIB. Z externého pohľadu sa zvyšuje frekvencia a závažnosť bezpečnostných hrozieb a útokov, z interného pohľadu sa zase neustále zvyšuje závislosť na informačných aktívach a IT systémoch. Zvyšujú sa teda bezpečnostné hrozby, výskyt zraniteľnosti a následne aj dopady bezpečnostných incidentov. Realizácia projektu zabezpečí zlepšenie technologického, procesného, infraštruktúrneho, vedomostného a organizačného zabezpečenia zručností, kapacít a spôsobilostí pre plnenie úloh v oblasti KIB.

138

139

140

ZS KE má vykonaný audit kybernetickej bezpečnosti v zmysle platnej právnej úpravy a zároveň na ZS KE prebehla Analýza aktuálneho stavu bezpečnostných opatrení a postupov v organizácii, pričom bolo odhalených niekoľko dôležitých oblastí, ktoré vyžadujú okamžitú pozornosť a zlepšenie. Ide najmä o oblasť riadenia prístupov, riadenia kontinuity činností (ďalej ako „BCM“) a zálohovania.

141

142

143

Hlavným cieľom je zabezpečiť integritu, dostupnosť a dôvernosť informácií organizácie, a to prostredníctvom účinných bezpečnostných opatrení a postupov.

144

145

146

ZSKE nemá implementované požadované požiadavky v niektorých oblastiach KIB z nasledovných dôvodov:

147

148

* nie sú k dispozícii personálne kapacity pre oblasť riadenia KIB a na prevádzku bezpečnostných systémov,

149

* nie sú k dispozícii dostatočné finančné zdroje,

150

* nemáme zavedené všetky procesy riadenia KIB.

151

152

153

Predmetom projektu je realizácia opatrení na zvýšenie úrovne informačnej a kybernetickej bezpečnosti ZS KE, čo chceme naplniť nasledujúcimi podaktivitami:

154

155

* Aktivity ohľadom aktualizácie dokumentácie a nastavenia procesov riadenia KIB:

156

** aktualizácia bezpečnostnej politiky kybernetickej bezpečnosti najmä vo väzbe na opatrenia zavedené týmto projektom,

157

** aktualizácia interných smerníc a politík pre všetky relevantné oblasti riadenia KIB, najmä pre oblasti pokryté opatreniami v rámci tohto projektu.

158

* Analytické aktivity:

159

** aktualizácia identifikácie a evidencie informačných aktív,

160

** aktualizácia klasifikácie informácií a kategorizácie IS a sietí,

161

** aktualizácia analýzy rizík a analýzy dopadov (AR/BIA),

162

** zavedenie procesu formálneho rozhodovania ohľadom riadenia identifikovaných rizík,

163

** na základe výsledkov AR/BIA zadefinovanie stratégie obnovy pre jednotlivé IS,

164

** aktualizácia plánu zálohovania podľa výsledkov AR/BIA.

165

* Implementačné a konfiguračné aktivity bezpečnostných riešení:

166

** zavedenie nástroja na udržiavanie a správu aktív (asset management),

167

** implementácia riešenia pre správu identít a prístupov (IDM), ktorého súčasťou bude aj:

168

*** zavedenie viacfaktorového overovania pre privilegovaných používateľov,

169

*** re-konfigurácia a “hardening” existujúceho AD riešenia,

170

*** zavedenie Network Access Control (NAC) v súlade so štandardom IEEE 802.1x, vrátane autentifikačného servera (RADIUS) a PKI infraštruktúry pre generovanie a distribúciu šifrovacích kľúčov,

171

** implementácia riešenia pre zálohovanie a bezpečné uloženie záloh v inej lokalite (mimo serverovní s primárnou infraštruktúrou) a zladenie procesu s plánom zálohovania navrhnutým na základe výsledkov AR/BIA (RPO definované vlastníkmi aktív).

172

* Pre-financovanie spracovania žiadosti o NFP.

173

174

175

Výsledkom projektu bude aktualizácia základných dokumentov a nastavenie základného rámca a procesov riadenia KIB (tzv. governance), zrealizovaná aktualizácia inventarizácie a klasifikácie aktív a kategorizácie IS, aktualizácia AR/BIA a zavedený formalizovaný proces riadenia rizík, vrátane podpory evidencie a správy aktív SW nástrojom. Okrem toho projekt zabezpečí nasadenie potrebných bezpečnostných nástrojov, najmä pre účely riadenia prístupov, riadenia BCM a zálohovania a pod.

176

177

Po implementácii projektu bude proces už zavedený a vykonávaný internými ľuďmi, predovšetkým manažérom kybernetickej bezpečnosti a pracovníkmi útvaru IT.

178

179

180

Projekt je vypracovaný v súlade s nasledovným typom aktivity: Zlepšovanie technologického, procesného, infraštruktúrneho, vedomostného a organizačného zabezpečenia zručností a kapacít pre plnenie úloh v oblasti KIB v prostredí zdravotníckych zariadení s definovanou hlavnou aktivitou: Realizácia opatrení na zvýšenie úrovne informačnej a kybernetickej bezpečnosti.

181

182

183

Celková žiadaná výška ŽoNFP je 299.300 EUR.

184

185

186

== {{id name="projekt_2813_Projektovy_zamer_detailny-2.2Motiváciaarozsahprojektu"/}}2.2 Motivácia a rozsah projektu ==

187

188

189

Hlavnou motiváciou projektu je zvýšenie úrovne KIB v ZS KE, najmä pripravenosti čeliť interným a externým hrozbám v oblasti KIB. Na rozdiel od súčasného stavu bude ZS KE disponovať výrazne vyššími schopnosťami predchádzať bezpečnostným incidentom súvisiacim najmä s oblasťou riadenia a správy prístupov. Technologické vybavenie bude umožňovať lepšiu ochranu pred útokmi z externého a interného prostredia, ako aj ochranu dát a zároveň bude zabezpečená dostatočná redundancia a bezpečné uloženie systémových záloh a záloh dát.

190

191

192

Medzi hlavné ciele systému riadenia KIB patria:

193

194

* zabezpečenie správnej a bezpečnej prevádzky prostriedkov spracúvajúcich informácie,

195

* monitorovanie prostredia,

196

* riadenie a povoľovanie prístupov len autorizovaným osobám.

197

198

199

Navrhovaný projekt „Podpora v oblasti kybernetickej a informačnej bezpečnosti na regionálnej úrovni – zdravotnícke zariadenia" súvisí najmä s:

200

201

* naplnením povinností definovanými v zákone o KB a zákone o ITVS, najmä opatreniami definovanými v § 20 zákona o KB,

202

* nutnosťou zvýšenia úrovne a schopnosti zabezpečovať a riadiť KIB vzhľadom na sústavne sa zvyšujúce bezpečnostné hrozby a riziká,

203

* nutnosťou reagovať na prípadné bezpečnostné incidenty, napr. ransomware útoky, ktoré sú v poslednej dobe značne rozšírené najmä v oblasti zdravotníctva,

204

* zabezpečením realizácie spoločných blokov bezpečnostnej architektúry v súlade s NKIVS a strategickou prioritou informačnej a kybernetickej bezpečnosti,

205

* ako reakcia na aktuálny nedostatočný stav úrovne vyspelosti procesov riadenia KIB,

206

* ako reakcia na aktuálne zmeny v používaní IT, ako aj závažné útoky v oblasti kybernetickej bezpečnosti.

207

208

209

Projekt rieši nasledovné špecifické problémy v oblasti KIB:

210

211

* Nová legislatíva v oblasti KIB je náročne implementovateľná bez značných investícií a najmä bez potrebných expertných ľudských zdrojov.

212

* Absencia fundovaných ľudí, ale aj vzorov, návodov, metodických usmernení a inštrukcií.

213

* Pravidelnú, povinnú aktualizáciu inventarizácie informačných aktív, klasifikácie a kategorizácie IS a sietí, analýzy rizík a analýzy dopadov aj so zapojením vlastníkov aktív a zabezpečený formalizovaný a opakovaný proces riadenia identifikovaných rizík (ich mitigácie). Ide o aktivity, ktoré sú nevyhnutným a nutným predpokladom pre efektívne riadenie KIB a ďalší rozvoj v tejto oblasti.

214

* Oblasť riadenia prístupov je bez IKT podpory, takže samotné riadenie prístupov je aktuálne zdĺhavé a značne neefektívne, pričom sa zároveň zvyšuje aj pravdepodobnosť výskytu ľudských chýb.

215

* Taktiež nie je zabezpečená multi-faktorová autentifikácia, min. na strane privilegovaných používateľov pri prístupe k informačným systémom v ich správe a rovnako aj autentifikácia zariadení pripojených do siete ZS KE.

216

* Značne neefektívny a nedostatočný z pohľadu bezpečnosti a redundancie záloh je aj proces zálohovania, kedy je potrebné, v prípade bezpečnostného incidentu alebo chyby, bezpečne a spoľahlivo obnoviť informačné systémy a dáta.

217

218

219

Chýbajú bezpečnostné funkcie a opatrenia najmä v oblasti:

220

221

* viac-faktorovej autentifikácie,

222

* autentifikácie zariadení v sieti ZS KE,

223

* riadenia prístupov a identít,

224

* zálohovania a redundancie záloh.

225

226

227

Okrem toho ZS KE nemá dostatočne zabezpečenú serverovňu a HW vybavenie je zastaralé. Sieťová infraštruktúra pre spájanie pobočiek je zabezpečená prostredníctvom VPN siete dodávanej a spravovanej externým dodávateľom (v čase podania projektu spoločnosťou Slovanet). ZS KE prevádzkuje v riaditeľstve a na centrále vlastnú lokálnu počítačovú sieť s nízkou úrovňou segmentácie siete. Jej komponenty sú však zastarané a bez podpory.

228

229

230

Rovnako chýbajú ľudské zdroje pre celkové riadenie KIB ale najmä pre oblasti:

231

232

* konsolidácie logov a auditných záznamov,

233

* analyzovanie bezpečnostných udalostí a incidentov v režime 24/7 a ich vyhodnocovanie,

234

* riešenie bezpečnostných incidentov,

235

* obnova systémov do pôvodného stavu v prípade výskytu incidentu alebo poruchy systémov.

236

237

238

**Informačné systémy v správe ZSKE:**

239

240

* Garis ERP (Enterprise resource planing) – účtovný ekonomický software. V implementácii je aj personalistický a mzdový modul.

241

* PROMIS Doprava - kľúčový systém, v ktorom sú zhromaždené dáta pre vykazovanie zdravotnej starostlivosti na zdravotné poisťovne.

242

* WEB, intranet interná sekcia – systém na zápis záznamu služby.

243

244

245

__Implementácia projektu bude prebiehať v nasledovných krokoch:__

__ __

**__Hlavná aktivita: __Realizácia opatrení na zvýšenie úrovne informačnej a kybernetickej bezpečnosti**

250

251

252

Jednotlivé pod-aktivity v rámci implementácie projektu:

253

254

* **Analýza a dizajn bude obsahovať:**

255

* konzultačné a analytické práce spojené s identifikáciou možností realizácie, potrebných zdrojov a riešení,

256

* identifikáciu a analýzu rolí, procesov a integrácii,

257

* funkčnú a nefunkčnú špecifikáciu celého riešenia,

258

* definíciu všetkých manažérskych a špecializovaných produktov spolu s akceptačnými kritériami.

259

260

261

* **Nákup HW a prípadne aj krabicového SW pozostáva z nákupu hardvérového a softvérového vybavenia**

262

* Nástroj na evidenciu aktív (asset management).

263

* Nástroj na riadenie identít a prístupov (IDM) vrátane:

264

** SW vybavenia pre MFA pre „privilegovaných používateľov“.

265

** SW vybavenia pre NAC (autentifikačný server a PKI).

266

* Nástroja pre riešenie zálohovania a ukladanie záloh.

267

* Potrebného HW vybavenia.

268

269

270

* **Implementácia bude obsahovať:**

271

* implementáciu a nastavenie jednotlivých technických služieb,

272

* implementácia bezpečnostných opatrení,

273

* implementácia proaktívnych a reaktívnych služieb,

274

* obvyklé testovanie celého riešenia popri implementácii,

275

* zladenie interných procesov riešenia zálohovania s plánom zálohovania vytvoreným na základe výsledkov AR/BIA (RPO definované vlastníkmi aktív).

276

277

278

* **Testovanie obsahuje**:

279

* testovanie funkcionality riešenia,

280

* vulnerability testovanie,

281

* testovanie integrácii,

282

* pilotnú prevádzku,

283

* akceptačné testovanie.

284

285

286

* **Nasadenie obsahuje:**

287

* nasadenie riešenia do produkčného prostredia, zaškolenie pre celé riešenie

288

* prechod na plnú prevádzku.

289

290

291

* **Podporná aktivita** – Projektový manažér interný/externý na riadenie hlavných aktivít projektu.

292

293

294

* **Podporná aktivita – Publicita a informovanosť** vzhľadom na povahu projektu obsahuje iba povinné položky, t. j. umiestnenie trvalo vysvetľujúcej tabule a dočasný veľkoplošný pútač

295

296

297

== {{id name="projekt_2813_Projektovy_zamer_detailny-2.3Zainteresovanéstrany/Stakeholderi"/}}2.3 Zainteresované strany/Stakeholderi ==

|(((

ID

)))|(((

AKTÉR / STAKEHOLDER

)))|(((

SUBJEKT

(názov / skratka)

)))|(((

ROLA

(vlastník procesu/ vlastník dát/zákazník/ užívateľ …. člen tímu atď.)

)))|(((

Informačný systém

(MetaIS kód a názov ISVS)

)))

|(((

1.

)))|(((

Záchranná služba Košice

)))|(((

ZSKE

)))|(((

Používateľ opatrení na zvýšenie úrovne informačnej a kybernetickej bezpečnosti

)))|(((

-

)))

== {{id name="projekt_2813_Projektovy_zamer_detailny-2.4Cieleprojektu"/}}2.4 Ciele projektu ==

|(((

ID

)))|(((

Názov cieľa

)))|(((

Názov strategického cieľa

344

)))|(((

345

Spôsob realizácie strategického cieľa

)))

|(((

1

)))|(((

RSO 1.2 Využívanie prínosov digitalizácie pre občanov, podniky, výskumné organizácie a orgány verejnej správy

351

)))|(((

352

Zlepšovanie technologického, procesného, infraštruktúrneho, vedomostného a organizačného zabezpečenia zručností a kapacít pre plnenie úloh v oblasti KIB v prostredí orgánov štátnej a verejnej správy.

353

)))|(((

354

Implementácia projektu

)))

**~ **

**~ **

== {{id name="projekt_2813_Projektovy_zamer_detailny-2.5Merateľnéukazovatele(KPI)"/}}2.5 Merateľné ukazovatele (KPI) ==

|(((

ID

)))|(((

ID/Názov cieľa

)))|(((

Názov

ukazovateľa (KPI)

)))|(((

Merná jednotka

)))|(((

Čas plnenia

merateľného

ukazovateľa projektu

)))|(((

závislosti

merateľného

ukazovateľa

projektu)

)))|(((

Príznak rizika

)))|(((

Relevancia

k HP

)))

|(((

VÝSTUP

PO095 / PSKPSOI12

)))|(((

RSO 1.2 Využívanie prínosov digitalizácie pre občanov, podniky, výskumné organizácie a orgány verejnej správy

404

)))|(((

405

Verejné inštitúcie podporované v

406

407

rozvoji kybernetických služieb,

produktov a procesov

)))|(((

verejné inštitúcie

)))|(((

ku koncu realizácie

hlavných aktivít

projektu

)))|(((

1

)))|(((

nie

)))|(((

n/a

)))

|(((

VÝSLEDOK

PR017 / PSKPRCR11

)))|(((

RSO 1.2 Využívanie prínosov digitalizácie pre občanov, podniky, výskumné organizácie a orgány verejnej správy

431

)))|(((

432

Používatelia nových a vylepšených

433

434

verejných digitálnych služieb,

produktov a procesov

)))|(((

Používatelia/rok

)))|(((

v rámci udržateľnosti

projektu

)))|(((

150

)))|(((

nie

)))|(((

n/a

)))

== {{id name="projekt_2813_Projektovy_zamer_detailny-2.6Rizikáazávislosti"/}}2.6 Riziká a závislosti ==

453

454

455

Riziká sa nachádzajú v samostatnej prílohe.

== {{id name="projekt_2813_Projektovy_zamer_detailny-2.7Stanoveniealternatívvbiznisovejvrstvearchitektúry"/}}2.7 Stanovenie alternatív v biznisovej vrstve architektúry ==

460

461

462

V rámci biznis architektúry sú popísané služby, ktoré by v zmysle § 20 zákona o KB, mali byť implementované za účelom vytvorenia efektívneho a spoľahlivého systému kybernetickej ochrany IS a implementácie bezpečnostných opatrení vyžadovaných zákonom o KB. Na základe tohto projektu sa implementujú služby bezpečnosti definované v § 20 zákona o KB, resp. zefektívnia sa existujúce postupy a opatrenia, a tým sa zvýši úroveň KIB a zabezpečí sa súlad s legislatívnymi požiadavkami.

463

464

Cieľom tohto projektu je implementovať systém riadenia KIB a bezpečnostné opatrenia v súlade so zákonom o KB, a to hlavne:

465

466

* zvýšením úrovne governance a vyspelosti procesov riadenia KIB,

467

* zvýšením ochrany pred útokmi z externého, ale aj interného prostredia,

468

* zvýšením schopnosti detekcie a reakcie na škodlivé aktivity a bezpečnostné incidenty,

469

* zvýšením úrovne ochrany dát, dátových prenosov a komunikácie,

470

* zvýšením schopnosti proaktívne identifikovať možné zraniteľnosti prevádzkovaných systémov.

471

472

Bez implementácie governance, procesov a analýzy rizík nie je možné efektívne riadiť informačnú a kybernetickú bezpečnosť a zabezpečiť efektívne vynakladanie prostriedkov na IKIB a nie je možné efektívne implementovať ďalšie, dodatočné bezpečnostné opatrenia, riešenia a systémy ochrany.

473

474

475

__Alternatívy riešenia sú nasledovné__:

476

477

**Alternatíva 1:** realizácia KIB** **v rámci tohto projektu.

478

479

**Alternatíva 2:** ponechanie realizácie bezpečnostných opatrení a rozvoja KIB v rámci zdrojov, kapacít a rozpočtu organizácie, čo predstavuje realizáciu za veľmi dlhý čas a najmä aktuálny nedostatok ľudských zdrojov na implementáciu všetkých potrebných bezpečnostných riešení.

480

481

482

Projekt Podpora v oblasti kybernetickej a informačnej bezpečnosti na regionálnej úrovni – zdravotnícke zariadenia na úrovni biznis architektúry v súlade s Alternatívou A bude pozostávať z nasledovných biznis funkcií, ktoré budú realizovať nižšie uvedené procesy:

483

484

* Riadenie aktív a riadenie rizík.

485

** Proces evidencie a správy aktív.

486

** Proces klasifikácie informácií a kategorizácie IS a sietí.

487

** Proces realizácie AR/BIA.

488

** Proces rozhodovania ohľadom riadenia identifikovaných rizík.

489

* Riadenie prístupov.

490

** Proces riadenia identít a prístupov.

491

** Proces bezpečného prístupu a viac-faktorovej autentifikácie pri prístupe privilegovaných používateľov k správe IS.

492

** Proces autentifikácie a prístupu k sieti len autorizovaných zariadení.

493

* Riadenie kontinuity činností.

494

** Proces zálohovania.

495

** Proces ochrany a redundancie záloh.

496

497

498

Okrem uvedených biznis funkcií je projekt zameraný aj na podporu pre oblasti:

499

500

* governance KIB a bezpečnostná dokumentácia,

501

* zavedenie procesov riadenia KIB pre všetky relevantné oblasti riadenia.

502

503

504

V alternatíve B odhadujeme, že za rovnaký čas (trvanie projektu) a z aktuálne dostupnými technickými prostriedkami a ľudskými zdrojmi by ZS KE bola schopná zrealizovať a do praxe implementovať len nasledovné biznis funkcie:

505

506

* Riadenie aktív a riadenie rizík.

507

508

509

Implementácia len tejto biznis funkcie je z pohľadu zabezpečenia ochrany informačných aktív ZS KE a naplnenia legislatívnych požiadaviek absolútne nepostačujúca.

== {{id name="projekt_2813_Projektovy_zamer_detailny-2.8Multikriteriálnaanalýza"/}}2.8 Multikriteriálna analýza ==

|(((

**// //**

)))|(((

KRITÉRIUM

)))|(((

ZDÔVODNENIE KRIÉRIA

)))|(((

MIRRI (výzva)

)))|(((

Organizácia

)))|(((

STAKEHOLDER

3

)))

|(% rowspan="6" %)(((

BIZNIS VRSTVA

// //

)))|(((

A Súlad s legislatívou a zabezpečenie legislatívnych požiadaviek čo najjednoduchším riešením.

538

)))|(((

539

Je potrebné naplniť požiadavky zákonov 69/2018 Z. z. a 95/2019 Z. z., čo najefektívnejšie

)))|(((

áno

)))|(((

áno

)))|(((

)))

|(((

B Rýchlosť implementácie.

549

)))|(((

550

Z pohľadu zákona 69/2018 Z. z. je potrebné implementáciu stihnúť čo najskôr

)))|(((

áno

)))|(((

nie

)))|(((

)))

|(((

C Nízka náročnosť implementácie z pohľadu ľudských zdrojov a času

560

)))|(((

561

Vzhľadom na stav ľudských zdrojov je potrebné projekt navrhnúť tak, aby mal čo najmenšiu náročnosť na ľudské zdroje

)))|(((

áno

)))|(((

nie

)))|(((

)))

|(((

Kritérium D (KO)

)))|(((

)))|(((

)))|(((

)))|(((

)))

|(((

Kritérium E

)))|(((

)))|(((

)))|(((

)))|(((

)))

|(((

Kritérium F

)))|(((

)))|(((

)))|(((

)))|(((

)))

|(((

Zoznam kritérií

)))|(((

Alternatíva

1

)))|(((

Spôsob

dosiahnutia

)))|(((

Alternatíva 2

)))|(((

Spôsob

dosiahnutia

)))

|(((

Kritérium A

)))|(((

áno

)))|(((

Projekt zavádza procesy Governance v oblasti KIB

)))|(((

čiastočne

)))|(((

)))

|(((

Kritérium B

)))|(((

áno

)))|(((

Realizácia výzvy je najrýchlejšou možnosťou implementácie

)))|(((

nie

)))|(((

)))

|(((

Kritérium C

)))|(((

áno

)))|(((

Projekty budú realizované formou dodávky a budú minimalizovať nároky na interné ľudské zdroje

)))|(((

nie

)))|(((

)))

|(((

Kritérium D

)))|(((

)))|(((

)))|(((

)))|(((

)))

Na základe vyhodnotenia MCA analýzy je možné konštatovať, že najvýhodnejšou alternatívou je alt. 1 - realizácia KIB v rámci tohto projektu.

// //

== {{id name="projekt_2813_Projektovy_zamer_detailny-2.9Stanoveniealternatívvaplikačnejvrstvearchitektúry"/}}2.9 Stanovenie alternatív v aplikačnej vrstve architektúry ==

673

674

Na základe výberu Alternatívy A pre naplnenie cieľov projektu je nevyhnutné nastavenie procesov pre riadenie a kontinuálne zvyšovanie úrovne informačnej a kybernetickej bezpečnosti ZSKE.

675

676

677

Z pohľadu aplikačnej vrstvy architektúry je účelom projektu:

678

679

* implementácia preventívnych služieb, ktorých cieľom je ochrana kybernetického priestoru s cieľom zamedziť narušeniu z vnútorného, alebo vonkajšieho prostredia,

680

* budovanie reaktívnych služieb za účelom identifikácie (preventívne služby) a riešenia (reaktívne služby) kybernetických bezpečnostných incidentov.

681

682

683

**Preventívne služby budú zamerané na prevenciu kybernetických bezpečnostných incidentov a budú sa skladať z týchto procesov a funkcií:**

684

685

* vytváranie bezpečnostného povedomia,

686

* vzdelávanie zamestnancov a správcov IS v oblasti kybernetickej bezpečnosti,

687

* technologický dozor,

688

* vykonávanie bezpečnostných auditov,

689

* poskytovanie informácií a údajov do jednotného informačného systému kybernetickej bezpečnosti a prijímanie a zasielanie včasného varovania pred bezpečnostnými incidentmi,

690

* riadenie identít a prístupov,

691

* vykonávanie pravidelného hardeningu a aktualizácie infraštruktúry a softvérového vybavenia.

692

693

694

**Reaktívne služby pre bezpečnostný monitoring budú zamerané na riešenie kybernetických bezpečnostných incidentov a budú vykonávané prostredníctvom nasledujúcich procesov a funkcií:**

695

696

* obnova systémov a dát zo záloh,

697

* návrh opatrení na zabránenie ďalšiemu pokračovaniu, šíreniu a opakovanému výskytu kybernetických bezpečnostných incidentov.

698

699

700

Aplikačná architektúra bude pre jednotlivé biznis funkcie, uvedené v časti biznis architektúry, tvorená nasledovnými aplikačnými modulmi:

701

702

* Riadenie aktív a riadenie rizík.

703

** Implementácia nástroja na evidenciu aktív (asset management).

704

* Riadenie prístupov.

705

** Implementácia IDM vrátane 2FA:

706

*** Zavedenie 2FA pre privilegovaných používateľov pre prístup k IS a zariadeniam.

707

*** Zavedenie autentifikácie zariadení v sieti ZS KE.

708

** Riadenie kontinuity činností.

709

*** Implementácia nástroja pre zálohovanie.

710

*** Implementácia úložiska záloh mimo priestorov umiestnenia primárnej technológie (princíp 3-2-1).

711

712

713

== {{id name="projekt_2813_Projektovy_zamer_detailny-2.10Stanoveniealternatívvtechnologickejvrstvearchitektúry"/}}2.10 Stanovenie alternatív v technologickej vrstve architektúry ==

714

715

Ciele projektu a súlad s platnou legislatívou KIB je možné naplniť iba výberom Alternatívy A, ktorá z pohľadu technologickej vrstvy znamená implementáciu požiadaviek.

// //

= {{id name="projekt_2813_Projektovy_zamer_detailny-3.POŽADOVANÉVÝSTUPY(PRODUKTPROJEKTU)"/}}3. POŽADOVANÉ VÝSTUPY (PRODUKT PROJEKTU) =

|(((

**ID**

)))|(((

**Aktivita/prevádzková dokumentácia (výstup)**

)))|(((

**Poznámka**

)))

|(((

1.1

)))|(((

Aktualizácia smerníc a prevádzkovej dokumentácie riadenia informačnej bezpečnosti a kybernetickej bezpečnosti

733

)))|(((

734

Výstupom aktivity budú aktualizované nasledovné smernice a dokumenty, najmä vo väzbe na implementované technické bezpečnostné riešenia uvedené nižšie v bodoch 2.1 až 2.3:

735

736

· Smernica riadenia prístupových práv a postupy multi-faktorovej autentifikácie.

737

738

· Plán zálohovania (na základe výsledkov RPO v aktivite 1.2) a smernica ohľadom postupov zálohovania.

739

740

· Definovanie stratégie obnovy (na základe výsledkov RTO v aktivite 1.2).

741

742

· Stratégia kybernetickej bezpečnosti.

743

744

· Bezpečnostná politika.

745

746

· Bezpečnostná smernica pre používateľov.

747

748

· Smernica o bezpečnej prevádzke IS pre administrátorov.

749

750

· Smernica pre riadenie informačnej bezpečnosti.

751

752

· Smernica pre riadenie aktív a rizík, vrátane AR/BIA metodiky vytvorenej a v súlade s NBÚ metodikou a prispôsobenej podmienkam ZSKE.

753

754

· Smernica klasifikácie a kategorizácie IS a sietí.

755

756

· Smernica ohľadom bezpečnostných požiadaviek pre obstarávanie nových IS.

)))

|(((

1.2

)))|(((

Aktualizácia inventarizácie aktív, klasifikácie, kategorizácie a AR/BIA

762

)))|(((

763

Vykonanie povinnej a pravidelnej (raz ročne) aktualizácie inventarizácie aktív, klasifikácie aktív, kategorizácie IS a sietí a analýzy rizík a analýzy dopadov (AR/BIA) aj so zapojením vlastníkov aktív. Súčasťou analýzy bude aj určenie RTO a RPO parametrov vlastníkmi aktív a zadefinovanie stratégie obnovy pre jednotlivé IS na základe RTO a plánu zálohovania na základe RPO. Predmetom dodávky bude aj vytvorenie katalógu rizík a podpora pri procese jeho formálneho schvaľovania vedením ZS KE.

)))

|(((

2.1

)))|(((

Nástroj na udržiavanie a správu aktív (asset management tool)

769

)))|(((

770

Informačný nástroj na efektívne udržiavanie aktuálneho zoznamu informačných aktív, napr. formou CMDB databázy.

)))

|(((

2.2

)))|(((

Nástroj na riadenie identít a prístupov

776

)))|(((

777

Centrálny nástroj na riadenie všetkých identít (používateľov IKT ZS KE – cca 750 používateľov) a najmä riadenie (prideľovanie, zmena, odoberanie) prístupov do IS v správe ZS KE. Súčasťou riešenia bude aj:

778

779

· re-konfigurácia a “hardening” existujúceho AD riešenia,

780

781

· SW vybavenie pre multi-faktorovú autentifikáciu privilegovaných používateľov k správe IS (cca 50 privilegovaných používateľov),

782

783

· technologické vybavenie pre autentifikáciu zariadení v sieti ZSKE (802.1x) pre cca 500 zariadení, najmä autentifikačný server (RADIUS) a PKI infraštruktúra pre generovanie a distribúciu šifrovacích kľúčov.

)))

|(((

2.3

)))|(((

Nasadenie nástroja na zálohovanie a uloženie záloh

789

)))|(((

790

Nasadenie nástroja pre manažovanie a automatické spúšťanie inkrementálnych a plných („full backup“) záloh systémov a dát a rovnako aj technologické vybavenie pre bezpečné uloženie záloh v primárnej lokalite a zároveň aj v inej lokalite mimo primárnych systémov formou automatickej replikácie záloh do tejto vzdialenej lokality.

)))

= {{id name="projekt_2813_Projektovy_zamer_detailny-4.NÁHĽADARCHITEKTÚRY"/}}4. NÁHĽAD ARCHITEKTÚRY =

795

796

797

Náhľad architektúry sa nachádza v dokumente Prístup k projektu.

798

799

800

= {{id name="projekt_2813_Projektovy_zamer_detailny-5.ROZPOČETAPRÍNOSY"/}}5. ROZPOČET A PRÍNOSY =

801

802

803

Prínosy projektu sú vypočítané na základe zákona o KB, kde zákonodarca priamo v § 31 ods. 2, písm. c) ohodnotil porušenie niektorých povinností pokutou do 1 percenta obratu, maximálne 300 000 EUR. Vzhľadom na zmeny v bezpečnostnom prostredí (zvýšenie frekvencií útokov, zraniteľností ako aj dopadov) je dôvodné predpokladať, že dnes by zákonodarca toto hodnotenie ešte zvýšil. Z tohto dôvodu považujeme za hodnotu "non-compliance" práve 300 000 EUR.

804

805

806

Túto hodnotu je možné považovať za minimálny prínos, nakoľko je možné uvažovať aj tým smerom, že bez implementácie riadenia informačnej a kybernetickej bezpečnosti hrozí riziko, že investície do tejto oblasti skončia bez zavedených procesov (a tým pádom nebudú ani zďaleka dosahovať svoj potenciál).

807

808

Tento prínos by však bol náročne objektívne ohodnotiteľný, preto zostávame pri hodnotení stanovenom zákonodarcom.

809

810

811

== {{id name="projekt_2813_Projektovy_zamer_detailny-5.1Sumarizácianákladovaprínosov"/}}5.1 Sumarizácia nákladov a prínosov ==

|(((

Náklady

)))|(((

Názov modulu

)))|(((

Názov modulu

)))|(((

Názov modulu

)))

|(((

**Všeobecný materiál**

825

)))|(((

826

Nástroj na udržiavanie a správu aktív (asset management tool)

827

)))|(((

828

Nástroj na riadenie identít a prístupov

829

)))|(((

830

Nástroj na zálohovanie a uloženie záloh

)))

|(((

**IT - CAPEX**

)))|(((

32.887 EUR

)))|(((

28.080 EUR

)))|(((

202.446 EUR

)))

|(((

Aplikácie

)))|(((

)))|(((

)))|(((

// //

)))

|(((

SW

)))|(((

)))|(((

)))|(((

// //

)))

|(((

HW

)))|(((

)))|(((

)))|(((

// //

)))

|(((

**IT - OPEX- prevádzka**

)))|(((

50 EUR

)))|(((

2400 EUR

)))|(((

2000 EUR

)))

|(((

Aplikácie

)))|(((

)))|(((

)))|(((

// //

)))

|(((

SW

)))|(((

)))|(((

)))|(((

// //

)))

|(((

HW

)))|(((

)))|(((

)))|(((

// //

)))

= {{id name="projekt_2813_Projektovy_zamer_detailny-6.HARMONOGRAMJEDNOTLIVÝCHFÁZPROJEKTUaMETÓDAJEHORIADENIA"/}}6. HARMONOGRAM JEDNOTLIVÝCH FÁZ PROJEKTU a METÓDA JEHO RIADENIA =

|(((

ID

)))|(((

FÁZA/AKTIVITA

)))|(((

ZAČIATOK

(odhad termínu)

)))|(((

KONIEC

(odhad termínu)

)))

|(((

1.

)))|(((

Prípravná fáza a Iniciačná fáza

)))|(((

06/2024

)))|(((

10/2024

)))

|(((

2.

)))|(((

Realizačná fáza

)))|(((

11/2024

)))|(((

04/2026

)))

|(((

2a

)))|(((

Analýza a Dizajn

)))|(((

11/2024

)))|(((

04/2025

)))

|(((

2b

)))|(((

Nákup technických prostriedkov, programových prostriedkov a služieb

)))|(((

01/2025

)))|(((

06/2025

)))

|(((

2c

)))|(((

Implementácia a testovanie

)))|(((

05/2025

)))|(((

12/2025

)))

|(((

2d

)))|(((

Nasadenie

)))|(((

11/2025

)))|(((

02/2026

)))

|(((

3.

)))|(((

Dokončovacia fáza

)))|(((

01/2026

)))|(((

04/2026

)))

|(((

4.

)))|(((

Podpora prevádzky (SLA)

)))|(((

04/2026

)))|(((

04/2030

)))

,

// //

// //

= {{id name="projekt_2813_Projektovy_zamer_detailny-7.PROJEKTOVÝTÍM"/}}7. PROJEKTOVÝ TÍM =

1005

1006

1007

Zostavuje sa **Riadiaci výbor (RV),** v minimálnom zložení:

Predseda RV

Biznis vlastník

Zástupca prevádzky

Zástupca dodávateľa (dopĺňa sa až po VO / voliteľný člen)

1016

1017

Projektový manažér objednávateľa (PM)

|(((

ID

)))|(((

Meno a Priezvisko

)))|(((

Pozícia

)))|(((

Rola v projekte

)))

|(((

1.

)))|(((

Erik Bašista

)))|(((

odborný zamestnanec

)))|(((

Projektový manažér

)))

|(((

2.

)))|(((

Tomáš Tomčík

)))|(((

odborný zamestnanec IT

)))|(((

Systémový manažér

)))

|(((

3.

)))|(((

Pavol Sokol

)))|(((

odborný zamestnanec IT

1055

)))|(((

1056

Manažér kybernetickej bezpečnosti

)))

== {{id name="projekt_2813_Projektovy_zamer_detailny-7.1PRACOVNÉNÁPLNE"/}}7.1 PRACOVNÉ NÁPLNE ==

1061

1062

1063

__Riadiaci výbor projektu budú tvoriť:__

1064

1065

Členovia Riadiaceho výboru s hlasovacím právom:

1066

1067

* predseda Riadiaceho výboru projektu

1068

* manažér kybernetickej bezpečnosti objednávateľa (biznis vlastník), môže byť totožný s predsedom RV,

* zástupca prevádzky

Členovia Riadiaceho výboru bez hlasovacieho práva:

1073

1074

* projektový manažér prijímateľa

1075

* projektový manažér dodávateľa

1076

* zástupca dodávateľa

1077

1078

1079

Určenie zodpovednosti členov Riadiaceho výboru

1080

1081

Hlavným záujmom a zodpovednosťou predsedu Riadiaceho výboru projektu je:

1082

1083

* celkovo zodpovedať za projekt,

1084

* kontrolovať súlad projektu a projektových cieľov so strategickými cieľmi,

1085

* zabezpečiť a udržať finančné a personálne krytie realizácie projektu,

1086

* zabezpečiť nákladovo prijateľný prístup v projekte,

1087

1088

Hlavným záujmom a zodpovednosťou biznis vlastníka je:

1089

1090

* schválenie funkčných a technických požiadaviek alebo ich zmien, potreby, obsahu, kvalitatívnych a kvantitatívnych prínosov projektu,

1091

* definovanie očakávaní na kvalitu projektu, kritérií kvality projektových produktov, prínosov pre koncových používateľov a požiadaviek na

1092

* bezpečnosť,

1093

* definovanie merateľných výkonnostných ukazovateľov projektov a prvkov,

1094

* schválenie akceptačných kritérií,

1095

* odsúhlasenie spustenia výstupov projektu do produkčnej prevádzky,

1096

* dostupnosť ľudských zdrojov alokovaných na realizáciu projektu

1097

1098

Hlavným záujmom a zodpovednosťou zástupcu dodávateľa je:

1099

1100

* návrh riešenia, vytvorenie, vývoj, implementáciu, otestovanie a nasadenie projektových produktov,

1101

* zodpovedá za plnenie a dodávku predmetu projektu v zmluvne dohodnutom rozsahu, čase, kvalite a nákladoch,

.

= {{id name="projekt_2813_Projektovy_zamer_detailny-8.Legislatíva"/}}8. Legislatíva =

1106

1107

V rámci platnej legislatívy nie je nutná zmeny legislatívy.

1108

1109

1110

Projekt je realizovaný za účelom dosiahnutia súladu s platnou legislatívou, najmä s:

1111

1112

1113

Zákonom č.69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov,

1114

1115

Zákonom č.95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov,

1116

1117

Vyhláškou č.401/2023 Z. z. o riadení projektov a zmenových požiadaviek v prevádzke informačných technológií verejnej správy,

1118

1119

Vyhláškou č.78/2020 Z. z. o štandardoch pre ITVS,

1120

1121

Vyhláškou č.179/2020 Z. z. o obsahu bezpečnostných opatrení ITVS,

1122

1123

Vyhláškou 362/2018 Z .z. o obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení).

1124

1125

= {{id name="projekt_2813_Projektovy_zamer_detailny-9.PRÍLOHY"/}}9. PRÍLOHY =

1126

1127

1128

**Príloha: **Zoznam rizík a závislostí (Excel)

1129

1130

**Príloha:** Katalóg požiadaviek

// //

Wiki zdrojový kód pre projekt_2813_Projektovy_zamer_detailny