Wiki zdrojový kód pre I-03 Prístup k projektu (pristup_k_projektu)
Show last authors
| author | version | line-number | content |
|---|---|---|---|
| 1 | **PRÍSTUP K PROJEKTU** | ||
| 2 | **Vzor pre manažérsky výstup I-03** | ||
| 3 | **podľa vyhlášky MIRRI č. 401/2023 Z. z.** | ||
| 4 | |||
| 5 | |**Povinná osoba**|{{content id="projekt.asociovane_po" template="[[${po.nazov}]]"}}Ministerstvo pôdohospodárstva a rozvoja vidieka Slovenskej republiky{{/content}} | ||
| 6 | |**Názov projektu**|{{content id="projekt.nazov"}}Technické opatrenia pre zvýšenie úrovne kybernetickej a informačnej bezpečnosti{{/content}} | ||
| 7 | |**Zodpovedná osoba za projekt**|//Ing. Ján Segéň// | ||
| 8 | |**Realizátor projektu**|{{content id="projekt.asociovane_po" template="[[${po.nazov}]]"}}Ministerstvo pôdohospodárstva a rozvoja vidieka Slovenskej republiky{{/content}} | ||
| 9 | |**Vlastník projektu**| {{content id="projekt.vlastnik.nazov"}}Ministerstvo pôdohospodárstva a rozvoja vidieka Slovenskej republiky{{/content}} | ||
| 10 | **Schvaľovanie dokumentu** | ||
| 11 | |**Položka**|**Meno a priezvisko**|**Organizácia**|**Pracovná pozícia**|**Dátum**|((( | ||
| 12 | **Podpis** | ||
| 13 | (alebo elektronický súhlas) | ||
| 14 | ))) | ||
| 15 | |Vypracoval|Ing. Jaroslav Rohaľ|MPRV SR|Manažér kybernetickej bezpečnosti (MKB)|28.11.2024| | ||
| 16 | |||
| 17 | = 1.História dokumentu = | ||
| 18 | |||
| 19 | |**Verzia**|**Dátum**|**Zmeny**|**Meno** | ||
| 20 | |//0.1//|//14.11.2023//|//Pracovný návrh//| | ||
| 21 | |//1.0//|//22.12.2023//|//Zapracovanie súladu s vyhláškou č. 401/2023 Z. z.//| | ||
| 22 | |//1.1//|//18.12.2024//|//Doplnené na základe pripomienok MIRRI//|//Ing. Ján Segéň// | ||
| 23 | | | | | | ||
| 24 | | | | | | ||
| 25 | |||
| 26 | = 2. Účel dokumentu = | ||
| 27 | |||
| 28 | V súlade **s vyhláškou Ministerstva investícií, regionálneho rozvoja a informatizácie Slovenskej republiky č. 401/2023 Z. z. o riadení projektov a zmenových požiadaviek v prevádzke informačných technológií verejnej správy** (ďalej len „vyhláška MIRRI SR č. 401/2023 Z. z. o riadení projektov“), je **dokument I-03 Prístup k projektu** určený na rozpracovanie detailných informácií k projektu „Technické opatrenia pre zvýšenie úrovne kybernetickej a informačnej bezpečnosti” (ďalej len “projekt”), aby bolo možné rozhodnúť o pokračovaní prípravy projektu, pláne realizácie, alokovaní rozpočtu a ľudských zdrojov. | ||
| 29 | |||
| 30 | Projekt bude implementovať Ministerstvo pôdohospodárstva a rozvoja vidieka Slovenskej republiky (ďalej ako „MPRV SR“ ), ktoré bude zároveň prijímateľom finančného plnenia z vyhlásenej výzvy „Zvýšenie úrovne kybernetickej a informačnej bezpečnosti “, evidovanej pod kódom: PSK-MIRRI-616-2024-DV-EFRR, názov: „Zvýšenie úrovne kybernetickej a informačnej bezpečnosti“, priorita: 1P1 Veda, výskum a inovácie, špecifický cieľ: RSO 1.2 Využívanie prínosov digitalizácie pre občanov, podniky, výskumné organizácie a orgány verejnej správy, opatrenie: 1.2.1 Podpora v oblasti informatizácie a digitálnej transformácie (Oblasť B. Kybernetická a informačná bezpečnosť) v rámci Programu Slovensko 2021 - 2027 (ďalej len „PSK“), z ktorého má byť Projekt financovaný. | ||
| 31 | |||
| 32 | Tento dokument je vypracovaný v súlade s vyhláškou MIRRI SR č. 401/2023 Z. z. o riadení projektov a obsahuje komplexný opis navrhovaného riešenia. Tento dokument zahŕňa architektúru riešenia na úrovni biznis vrstvy, aplikačnej vrstvy a infraštruktúry. Celý dokument je vypracovaný tak, aby bol plne v súlade s požiadavkami všeobecne záväzných právnych predpisov, pričom zároveň obsahuje detailný popis implementácie projektu a procesy preberania jeho výstupov. | ||
| 33 | |||
| 34 | == 2.1 Použité skratky a pojmy == | ||
| 35 | |||
| 36 | |SKRATKA/POJEM|POPIS | ||
| 37 | |2FA|Dvojfaktorová autentizácia | ||
| 38 | |Achilles|Systém na vyhľadávanie zraniteľností | ||
| 39 | |AP NKIVS|Akčný plán Národnej koncepcie informatizácie verejnej správy 2021 | ||
| 40 | |BCM|Riadenie kontinuity prevádzky | ||
| 41 | |BCR|Pomer prínosov a nákladov z pohľadu návratnosti | ||
| 42 | |CBA|Analýza nákladov a prínosov | ||
| 43 | |FO|Fyzická osoba | ||
| 44 | |FTE|Ekvivalent plného pracovného úväzku | ||
| 45 | |IB|informačná bezpečnosť | ||
| 46 | |IS|informačný systém | ||
| 47 | |ISVS|Informačný systém verejnej správy | ||
| 48 | |IT|Informačná technológia | ||
| 49 | |ITVS|Informačné technológie verejnej správy | ||
| 50 | |KB|Kybernetická bezpečnosť | ||
| 51 | |KBI|Kybernetický bezpečnostný incident | ||
| 52 | |MCA|Multikriteriálna analýza | ||
| 53 | |MIRRI SR|Ministerstvo investícií, regionálneho rozvoja a informatizácie Slovenskej republiky | ||
| 54 | |MPRV SR|Ministerstvo pôdohospodárstva a rozvoja vidieka Slovenskej republiky | ||
| 55 | |NASES|Národná agentúra pre sieťové a elektronické služby | ||
| 56 | |NBÚ|Národný bezpečnostný úrad | ||
| 57 | |NKIVS|Národná koncepcia informatizácie verejnej správy | ||
| 58 | |NKKB|Národná koncepcia kybernetickej bezpečnosti | ||
| 59 | |OVM|Orgán verejnej moci | ||
| 60 | |OT|Operačné technológie (Operational technology) | ||
| 61 | |PID|Projektový iniciálny dokument | ||
| 62 | |PM|Projektový manažér | ||
| 63 | |PO|Právnická osoba | ||
| 64 | |PPO|Posilnenie preventívnych opatrení | ||
| 65 | |PZS|Prevádzkovateľ základnej služby | ||
| 66 | |RVP|Riadiaci výbor projektu | ||
| 67 | |SIEM|Systém pre management bezpečnostních informací a událostí (Security Information and Event Management) | ||
| 68 | |SOAR|Proces orchestrácie, automatizácie a odozvy zabezpečenia (Security orchestration, automation and response) | ||
| 69 | |SOC|Bezpečnostné Dohľadové Centrum (Security Operations Center) | ||
| 70 | |SR|Slovenská republika | ||
| 71 | |SSD|Solid-State Drive | ||
| 72 | |TP|Technické prostriedky | ||
| 73 | |TTP|Techniky, taktiky a procedúry | ||
| 74 | |VA|Voltampér | ||
| 75 | |VISKB|Vládny informačný systém kybernetickej bezpečnosti | ||
| 76 | |VJ CSIRT|Vládna jednotka CSIRT (Computer Security Incident Response Team Slovakia, niekedy označovaná aj skratkou CSIRT.SK) | ||
| 77 | |VM|Manažment zraniteľností (Vulnerability management) | ||
| 78 | |VO|Verejné obstarávanie | ||
| 79 | |||
| 80 | //Tabuľka 1 Zoznam použitý skratiek a pojmov // | ||
| 81 | |||
| 82 | == == | ||
| 83 | |||
| 84 | == 2.2 Konvencie pre typy požiadaviek (príklady) == | ||
| 85 | |||
| 86 | V zmysle vyhlášky č. 401/2023 Z. z. o riadení projektov je zoznam funkčných požiadaviek špecifikovaný v samostatnom dokumente **M-05 – Analýza nákladov a prínosov **a preto nie je súčasťou tejto kapitoly. | ||
| 87 | |||
| 88 | |||
| 89 | = 3. Popis navrhovaného riešenia = | ||
| 90 | |||
| 91 | Cieľom projektu je zabezpečiť obstaranie a implementáciu technických a programových prostriedkov, ako aj overiť účinnosť prijatých bezpečnostných opatrení, ktoré majú priamy vplyv na zvyšovanie úrovne kybernetickej a informačnej bezpečnosti na MPRV SR. Tieto opatrenia sa týkajú správy informačných technológií v oblastiach, kde bola identifikovaná najvyššia miera rizika a najväčší dopad, alebo kde je najväčší nesúlad s požiadavkami vyplývajúcimi zo všeobecne záväzných právnych predpisov, na základe výsledkov vykonaného auditu kybernetickej bezpečnosti. | ||
| 92 | |||
| 93 | |||
| 94 | Audit kybernetickej bezpečnosti bol zrealizovaný MPRV SR v období od 13.12.2023 do 14.03.2024, pričom bolo zistených celkovo 97 nesúladov a 37 čiastočných súladov (ďalej len „nesúlady“). Na nápravu zistených nesúladov je potrebné prijať adekvátne technické opatrenia, ktoré zahŕňajú predovšetkým implementáciu bezpečnostných technických a programových prostriedkov na podporu riadenia rizík a zraniteľností, riadenie incidentov a bezpečnostný monitoring. | ||
| 95 | |||
| 96 | |||
| 97 | Predmet projektu: | ||
| 98 | |||
| 99 | * implementácia systému na zaznamenávanie činnosti sietí a informačných systémov a ich používateľov prostredníctvom prevádzkových záznamov[[~[1~]>>path:#_ftn1]] (Log manažment), | ||
| 100 | * konfigurácia a plná implementácia nástroja na analýzu a vyhodnocovanie prevádzkových záznamov (SIEM), | ||
| 101 | * implementácia nástroja na detegovanie zraniteľností (Vulnerability scanner), | ||
| 102 | * implementácia bezpečnostných sieťových prvkov (napr. sieťový firewall), | ||
| 103 | * implementácia nástroja pre správu mobilných zariadení (MDM - Mobile Device Management), | ||
| 104 | * bezpečnostný monitoring a kontrola prevádzkových záznamov na dennej báze (SOC as a Service - SOCaaS), vrátane podpory analýzy bezpečnostne relevantných udalostí a vykonávanie bezpečnostného dohľadu v režime 8/5, | ||
| 105 | * implementácia dvojfaktorovej autentizácie pre príslušné prístupy do informačných technológií, | ||
| 106 | * testovanie prijatých opatrení kybernetickej bezpečnosti (formou penetračných a phishingových testov). | ||
| 107 | |||
| 108 | Projekt „Technické opatrenia na zvýšenie úrovne kybernetickej a informačnej bezpečnosti informačných technológií v správe MPRV SR“ je zameraný na vybudovanie bezpečnostnej infraštruktúry vo forme technických (programových a technických prostriedkov) nástrojov, technológií a procesov pre posilnenie kybernetickej bezpečnosti MPRV SR. | ||
| 109 | |||
| 110 | Okrem odstránenia nesúladov zistených pri audite kybernetickej bezpečnosti bude nasadenie technických riešení znamenať aj dosiahnutie zlepšenia procesov, komunikácie, zberu dát, analýzy, predchádzanie kybernetickým bezpečnostným incidentom, zrýchlenie riešenia kybernetických bezpečnostných incidentov, zvýšenie personálnej a znalostnej spôsobilosti odborných zamestnancov MPRV SR. | ||
| 111 | |||
| 112 | Pri realizácií projektu **nebudú** realizované aktivity, ktoré súvisia s: | ||
| 113 | |||
| 114 | * vybudovaním jednotky na reakciu na kybernetické bezpečnostné incidenty (jednotka CSIRT), | ||
| 115 | * analytické nástroje na pokročilú malvérovú analýzu, forenznú analýzu a budovanie forenzných laboratórií, | ||
| 116 | * vypracovaním bezpečnostnej dokumentácie, | ||
| 117 | * školeniami pre zamestnancov za účelom zvýšenia ich povedomia v oblasti kybernetickej a informačnej bezpečnosti, | ||
| 118 | * realizáciou stavebných úprav a prác. | ||
| 119 | |||
| 120 | V obecnej rovine sú prínosy projektu zadefinované ako: | ||
| 121 | |||
| 122 | * **Zlepšenie monitorovania a detekcie kybernetických hrozieb** | ||
| 123 | |||
| 124 | Implementácia systému na zaznamenávanie činností sietí a informačných systémov (Log manažment) umožní efektívnejšie sledovanie prevádzkových záznamov a včasnú detekciu kybernetických** **hrozieb na predchádzanie kybernetických bezpečnostných incidentov. | ||
| 125 | |||
| 126 | * **Rýchla identifikácia zraniteľností** | ||
| 127 | |||
| 128 | Implementácia nástroja na detegovanie zraniteľností (Vulnerability scanner) zabezpečí, že potenciálne bezpečnostné slabiny v IT budú včas identifikované a môžu byť rýchlo odstránené. | ||
| 129 | |||
| 130 | * **Posilnenie bezpečnosti sietí** | ||
| 131 | |||
| 132 | Zavedenie sieťových firewallov a ďalších bezpečnostných prvkov výrazne zvýši ochranu pred vonkajšími kybernetickými hrozbami a neoprávneným prístupom do IT v správe MPRV SR. | ||
| 133 | |||
| 134 | * **Nepretržitý bezpečnostný dohľad** | ||
| 135 | |||
| 136 | Bezpečnostný monitoring a kontrola prevádzkových záznamov na dennej báze (SOC as a Service) umožnia dohľad nad činnosťami v IT a rýchlu reakciu v prípade kybernetických hrozieb. | ||
| 137 | |||
| 138 | * **Zvýšenie bezpečnosti prístupov** | ||
| 139 | |||
| 140 | Implementácia dvojfaktorovej autentizácie posilní ochranu prístupu k IT, čo zníži riziko neoprávneného prístupu. | ||
| 141 | |||
| 142 | * **Testovanie účinnosti bezpečnostných opatrení** | ||
| 143 | |||
| 144 | Realizácia penetračných a phishingových testov umožní overiť, ako efektívne sú implementované bezpečnostné opatrenia a zistiť prípadné slabiny, ktoré je potrebné riešiť čo prinesie zvýšenú bezpečnosť riešení. | ||
| 145 | |||
| 146 | |||
| 147 | Z pohľadu samotnej implementácie predmetu projektu a jeho jednotlivých častí, medzi prínosy projektu patria: | ||
| 148 | |||
| 149 | 1. Implementácia systému na zaznamenávanie činnosti sietí a informačných systémov a ich používateľov prostredníctvom prevádzkových záznamov (Log manažment): | ||
| 150 | |||
| 151 | Zvýšená viditeľnosť a kontrola - centralizovaný log manažment umožňuje lepšie sledovanie a auditovanie činnosti používateľov a systémov, čo prispieva k rýchlej identifikácii bezpečnostných incidentov. | ||
| 152 | |||
| 153 | Zefektívnenie riešenia incidentov - zaznamenávanie prevádzkových záznamov umožní rýchlejšiu a presnejšiu analýzu incidentov, čím sa zníži reakčný čas na potenciálne hrozby. | ||
| 154 | |||
| 155 | 1. Konfigurácia a plná implementácia nástroja na analýzu a vyhodnocovanie prevádzkových záznamov (SIEM): | ||
| 156 | |||
| 157 | * Rýchla detekcia hrozieb - SIEM umožňuje okamžitú detekciu kybernetických útokov a podozrivých aktivít v reálnom čase, čo výrazne zlepšuje schopnosť reakcie na kybernetické bezpečnostné incidenty. | ||
| 158 | * Zníženie rizika narušenia bezpečnosti - automatizované analýzy logov a udalostí znižujú pravdepodobnosť narušenia bezpečnosti prostredníctvom identifikácie anomálií a slabých miest. | ||
| 159 | |||
| 160 | 1. Implementácia nástroja na detegovanie zraniteľností (Vulnerability scanner): | ||
| 161 | |||
| 162 | * Proaktívna ochrana - skenovanie zraniteľností umožní pravidelné preverovanie systémov a identifikáciu bezpečnostných nedostatkov ešte predtým, než sa stanú terčom útokov. | ||
| 163 | * Zvýšenie odolnosti infraštruktúry - včasné odhalenie a oprava zraniteľností minimalizuje riziko využitia známych slabín, čím sa posilní celková bezpečnosť informačných systémov. | ||
| 164 | |||
| 165 | 1. Implementácia bezpečnostných sieťových prvkov (sieťové Firewall-y): | ||
| 166 | |||
| 167 | * Posilnenie ochrany perimetra - nasadenie firewallov zabezpečí ochranu proti neautorizovanému prístupu do siete a zníži riziko narušenia sieťovej infraštruktúry. | ||
| 168 | * Lepšia kontrola prístupu a segmentácia sietí - Firewally umožnia detailnú kontrolu a riadenie sieťového prenosu, čo zlepší schopnosť izolovať a obmedziť bezpečnostné hrozby. | ||
| 169 | |||
| 170 | 1. Implementácia nástroja pre správu mobilných zariadení (MDM - Mobile Device Management): | ||
| 171 | |||
| 172 | * Zvýšenie bezpečnosti pri prevádzke informačných systémov a sietí – nástroj umožní automatizovať, ovládať a zabezpečovať administráciu mobilných zariadení pripojených k sieti MPRV SR. | ||
| 173 | * Zníženie rizika kompromitácie IT prostredia - správa mobilných zariadení zavedie súhrn opatrení akými sú ochrana firemných údajov šifrovaním, nastavenie vynucovania silných hesiel na mobilných zariadeniach, možnosť vzdialeného vymazania stratených alebo odcudzených zariadení, automatická inštalácia, aktualizácia alebo odstraňovanie aplikácií podľa potrieb MPRV SR a oddelenie pracovných a osobných údajov. | ||
| 174 | |||
| 175 | 1. Bezpečnostný monitoring a kontrola prevádzkových záznamov na dennej báze (SOC as a Service - SCaaS), vrátane podpory analýzy bezpečnostných relevantných udalostí a vykonávanie bezpečnostného dohľadu v režime 8/5: | ||
| 176 | |||
| 177 | * Nepretržitý bezpečnostný dohľad - Zabezpečí nepretržité monitorovanie a vyhodnocovanie bezpečnostných udalostí, čo umožní rýchlu reakciu na akékoľvek bezpečnostné incidenty. | ||
| 178 | * Odborná podpora - Zlepšenie kvality bezpečnostného dohľadu prostredníctvom profesionálnych služieb SOCaaS, vrátane expertných analýz a reportov. | ||
| 179 | |||
| 180 | 1. Implementácia dvojfaktorovej autentizácie pre príslušné prístupy do informačných technológií: | ||
| 181 | |||
| 182 | * Zvýšená ochrana prístupu - dvojfaktorová autentizácia výrazne zvyšuje bezpečnosť prihlasovania a ochranu citlivých údajov pred neautorizovaným prístupom. | ||
| 183 | * Zníženie rizika kompromitácie účtov - ochrana pred phishingom, krádežou hesiel alebo neoprávneným prístupom vďaka pridaniu ďalšej vrstvy autentizácie. | ||
| 184 | |||
| 185 | 1. Testovanie prijatých opatrení kybernetickej bezpečnosti (formou penetračných a phishingových testov): | ||
| 186 | |||
| 187 | * Penetračné testy umožnia preveriť, či sú zavedené opatrenia na mieste efektívne pri ochrane pred reálnymi útokmi. | ||
| 188 | * Phishingové testy pomáhajú identifikovať slabiny v povedomí zamestnancov o bezpečnosti a overujú ich ostražitosť voči kybernetickým hrozbám. | ||
| 189 | |||
| 190 | V rámci projektového zámeru boli stanovené nasledovné ciele a spôsob ich riešenia: | ||
| 191 | |||
| 192 | |ID|Názov cieľa|Názov strategického cieľa|Spôsob realizácie strategického cieľa | ||
| 193 | |1.|Centralizované ukladanie a správa prevádzkových záznamov|Centralizované ukladanie a správa prevádzkových záznamov/logov, chránených proti modifikácii pre analýzu správania s v sieti a informačnom systéme pri kybernetických bezpečnostných incidentoch|Pre dosiahnutie cieľa bude implementovaný nástroj pre zber a ukladanie prevádzkových záznamov tzv. log manažment. | ||
| 194 | |2.|Identifikovanie a riadenie bezpečnostných incidentov|Implementácia centrálneho nástroja na zaznamenávanie činností sietí a informačných systémov a používateľov a identifikovanie bezpečnostných incidentov (SIEM)|Vyhodnocovanie a analýzy budú zabezpečené implementáciou nástroja SIEM. | ||
| 195 | |3.|Bezpečnostné hrozby/udalosti|Implementácia automatizovaného nástroja na skenovanie zraniteľností (vulnerability scaner) informačných systémov podľa ich kategorizácie a prvkov sieťovej infraštruktúry.|Implementácia nástroja na detegovanie zraniteľností (Vulnerability scanner). | ||
| 196 | |4.|Bezpečné sieťové pripojenie do externých sietí|Zabezpečenie zvýšenia bezpečného sieťového pripojenia do externých sietí (Internet, GovNet, MPLS a pod.)|Cieľ bude dosiahnutý nasadením nových sieťových prvkov/sieťových firewallov (NGFW) s funkciami jednotnej ochrany pred hrozbami. | ||
| 197 | |5.|Bezpečnosť pri prevádzke informačných systémov a sietí|Zníženie rizika kompromitácie IT prostredia prostredníctvom mobilného zariadenia|Cieľ bude realizovaný nasadením nástroja pre správu mobilných zariadení a to najmä služobných mobilných telefónov príp. tabletov. | ||
| 198 | |6.|Nepretržitý bezpečnostný monitoring informačných technológií|Nepretržitý bezpečnostný monitoring IT vrátane podpory analýzy bezpečnostne relevantných udalostí a vykonávanie bezpečnostného dohľadu|Implementáciou služby SOC (SOCaaS) sa zabezpečí nepretržitý bezpečnostný monitoring a vykonávanie bezpečnostného dohľadu v režime 8/5. | ||
| 199 | |7.|Riadenie prístupov|Zvýšenie ochrany prístupu k príslušným informačným technológiám zavedením dvojfaktorovej autentizácie|Konfiguráciou dvojfaktorovej autentizácie vo vnútornom IT prostredí ale aj pri vzdialenom prihlásení z externého prostredia. | ||
| 200 | |8.|Overovanie prijatých opatrení kybernetickej bezpečnosti|Overovanie prijatých opatrení kybernetickej bezpečnosti realizáciou penetračných a phishingových testov pre zabezpečenie auditných a kontrolných činností|Overovanie prijatých opatrení kybernetickej bezpečnosti bude zabezpečené vykonávaním penetračných a pishingových testov. | ||
| 201 | |||
| 202 | //Tabuľka 2 Ciele projektu// | ||
| 203 | |||
| 204 | |||
| 205 | = 4. Architektúra riešenia projektu = | ||
| 206 | |||
| 207 | Tento projekt predstavuje riešenie vybraných základných prvkov bezpečnostnej architektúry a zároveň aj ďalšie bezpečnostné funkcie realizované v rámci MPRV SR. | ||
| 208 | |||
| 209 | Za účelom zvýšenia úrovne kybernetickej bezpečnosti a informačnej bezpečnosti v rámci MPRV SR so sekundárnou perspektívou aj na právnické osoby v pôsobnosti MPRV SR, je potrebné doplniť existujúcu bezpečnostnú infraštruktúru o ďalšie prvky a technické opatrenia najmä v nasledovných oblastiach: | ||
| 210 | |||
| 211 | * riadenie prístupov, | ||
| 212 | * bezpečnosť pri prevádzke informačných systémov a sietí, | ||
| 213 | * hodnotenie zraniteľností a bezpečnostné aktualizácie, | ||
| 214 | * sieťová a komunikačná bezpečnosť, | ||
| 215 | * zaznamenávanie udalostí a monitorovanie, | ||
| 216 | * riešenie kybernetických bezpečnostných incidentov. | ||
| 217 | |||
| 218 | MPRV SR na základe auditu kybernetickej bezpečnosti identifikovalo najhlavnejšie nedostatočne bezpečnostné opatrenia v oblasti KB. Z týchto dôvodu bude projekt primárne zameraný na implementáciu absentujúcich opatrení zameraných na oblasť kybernetickej bezpečnosti vyplývajúcej zákona č. 69/2018 Z. z. a súčasnej na implementáciu opatrení informačnej bezpečnosti podľa zákona č. 95/2019 Z. z. | ||
| 219 | |||
| 220 | Vzhľadom na fakt, že nejde o implementáciu agendového alebo iného obdobného informačného systému verejnej správy, tak v tomto kontexte je upravený aj popis jednotlivých úrovni architektúry. Keďže MPRV SR požaduje podporu v aktivitách ako sú implementácia bezpečnostných systémov, zariadení alebo technických riešení, sú rovnako jednotlivé bloky architektúry rozpísané spôsobom zohľadňujúcim uvedené skutočnosti. | ||
| 221 | |||
| 222 | V prípade biznis architektúry je dôležité mať na zreteli, že projekt, resp. jeho aktivity, nerealizujú typické služby eGovernment-u a VS. V tomto prípade ide o služby na úrovni bezpečnostnej architektúry VS a preto ako také a z tohto dôvodu, nie sú vedené ako aplikačné služby v MetaIS. | ||
| 223 | |||
| 224 | Ďalej je potrebné poznamenať, že architektúra pre AS-IS stav nie je uvedená. Dôvodom je fakt, že aktuálne projektom riešené služby bezpečnostnej architektúry nie sú vôbec implementované, alebo sú implementované len čiastočne a s nedostatočnou úrovňou. | ||
| 225 | |||
| 226 | Úrovne architektúry sú ďalej rozpísané podľa jednotlivých aktivít projektu a biznis bezpečnostných funkcií. | ||
| 227 | |||
| 228 | Špecifikácia výstupov jednotlivých aktivít je uvedená v kapitole Požadované výstupy (produkt projektu). | ||
| 229 | |||
| 230 | |||
| 231 | == 4.1 Biznis vrstva == | ||
| 232 | |||
| 233 | Biznis architektúra bude pozostávať z nasledovných biznis funkcií, ktoré budú realizovať nižšie uvedené biznis procesy. | ||
| 234 | |||
| 235 | 1. Bezpečnostný monitoring - zaznamenávanie udalostí a monitorovanie: | ||
| 236 | |||
| 237 | * Proces bezpečného ukladania a centrálneho zberu logov. | ||
| 238 | * Proces bezpečnostného monitoringu koncových staníc. | ||
| 239 | * Proces bezpečnostného monitoringu informačných systémov a dátových úložísk. | ||
| 240 | * Proces bezpečnostného monitoringu sieťových prvkov a sieťovej infraštruktúry. | ||
| 241 | * Proces bezpečnostného monitoringu aktivít používateľov. | ||
| 242 | * Proces bezpečnostného monitoringu aktivít privilegovaných používateľov. | ||
| 243 | * Proces vyhodnocovania udalostí podporovaný “machine learning” algoritmami a identifikácie kybernetických bezpečnostných incidentov. | ||
| 244 | * Proces orchestrácie, automatizácie a odozvy zabezpečenia (SOAR - Security Orchestration, Automation and Response). | ||
| 245 | |||
| 246 | 2. Identifikácia zraniteľností a bezpečnostné testovanie: | ||
| 247 | |||
| 248 | * Proces skenovania zraniteľností jednotlivých IS a sieťových zariadení. | ||
| 249 | * Proces zvyšovania kybernetickej odolnosti formou bezpečnostných testovaní (phishingových simulácií). | ||
| 250 | |||
| 251 | 3. Sieťová a komunikačná bezpečnosť: | ||
| 252 | |||
| 253 | * Proces ochrany kritických prvkov infraštruktúry využitím sieťových firewallov s funkciami jednotnej ochrany pred hrozbami. | ||
| 254 | |||
| 255 | 4. Bezpečnosť pri prevádzke informačných systémov a sietí: | ||
| 256 | |||
| 257 | * Proces zvyšovania bezpečnosti IT prostredia zavedením správy mobilných zariadení pripájaných do internej siete. | ||
| 258 | |||
| 259 | 5. Riešenie bezpečnostných incidentov: | ||
| 260 | |||
| 261 | * Proces detekcie, evidencie, analýzy, vyhodnotenia a riešenie kybernetických bezpečnostných incidentov a bezpečnostne relevantných udalostí s previazaním na SOC. | ||
| 262 | |||
| 263 | 6. Riadenie prístupov: | ||
| 264 | |||
| 265 | * Proces dvojfaktorovej autentizácie pre príslušné prístupy do informačných technológií. | ||
| 266 | |||
| 267 | Uvedené biznis funkcie bezpečnostnej architektúry sú na obrázku. | ||
| 268 | |||
| 269 | [[image:Obrázok 2 Biznis funkcie bezpečnostnej architektúry.png||alt="Obrázok 2 Biznis funkcie bezpečnostnej architektúry"]] | ||
| 270 | |||
| 271 | //Obrázok 2 Biznis funkcie bezpečnostnej architektúry// | ||
| 272 | |||
| 273 | |||
| 274 | === 4.1.1 Prehľad koncových služieb – budúci stav: === | ||
| 275 | |||
| 276 | Výstupom projektu nie sú žiadne koncové služby. | ||
| 277 | |||
| 278 | |||
| 279 | === 4.1.2 Jazyková podpora a lokalizácia === | ||
| 280 | |||
| 281 | Tie časti výstupov projektu, ktoré budú mať formu dokumentu, budú vyhotovené a akceptované výhradne v slovenskom jazyku. Rozhrania implementovaných informačných systémov/počítačových programov budú akceptované v slovenskom jazyku, českom jazyku alebo, po predchádzajúcom súhlase MPRV SR, aj v anglickom jazyku. Všetky dodané informačné systémy/počítačové programy alebo technické prostriedky IT budú sprevádzané návodom na použitie v slovenskom jazyku a českom jazyku alebo, po predchádzajúcom súhlase MPRV SR, aj v anglickom jazyku ak sa jedná o s informačné systémy/počítačové programy alebo technické prostriedky IT, pri ktorých výrobca nezabezpečil príslušnú lokalizáciu. Projektová dokumentácia bude spracovaná v slovenskom alebo českom jazyku. | ||
| 282 | |||
| 283 | Výstupy z prevádzky systémov budú akceptované primárne v slovenskom jazyku, pričom vo výnimočných prípadoch môže byť akceptovaný aj anglický jazyk. Niektoré špecifické výstupy, ako napríklad záznamy incidentov (logy), môžu byť poskytnuté v podobe skriptov, avšak musí byť zabezpečená ich možnosť transformácie do používateľsky zrozumiteľného jazyka alebo ich interpretácia v zrozumiteľnej podobe. | ||
| 284 | |||
| 285 | |||
| 286 | == 4.2 Aplikačná vrstva == | ||
| 287 | |||
| 288 | Aplikačná architektúra bude pre jednotlivé relevantné biznis funkcie, uvedené v časti biznis architektúry, tvorená ďalej popísanými aplikačnými modulmi. | ||
| 289 | |||
| 290 | |||
| 291 | Riadenie prístupov: | ||
| 292 | |||
| 293 | * Implementácia dvojfaktorovej autentizácie pre príslušné prístupy do informačných technológií. | ||
| 294 | |||
| 295 | Sieťová a komunikačná bezpečnosť: | ||
| 296 | |||
| 297 | * Nasadenie ochrany kritických prvkov infraštruktúry využitím sieťových firewallov s funkciami jednotnej ochrany pred hrozbami. | ||
| 298 | |||
| 299 | Zaznamenávanie udalostí a monitorovanie – bezpečnostný monitoring: | ||
| 300 | |||
| 301 | * Implementácia log manažmentu. | ||
| 302 | * Implementácia SIEM. | ||
| 303 | |||
| 304 | Bezpečnosť pri prevádzke informačných systémov a sietí: | ||
| 305 | |||
| 306 | * Implementácia správy mobilných zariadení (MDM). | ||
| 307 | |||
| 308 | Riešenie kybernetických bezpečnostných incidentov: | ||
| 309 | |||
| 310 | * Využitie SOC ako služby od externého subjektu. | ||
| 311 | |||
| 312 | Identifikácia zraniteľností a bezpečnostné testovanie. | ||
| 313 | |||
| 314 | * Implementácia vulnerability skenera. | ||
| 315 | * Testovanie prijatých opatrení kybernetickej bezpečnosti (formou penetračných a phishingových testov). | ||
| 316 | |||
| 317 | [[image:Obrázok 3 Aplikačná architektúra.png||alt="Obrázok 3 Aplikačná architektúra"]] | ||
| 318 | |||
| 319 | Obrázok 3 Aplikačná architektúra | ||
| 320 | |||
| 321 | |||
| 322 | === 4.2.1 Rozsah informačných systémov – AS IS === | ||
| 323 | |||
| 324 | |Kód ISVS (z MetaIS)|Názov ISVS|((( | ||
| 325 | Modul ISVS | ||
| 326 | |||
| 327 | (zaškrtnite ak ISVS je modulom) | ||
| 328 | )))|((( | ||
| 329 | Stav IS VS | ||
| 330 | |||
| 331 | (AS IS) | ||
| 332 | )))|Typ IS VS|((( | ||
| 333 | Kód nadradeného ISVS | ||
| 334 | |||
| 335 | (v prípade zaškrtnutého checkboxu pre modul ISVS) | ||
| 336 | ))) | ||
| 337 | |Isvs_9108|Dokumentačný informačný systém zabezpečujúci elektronické spracovanie spisov a administratívnych procesov |☐|((( | ||
| 338 | Prevádzkovaný a | ||
| 339 | |||
| 340 | plánujem rozvíjať | ||
| 341 | )))|Agendový| | ||
| 342 | |isvs_8183|Evidencia podnájomných vzťahov k poľnohospodárskym pozemkom |☐|((( | ||
| 343 | Prevádzkovaný a | ||
| 344 | |||
| 345 | plánujem rozvíjať | ||
| 346 | )))|Agendový| | ||
| 347 | |isvs_5896|Register zverejňovania ponúk prevodu vlastníctva poľnohospodárskeho pozemku |☐|((( | ||
| 348 | Prevádzkovaný a | ||
| 349 | |||
| 350 | plánujem rozvíjať | ||
| 351 | )))|Agendový| | ||
| 352 | |isvs_5893 |Webový portál Programu ovocie a zelenina do škôl |☐|((( | ||
| 353 | Prevádzkovaný a | ||
| 354 | |||
| 355 | plánujem rozvíjať | ||
| 356 | )))|Prezentačný| | ||
| 357 | |isvs_5892|Značka kvality SK |☐|((( | ||
| 358 | Prevádzkovaný a | ||
| 359 | |||
| 360 | plánujem rozvíjať | ||
| 361 | )))|Prezentačný| | ||
| 362 | |||
| 363 | //Tabuľka 3 Dotknuté ISVS// | ||
| 364 | |||
| 365 | |||
| 366 | === 4.2.2 Rozsah informačných systémov – TO BE === | ||
| 367 | |||
| 368 | V rámci realizácie projektu nevznikne žiadny nový informačný systém (ISVS) v zmysle definície Zákon č. 305/2013 Z. z. Zákon o elektronickej podobe výkonu pôsobnosti orgánov verejnej moci a o zmene a doplnení niektorých zákonov (zákon o e-Governmente) zákona o ISVS. Výstupom projektu je set opatrení, ktorý ma za ciel zvýšiť kybernetickú a informačnú bezpečnosť MPRV SR. | ||
| 369 | |||
| 370 | === === | ||
| 371 | |||
| 372 | === 4.2.3 Využívanie nadrezortných a spoločných ISVS – AS IS === | ||
| 373 | |||
| 374 | Projekt nebude využívať nadrezortné a spoločne ISVS. | ||
| 375 | |||
| 376 | |||
| 377 | === 4.2.4 Prehľad plánovaných integrácií ISVS na nadrezortné ISVS – spoločné moduly podľa zákona č. 305/2013 e-Governmente – TO BE === | ||
| 378 | |||
| 379 | V rámci realizácie projektu nevznikne žiadny nový informačný systém (ISVS) v zmysle definície Zákon č. 305/2013 Z. z. Zákon o elektronickej podobe výkonu pôsobnosti orgánov verejnej moci a o zmene a doplnení niektorých zákonov (zákon o e-Governmente) zákona o ISVS a nedôjde k vytvoreniu novej integrácie na ISVS na nadrezortné ISVS. Výstupom projektu je set opatrení, ktorý ma za ciel zvýšiť kybernetickú a informačnú bezpečnosť MPRV SR. | ||
| 380 | |||
| 381 | |||
| 382 | === 4.2.5 Prehľad plánovaného využívania iných ISVS (integrácie) – TO BE === | ||
| 383 | |||
| 384 | Súčasťou projektu nie sú plánované žiadne integrácie na ISVS, ISVS iných orgánov verejnej správy ani na IS tretích strán. | ||
| 385 | |||
| 386 | |||
| 387 | === 4.2.6 Aplikačné služby pre realizáciu koncových služieb – TO BE === | ||
| 388 | |||
| 389 | Súčasťou projektu nie je plánovaná žiadna aplikačná služba.Aplikačné služby na integráciu – TO BE | ||
| 390 | |||
| 391 | Výstupom projektu nie sú žiadne aplikačné služby a zároveň výstup projektu nebude mať dopad na aktuálnu, už využívanú a fungujúcu integráciu. | ||
| 392 | |||
| 393 | |||
| 394 | === 4.2.7 Poskytovanie údajov z ISVS do IS CPDI – TO BE === | ||
| 395 | |||
| 396 | Vzhľadom na charakter projektu, ktorý je zameraný na zvýšenie úrovne kybernetickej a informačnej bezpečnosti, výstup projektu nemá vplyv na aktuálne agendové systémy a nezasahuje do rozsahu poskytovania údajov v porovnaní s aktuálnym stavom. | ||
| 397 | |||
| 398 | |||
| 399 | === 4.2.8 Konzumovanie údajov z IS CPDI – TO BE === | ||
| 400 | |||
| 401 | Vzhľadom na charakter projektu, ktorý je zameraný na zvýšenie úrovne kybernetickej a informačnej bezpečnosti, výstup projektu nemá vplyv na aktuálne agendové systémy a nezasahuje do rozsahu konzumovania údajov z IS CPDI v porovnaní s aktuálnym stavom.// // | ||
| 402 | |||
| 403 | |||
| 404 | == 4.3 Dátová vrstva == | ||
| 405 | |||
| 406 | Medzi výstupy realizované projektu nepatrí žiaden agendový systém, ktorý by nejakým spôsobom zabezpečoval spravovanie údajov ako takých patriacich pod správu MPRV SR. Plánované využitie krabicových počítačových programov zabezpečia výhradne zber a spracovanie údajov potrebných na podporu a udržiavanie kybernetickej a informačnej bezpečnosti. Medzi tieto údaje patria napríklad záznamy zo systému SIEM, informácie o monitorovaní a riešení kybernetických incidentov, zoznamy oprávnení na prístup do systémov, či iné špecifické dáta súvisiace s implementáciou bezpečnostných opatrení. | ||
| 407 | |||
| 408 | Pre ucelenosť informácií je potrebné zdôrazniť, že akýkoľvek nasadený krabicový systém nie je určený na priamu manipuláciu alebo integráciu s údajmi spravovanými MPRV SR v rámci jeho administratívnych či odborných agend. Jeho funkčnosť sa zameriava výhradne na oblasť bezpečnosti a ochrany infraštruktúry, pričom spravované údaje sú obmedzené na tie, ktoré podporujú efektívne riešenie bezpečnostných výziev. Vzhľadom na tento účel a obmedzený rozsah spravovaných údajov nie je potrebné uvádzať mapovanie štruktúry dát, ktoré patria do primárnej správy MPRV SR, keďže tieto údaje nie sú predmetom správy v rámci projektu. | ||
| 409 | |||
| 410 | |||
| 411 | === 4.3.1 Údaje v správe MPRV SR === | ||
| 412 | |||
| 413 | Vzhľadom na charakter projektu nie v pláne akákoľvek zmena existujúceho stavu z pohľadu dátovej architektúry na úrovni objektovej evidencie a vzťahov medzi nimi. | ||
| 414 | |||
| 415 | === === | ||
| 416 | |||
| 417 | === 4.3.2 Dátový rozsah projektu - Prehľad objektov evidencie - TO BE === | ||
| 418 | |||
| 419 | Súčasťou predmetu realizácie projektu nie je realizácia ISVS, resp. agendového systému, preto sa nepočíta s vytváraním nových objektov evidencie ani akoukoľvek úpravou existujúcich procesov a doménového modelu | ||
| 420 | |||
| 421 | |||
| 422 | === 4.3.3 Referenčné údaje === | ||
| 423 | |||
| 424 | V rámci predmetu realizácie projektu nebudú využívané referenčné údaje ani projekt nebude poskytovať referenčné údaje. | ||
| 425 | |||
| 426 | ==== ==== | ||
| 427 | |||
| 428 | ==== 4.3.3.1 Objekty evidencie z pohľadu procesu ich vyhlásenia za referenčné ==== | ||
| 429 | |||
| 430 | V rámci predmetu realizácie projektu nebudú evidované objekty evidencie, nedôjde k vyhláseniu referenčných údajov. | ||
| 431 | |||
| 432 | |||
| 433 | ==== 4.3.3.2 Identifikácia údajov pre konzumovanie alebo poskytovanie údajov do/z CPDI ==== | ||
| 434 | |||
| 435 | V rámci projektu nebudú spravované údaje určené na konzumovanie alebo poskytovanie do/z CPDI. | ||
| 436 | |||
| 437 | |||
| 438 | === 4.3.4 Kvalita a čistenie údajov === | ||
| 439 | |||
| 440 | ==== ==== | ||
| 441 | |||
| 442 | ==== 4.3.4.1 Zhodnotenie objektov evidencie z pohľadu dátovej kvality ==== | ||
| 443 | |||
| 444 | Výstupu predmetu realizácie projektu nesúvisí s hodnotím kvality ani čistou údajov týkajúcich sa objektov evidencie. | ||
| 445 | |||
| 446 | |||
| 447 | ==== 4.3.4.2 Roly a predbežné personálne zabezpečenie pri riadení dátovej kvality ==== | ||
| 448 | |||
| 449 | Vzhľadom na charakter realizovaného projektu nie je v pláne realizácia procesov riadenia dátovej kvality. | ||
| 450 | |||
| 451 | |||
| 452 | === 4.3.5 Otvorené údaje === | ||
| 453 | |||
| 454 | Vzhľadom na charakter realizovaného projektu nie je v pláne vytvárať alebo modifikovať otvorené údaje MPRV SR. | ||
| 455 | |||
| 456 | |||
| 457 | === 4.3.6 Analytické údaje === | ||
| 458 | |||
| 459 | V rámci projektu nebudú vytvárané žiadne analytické údaje z agendových ISVS. Pôjde o analytické údaje súvisiace s kybernetickou a informačnej bezpečnosti s ktorými bude pracovať úzka, vybraná a schválená skupina oprávnených používateľov za účelom identifikácie potenciálnych neoprávnených aktivít. | ||
| 460 | |||
| 461 | |||
| 462 | === 4.3.7 Moje údaje === | ||
| 463 | |||
| 464 | Projekt je zameraný na kybernetickú a informačnú bezpečnosť. Z pohľadu „Mojich údajov“ pre IS MOU nebudú vytvárané a ani poskytované žiadne údaje. | ||
| 465 | |||
| 466 | |||
| 467 | === 4.3.8 Prehľad jednotlivých kategórií údajov === | ||
| 468 | |||
| 469 | Predmet realizácie projektu sa nezaoberá údajmi, ktoré by boli klasifikované ako referenčné alebo zahrnuté v kategóriách „Moje údaje“ alebo „Otvorené údaje“. Rovnako sa v rámci projektu nebudú poskytovať údaje určené na analytické účely. | ||
| 470 | |||
| 471 | |||
| 472 | == 4.4 Technologická vrstva == | ||
| 473 | |||
| 474 | === === | ||
| 475 | |||
| 476 | === 4.4.1 Prehľad technologického stavu - AS IS === | ||
| 477 | |||
| 478 | Vzhľadom na charakter projektu zameraného na kybernetickú a informačnú bezpečnosť MPRV SR neuvádzame podrobný existujúci prehľad technologického stavu. Technické riešenia v projekte budú integrované v plnom rozsahu do súčasných IT, ktorej stav je detailne zdokumentovaný. Informácie o IT nebudú v tomto dokumente uvádzané, nakoľko ide podľa klasifikačnej schémy o chránené aktíva. Súčasné bezpečnostné mechanizmy v oblasti monitoringu a hodnotenia zraniteľnosti implementované v MPRV SR tvoria základ, ktorý si vyžaduje ďalší rozvoj pre zaistenie primeranej ochrany spracúvaných informácií voči kybernetickým hrozbám a zároveň zabezpečenie súladu s povinnosťami vyplývajúcimi z ustanovení zákona č. 69/2018 Z. z.. | ||
| 479 | |||
| 480 | |||
| 481 | === 4.4.2 Požiadavky na výkonnostné parametre, kapacitné požiadavky – TO BE === | ||
| 482 | |||
| 483 | |Parameter|Jednotky|Predpokladaná hodnota|Poznámka | ||
| 484 | |Počet EPS (Event per Second)|Počet|minimálne 50 000 EPS| | ||
| 485 | |Počet monitorovaných systémov|Počet kusov|minimálne 100 virtuálnych serverov| | ||
| 486 | |Počet sieťových zariadení|Počet kusov|minimálne 60| | ||
| 487 | |Zber dát a udalostí| |Log záznamy z rôznych zariadení v sieti.| | ||
| 488 | |Počet koncových zariadené (PC a NB)|Počet kusov|minimálne 450| | ||
| 489 | |Normalizácia dát| |Zjednotenie rôznych formátov z heterogénnych zdrojov.| | ||
| 490 | |Korelácia| |Definovanie vzťahu medzi generovanými udalosťami.| | ||
| 491 | |Log management| |Uloženie log záznamov, ich komprimácia a indexácia.| | ||
| 492 | |Monitoring používateľov a aplikácií| |Detekcia neobvyklých aktivít voči politike.| | ||
| 493 | |Počet používateľov|Počet|minimálne 453|Počet systemizovaných miest ku dňu prípravy dokumentácie. | ||
| 494 | |Počet manažovaných mobilných zariadení|Počet kusov| 0 (MPRV SR je v súčasnej dobe vlastníkom 170 ks mobilných zariadení)| | ||
| 495 | |||
| 496 | //Tabuľka 4 Výkonnostné parametre// | ||
| 497 | |||
| 498 | |||
| 499 | === 4.4.3 Návrh riešenia technologickej architektúry === | ||
| 500 | |||
| 501 | IT prostredie MPRV SR je heterogénna infraštruktúra pozostávajúcej ako z hardvérovej tak aj virtualizovanej infraštruktúry. S ohľadom na charakter projektu zameraného na implementáciu technických opatrení pre zvýšenie úrovne kybernetickej a informačnej bezpečnosti MPRV SR nebude súčasťou projektu vývoj nových ITVS/ISVS a rovnako nedôjde k preprogramovaniu starých ITVS/ISVS do nového štandardu. Projekt je zameraný na implementáciu niekoľkých ucelených logických celkov: | ||
| 502 | |||
| 503 | 1. Implementácia systému na zaznamenávanie činnosti sietí a informačných systémov a ich používateľov prostredníctvom prevádzkových záznamov (Log manažment): | ||
| 504 | 1*. Zvýšená viditeľnosť a kontrola - centralizovaný log manažment umožňuje lepšie sledovanie a auditovanie činnosti používateľov a systémov, čo prispieva k rýchlej identifikácii bezpečnostných incidentov. | ||
| 505 | 1*. Zefektívnenie riešenia incidentov - zaznamenávanie prevádzkových záznamov umožní rýchlejšiu a presnejšiu analýzu incidentov, čím sa zníži reakčný čas na potenciálne hrozby. | ||
| 506 | 1*. Integrácia so servermi. sieťovými komponentami, diskovými poliami a podobne. | ||
| 507 | 1*. Ladenie rýchlosti zberu a parsovania logov. | ||
| 508 | 1. Konfigurácia a plná implementácia nástroja na analýzu a vyhodnocovanie prevádzkových záznamov (SIEM): | ||
| 509 | 1*. Rýchla detekcia hrozieb - SIEM umožňuje okamžitú detekciu kybernetických útokov a podozrivých aktivít v reálnom čase, čo výrazne zlepšuje schopnosť reakcie na bezpečnostné incidenty. | ||
| 510 | 1*. Zníženie rizika narušenia bezpečnosti - automatizované analýzy logov a udalostí znižujú pravdepodobnosť narušenia bezpečnosti prostredníctvom identifikácie anomálií a slabých miest. | ||
| 511 | 1*. Analýza a konfigurácia/nastavenia parserov pre aplikačné logy. | ||
| 512 | 1*. Konfigurácia a stanovenie eskalačnej kontaktnej matice. | ||
| 513 | 1*. Konfigurácia zdrojových systémov pre zasielanie logov. | ||
| 514 | 1*. Konfigurácia a testovanie korelácií a automatizácií. | ||
| 515 | 1. Implementácia nástroja na detegovanie zraniteľností (Vulnerability scanner): | ||
| 516 | 1*. Proaktívna ochrana - skenovanie zraniteľností umožní pravidelné preverovanie systémov a identifikáciu bezpečnostných nedostatkov ešte predtým, než sa stanú terčom útokov. | ||
| 517 | 1*. Zvýšenie odolnosti infraštruktúry - včasné odhalenie a oprava zraniteľností minimalizuje riziko využitia známych slabín, čím sa posilní celková bezpečnosť informačných systémov. | ||
| 518 | 1*. Konfigurácia viacvrstvej architektúry a centrálneho servera na zber a správu informácií. | ||
| 519 | 1*. Konfigurácia a nastavenie reakcie na incident - workflow a viacúrovňového modelu riadenia. | ||
| 520 | 1*. Konfigurácia reportov a dashboardov vrátane matice pre odosielanie notifikácií. | ||
| 521 | 1*. Konfigurácia "objavovania aktív" (Assets Discovery) a skenovania zraniteľností. | ||
| 522 | 1. Implementácia bezpečnostných sieťových prvkov (sieťové Firewall-y): | ||
| 523 | 1*. Posilnenie ochrany perimetra - nasadenie firewallov zabezpečí ochranu proti neautorizovanému prístupu do siete a zníži riziko narušenia sieťovej infraštruktúry. | ||
| 524 | 1*. Lepšia kontrola prístupu a segmentácia sietí - Firewally umožnia detailnú kontrolu a riadenie sieťového prenosu, čo zlepší schopnosť izolovať a obmedziť bezpečnostné hrozby. | ||
| 525 | 1*. Konfigurácia VPN, nastavenie filtrov a rôznych politík. | ||
| 526 | 1. Implementácia nástroja pre správu mobilných zariadení (MDM - Mobile Device Management): | ||
| 527 | 1*. Zvýšenie bezpečnosti pri prevádzke informačných systémov a sietí – nástroj umožní automatizovať, ovládať a zabezpečovať administráciu mobilných zariadení pripojených k sieti MPRV SR. | ||
| 528 | 1*. Zníženie rizika kompromitácie IT prostredia - správa mobilných zariadení zavedie súhrn opatrení akými sú ochrana rezortných údajov šifrovaním, nastavenie vynucovania silných hesiel na mobilných zariadeniach, možnosť vzdialeného vymazania stratených alebo odcudzených zariadení, automatická inštalácia, aktualizácia alebo odstraňovanie aplikácií podľa potrieb MPRV SR a oddelenie pracovných a osobných údajov. | ||
| 529 | 1*. Nastavenie a konfigurácia správy mobilných zariadení. | ||
| 530 | 1*. Konfigurácia a implementácia katalógu aplikácií. | ||
| 531 | 1*. Konfigurácia bezpečnosti a šifrovania. | ||
| 532 | 1*. Integrácia s NGFW. | ||
| 533 | 1. Riešenie kybernetických bezpečnostných incidentov a kontrola prevádzkových záznamov na dennej báze (SOC as a Service - SCaaS), vrátane podpory analýzy bezpečnostných relevantných udalostí a vykonávanie bezpečnostného dohľadu v režime 8/5: | ||
| 534 | 1*. Nepretržitý bezpečnostný dohľad - Zabezpečí nepretržité monitorovanie a vyhodnocovanie bezpečnostných udalostí, čo umožní rýchlu reakciu na akékoľvek bezpečnostné incidenty. | ||
| 535 | 1*. Odborná podpora - Zlepšenie kvality bezpečnostného dohľadu prostredníctvom profesionálnych služieb SOCaaS, vrátane expertných analýz a reportov. | ||
| 536 | 1*. Konfigurácia nastavení. | ||
| 537 | 1. Implementácia dvojfaktorovej autentizácie pre príslušné prístupy do informačných technológií: | ||
| 538 | 1*. Zvýšená ochrana prístupu - dvojfaktorová autentizácia výrazne zvyšuje bezpečnosť prihlasovania a ochranu citlivých údajov pred neautorizovaným prístupom. | ||
| 539 | 1*. Zníženie rizika kompromitácie účtov - ochrana pred phishingom, krádežou hesiel alebo neoprávneným prístupom vďaka pridaniu ďalšej vrstvy autentizácie. | ||
| 540 | 1*. Konfigurácia a nastavenie 2FA. | ||
| 541 | 1*. Konfigurácia hardvérových tokenov a využitia služobných mobilných telefónov. | ||
| 542 | 1. Testovanie prijatých opatrení kybernetickej bezpečnosti (formou penetračných a phishingových testov): | ||
| 543 | 1*. Penetračné testy umožnia preveriť, či sú zavedené opatrenia na mieste efektívne pri ochrane pred reálnymi útokmi. | ||
| 544 | 1*. Phishingové testy pomáhajú identifikovať slabiny v povedomí zamestnancov o bezpečnosti a overujú ich ostražitosť voči kybernetickým hrozbám. | ||
| 545 | |||
| 546 | Implementáciou vyššie uvedených opatrení budú zároveň zrealizované nasledovné oprávnené oblasti z vyhlásenej výzvy zo dňa 24.05.2024 kód: **PSK-MIRRI-616-2024-DV-EFRR**, názov: **„Zvýšenie úrovne kybernetickej a informačnej bezpečnosti“**, priorita: **1P1 Veda, výskum a inovácie**, špecifický cieľ: **RSO 1.2 Využívanie prínosov digitalizácie pre občanov**, **podniky, výskumné organizácie a orgány verejnej správy**, opatrenie: 1.2.1** **Podpora v oblasti informatizácie a digitálnej transformácie (Oblasť B. Kybernetická a informačná bezpečnosť) ktorá je financovaná z prostriedkov mechanizmu Program Slovensko 2021 - 2027, ktorej vyhlasovateľ je Ministerstvo investícií, regionálneho rozvoja a informatizácie Slovenskej republiky: | ||
| 547 | |||
| 548 | 1. Riadenie prístupov (súvisiaca oblasť výzvy písmeno a)) | ||
| 549 | 1. Bezpečnosť pri prevádzke informačných systémov a sietí (súvisiaca oblasť výzvy písmeno d)) | ||
| 550 | 1. Hodnotenie zraniteľností a bezpečnostné aktualizácie (súvisiaca oblasť výzvy písmeno e)) | ||
| 551 | 1. Sieťová a komunikačná bezpečnosť (súvisiaca oblasť výzvy písmeno g)) | ||
| 552 | 1. Zaznamenávanie udalostí a monitorovanie (súvisiaca oblasť výzvy písmeno i)) | ||
| 553 | 1. Riešenie kybernetických bezpečnostných incidentov (súvisiaca oblasť výzvy písmeno k)) | ||
| 554 | |||
| 555 | === 4.4.4 Využívanie služieb z katalógu služieb vládneho cloudu === | ||
| 556 | |||
| 557 | Vzhľadom na predmet projektu zameraného na implementáciu **„**Technických opatrení pre zvýšenie úrovne kybernetickej a informačnej bezpečnosti“, MPRV SR neplánuje využívať služby vládneho cloudu. Navrhované riešenie vychádza z implementácie vlastných prvkov infraštruktúry a nasadenie softvérových produktov v rámci vlastnej infraštruktúry. | ||
| 558 | |||
| 559 | |||
| 560 | == 4.5 Bezpečnostná architektúra == | ||
| 561 | |||
| 562 | Audit kybernetickej bezpečnosti bol zrealizovaný MPRV SR v období od 13.12.2023 do 14.03.2024, pričom bolo zistených celkovo 97 nesúladov a 37 čiastočných súladov. Na nápravu zistených nesúladov je potrebné prijať adekvátne technické opatrenia, ktoré zahŕňajú predovšetkým implementáciu bezpečnostných technických a programových prostriedkov na podporu riadenia rizík a zraniteľností, riadenie incidentov a bezpečnostný monitoring. Odstránenie čo najväčšieho počtu nesúladov, ktoré vyplynuli z auditu kybernetickej bezpečnosti de facto znamená dosiahnutie súladu s nasledovnými všeobecne záväznými právnymi predpismi SR alebo právnymi aktami EÚ: | ||
| 563 | |||
| 564 | * Zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe, | ||
| 565 | * Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti, | ||
| 566 | * Zákon č. 45/2011 Z. z. o kritickej infraštruktúre, | ||
| 567 | * vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 78/2020 Z. z. o štandardoch pre | ||
| 568 | * informačné technológie verejnej správy, | ||
| 569 | * vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 179/2020 Z. z., ktorou sa | ||
| 570 | * ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy, | ||
| 571 | * vyhláška Úradu na ochranu osobných údajov Slovenskej republiky č. 158/2018 Z. z. o postupe pri posudzovaní vplyvu na | ||
| 572 | * ochranu osobných údajov, | ||
| 573 | * Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní | ||
| 574 | * osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o | ||
| 575 | * ochrane údajov), | ||
| 576 | * Zákon č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov. | ||
| 577 | |||
| 578 | = 5. Závislosti na ostatné ISVS / projekty = | ||
| 579 | |||
| 580 | Projekt nie je závislý od iných ISVS alebo projektov. | ||
| 581 | |||
| 582 | |||
| 583 | = 6. Zdrojové kódy = | ||
| 584 | |||
| 585 | Elementárne stavebné prvky realizácie projektu v zmysle projektového zámeru sú technické prostriedky IT „bežne“ dostupné (nie sú vyvíjané a vyrábané na mieru) a programové prostriedky, ktoré je zaužívané označovať ako „krabicový softvér“. Súčasťou projektu nie je plánovaný žiaden vývoj informačného systému alebo implementácia rozšírenej funkcionality ako diela pre potreby MPRV SR a preto súčasťou realizácie projektu nie je plánované odovzdávanie zdrojových kódov. | ||
| 586 | |||
| 587 | Napriek tomu, v prípade ak by došlo k vývoju IS alebo k implementácií rozšírenej funkcionality, odovzdané zdrojové kódy budú pripravené na zverejnenie v centrálnom repozitári zdrojových kódov v súlade s § 15 ods. 2 písm. d) Zákona o informačných technológiách vo verejnej správe a § 31 vyhlášky Úradu podpredsedu vlády SR č. 78/2020 Z. z.. | ||
| 588 | |||
| 589 | Zdrojové kódy budú dodané v štandardizovanej štruktúre, ktorá bude zahŕňať všetky relevantné komponenty, ako sú konfiguračné súbory, skripty na nasadenie, a dokumentácia na úrovni modulov a upravených častí IS. Kódy budú odovzdávané v definovaných formátoch a v predom dohodnutých intervaloch zaviazaných na míľniky projektu. Odovzdanie zdrojových kódov bude zdokumentované protokolom o prebratí. | ||
| 590 | |||
| 591 | Na zabezpečenie súladu so zákonom a predchádzanie vendor lock-in sa v zmluve s dodávateľom ustanovia konkrétne požiadavky na transparentnú správu, archiváciu a prístup k zdrojovým kódom. Riešenie bude musieť byť kompatibilné s otvorenými štandardmi a pod licenciou umožňujúcou ďalšie použitie, napríklad EUPL. Dodávateľ bude povinný dodržiavať metodické usmernenie č. 024077/2023 o kvalite zdrojových kódov a zabezpečiť, že všetky kódy budú technicky aj právne pripravené na ďalšie využitie bez obmedzení zo strany dodávateľa. | ||
| 592 | |||
| 593 | Archivácia zdrojových kódov bude zabezpečená v centrálne spravovanom repozitári, pričom zmluva bude definovať konkrétne postupy a zodpovednosti oboch strán. V prípade potreby budú zdrojové kódy priebežne aktualizované a dopĺňané, aby reflektovali všetky zmeny a vylepšenia v projekte. Dodávateľ bude povinný poskytnúť podporu pri riešení akýchkoľvek technických problémov súvisiacich s prístupom alebo použiteľnosťou zdrojových kódov. | ||
| 594 | |||
| 595 | |||
| 596 | = 7. Prevádzka a údržba = | ||
| 597 | |||
| 598 | |||
| 599 | == 7.1 Prevádzkové požiadavky == | ||
| 600 | |||
| 601 | Úroveň podpory používateľov: Help Desk bude realizovaný cez 3 úrovne podpory, s nasledujúcim označením: | ||
| 602 | |||
| 603 | * **L1 podpora **(Level 1, priamy kontakt zákazníka) – zabezpečuje MPRV SR, | ||
| 604 | |||
| 605 | * **L2 podpora ** (Level 2, postúpenie požiadaviek od L1) - vybraná skupina garantov, so znalosťou IS (zabezpečuje prevádzkovateľ IS – verejný obstarávateľ), | ||
| 606 | |||
| 607 | * **L3 podpora **(Level 3, postúpenie požiadaviek od L2) - na základe zmluvy o podpore IS (zabezpečuje úspešný uchádzač). | ||
| 608 | |||
| 609 | Pre služby sú definované takéto SLA: Služby pre zamestnancov úradu Po – Pia, 8:00 - 16:00 (8x5) | ||
| 610 | |||
| 611 | |||
| 612 | === 7.1.1 Úrovne podpory používateľov === | ||
| 613 | |||
| 614 | Definícia jednotlivých úrovní podpory: | ||
| 615 | |||
| 616 | * **Podpora L1 (podpora 1. stupňa)** - začiatočná úroveň podpory, ktorá je zodpovedná za riešenie základných problémov (prevádzkových incidentov) a požiadaviek koncových používateľov a ďalšie služby vyžadujúce základnú úroveň technickej podpory. Základnou funkciou podpory 1. stupňa je zhromaždiť informácie, previesť základnú analýzu a určiť príčinu problému a jeho klasifikáciu. Typicky sú v úrovni L1 riešené priamočiare a jednoduché problémy a základné diagnostiky, overenie dostupnosti jednotlivých vrstiev infraštruktúry (sieťové, operačné, vizualizačné, aplikačné atď.) a základné užívateľské problémy (typicky zabudnutie hesla), overovanie nastavení a podobne. | ||
| 617 | |||
| 618 | * **Podpora L2 (podpora 2. stupňa)** – riešiteľské tímy s hlbšou technologickou znalosťou danej oblasti. Riešitelia na úrovni Podpory L2 nekomunikujú priamo s koncovým užívateľom, ale sú zodpovední za poskytovanie súčinnosti riešiteľom 1. úrovne podpory pri riešení eskalovaného hlásenia, čo mimo iného obsahuje aj spätnú kontrolu a podrobnejšiu analýzu zistených dát predaných riešiteľom 1. úrovne podpory. Výstupom takejto kontroly môže byť potvrdenie, upresnenie, alebo prehodnotenie hlásenia v závislosti na potrebách Objednávateľa. Primárnym cieľom riešiteľov na úrovni Podpory L2 je dostať Hlásenie čo najskôr pod kontrolu a následne ho vyriešiť - s možnosťou eskalácie na vyššiu úroveň podpory – Podpora L3. | ||
| 619 | |||
| 620 | * **Podpora L3 (podpora 3. stupňa)** - podpora 3. stupňa predstavuje najvyššiu úroveň podpory pre riešenie tých najobtiažnejších hlásení, vrátane prevádzania hĺbkových analýz a riešenie extrémnych prípadov. | ||
| 621 | |||
| 622 | Incidentom sa rozumie porucha alebo chyba informačného systému (IS), ktorá spôsobuje jeho správanie v rozpore s prevádzkovou alebo používateľskou dokumentáciou. Za incident sa nepovažuje chyba vzniknutá mimo prostredia IS, napríklad výpadok externej služby, ktorá nie je súčasťou IS. | ||
| 623 | |||
| 624 | |||
| 625 | === 7.1.2 Riešenie prevádzkových incidentov – SLA parametre === | ||
| 626 | |||
| 627 | Závažnosť prevádzkového incidentu bude stanovená na základe jeho dopadu na prevádzku IS a úroveň poskytovaných služieb. Každý prevádzkový incident bude klasifikovaný podľa definovaných kritérií, čo umožní efektívne plánovanie a riešenie problému v súlade s parametrami SLA. | ||
| 628 | |||
| 629 | Označenie naliehavosti prevádzkového incidentu: | ||
| 630 | |||
| 631 | |Označenie naliehavosti prevádzkového incidentu|Závažnosť prevádzkového incidentu|Popis naliehavosti prevádzkového incidentu | ||
| 632 | |A|Kritická|Kritické chyby, ktoré spôsobia úplné zlyhanie informačného systému ako celku a nie je možné používať ani jednu jeho časť, nie je možné poskytnúť požadovaný výstup z IS a nie je možné použiť IS ani náhradným riešením. | ||
| 633 | |B|Vysoká|Chyby a nedostatky, ktoré zapríčinia čiastočné zlyhanie informačného systému ale umožňuje používať časť informačného systému alebo je možné použiť IS náhradným riešením. | ||
| 634 | |C|Stredná|Chyby a nedostatky, ktoré spôsobia čiastočné obmedzenia používania informačného systému. | ||
| 635 | |D|Nízka|Nezávažné drobné chyby, ktoré nespôsobia funkčnosť informačného systému ako celku alebo jeho väčšej alebo podstatnej časti. | ||
| 636 | |||
| 637 | //Tabuľka 5 Riešenie incidentov// | ||
| 638 | |||
| 639 | |||
| 640 | možný dopad: | ||
| 641 | |||
| 642 | |Označenie závažnosti prevádzkového incidentu|Dopad|Popis dopadu | ||
| 643 | |1|katastrofický|katastrofický dopad, priamy finančný dopad alebo strata dát, | ||
| 644 | |2|značný|značný dopad alebo strata dát | ||
| 645 | |3|malý|malý dopad alebo strata dát | ||
| 646 | |||
| 647 | //Tabuľka 6 Označenie závažnosti prevádzkového incidentu// | ||
| 648 | |||
| 649 | |||
| 650 | Výpočet priority prevádzkového incidentu je kombináciou dopadu a naliehavosti v súlade s best practices ITIL V3 uvedený v nasledovnej matici: | ||
| 651 | |||
| 652 | |(% colspan="2" rowspan="2" %)Matica priority prevádzkových incidentov|(% colspan="3" %)Dopad | ||
| 653 | |Katastrofický - 1|Značný - 2|Malý - 3 | ||
| 654 | |(% rowspan="4" %)Naliehavosť|Kritická - A|1|2|3 | ||
| 655 | |Vysoká - B|2|3|3 | ||
| 656 | |Stredná - C|2|3|4 | ||
| 657 | |Nízka - D|3|4|4 | ||
| 658 | |||
| 659 | //Tabuľka 7 Matica priority prevádzkových incidentov// | ||
| 660 | |||
| 661 | |||
| 662 | Vyžadované reakčné doby: | ||
| 663 | |||
| 664 | |Označenie priority prevádzkového incidentu|Reakčná doba^^(1)^^ od nahlásenia prevádzkového incidentu po začiatok jeho riešenia incidentu|Doba konečného vyriešenia prevádzkového incidentu od jeho nahlásenia incidentu (DKVI) ^^(2)^^|((( | ||
| 665 | Spoľahlivosť ^^(3)^^ | ||
| 666 | |||
| 667 | (počet prevádzkovaných incidentov za mesiac) | ||
| 668 | ))) | ||
| 669 | |1|0,5 hod.|4 hodín|1 | ||
| 670 | |2|1 hod.|12 hodín|2 | ||
| 671 | |3|1 hod.|24 hodín|10 | ||
| 672 | |4|1 hod.|(% colspan="2" %)Vyriešené a nasadené v rámci plánovaných nových vydaní/aktualizácií | ||
| 673 | |||
| 674 | //Tabuľka 8 Požadovaná dostupnosť IS// | ||
| 675 | |||
| 676 | |||
| 677 | == 7.2 Požadovaná dostupnosť IS: == | ||
| 678 | |||
| 679 | |Popis|Parameter|Poznámka | ||
| 680 | |**Prevádzkové hodiny**|8 hodín|Po – Pia, 8:00 - 16:00 | ||
| 681 | |(% rowspan="2" %)**Servisné okno**|14 hodín|od 17:00 hod. - do 7:00 hod. počas pracovných dní | ||
| 682 | |24 hodín|od 00:00 hod. - 23:59 hod. počas dní pracovného pokoja a štátnych sviatkov Servis a údržba sa bude realizovať mimo pracovného času. | ||
| 683 | |**Dostupnosť produkčného prostredia IS**|97%|((( | ||
| 684 | * 97% z 24/7/365 t. j. max ročný neplánovaný výpadok je 10,95 dňa. Maximálny mesačný neplánovaný výpadok je 21,9 hodiny. | ||
| 685 | * Vždy sa za takúto dobu považuje čas od 0.00 hod. do 23.59 hod. počas pracovných dní v týždni. | ||
| 686 | * Nedostupnosť IS sa počíta od nahlásenia prevádzkového incidentu Zákazníkom v čase dostupnosti podpory Poskytovateľa (t. j. nahlásenie prevádzkového incidentu na L3 v čase od 6:00 hod. - do 18:00 hod. počas pracovných dní). Do dostupnosti IS nie sú započítavané servisné okná a plánované odstávky IS. | ||
| 687 | |||
| 688 | V prípade nedodržania dostupnosti IS bude každý ďalší začatý pracovný deň nedostupnosti braný ako deň omeškania bez odstránenia prevádzkového incidentu. | ||
| 689 | ))) | ||
| 690 | |||
| 691 | //Tabuľka 9 Požadovaná dostupnosť IS// | ||
| 692 | |||
| 693 | |||
| 694 | === 7.2.1 Dostupnosť (Availability) === | ||
| 695 | |||
| 696 | Dostupnosť predstavuje jeden zo základných pilierov kybernetickej a informačnej bezpečnosti, ktorý zabezpečuje, že údaje a služby informačných systémov sú prístupné v čase, keď sú potrebné na zabezpečenie prevádzky MPRV SR. Tento aspekt je obzvlášť dôležitý pre ochranu kritických procesov a reakciu na kybernetické hrozby, pričom narušenie dostupnosti môže mať zásadný vplyv na chod MPRV SR a splnenie jej zákonných povinností. | ||
| 697 | |||
| 698 | Dostupnosť sa meria ako percento času, počas ktorého sú systémy plne funkčné, pričom sa využíva štandardizovaná metrika na hodnotenie dopadu výpadkov. Napríklad: | ||
| 699 | |||
| 700 | * 99% dostupnosť predstavuje maximálne 3,65 dňa výpadku za rok, | ||
| 701 | * 99,9% dostupnosť („tri deviatky“) znamená výpadok do 8,76 hodiny za rok, | ||
| 702 | * 99,999% dostupnosť („päť deviatok“) umožňuje len 5,26 minút nedostupnosti ročne. | ||
| 703 | |||
| 704 | Projekt pre kybernetickú a informačnú bezpečnosť (KIB) sa zameria na splnenie vysokých štandardov dostupnosti, pričom cieľom je minimalizovať riziko nedostupnosti kritických informačných systémov a údajov. | ||
| 705 | |||
| 706 | **Kľúčové parametre dostupnosti** | ||
| 707 | |||
| 708 | Pre meranie a riadenie dostupnosti budú v rámci projektu využité nasledovné ukazovatele: | ||
| 709 | |||
| 710 | * RTO (Recovery Time Objective) - doba potrebná na obnovu systému po výpadku, ktorá bude určená v súlade s potrebami jednotlivých komponentov informačného systému. | ||
| 711 | * RPO (Recovery Point Objective) - maximálne množstvo dát, ktoré môže byť stratené v dôsledku incidentu, pričom táto hodnota sa nastaví na základe analýzy kritických procesov. | ||
| 712 | * Recovery Time - čas potrebný na úplnú obnovu systému vrátane technologických a organizačných opatrení. | ||
| 713 | |||
| 714 | **Rizikové faktory ovplyvňujúce dostupnosť** | ||
| 715 | |||
| 716 | Na dostupnosť informačných systémov má vplyv viacero faktorov, ktoré budú v projekte aktívne riešené: | ||
| 717 | |||
| 718 | * Dostupnosť serverových infraštruktúr a sieťových prvkov, | ||
| 719 | * Stabilita pripojenia na internet a jeho redundancia, | ||
| 720 | * Spoľahlivosť databázových informačných systémov, | ||
| 721 | * Prevádzka webových aplikácií a ich dostupnosť pre používateľov. | ||
| 722 | |||
| 723 | V prípade, že sú niektoré časti infraštruktúry zabezpečované existujúcimi externými dodávateľmi, dostupnosť týchto služieb je pokrytá zmluvou SLA (Service Level Agreement), ktorá presne určuje minimálne požadované parametre dostupnosti. V prípadoch, pri ktorých dôjde k dodaniu nových častí infraštruktúry bude, obdobne ako pri existujúcej infraštruktúre, vypracovaná nová zmluva o SLA. | ||
| 724 | |||
| 725 | **Návrh opatrení na zaistenie dostupnosti** | ||
| 726 | |||
| 727 | V rámci projektu budú implementované nasledovné opatrenia: | ||
| 728 | |||
| 729 | * implementácia systému na zaznamenávanie činnosti sietí a informačných systémov a ich používateľov prostredníctvom prevádzkových záznamov[[~[2~]>>path:#_ftn2]] (Log manažment), | ||
| 730 | * konfigurácia a plná implementácia nástroja na analýzu a vyhodnocovanie prevádzkových záznamov (SIEM), | ||
| 731 | * implementácia nástroja na detegovanie zraniteľností (Vulnerability scanner), | ||
| 732 | * implementácia bezpečnostných sieťových prvkov (napr. sieťový firewall), | ||
| 733 | * implementácia nástroja pre správu mobilných zariadení (MDM - Mobile Device Management), | ||
| 734 | * riešenie bezpečnostných incidentov a kontrola prevádzkových záznamov na dennej báze (SOC as a Service - SOCaaS), vrátane podpory analýzy bezpečnostne relevantných udalostí a vykonávanie bezpečnostného dohľadu v režime 8/5, | ||
| 735 | * implementácia dvojfaktorovej autentizácie pre príslušné prístupy do informačných technológií, | ||
| 736 | * testovanie prijatých opatrení kybernetickej bezpečnosti (formou penetračných a phishingových testov). | ||
| 737 | |||
| 738 | Spolupráca so SOC: Rýchla reakcia na incidenty v súčinnosti so službami bezpečnostného operačného centra (SOC). | ||
| 739 | |||
| 740 | Projekt tak zabezpečí, že dostupnosť informačných systémov a služieb bude v súlade s požiadavkami kybernetickej a informačnej bezpečnosti a ustanoveniami všeobecne záväzných právnych predpisov, čím prispeje k ochrane kľúčových procesov a prevádzky MPRV SR. | ||
| 741 | |||
| 742 | |||
| 743 | = 8. Požiadavky na personál = | ||
| 744 | |||
| 745 | V súlade s požiadavkami samotnej výzvy ako aj v súlade s vyhláškou MIRRI SR č. 401/2023 Z. z. o riadení projektov je interný projektový tím MPRV SR zostavený projektový tím tak, aby zabezpečil realizáciu projektu v súlade s požiadavkami všeobecne záväzných právnych predpisov. Výzva stanovuje nevyhnutnú účasť IT odborníkov, pričom minimálne je požadovaný manažér kybernetickej bezpečnosti (MKB). Tento tím bude zodpovedný za koordináciu a implementáciu projektu podľa definovaných pravidiel a postupov a pozostáva z nasledovných pozícií: | ||
| 746 | |||
| 747 | Projektové role: | ||
| 748 | |||
| 749 | * Projektový manažér, | ||
| 750 | * Kľúčový používateľ, | ||
| 751 | * Analytik IT, | ||
| 752 | * Architekt IT, | ||
| 753 | * Tester IT | ||
| 754 | * Biznis vlastník (vlastník alebo vlastníci procesov), | ||
| 755 | * Manažér kybernetickej bezpečnosti, | ||
| 756 | * Manažér prevádzky IT. | ||
| 757 | |||
| 758 | Ďalšie projektové role: | ||
| 759 | |||
| 760 | * Finančný manažér | ||
| 761 | * Asistent PM (PMO) | ||
| 762 | |||
| 763 | Takto zostavený projektový tím predstavuje záruku úspešnej realizácie projektu po zabezpečení jeho financovania na základe Žiadosti o nenávratný finančný príspevok (ŽoNFP) podanej v rámci príslušnej výzvy. | ||
| 764 | |||
| 765 | |||
| 766 | |**ID**|**Titul, Meno a priezvisko**|**Pozícia**|**Organizačný útvar**|**Projektová rola** | ||
| 767 | |1.|Ing. Ján Segéň|Projektový manažér|Odbor stratégie a implementácie IT|Projektový manažér | ||
| 768 | |2.|((( | ||
| 769 | Mgr. Roman Branderský | ||
| 770 | |||
| 771 | Bc, René Salic | ||
| 772 | )))| |Odbor prevádzky IT a kybernetickej bezpečnosti|Kľúčový používateľ | ||
| 773 | |3.|((( | ||
| 774 | Mgr. Roman Branderský | ||
| 775 | |||
| 776 | Ing. Róbert Červenec | ||
| 777 | )))| |Odbor prevádzky IT a kybernetickej bezpečnosti|Analytik IT | ||
| 778 | |4.|Mg. Ľubomír Lacika| |Odbor stratégie a implementácie IT|Architekt IT | ||
| 779 | |5.|Bc. René Salic| |Odbor prevádzky IT a kybernetickej bezpečnosti|Tester IT | ||
| 780 | |6.|((( | ||
| 781 | Ing. Jaroslav Rohaľ | ||
| 782 | |||
| 783 | Ing. Petra Hudáková | ||
| 784 | )))| |Odbor stratégie a implementácie IT|Biznis vlastník (vlastník alebo vlastníci procesov) | ||
| 785 | |7.|Ing. Jaroslav Rohaľ|Manažér kybernetickej bezpečnosti|Kancelária ministra|Manažér kybernetickej bezpečnosti | ||
| 786 | |8.|Ing. Petra Hudáková|Riaditeľka odboru|Odbor prevádzky IT a kybernetickej bezpečnosti|Manažér prevádzky IT | ||
| 787 | |9.|Ing. Veronika Balážová|Generálna riaditeľka|Sekcia rozpočtu a financovania|Finančný manažér | ||
| 788 | |10.|Ing. Tatiana Hrušovská| |Útvar rezortnej informatiky|Asistent PM | ||
| 789 | |||
| 790 | //Tabuľka 10 Projektový tím [[~[HP1~]>>path:#_msocom_1]] [[~[MOU2~]>>path:#_msocom_2]] // | ||
| 791 | |||
| 792 | V zmysle s vyhlášky MIRRI SR č. 401/2023 Z. z. o riadení projektov a požiadaviek Výzvy budú obsadené vyššie uvedené roly v projektovom tíme. Náplne práce a požiadavky na členov tímu sú uvedené v dokumente I-02 Projektový zámer. | ||
| 793 | |||
| 794 | |||
| 795 | = 9. Implementácia a preberanie výstupov projektu = | ||
| 796 | |||
| 797 | Projekt bude realizovaný pomocou vodopádového prístupu (Waterfall), ktorá zabezpečuje logickú nadväznosť jednotlivých modulov na základe funkčnej a technickej špecifikácie vypracovanej počas prípravnej fázy projektu. Tento prístup bol zvolený z dôvodu potreby vykonania opatrení kybernetickej bezpečnosti (KB) a informačnej bezpečnosti (IB) vo vzájomných súvislostiach a v správnom postupnom poradí. Hoci niektoré aktivity môžu byť realizované paralelne rôznymi tímami, musia byť koordinované na základe jasne stanovenej stratégie a harmonogramu projektu. Agilný prístup by nebol vhodný vzhľadom na špecifickú povahu projektu a nutnosť jeho realizácie za plnej prevádzky základných služieb MPRV SR. | ||
| 798 | |||
| 799 | Implementácia a preberanie výstupov projektu budú prebiehať podľa nasledovného harmonogramu: | ||
| 800 | |||
| 801 | * **Analýza a dizajn**: ako súčasť prípravnej fázy zameraná na podrobnú analýzu a návrh riešenia a bude prebiehať počas obdobia 3 mesiacov od vydania písomného pokynu na jej začatie. | ||
| 802 | * **Dodávka technických a programových prostriedkov** zahŕňa obstaranie všetkých technických prostriedkov IT, programových prostriedkov vrátane príslušných licencií na ich užívanie, príp. používanie a služieb potrebných na realizáciu predmetu projektu. | ||
| 803 | * **Implementácia a testovanie** navrhovaných riešení a opatrení a ich komplexné testovanie bude trvať 8 mesiacov od dodania potrebných technických a programových prostriedkov. | ||
| 804 | * V záverečnej fáze projektu sa zabezpečí **nasadenie riešenia do prevádzky** a jeho integrácia do existujúcich systémov a existujúcej infraštruktúry. Táto fáza bude trvať 3 mesiace od ukončenia „implementácia a testovanie“. | ||
| 805 | |||
| 806 | Každá z uvedených realizačných fáz bude predstavovať samostatný fakturačný míľnik, čím sa zabezpečí transparentnosť a postupná kontrola priebehu projektu. | ||
| 807 | |||
| 808 | |||
| 809 | = 10. Prílohy = | ||
| 810 | |||
| 811 | Dokument neobsahuje prílohy. | ||
| 812 | |||
| 813 | |||
| 814 | ---- | ||
| 815 | |||
| 816 | [[~[1~]>>path:#_ftnref1]] Pojmom „prevádzkový záznam“ je pre jednoznačnosť v tomto dokumente chápaný ako udalosť (event) zaznamenaná hardvérovým alebo softvérom komponentom, ktorá je relevantná z pohľadu kybernetickej a informačnej bezpečnosti. Nejde o udalosť (event), ktorú je potrebné sledovať z pohľadu prevádzky IT. | ||
| 817 | |||
| 818 | [[~[2~]>>path:#_ftnref2]] Pojmom „prevádzkový záznam“ je pre jednoznačnosť v tomto dokumente chápaný ako udalosť (event) zaznamenaná hardvérovým alebo softvérom komponentom, ktorá je relevantná z pohľadu kybernetickej a informačnej bezpečnosti. Nejde o udalosť (event), ktorú je potrebné sledovať z pohľadu prevádzky IT. | ||
| 819 | |||
| 820 |