pristup_k_projektu

V súlade s Vyhláškou č. 401/2023 Z.z. je dokument I-03 Prístup k projektu určený na rozpracovanie detailných informácií prípravy projektu z pohľadu aktuálneho stavu, budúceho stavu a navrhovaného riešenia.

124

125

Dokument Prístup k projektu v zmysle vyššie uvedenej vyhlášky obsahuje opis navrhovaného riešenia, architektúru riešenia projektu na úrovni biznis vrstvy, aplikačnej vrstvy, dátovej vrstvy, technologickej vrstvy, infraštruktúry navrhovaného riešenia, bezpečnostnej architektúry, špecifikáciu údajov spracovaných v projekte, čistenie údajov, prevádzku a údržbu výstupov projektu, prevádzkové požiadavky, požiadavky na zdrojové kódy. Dodávané riešenie musí byť v súlade so zákonom. Zároveň opisuje aj implementáciu projektu a preberanie výstupov projektu.

\\

== {{id name="projekt_2560_Pristup_k_projektu_detailny-2.1Použitéskratkyapojmy"/}}2.1 Použité skratky a pojmy ==

\\

(% class="" %)|(((

**ID**

)))|(((

**SKRATKA**

)))|(((

**POPIS**

)))

(% class="" %)|(((

1.

)))|(((

API

)))|(((

Application programming interface

)))

(% class="" %)|(((

2.

)))|(((

BPMN

)))|(((

Business Process Model and Notation

)))

(% class="" %)|(((

3.

)))|(((

CSRÚ

)))|(((

Centrálna správa referenčných údajov

)))

(% class="" %)|(((

4.

)))|(((

DevOps

)))|(((

Je skrátený názov pre developer, security alebo aj automatizovaný devops ako súbor procesov medzi vývojom a prevádzkou, skratka z developer operations. Vysvetlenie detail viď [[https:~~/~~/en.wikipedia.org/wiki/DevOps>>url:https://en.wikipedia.org/wiki/DevOps||shape="rect"]]

)))

(% class="" %)|(((

5.

)))|(((

DMS

)))|(((

Document management system

)))

(% class="" %)|(((

6.

)))|(((

EDR

)))|(((

Endpoint Detection and Response

)))

(% class="" %)|(((

7.

)))|(((

EÚ

)))|(((

Európska únia

)))

(% class="" %)|(((

8..

)))|(((

HW

)))|(((

Hardware

)))

(% class="" %)|(((

9.

)))|(((

HLD

)))|(((

High level dizajn – vysokoúrovňový dizajn napr architektúru, bezpečnosť

)))

(% class="" %)|(((

10.

)))|(((

IaaS

)))|(((

Infrastructure as a service

)))

(% class="" %)|(((

11.

)))|(((

IAM

)))|(((

Identity and Access Management

)))

(% class="" %)|(((

12.

)))|(((

IKT

)))|(((

Informačno-komunikačné technológie

)))

(% class="" %)|(((

13.

)))|(((

IS

)))|(((

Informačný systém

)))

(% class="" %)|(((

14.

)))|(((

IS VS

)))|(((

Informačný systém verejnej správy

)))

(% class="" %)|(((

15.

)))|(((

KPI

)))|(((

Key performance indicator – Kľúčové indikátory, prostredníctvom ktorých sa meria naplnenie cieľov projektu.

)))

(% class="" %)|(((

16.

)))|(((

LLD

)))|(((

Low level dizajn – nízkoúrovňový dizajn napr. pre architektúru, bezpečnosť. Obsahuje detailné dizajny až na úrovní nastavení parametrov

)))

(% class="" %)|(((

17.

)))|(((

MDM

)))|(((

Mobile devicemanagement

)))

(% class="" %)|(((

18.

)))|(((

MIRRI

)))|(((

Ministerstvo investícií, regionálneho rozvoja a informatizácie Slovenskej republiky

)))

(% class="" %)|(((

19.

)))|(((

MV SR

)))|(((

Ministerstvo vnútra SR

)))

(% class="" %)|(((

20.

)))|(((

NKIVS

)))|(((

Národná koncepcia informatizácie verejnej správy

)))

(% class="" %)|(((

21.

)))|(((

OOÚ

)))|(((

Ochrana osobných údajov

)))

(% class="" %)|(((

22.

)))|(((

PO

)))|(((

Plán obnovy a odolnosti

)))

(% class="" %)|(((

23.

)))|(((

OVM

)))|(((

Orgán verejnej moci

)))

(% class="" %)|(((

24.

)))|(((

PaaS

)))|(((

Platform as a service

)))

(% class="" %)|(((

25.

)))|(((

PILOT

)))|(((

PILOT - Prevádzka riešenia na vybraných aktéroch na produkčnom prostredí.

)))

(% class="" %)|(((

26.

)))|(((

PoC

)))|(((

PoC - Implementovaný prototyp riešenia nasadený do produkčnej prevádzky a overený E2E testami minimálne s využitím mockov

)))

(% class="" %)|(((

27.

)))|(((

PR

)))|(((

Projektové riadenie

)))

(% class="" %)|(((

28.

)))|(((

ROLLOUT

)))|(((

ROLLOUT - Postupné pripájanie ostatných aktérov na produkčnom prostredí.

)))

(% class="" %)|(((

29.

)))|(((

RFO

)))|(((

Register fyzických osôb

)))

(% class="" %)|(((

30.

)))|(((

RPO

)))|(((

Register právnických osôb

)))

(% class="" %)|(((

31.

)))|(((

SDL

)))|(((

Security development lifecycle

)))

(% class="" %)|(((

32.

)))|(((

SFTP

)))|(((

SSH File Transfer Protocol

)))

(% class="" %)|(((

33.

)))|(((

SLA

)))|(((

Service level agreement

)))

(% class="" %)|(((

34.

)))|(((

SOAP

)))|(((

Simple Object Access Protocol

)))

(% class="" %)|(((

35.

)))|(((

SOAR

)))|(((

Security orchestration, automation and response

)))

(% class="" %)|(((

36.

)))|(((

SR

)))|(((

Slovenská republika

)))

(% class="" %)|(((

37.

)))|(((

SŠHR SR

)))|(((

Správa štátnych hmotných rezerv Slovenskej republiky

)))

(% class="" %)|(((

38.

)))|(((

ŠÚ SR

)))|(((

Štatistický úrad Slovenskej republiky

)))

(% class="" %)|(((

39.

)))|(((

VÚC

)))|(((

Vyšší územný celok alebo iný povoľovací orgán

)))

\\

= {{id name="projekt_2560_Pristup_k_projektu_detailny-3.Popisnavrhovanéhoriešenia"/}}3. Popis navrhovaného riešenia =

\\

Predmetom projektu je zvýšenie úrovne kybernetickej a informačnej bezpečnosti na Správa štátnych hmotných rezerv Slovenskej republiky (ďalej len „SŠHR SR“). Kybernetická bezpečnosť je z pohľadu architektúry prierezovou oblasťou a teda realizuje sa skrz všetky vrstvy architektúry.

423

424

Na úrovni biznis vrstvy architektúry je to predovšetkým aktualizácia bezpečnostnej dokumentácie vrátane jej zavedenia do praxe:

425

426

* Aktualizácia bezpečnostnej dokumentácie na základe zistení z realizovaného bezpečnostného auditu.

427

* Aktualizácia bezpečnostnej stratégie kybernetickej bezpečnosti.

428

* Vytvorenie a aktualizácia bezpečnostných politík kybernetickej bezpečnosti.

429

* Vykonanie inventarizácie aktív, klasifikácie informácií a kategorizácie sietí a informačných systémov.

430

* Vykonanie analýzy rizík a analýzy dopadov vrátane riadenia rizík.

431

* Zavedenie BCM a SDLC procesov do prevádzky úradu

432

433

Na úrovni aplikačnej a technologickej vrstve architektúry bude zabezpečené:

434

435

* Zavedenie a implementácia centrálneho nástroja pre zber a analýzu bezpečnostných udalostí (SIEM) a zaznamenávanie udalostí a monitorovanie sietí (Log manažment systém)

436

* Implementácia automatizovaného nástroja na identifikáciu neoprávnených sieťových spojení na hranici s vonkajšou sieťou, na blokovanie neoprávnených spojení, na monitorovanie bezpečnosti, na detekciu prienikov a prevenciu prienikov identifikáciou nezvyčajných mechanizmov útokov alebo proaktívneho blokovania škodlivej sieťovej prevádzky a ďalších povinností alebo vo forme funkcionalít, prípadne licencií iných už existujúcich nástrojov.

437

* Obstaranie služby monitorovania a analyzovania udalostí v sieťach a informačných systémoch vrátane detekcie, zberu relevantných informácií, vyhodnocovania a riešenia zistených kybernetických bezpečnostných incidentoch a vykonávania napr. forenzných analýz v snahe minimalizovať výskyt a dopad kybernetických bezpečnostných incidentov.

438

* Implementácia nástroja na detekciu, nástroja na zber a nepretržité vyhodnocovanie a evidenciu kybernetických bezpečnostných udalostí.

\\

= {{id name="projekt_2560_Pristup_k_projektu_detailny-4.Architektúrariešeniaprojektu"/}}4. Architektúra riešenia projektu =

443

444

Architektúra riešenia projektu je spracovaná v súlade s hlavnými cieľmi motivačnej architektúry. Architektúra riešenia projektu je ďalej rozpracovaná na úrovni biznis vrstvy, aplikačnej vrstvy, technologickej vrstvy a bezpečnostnej vrstvy.

\\

== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.1Biznisvrstva"/}}4.1 Biznis vrstva ==

\\

**Biznis vrstva – súčasný stav:**

453

454

Správa štátnych hmotných rezerv SR má nezastupiteľné postavenie pri zabezpečovaní stability v Slovenskej republike a aktívne participuje pri riešení hrozieb energetickej a potravinovej krízy, povodní, požiarov, epidémií a pandémií, kalamít, či už snehových alebo veterných, a ďalších živelných pohrôm či prírodných katastrof, ktoré dokážu veľmi rýchlo a najmä nečakane spôsobiť rozsiahle škody.

\\

V súvislosti s vývojom bezpečnostnej situácie v SR a vo svete sme však svedkami stále nových krízových situácií rôznych rozmerov. Ozbrojené konflikty, aktivity radikálnych združení, hrozby v kybernetickom priestore, v oblasti energetickej bezpečnosti, vývoj migrácie a ďalšie faktory sú dôvodom komplikovanej predvídateľnosti vývoja procesov vplývajúcich na bezpečnosť SR a jej obyvateľov. Vzhľadom na vysokú dynamiku ekonomických, sociálnych, vojenských, informačných, klimatických a geopolitických zmien v Európe a vo svete čelí SŠHR novým výzvam pri zabezpečovaní dostupnosti, kvality, dostatočného množstva a použiteľnosti štátnych hmotných rezerv (ďalej ŠHR) v danom čase a mieste.

\\

Otázka potenciálnych hrozieb a ich eliminácie je každým dňom súčasnej politicko-geografickej a environmentálnej reality aktuálnejšia. Poslanie SŠHR SR v oblasti zabezpečovania ŠHR je výhradné a nezastupiteľné a zahŕňa aj činnosti či procesy, ktoré podliehajú istému stupňu utajenia. SŠHR SR v rámci svojich pôsobností vymedzených zákonom č. 372/2012 Z. z. o štátnych hmotných rezervách a o doplnení zákona č. 25/2007 Z. z. o elektronickom výbere mýta za užívanie vymedzených úsekov pozemných komunikácií a o zmene a doplnení niektorých zákonov v znení neskorších predpisov a zákonom č. 218/2013 Z.z. o núdzových zásobách ropy a ropných výrobkov a o riešení stavu ropnej núdze a o zmene a doplnení niektorých zákonov:

\\

* Hlavnou úlohou SŠHR je poskytnutie pomoci a podpory (materiálnej pomoci vo forme jednotlivých druhov štátnych hmotných rezerv počas krízových situácií a mimoriadnych udalostí.

467

* Prioritou SŠHR SR je neustále zvyšovať úroveň zabezpečenia krajiny a obyvateľov žijúcich na jej území a ochrany záujmov SR.

468

* Jednou z hlavných úloh SŠHR je aktívne sa podieľať na príprave na riešenie krízových situácií a mimoriadnych udalostí tak, aby v okamihu vzniku týchto situácií mohla poskytnúť efektívnu, bezodplatnú a hlavne bezodkladnú pomoc tým, ktorí ju v danej chvíli potrebujú.

469

* SŠHR SR je výhradným odborným, administratívnym, logistickým a správnym garantom pre oblasť správy a použitia štátnych hmotných rezerv pri zabezpečovaní potravinovej, energetickej a ďalšej bezpečnosti obyvateľstva SR.

470

* SŠHR SR je zákonom poverenou inštitúciou zodpovednou za tvorbu, hospodárenie a kontrolu ŠHR, za ich rozmiestňovanie a pripravenosť na použitie.

471

* ŠHR sú kľúčovou zložkou pre materiálne zabezpečenie ochrany hospodárstva SR.

\\

**Zákon č. 372/2012 Z. z. o štátnych hmotných rezervách:**

\\

* na ochranu ekonomiky, na riešenie krízovej situácie, mimoriadnej udalosti, III. stupňa povodňovej aktivity,

480

* na riešenie stavu núdze v energetike, stavu ropnej núdze,

481

* na zabezpečenie potravinovej bezpečnosti štátu,

482

* pre potreby OS SR, na účely poskytovania humanitárnej pomoci SR, pre zložky IZS.

483

484

V rámci poskytovaných služieb poskytuje služby prostredníctvom rôznych prístupových kanálov: elektronicky, listinne, osobne ako aj telefonicky. Pre poskytované služby SŠHR SR poskytuje a realizuje viaceré biznis funkcie, kde v rámci tohto projektu je primárne relevantná biznis funkcia **Bezpečnosť**.

485

486

SŠHR SR ako prevádzkovateľ základnej služby zapísanej v registri prevádzkovateľov základných služieb má povinnosti, ktoré vyplývajú zo zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov (ďalej len „ZoKB“). Medzi základné povinnosti je prijatie a dodržiavanie všeobecných bezpečnostných opatrení pre nasledovné oblasti:

487

488

* organizácie kybernetickej bezpečnosti a informačnej bezpečnosti,

489

* riadenia rizík kybernetickej bezpečnosti a informačnej bezpečnosti,

490

* personálnej bezpečnosti,

491

* riadenia prístupov,

492

* riadenia kybernetickej bezpečnosti a informačnej bezpečnosti vo vzťahoch s tretími stranami,

493

* bezpečnosti pri prevádzke informačných systémov a sietí,

494

* hodnotenia zraniteľností a bezpečnostných aktualizácií,

495

* ochrany proti škodlivému kódu,

496

* sieťovej a komunikačnej bezpečnosti,

497

* akvizície, vývoja a údržby informačných sietí a informačných systémov,

498

* zaznamenávania udalostí a monitorovania,

499

* fyzickej bezpečnosti a bezpečnosti prostredia,

500

* riešenia kybernetických bezpečnostných incidentov,

501

* kryptografických opatrení,

502

* kontinuity prevádzky,

503

* auditu, riadenia súladu a kontrolných činností.

504

505

Tieto bezpečnostné opatrenia sa prijímajú a realizujú na základe schválenej bezpečnostnej dokumentácie, ktorá musí byť aktuálna a musí zodpovedať reálnemu stavu. SŠHR SR je povinná preveriť účinnosť prijatých bezpečnostných opatrení a plnenie požiadaviek stanovených zákonom vykonaním auditu kybernetickej bezpečnosti v stanovenom rozsahu.

506

507

V súlade s § 29 ZoKB prebiehal na SŠHR SR v období od 19.10.2023 do 24.10.2023 audit kybernetickej bezpečnosti. Dňa 23.11.2023 bola SŠHR SR odovzdaná finálna verzia záverečnej správy o výsledkoch auditu. V súlade s § 29 ods. 5 SŠHR SR ako prevádzkovateľ základnej služby v zákonom stanovenej lehote zaslala záverečnú správu o výsledkoch auditu NBÚ spolu s opatreniami na nápravu a s lehotami na ich odstránenie. Konkrétne sa jedná o vybrané opatrenia, ktoré budú realizované týmto projektom:

508

509

* Potreba implementácie HW a SW časti bezpečnosti siete a implementácie sieťovej a komunikačnej bezpečnosti siete (dodávka firewallov a nástroja na ich manažovanie)

510

* Potreba riešenia problému absentujúceho **systému pre zber a analýzu bezpečnostných udalostí (SIEM)**

511

* Potreba riešenia problému absentujúceho **systému pre zaznamenávanie udalostí a monitorovanie sietí (Log manažment systém)**

512

* Potreba riešenia problému absentujúceho **systému pre ochranu proti škodlivému kódu (Dodanie a implementácia EDR)**

513

* **Aktualizácie metodík, vytvorenie a aktualizácia bezpečnostnej dokumentácie, vykonanie analýzy rizík a analýzy dopadov (AR/BIA), SDLC a BCM**

514

515

* Audit a kontrolné činnosti - obstaranie externých testov zraniteľností, penetračných testov a pod. (**Penetračné testovanie**)

516

* Financovanie nákladov spojených s **auditom kybernetickej bezpečnosti** podľa § 29 zákon č. 69/2018 Z. z.

517

* Potreba zabezpečiť kontinuitu prevádzky, t.j. je potrebné **zabezpečiť riadenie kontinuity kybernetickej bezpečnosti**

518

519

Medzi jedným zo zistených nedostatkov bola neaktuálna bezpečnostná dokumentácia, resp. nedostatočná bezpečnostná dokumentácia, ktorú je potrebné aktualizovať predovšetkým pre oblasti:

520

521

* Riadenie prístupov (§8 ods. 1 až 4 Vyhlášky č. 362/2018 Z. z)

522

* Ochrana proti škodlivému kódu (§12 ods. 1 písm. b) Vyhlášky č. 362/2018 Z. z)

523

* Sieťová a komunikačná bezpečnosť (§13 písm. a), c) Vyhlášky č. 362/2018 Z. z)

524

* Kontinuita prevádzky (§17b ods. 3 Vyhlášky č. 362/2018 Z. z)

525

526

Aktualizácia bezpečnostnej dokumentácie má byť vykonaná vždy pri každej podstatnej zmene.

527

528

V rámci kategorizácií aktív z pohľadu dôvernosti bol vyhodnotený dopad prípadného kybernetického incidentu (najhoršieho možného scenára a dopadov na SŠHR SR podľa § 24 ods. 2, písm. a) až e) ZoKB v závislosti od kategórie bezpečnostného incidentu nasledovne:

529

530

* 24 ods. 2 písm. a) zákona - **Kategória III.**

531

* 24 ods. 2 písm. b) a c) zákona - **Kategória III.**

532

* 24 ods. 2 písm. d) zákona - **Kategória III.**

533

* 24 ods. 2 písm. e) zákona - **Kategória III.**

\\

[[image:attach:Obrázok3.png||width="750"]]

\\

Obrázok 1: Model biznis architektúry (vychádza zo strategickej architektúry VS) – ASIS

542

543

**Biznis vrstva – budúci stav:**

544

545

SŠHR SR identifikovala najvyššiu mieru rizika a najvyššie dopady kybernetických incidentov v nasledovných oblastiach. Tieto oblasti mali aj najvyššiu mieru nesúladu s legislatívnymi požiadavkami z vykonaného auditu kybernetickej bezpečnosti.

546

547

V rámci projektu SŠHR SR bude realizovať nasledovné podaktivity v súlade s oprávnenými činnosťami uvedenými vo výzve.

548

549

(% class="" %)|(((

550

**Názov podaktivity**

551

)))|(((

552

**Realizované činnosti**

553

)))

554

(% class="" %)|(((

555

Organizácia kybernetickej a informačnej bezpečnosti

556

)))|(((

557

* Vypracovanie alebo aktualizácia bezpečnostnej dokumentácie vrátane rozsahu a spôsobu plnenia všeobecných bezpečnostných opatrení.

)))

(% class="" %)|(((

Riadenie rizík

)))|(((

* Identifikácia všetkých aktív súvisiacich so zariadeniami na spracovanie informácií a centrálne zaznamenávanie inventáru týchto aktív podľa ich hodnoty vrátane určenia ich vlastníka, ktorý definuje požiadavky na ich dôvernosť, dostupnosť a integritu.

563

* Riadenie rizík pozostávajúce z identifikácie zraniteľností, identifikácie hrozieb, identifikácie a analýzy rizík s ohľadom na aktívum, určenie vlastníka rizika, implementácie organizačných a technických bezpečnostných opatrení, analýzy funkčného dopadu a pravidelného preskúmavania identifikovaných rizík v závislosti od aktualizácie prijatých bezpečnostných opatrení.

)))

(% class="" %)|(((

Kontinuita prevádzky

)))|(((

* Vypracovanie stratégie a krízových plánov prevádzky na základe analýzy vplyvov kybernetického bezpečnostného incidentu na základnú službu. Vypracovanie plánov kontinuity prevádzky a ich prvotné otestovanie v reálnom prostredí organizácie a zapracovanie nedostatkov z výsledkov testovania. Vypracovanie interného riadiaceho aktu obsahujúceho a upravujúceho kontinuitu prevádzky následkom kybernetického bezpečnostného incidentu alebo inej krízovej situácie. Vypracovanie postupov zálohovania na obnovu siete a informačného systému po jeho narušení alebo zlyhaní v dôsledku kybernetického bezpečnostného incidentu alebo inej krízovej situácie.

569

)))

570

(% class="" %)|(((

571

Riešenie kybernetických bezpečnostných incidentov

572

)))|(((

573

* Implementácia centrálneho nástroja na zaznamenávanie činností sietí a informačných systémov a používateľov a identifikovanie bezpečnostných incidentov (SIEM). Obstaranie služby monitorovania a analyzovania udalostí v sieťach a informačných systémoch vrátane detekcie, zberu relevantných informácií, vyhodnocovania a riešenia zistených kybernetických bezpečnostných incidentoch v snahe minimalizovať výskyt a dopad kybernetických bezpečnostných incidentov. Implementácia nástroja na detekciu, nástroja na zber a nepretržité vyhodnocovanie a evidenciu kybernetických bezpečnostných udalostí.

574

)))

575

(% class="" %)|(((

576

Riadenie kybernetickej a informačnej bezpečnosti vo vzťahoch s tretími stranami

577

)))|(((

578

* Vypracovanie analýzy rizík tretích strán a celého dodávateľského reťazca.

579

)))

580

(% class="" %)|(((

581

Zaznamenávanie udalostí a monitorovanie

582

)))|(((

583

* Implementácia centrálneho Log manažment systému pre zber a ukladanie logov z jednotlivých informačných systémov. Vypracovanie dokumentácie spôsobu monitorovania a fungovania Log manažment systému a centrálneho nástroja na bezpečnostné monitorovanie a zadefinovanie spôsobu evidencie prevádzkových záznamov, ich vyhodnocovania, spôsobu hlásenia podozrivej aktivity, zodpovednej osoby a ďalších povinností.

584

)))

585

(% class="" %)|(((

586

Audit a kontrolné činnosti

587

)))|(((

588

* Obstaranie prvého alebo opakovaného auditu kybernetickej bezpečnosti v súlade so zákonom o KB.

589

* Obstaranie externých testov hodnotenia zraniteľností a penetračných testov.

590

)))

591

(% class="" %)|(((

592

Sieťová a komunikačná bezpečnosť

593

)))|(((

594

* Implementácia automatizovaného nástroja na identifikáciu neoprávnených sieťových spojení na hranici s vonkajšou sieťou, na blokovanie neoprávnených spojení, na monitorovanie bezpečnosti, na detekciu prienikov a prevenciu prienikov identifikáciou nezvyčajných mechanizmov útokov alebo proaktívneho blokovania škodlivej sieťovej prevádzky a ďalších povinností alebo vo forme funkcionalít, prípadne licencií iných už existujúcich nástrojov.

)))

**~ **

**~ **

**Sieťová a komunikačná bezpečnosť**

602

603

SŠHR v rámci riadenia prístupu k sieti požaduje návrh a dodanie riešenia a dodávku potrebných SW komponentov, resp. licencií a odborných služieb pre nasadenie NGFW do počítačovej siete v IT prostredí SŠHR SR. Riešenie musí pokrývať minimálne nasledovný rozsah zariadení a lokalít:

604

605

Nasadenie na nasledovných pracoviskách:

606

607

* Dátové centrum v lokalite Bratislava vo vysokej dostupnosti NGFW cluster (Ústredie SŠHR SR)

608

* 4 špecializované strediská správy rezerv

609

610

Zariadenia umiestnené v týchto lokalitách:

611

612

* 250 koncových staníc a zariadení

\\

\\

**Riešenie pre zber a analýzu bezpečnostných udalostí**

619

620

Cieľom projektu je zabezpečenie správy auditných záznamov (LOG manager) v infraštruktúre IKT SŠHR SR. Projekt implementuje centrálne úložisko pre zber a analýzu logov. Systém musí byť schopný zhromažďovať prevádzkové dáta zo všetkých dôležitých systémov na jednom mieste s možnosťou ich dlhodobého uchovávania. Toto umožní IT a bezpečnostným operátorom získavať informácie o bezpečnostných incidentoch, prevádzkových stavoch a prípadných chybách v IT v reálnom čase. Systém umožní generovanie reportov o aktivitách systémov i užívateľov, vrátane auditných reportov s definovateľným obsahom. Systém LM umožní prehľadávanie logov prostredníctvom integrovaného grafického rozhrania s preddefinovanými pravidlami pre rýchle vyhľadávanie. Systém bude umožňovať sledovanie správania užívateľov a systémov s upozornením na pravidlá a to na základe limitov alebo korelácií udalostí nastavených administrátorom. Cieľom je vytvoriť jednotné úložisko logov s pokročilými nástrojmi pre analýzu a upozorňovanie, prístupné iba autorizovaným pracovníkom. Nevyhnutnou nutnosťou je zabezpečenie, aby logy nebolo možné modifikovať zo strany administrátorov alebo užívateľov. Systém by mal ďalej umožňovať jednoduchú klasifikáciu dát, tvorbu užívateľsky definovaných parserov, filtrov, upozornení a korelácií v ľahko pochopiteľnom grafickom rozhraní bez potreby programátorských znalostí.

**~ **

**~ **

**Riešenie pre zaznamenávanie udalostí a monitorovanie sietí**

627

628

Súčasťou projektu je dodanie a implementácia riešenia SIEM. IS SIEM má pokryť zber, správu a inteligentnú interpretáciu udalostí v IT infraštruktúre, poskytnúť centralizovaný pohľad na všetky relevantné bezpečnostné informácie z IT infraštruktúry v reálnom čase, vyhodnotiť rizikové bezpečnostné udalosti a pomáhať pri odhaľovaní incidentov, ktoré môžu ohroziť prevádzku informačných systémov SŠHR a tým obmedziť, prípadne znemožniť poskytovanie základných služieb. Cieľom nasadenia riešenia IS SIEM je taktiež zavedenie centrálneho logovania udalostí informačných systémov, zariadení, sietí a všetkých security systémov, poskytovanie reportov o kritických kombináciách udalostí, ktoré by mohli mať nepriaznivý dopad na poskytovanie základných služieb a smerovať k zamedzeniu vzniku kybernetického bezpečnostného incidentu. V prípade vzniku kybernetického bezpečnostného incidentu má poskytovať notifikáciu administrátorom systému o vzniknutom bezpečnostnom incidente ihneď po jeho zistení.

\\

\\

**Riešenie kybernetických bezpečnostných incidentov**

635

636

Predmetom projektu je nasadenie produktového balíka bezpečnostných riešení na ochranu koncových pracovných staníc, notebookov a serverov, ktorý obsahuje viacvrstvovú antivírusovú ochranu, technológiu automatickej analýzy podozrivých súborov v cloudovom sandboxe výrobcu, pokročilú vrstvu ochrany v podobe nástroja na detekciu a reakciu, šifrovanie celých diskov a možnosť prevádzkovať jednotnú management konzolu na správu týchto riešení v cloudovom nasadení alebo lokálnom (on-prem) nasadení podľa voľby SŠHR SR za účelom zvýšenia kybernetickej bezpečnosti. Všetky implementované nástroje musia byť nasadené a dodané v najnovšej verzií s prístupom k aktualizačným balíčkom. Bez prístupu k najnovšej verzií, k najnovším balíčkom, najnovšej antivírusovej databáze a najnovším bezpečnostným záplatám dodané nástroje neplnia základnú bezpečnostnú funkciu na čo boli vytvorené a projektom dodané. Z tohto hľadiska sa nejedná o podporu prevádzky existujúceho riešenia.

637

638

[[image:attach:Obrázok4.png||width="750"]]

639

640

Obrázok 2: Model biznis architektúry (vychádza zo strategickej architektúry VS) – TO BE

641

642

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.1.1Prehľadkoncovýchslužieb–budúcistav:"/}}4.1.1 Prehľad koncových služieb – budúci stav: ===

\\

Projektom nie sú budované žiadne nové koncové služby. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci SŠHR SR. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

\\

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.1.2Jazykovápodporaalokalizácia"/}}4.1.2 Jazyková podpora a lokalizácia ===

651

652

Požiadavky na jazykovú lokalizáciu riešenia a používateľské prostredie služieb bude implementované v slovenskom jazyku//.//

\\

== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.2Aplikačnávrstva"/}}4.2 Aplikačná vrstva ==

657

658

Aplikačná vrstva SŠHR SR pozostáva z viacerých informačných systémov podporujúcich výkon funkcií a činností definovaných na úrovni biznis architektúry. Je rozdelené primárne do nasledujúcich oblastí.

659

660

**Moduly front-endu**: predstavujú špecifické, najmä rezortné komponenty pre interakciu s používateľmi, čiže komponenty, ktoré nie sú spoločné a zdieľané viacerými inštitúciami (napr. rezortné portály).

661

662

**Externé systémy**: externé systémy integrované so systémami SŠHR SR

663

664

**Spoločné moduly front-endu**: združujú spoločné komponenty, ktoré riešia interakciu s používateľmi (občanmi, podnikateľmi a zamestnancami verejnej správy)

665

666

**Integrácia a orchestrácia**: rieši integráciu a vzájomnú interoperabilitu informačných systémov verejnej správy SR na úrovni aplikačnej a dátovej integrácie a zabezpečuje služby orchestrácie najmä pre životné situácie.

667

668

**Agendové informačné systémy**: podporujú výkon konkrétnej agendy a realizujú kľúčové aplikačné služby.

669

670

**Moduly back-endu**: predstavujú špecifické, najmä rezortné komponenty pre podporu špecifických back office činností, čiže komponenty, ktoré nie sú spoločné a zdieľané viacerými organizáciami. Tu patria aj nástroje pre kybernetickú a informačnú bezpečnosť.

671

672

[[image:attach:Obrázok6.png||width="750"]]

673

674

Obrázok 3: Aplikačná architektúra budúceho stavu

**~ **

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.2.1Rozsahinformačnýchsystémov–ASIS"/}}4.2.1 Rozsah informačných systémov – AS IS ===

679

680

Nie je relevantné pre projekt. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

681

682

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.2.2Rozsahinformačnýchsystémov–TOBE"/}}4.2.2 Rozsah informačných systémov – TO BE ===

// //

Nie je relevantné pre projekt. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

\\

V rámci projektu budú implementované nové nástroje pre zvýšenie úrovne kybernetickej a informačnej bezpečnosti.

\\

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.2.3VyužívanienadrezortnýchaspoločnýchISVS–ASIS"/}}4.2.3 Využívanie nadrezortných a spoločných ISVS – AS IS ===

\\

Nie je relevantné pre projekt. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

\\

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.2.4PrehľadplánovanýchintegráciíISVSnanadrezortnéISVS–spoločnémodulypodľazákonač.305/2013e-Governmente–TOBE"/}}4.2.4 Prehľad plánovaných integrácií ISVS na nadrezortné ISVS – spoločné moduly podľa zákona č. 305/2013 e-Governmente – TO BE ===

703

704

Nie je relevantné pre projekt. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

\\

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.2.5PrehľadplánovanéhovyužívaniainýchISVS(integrácie)–TOBE"/}}4.2.5 Prehľad plánovaného využívania iných ISVS (integrácie) – TO BE ===

709

710

Nie je relevantné pre projekt. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

\\

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.2.6Aplikačnéslužbyprerealizáciukoncovýchslužieb–TOBE"/}}4.2.6 Aplikačné služby pre realizáciu koncových služieb – TO BE ===

715

716

Nie je relevantné pre projekt. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

\\

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.2.7Aplikačnéslužbynaintegráciu–TOBE"/}}4.2.7 Aplikačné služby na integráciu – TO BE ===

721

722

Nie je relevantné pre projekt. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

\\

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.2.8PoskytovanieúdajovzISVSdoISCSRÚ–TOBE"/}}4.2.8 Poskytovanie údajov z ISVS do IS CSRÚ – TO BE ===

727

728

Projektom nie je plánované poskytovanie údajov do IS CSRÚ. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

\\

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.2.9KonzumovanieúdajovzISCSRU–TOBE"/}}4.2.9 Konzumovanie údajov z IS CSRU – TO BE ===

733

734

Nie je relevantné pre projekt. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

\\

== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.3Dátovávrstva"/}}4.3 Dátová vrstva ==

\\

Nie je relevantné pre projekt. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

\\

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.3.1Údajevspráveorganizácie"/}}4.3.1 Údaje v správe organizácie ===

747

748

Zavedenie systematického manažmentu údajov nie je predmetom navrhovaného projektu. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

\\

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.3.2Dátovýrozsahprojektu-Prehľadobjektovevidencie-TOBE"/}}4.3.2 Dátový rozsah projektu - Prehľad objektov evidencie - TO BE ===

753

754

Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

\\

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.3.3Referenčnéúdaje"/}}4.3.3 Referenčné údaje ===

759

760

Projektom nie sú plánované žiadne nové referenčné údaje ani údaje, ktoré je možné vyhlásiť za referenčné. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

\\

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.3.4Kvalitaačistenieúdajov"/}}4.3.4 Kvalita a čistenie údajov ===

765

766

Cieľom projektu nie je systematický manažment údajov z hľadiska citlivosti kvality údajov a čistenia údajov. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

\\

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.3.5Otvorenéúdaje"/}}4.3.5 Otvorené údaje ===

771

772

Nie je relevantné pre projekt, nebudú poskytované žiadne nové Otvorené údaje. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

773

774

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.3.6Analytickéúdaje"/}}4.3.6 Analytické údaje ===

775

776

Nie je relevantné pre projekt, nebudú poskytované žiadne nové Analytické údaje. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

\\

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.3.7Mojeúdaje"/}}4.3.7 Moje údaje ===

781

782

Nie je relevantné pre projekt, nebudú poskytované žiadne nové Moje údaje. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

\\

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.3.8Prehľadjednotlivýchkategóriíúdajov"/}}4.3.8 Prehľad jednotlivých kategórií údajov ===

787

788

Projekt nie je zameraný na systematický manažment údajov, nemení štruktúru ani obsah údajov. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov.

\\

== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.4Technologickávrstva"/}}4.4 Technologická vrstva ==

\\

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.4.1Prehľadtechnologickéhostavu-ASIS"/}}4.4.1 Prehľad technologického stavu - AS IS ===

797

798

Pripojenie celej sieťovej infraštruktúry na ústredí ako aj na štyroch ďalších lokalitách – Strediskách SŠHR SR je implementované redundantne, tzn. použitím dvojice smerovačov. Funkčnosť redundancie je zabezpečená prostredníctvom dynamického smerovacieho protokolu, ktorý beží medzi SŠHR SR a ISP smerovačmi. Prípadné zvýšenie prenosových kapacít ako aj samotná prevádzka MPLS pripojení je realizovaná SŠHR SR. Dôležitou vlastnosťou MPLS siete je ochrana prenášaných dát. Ako ochranný mechanizmus je implementovaná technológia, ktorá prostredníctvom IPSec štandardu zabezpečuje šifrovanie prenášaných dát medzi centrálnymi a vzdialenými lokalitami v rámci MPLS siete. Za účelom prioritizácie kritických aplikácií pred nekritickými, je na MPLS smerovačoch implementovaná kvalita služieb, ktorá zabezpečuje garanciu prenosového pásma pre kritické aplikácie v čase zahltenia komunikačných liniek.Pripojenie serverov do LAN siete je zabezpečené cez dvojice 48 portových 1/10 Gigabit Ethernet prepínačov, ktoré umožňujú dual-home pripojenie pre servery. Prevádzkované server prepínače sú do centrálnych prepínačov pripojené dvojicou liniek o kapacite 1 Gigabit Ethernet. Pripojenie užívateľov do LAN siete je riešené cez existujúce LAN prepínače, ktoré sú doplnené o niekoľko nových prístupových prepínačov s podporou PoE, čo je možné využiť na pripojenie IP telefónov prípadne bezdrôtových prístupových bodov. Tieto LAN prepínače sú cez dvojicu Gigabit Ethernet rozhraní pripojené do centrálnych prepínačov. LAN sieť na pobočkách vyzerá veľmi jednoducho. Väčšina vytvorená dvoma 48 portovými Gigabit Ethernet L2 prepínačmi, do ktorých sú zapojené koncové systémy užívateľov ako aj WAN smerovače, ktoré pre užívateľov zabezpečujú smerovanie do WAN siete.V niektorých pobočkách je LAN sieť tvorená viacerými Gigabit Ethernet L2 prepínačmi. Do centrálnych prepínačov na oboch centrálnych lokalitách je pripojený firewallový systém, ktorý poskytuje bezpečné pripojenie LAN sietí do Govnetu a Internetu. Firewallový systém je tvorený dvoma firewallmi zapojenými v clustry, na ktorých sú ukončené DMZ zóny poskytujúce služby prístupné z Govnetu a Internetu. Firewallový systém poskytuje ukončenie šifrovaných VPN pripojení z externých sietí do LAN siete SŠHR SR.

\\

[[image:attach:Obrázok7.png||width="750"]]

803

804

Obrázok 4: Interná topológia siete SŠHR SR

// //

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.4.2Požiadavkynavýkonnostnéparametre,kapacitnépožiadavky–TOBE"/}}4.4.2 Požiadavky na výkonnostné parametre, kapacitné požiadavky – TO BE ===

809

810

V rámci navrhovaného riešenia sa predpokladá zachovanie súčasných výkonnostných požiadaviek a kapacitných požiadaviek.

811

812

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.4.3Návrhriešeniatechnologickejarchitektúry"/}}4.4.3 Návrh riešenia technologickej architektúry ===

// //

Technologická architektúra sa oproti súčasnému stavu nemení a bude prevádzkovaná v rovnakom technologickom prostredí. Technologická vrstva budúceho stavu vychádza zo súčasného stavu a bude podporená novými nasadenými nástrojmi prevádzkovanými na viacerých technológiách.

\\

\\

[[image:attach:Obrázok8.png||width="750"]]

823

824

Obrázok 5: Návrh riešenia technologickej architektúry SŠHR SR

// //

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.4.4Využívanieslužiebzkatalóguslužiebvládnehocloudu"/}}4.4.4 Využívanie služieb z katalógu služieb vládneho cloudu ===

829

830

Projekt nebude využívať služby z katalógu vládneho cloudu. Cieľom projektu sa realizuje zvýšenie kybernetickej a informačnej bezpečnosti v rámci celej organizácie. Nedochádza k rozširovaniu koncových alebo aplikačných služieb, funkcionalít v rámci agendových systémov, ani k zmene evidovaných a poskytovaných údajov. Implementované nástroje budú prevádzkované v infraštruktúre SŠHR SR bez potreby jej rozšírenia.

\\

== {{id name="projekt_2560_Pristup_k_projektu_detailny-4.5Bezpečnostnáarchitektúra"/}}4.5 Bezpečnostná architektúra ==

835

836

Riešenie zabezpečenia prevádzkovaných ISVS v správe SŠHR SR je rozdelené do viacerých častí, pričom každá časť komplexne pokrýva danú oblasť. Jedná sa o nasledovné hlavné oblasti:

837

838

* Zabezpečenie E-mail a Web komunikácie,

839

* Vnútorný firewall,

840

* Ochrana web aplikácií a rozdelenie záťaže,

841

* DNS a vysoká dostupnosť dátových centier.

\\

[[image:attach:Obrázok9.png||width="750"]]

846

847

Obrázok 6: Návrh riešenia bezpečnostnej architektúry SŠHR SR

848

849

Sieťovú infraštruktúru tvorí MPLS sieť, ktorá slúži na vzájomné prepojenie všetkých lokalít a LAN siete nachádzajúce sa na jednotlivých lokalitách. Okrem ústredia sú MPLS komponentmi vybavené aj vzdialené lokality, ktoré cez MPLS sieť komunikujú so systémami v primárnej lokalite (ústredie). Vzdialenými lokalitami sú lokality Vigľaš, Lupča, Kysuce, Čachtice.

850

851

**Popis jednotlivých blokov implementovanej bezpečnostnej architektúry, realizovaných oprávnených aktivít a požiadaviek na jednotlivé technológie:**

**~ **

**SIEŤOVÝ FW (LOGSOURCE)**

856

857

Zabezpečenie sieťového perimetra siete SŠHR, z ktorej pristupujú správcovia k informačným systémom SŠHR SR.

\\

**EDR**

Cieľom implementácie pokročilého riešenia Endpoint Detection and Response (EDR) je zabezpečiť bezpečnosť a ochranu všetkých koncových zariadení a serverov, v správe SŠHR SR. Prioritou implementácie modulu EDR je detekcia, monitorovanie a rýchla reakcia na kybernetické hrozby. Implementáciou modulu EDR sa zabezpečí schopnosť identifikovať a zabrániť rôznym typom hrozieb, vrátane malvéru, ransomvéru a iných škodlivých aktivít, pričom toto riešenie podporuje tkz. „samoučiaci režim“, ochranu pred neznámymi hrozbami a anti-ransomware ochranu. Riešenie umožní monitorovať všetky koncové zariadenia v reálnom čase, ponúknuť centralizovanú správu, vytvárať správy pre bezpečnostných administrátorov a definovať politiky pre jednotlivé skupiny administrátorov. EDR riešenie umožní rýchlu reakciu na incidenty, vrátane izolácie postihnutých zariadení, odstránenia hrozieb a obnovy systémov, a podporí threathunting s funkciou vizualizácie a minimálnou 30-dňovou retenciou dát. Cieľom je zabezpečiť bezpečnosť a ochranu všetkých koncových zariadení a serverov s dôrazom na detekciu, monitorovanie a rýchlu reakciu na kybernetické hrozby.

**Log manažment**

Cieľom projektu je zabezpečenie správy auditných záznamov (LOG manager) v infraštruktúre IKT SŠHR SR. Projekt implementuje centrálne úložisko pre zber a analýzu logov. Systém musí byť schopný zhromažďovať prevádzkové dáta zo všetkých dôležitých systémov na jednom mieste s možnosťou ich dlhodobého uchovávania. Toto umožní IT a bezpečnostným operátorom získavať informácie o bezpečnostných incidentoch, prevádzkových stavoch a prípadných chybách v IT v reálnom čase. Systém umožní generovanie reportov o aktivitách systémov i užívateľov, vrátane auditných reportov s definovateľným obsahom. Systém LM umožní prehľadávanie logov prostredníctvom integrovaného grafického rozhrania s preddefinovanými pravidlami pre rýchle vyhľadávanie. Systém bude umožňovať sledovanie správania užívateľov a systémov s upozornením na pravidlá a to na základe limitov alebo korelácií udalostí nastavených administrátorom. Cieľom je vytvoriť jednotné úložisko logov s pokročilými nástrojmi pre analýzu a upozorňovanie, prístupné iba autorizovaným pracovníkom. Nevyhnutnou nutnosťou je zabezpečenie, aby logy nebolo možné modifikovať zo strany administrátorov alebo užívateľov. Systém by mal ďalej umožňovať jednoduchú klasifikáciu dát, tvorbu užívateľsky definovaných parserov, filtrov, upozornení a korelácií v ľahko pochopiteľnom grafickom rozhraní bez potreby programátorských znalostí.

\\

**SIEM (Security Information and Event Management)**

874

875

Súčasťou projektu je dodanie a implementácia riešenia SIEM. IS SIEM má pokryť zber, správu a inteligentnú interpretáciu udalostí v IT infraštruktúre, poskytnúť centralizovaný pohľad na všetky relevantné bezpečnostné informácie z IT infraštruktúry v reálnom čase, vyhodnotiť rizikové bezpečnostné udalosti a pomáhať pri odhaľovaní incidentov, ktoré môžu ohroziť prevádzku informačných systémov SŠHR a tým obmedziť, prípadne znemožniť poskytovanie základných služieb.

876

877

Cieľom nasadenia riešenia IS SIEM je taktiež zavedenie centrálneho logovania udalostí informačných systémov, zariadení, sietí a všetkých security systémov, poskytovanie reportov o kritických kombináciách udalostí, ktoré by mohli mať nepriaznivý dopad na poskytovanie základných služieb a smerovať k zamedzeniu vzniku kybernetického bezpečnostného incidentu. V prípade vzniku kybernetického bezpečnostného incidentu má poskytovať notifikáciu administrátorom systému o vzniknutom bezpečnostnom incidente ihneď po jeho zistení.

\\

V rámci riešenia IS SIEM SŠHR SR požaduje pokrytie hlavne nasledovných požiadaviek/funkcionalít:

882

883

* **Zber údajov a udalostí** – zber prevádzkových a bezpečnostných údajov zo zariadení a informačných systémov verejného obstarávateľa, zabezpečenie vstupných dát a obohacovanie informácií.

884

* **Monitoring** – monitorovanie informačných systémov, infraštruktúry, používateľov, administrátorov, neobvyklého správania, možných bezpečnostných incidentov.

885

* **Logovací systém **(Log manažment) – zaznamenávanie a uchovávanie logov, auditných záznamov a ich následné spracovanie – integrácia riešenia Log manažmentu

886

* **Korelačný systém** – posudzovanie vzťahov medzi udalosťami a údajmi.

887

* **Reporting** – vytváranie reportov o aktivitách, činnosti a bezpečnostných stavoch v rámci monitorovanej infraštruktúry verejného obstarávateľa.

\\

**Aktualizácie metodík, vytvorenie a aktualizácia bezpečnostnej dokumentácie, vykonanie analýzy rizík a analýzy dopadov (AR/BIA), SDLC a BCM**

892

893

Cieľom je aktualizácia dokumentov a metodických materiálov vytvorených v oblasti bezpečnosti informačných technológií verejnej správy pre minimálne bezpečnostné opatrenia kategórie III. v súlade so Zákonom č. 95/2019 Z. z. o ITVS a zároveň so Zákonom č. 69/2018 Z. z. o KB a prislúchajúcich vyhlášok pre naplnenie legislatívnych požiadaviek na zvýšenie úrovne informačnej a kybernetickej bezpečnosti a ochrany IKT a sietí používaných v sektore VS.

894

895

Predmetom zákazky je poskytnutie a dodávka služieb v nasledovných oblastiach:

896

897

* Vytvorenie a aktualizácia metodík a metodických usmernení v súlade so zákonom o KyB a ďalšími súvisiacimi zákonmi.

898

* Vytvorenie a aktualizácia bezpečnostnej dokumentácie pre kategóriu III podľa vyhlášky č. 179/2020 Z. z..

899

* Vykonanie analýzy rizík a analýzy dopadov (AR/BIA) v rámci SŠHR SR.

900

* Vytvorenie metodiky pre SSDLC

901

* Vytvorenie stratégie a plánov BCM

**~ **

**Penetračné testovanie**

906

907

Penetračné testovanie, známe aj ako pen test, je autorizovaný a kontrolovaný proces simulovania kybernetického útoku na počítačový systém, sieť alebo webovú aplikáciu s cieľom identifikovať a opraviť bezpečnostné zraniteľnosti, ktoré by mohol zneužiť potenciálny útočník. Cieľom penetračného testovania je nasimulovať reálne útočné scenáre v bezpečnom a kontrolovanom prostredí, aby sa zistilo, ako ďaleko môže potenciálny útočník preniknúť do systému.

908

909

**Audit kybernetickej bezpečnosti**

910

911

Vykonanie auditu kybernetickej bezpečnosti podľa § 29 zákona č. 69/2018 Z. z. zahŕňa posúdenie stavu prijatia a dodržiavania všeobecných bezpečnostných opatrení vo forme úloh, procesov, rolí a technológií v organizačnej, personálnej a technickej rovine. Vykonanie auditu kybernetickej bezpečnosti Objednávateľa podľa zákona č.69/2018 v súlade s vyhláškou Národného bezpečnostného úradu č. 493/2022 Z. z. o audite kybernetickej bezpečnosti a znalostnom štandarde audítora (ďalej len „vyhláška o audite“) s cieľom overiť plnenie povinností podľa zákona a posúdiť zhodu prijatých bezpečnostných opatrení s požiadavkami podľa zákona a súvisiacich osobitných predpisov vzťahujúcich sa na bezpečnosť sietí a informačných systémov, s cieľom zabezpečiť požadovanú úroveň kybernetickej bezpečnosti a predchádzať kybernetickým bezpečnostným incidentom. Auditom sa identifikujú nedostatky pri zabezpečovaní kybernetickej bezpečnosti prevádzkovateľom informačných systémov verejnej správy s cieľom prijať opatrenia na ich odstránenie a nápravu a na predchádzanie kybernetickým bezpečnostným incidentom.

912

913

Bezpečnostná architektúra budúceho stavu bude v súlade s dotknutými právnymi normami a zároveň s technickými normami, ktoré stanovujú úroveň potrebnej bezpečnosti IS, pre manipuláciu so samotnými dátami, alebo technické / technologické / personálne zabezpečenie samotnej výpočtovej techniky/HW vybavenia. Ide najmä o:

914

915

* zákon č. 95/2019 Z.z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov

916

* zákon č. 69/2018 Z.z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov

917

* zákon č. 45/2011 Z.z. o kritickej infraštruktúre

918

* vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 78/2020 Z. z. o štandardoch pre informačné technológie verejnej správy

919

* vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 179/2020 Z. z., ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy

920

* vyhláška Úradu na ochranu osobných údajov Slovenskej republiky č. 158/2018 Z. z. o postupe pri posudzovaní vplyvu na ochranu osobných údajov

921

* nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov)

922

* zákon č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov.

923

* smernica Európskeho parlamentu a Rady (EÚ) (EÚ) 2022/2555 zo 14. decembra 2022 o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v Únii, ktorou sa mení nariadenie (EÚ) č. 910/2014 a smernica (EÚ) 2018/1972 a zrušuje smernica (EÚ) 2016/1148 (smernica NIS 2)

924

* zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov v znení neskorších predpisov (ďalej aj „zákon o kybernetickej bezpečnosti“),

925

* vyhláška Národného bezpečnostného úradu č. 164/2018 Z. z., ktorou sa určujú identifikačné kritériá prevádzkovanej služby (kritériá základnej služby),

926

* vyhláška Národného bezpečnostného úradu č. 165/2018 Z. z., ktorou sa určujú identifikačné kritériá pre jednotlivé kategórie závažných kybernetických bezpečnostných incidentov a podrobnosti hlásenia kybernetických bezpečnostných incidentov,

927

* vyhláška Národného bezpečnostného úradu č. 264/2023 Z. z. ktorou sa mení a dopĺňa vyhláška Národného bezpečnostného úradu č. 362/2018 Z. z., ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení,

928

* vyhláška Národného bezpečnostného úradu č. 493/2022 Z. z. o audite kybernetickej bezpečnosti,

929

* zákon č. 301/2023 Z. z. ktorým sa mení a dopĺňa zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov v znení neskorších predpisov a ktorým sa menia a dopĺňajú niektoré zákony,

930

* vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 78/2020 Z. z. o štandardoch pre informačné technológie verejnej správy,

931

* vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 179/2020, ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy,

932

* nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) – GDPR,

933

* zákon č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov v znení neskorších predpisov,

934

* Metodika analýzy rizík kybernetickej bezpečnosti - Metodika analýzy rizík pre uplatnenie v procesoch riadenia rizika v zmysle požiadaviek zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti (NBÚ)

935

936

Projektom sa zvyšuje úroveň kybernetickej a informačnej bezpečnosti nasadením resp. rozšírením nástrojov pre pokrytie kompletnej organizácie SŠHR SR a pre oblasti: sieťovej a komunikačnej bezpečnosti, kontinuity prevádzky, sieťovej a komunikačnej bezpečnosti, bezpečnosti pri prevádzke informačných systémov a sietí, zaznamenávaní udalostí a monitorovaní, riešení kybernetických bezpečnostných incidentov, hodnotení zraniteľností a bezpečnostné aktualizácie a ochrane proti škodlivému kódu.

937

938

Súčasťou projektu bude aktualizácia bezpečnostnej dokumentácie pre jednotlivé oblasti, ktorá vyplýva zo systému riadenia informačnej (a kybernetickej) bezpečnosti v súlade s vyhlášku Národného bezpečnostného úradu č. 362/2018 Z. z. ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení.

\\

= {{id name="projekt_2560_Pristup_k_projektu_detailny-5.ZávislostinaostatnéISVS/projekty"/}}5. Závislosti na ostatné ISVS / projekty =

943

944

Predkladaný projekt nie je závislý na iných pripravovaných resp. prebiehajúcich projektoch.

**~ **

= {{id name="projekt_2560_Pristup_k_projektu_detailny-6.Zdrojovékódy"/}}6. Zdrojové kódy =

949

950

Projektom bude zvýšená úroveň kybernetickej a informačnej bezpečnosti, ktorý pozostáva z nákupu krabicových balíkov, ktoré budú dodávateľom nasadené do prevádzky. Vzhľadom na to, že predmetom nie je vývoj na mieru informačného systému je táto kapitola irelevantná.

\\

= {{id name="projekt_2560_Pristup_k_projektu_detailny-7.Prevádzkaaúdržba"/}}7. Prevádzka a údržba =

955

956

Prevádzka a údržba navrhnutého riešenia projektu bude zabezpečená internými personálnymi kapacitami na úrovni podpory L1 až L3 (L3 externe). Pre hlásenie problémov bude využívaný Helpdesk. Predpoklad riešenia problémov a požiadaviek bude od nahlásenia problému alebo požiadavky prostredníctvom helpdesku (e-mailom, telefonicky, formulárom), identifikácia a preverenie problému/požiadavky, vykonanie opravy/podpory.

957

958

SŠHR SR v súčasnosti disponuje interným zamestnancom: Manažér kybernetickej a informačnej bezpečnosti.

959

960

== {{id name="projekt_2560_Pristup_k_projektu_detailny-7.1Prevádzkovépožiadavky"/}}7.1 Prevádzkové požiadavky ==

961

962

Prevádzkové požiadavky budú zabezpečené na úrovni podpory L1, L2 a L3.

963

964

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-7.1.1Úrovnepodporypoužívateľov"/}}7.1.1 Úrovne podpory používateľov ===

965

966

Help Desk bude realizovaný cez 3 úrovne podpory s nasledujúcim označením:

967

968

* **L1 podpora** - začiatočná úroveň podpory, ktorá je zodpovedná za riešenie základných problémov a požiadaviek koncových užívateľov a ďalšie služby vyžadujúce základnú úroveň technickej podpory. Základnou funkciou podpory 1. stupňa je zhromaždiť informácie, previesť základnú analýzu a určiť príčinu problému a jeho klasifikáciu. Typicky sú v úrovni L1 riešené priamočiare a jednoduché problémy a základné diagnostiky, overenie dostupnosti jednotlivých vrstiev infraštruktúry (sieťové, operačné, vizualizačné, aplikačné atď.) a základné užívateľské problémy (typicky zabudnutie hesla), overovanie nastavení SW a HW atď.

969

* **L2 podpora** - riešiteľské tímy s hlbšou technologickou znalosťou danej oblasti. Riešitelia na úrovni Podpory L2 nekomunikujú priamo s koncovým užívateľom, ale sú zodpovední za poskytovanie súčinnosti riešiteľom 1. úrovne podpory pri riešení eskalovaného hlásenia, čo mimo iného obsahuje aj spätnú kontrolu a podrobnejšiu analýzu zistených dát predaných riešiteľom 1. úrovne podpory. Výstupom takejto kontroly môže byť potvrdenie, upresnenie, alebo prehodnotenie hlásenia v závislosti na potrebách Objednávateľa. Primárnym cieľom riešiteľov na úrovni Podpory L2 je dostať Hlásenie čo najskôr pod kontrolu a následne ho vyriešiť - s možnosťou eskalácie na vyššiu úroveň podpory – Podpora L3.

970

* **L3 podpora** - Podpora 3. stupňa predstavuje najvyššiu úroveň podpory pre riešenie tých najobťažnejších hlásení, vrátane prevádzania hĺbkových analýz a riešenie extrémnych prípadov, ktorú bude zabezpečovať výrobca implementovaných nástrojov.

971

972

Prevádzka implementovaných nástrojov v rámci projektu L1 až L3 bude zabezpečená internými zamestnancami SŠHR SR. V prípade nevyhnutnej potreby bude zabezpečená L3 podpora výrobcu implementovaných nástrojov, ktorá bude financovaná z vlastných zdrojov SŠHR SR.

973

974

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-7.1.2Riešenieincidentov–SLAparametre"/}}7.1.2 Riešenie incidentov – SLA parametre ===

\\

Za incident je považovaná chyba IS, t.j. správanie sa v rozpore s prevádzkovou a používateľskou dokumentáciou IS. Za incident nie je považovaná chyba, ktorá nastala mimo prostredia IS napr. výpadok poskytovania konkrétnej služby Vládneho cloudu alebo komunikačnej infraštruktúry.

\\

Označenie naliehavosti incidentu:

983

984

(% class="" %)|(((

985

**Označenie naliehavosti incidentu**

986

)))|(((

987

**Závažnosť incidentu**

988

)))|(((

989

**Popis naliehavosti incidentu**

)))

(% class="" %)|(((

**A**

)))|(((

**Kritická**

)))|(((

Je to vada spôsobená vážnou chybou a/alebo nedostatkom dodávanej softvérovej aplikácie, pričom táto chyba a/alebo nedostatok zabraňuje používaniu dodávanej softvérovej aplikácie. Nie je možné poskytnúť požadovaný výstup z IS.

)))

(% class="" %)|(((

**B**

)))|(((

**Vysoká**

)))|(((

Je vada, spôsobená chybou a/alebo nedostatkom dodávanej softvérovej aplikácie, pričom táto chyba a/alebo nedostatok obmedzuje používanie dodávanej softvérovej aplikácie nasledovne:

1004

1005

Niektoré aplikačné funkcie (moduly, komponenty, objekty, programy) dodávanej softvérovej aplikácie nie sú funkčné alebo nie je umožnený prístup k niektorej aplikačnej funkcii (modulu, komponentu, objektu, programu) dodávanej softvérovej aplikácie

alebo

(ii) Nie je možné vykonať výber niektorých údajov alebo nie je možné vyhotoviť niektorý výstup z databázy údajov dodávanej softvérovej aplikácie alebo nie je možné vykonať prístup k niektorým údajom v databáze údajov dodávanej softvérovej aplikácie.

1010

1011

napr. tlač pomocných výstupov, zostavy, funkčnosť nesúvisiaca s vyrubením a pod.

)))

(% class="" %)|(((

**C**

)))|(((

**Stredná**

)))|(((

Do tejto kategórie spadajú všetky chyby a/alebo nedostatky spojené s používaním dodávanej softvérovej aplikácie, ktoré nie sú klasifikované ako závažné alebo kritické vady, pričom však čiastočne obmedzujú používanie dodávanej softvérovej aplikácie a vyžadujú si:

1019

1020

Nastavenie parametrov systému Poskytovateľom alebo

1021

1022

(ii) Vzniknutá vada a/alebo nedostatok má za príčinu miernu nepohodlnosť pri práci so softvérovou aplikáciou, ktorá je však funkčná.

)))

// //

možný dopad:

\\

(% class="" %)|(((

**Označenie závažnosti incidentu**

)))|(((

**~ **

**Dopad**

)))|(((

**Popis dopadu**

)))

(% class="" %)|(((

**1**

)))|(((

**katastrofický**

)))|(((

katastrofický dopad, priamy finančný dopad alebo strata dát,

)))

(% class="" %)|(((

**2**

)))|(((

**značný**

)))|(((

značný dopad alebo strata dát

)))

(% class="" %)|(((

**3**

)))|(((

**malý**

)))|(((

malý dopad alebo strata dát

)))

**// //**

**// //**

**// //**

**// //**

**// //**

**// //**

**// //**

**// //**

* Výpočet priority incidentu je kombináciou dopadu a naliehavosti v súlade s best practices ITIL V3 uvedený v nasledovnej matici:

// //

(% class="" %)|(% colspan="2" rowspan="2" %)(((

1083

**Matica priority incidentov**

1084

)))|(% colspan="3" %)(((

**Dopad**

)))

(% class="" %)|(((

**Katastrofický - 1**

)))|(((

**Značný - 2**

)))|(((

**Malý - 3**

)))

(% class="" %)|(% rowspan="3" %)(((

**Naliehavosť**

)))|(((

**Kritická - A**

)))|(((

1

)))|(((

2

)))|(((

3

)))

(% class="" %)|(((

**Vysoká - B**

)))|(((

2

)))|(((

3

)))|(((

3

)))

(% class="" %)|(((

**Stredná - C**

)))|(((

2

)))|(((

3

)))|(((

4

)))

**// //**

**Vyžadované reakčné doby:**

**// //**

(% class="" %)|(((

**Označenie priority incidentu**

1132

)))|(((

1133

**Reakčná doba^^(1)^^ od nahlásenia incidentu po začiatok riešenia incidentu**

1134

)))|(((

1135

**Doba konečného vyriešenia incidentu od nahlásenia incidentu (DKVI) ^^(2)^^**

1136

)))|(((

1137

**//Spoľahlivosť ^^(3)^^//**

1138

1139

//(počet incidentov za mesiac)//

)))

(% class="" %)|(((

**1**

)))|(((

0,5 hod.

)))|(((

4 hodín

)))|(((

//1//

)))

(% class="" %)|(((

**2**

)))|(((

1 hod.

)))|(((

12 hodín

)))|(((

//2//

)))

(% class="" %)|(((

**3**

)))|(((

1 hod.

)))|(((

24 hodín

)))|(((

//10//

)))

(% class="" %)|(((

**4**

)))|(((

1 hod.

)))|(% colspan="2" %)(((

1173

Vyriešené a nasadené v rámci plánovaných releasov

)))

**~ **

* (1) Reakčná doba je čas medzi nahlásením incidentu verejným obstarávateľom (vrátane užívateľov IS, ktorí nie sú v pracovnoprávnom vzťahu s verejným obstarávateľom) na helpdesk úrovne L3 a jeho prevzatím na riešenie.

\\

* (2) DKVI znamená obnovenie štandardnej prevádzky - čas medzi nahlásením incidentu verejným obstarávateľom a vyriešením incidentu úspešným uchádzačom (do doby, kedy je funkčnosť prostredia znovu obnovená v plnom rozsahu). Doba konečného vyriešenia incidentu od nahlásenia incidentu verejným obstarávateľom (DKVI) sa počíta počas celého dňa. Do tejto doby sa nezarátava čas potrebný na nevyhnutnú súčinnosť verejného obstarávateľa, ak je potrebná pre vyriešenie incidentu. V prípade potreby je úspešný uchádzač oprávnený požadovať od verejného obstarávateľa schválenie riešenia incidentu.

\\

* (3) Maximálny počet incidentov za kalendárny mesiac. Každá ďalšia chyba nad stanovený limit spoľahlivosti sa počíta ako začatý deň omeškania bez odstránenia vady alebo incidentu. Duplicitné alebo technicky súvisiace incidenty (zadané v rámci jedného pracovného dňa, počas pracovného času 8 hodín) sú považované ako jeden incident.

\\

* (4) Incidenty nahlásené verejným obstarávateľom úspešnému uchádzačovi v rámci testovacieho prostredia

1191

1192

1. Majú prioritu 3 a nižšiu

1193

1. Vzťahujú sa výhradne k dostupnosti testovacieho prostredia

1194

1. Za incident na testovacom prostredí sa nepovažuje incident vztiahnutý k práve testovanej funkcionalite.

\\

Vyššie uvedené SLA parametre nebudú použité pre nasledovné služby:

1199

1200

* Služby systémovej podpory na požiadanie (nad paušál)

1201

* Služby realizácie aplikačných zmien vyplývajúcich z legislatívnych a metodických zmien (nad paušál)

1202

1203

Pre tieto služby budú dohodnuté osobitné parametre dodávky.

// //

// //

// //

// //

// //

// //

// //

// //

// //

// //

// //

// //

// //

// //

// //

== {{id name="projekt_2560_Pristup_k_projektu_detailny-7.2PožadovanádostupnosťIS:"/}}7.2 Požadovaná dostupnosť IS: ==

**// //**

(% class="" %)|(((

**Popis**

)))|(((

**Parameter**

)))|(((

**Poznámka**

)))

(% class="" %)|(((

**Prevádzkové hodiny**

)))|(((

8 hodín

)))|(((

Po – Pia, 8:00 - 16:00

1252

)))

1253

(% class="" %)|(% rowspan="2" %)(((

**Servisné okno**

)))|(((

14 hodín

)))|(((

od 17:00 hod. - do 7:00 hod. počas pracovných dní

)))

(% class="" %)|(((

24 hodín

)))|(((

od 00:00 hod. - 23:59 hod. počas dní pracovného pokoja a štátnych sviatkov Servis a údržba sa bude realizovať mimo pracovného času.

1264

)))

1265

(% class="" %)|(((

1266

**Dostupnosť produkčného prostredia IS**

)))|(((

97%

)))|(((

· 97% z 24/7/365 t.j. max ročný výpadok je 10,95 dňa. Maximálny mesačný výpadok je 21,9 hodiny.

1271

1272

· Vždy sa za takúto dobu považuje čas od 0.00 hod. do 23.59 hod. počas pracovných dní v týždni.

1273

1274

· Nedostupnosť IS sa počíta od nahlásenia incidentu Zákazníkom v čase dostupnosti podpory Poskytovateľa (t.j. nahlásenie incidentu na L3 v čase od 6:00 hod. - do 18:00 hod. počas pracovných dní). Do dostupnosti IS nie sú započítavané servisné okná a plánované odstávky IS.

1275

1276

· V prípade nedodržania dostupnosti IS bude každý ďalší začatý pracovný deň nedostupnosti braný ako deň omeškania bez odstránenia vady alebo incidentu.

)))

// //

// //

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-7.2.1Dostupnosť(Availability)"/}}7.2.1 Dostupnosť (Availability) ===

\\

Dostupnosť znamená, že dáta sú prístupné v okamihu jej potreby. Narušenie dostupnosti sa označuje ako nežiaduce zničenie (destruction) alebo nedostupnosť. Dostupnosť je zvyčajne vyjadrená ako percento času v danom období, obvykle za rok. V projekte sa uvažuje 97% dostupnosť znamená výpadok 10,95 dňa.

\\

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-7.2.2RTO(RecoveryTimeObjective)"/}}7.2.2 RTO (Recovery Time Objective) ===

\\

V rámci projektu sa očakáva tradičné zálohovanie - výpadok a obnova trvá cca hodiny až dni.

// //

=== {{id name="projekt_2560_Pristup_k_projektu_detailny-7.2.3RPO(RecoveryPointObjective)"/}}7.2.3 RPO (Recovery Point Objective) ===

\\

V rámci projektu sa očakáva tradičné zálohovanie - výpadok a obnova trvá cca hodiny až dni.

\\

= {{id name="projekt_2560_Pristup_k_projektu_detailny-8.Požiadavkynapersonál"/}}8. Požiadavky na personál =

\\

**Riadiaci výbor** projektu tvorí predseda riadiaceho výboru projektu a vlastníci procesov alebo nimi poverení zástupcovia.

\\

Riadiaci výbor sa riadi “Štatútom riadiaceho výboru”, ktorý je popísaný v dokumente Štatút RV projektu ako najvyšší riadiaci orgán na účely realizácie projektu na základe schválenej projektovej dokumentácie.

1316

1317

Štatút Riadiaceho výboru upravuje najmä jeho pôsobnosť, úlohy, zloženie, zasadnutie a hlasovanie. Členom riadiaceho výboru projektu môže byť aj zástupca dodávateľa. Väčšina členov riadiaceho výboru projektu s hlasovacím právom sú osoby navrhnuté objednávateľom a zastupujú záujmy objednávateľa. Riadiaci výbor projektu dozerá na hospodárnosť, efektívnosť a účelové využívanie finančných prostriedkov a môže prispôsobiť štandardy projektového riadenia na realizovaný projekt.

1318

1319

Riadiaci výbor má minimálne 5 členov, vrátane predsedu Riadiaceho výboru (ďalej len „predseda“) :

\\

Riadiaci výbor projektu môžu tvoriť:

1324

1325

1. **predseda** Riadiaceho výboru projektu,

1326

1. **podpredseda **Riadiaceho výboru projektu,

1327

1. **vlastník alebo vlastníci procesov SŠHR** (biznis vlastník infraštruktúra) alebo nimi poverený zástupca alebo zástupcovia,

1328

1. **zástupcu kľúčových používateľov **(end user),

1329

1. zástupca za Dodávateľa v zmysle Zmluvy o Dielo s Dodávateľom.

1330

1. projektový manažér prijímateľa.

\\

Riadiaci výbor je riadený predsedom, ktorým je zástupca Objednávateľa. V prípade neprítomnosti predsedu na zasadnutí Riadiaceho výboru, predseda musí na toto konkrétne zasadnutie písomne delegovať svoju funkciu v rozsahu svojich práv a povinností formou splnomocnenia na zástupcu, ktorým môže byť aj iný člen Riadiaceho výboru s hlasovacím právom. Na rokovanie Riadiaceho výboru môžu byť v prípade potreby prizvaní aj iní účastníci tak zo strany Objednávateľa alebo za stranu Dodávateľa.

\\

Riadiaci výbor zasadá pravidelne, spravidla raz za mesiac avšak najmenej jedenkrát za tri (3) po sebe nasledujúce kalendárne mesiace. Zasadnutie Riadiaceho výboru zvoláva predseda. Závery zo zasadnutia Riadiaceho výboru a jednotlivé body zo zasadnutia Riadiaceho výboru sa prijímajú súhlasným hlasovaním nadpolovičnej väčšiny prítomných členov Riadiaceho výboru s hlasovacím právom. Hlas predsedu má v prípade rovnosti hlasov hodnotu dvoch hlasov.

\\

Hlavné dokumenty spojené s činnosťou Riadiaceho výboru sú program zasadnutia, pracovný materiál a záznam zo zasadnutia Riadiaceho výboru, ktorého prílohou musí byť aj prezenčná listina, prípadne aj písomné splnomocnenia členov Riadiaceho výboru.

\\

Program zasadnutia a pracovné materiály Riadiaceho výboru distribuuje Asistent projektového manažéra na základe podkladov a inštrukcií predsedu alebo toho člena Riadiaceho výboru, ktorý požiadal o zasadnutie Riadiaceho výboru.

1347

1348

Asistent projektového manažéra zabezpečí ich distribúciu členom Riadiaceho výboru najneskôr 3 pracovné dni pred zasadnutím Riadiaceho výboru. Za vecnú správnosť distribuovaného materiálu zodpovedá člen Riadiaceho výboru, ktorý ho predkladá.

\\

Riadiaci výbor zaniká ukončením plnohodnotnej implementácie projektu a jeho uvedením do produktívnej prevádzky. Zoznam členov Riadiaceho výboru je súčasťou dokumentu Komunikačná matica uloženom na zdieľanom projektovom úložisku.

\\

(% class="" %)|(((

**ID**

)))|(((

**MENO A PRIEZVISKO**

)))|(((

**POZÍCIA**

)))|(((

**ORGANIZAČNÝ ÚTVAR**

1364

)))|(((

1365

**ROLA V PROJEKTE S UVEDENÍM HLASOVACIEHO PRÁVA**

)))

(% class="" %)|(((

1.

)))|(((

TBD

)))|(((

TBD

)))|(((

TBD

)))|(((

Predseda RV (HP)

)))

(% class="" %)|(((

2.

)))|(((

TBD

)))|(((

TBD

)))|(((

TBD

)))|(((

Podpredseda RV (HP)

)))

(% class="" %)|(((

3.

)))|(((

TBD

)))|(((

TBD

)))|(((

TBD

)))|(((

Zástupca vlastníkov procesov (HP)

)))

(% class="" %)|(((

4.

)))|(((

TBD

)))|(((

TBD

)))|(((

TBD

)))|(((

Zástupca vlastníkov procesov II. (HP)

)))

(% class="" %)|(((

5.

)))|(((

TBD

)))|(((

TBD

)))|(((

TBD

)))|(((

Zástupcu kľúčových používateľov

)))

(% class="" %)|(((

6.

)))|(((

TBD

)))|(((

TBD

)))|(((

TBD

)))|(((

Zástupca Dodávateľa

)))

(% class="" %)|(((

7.

)))|(((

Mgr. Tibor Balberčák

)))|(((

Projektový manažér

)))|(((

Odbor informačných technológií

1441

)))|(((

1442

Projektový manažér prijímateľa

)))

\\

Riadenie projektu zo strany Objednávateľa bude zabezpečené prostredníctvom Projektového manažéra a Finančného manažéra a bude trvať počas celej doby realizácie projektu. Bude pokrývať oblasť projektového riadenia (projektový manažment, celková koordinácia projektu, celkový dohľad nad vývojom dodávaného Diela, vrátane kvality), finančného riadenia a monitorovania realizácie projektu v zmysle riadenia podľa vyhlášky MIRRI č. 401/2023 Z. z. v platnom znení.

\\

Projektový tím bude pozostávať z pozícií:

1452

1453

* Projektové role:

1454

* Projektový manažér,

1455

* Kľúčový používateľ,

1456

* Manažér kybernetickej a informačnej bezpečnosti

\\

* Ďalšie projektové role:

* Finančný manažér

* Asistent PM

V súlade s výzvou SŠHR SR zabezpečí, aby počas implementácie projektu a po jeho skončení (počas obdobia udržateľnosti) bol k dispozícii interný personál na obsluhu, prevádzku a rozvoj riešenia. Zároveň bude minimálne počas obdobia udržateľnosti zabezpečené financovanie tohto personálu zo zdrojov SŠHR SR.

\\

Projektový manažér Objednávateľa bude zabezpečovať koordináciu projektových činností a manažment v súlade s metodikou PRINCE2 (hlavné dokumenty, priebežné manažérske výstupy, a pod.).

1469

1470

Projektový manažér Objednávateľa bude riadiť, administratívne a organizačne zabezpečovať implementáciu projektu, komunikovať s dodávateľmi, sledovať plnenie harmonogramu projektu a zabezpečovať dokumenty požadované MIRRI. Zároveň bude v spolupráci s projektovým manažérom dodávateľa koordinovať realizáciu hlavných aktivít, činností a úloh projektu.

\\

Zodpovednosťou projektového manažéra je v spolupráci s finančným manažérom (objednávateľa) finančné riadenie projektu kontrolu rozpočtu projektu a jeho súlad s účtovnými dokladmi. Kontrolu podpornej účtovnej dokumentácie a poradenstvo pri definovaní oprávnených výdavkov bude zabezpečovať finančný manažér Objednávateľa.

\\

Súčasťou projektového riadenia bude tiež operatívna projektová podpora zabezpečujúca administratívnu podporu pre písomnú komunikáciu, administratívne vedenie projektovej dokumentácie a prípravu podkladov pre členov projektového tímu, organizáciu stretnutí a pod.. V rámci aktivity budú taktiež zabezpečovaný manažment a hodnotenie kvality zo strany Objednávateľa.

\\

(% class="" %)|(((

**ID**

)))|(((

**MENO A PRIEZVISKO**

)))|(((

**POZÍCIA**

)))|(((

**ORGANIZAČNÝ ÚTVAR**

)))|(((

**PROJEKTOVÁ ROLA**

)))

(% class="" %)|(((

1.

)))|(((

Mgr. Tibor Balberčák

)))|(((

Projektový manažér

)))|(((

Odbor informačných technológií

)))|(((

Projektový manažér

)))

(% class="" %)|(((

2.

)))|(((

Ing. Stanislav Lacko

)))|(((

Špecialista v oblasti počítačových sietí

1510

)))|(((

1511

Odbor informačných technológií

)))|(((

Kľúčový používateľ

)))

(% class="" %)|(((

3.

)))|(((

Mgr. Martin Oczvirk

)))|(((

Manažér kybernetickej a informačnej bezpečnosti

1521

)))|(((

1522

Odbor informačných technológií

1523

)))|(((

1524

Manažér kybernetickej a informačnej bezpečnosti

)))

(% class="" %)|(((

4.

)))|(((

TBD

)))|(((

TBD

)))|(((

TBD

)))|(((

Finančný manažér

)))

(% class="" %)|(((

5.

)))|(((

TBD

)))|(((

TBD

)))|(((

TBD

)))|(((

Asistent PM

)))

\\

RV je riadiaci orgán projektu, ktorý zodpovedá najmä za splnenie stanovených cieľov projektu, rozhoduje o zmenách, ktoré majú zásadný význam a prejavujú sa hlavne dopadom na časový harmonogram a finančné prostriedky projektu. Reprezentuje najvyššiu akceptačnú autoritu projektu. Štatút Riadiaceho výboru projektu upravuje najmä úlohy, zloženie a pôsobnosť RV, ako aj práva a povinnosti členov RV pri riadení a realizácii predmetného projektu.

1552

1553

Projektový manažér riadi projekt, kvalitu a riziká projektu a zabezpečuje plnenie úloh uložených RV. Členovia projektového tímu zabezpečujú plnenie úloh uložených projektovým manažérom, alebo RV.

1554

1555

Ďalšie povinnosti členov RV, projektového manažéra a členov projektového tímu sú uvedené vo Vyhláške č. 401/2023 Z. z. a v doplňujúcich vzoroch a šablónach zverejnených na webovom sídle MIRRI SR.

\\

(% class="" %)|(((

**Projektová rola:**

)))|(((

**PROJEKTOVÝ MANAŽÉR**

1563

)))

1564

(% class="" %)|(((

1565

Detailný popis rozsahu zodpovedností, povinností a kompetencií:

1566

)))|(((

1567

- zodpovedá za každodenné riadenie projektu v mene RV, za monitorovanie projektu, za plánovanie aktivít, za informovanie o projekte, atď.,

1568

1569

- zodpovedá za určenie pravidiel, spôsobov, metód a nástrojov riadenia projektu a získanie podpory RV pre riadenie, plánovanie a kontrolu projektu a efektívne využívanie projektových zdrojov (ľudských a finančných),

1570

1571

- zodpovedá za splnenie všetkých legislatívnych požiadaviek (právne predpisy SR), metodických požiadaviek súvisiacich s implementáciou projektu a formálnu administráciu projektu súvisiacu s riadením, organizovaním, finančným zúčtovaním, sledovaním čiastkových a celkových výsledkov (monitorovaním) a hodnotením výsledkov,

1572

1573

- integrovane riadi prípravu a uskutočnenie projektu, nasadenie disponibilných prostriedkov, zabezpečuje koordináciu dodávateľov a zhotoviteľov jednotlivých výstupov projektu, zabezpečuje koordináciu partnerov, časový priebeh a kvalitu výstupov projektu, zmeny projektu a rieši konflikty s okolím projektu,

1574

1575

- prijíma rozhodnutia a riadi projekt tak, aby sa splnili stanovené ciele projektu, a aby projekt dodával dohodnuté produkty v dohodnutej kvalite, v čase, a v rámci rozpočtu,

1576

1577

- zodpovedá RV za plnenie cieľov projektu a celkový postup prác v projekte,

1578

1579

- informuje RV o stave a priebehu projektu, predkladá návrhy na zlepšenie,

1580

1581

- riadi strategické a projektové riziká, vrátane vývojových a rezervných plánov,

1582

1583

- zodpovedá za identifikovanie kritických miest projektu a navrhovanie ciest k ich eliminácii,

1584

1585

- aktívne komunikuje s dodávateľom, zástupcom dodávateľa a projektovým manažérom dodávateľa s cieľom zabezpečiť úspešné dodanie a nasadenie požadovaných projektových výstupov,

1586

1587

- zabezpečuje kontrolu dodržiavania a plnenia míľnikov v zmysle zmluvy s dodávateľom,

1588

1589

- zabezpečuje vecnú administráciu zúčtovania dodávateľských faktúr,

1590

1591

- predkladá požiadavky dodávateľa na rokovanie RV,

1592

1593

- zodpovedá za koordináciu a zabezpečenie podkladov pre oddelenie komunikačné pre potreby medializácie projektu,

1594

1595

- zodpovedá za informovanie zamestnancov a verejnosti o začatí a ukončení projektu v závislosti od jeho charakteru,

1596

1597

- zodpovedá za zabezpečenie vypracovania, priebežnej aktualizácie a verzionovania manažérskej a špecializovanej dokumentácie a produktov,

1598

1599

- pripravuje a predkladá stanovené dokumenty na schválenie RV,

1600

1601

- navrhuje zaradiť projekt alebo jeho časť do režimu utajenia,

1602

1603

- zabezpečuje permanentný dohľad a zvýšenú mieru kontroly a ochrany tokov informácií pri realizácii utajovaného projektu alebo utajovanej časti projektu,

1604

1605

- zodpovedá za vypracovanie požiadaviek na zmenu, návrh ich prioritizácie a predkladanie zmenových požiadaviek na rokovanie RV,

1606

1607

- zabezpečuje podanie žiadosti o rozpočtové opatrenie MF SR cez Rozpočtový informačný systém na projekt IT podľa potreby,

1608

1609

- zodpovedá za riadenie zmeny a prípadné požadované riadenie konfigurácií,

1610

1611

- navrhuje členov projektového tímu po dohode s líniovým vedúcim a tímovým manažérom a tiež navrhuje rozsah ich zodpovedností a činností,

1612

1613

- organizuje, riadi, motivuje projektový tím a deleguje úlohy členom projektového tímu,

1614

1615

- hodnotí členov projektového tímu,

1616

1617

- udeľuje pokyny na výkon činností projektovej kancelárie,

1618

1619

- podľa potreby deleguje svoje povinnosti a práva na tímových manažérov a koordinuje ich činnosť,

1620

1621

- plní úlohy tímového manažéra (vedúceho projektového tímu), ak takáto rola v projekte nie je obsadená –viď činnosť projektovej role „Tímový manažér“,

1622

1623

- monitoruje výkonnosť projektu, to znamená, že sleduje pokrok vo vybraných ukazovateľoch (KPI) projektu a predkladá ho na schválenie RV,

1624

1625

- zabezpečuje evidenciu v informačných systémoch pre štandardizované procesy programové a projektového riadenia, napr. IT monitorovací systém pre európske štrukturálne a investičné fondy,

1626

1627

- zodpovedá za publikovanie RV schválených projektových výstupov v MetaIS chronologicky, z každej fázy životného cyklu projektu,

1628

1629

- zodpovedá za publikovanie zápisov RV v MetaIS,

1630

1631

- počas celej doby realizácie projektu štandardne zabezpečuje nasledovné prierezové činnosti:

1632

1633

~1. kontinuálne zdôvodňovanie projektu, ktoré zahŕňa posúdenie, či je projekt požadovaný a dosiahnuteľný, potrebné na rozhodovanie o pokračovaní vynakladania prostriedkov počas všetkých fáz projektu, vypracované aspoň po ukončení každej fázy projektu,

1634

1635

2. plánovanie a operatívne riadenie dodávania projektových produktov,

1636

1637

3. riadenie rizík a závislostí, ktoré zahŕňa identifikáciu, hodnotenie a riadenie rizík, závislostí a hrozieb na úspešnú realizáciu projektu,

1638

1639

- zabezpečuje dodržiavanie legislatívno-metodických zásad pre riadenie projektov,

1640

1641

- zodpovedá za formálnu administráciu projektu, riadenie centrálneho úložiska projektovej dokumentácie SŠHR SR, správu a archiváciu projektovej dokumentácie,

1642

1643

- sleduje dodržiavanie interných riadiacich aktov.

)))

\\

(% class="" %)|(((

**Projektová rola:**

)))|(((

**KĹÚČOVÝ POUŽÍVATEĽ**

)))

(% class="" %)|(((

Stručný popis:

)))|(((

- reprezentuje záujmy budúcich koncových používateľov projektových produktov alebo projektových výstupov,

1657

1658

- poskytuje súčinnosť pri spracovaní interného riadiaceho aktu upravujúceho prevádzku, servis a podporu IT,

1659

1660

- aktívne sa zúčastňuje stretnutí projektového tímu a spolupracuje na vypracovaní manažérskej a špecializovanej dokumentácie a produktov v minimálnom rozsahu určenom Prílohou č.1 tejto smernice,

1661

1662

- plní pokyny PM a dohody zo stretnutí projektového tímu.

\\

)))

(% class="" %)|(((

Detailný popis rozsahu zodpovedností, povinností a kompetencií

1668

)))|(((

1669

· návrh a špecifikáciu funkčných, nefunkčných a technických požiadaviek, potreby, obsahu, kvalitatívnych a kvantitatívnych prínosov projektu, požiadaviek koncových používateľov na prínos systému a požiadaviek na bezpečnosť,

1670

1671

· jednoznačnú špecifikáciu požiadaviek na jednotlivé projektové výstupy (špecializované produkty a výstupy) z pohľadu vecno-procesného a legislatívy,

1672

1673

· návrh a definovanie rizík, rozhraní a závislostí,

1674

1675

· vykonanie používateľského testovania funkčného používateľského rozhrania (UX testovania) a za finálne odsúhlasenie používateľského rozhrania,

1676

1677

· návrh a definovanie akceptačných kritérií,

1678

1679

· akceptačné testovanie (UAT) a návrh na akceptáciu projektových produktov alebo projektových výstupov a finálny návrh na spustenie do produkčnej prevádzky,

1680

1681

· 7. predkladanie požiadaviek na zmenu funkcionalít produktov,

)))

\\

(% class="" %)|(((

**Projektová rola:**

)))|(((

**PROJEKTOVÁ KANCELÁRIA („PMO“)**

1690

)))

1691

(% class="" %)|(((

1692

Projektovou kanceláriou je príslušný organizačný útvar FR SR v zmysle organizačného poriadku FR SR, ktorý zabezpečuje podporu riadenia projektu, najmä:

1693

)))|(((

1694

- administratívnu a technickú podporu v jednotlivých fázach životného cyklu projektu,

1695

1696

- vypracovanie a odovzdanie menovacích dekrétov a odvolacích dekrétov

1697

1698

pre predsedu RV, členov RV, PM a podpísaných predsedom RV pre členov projektového tímu a PMO,

1699

1700

- zabezpečenie oboznámenia predsedu RV, členov RV, a členov projektového tímu s projektom, ich

1701

1702

úlohami a rozsahom ich zodpovedností, atď. podľa pokynu PM,

1703

1704

- organizačné zabezpečenie zasadnutí RV, spracovanie zápisov zo zasadnutí RV a zabezpečenie ich

1705

1706

zverejnenia prostredníctvom MetaIS, ak je to potrebné,

1707

1708

- organizačné zabezpečenie stretnutí realizovaných v rámci projektu, spracovanie zápisov z týchto

stretnutí,

- vykonávanie úloh na základe pokynov PM,

1713

1714

- vypracovanie a aktualizácia zoznamov úloh, rizík, otvorených otázok a iných manažérskych správ,

1715

1716

reportov, zoznamov a požiadaviek,

1717

1718

- organizačné zabezpečenie pripomienkového konania projektovej dokumentácie,

1719

1720

- správu projektov, monitorovanie stavu projektu, udržiavanie aktuálnosti a hodnovernosti údajov

1721

1722

o projektoch a podľa potreby optimalizáciu projektov,

1723

1724

- prípravu informácií o stave realizácie projektu podľa potreby,

1725

1726

- zhromaždenie, analyzovanie a vyhodnotenie poznatkov z implementácie projektov a definovanie

1727

1728

ponaučenia za účelom predchádzania a opakovania chýb z minulosti,

1729

1730

- zabezpečenie zverejnenia projektových výstupov jednotlivých fáz životného cyklu projektu na centrálnom

1731

1732

úložisku projektovej dokumentácie SŠHR SR a v MetaIS, ak je to potrebné,

1733

1734

- poskytuje súčinnosť PM pri predkladaní projektových produktov na posúdenie ekonomickej výhodnosti

1735

1736

a súladu s programovým riadením MIRRI SR, ak je to potrebné,

1737

1738

- organizáciu procesov súvisiacich s výkazmi práce členov projektových tímov jednotlivých projektov,

1739

1740

- vytvorenie a spravovanie centrálneho úložiska projektovej dokumentácie SŠHR SR,

1741

1742

- vytvorenie komunikačnej platformy v rámci projektu a medzi projektami navzájom,

1743

1744

- zabezpečenie interakcie medzi zainteresovanými stranami, ich spokojnosť a realizáciu požiadaviek

1745

1746

spojených s implementáciou projektu,

1747

1748

- spoluprácu s metodickou podporou projektového riadenia,

1749

1750

- zabezpečenie uloženia originálov projektovej dokumentácie.

)))

\\

(% class="" %)|(((

**Projektová rola:**

)))|(((

**MANAŽÉR KYBERNETICKEJ A INFORMAČNEJ BEZPEČNOSTI („KIB“)**

)))

(% class="" %)|(((

Stručný popis:

)))|(((

- má neobmedzený aktívny prístup ku všetkým projektovým dokumentom, nástrojom a výstupom projektu, v ktorých sa opisuje predmet projektu z hľadiska jeho architektúry, funkcií, procesov, manažmentu informačnej bezpečnosti a spôsobov spracúvania dát, ako aj dát samotných,

1764

1765

- má sprístupnené všetky informácie o bezpečnostných opatreniach zavádzaných projektom v zmysle § 20 zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov v znení neskorších predpisov a v zmysle ustanovení zákona č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov v znení neskorších predpisov,

1766

1767

- zodpovedá za posúdenie možných alternatív realizácie projektu za oblasť IB a KB,

1768

1769

- zodpovedá za posúdenie požiadaviek agendy IB a KB na rozhrania a spoločné komponenty, na integrácie a procesy konverzie a migrácie, identifikácia nesúladu a návrh riešenia,

1770

1771

- poskytuje konzultácie a súčinnosť pre problematiku IB a KB,

1772

1773

- poskytuje konzultácie pri tvorbe šablón a vzorov dokumentácie pre oblasť IB a KB,

1774

1775

- poskytuje konzultácie a vykonáva kontrolnú činnosť zameranú na obsah a komplexnosť dokumentácie z hľadiska IB a KB,

1776

1777

- dohliada na zosúladenie projektu s princípmi definovanými v interných riadiacich aktoch SŠHR SR a dokumentoch týkajúcich sa bezpečnosti SŠHR SR,

1778

1779

- zabezpečuje získavanie a spracovanie informácií nutných pre plnenie úloh v oblasti IB a KB,

1780

1781

- aktívne sa zúčastňuje stretnutí projektového tímu a spolupracuje na vypracovaní manažérskej a špecializovanej dokumentácie a produktov v minimálnom rozsahu určenom Prílohou č.1 tejto smernice,

1782

1783

- plní pokyny PM a dohody zo stretnutí projektového tímu.

1784

)))

1785

(% class="" %)|(((

1786

Detailný popis rozsahu zodpovedností, povinností a kompetencií

1787

)))|(((

1788

- zodpovedá́ za špecifikovanie:

1789

1790

- štandardov, princípov a stratégií v oblasti informačnej bezpečnosti („IB“) a kybernetickej bezpečnosti („KB“) a ich dodržiavanie,

1791

1792

- funkčných, nefunkčných a technických požiadaviek na IB a KB a za ich analýzu,

1793

1794

- požiadaviek na IB a KB, kontroluje ich implementáciu v realizovanom projekte,

1795

1796

- požiadaviek na bezpečnosť̌ vývojového, testovacieho a produkčného prostredia,

1797

1798

- požiadaviek na bezpečnosť̌ v rámci bezpečnostnej vrstvy,

1799

1800

- požiadaviek na školenia pre oblasť̌ IB a KB,

1801

1802

- požiadaviek na bezpečnostnú́ architektúru riešenia a technickú́ infraštruktúru pre oblasť̌ IB a KB,

1803

1804

- požiadaviek na dostupnosť̌, zálohovanie, archiváciu a obnovu IS vzťahujúce sa na IB a KB,

1805

1806

- požiadaviek na IB a KB, bezpečnostný́ projekt a riadenie prístupu,

1807

1808

- požiadaviek na opis vývojového, testovacieho a produkčného prostredia za oblasť̌ IB a KB,

1809

1810

- požiadaviek na testovanie z hľadiska IB a KB, realizáciu kontroly zapracovania a retestu,

1811

1812

- požiadaviek na obsah dokumentácie v zmysle legislatívnych požiadaviek pre oblasť̌ IB a KB, ako aj v zmysle "best practies",

1813

1814

- požiadaviek na dodanie potrebnej dokumentácie súvisiacej s IBaKB kontroluje ich implementáciu v realizovanom projekte,

1815

1816

- požiadaviek a konzultácie pri návrhu riešenia za agendu IB a KB v rámci procesu „Mapovanie a analýza technických požiadaviek - detailný́ návrh riešenia (DNR)“,

1817

1818

- požiadaviek nabezpečnosť ITaKB v rámci procesu "akceptácie, odovzdania a správy zdrojových kódov“,

1819

1820

- akceptačných kritérií́ za oblasť̌ IB a KB,

1821

1822

- pravidiel pre publicitu a informovanosť̌ s ohľadom na IB a KB,

1823

1824

- podmienok na testovanie, reviduje výsledky a výstupy z testovania za oblasť̌ IB a KB,

1825

1826

- požiadaviek na bezpečnostný́ projekt pre oblasť̌ IB a KB,

\\

- zodpovedá́ za realizáciu kontroly:

1831

1832

- zameranej na naplnenie požiadaviek definovaných v bezpečnostnom projekte za oblasť̌ IB a KB,

1833

1834

- zameranú́ na správnosť̌ nastavení́ a konfigurácii bezpečnosti jednotlivých prostredí́,

1835

1836

- zameranú́ na realizáciu procesu posudzovania a komplexnosti bezpečnostných rizík, bezpečnosť̌ a kompletný́ popis rozhraní́, správnu identifikácia závislostí,

1837

1838

- naplnenia definovaných požiadaviek pre oblasť̌ IB a KB,

1839

1840

- zameranú́ na implementovaný́ proces v priamom súvise s IB a KB,

1841

1842

- súladu s platnou legislatívou v oblasti IB a KB (obsahuje aj kontrolu legislatívnych požiadaviek),

1843

1844

- zameranú́ na zabezpečenie procesu, interfejsov, integrácii, kompletného popisu rozhraní́ a spoločných komponentov a posúdenia z pohľadu bezpečnosti,

\\

)))

\\

(% class="" %)|(((

**Projektová rola:**

)))|(((

**ČLEN PROJEKTOVÉHO TÍMU**

)))

(% class="" %)|(((

Stručný popis:

)))|(((

- vykonáva odbornú prácu v projekte a poskytuje odborné stanoviská a konzultácie za príslušnú oblasť,

1860

1861

- aktívne sa zúčastňuje odborných stretnutí tímu, ako aj konzultácií,

1862

1863

- zabezpečuje vypracovanie, priebežnú aktualizáciu a verzionovanie manažérskej a špecializovanej dokumentácie a produktov v minimálnom rozsahu určenom Prílohou č.1 tejto smernice v súčinnosti a podľa pokynov tímového manažéra a PM,

1864

1865

- plní úlohy uložené tímovým manažérom a PM v požadovanej kvalite a v stanovených termínoch,

1866

1867

- plní dohody zo stretnutí projektového tímu,

1868

1869

- odpočtuje plnenie úloh tímovému manažérovi a PM,

1870

1871

- predkladá námety, podnety, požiadavky a upozorňuje na problémy a riziká súvisiace s projektom tímovému manažérovi a PM,

1872

1873

- spolupracuje s projektovým tímom na strane dodávateľa,

1874

1875

- zodpovedá za splnenie všetkých legislatívnych požiadaviek (právne predpisy SR a EK) a metodických a administratívnych požiadaviek súvisiacich s implementáciou projektu.

)))

\\

\\

\\

= {{id name="projekt_2560_Pristup_k_projektu_detailny-9.Implementáciaapreberanievýstupovprojektu"/}}9. Implementácia a preberanie výstupov projektu =

1885

1886

Implementácia a preberanie výstupov projektu bude realizované v súlade s Vyhláškou Ministerstva investícií, regionálneho rozvoja a informatizácie Slovenskej republiky č. 401/2023 Z. z. o riadení projektov a zmenových požiadaviek v prevádzke informačných technológií verejnej správy v zmysle ustanovení podľa § 5 a nasledovných ustanovení.

// //

= {{id name="projekt_2560_Pristup_k_projektu_detailny-10.Prílohy"/}}10. Prílohy =

Koniec dokumentu

// //