I-02 Projektový zámer (projektovy_zamer)

1

[[image:projektrozvojait:Šablóny.projektovy_zamer@SABLONA_I-02_PROJEKTOVY_ZAMER_Projekt_XYZ_YYMMDD_v0.1_5d283de4ad3c0b7a.png||height="49" width="225"]]

2

3

4

**PROJEKTOVÝ ZÁMER**

5

**Vzor pre manažérsky výstup I-02**

6

**podľa vyhlášky MIRRI č. 401/2023 Z. z.**

7

8

|**Povinná osoba**|{{content id="projekt.asociovane_po" template="[[${po.nazov}]]"}}Ministerstvo cestovného ruchu a športu Slovenskej republiky{{/content}}

9

|**Názov projektu**|{{content id="projekt.nazov"}}Zvýšenie úrovne kybernetickej bezpečnosti Ministerstva cestovného ruchu a športu SR{{/content}}

10

|**Zodpovedná osoba za projekt**|Mgr. Tomáš Mésároš

11

|**Realizátor projektu**|{{content id="projekt.asociovane_po" template="[[${po.nazov}]]"}}Ministerstvo cestovného ruchu a športu Slovenskej republiky{{/content}}

12

|**Vlastník projektu**| {{content id="projekt.vlastnik.nazov"}}Ministerstvo cestovného ruchu a športu Slovenskej republiky{{/content}}

13

**Schvaľovanie dokumentu**

**Podpis**

(alebo elektronický súhlas)

)))

= {{id name="_Toc152607282"/}}{{id name="_Toc524109316"/}}{{id name="_Toc750608766"/}}{{id name="_Toc1668519232"/}}{{id name="_Toc1701549819"/}}{{id name="_Toc1964418579"/}}{{id name="_Toc947666535"/}}{{id name="_Toc33433513"/}}{{id name="_Toc556769729"/}}{{id name="_Toc1400213064"/}}{{id name="_Toc148367215"/}}{{id name="_Toc1875421741"/}}1. História DOKUMENTU =

22

23

|**Verzia**|**Dátum**|**Zmeny**|**Meno**

24

|//0.1//|//20.12.2024//|//Pracovný návrh//|

25

|//0.5//|//30.12.2024//|//Pracovný návrh//|

26

|1.0|27.01.2025|Zapracované pripomienky|

27

28

= {{id name="_Toc152607284"/}}{{id name="_Toc683485446"/}}{{id name="_Toc365474999"/}}{{id name="_Toc1488819067"/}}{{id name="_Toc461533771"/}}{{id name="_Toc1193242276"/}}{{id name="_Toc738207424"/}}{{id name="_Toc2067375730"/}}{{id name="_Toc336064095"/}}{{id name="_Toc62328600"/}}{{id name="_Toc1636304797"/}}{{id name="_Toc635885549"/}}{{id name="_Toc152607283"/}}2. ÚČEL DOKUMENTU, SKRATKY (KONVENCIE) A DEFINÍCIE =

29

30

V súlade **s vyhláškou Ministerstva investícií, regionálneho rozvoja a informatizácie Slovenskej republiky č. 401/2023 Z. z.** **o riadení projektov** **a zmenových požiadaviek v prevádzke informačných technológií verejnej správy **(ďalej len „vyhláška MIRRI SR č. 401/2023 Z. z. o riadení projektov“), je dokument I-02 Projektový zámer určený na rozpracovanie detailných informácií k projektu „Zvýšenie úrovne kybernetickej bezpečnosti Ministerstva cestovného ruchu a športu SR” (ďalej len “projekt”), aby bolo možné rozhodnúť o pokračovaní prípravy projektu, pláne realizácie, alokovaní rozpočtu a ľudských zdrojov.

31

32

Účelom predkladaného dokumentu je v rámci iniciačnej fázy projektu súhrnne popísať hlavné informácie o navrhovanom projekte so zameraním na technický návrh riešenia.

33

34

Projekt bude implementovať Ministerstvo cestovného ruchu a športu Slovenskej republiky (ďalej ako „MinCRS SR“ ), ktoré bude zároveň prijímateľom finančného plnenia z vyhlásenej výzvy „Zvýšenie úrovne kybernetickej a informačnej bezpečnosti “ v rámci Programu Slovensko 2021 - 2027 (ďalej len „PSK“), z ktorého má byť Projekt financovaný.

35

36

== 2.1Použité skratky a pojmy ==

37

38

|**SKRATKA/POJEM**|**POPIS**

39

|2FA|Dvojfaktorová autentizácia

40

|AP NKIVS|Akčný plán Národnej koncepcie informatizácie verejnej správy 2021

41

|BCM|Riadenie kontinuity prevádzky

42

|BCR|Pomer prínosov a nákladov z pohľadu návratnosti

43

|CBA|Analýza nákladov a prínosov

44

|EDR|Endpoint Detection and Response

45

|FO|Fyzická osoba

46

|FTE|Ekvivalent plného pracovného úväzku

47

|IB|informačná bezpečnosť

48

|IS|informačný systém

49

|ISVS|Informačný systém verejnej správy

50

|IT|Informačná technológia

51

|ITVS|Informačné technológie verejnej správy

52

|KB|Kybernetická bezpečnosť

53

|KBI|Kybernetický bezpečnostný incident

54

|MCA|Multikriteriálna analýza

55

|MIRRI SR|Ministerstvo investícií, regionálneho rozvoja a informatizácie Slovenskej republiky

56

|MinCRS SR|Ministerstvo cestovného ruchu a športu Slovenskej republiky

57

|NAC|Network Access Control

58

|NASES|Národná agentúra pre sieťové a elektronické služby

59

|NBÚ|Národný bezpečnostný úrad

60

|NDR|Network Detection and Response

61

|NKIVS|Národná koncepcia informatizácie verejnej správy

62

|NKKB|Národná koncepcia kybernetickej bezpečnosti

63

|OVM|Orgán verejnej moci

64

|OT|Operačné technológie (Operational technology)

65

|PID|Projektový iniciálny dokument

66

|PM|Projektový manažér

67

|PO|Právnická osoba

68

|PZS|Prevádzkovateľ základnej služby

69

|RVP|Riadiaci výbor projektu

70

|SAN|Storage area network

71

|SIEM|Systém pre management bezpečnostních informací a událostí (Security Information and Event Management)

72

|SOAR|Proces orchestrácie, automatizácie a odozvy zabezpečenia (Security orchestration, automation and response)

73

|SOC|Bezpečnostné Dohľadové Centrum (Security Operations Center)

74

|SR|Slovenská republika

75

|TCO|Total cost of ownership

76

|TP|Technické prostriedky

77

|TTP|Techniky, taktiky a procedúry

78

|VISKB|Vládny informačný systém kybernetickej bezpečnosti

79

|VJ CSIRT|Vládna jednotka CSIRT (Computer Security Incident Response Team Slovakia, niekedy označovaná aj skratkou CSIRT.SK)

80

|VM|Manažment zraniteľností (Vulnerability management)

81

|VO|Verejné obstarávanie

82

|XDR|Extended detection and response

83

|ZoBK|Zákon o kybernetickej bezpečnosti

84

|ŽoNFTP|Žiadosť o nenávratný finančný príspevok

85

86

Tabuľka 1 Zoznam použitý skratiek a pojmov

87

88

89

== 2.2 Konvencie pre typy požiadaviek (príklady) ==

90

91

//**Funkcionálne (používateľské) požiadavky **majú nasledovnú konvenciu~://

92

//**RFxx**//

93

94

* //R – označenie požiadavky//

95

* //U – užívateľská požiadavka//

96

* //xx – číslo požiadavky//

97

98

//**Nefunkčné (kvalitatívne, výkonové - Non Functional Requirements - NFR) požiadavky** majú nasledovnú konvenciu~://

**RNF//xx//**

* //R – označenie požiadavky//

103

* //N – nefunkčná požiadavka (RNF)//

104

* //xx – číslo požiadavky//

105

106

= {{id name="_Toc47815693"/}}{{id name="_Toc152607289"/}}{{id name="_Toc2101596728"/}}{{id name="_Toc21597077"/}}{{id name="_Toc200637902"/}}{{id name="_Toc1533185111"/}}{{id name="_Toc1887694913"/}}{{id name="_Toc824463063"/}}{{id name="_Toc2032956156"/}}{{id name="_Toc1083272272"/}}{{id name="_Toc1535460233"/}}{{id name="_Toc2126332012"/}}{{id name="_Toc461677146"/}}{{id name="_Toc152607288"/}}3. DEFINOVANIE PROJEKTU =

107

108

== {{id name="_Toc152607290"/}}{{id name="_Toc653156677"/}}{{id name="_Toc1001409967"/}}{{id name="_Toc294056164"/}}{{id name="_Toc822212923"/}}{{id name="_Toc700822328"/}}{{id name="_Toc1982046122"/}}{{id name="_Toc32260942"/}}{{id name="_Toc629221952"/}}{{id name="_Toc423614589"/}}{{id name="_Toc1077465011"/}}{{id name="_Toc723955740"/}}3.1 Manažérske zhrnutie ==

109

110

Implementáciou predmetu projektu prispeje k naplneniu Prioritnej osi 4 Národnej koncepcie informatizácie verejnej správy (ďalej aj „NKIVS“) – //Kybernetická a informačná bezpečnosť//, konkrétne prispeje k naplneniu strategického cieľa NKIVS 4.1 Zvýšenie schopnosti včasnej identifikácie kybernetických incidentov vo verejnej správe, ktorého naplnenie je kľúčové pre bezpečné a efektívne fungovanie digitálnej verejnej správy. Realizácia opatrení umožní minimalizovať výskyt bezpečnostných incidentov a potenciálne škody tým, že zabezpečí efektívne monitorovanie, detekciu a reakciu na kybernetické hrozby. Vďaka tomu sa posilní odolnosť IT infraštruktúry a ochrana kritických dátových a informačných systémov. Zároveň dôjde k zvýšeniu celkovej úrovne ekosystému kybernetickej a informačnej bezpečnosti MinCRS SR, ktorá priamo ovplyvní celkovú úroveň kybernetickej a informačnej bezpečnosti verejnej správy.

111

112

**Predmet projektu:**

113

114

Predmetom projektu je zavedenie nástrojov kybernetickej a informačnej bezpečnosti na Ministerstve cestovného ruchu a športu SR. Kybernetická bezpečnosť je z pohľadu architektúry prierezovou oblasťou a teda realizuje sa skrz všetky vrstvy architektúry. Toto novovzniknuté ministerstvo, ktoré iba zakladá infraštruktúru a základné aplikačné celky, považuje za nutné spísanie základných bezpečnostných štandardov a nasadenie úvodných bezpečnostných technológií pri vzniku aplikačných celkov a zavádzaní interných procesov a smerníc. Z pohľadu infraštruktúry je ideálne budovať bezpečnostné princípy na začiatku, čo zásadne znižuje náklady na dodatočné prispôsobovanie aplikácií moderným požiadavkám.

115

116

Predmetom projektu v súlade s hodnotiacim kritériami výzvy je zvýšenie úrovne kybernetickej a informačnej bezpečnosti zabezpečením základných činností v oblasti kybernetickej a informačnej bezpečnosti v organizácii žiadateľa a zabezpečením iných vybraných činností zameraných na prevenciu pred kybernetickými bezpečnostnými incidentmi v organizácii žiadateľa konkrétne:

117

118

* (CASB, ZTNA, DLP, WAF) ochrana prístupov k internetu, ochrana internetových aplikácií, správa prístupov k aplikáciám, sledovanie toku dát a ochrana pred odcudzením na základe kontextu a klasifikácie

119

* (HSM, KMS, HYOK) nástroje na ochranu a distribúciu šifrovacích kľúčov pre technické zamedzenie neautorizovanému prístupu k dáta

120

* (SIEM, SOAR) nástroj pre centrálnu evidenciu logov z informačných systémov a následné vyhodnocovanie podozrivých alebo potenciálne nebezpečných aktiví

121

* (IPAM, 802.1x) zabezpečenie základných NW služieb heterogénnom prostredí pre DNS, DHCP, IPAM, 802.1X, physical port securit

122

* (Exposure, Risk, Vulnerability, CIAM) nástroj pre posudzovanie a kategorizáciu potenciálnych rizík, vrátane správy zraniteľností, aplikačného testovania, a korektnej konfigurácie cloud prostredí a prístupov

123

* (Threat Intell, IoC, Supply Chain) Nástroj na preverovanie bezpečnosti dodávateľského reťazca, integráciu známych bezpečnostných hrozieb a charakteristík do interných bezpečnostných nástrojov, zisťovanie a odhaľovanie potenciálnych plánovaných útokov, zisťovanie a dokazovanie zneužitia mena a prípadných únikov dát

124

* incident response, remediation a audit služba

125

* Bezpečnostný projekt ISVS, podľa prílohy č. 3 vyhlášky UPVII č. 179/2020 Z. z. pre zmapovanie prostredia, zavedenie procesov a politík podľa Zákona 69/2018 (Kybernetická bezpečnosť, 95/2019 (IT verejnej správy), 18/2018 (GDPR), Školiace materialy pre MKB, riadenie kontinuity (BCP, BIA, DRP), vulenrability a incident management a pridružené procesy podľa ITIL/ITSM, klasifikácia informácií, bezpečnosť koncových prvkov, a služby bezpečnostného architekta počas implementácie projektu

126

127

Pri realizácií projektu **nebudú** realizované aktivity, ktoré súvisia s:

128

129

* vybudovaním jednotky na reakciu na kybernetické bezpečnostné incidenty (jednotka CSIRT),

130

* analytické nástroje na pokročilú malvérovú analýzu, forenznú analýzu a budovanie forenzných laboratórií,

131

* školeniami pre zamestnancov za účelom zvýšenia ich povedomia v oblasti kybernetickej a informačnej bezpečnosti,

132

* realizáciou stavebných úprav a prác.

**Cieľová skupina:**

Realizácia projektu bude mať priamy dopad na všetky organizačné útvary MinCRS SR so sekundárnou perspektívou aj na právnické osoby v pôsobnosti MinCRS SR, pričom platí:

1. **Zamestnanci**

Prijatie bezpečnostných opatrení zabezpečí všetkým zamestnancom bezpečnejší prístup k sieti a informačným systémom a dátam, zníži sa riziko úniku dát a vzniku kybernetických bezpečnostných incidentov, ktoré spôsobujú nedostupnosť a nefunkčnosti IT.

141

142

1. **Správcovia informačných technológií**

143

144

Odborní zamestnanci zaoberajúci sa správou IT budú priamo profitovať z implementácie nových bezpečnostných opatrení, nástrojov na riadenie kybernetických bezpečnostných incidentov, log manažmentu. Zároveň im posilnená infraštruktúra a nástroje na detekciu zraniteľností, zvýšenie bezpečnosti prístupov a sieťový firewall umožnia efektívnejšie riadiť a udržiavať bezpečnosť sietí a informačných systémov.

145

146

1. **Vedenie MinCRS SR a vedúci zamestnanci**

147

148

Získajú prehľad o kybernetických bezpečnostných incidentoch a stave kybernetickej a informačnej bezpečnosti prostredníctvom reportov z monitorovacích nástrojov, čo im umožní prijímať lepšie strategické rozhodnutia na základe rizikových faktorov.

149

150

1. **Externí audítori a regulačné orgány**

151

152

Projekt zlepší súlad so všeobecne záväznými právnymi predpismi a regulačnými požiadavkami, čo bude prínosné pri auditoch a kontrolách. Výsledkom auditu bude overené dodržiavanie väčšieho počtu bezpečnostných štandardov a ustanovení všeobecne záväzných právnych predpisov alebo právnych aktov EÚ a bude preukázané odstránenie niektorých nesúladov a zvýšenie počtu súladov, čím sa dosiahne vyššia percentuálne miera dodržiavania príslušných povinností z oblasti kybernetickej a informačnej bezpečnosti.

153

154

**Finančné a časové ukazovatele projektu:**

155

156

Potrebné finančné prostriedky pre realizáciu projekt budú pokryté z vyhlásenej výzvy zo dňa 24.05.2024 kód: **PSK-MIRRI-616-2024-DV-EFRR**, názov: **„Zvýšenie úrovne kybernetickej a informačnej bezpečnosti“**, priorita: **1P1 Veda, výskum a inovácie**, špecifický cieľ: **RSO 1.2 Využívanie prínosov digitalizácie pre občanov**, **podniky, výskumné organizácie a orgány verejnej správy**, opatrenie: 1.2.1** **Podpora v oblasti informatizácie a digitálnej transformácie (Oblasť B. Kybernetická a informačná bezpečnosť) ktorá je financovaná z prostriedkov mechanizmu Program Slovensko 2021 - 2027, ktorej vyhlasovateľ je Ministerstvo investícií, regionálneho rozvoja a informatizácie Slovenskej republiky. Projektová dokumentácia spĺňa obsahové a formálne náležitosti, ktoré sú v súlade s požiadavkami prílohy č. 8 Výzvy „Minimálne náležitosti manažérskych produktov“.

157

158

|**Názov projektu **|**Zvýšenie úrovne kybernetickej a informačnej bezpečnosti Ministerstva cestovného ruchu a športu SR **

159

|**Interná skratka projektu** |**ZUKIBMCRS**

160

|Realizátor a vlastník projektu|Ministerstvo cestovného ruchu a športu Slovenskej republiky

161

|ID MetaIS |projekt_3223

162

|Dátum začatia realizačnej fáz |04/2025

163

|Dátum ukončenia dokončovacej fázy  |09/2027

164

|Plánovaný rozpočet projektu |6 350 298 EUR vrátane DPH

165

|Zdroj financovania |Program Slovensko 2021 – 2027 (SK – EFRR/KF/FST/ESF+)

166

|Kód výzvy|PSK-MIRRI-616-2024-DV-EFRR

167

|Miesto realizácie|Slovenská republika

168

169

Tabuľka 2 Sumarizácia projektových údajov

170

171

== {{id name="_Toc152607292"/}}{{id name="_Toc312483730"/}}{{id name="_Toc2111721766"/}}{{id name="_Toc1058305394"/}}{{id name="_Toc656462781"/}}{{id name="_Toc1832659409"/}}{{id name="_Toc488319966"/}}{{id name="_Toc1232937879"/}}{{id name="_Toc392723854"/}}{{id name="_Toc1753883964"/}}{{id name="_Toc141343421"/}}{{id name="_Toc1911602422"/}}{{id name="_Toc47815694"/}}{{id name="_Toc152607291"/}}3.2 Motivácia a rozsah projektu ==

172

173

174

MinCRS SR ako správca ITVS a prevádzkovateľ základnej služby je povinný zabezpečiť požadovanú úroveň kybernetickej bezpečnosti informačných systémov naviazaných na poskytovanie základnej služby a celej infraštruktúry IT MinCRS SR v súlade platnými všeobecne záväznými právnymi predpismi pre túto oblasť a zabezpečiť ochranu spracúvaných informácií voči kybernetickým hrozbám v súlade s povinnosťami vyplývajúcimi z ustanovení zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov v znení neskorších predpisov (ďalej len „zákon č. 69/2018 Z. z.“).

175

176

V požiadavke na realizáciu projektu boli zohľadnené plánované aktivity implementácie IS systémov v rezorte MinCRS ako aj právnické osoby v pôsobnosti MinCRS SR.

177

178

Súčasné bezpečnostné mechanizmy v oblasti monitoringu a hodnotenia zraniteľnosti implementované v MinCRS SR tvoria základ, ktorý si vyžaduje ďalší rozvoj pre zaistenie primeranej ochrany spracúvaných informácií voči kybernetickým hrozbám a zároveň zabezpečenie súladu s povinnosťami vyplývajúcimi z ustanovení zákona č. 69/2018 Z. z.

179

180

Okrem požiadaviek vyplývajúcich zo všeobecne záväzných právnych predpisov je nevyhnutné brať do úvahy aj prípadnú negatívnu publicitu a poškodzovanie reputácie a dobrého mena MinCRS SR, ktorá môže byť spôsobená aj nedostatočnou schopnosťou včasnej detekcie možného kybernetického útoku z dôvodu chýbajúcich analytických nástrojov a nedostatku kvalitných zdrojov bezpečnostne relevantných záznamov.

181

182

Danými nástrojmi spolu s existujúcim riešením dokážeme zabezpečiť súlad zo zákonom č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov (ďalej len „ZoKB“), ako aj konzistenciu odporúčaní podľa CIS framework v nasledujúcich oblastiach:

183

184

* (CIS Control 1) Inventarizácia zariadení pristupujúcich k aplikáciám a dátam

185

* (CIS Control 2) Kontrola zariadení pristupujúcich k dátam a aplikáciám na vyžadované bezpečnostné štandardy a izoláciu dát

186

* (CIS Control 3) Ochrana dát pred neautorizovaným prístupom ako aj pred odcudzením a zneužitím dát

187

* (CIS Control 4) Zabezpečenie nasadenia konzistentných bezpečnostných politík pre prístup k aplikáciám a dátam

188

* (CIS Control 5) Evidencia účtov, auditné logy a správa oprávnení a to v rátane Cloud prostredia

189

* (CIS Control 6) Kontrola prístupov do prostredia, k aplikáciám a k dátam

190

* (CIS Control 7) Kontinuálna správa zraniteľností na všetkých prvkoch infraštruktúry v rátane pracovných staníc

191

* (CIS Control 8) Archivácia a vyhodnocovanie auditných logov

192

* (CIS Control 9) Správa internetových prístupov a sprístupneného obsahu, ochrana Email komunikácie

193

* (CIS Control 10) Ochrana proti škodlivým kódom na všetkých vrstvách

194

* (CIS Control 11) Ochranu záloh pred neautorizovanou obnovou

195

* (CIS Control 12) Správa sieťovej infraštruktúry

196

* (CIS Control 13) Dohľadová úroveň bezpečnosti sieťových zariadení a toku dát

197

* (CIS Control 15) Zabezpečenie aplikácií a dát v externom prostredí

198

* (CIS Control 16) Bezpečnosť aplikácií

199

* (CIS Control 17) Schopnosť detegovať a reagovať na bezpečnostné incidenty

200

* (CIS Control 18) Penetračné testovanie po technickej stránke.

201

202

Odvolávka na CIS framework je z dôvodu, že prevažná väčšina bezpečnostných nástrojov má integrované minimálne CIS normy vo svojich politikách a pravidlách pre vyhodnocovanie zhody s požadovanými nastaveniami, ktoré sú v súlade s platnou legislatívnou úpravou:

203

204

* Zákon č. 69/2018 Z.z . o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov

205

* Zákon č. 287/2021 Z. z. Zákon, ktorým sa mení a dopĺňa zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov v znení neskorších predpisov a ktorým sa menia a dopĺňajú niektoré zákony

206

* Zákon č. 95/2019 Z.z . informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov

207

* Vyhláška NBÚ č. 362/2018 Z.z . ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení

208

* Vyhláška ÚPVII č. 179/2020 Z. z. ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy

209

* vyhlášky NBÚ č. 165/2018 Z. z. ktorou sa určujú identifikačné kritériá pre jednotlivé kategórie závažných kybernetických bezpečnostných incidentov a podrobnosti hlásenia kybernetických bezpečnostných incidentov,

210

* vyhlášky NBÚ č. 166/2018 Z. z. o podrobnostiach o technickom, technologickom a personálnom vybavení jednotky pre riešenie kybernetických bezpečnostných incidentov,

211

* zákona č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o doplnení niektorých zákonov,

212

* zákona č. 45/2011 Z. z. o kritickej infraštruktúre,

213

* zákona č. 18/2018 Z. z. o ochrane osobných údajov v znení neskorších predpisov (GDPR),

214

* zákona č. 272/2016 Z. z. o dôveryhodných službách pre elektronické transakcie na vnútornom trhu a o zmene a doplnení niektorých zákonov (zákon o dôveryhodných službách),

215

* Zákon č. 56/2018 Z.z . o posudzovaní zhody výrobku, sprístupňovaní určeného výrobku na trhu a o zmene a doplnení niektorých zákonov

216

* ISO/IEC 17024:2012 Posudzovanie zhody Všeobecné požiadavky na orgány vykonávajúce certifikáciu osôb

217

* ISO/IEC 17000:2020 Posudzovanie zhody Slovník a všeobecné zásady

218

* ISO/IEC 27000 „Informačné technológie Bezpečnostné metódy Systémy riadenia informačnej bezpečnosti“,

219

* Smernice Európskeho parlamentu a Rady (EÚ) 2016/1148 zo 6. júla 2016 o opatreniach na zabezpečenie vysokej spoločnej úrovne bezpečnosti sietí a informačných systémov v Únii,

220

* nariadenia Európskeho parlamentu a Rady (EÚ) 2019/881 zo 17. apríla 2019 o agentúre ENISA (Agentúra Európskej únie pre kybernetickú bezpečnosť) a o certifikácii kybernetickej bezpečnosti informačných a komunikačných technológií a o zrušení nariadenia (EÚ) č. 526/2013 (akt o kybernetickej bezpečnosti)

221

* zákona č. 18/2018 Z. z. o ochrane osobných údajov a o doplnení niektorých zákonov,

222

* smernice Európskeho parlamentu a Rady2002/58/ES z 12. júla 2002, týkajúca sa spracovávania osobných údajov a ochrany súkromia v sektore elektronických komunikácií (smernica o súkromí a elektronických komunikáciách) a jej implementácie v zákone č. 351/2011 Z. z. o elektronických komunikáciách

223

* nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov)

224

* nariadenia Európskeho parlamentu a Rady (EÚ) č. 910/2014 z 23. júla 2014 o elektronickej identifikácii a dôveryhodných službách pre elektronické transakcie na vnútornom trhu,

225

226

Implementovanie navrhovaných technických opatrení v prostredí MinCRS SR je kľúčové pre zabezpečenie IB a KB a ochranu pred kybernetickými hrozbami pre prevádzkované informačné technológie MinCRS SR. Realizáciou projektu dôjde k zvýšeniu úrovne KB a IB v nasledujúcich oblastiach:

227

228

* Rýchlejšia detekcia a reakcia na kybernetické hrozby. Zlepšenie schopnosti identifikácie a reakcie na kybernetické hrozby v reálnom čase. To zahŕňa lepšiu analýzu prevádzkových záznamov, monitorovanie udalostí a upozornení a automatizáciu procesov pre rýchlejšiu identifikáciu a minimalizovanie možného dopadu kybernetických hrozieb a vzniku kybernetického bezpečnostného incidentu.

229

* Integrácia a efektívne využívanie nových technológii umožní rýchlejšie a presnejšie identifikovať kybernetické hrozby a kybernetické bezpečnostné incidenty a zároveň znížiť manuálne úkony.

230

* Posilnenie spolupráce medzi organizačnými útvarmi MinCRS SR a zainteresovanými stranami, prevádzky IT a vedenia, aby sa lepšie zdieľali informácie o kybernetických hrozbách, možných dopadoch, prijatých opatreniach a koordinovali sa reakcie na kybernetické bezpečnostné incidenty.

231

* Pravidelné preskúmavanie a zlepšovanie pracovných postupov a procesov na základe skúseností získaných počas detekcie a riešenia kybernetických bezpečnostných incidentov, implementáciou nástrojov a overovaním znalostného povedomia zamestnancov.

232

* Pripravenosť na nové technológie, trendy a taktiky kybernetických útokov a prispôsobovať riadenie kybernetickej a informačnej bezpečnosti a prijímanie opatrení v čo najkratšom čase.

233

* Zabezpečenie, aby činnosti v oblasti KB a IB boli v súlade s platnými všeobecne záväznými právnymi predpismi a regulačnými požiadavkami týkajúcimi sa ochrany údajov a kybernetickej a informačnej bezpečnosti.

234

* (((

235

Implementáciou projektu informačných technológií v správe MinCRS SR dôjde k vytvoreniu efektívneho a odolného systému na identifikáciu, monitorovanie a riešenie kybernetických hrozieb s cieľom ochrany MinCRS SR pred potenciálnymi kybernetickými útokmi v porovnaní s aktuálnym stavom a výstupom/výsledkom auditu KB.Danými nástrojmi spolu s existujúcim riešením dokážeme zabezpečiť súlad zo zákonom č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov (ďalej len „ZoKB“), ako aj konzistenciu odporúčaní podľa CIS framework v nasledujúcich oblastiach:

236

)))

237

238

== {{id name="_Toc152607293"/}}{{id name="_Toc1804717142"/}}{{id name="_Toc2082286828"/}}{{id name="_Toc408208333"/}}{{id name="_Toc2091742582"/}}{{id name="_Toc1276965606"/}}{{id name="_Toc1095995576"/}}{{id name="_Toc1849077951"/}}{{id name="_Toc1415248283"/}}{{id name="_Toc213456280"/}}{{id name="_Toc1645756734"/}}{{id name="_Toc305576249"/}}{{id name="_Toc47815695"/}}3.3 Zainteresované strany/Stakeholderi ==

239

240

* //Doplňte KTO (zoznam subjektov/osôb) sa zúčastňuje projektu a akú rolu zastáva//

241

242

|**ID**|**AKTÉR / STAKEHOLDER**|(((

**SUBJEKT**

(názov / skratka)

)))|(((

**ROLA**

(vlastník procesu/ vlastník dát/zákazník/ užívateľ …. člen tímu atď.)

248

)))|(((

249

**Informačný systém**

250

(MetaIS kód a názov ISVS)

)))

|8|Národné športové centrum|NŠC|Administrácia, prevádzka IS Šport|

260

261

Tabuľka 3 Zainteresované strany

262

263

264

== {{id name="_Toc1171095368"/}}{{id name="_Toc917011599"/}}{{id name="_Toc1971312639"/}}{{id name="_Toc1126157752"/}}{{id name="_Toc1310576106"/}}{{id name="_Toc2022117806"/}}{{id name="_Toc1657084950"/}}{{id name="_Toc1062413439"/}}{{id name="_Toc2022428828"/}}{{id name="_Toc2122222112"/}}{{id name="_Toc754065181"/}}{{id name="_Toc152607307"/}}{{id name="_Toc47815696"/}}{{id name="_Toc152607306"/}}{{id name="_Toc152607305"/}}{{id name="_Toc152607304"/}}{{id name="_Toc152607303"/}}{{id name="_Toc152607302"/}}{{id name="_Toc152607301"/}}{{id name="_Toc152607300"/}}{{id name="_Toc152607299"/}}{{id name="_Toc152607298"/}}{{id name="_Toc152607297"/}}{{id name="_Toc152607296"/}}{{id name="_Toc152607295"/}}{{id name="_Toc152607294"/}}3.4 Ciele projektu ==

265

266

Hlavným cieľom projektu je zabezpečenie vyššej úrovne kybernetickej a informačnej bezpečnosti v MinCRS SR, najmä vo zvýšení odolnosti voči kybernetickým bezpečnostným incidentom a najmä efektívne riadenie celého životného cyklu identifikovaných kybernetických bezpečnostných incidentov. Všeobecnými cieľmi preto sú:

267

268

* V maximálnej možnej miere splnenie povinností vyplývajúcich zo všeobecne záväzných právnych predpisov pre oblasť kybernetickej a informačnej bezpečnosti,

269

* Zvýšenie úrovne kybernetickej a informačnej bezpečnosti na MinCRS SR v porovnaní s aktuálnym stavom,

270

* Zvýšenie efektívnosti ochrany informačných technológií v správe a prevádzke MinCRS SR,

271

* Zvýšenie odolnosti sietí a informačných systémov v správe a prevádzke MinCRS SR voči kybernetickým útokom.

272

273

Ciele projektu boli definované s ohľadom na potreby efektívneho fungovania KB a IB MinCRS SR a zároveň vychádzajú z príslušných častí //Národnej koncepcie informatizácie verejnej správy// a //Národnej koncepcie kybernetickej bezpečnosti (ďalej aj “NKKB”)//. Tieto dokumenty poskytujú strategický rámec a usmernenia pre rozvoj KB a IB vo verejnej správe. Na základe týchto koncepcií sú projektové ciele definované tak, aby podporili modernizáciu technických a programových prostriedkov MinCRS SR, zabezpečili odstránenie nesúladov z auditu KB, zohľadnili požiadavky vyhlásenej výzvy ale pomohli naplniť strategické ciele NKKB 4.1 Dôveryhodný štát pripravený na hrozby a 4.4 Kybernetická bezpečnosť ako základná súčasť verejnej správy.

274

275

|(% style="width:67px" %)**ID**|(% style="width:180px" %)

276

\\**Názov cieľa**|**Názov strategického cieľa**|**Spôsob realizácie strategického cieľa**

277

|1.|Centralizované zabezpečenie a správa šifrovacích kľúčov|Centralizované zabezpečenie a správa šifrovacích kľúčov pre technické zabezpečenie dátovej suverenity a elimináciu neautorizovaného prístupu k údajom.|Pre dosiahnutie cieľa budú implementované nástroje na ochranu a distribúciu šifrovacích kľúčov pre technické zamedzenie neautorizovaného prístupu k údajom.

278

|2.|Identifikovanie a riadenie bezpečnostných incidentov|Implementácia centrálneho nástroja na zaznamenávanie činností sietí a informačných systémov a používateľov a identifikovanie bezpečnostných incidentov (SIEM)|Vyhodnocovanie a analýzy budú zabezpečené implementáciou nástroja SIEM.

279

|3.|Monitoring a správa bezpečnostných hrozieb, udalostí a rizík|Monitoring a správa zraniteľností (vulnerability scaner), bezpečnostných hrozieb a riadenie rizík informačných a komunikačných systémov a technológií podľa ich kategorizácie.|Implementácia nástroja na monitoring a správu zraniteľností (vulnerability scaner), bezpečnostných hrozieb a riadenie rizík informačných a komunikačných systémov a technológií podľa ich kategorizácie.

280

|4.|Ochrana prístupov, aplikácií a zariadení|Zamedzenie prístupu k závadnému a nebezpečnému obsahu, ochrana webových aplikácií, izolácia prístupov na základe kategorizácie a klasifikácie zariadení, aplikácií a údajov.|Implementácia nástrojov umožňujúcich filtrovanie obsahu, integráciu s Microsoft Entra, poskytujúcich funkcionality web aplikačného firewallu a umožňujúcich nastavenie pravidiel pre ochranu zariadení, aplikácií a prístupov.

281

|5.|Overovanie prijatých opatrení kybernetickej bezpečnosti|Overovanie prijatých opatrení kybernetickej bezpečnosti realizáciou penetračných a phishingových testov pre zabezpečenie auditných a kontrolných činností|Overovanie prijatých opatrení kybernetickej bezpečnosti bude zabezpečené vykonávaním penetračných a phishingových testov.

282

283

Tabuľka 4 Ciele projektu

284

285

286

== {{id name="_Toc152607308"/}}3.5 Merateľné ukazovatele (KPI) ==

287

288

|**ID**|

289

\\**ID/Názov cieľa**|**Názov

290

ukazovateľa **(KPI)|**Popis

291

ukazovateľa**|**Merná jednotka**

|**AS IS

merateľné hodnoty

**(aktuálne)|**TO BE

Merateľné hodnoty

**(cieľové hodnoty)|**Spôsob ich merania**|**Pozn.**

297

|1.|PO095 / PSKPSOI12|Verejné inštitúcie podporované v rozvoji kybernetických služieb, produktov a procesov|Počet verejných inštitúcií, ktoré sú podporované za účelom rozvoja a modernizácie kybernetických služieb, produktov, procesov a zvyšovania vedomostnej úrovne, napríklad v kontexte opatrení smerujúcich k elektronickej bezpečnosti verejnej správy.|Verejné inštitúcie|0|1|(((

298

Vykonanie interného auditu kybernetickej bezpečnosti po implementácií technických opatrení na zistenie skutočnej úrovne prijatých bezpečnostných opatrení

Čas plnenia:

Fyzické ukončenie realizácie hlavných aktivít projektu

303

)))|Výstup

304

|2.|PR017 / PSKPRCR11|Verejné inštitúcie podporované v rozvoji kybernetických služieb, produktov a procesov|Počet používateľov v oblasti KB a IB|Počet|0|5|(((

305

Vyhodnocovanie funkciami nástroja na analýzu logov a udalostí.

Čas plnenia:

V rámci udržateľnosti projektu

310

)))|Výstup

311

|3|1.|NW security pre zariadenia|Služby súvisiace so zaistením bezpečnosti klientov a serverových aplikácií po NW úrovni|Počet|0|150|(((

312

Natívnymi implementovanými nástrojmi

Čas plnenia:

V rámci udržateľnosti projektu

317

)))|výstup

318

|4|1.|Zabezpečenie kryptografického materiálu|Zabezpečenie kľúčov vo FIPS140-3 lvl 3 zariadení kompatibilnom a rozšíriteľnom o možnosti vládneho cloudu|počet|0|4|(((

319

2 zariadenia typu HSM a 2 zariadenia typu KMS

Čas plnenia:

V rámci udržateľnosti projektu

324

)))|výstup

325

|5|2.|SIEM a XDR systém|Zber logov zo zariadení a aplikácií a iných XDR čiastkových nástrojov, vyhodnocovanie udalostí a možnosť automatickej reakcie|počet|0|1|(((

326

Existencia centralizovanej platformy napojenej na Risk Management, attack surface, Threat Intell a exposure management

Čas plnenia:

V rámci udržateľnosti projektu

331

)))|Výstup

332

|6|3.|Exposure, Risk, CIAM|Centrálna evidencia v rámci bezpečnosti pre attack surface a risk management|počet|0|1|(((

333

Existencia centralizovanej platformy napojenej na Risk Management, attack surface, Threat Intell a exposure management, Vulnerability management, a iné nástroje

Čas plnenia:

V rámci udržateľnosti projektu

338

)))|výstup

339

|7|3.|Spravodajská platforma / threat intelligence|Sledovanie a varovanie o plánovaných útokoch, uniknutých dátach a spravodajská platforma pre doplnenie detailov pre indikátory útokov|počet|0|1|(((

340

Existencia centralizovanej platformy napojenej na Risk Management, attack surface, a exposure management, Vulnerability management, a iné nástroje infraštruktúry

Čas plnenia:

V rámci udržateľnosti projektu

345

)))|výstup

346

|8|4.|Fyzická bezpečnosť siete|Nástroj pre centrálnu správu nastavenia a auditovania portov, pripojiteľnosti zariadení|počet|0|1|(((

347

Existencia nástroja v prosredí a reporty o aktívnych portoch

Čas plnenia:

V rámci udržateľnosti projektu

352

)))|Výstup

353

|9|2.|Incident respose|Kontrakt pre eskaláciu problémov v prípade núdze|počet|0|1|(((

354

Zabezpečenie eskalačného kontraktu pre riešenie pokročilých kybernetických hrozieb a audit prostredia

Čas plnenia:

V rámci udržateľnosti projektu

)))|výstup

| | | | | | | | |

Tabuľka 5 Merateľné ukazovatele

363

364

365

== {{id name="_Toc152607312"/}}{{id name="_Toc1937275886"/}}{{id name="_Toc741126126"/}}{{id name="_Toc1465086354"/}}{{id name="_Toc1808286414"/}}{{id name="_Toc773473969"/}}{{id name="_Toc1151283522"/}}{{id name="_Toc1993493887"/}}{{id name="_Toc2086720991"/}}{{id name="_Toc484272872"/}}{{id name="_Toc1278737203"/}}{{id name="_Toc325672769"/}}{{id name="_Toc152607311"/}}{{id name="_Toc152607309"/}}3.6 Špecifikácia potrieb koncového používateľa ==

366

367

Predmetom projektu nie je vývoj ani rozvoj informačných systémov verejnej správy (ISVS) či elektronických služieb s grafickým alebo iným používateľským rozhraním, ktoré by boli určené pre občanov, podnikateľov alebo koncových používateľov. MinCRS SR má povinnosť ako správca informačného systému verejnej správy zabezpečiť kybernetickú a informačnú bezpečnosť. Pre koncových používateľov je dôležité, aby boli poskytované služby bezpečné a dostupné.

368

369

Projekt sa zameriava na implementáciu technickej a bezpečnostnej infraštruktúry, bez zásahu do biznisovej a aplikačnej časti informačných systémov. Zároveň projekt počíta s obstaraním krabicových počítačových programov vrátane príslušných licencií, ktoré už disponujú „štandardizovaným grafickým rozhraním“ zhotoviteľa, ktoré budú využívať poverení zamestnanci MinCRS SR. Z uvedených dôvodov nie je potrebné definovať nové požiadavky pre koncových používateľov.

370

371

Je však potrebné uviesť, že z pohľadu špecifikácie potrieb koncového používateľa, v tomto prípade je primárnym koncovým používateľom administrátor IT, manažér KB, sekundárne zamestnanci MinCRS SR a terciárne FO/PO ako subjekty využívajúce poskytované služby ISVS, je elementárnou potrebou zabezpečiť minimalizovanie výpadkov prevádzky ISVS z dôvodu kybernetických útokov.

372

373

== {{id name="_Toc152607313"/}}{{id name="_Toc198641823"/}}{{id name="_Toc1446281799"/}}{{id name="_Toc1842310707"/}}{{id name="_Toc1163807533"/}}{{id name="_Toc916545230"/}}{{id name="_Toc521854426"/}}{{id name="_Toc498488475"/}}{{id name="_Toc1758750743"/}}{{id name="_Toc207777217"/}}{{id name="_Toc936389862"/}}{{id name="_Toc1446163721"/}}3.7 Riziká a závislosti ==

374

375

Zoznam rizík a závislostí je špecifikovaný v samostatnej prílohe **I-02 Zoznam rizík a závislostí, **ktorá je neoddeliteľnou súčasťou tohto projektového zámeru. Zoznam rizík a závislostí bude počas aktualizovaný počas celej realizačnej etapy projektu.

376

377

== {{id name="_Toc152607315"/}}{{id name="_Toc1793724252"/}}{{id name="_Toc1466175488"/}}{{id name="_Toc1609225226"/}}{{id name="_Toc1296717251"/}}{{id name="_Toc1633501589"/}}{{id name="_Toc1315070395"/}}{{id name="_Toc1675606855"/}}{{id name="_Toc577492669"/}}{{id name="_Toc1200979875"/}}{{id name="_Toc248627913"/}}{{id name="_Toc1580551965"/}}{{id name="_Toc47815698"/}}{{id name="_Toc521508979"/}}3.8 Stanovenie alternatív v biznisovej vrstve architektúry ==

378

379

V rámci biznisovej vrstvy architektúry sme analyzovali tri varianty riešenia súčasného stavu. Na základe rozsahu problému identifikovaného v projektovom zámere boli navrhnuté tri alternatívne prístupy. Ako najefektívnejšia bola zvolená Alternatíva č. 2, ktorá komplexne pokrýva všetky procesy a požiadavky zainteresovaných strán (stakeholderov) a poskytuje ucelené riešenie celej problematiky. Nižšie sa nachádzajú alternatívy, ktoré reflektujú hlavné ciele a motiváciu pre realizáciu projektu v zmysle jednotlivých aspektov uvedených v rámci motivácie. Vo všeobecnosti sú pre všetky vrstvy možné nasledovné všeobecné alternatívy:

380

381

* **Alternatíva 1:** Ponechanie aktuálneho stavu,

382

* **Alternatíva 2:** Implementácia navrhovaných opatrení,

383

* **Alternatíva 3:** Implementácia čiastkových opatrení pomocou vlastných možností a OpenSource riešení.

384

385

=== 3.8.1 Alternatíva 1 – Ponechanie súčasného stavu ===

386

387

Táto alternatíva zahŕňa zachovanie aktuálneho stavu kybernetickej a informačnej bezpečnosti MinCRS SR bez prijatia ďalších opatrení. Súčasný stav odráža existujúce bezpečnostné mechanizmy a infraštruktúru a ich rozsah nezodpovedá komplexnému požadovanému rozsahu, ktorý vyplýva zo zákona č. 69/2018 Z. z. a zákona č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov v znení neskorších predpisov (ďalej len “zákon č. 95/2019 Z. z. “).

388

389

Dôsledky zachovania súčasného stavu:

390

391

* Ponechanie existujúceho stavu by znamenalo naďalej neplnenie zákonných povinností a nesúlad s povinnosťami vyplývajúcimi najmä zo zákona č. 69/2018 Z. z a zákona č. 95/2019 Z. z.

392

* Nedostatočná odolnosť voči kybernetickým útokom. Súčasné opatrenia by naďalej nezabezpečovali dostatočnú ochranu pred narastajúcimi hrozbami a sofistikovanými kybernetickými útokmi. To zvyšuje riziko narušenia informačných systémov a potenciálnych strát údajov, ekonomických alebo materiálnych škôd, prípadne poškodenie dobrého mena.

393

* Zraniteľná infraštruktúra, ohrozenie údajov a prevádzky. Súčasné bezpečnostné opatrenia sú nedostatočné, čo môže viesť k ďalším problémom pri správe a prevádzke IT.

394

* Zvyšujúce sa náklady v budúcnosti. Ignorovanie súčasného nedostatočného pokrytia bezpečnostnými opatreniami môže viesť k závažnejším kybernetickým bezpečnostným incidentom, ktorých riešenie bude nákladnejšie a časovo náročnejšie.

**Výhody:**

* Nulové počiatočné investície

399

400

Nevyžadujú sa žiadne nové finančné výdavky na implementáciu technických opatrení alebo nástrojov.

**Nevýhody:**

* Zvýšené riziko kybernetických bezpečnostných incidentov s vážnymi dopadmi na plynulosť prevádzky IT dostupnosť sietí a informačných systémov .

405

* Nesplnenie zákonných povinností, čo môže viesť k sankciám.

406

* Negatívny vplyv na reputáciu MinCRS SR v prípade vzniku a medializácie kybernetického bezpečnostného incidentu alebo úniku dát.

407

408

=== 3.8.2 Alternatíva 2 – Implementácia navrhovaných technických opatrení ===

409

410

Táto alternatíva predstavuje systémové a komplexné riešenie zamerané na implementáciu moderných technických opatrení, ktoré zvýšia úroveň kybernetickej a informačnej bezpečnosti MinCRS SR. Ide o riešenie, ktoré zahŕňa zavedenie pokročilých technológií, ako je systém na riadenie a evidenciu prístupov, inventarizáciu, ochranu a kontrolu zariadení, ochranu údajov pred neautorizovaným prístupom, odcudzením a zneužitím, SIEM (Security Information and Event Management) pre identifikovanie a analyzovanie bezpečnostných udalostí, vulnerability scanner na detekciu zraniteľností na všetkých prvkoch infraštruktúry, ochranu záloh pred neautorizovanou obnovou a iných ochranných technológií.

411

412

Zmena stavu dôsledkom implementácie navrhovaných technických opatrení:

413

414

* Zvýšenie súladu s požiadavkami na kybernetickú a informačnú bezpečnosť. Implementáciou tejto alternatívy dôjde k splneniu významnej časti povinností vyplývajúcich zo zákona č. 69/2018 Z. z. a zákona č. 95/2019 Z. z., čím sa odstránia nesúlady zistené najmä auditom kybernetickej bezpečnosti.

415

* Zvýšená odolnosť proti kybernetickým útokom. Systémové opatrenia a technológie zvyšujú celkovú odolnosť voči rôznym kybernetickým hrozbám, či už ide o malvér, phishingové útoky alebo iné formy kybernetických útokov.

416

* Zvýšená bezpečnosť dát a infraštruktúry. Identifikácia a hodnotenie zraniteľností, modernizovaná bezpečnosť pri prevádzke informačných systémov a sietí s funkciami jednotnej ochrany pred hrozbami a ďalšie bezpečnostné mechanizmy zabezpečia ochranu údajov.

**Výhody:**

* Zvýšenie bezpečnosti infraštruktúry. Komplexné technické riešenie prinesie vysokú úroveň ochrany.

421

* Prevencia pred kybernetickými bezpečnostnými incidentmi. Efektívne riadenie a monitorovanie bezpečnostných hrozieb a kybernetických bezpečnostných incidentov v reálnom čase pre odhalenie útokov zvonku aj zvnútra.

422

* Dlhodobé úspory. Investícia do komplexného riešenia znižuje budúce náklady spojené s riešením potenciálnych kybernetických bezpečnostných incidentov alebo sankcií za nesplnenie zákonných požiadaviek.

**Nevýhody:**

* Vyššie počiatočné investície. Táto alternatíva si vyžaduje značné finančné a personálne zdroje na implementáciu nových technických riešení.

427

* Dlhšie implementačné obdobie. Kompletné zavedenie systémov môže trvať určitý čas, počas ktorého je potrebné zabezpečiť priebežnú ochranu.

428

429

=== 3.8.3 Alternatíva 3 – Implementácia čiastkových opatrení pomocou vlastných možností a OpenSource riešení ===

430

431

Táto alternatíva predpokladá implementáciu iba čiastkových technických opatrení s využitím dostupných riešení typu OpenSource a vlastných technických kapacít MinCRS SR. Riešenie by sa zameriavalo len na kritické oblasti a nešlo by o komplexný systémový prístup. Technické opatrenia by boli implementované postupne, s využitím existujúcich možností a kapacít. Doba implementácie by bola príliš dlhá.

432

433

Dôsledky implementácie čiastkových opatrení pomocou vlastných možností a OpenSource riešení:

434

435

* Čiastočné zlepšenie kybernetickej bezpečnosti. Aj keď dôjde k zlepšeniu zabezpečenia infraštruktúry, toto riešenie nebude pokrývať všetky oblasti. Môže preto vzniknúť nerovnomerná ochrana v rôznych častiach IT MinCRS SR.

436

* Nedostatočné odstránenie nesúladov z auditu kybernetickej bezpečnosti. Táto alternatíva by v krátkej dobe nezabezpečila zvýšenú zhodu so zákonnými povinnosťami, čím by zostali niektoré povinnosti aj naďalej nesplnené. Naďalej pretrváva riziko udelenia sankcií.

437

* Obmedzené zlepšenie odolnosti proti kybernetickým útokom. Postupné a čiastkové riešenia by nezaručili úplnú ochranu, najmä v prípade vysoko sofistikovaných kybernetických útokov.

**Výhody:**

* Nižšie náklady na implementáciu. Využitie OpenSource riešení a vlastných kapacít znamená nižšie počiatočné investície avšak OpenSourse si rovnako bude vyžadovať náklady spojené s poskytovaním podpory a interné kapacity ľudských zdrojov na jeho udržiavanie a upravovanie na potreby MinCRS SR a nové bezpečnostné hrozby, ktoré sa dynamicky menia.

442

* Rýchlejšia implementácia niektorých opatrení. Vzhľadom na použitie dostupných nástrojov môžu byť niektoré opatrenia zavedené rýchlejšie.

**Nevýhody:**

* Nízka efektivita v dlhodobom horizonte. Čiastočné riešenia nemusia zabezpečiť dostatočnú ochranu IT a je vyšší predpoklad vzniku kybernetického bezpečnostného incidentu, čo môže viesť k vyšším nákladom na riešenie kybernetických bezpečnostných incidentov.

447

* Riziko neefektívnosti. OpenSource riešenia nemusia byť komplexné, dostatočne spoľahlivé alebo kompatibilné s ostatnými systémami, čo môže viesť k prevádzkovým problémom.

448

* Nesplnenie zákonných povinností. Nepokrytie všetkých požiadaviek znamená pretrvávajúce riziko udelenia sankcií.

449

450

== {{id name="_Toc152607316"/}}{{id name="_Toc272880027"/}}{{id name="_Toc1555402845"/}}{{id name="_Toc202773756"/}}{{id name="_Toc184325397"/}}{{id name="_Toc668554681"/}}{{id name="_Toc1254416069"/}}{{id name="_Toc1027950788"/}}{{id name="_Toc1148271670"/}}{{id name="_Toc113941326"/}}{{id name="_Toc531942663"/}}{{id name="_Toc154507425"/}}3.9 Multikriteriálna analýza ==

451

452

453

Stakeholders pre multikriteriálnu analýzu:

454

455

Interní užívatelia: využívajúce prístup k interným aplikáciám. Systém musí chrániť komunikačnú vrstvu, zabezpečiť prístup k dátam iba povolenou cestou pre overenú identitu.

456

457

Administrátori: zabezpečujúci integritu dát a stablitu systémov. Dáta musia byť chránené pred administrátormi, ktorí sú zodpovední za riešenie a systémy, nemusia mať však prístup k citlivým údajom.

458

459

Externí užívatelia: ich dáta sú spracovávané. V rámci prístupu k dátam je potrebné zabezpečiť ich ochranu pred insider threats, ako aj pred neznámymi vektormi. V prípade odcudzenia dát potrebujeme zabezpečiť OOB šifrovanie (v prípade odcudzenia dát budú nečitateľné)

460

461

Ministerstvo ako celok: garantujúce kvalitu dát a dostupnosť služieb

462

463

Externí administrátori: dodávky expertných činností pre jednotlivé aplikačné celky. Administrátori nemusia mať prístup k čitateľným dátam, pri zmene externého dodávateľa nie nutná rotácia kľúčov a rešifrovanie celého prostredia.

464

465

Kontrolná jednotka CSIRT, NBÚ, eskalační experti: analýza a vyšetrovanie útokov na základe kvalitných metadát a logov z prostredia. Jednoduché hľadanie súvislostí a korelovanie záznamov z viacerých bezpečnostných nástrojov a aplikácií samotných.

466

467

{{id name="_Toc152607317"/}}{{id name="_Toc2141037501"/}}{{id name="_Toc305797393"/}}{{id name="_Toc757025235"/}}{{id name="_Toc799792984"/}}{{id name="_Toc1320898353"/}}{{id name="_Toc662890955"/}}{{id name="_Toc2002161453"/}}{{id name="_Toc463175707"/}}{{id name="_Toc660959900"/}}{{id name="_Toc1051940062"/}}{{id name="_Toc1081082045"/}}{{id name="_Toc47815700"/}}{{id name="_Toc521508981"/}}(% style="color:inherit; font-family:inherit; font-size:max(20px, min(24px, 12.8889px + 0.925926vw))" %)3.10 Stanovenie alternatív v aplikačnej vrstve architektúry

468

469

Aplikačná vrstva pozostáva z plánovaných 20 aplikácií, ktoré sú postupne nasadzované, ich primárne použitie je pre interné potreby a nie je plánované ich publikovať do internetu pre širokú verejnosť. Z tohto dôvodu chceme zabezpečiť aplikácie pomocou ZTNA a SASE princípu pre minimalizovanie rizika útoku, nezaoberáme sa špecializovaným samoučiacim WAF alebo DDoS ochranou. Jednotlivé komponenty aplikácií sú prevažne postavené alebo plánované na využití microservices, čo znamená, že je nutné zabezpečiť integritu spojenia medzi jednotlivými službami.

470

471

Externé systémy nie sú pripojené k interným aplikáciám, nie je to však vylúčené v blízkej budúcnosti. Bezpečnostný systém ako celok navrhujeme tak, aby bolo možné tieto prepojenia realizovať aj medzi komponentami Cloud infraštruktúry, kde tradičné VPN riešenie je neefektívne.

Alternatívy zabezpečenia v aplikačnej vrstve:

476

477

478

**Alternatíva 1: ponechanie existujúceho riešenia**

479

480

Alternatíva je v rozpore so zákonom 69/2018 a jeho doplňujúcimi usmerneniami. V existujúcom stave nie je ministerstvo schopné zabezpečiť bezpečnosť dát naprieč systémami, odhaliť potenciálne riziko, predchádzať riziku na viacerých vrstvách (sieť), efektívne povoľovať prístup k aplikáciám a dátam pre užívateľov za perimetrom siete (filtrovanie spravovaných zariadení od nespravovaných), ako aj neschopnosť poskytnúť dostatočné dáta pre forenezné vyšetrovanie.

481

482

**Alternatíva 2: Implementácia navrhovaných technických opatrení**

483

484

Táto alternatíva predstavuje systémové a komplexné riešenie zamerané na implementáciu moderných technických opatrení, ktoré zvýšia úroveň kybernetickej a informačnej bezpečnosti MinCRS SR. Ide o riešenie, ktoré zahŕňa zavedenie pokročilých technológií, ako je systém na riadenie a evidenciu prístupov, inventarizáciu, ochranu a kontrolu zariadení, ochranu údajov pred neautorizovaným prístupom, odcudzením a zneužitím, SIEM (Security Information and Event Management) pre identifikovanie a analyzovanie bezpečnostných udalostí, vulnerability scanner na detekciu zraniteľností na všetkých prvkoch infraštruktúry, ochranu záloh pred neautorizovanou obnovou a iných ochranných technológií.

485

486

Zmena stavu dôsledkom implementácie navrhovaných technických opatrení:

487

488

* Zvýšenie súladu s požiadavkami na kybernetickú a informačnú bezpečnosť. Implementáciou tejto alternatívy dôjde k splneniu významnej časti povinností vyplývajúcich zo zákona č. 69/2018 Z. z. a zákona č. 95/2019 Z. z., čím sa odstránia nesúlady zistené najmä auditom kybernetickej bezpečnosti.

489

* Zvýšená odolnosť proti kybernetickým útokom. Systémové opatrenia a technológie zvyšujú celkovú odolnosť voči rôznym kybernetickým hrozbám, či už ide o malvér, phishingové útoky alebo iné formy kybernetických útokov.

490

* Zvýšená bezpečnosť dát a infraštruktúry. Identifikácia a hodnotenie zraniteľností, modernizovaná bezpečnosť pri prevádzke informačných systémov a sietí s funkciami jednotnej ochrany pred hrozbami a ďalšie bezpečnostné mechanizmy zabezpečia ochranu údajov.

Výhody:

* Zvýšenie bezpečnosti infraštruktúry. Komplexné technické riešenie prinesie vysokú úroveň ochrany.

495

* Prevencia pred kybernetickými bezpečnostnými incidentmi. Efektívne riadenie a monitorovanie bezpečnostných hrozieb a kybernetických bezpečnostných incidentov v reálnom čase pre odhalenie útokov zvonku aj zvnútra.

496

* Dlhodobé úspory. Investícia do komplexného riešenia znižuje budúce náklady spojené s riešením potenciálnych kybernetických bezpečnostných incidentov alebo sankcií za nesplnenie zákonných požiadaviek.

497

* Ručenie za funkčnosť riešenia a jeho aktualizácia a adaptácia na nové hrozby 3ťou stranou

498

* Nie je nutné mať vysoko kvalifikovaných expertov pre rozvoj a údržbu riešenia. Takýto experti nie sú ekonomicky udržateľní v rámci využiteľnosti na vnútorné potreby.

Nevýhody:

* Vyššie počiatočné investície. Táto alternatíva si vyžaduje finančné zdroje na implementáciu nových technických riešení.

503

* Kompletné zavedenie systémov môže trvať určitý čas, počas ktorého je potrebné zabezpečiť priebežnú ochranu.

504

505

**Alternatíva 3: Implementácia čiastkových opatrení pomocou vlastných možností a OpenSource riešení**

506

507

Táto alternatíva predpokladá implementáciu iba čiastkových technických opatrení s využitím dostupných riešení typu OpenSource a vlastných technických kapacít MinCRS SR. Riešenie by sa zameriavalo len na kritické oblasti a nešlo by o komplexný systémový prístup. Technické opatrenia by boli implementované postupne, s využitím existujúcich možností a kapacít. Doba implementácie by bola príliš dlhá.

508

509

Dôsledky implementácie čiastkových opatrení pomocou vlastných možností a OpenSource riešení:

510

511

* Čiastočné zlepšenie kybernetickej bezpečnosti. Aj keď dôjde k zlepšeniu zabezpečenia infraštruktúry, toto riešenie nebude pokrývať všetky oblasti. Môže preto vzniknúť nerovnomerná ochrana v rôznych častiach IT MinCRS SR.

512

* Nedostatočné odstránenie nesúladov z auditu kybernetickej bezpečnosti. Táto alternatíva by v krátkej dobe nezabezpečila zvýšenú zhodu so zákonnými povinnosťami, čím by zostali niektoré povinnosti aj naďalej nesplnené. Naďalej pretrváva riziko udelenia sankcií.

513

* Obmedzené zlepšenie odolnosti proti kybernetickým útokom. Postupné a čiastkové riešenia by nezaručili úplnú ochranu, najmä v prípade vysoko sofistikovaných kybernetických útokov.

Výhody:

* Nižšie náklady na implementáciu. Využitie OpenSource riešení a vlastných kapacít znamená nižšie počiatočné investície avšak OpenSourse si rovnako bude vyžadovať náklady spojené s poskytovaním podpory a interné kapacity ľudských zdrojov na jeho udržiavanie a upravovanie na potreby MinCRS SR a nové bezpečnostné hrozby, ktoré sa dynamicky menia.

518

* Rýchlejšia implementácia niektorých opatrení. Vzhľadom na použitie dostupných nástrojov môžu byť niektoré opatrenia zavedené rýchlejšie.

Nevýhody:

* Nízka efektivita v dlhodobom horizonte. Čiastočné riešenia nemusia zabezpečiť dostatočnú ochranu IT a je vyšší predpoklad vzniku kybernetického bezpečnostného incidentu, čo môže viesť k vyšším nákladom na riešenie kybernetických bezpečnostných incidentov.

523

* Riziko neefektívnosti. OpenSource riešenia nemusia byť komplexné, dostatočne spoľahlivé alebo kompatibilné s ostatnými systémami, čo môže viesť k prevádzkovým problémom.

524

* Nesplnenie zákonných povinností. Nepokrytie všetkých požiadaviek znamená pretrvávajúce riziko udelenia sankcií.

525

* Chýbajúca zábezpeka výrobcu, že dané riešenie bude inovované súbežne s vývojom nových hrozieb

526

* Potreba udržovať expertné pozície pre vývoj riešení

527

528

== {{id name="_Toc152607318"/}}{{id name="_Toc1308618109"/}}{{id name="_Toc1709724880"/}}{{id name="_Toc1118245238"/}}{{id name="_Toc416893103"/}}{{id name="_Toc1814703501"/}}{{id name="_Toc1969952445"/}}{{id name="_Toc1495260625"/}}{{id name="_Toc1603455053"/}}{{id name="_Toc245422461"/}}{{id name="_Toc1058442113"/}}{{id name="_Toc2040067840"/}}{{id name="_Toc47815701"/}}{{id name="_Toc521508982"/}}3.11 Stanovenie alternatív v technologickej vrstve architektúry ==

529

530

Pripojenie celej sieťovej infraštruktúry je prostredníctvom verejného internetu, v súčasnej dobe nemonitorované a dodatočne nechránené. Jediná ochrana prepoju medzi komponentami a sieťami je pomocou TLS spojení. Legacy systémy hostované v Azure a vládnom cloude sú chránené pomocou peer to site VPN, izolované štandardným firewallom poskytovaným v rámci Cloud prostredia. V prípade Azure hovoríme o statefull firewall. Pri existujúcom nasadený je iba obmedzený prehľad o dátových tokoch (v prostredí M365), nie sme schopní identifikovať insider threats. Na základe existujúcich bezpečnostných služieb, ktoré sú súčasťou M365 E5 je možné iba čiastočne identifikovať, resp. zabrániť úniku dát.

531

532

LAN sieť v centrálnej lokalite je chránená NG FW s implementovanou mikrosegmentáciou pre hosting serverových služieb v interných priestoroch. Je tu absencia centralizovaného IPAM, DNS security, DHCP security, 802.1x. Fyzická bezpečnosť portov a prestupových pravidiel je bez možnosti auditu a potrebnej centralizácie.

533

534

= {{id name="_Toc152607319"/}}{{id name="_Toc235638817"/}}{{id name="_Toc2038485909"/}}{{id name="_Toc1889369710"/}}{{id name="_Toc54886926"/}}{{id name="_Toc472227250"/}}{{id name="_Toc1379517775"/}}{{id name="_Toc540855301"/}}{{id name="_Toc1475201524"/}}{{id name="_Toc1214716058"/}}{{id name="_Toc240714683"/}}{{id name="_Toc476051484"/}}{{id name="_Toc47815703"/}}4. POŽADOVANÉ VÝSTUPY (PRODUKT PROJEKTU) =

535

536

* Projektové výstupy v zmysle vyhlášky 401/2023 o riadení projektov

537

* (CASB, ZTNA, DLP, WAF) implementovaná ochrana prístupov k internetu, ochrana internetových aplikácií, správa prístupov k aplikáciám, sledovanie toku dát a ochrana pred odcudzením na základe kontextu a klasifikácie

538

* (HSM, KMS, HYOK) implementované nástroje na ochranu a distribúciu šifrovacích kľúčov pre technické zamedzenie neautorizovanému prístupu k dátam

539

* (SIEM, XDR) implementované nástroje pre centrálnu evidenciu logov z informačných systémov a zavedené procesy pre vyhodnocovanie podozrivých alebo potenciálne nebezpečných aktivít

540

* (Exposure, Risk, Vulnerability, CIAM) implementované nástroje a zavedené procesy pre posudzovanie a kategorizáciu potenciálnych rizík, vrátane správy zraniteľností, aplikačného testovania, a korektnej konfigurácie cloud prostredí a prístupov

541

* (Threat Intelligence, IoC, Supply Chain) implementované nástroje a zavedené procesy na preverovanie bezpečnosti dodávateľského reťazca, integráciu známych bezpečnostných hrozieb a charakteristík do interných bezpečnostných nástrojov, zisťovanie a odhaľovanie potenciálnych plánovaných útokov, zisťovanie a dokazovanie zneužitia mena a prípadných únikov dát

542

* (IPAM, 802.1x) implementované zabezpečenie základných sieťových služieb v heterogénnom prostredí pre DNS, DHCP, IPAM, 802.1X, physical port security

543

* implementované incident response, remediation a auditné služby a procesy

544

* rozšírenie výpočtového výkonu hypervisorovej farmy pre potreby nasadzovaných security technológií

545

* vypracovaný bezpečnostný projekt pre zmapovanie prostredia, zavedenie procesov a politík

546

547

= {{id name="_Toc982854671"/}}{{id name="_Toc744122543"/}}{{id name="_Toc1493751813"/}}{{id name="_Toc452731307"/}}{{id name="_Toc1695646942"/}}{{id name="_Toc534841930"/}}{{id name="_Toc654836100"/}}{{id name="_Toc1570812277"/}}{{id name="_Toc1016816405"/}}{{id name="_Toc609127555"/}}{{id name="_Toc1888607264"/}}{{id name="_Toc47815704"/}}5. NÁHĽAD ARCHITEKTÚRY =

548

549

[[image:1735579792213-181.png]]

550

551

Existujúce prostredie je umiestnené vo verejnom cloude, vládnom cloude a vo vlastných priestoroch (1 lokácia). Dominantná platforma z pohľadu počtu aplikácií, jednoduchosti a efektívnosti rozvoja je zvolená Microsoft Azure a Microsoft 365, pričom väčšina aplikácií je založená na princípe Cloud Native Appliactions & Microservices. Aplikácia ISšport je naviazaná na externé vstupy z CSRU a GP, preto je umiestnená v prostredí vládneho cloudu a prepojená prostredníctvom GOVNET siete. Celý tento aplikačný celok je izolovaný od ostatných aplikácií alebo verejného internetu.

552

553

Technologická architektúra sa oproti súčasnému stavu nemení a bude prevádzkovaná v rovnakom technologickom prostredí. Technologická vrstva budúceho stavu vychádza zo súčasného stavu a bude podporená novými nasadenými bezpečnostnými nástrojmi prevádzkovanými na viacerých technológiách. To znamená, že existujúci stav postavený na princípe dostupnosti prostredníctvom verejného internetu bude zachovaný a chceme implementovať bezpečnostné nástroje pre efektívne obmedzenie komunikácie. Takto zachovaná decentralizácia z pohľadu hostingu služieb a pripojení je efektívna pre jednoduché sťahovanie funkčných celkov a dáva možnosti optimalizácie nákladov, ako postupné navyšovanie výkonu podľa aktuálnych potrieb v čase.

554

555

[[**Šifrovanie, zabezpečenie a management šifrovacích kľúčov**>>image:Encryption.png||alt="key_management_encryption"]]

556

557

558

[[**Fyzická sieťová bezpečnosť**>>image:NW_physical_security.png||alt="physical_network_security"]]

559

560

561

[[**Sieťová bezpečnosť**>>image:NW_security.png||alt="network_security"]]

562

563

564

[[**Identifikácia a management hrozieb a útokov**>>image:xdr_ti_soar.png||alt="xdr_ti_soar"]]

Zhodnotenie existujúceho stavu bezpečnostnej architektúry a návrh požadovaného rozšírenia:

569

570

|**Existujúce riešenie Microsoft 365 E5**|**Požadované rozšírenie:**|(% style="width:679px" %)**Poznámka**|(% style="width:251px" %)**Legislatívna úprava**

571

|Microsoft Entra ID P2 (IAM + MFA)| |(% style="width:679px" %)Plne vyhovujúce požiadavkám na centrálnu evidenciu účtov a zariadení. Microsoft Entra P2 + MFA je natívne využiteľné pre SAML a OpenID overovanie pre web aplikácie s tzv. Modern Authentication, pričom rozšírenie o Microsoft NPS server umožňuje použitie RADIUS protokolu pre legacy aplikácie (napr. VPN)|(% style="width:251px" %)(((

572

ZoKB 69/2018, § 20 ods. 3 písm, c.

573

574

ZoKB 69/2018, § 20 ods. 3 písm, h.

Dora ch.12, 13, 17

NIS2 A: 5,10

)))

|Microsoft Defender for Endpoint|ZTNA, CASB|(% style="width:679px" %)Antivírus dostupný pre Windows, Linux, Android, iOS. Podporovaná je aj aplikačná izolácia pomocou work profile s absenciou NGFW služieb na klientskej strane. Vážne nedostatky bez ZTNA prístupu kontrolujúceho spojenie a doplňujúce URLF sú napríklad fileless útoky napr. na úrovni IPS. Nutné je rozšírenie existujúceho riešenia o NG FW služby pre aktívny Web protection a browser isolation.|(% style="width:251px" %)(((

581

ZoKB 69/2018, § 20 ods. 3 písm, f.

Dora ch.14

NIS2 A: 5, 15

)))

|Microsoft Defender XDR|SIEM a SOAR riešenie|(% style="width:679px" %)Existujúce riešenie je viazané iba na služby M365 bez dodatočnej možnosti integrácie 3rd party nástrojov pre audit a rozšírenú automatizáciu externých vendorov|(% style="width:251px" %)(((

588

ZoKB 69/2018, § 20 ods. 3 písm, e.

589

590

ZoKB 69/2018, § 20 ods. 3 písm, j.

NIS2 A: 5, 6

)))

|Microsoft Defender for Identity| |(% style="width:679px" %)Plne vyhovujúce riešenie|(% style="width:251px" %)(((

595

ZoKB 69/2018, § 20 ods. 3 písm, e.

Dora ch.4

NIS2 A: 5,10

)))

|Microsoft Defender for Cloud Apps|ZTNA, CASB|(% style="width:679px" %)Existujúce riešenie má viditeľnosť pre SaaS riešenia v rámci M365 integrácie, nerieši externé prostredie Azure, legacy systémy, vládny cloud, integrácie na microservisy z 3tích strán, nemá v bezpečnostné kontroly proti škodlivému kódu (IPS, antimalware, antibot, DNS protection, URL filtering, WAF)|(% style="width:251px" %)(((

602

ZoKB 69/2018, § 20 ods. 3 písm, f.

603

604

ZoKB 69/2018, § 20 ods. 3 písm, e.

605

606

Dora ch.13, 14, 15, 17

NIS2 A: 5,10, 15

)))

|Microsoft Defender for Office 365|DLP|(% style="width:679px" %)Dostatočná ochrana pre Email, MS-Teams, Sharepoint. s absenciou DLP zabraňujúcemu úniku dát za pomoci sofistikovanejších metód. |(% style="width:251px" %)(((

611

ZoKB 69/2018, § 20 ods. 3 písm, e.

Dora ch.13

NIS 2 A: 5, 9

)))

|Information Protection and Governance|HSM, KMS|(% style="width:679px" %)Ochrana je výhradne v rámci M365 prostredia, bez dodatočnej kryptografie. Pri rozšírení služieb o Azure Vault nie je zabezpečená dátová suverenita, pretože kľúče aj dáta sú spravované jedným subjektom.|(% style="width:251px" %)(((

618

ZoKB 69/2018, § 20 ods. 3 písm, i.

619

620

ZoKB 69/2018, § 20 ods. 3 písm, l.

621

622

Dora ch.11, 15, 16, 19

NIS 2 A 5, 10

)))

|Microsoft Purview eDiscovery|CASB, DLP|(% style="width:679px" %)Iba čiastočne vyhovujúce riešenie, zamerané výhradne na prostredie M365. Je nutné rozšíriť viditeľnosť a smerovanie dát aj mimo prostredia M365 do externých systémov. PurView eDiscovery je čiastočné riešenie pre komplexnejšie DLP.|(% style="width:251px" %)(((

627

ZoKB 69/2018, § 20 ods. 3 písm, l.

Dora ch.13, 15

NIS2 A: 15

)))

|Microsoft Purview Insider Risk Management|DLP|(% style="width:679px" %)Nevyhovujúce riešenie, ktoré nepokrýva Android klientov (cca 40% zariadení). Riešenie má výrazné kvalitatívne nedostatky, kde medzi hlavné patrí nefunkčnosť klienta v offline režime (teda nie je to aktívna ochrana na koncových zariadeniach), alebo ignorovanie kompresovaných dát v druhej úrovni. Samotné riešenie neefektívne vyhodnocuje potenciálne hrozby, umožňuje obmedzenie prístupu k dátam iba na úrovni conditional access namiesto napr. podmienej kryptografie|(% style="width:251px" %)(((

634

ZoKB 69/2018, § 20 ods. 3 písm, j.

635

636

ZoKB 69/2018, § 20 ods. 3 písm, l.

Dora ch.14, 15

NIS2 A 5, 9

)))

|Endpoint analytics proactive remediation| |(% style="width:679px" %)Dostatočné riešenie|(% style="width:251px" %)(((

643

ZoKB 69/2018, § 20 ods. 3 písm, e.

NIS2 A 5, 9

)))

|Windows Autopatch| |(% style="width:679px" %)Akceptované riešenie s vážnymi nedostatkami na detekciu a reportovanie existujúcich zraniteľností, obmedzená funkcionalita pre patch management výrobcov tretích strán, obmedzená multiplatformová podpora|(% style="width:251px" %)ZoKB 69/2018, § 20 ods. 3 písm, e.

648

|Windows Hello| |(% style="width:679px" %)Riešenie dostatočné,nevhodn0 bez PKI z hľadiska implementácie centralizácie správy kľúčov. Samotný Windows Hello for Business je natívne viazaný na FIDO2 alebo PKI, ktorá nie je súčasťou M365 E5. Vystavanie PKI nie je súčasťou tohto projektu, aj keď prostredie je pripravené na 802.1x, ktorú je možné naviazať na Azure CA zaistenú HSM/KMS a distribúciu cez SCEP prostredníctvom Intune. Samotný RADIUS na strane 802.1x overovania je na to prispôsobený v sekcii Port a Network security.|(% style="width:251px" %)(((

649

ZoKB 69/2018, § 20 ods. 3 písm, f.

650

651

Dora ch.12, 13, 16, 17

NIS2 A: 5,10

)))

|DirectAccess|ZTNA|(% style="width:679px" %)Riešenie supluje tradičný VPN koncentrátor bez pridanej hodnoty na čistotu spojenia (NG FW ochrany toku dát) Direct Access nie je použiteľný na prepoj microservisov v rámci SaaS aplikácií.|(% style="width:251px" %)(((

656

ZoKB 69/2018, § 20 ods. 3 písm, f.

657

658

ZoKB 69/2018, § 20 ods. 3 písm, l.

659

660

Dora ch.12, 14, 16, 17

NIS2 A: 5,10, 15

)))

|Mobile Device Management| |(% style="width:679px" %)Nevyhovujúce riešenie, ktoré však dopĺňajú dodatočné produkty v balíku (Intune + Defender)|(% style="width:251px" %)(((

665

ZoKB 69/2018, § 20 ods. 3 písm, e.

NIS 2 A 5, 9

)))

|Microsoft Intune| |(% style="width:679px" %)Vyhovujúce riešenie|(% style="width:251px" %)ZoKB 69/2018, § 20 ods. 3 písm, e.

670

|Microsoft Pureview Data Loss Prevention (for email and files)|DLP|(% style="width:679px" %)Nevyhovujúce riešenie obmedzené iba na únik dát z prostredia M365. Pre DLP je nutné mať všetky vrstvy (SaaS, Cloud, Endpoint, Network) v jednom konsolidovanom prostredí s centrálnou identifikáciou hrozieb.|(% style="width:251px" %)(((

671

ZoKB 69/2018, § 20 ods. 3 písm, l.

Dora ch.15, 18

NIS2 A5, 9

)))

|Credential Guard| |(% style="width:679px" %)Vyhovujúce riešenie|(% style="width:251px" %)

678

|Device Guard| |(% style="width:679px" %)Vyhovujúce riešenie|(% style="width:251px" %)

679

|Microsoft Security and Compliance Center|Exposure and Risk Management|(% style="width:679px" %)Nevyhovujúce riešenie aplikovateľné iba pre M365 platformu a spravované zariadenia. V rámci centralizácie je nutné vykryť všetky legacy systémy v každom prostredí, ako aj 3rd party SaaS aplikácie a ich vzájomné prepojenia. V rámci služby je chýbajúca kontinuálna kontrola na potenciálne exploity pre jednotlivé zariadenia a aplikácie, ako aj centrálny audit využiteľnosti práv a prístupov, kompletne absentujúca je dokumentácia kritickej cesty pre potenciálne zraniteľnosti alebo zneužitia systémov. Z pohľadu nekompletnosti vstupov nie je možné efektívne vypracovávať analýzu funkčného dopadu.|(% style="width:251px" %)(((

680

ZoKB 69/2018, § 20 ods. 3 písm, b.

681

682

ZoKB 69/2018, § 20 ods. 3 písm, d.

683

684

ZoKB 69/2018, § 20 ods. 3 písm, k.

Dora ch.2, 3, 4, 20

NIS2 A: 5,6,15

)))

| |Threat Intelligence|(% style="width:679px" %)Spravodajské služby pre zisťovanie existujúcich únikov dát, účtov, napodobňovaniu VIP osôb, spoofingu domén, preverovanie externých dodávateľov, Platforma pre správu externých hrozieb, plánovaných útokov a prípadných remediačných služieb pre verejný internet, alebo TakeDown služieb, služby monitorovanie Deep a Dark webu.|(% style="width:251px" %)(((

691

ZoKB 69/2018, § 20 ods. 3 písm, d.

692

693

ZoKB 69/2018, § 20 ods. 3 písm, k.

Dora ch.5, 6, 10, 20

NIS2 A: 5, 15

)))

| |DAST development|(% style="width:679px" %)Kontinálne vyhodnocovanie a testovanie kódu web aplikácií z pohľadu bezpečnosti a doporučených best practicies na základe minimálne OWASP framework.|(% style="width:251px" %)(((

700

ZoKB 69/2018, § 20 ods. 3 písm, d

Dora ch.3.

NIS2 A: 5, 15

)))

| |IoC management|(% style="width:679px" %)Chýbajúca tvorba vlastných Indicator of Compromise feeds, alebo import existujúcich IoC z overených zdrojov. Preverovanie podozrivých indikátorov na základe existujúcich IoC tretích strán|(% style="width:251px" %)(((

707

ZoKB 69/2018, § 20 ods. 3 písm, d.

Dora ch. 18

NIS2 A: 5, 15

)))

| |Physical NW security|(% style="width:679px" %)Posilnenie dôveryhodnosti zariadení v rámci Intune + Device certifikáty a aplikovanie 802.1x na úrovni PKI pre pripojenie na WIFI alebo do fyzického portu (samotná CA infraštruktúra nie je predmetom tohto projektu). Aplikovanie centralizovaného mechanizmu pre nastavenie port security na switchoch, ktoré povoľujú komunikáciu pre zariadenie nekompatibilné z 802.1x štandardom, centralizovaný IP address management, ako aj vlastný DNS a DHCP server (nie je implementovaný Microsoft Networking, pretože celá infraštruktúra je cloud native v rámci Microsoft Entra a hybridný setup by bola komplikácia existujúceho stavu)|(% style="width:251px" %)(((

714

ZoKB 69/2018, § 20 ods. 3 písm, f.

715

716

ZoKB 69/2018, § 20 ods. 3 písm, k.

Dora ch.13, 14

NIS2 A: 5, 9, 15

)))

| |Incident Response|(% style="width:679px" %)V rámci podpory pre všetky služby je zahrnutý „BreakFix“, čiže obnovenie operačnej prevádzky služby. Je nutné mať zakontrahované služby externého doávateľa pre vykonanie nezávislého auditu a riešenie kritických incidentov, ktoré vyplývajú z korelovaných zozbieraných dát (napríklad insider threats, ransomware multivektor attack, spear phishing), ako aj obnova služieb samotného rezortu a poskytovanie hĺbkoých forenzných vyšerovaní pre kritické prípady ohrozenia prevdzky alebo jej výpadku.|(% style="width:251px" %)(((

723

ZoKB 69/2018, § 20 ods. 3 písm, j.

724

725

ZoKB 69/2018, § 20 ods. 3 písm, k.

Dora ch.10, 20

NIS2 A: 5, 6

)))

Požadovaný stav:

* (CASB, ZTNA, DLP, WAF) ochrana prístupov k internetu, ochrana internetových aplikácií, správa prístupov k aplikáciám, sledovanie toku dát a ochrana pred odcudzením na základe kontextu a klasifikácie

735

** Požadujeme nástroj, ktorý vie dodať aktívny URL filtering pre obmedzenie prístupu k nebezpečným alebo nemorálnym stránkam, phishingovým kampaniam alebo spoofovanému obsahu.

736

** Súčasťou riešenia musí byť izolácia prehliadača tak, aby nemohlo byť kompromitované zariadenie pri pokuse o návštevu nebezpečných stránok, ak je povolená výnimka (napr. pre potreby threat intelligence)

737

** riešenie musí pridať vrstvu bezpečnosti na úrovni NG FW (IPS, URLF, Content awareness) pre všetky zariadenia a platformy bez ohľadu na to, či sa nachádzajú na verejnom internete alebo v perimetri siete

738

** Technológia musí byť integrovateľná na Microsoft Entra pre overovanie identity za účelom ZTNA prístupu k CNAPP. Zo serverovej strany je nutné vyhodnocovať, či sa jedná prístup k firemným prostriedkom zo spravovaného zariadenia alebo generický prístup a na základe toho aplikovať pravidlá prístupu (napr. prístup na OWA je povolený bez možnosti stiahnuť dokumenty, vs prístup k OneDrive a Sharepoint bude zamietnutý)

739

** Publikované aplikácie musia byť chránené Web Aplikačným firewallom so základnou DDoS ochranou

740

** Na spravovaných zariadeniach ako aj na sieťovej úrovni musia byť aplikovateľné DLP nastavenia pre kontrolu a obmedzenie prístupu k dokumentom podľa klasifikácie.

741

* (HSM, KMS, HYOK) nástroje na ochranu a distribúciu šifrovacích kľúčov pre technické zamedzenie neautorizovanému prístupu k dátam

742

** je požadované zabezpečenie dátovej suverenity prostredníctvom on-prem HSM modulu, ktorý s nadstavbou pre KMS je schopný v Azure prostredí zabezpečiť BYOK do Azure Vault, pripadne HYOK v prostredí Azure blob encryption alebo M365 prostredníctvom Doble Key Encryption

743

** Key Management systém musí umožňovať centralizovanú správu kľúčov pre Legacy aplikácie, Transprent Encryption na úrovni filesystému s možnosťou Ransomware protection na základe identity užívateľa alebo servisu a procesu.

744

** Je nutná integrácia KMS servera na základe identity do SQL systémov ako aj CNAPP databáz a aplikácií pre kryptovanie štruktúrovaných dát

745

** KMS systém musí zabezpečovať tokenizáciu údajov minimálne prostredníctvom REAST API, vítaná je podpora C, .NET, Java SDK

746

** KMS server musí vedieť spravovať kľúče primárne pre Azure, sekundárne aj pre ďalšie nadnárodné cloud prostredia (AWS, GoogleCloud, ...) pre využitie multicloud prostredia do budúcna. Požadovaná je funkcionalita poskytovania kľúčov aj do vládneho cloud prostredia

747

** Nuntý je integrovaný systém v KMS pre rotáciou a versioning kľúčov, pričom dáta musia byť rešifrované bez obmedzenia dostupnosti, nikdy sa nemôžu nachádzať v systéme v nezakryptovanom stave.

748

* (SIEM, XDR) nástroj pre centrálnu evidenciu logov z informačných systémov a následné vyhodnocovanie podozrivých alebo potenciálne nebezpečných aktivít

749

** Nástroj pre centrálnu archiváciu logov z IT systémov, ktorý logy normalizuje pre účely efektívneho vyhľadávania a dodatočnej korelácie údajov

750

** Pravidlá pre detekciu korelačných pravidiel podľa MITRE ATTACK vektorov musí byť aktualizované pravidelne výrobcom s možnosťou doplnenia vlastných pravidiel a detekčných metód, a to aj na základe deviácie metrík.

751

** Integrácia s M365 auditnými logmi, Azure logmi

752

** Súčasťou produktu musí byť nástroj pre inšpekciu NW traffic

753

** Súčasťou produktu musí byť nástroj pre inšpekciu aktivít na serveroch a pracovných staniciach (Linux, Windows)

754

** Integrácia na 3rd party security vendorov a natívne porozumenie ich logom.

755

** Súčasťou musí produktu musí byť neobmedzená SOAR platforma s verejným market place pre doplňovanie integrácií na 3ťostranové bezpečnostné produkty

756

** Samotný nástroj musí umožňovať natívne komplexné DFIR analýzy minimálne za týždeň pred vznikom incidentu. Incidenty musia byt pre identitu alebo zariadenie zobrazene v časovej osi, kde musia byť viditeľné aj prislúchajúce SOAR akcie (remediačné, alebo automatické doplnenie dát)

757

* (Exposure, Risk, Vulnerability, CIAM) nástroj pre posudzovanie a kategorizáciu potenciálnych rizík, vrátane správy zraniteľností, aplikačného testovania, a korektnej konfigurácie cloud prostredí a prístupov.

758

** Nástroj pre správu zraniteľností s detailnou možnosťou reportovania trendov a nájdených detailov. Nástroj musí mať agenta pre efektívny sken, musí vykonávať bez sken bez agenta, musí umožniť kaskádovanie skenovacieho engine do jednotlivých prostredí alebo segmentov siete

759

** Nástroj zabezpečuje compliance management s preddefinovanými politikami minimálne podľa všeobecných CIS noriem

760

** Nástroj pre kontrolu bezpečnosti kódu a pravidelného DAST testovania s integrovaným portálom pre evidenciu zistení a ich následné odstraňovanie

761

** Nástroj pre detekciu exponovaných služieb do rôznych segmentov siete / internetu a ich zabezpečenia

762

** Nástroj pre evidenciu a vyhodnocovanie Posture management minimálne pre Azure cloud aplikácie ako aj samotnú Azure infraštruktúru. Nástroj v prípade identifikovania hrozieb musí robiť kategorizáciu hrozieb ako aj musí byť schopný vykresliť prípadnú attack path

763

** Nástroj pre CIAM evidenciu prav, prístupov a ich auditovanie s aktívnym upozorňovaním na nepoužívané účty, prípadne účty zo zmenou príznakov v čase (v náväznosti na atribúty Microsoft Entra účtov).

764

** Posture management a CIAM nástroj musí byť univerzálny s rovnakým názvoslovým pre využitie minimálne v AWS a Google Cloud

765

* (Threat Intell, IoC, Supply Chain) Nástroj na preverovanie bezpečnosti dodávateľského reťazca, integráciu známych bezpečnostných hrozieb a charakteristík do interných bezpečnostných nástrojov, zisťovanie a odhaľovanie potenciálnych plánovaných útokov, zisťovanie a dokazovanie zneužitia mena a prípadných únikov dát

766

** V náväznosti na identifikáciu rizík požadujeme nasadenie nástroja s prístupom k nezávislým 3ťostranovým IoC a ich prevzatie do interných bezpečnostných technológií

767

** Nástroj musí mať integrovaný portál pre evidenciu externých rizík a ich vyšetrovanie

768

** Nástroj musí prehľadávať deep web a dark web na prítomnosť citlivých informácií na základe kľúčových slov

769

** Nástroj musí generovať reporty pre ohodnocovanie rizík 3tej strany (jednorázové a pravidelné preverovanie externých dodávateľov)

770

** Nástroj musí identifikovať pokusy o zneužitie značky, VIP osôb alebo interných aplikácií a web portálov

771

* (IPAM, 802.1x) zabezpečenie základných NW služieb heterogénnom prostredí pre DNS, DHCP, IPAM, 802.1X, physical port security

772

** všetky komponenty v clustrovom prevedení pre vysokú dostupnosť. s exportom logov do centrálneho SIEM

773

** manažment cez web rozhranie pre všetky komponenty, vrátane reportingu a monitoringu

774

** DNS server, DHCP server s rozšírenými rezerváciami a auditným logovaním

775

** IPAM

776

** 802.1x (RADIUS server vrátane suplikanta) pre iOS, Android, MacOS, Linux, Windows

777

** Switch management s definiciou port rules, port protection, MAC restriction, Spanning tree definition, monitoring compliance nastavení pre jednotlivé porty,

778

** Network Access Control na úrovni automatizácie zapínania portov

779

* incident response, remediation a audit služba

780

** služba nezávislého dodávateľa pre audit prostredia, procesov

781

** identifikácia komplexného vektora útoku

782

** núdzová náprava škôd a zaistenia obnovy prevádzky

783

** Red teaming a preverovanie pripravenosti na útoky a schopnosť interne odhaliť prebiehajúci útok

784

** Kontrola a odporúčanie pre plány kritických situácii pre zastavenie prebiehajúcich útokov, zvrátenia útokov, minimalizovanie škôd

785

** Identifikácia insider threads z logov

786

* Zabezpečenie rozšírenia výpočtového výkonu hypervisorovej farmy pre potreby nasadzovaných security technológii

787

** rozšírenie VMware clustra o kompatibilný node tak, aby bol umožnený presun virtuálnych serverov medzi jednotlivými módmi bez výpadku (vMotion na základe CPU compatibility)

788

* Bezpečnostný projekt ISVS, podľa prílohy č. 3 vyhlášky UPVII č. 179/2020 Z. z. pre zmapovanie prostredia, zavedenie procesov a politík

789

** Školiace materiály pre MKB a technikov,

790

** riadenie kontinuity (BCP, BIA, DRP),

791

** management zraniteľností a incident management a pridružené procesy podľa ITIL/ITSM,

792

** klasifikácia informácií,

793

** bezpečnosť koncových prvkov,

794

** služby bezpečnostného architekta počas implementácie projektu.

795

796

== {{id name="_Toc152607321"/}}{{id name="_Toc823562243"/}}5.1 Prehľad e-Government komponentov ==

797

798

Súčasťou projekt nie je budovanie žiadneho e-Governmentového komponentu.

799

800

= {{id name="_Toc152607322"/}}{{id name="_Toc2133064951"/}}{{id name="_Toc146510989"/}}{{id name="_Toc1763044084"/}}{{id name="_Toc30446447"/}}{{id name="_Toc2101360933"/}}{{id name="_Toc825763386"/}}{{id name="_Toc1614333450"/}}{{id name="_Toc1269235670"/}}{{id name="_Toc2114332294"/}}{{id name="_Toc208969925"/}}{{id name="_Toc1427296716"/}}6. LEGISLATÍVA =

801

802

Projekt nevyžaduje úpravy všeobecne záväzných právnych predpisov na dosiahnutie stanovených cieľov a dodanie výstupov. V tejto časti sú uvedené všeobecne záväzné právne predpisy týkajúce sa informačných technológií vo verejnej správe, pričom zoznam nezahŕňa usmernenia a technické normy. Projekt sa bude riadiť aktuálne platnými právnymi predpismi, nariadeniami a ďalšími relevantnými právnymi normami.

803

804

* Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov v znení neskorších predpisov,

805

* Zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov v znení neskorších predpisov,

806

* Vyhláška Ministerstva investícií, regionálneho rozvoja a informatizácie Slovenskej republiky č. 401/2023 Z. z. Z. z. o riadení projektov a zmenových požiadaviek v prevádzke informačných technológií verejnej správy,

807

* Vyhláška Národného bezpečnostného úradu č. 362/2018 Z. z. ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení,

808

* Vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 179/2020 Z. z. ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy,

809

* SMERNICA EURÓPSKEHO PARLAMENTU A RADY (EÚ) 2022/2555 zo 14. decembra 2022 o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v Únii, ktorou sa mení nariadenie (EÚ) č. 910/2014 a smernica (EÚ) 2018/1972 a zrušuje smernica (EÚ) 2016/1148 (NIS 2)

810

* Zákon č. 18/2018 Z. z. o ochrane osobných údajov v znení neskorších predpisov

811

812

= {{id name="_Toc510413657"/}}{{id name="_Toc152607323"/}}{{id name="_Toc765633140"/}}{{id name="_Toc2047061689"/}}{{id name="_Toc1365902580"/}}{{id name="_Toc96771585"/}}{{id name="_Toc977817845"/}}{{id name="_Toc338302336"/}}{{id name="_Toc158422599"/}}{{id name="_Toc894533619"/}}{{id name="_Toc1336543996"/}}{{id name="_Toc1715202395"/}}{{id name="_Toc1402143762"/}}{{id name="_Toc47815706"/}}7. ROZPOČET A PRÍNOSY =

813

814

Rozpočet a vypočítané prínosy sú súčasťou samostatného dokumentu **M-05 Analýza nákladov a prínosov (CBA - Cost Benefit Analysis)** v predpísanej štruktúrovanej forme a v zmysle metodického pokynu k vypracovaniu CBA pre projekty nad 1milión EUR. Tento dokument je vyhotovený v tabuľkovom formáte a obsahuje podrobné prepočty nákladov a očakávaných prínosov projektu.

815

816

Z analýzy nákladov a prínosov (CBA) vyplýva tzv. High-level sumarizácia rozpočtu projektu, ktorá poskytuje prehľad o celkových predpokladaných výdavkoch a očakávaných prínosoch.

817

818

|Hrubý domáci produkt SR 2023|HDP na Slovensku za rok 2023 v bežných cenách. Zdroj štatistický úrad: http:~/~/datacube.statistics.sk/#!/view/sk/VBD_INTERN/nu0002qs/v_nu0002qs_00_00_00_sk|EUR|122 156 200 000 €

819

|Priemerné ročné ekonomické škody kybernetických útokov v EÚ|Ekonomické škody kybernetických útokov predstavujú 1% z HDP (priemerná hodnota). Zdroj: https:~/~/www.mcafee.com/blogs/other-blogs/executive-perspectives/the-hidden-costs-of-cybercrime-on-government/|%|1,00%

820

|Priemerný rast ekonomických škôd ročne|[[https:~~/~~/www.weforum.org/agenda/2024/01/cybersecurity-cybercrime-system-safety/>>url:https://www.weforum.org/agenda/2024/01/cybersecurity-cybercrime-system-safety/]]|%|50,00%

821

|Priemerný rast ekonomických škôd ročne GPSR|Vzhľadom na vyššie uvedené budeme pre MCRAS rátať výšky rastu ekonomickej škody len do výšky rastu štátneho rozpočtu pre MCRAS. Priemerný rast štátneho rozpočtu pre MCRAS je 5%.|%|6,00%

822

|Štátny rozpočet 2023|Zdroj: https:~/~/www.cenastatu.sk/km-sr-vm/2023/|EUR|35 040 600 000 €

823

|Štátny rozpočet MCRAS 2024|Zdroj: https:~/~/www.cenastatu.sk/km-sr-vm/2023/|EUR|240 000 000 €

824

|Priemerné ročné ekonomické škody kybernetických útokov MCRAS|Hodnota prepočítaná pomerom štátneho rozpočtu MCRAS k celkovém HDP|EUR|2 400 000 €

825

|Podiel škôd, ktorým projekt zabráni pri možných incidentoch|Prínos projektu v TOBE stave - expertný odhad (zabránenie škodám). Oblasti realizované projektom v oblasti zvýšenia bezpečnosti pokrývajú oblasti predovšetkým zabráneniu vzniku incidentu.|%|50,00%

826

827

(% style="width:815px" %)

828

|(% style="width:172px" %)**Náklady s DPH**|(% style="width:355px" %) |(% style="width:285px" %)** 7,855,236 €**

829

|(% style="width:172px" %)**IT - CAPEX**|(% style="width:355px" %) |(% style="width:285px" %)** 2,745,875 €**

830

|(% style="width:172px" %) |(% style="width:355px" %)Aplikácie|(% style="width:285px" %) 0 €

831

|(% style="width:172px" %) |(% style="width:355px" %)SW|(% style="width:285px" %) 2,390,046 €

832

|(% style="width:172px" %) |(% style="width:355px" %)HW|(% style="width:285px" %) 355,829 €

833

|(% style="width:172px" %)**IT - OPEX**|(% style="width:355px" %) |(% style="width:285px" %)** 5,003,089 €**

834

|(% style="width:172px" %) |(% style="width:355px" %)Aplikácie|(% style="width:285px" %) 0 €

835

|(% style="width:172px" %) |(% style="width:355px" %)SW|(% style="width:285px" %) 4,259,380 €

836

|(% style="width:172px" %) |(% style="width:355px" %)HW|(% style="width:285px" %) 743,709 €

837

|(% style="width:172px" %)Riadenie projektu|(% style="width:355px" %) |(% style="width:285px" %) 106,272 €

838

|(% style="width:172px" %)Výstupné náklady|(% style="width:355px" %) |(% style="width:285px" %) 0 €

839

|(% style="width:172px" %)**Prínosy**|(% style="width:355px" %) |(% style="width:285px" %)** 14,616,954 €**

840

|(% style="width:172px" %)Finančné prínosy|(% style="width:355px" %) |(% style="width:285px" %) 0 €

841

|(% style="width:172px" %) |(% style="width:355px" %)Administratívne poplatky|(% style="width:285px" %) 0 €

842

|(% style="width:172px" %) |(% style="width:355px" %)Ostatné daňové a nedaňové príjmy|(% style="width:285px" %) 0 €

843

|(% style="width:172px" %)**Ekonomické prínosy**|(% style="width:355px" %) |(% style="width:285px" %)** 14,616,954 €**

844

|(% style="width:172px" %) |(% style="width:355px" %)Občania (€)|(% style="width:285px" %) 0 €

845

|(% style="width:172px" %) |(% style="width:355px" %)Úradníci (€) |(% style="width:285px" %) 0 €

846

|(% style="width:172px" %) |(% style="width:355px" %)Úradníci (FTE)|(% style="width:285px" %) 0 €

847

|(% style="width:172px" %) |(% style="width:355px" %)Kvalitatívne prínosy|(% style="width:285px" %) 14,616,954 €

848

849

Kvalitatívne prínosy sú vyjadrené ako zníženie rizika možnej škody.

850

851

Interpretácia výsledkov:

852

853

Ekonomická a finančná efektívnosť projektu je v analýze prínosov nákladov projektu hodnotená kvantitatívne pomocou nasledujúcich ukazovateľov:

854

855

* Pomer prínosov a nákladov (BCR): 1,70

856

* Ekonomická vnútorná výnosová miera vyjadrená v % (EIRR): 57,0 %

857

* Ekonomická čistá súčasná hodnota vyjadrená v eurách (ENPV): 6 Ekonomická čistá súčasná hodnota vyjadrená v eurách (ENPV): 6 498 399

858

859

Pre účely financovania z prostriedkov EU vyjadruje Analýza nákladov a prínosov BC/CBA aj nasledovné ukazovatele:

860

861

* Finančná vnútorná výnosová miera v % (FIRR): N/A

862

* Finančná čistá súčasná hodnota v eur (FNPV): - 2 Finančná čistá súčasná hodnota v eur (FNPV): - 5 993 504

863

864

= {{id name="_Toc152607324"/}}{{id name="_Toc895423427"/}}{{id name="_Toc241209616"/}}{{id name="_Toc1109933817"/}}{{id name="_Toc1693584831"/}}{{id name="_Toc116189132"/}}{{id name="_Toc1157370114"/}}{{id name="_Toc1343589887"/}}{{id name="_Toc2053421042"/}}{{id name="_Toc1329406378"/}}{{id name="_Toc812300137"/}}{{id name="_Toc1301800014"/}}{{id name="_Toc47815707"/}}8. HARMONOGRAM JEDNOTLIVÝCH FÁZ PROJEKTU a METÓDA JEHO RIADENIA =

865

866

Projekt bude realizovaný pomocou vodopádového prístupu (Waterfall), vzhľadom na absenciu vývoja „diela na mieru“, ktoré by mohlo byť rozdelené do niekoľkých inkrementov s cieľom ich priebežného nasadenia do produkčnej prevádzky, implementácia predmetu predloženého projektu je naplánovaná v jednom ucelenom inkremente.

867

868

|**ID**|**FÁZA/AKTIVITA**|(((

**ZAČIATOK**

(odhad termínu)

)))|(((

**KONIEC**

(odhad termínu)

)))|**POZNÁMKA**

|1.|Prípravná fáza a Iniciačná fáza|11/2024|03/2025|

876

|2.|Realizačná fáza|04/2025|06/2027|

877

|2a|Analýza a Dizajn|04/2025|10/2025|

878

|2b|Nákup technických prostriedkov, programových prostriedkov a služieb|08/2025|04/2026|

879

|2c|Implementácia a testovanie|02/2026|08/2026|

880

|2d|Nasadenie a PIP|05/2026|06/2027|

881

|3.|Dokončovacia fáza|07/2027|09/2027|

882

|4.|Podpora prevádzky (SLA)|10/2027|09/2032|

883

884

= {{id name="_Toc510413660"/}}{{id name="_Toc152607325"/}}{{id name="_Toc1722900095"/}}{{id name="_Toc1548891642"/}}{{id name="_Toc1524307507"/}}{{id name="_Toc926619902"/}}{{id name="_Toc369843141"/}}{{id name="_Toc1228095438"/}}{{id name="_Toc1350957483"/}}{{id name="_Toc1726013925"/}}{{id name="_Toc651796977"/}}{{id name="_Toc1094373969"/}}{{id name="_Toc425060707"/}}{{id name="_Toc47815708"/}}9.PROJEKTOVÝ TÍM =

885

886

Zostavuje sa Riadiaci výbor (RV), v minimálnom zložení:

* Predseda RV –

* Biznis vlastník –

* Zástupca prevádzky –

891

* Projektový manažér objednávateľa (PM) –

892

893

Zostavuje sa Projektový tím objednávateľa:

894

895

* Kľúčový používateľ -

* IT architekt –

* IT analytik –

* Biznis vlastník –

* Manažér kvality –

* Manažér kybernetickej a informačnej bezpečnosti – MKIB

901

* Projektový manažér (pre účely realizácie) –

{{id name="_Toc510413661"/}}{{id name="_Toc152607326"/}}{{id name="_Toc542498601"/}}{{id name="_Toc1556184162"/}}{{id name="_Toc1705652877"/}}{{id name="_Toc91475143"/}}{{id name="_Toc699254480"/}}{{id name="_Toc1575456504"/}}{{id name="_Toc1175869665"/}}{{id name="_Toc761214469"/}}{{id name="_Toc316351360"/}}{{id name="_Toc596074253"/}}{{id name="_Toc1994700246"/}}{{id name="_Toc47815709"/}}(% style="color:inherit; font-family:inherit; font-size:max(20px, min(24px, 12.8889px + 0.925926vw))" %)9.1 PRACOVNÉ NÁPLNE

913

914

|(% style="width:195px" %)**Projektová rola:**|(% style="width:1006px" %)** KĽUČOVÝ POUŽIVATEĽ **

915

|(% style="width:195px" %)**Stručný popis:**|(% style="width:1006px" %)(((

916

* zodpovedný za reprezentáciu záujmov budúcich používateľov projektových produktov alebo projektových výstupov a za overenie kvality produktu.

917

* zodpovedný za návrh a špecifikáciu funkčných a technických požiadaviek, potreby, obsahu, kvalitatívnych a kvantitatívnych prínosov projektu, požiadaviek koncových používateľov na prínos systému a požiadaviek na bezpečnosť.

918

* Kľúčový používateľ (end user) navrhuje a definuje akceptačné kritériá, je zodpovedný za akceptačné testovanie a návrh na akceptáciu projektových produktov alebo projektových výstupov a návrh na spustenie do produkčnej prevádzky. Predkladá požiadavky na zmenu funkcionalít produktov a je súčasťou projektových tímov

919

)))

920

|(% style="width:195px" %)**Detailný popis rozsahu zodpovednosti, povinností a kompetencií**|(% style="width:1006px" %)(((

921

Zodpovedný za:

922

923

* Návrh a špecifikáciu funkčných a technických požiadaviek

924

* Jednoznačnú špecifikáciu požiadaviek na jednotlivé projektové výstupy (špecializované produkty a výstupy) z pohľadu vecno-procesného a legislatívy

925

* Vytvorenie špecifikácie, obsahu, kvalitatívnych a kvantitatívnych prínosov projektu,

926

* Špecifikáciu požiadaviek koncových používateľov na prínos systému

927

* Špecifikáciu požiadaviek na bezpečnosť,

928

* Návrh a definovanie akceptačných kritérií,

929

* Vykonanie používateľského testovania funkčného používateľského rozhrania (UX testovania)

930

* Finálne odsúhlasenie používateľského rozhrania

931

* Vykonanie akceptačného testovania (UAT)

932

* Finálne odsúhlasenie a akceptáciu manažérskych a špecializovaných produktov alebo projektových výstupov

933

* Finálny návrh na spustenie do produkčnej prevádzky,

934

* Predkladanie požiadaviek na zmenu funkcionalít produktov

935

* Aktívnu účasť v projektových tímoch a spoluprácu na vypracovaní manažérskej a špecializovanej dokumentácie a produktov v minimálnom rozsahu určenom Vyhláškou 85/2020 Z.z., Prílohou č.1

936

* Plnenie pokynov projektového manažéra a dohôd zo stretnutí projektového tímu

937

)))

938

939

|**Projektová rola:**|(((

940

**IT ARCHITEKT**

941

)))

942

|**Stručný popis:**|(((

943

* zodpovedá za návrh architektúry riešenia IS a implementáciu technológií predovšetkým z pohľadu udržateľnosti, kvality a nákladov, za riešenie architektonických cieľov projektu dizajnu IS a súlad s architektonickými princípmi.

944

* vykonáva, prípadne riadi vysoko odborné tvorivé činnosti v oblasti návrhu IT. Študuje a stanovuje smery technického rozvoja informačných technológií, navrhuje riešenia na optimalizáciu a zvýšenie efektívnosti prostriedkov výpočtovej techniky. Navrhuje základnú architektúru informačných systémov, ich komponentov a vzájomných väzieb. Zabezpečuje projektovanie dizajnu, architektúry IT štruktúry, špecifikácie jej prvkov a parametrov, vhodnej softvérovej a hardvérovej infraštruktúry podľa základnej špecifikácie riešenia.

945

* zodpovedá za spracovanie a správu projektovej dokumentácie a za kontrolu súladu implementácie s dokumentáciou. Môže tiež poskytovať konzultácie, poradenstvo a vzdelávanie v oblasti svojej špecializácie. IT architekt, projektant analyzuje, vytvára a konzultuje so zákazníkom riešenia na úrovni komplexných IT systémov a IT architektúr, najmä na úrovni aplikačného vybavenia, infraštruktúrnych systémov, sietí a pod. Zaručuje, že návrh architektúry a/alebo riešenia zodpovedá zmluvne dohodnutým požiadavkám zákazníka v zmysle rozsahu, kvality a ceny celej služby/riešenia.

946

)))

947

|**Detailný popis rozsahu zodpovednosti, povinností a kompetencií**|(((

948

Zodpovedný za:

949

950

* Navrhovanie architektúry IT riešení s cieľom dosiahnuť najlepšiu efektivitu.

951

* Transformovanie cieľov, prísľubov a zámerov projektu do tvorby reálnych návrhov a riešení.

952

* Navrhovanie takých riešení, aby poskytovali čo najvyššiu funkčnosť a flexibilitu.

953

* Posudzovanie vhodnosti navrhnutých riešení s ohľadom na požiadavky projektu.

954

* Zodpovednosť za technické navrhnutie a realizáciu projektu.

955

* Zodpovednosť za vytvorenie technickej IT dokumentácie a jej následná kontrola.

956

* Zodpovednosť za definovanie integračných vzorov, menných konvencií, spôsobov návrhu a spôsobu programovania.

957

* Definovanie architektúry systému, technických požiadaviek a funkčného modelu (Proof Of Concept.)

958

* Vytvorenie požiadaviek na HW/SW infraštruktúru IS

959

* Udržiavanie a rozvoj konzistentnej architektúry s dôrazom na architektúru aplikačnú, dátovú a infraštruktúru

960

* Analýzu a odhad náročnosti technických požiadaviek na vytvorenie IS alebo vykonanie zmien v IS

961

* Navrhovanie riešení zohľadňujúce architektonické štandardy, časové a zdrojové obmedzenia,

962

* Navrhovanie dátových transformácií medzi dátovými skladmi a aplikáciami

963

* Vyhodnocovanie implementačných alternatív z pohľadu celkovej IT architektúry

964

* Ladenie dátových štruktúr za účelom dosiahnutia optimálneho výkonu

965

* Prípravu akceptačných kritérií

966

* Analýza nových nástrojov, produktov a technológií

967

* Správa, rozvoj a dohľad nad dodržiavaním integračných štandardov

968

* Priebežné posudzovanie vecných výstupov dodávateľa v rámci analýzy, návrhu riešenia vrátane Detailného návrhu riešenia (DNR) z pohľadu analýzy a návrhu riešenia architektúry IS

969

* Vykonáva posudzovanie a úpravu testovacej stratégie, testovacích scenárov, plánov testov, samotné testovanie a účasť na viacerých druhoch testovania

970

* Vykonanie záťažových, výkonnostných a integračných testov a navrhnutie následných nápravných

971

* Nasadenie a otestovanie migrácie, overenie kvality dát a navrhnutie nápravných opatrení

972

* Participáciu na výkone bezpečnostných testov,

973

* Participáciu na výkone UAT testov,

974

* Posúdenie prevádzkovo-infraštruktúrnej dokumentácie pred akceptáciou a prevzatím od dodávateľa

975

* Aktívnu účasť v projektových tímoch a spoluprácu na vypracovaní manažérskej a špecializovanej dokumentácie a produktov v minimálnom rozsahu určenom Vyhláškou 85/2020 Z.z., Prílohou č.1

976

* Plnenie pokynov projektového manažéra a dohôd zo stretnutí projektového tímu

977

)))

978

979

|**Projektová rola:**|(((

980

**IT ANALYTIK**

981

)))

982

|**Stručný popis:**|(((

983

* zodpovedá za zber a analyzovanie funkčných požiadaviek, analyzovanie a spracovanie dokumentácie z pohľadu procesov, metodiky, technických možností a inej dokumentácie. Podieľa sa na návrhu riešenia vrátane návrhu zmien procesov v oblasti biznis analýzy a analýzy softvérových riešení. Zodpovedá za výkon analýzy IS, koordináciu a dohľad nad činnosťou SW analytikov.

984

* analyzuje požiadavky na informačný systém/softvérový systém, formálnym spôsobom zaznamenáva činnosti/procesy, vytvára analytický model systému, okrem analýzy realizuje aj návrh systému, ten vyjadruje návrhovým modelom.

985

* Analytik informačných technológií pripravuje špecifikáciu cieľového systému od procesnej až po technickú rovinu. Mapuje a analyzuje existujúce podnikateľské a procesné prostredie, analyzuje biznis požiadavky na informačný systém, špecifikuje požiadavky na informačnú podporu procesov, navrhuje koncept riešenia a pripravuje podklady pre architektov a vývojárov riešenia, participuje na realizácii zmien, dohliada na realizáciu požiadaviek v cieľovom riešení, spolupracuje pri ich preberaní (akceptácie) používateľom.

986

* Pri návrhu IT systémov využíva odbornú špecializáciu IT architektov a projektantov. Študuje a analyzuje dokumentáciu, požiadavky klientov, legislatívne a technické podmienky a možnosti zvyšovania efektívnosti a výkonnosti riadiacich a informačných procesov. Navrhuje a prerokúva koncepcie riešenia informačných systémov a analyzuje ich efekty a dopady. Zabezpečuje spracovanie analyticko-projektovej špecifikácie s návrhom dátových a objektových štruktúr a ich väzieb, užívateľského rozhrania a ostatných podkladov pre projektovanie nových riešení.

987

* Spolupracuje na projektovaní a implementácii návrhov. Môže tiež poskytovať poradenstvo v oblasti svojej špecializácie. Zodpovedá za návrhovú (design) časť IT - pôsobí ako medzičlánok medzi používateľmi informačných systémov (biznis pohľad) a ich realizátormi (technologický pohľad).

988

)))

989

|**Detailný popis rozsahu zodpovednosti, povinností a kompetencií**|(((

990

Zodpovedný za:

991

992

* Vykonanie analýzy procesných a ďalších požiadaviek a vytvorenie špecifikácie súčasného alebo budúceho užívateľa softwaru („zákazníka“) a následne navrhuje dizajn a programátorské riešenie.

993

* Participáciu na vývoji nových, ale i vylepšovaní existujúcich aplikácií v rámci celého vývojového cyklu – systémová analýza, dizajn, kódovanie, užívateľské testovanie, implementácia, podpora, dokumentácia. Úzko spolupracuje aj s IT architektom.

994

* Analýza potrieb zákazníka vrátane tvorby úplnej analytickej dokumentácie a vstupov do verejného obstarávania (VO).

995

* Mapovanie požiadaviek do návrhu funkčných riešení.

996

* Návrh a správa katalóg požiadaviek - registra požiadaviek riešenia

997

* Analýza funkčných a nefunkčných požiadaviek,

998

* Návrh fyzického a logického modelu,

999

* Návrh testovacích scenárov,

1000

* V priebehu implementácie robí dohľad nad zhodou výstupov s pôvodným analytickým zadaním.

1001

* Zodpovednosť za dodržovanie správnej metodiky pri postupe analýzy

1002

* Definovanie akceptačných kritérií v projekte

1003

* Odsúhlasenie opisu produktov, ktoré predstavujú vstupy alebo výstupy (priebežné alebo konečné) úloh dodávateľov, alebo ktoré ich priamo ovplyvňujú a zabezpečovať akceptáciu produktov po ich dokončení

1004

* Priraďuje priority a poskytuje stanoviská používateľov na rozhodnutia Riadiaceho výboru projektu – k realizácii zmenových požiadaviek

1005

* Poskytuje merania aktuálneho stavu pre potreby porovnania s výsledkami projektu vzhľadom na realizáciu prínosov

1006

* Rieši požiadavky používateľov a konflikty iných priorít

1007

* Posúdenie prevádzkovo-infraštruktúrnej dokumentácie pred akceptáciou a prevzatím od dodávateľa

1008

* Aktívnu účasť v projektových tímoch a spoluprácu na vypracovaní manažérskej a špecializovanej dokumentácie a produktov v minimálnom rozsahu určenom Vyhláškou 85/2020 Z.z., Prílohou č.1

1009

* Plnenie pokynov projektového manažéra a dohôd zo stretnutí projektového tímu

1010

)))

1011

1012

|**Projektová rola:**|(((

1013

**BIZNIS VLASTNÍK**

1014

)))

1015

|**Stručný popis:**|(((

1016

* zodpovedá za proces - jeho výstupy i celkový priebeh poskytnutia služby alebo produktu konečnému užívateľovi. Kľúčová rola na strane zákazníka (verejného obstarávateľa), ktorá schvaľuje biznis požiadavky a zodpovedá za výsledné riešenie, prínos požadovanú hodnotu a naplnenie merateľných ukazovateľov. Úlohou tejto roly je definovať na užívateľa orientované položky (user-stories), ktoré budú zaradzované a prioritizované v produktovom zásobníku. Zodpovedá za priebežné posudzovanie vecných výstupov dodávateľa v rámci analýzy, návrhu riešenia vrátane DNR z pohľadu analýzy a návrhu riešenia aplikácii IS.

1017

1018

* zodpovedný za schválenie funkčných a technických požiadaviek, potreby, obsahu, kvalitatívnych a kvantitatívnych prínosov projektu. Definuje očakávania na kvalitu projektu, kvalitu projektových produktov, prínosy pre koncových používateľov a požiadavky na bezpečnosť. Definuje merateľné výkonnostné ukazovatele projektov a prvkov. Vlastník procesov schvaľuje akceptačné kritériá, rozsah a kvalitu dodávaných projektových výstupov pri dosiahnutí platobných míľnikov, odsúhlasuje spustenie výstupov projektu do produkčnej prevádzky a dostupnosť ľudských zdrojov alokovaných na realizáciu projektu.

1019

)))

1020

|**Detailný popis rozsahu zodpovednosti, povinností a kompetencií**|(((

1021

Zodpovedný za:

1022

1023

* Realizáciu dohľadu nad súladom projektových výstupov s požiadavkami koncových používateľov.

1024

1025

* Spoluprácu pri riešení odpovedí na otvorené otázky a riziká projektu.

1026

1027

* Posudzovanie, pripomienkovanie, testovanie a protokolárne odsúhlasovanie projektových výstupov v príslušnej oblasti (v biznis procese) po vecnej stránke (najmä procesnej a legislatívnej)

1028

1029

* Riešenie problémov a požiadaviek v spolupráci s odbornými garantmi,

1030

* Spoluprácu pri špecifikácii a poskytuje súčinnosť pri riešení zmenových požiadaviek

1031

1032

* Schválenie funkčných a technických požiadaviek, potreby, obsahu, kvalitatívnych a kvantitatívnych prínosov projektu z pohľadu používateľov koncového produktu

1033

* Definovanie očakávaní na kvalitu projektu, kritérií kvality projektových produktov, prínosov pre koncových používateľova požiadaviek na bezpečnosť,

1034

* Definovanie merateľných výkonnostných ukazovateľov projektov a prvkov,

1035

* Sledovanie a odsúhlasovanie nákladovosti, efektívnosti vynakladania finančných prostriedkov a priebežné monitorovanie a kontrolu odôvodnenia projektu (BC/CBA)

1036

* Schválenie akceptačných kritérií,

1037

* Riešenie problémov používateľov

1038

* Akceptáciu rozsahu a kvality dodávaných projektových výstupov pri dosiahnutí platobných míľnikov,

1039

* Vykonanie UX a UAT testovania

1040

* Odsúhlasenie spustenia výstupov projektu do produkčnej prevádzky,

1041

* Dostupnosť a efektívne využitie ľudských zdrojov alokovaných na realizáciu projektu,

1042

* Vykonávanie monitorovania a hodnotenia procesov v plánovaných intervaloch.

1043

* Poskytovanie vyjadrení k zmenovým požiadavkám, k ich opodstatnenosti a prioritizácii

1044

* Zisťovanie efektívneho spôsobu riadenia a optimalizácie zvereného procesu, vrátane analyzovanie všetkých vyskytujúcich sa nezhôd,

1045

* Okrem zvažovaní rizík prevádzkových alebo podporných procesov súčasne vlastník napomáha identifikovať príležitosti,

1046

* Zlepšovanie a optimalizáciu procesov v spolupráci s ďalšími prepojenými vlastníkmi procesov a manažérom kvality,

1047

* Odsúhlasenie akceptačných protokolov zmenových konaní

1048

* Aktívnu účasť v projektových tímoch a spoluprácu na vypracovaní manažérskej a špecializovanej dokumentácie a produktov v minimálnom rozsahu určenom Vyhláškou 85/2020 Z.z., Prílohou č.1

1049

* plnenie pokynov projektového manažéra a dohôd zo stretnutí projektového tímu

1050

)))

1051

1052

|**Projektová rola:**|(((

1053

**MANAŽÉR KVALITY**

1054

)))

1055

|**Stručný popis:**|(((

1056

* zodpovedá za priebežné vyžadovanie, hodnotenie a kontrolu kvality (vecnej aj formálnej) počas celého projektu. Je zodpovedný za úvodné nastavenie pravidiel riadenia kvality a za následné dodržiavanie a kontrolu kvality jednotlivých projektových výstupov. Sleduje a hodnotí kvalitatívne ukazovatele projektových výstupov a o zisteniach informuje projektového manažéra objednávateľa formou pravidelných alebo nepravidelných správ/záznamov.

1057

1058

* plánuje, koordinuje, riadi a kontroluje systém manažérstva kvality, monitoruje a meria procesy a identifikuje príležitosti na trvalé zlepšovanie systému manažérstva kvality v organizácii v súlade s platnými normami. Zabezpečuje tvorbu cieľov a koncepcie kvality, vrátane kontroly ich plnenia a vykonáva interné a externé audity kvality v súlade s plánom.

1059

1060

* Počas celej doby realizácie projektu zabezpečuje zhodu kvality projektových výstupov s požiadavkami. Realizuje postupy riadenia kvality tak, aby výsledkom boli projektové výstupy spĺňajúce požiadavky objednávateľa. Kontroluje, či sa riadenie a proces zabezpečenia kvality vykonáva správnym spôsobom, v správnom čase a správnymi osobami.

1061

)))

1062

|**Detailný popis rozsahu zodpovednosti, povinností a kompetencií**|(((

1063

Zodpovedný za:

1064

1065

* Návrh a zavádzanie do praxe postupov, techník, nástrojov a pravidiel, ktoré maximalizujú efektivitu práce a kvalitatívne parametre vývoja softwaru/produktu/IS, resp. IT projektu

1066

* Definovanie politiky kvality (stratégie kvality), meranie kvality, analýzu a spracovanie plánov kvality,

1067

* Riadenie a monitorovanie dosahovania cieľov kvality,

1068

* Špecifikáciu požiadaviek na kvalitu vyvíjaných funkcionalít systému

1069

* Špecifikáciu požiadaviek pre ďalší rozvoj,

1070

* Definovanie akceptačných kritérií

1071

* Zabezpečenie súladu so štandardmi, normami, právnymi požiadavkami, požiadavkami užívateľov a prevádzkovateľov systémov,

1072

* Posúdenie BC/CBA – odôvodení projektu

1073

* Kontrolu kvalitu plnenia vecných požiadaviek definovaných v Zmluve s dodávateľom alebo v požiadavkách na zmenu,

1074

* Akceptáciu splnenia vecných a kvalitatívnych požiadaviek v projekte svojím podpisom na akceptačnom protokole pri odovzdávaní jednotlivých fáz projektu/čiastkových projektov alebo pri odovzdávaní zmien vykonaných v rámci zmenových konaní,

1075

* Aktívnu účasť rokovaniach a participáciu na riešení vecných požiadaviek členov projektového tímu,

1076

* Monitoring a vyhodnocovanie kvality údajov a návrh nápravných opatrení za účelom zabezpečenia správnosti a konzistentnosti údajov

1077

* Definovanie postupov, navrhovanie a vyjadrovanie sa k plánom testov a testovacích scenárov

1078

* Analyzovanie výsledkov testovania.

1079

* Kontrolu plnenia projektových úloh a časového harmonogramu projektu

1080

* Kontrolu plnenia finančného plánu projektu

1081

* Aktívnu účasť v projektových tímoch a spoluprácu na vypracovaní manažérskej a špecializovanej dokumentácie a produktov v minimálnom rozsahu určenom Vyhláškou 85/2020 Z.z., Prílohou č.1

1082

* Plnenie pokynov projektového manažéra a dohôd zo stretnutí projektového tímu

)))

|**Projektová rola:**|(((

1088

**MANAŽER KYBERNETICKEJ BEZPEČNOSTI (KIB) a IT BEZPEČNOSTI (ITB)**

1089

)))

1090

|**Stručný popis:**|(((

1091

* zodpovedá za dodržanie princípov a štandardov na kybernertickú a IT bezpečnosť, za kontrolu a audit správnosti riešenia v oblasti bezpečnosti.

1092

* koordinuje a riadi činnosť v oblasti bezpečnosti prevádzky IT, spolupracuje na projektoch, na rozvoji nástrojov a postupov k optimalizácii bezpečnostných systémov a opatrení. Stanovuje základné požiadavky, podmienky a štandardy pre oblasť bezpečnosti programov, systémov, databázy či sieti. Spracováva a kontroluje príslušné interné predpisy a dohliada nad plnením týchto štandardov a predpisov. Kontroluje a riadi činnosť nad bezpečnostnými testami, bezpečnostnými incidentmi v prevádzke IT. Poskytuje inštrukcie a poradenstvo používateľom počítačov a informačných systémov pre oblasť bezpečnosti

1093

1094

**PODMIENKY SPRÁVNEHO a EFEKTÍVNEHO VÝKONU ČINNOSTI role Manažér KIB a ITB:**

1095

1096

1. neobmedzený aktívny prístup ku všetkým projektovým dokumentom, nástrojom a výstupom projektu, v ktorých sa opisuje predmet projektu z hľadiska jeho architektúry, funkcií, procesov, manažmentu informačnej bezpečnosti a spôsobov spracúvania dát, ako aj dát samotných.

1097

1. rola manažér Kybernetickej a IT bezpečnosti si vyžaduje mať sprístupnené všetky informácie o bezpečnostných opatreniach zavádzaných projektom v zmysle:

1098

1099

1. § 20 zákona č.69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov

1100

1. ustanovení zákona č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov

1101

)))

1102

|**Detailný popis rozsahu zodpovednosti, povinností a kompetencií**|(((

1103

Zodpovedný za:

1104

1105

* špecifikovanie štandardov, princípov a stratégií v oblasti ITB a KIB,

1106

* ak je projekt primárne zameraný na problematiku ITB a KIB – je priamo zodpovedný za špecifikáciu a analýzu funkčných požiadaviek na ITB a KIB,

1107

* špecifikovanie požiadaviek na ITB a KIB, kontroluje ich implementáciu v realizovanom projekte,

1108

* špecifikovanie požiadaviek na bezpečnosť vývojového, testovacieho a produkčného prostredia,

1109

* špecifikovanie funkčných a nefunkčných požiadaviek pre oblasť ITB a KIB,

1110

* špecifikovanie požiadaviek na bezpečnosť v rámci bezpečnostnej vrstvy,

1111

* špecifikovanie požiadaviek na školenia pre oblasť ITB a KIB,

1112

* špecifikovanie požiadaviek na bezpečnostnú architektúru riešenia a technickú infraštruktúru pre oblasť ITB a KIB,

1113

* špecifikovanie požiadaviek na dostupnosť, zálohovanie, archiváciu a obnovu IS vzťahujúce sa na ITB a KIB,

1114

* realizáciu posúdenie požiadaviek agendy ITB a KIB na integrácie a procesov konverzie a migrácie, identifikácia nesúladu a návrh riešenia

1115

* špecifikovanie požiadaviek na ITB a KIB, bezpečnostný projekt a riadenie prístupu,

1116

* špecifikovanie požiadaviek na testovanie z hľadiska ITB a KIB, realizáciu kontroly zapracovania a retestu,

1117

* špecifikovanie požiadaviek na obsah dokumentácie v zmysle legislatívnych požiadaviek pre oblasť ITB a KIB, ako aj v zmysle "best practies",

1118

* špecifikovanie požiadaviek na dodanie potrebnej dokumentácie súvisiacej s ITB a KIB kontroluje ich implementáciu v realizovanom projekte,

1119

* špecifikovanie požiadaviek a konzultácie pri návrhu riešenia za agendu ITB a KIB v rámci procesu „Mapovanie a analýza technických požiadaviek - detailný návrh riešenia (DNR)“,

1120

* špecifikáciu požiadaviek na bezpečnosť IT a KIB v rámci procesu "akceptácie, odovzdania a správy zdroj. kódov“

1121

* špecifikáciu akceptačných kritérií za oblasť ITB a KIB,

1122

* špecifikáciu pravidiel pre publicitu a informovanosť s ohľadom na ITB a KIB,

1123

* poskytovanie konzultácií pri tvorbe šablón a vzorov dokumentácie pre oblasť ITB a KIB,

1124

* získavanie informácií nutných pre plnenie úloh v oblasti ITB a KIB,

1125

* špecifikáciu podmienok na testovanie, reviduje výsledky a výstupy z testovania za oblasť ITB a KIB,

1126

* konzultácie a vykonávanie kontrolnej činnosť zameranej na obsah a komplexnosť dok. z hľadiska ITB a KIB,

1127

* špecifikáciu požiadaviek na bezpečnostný projekt pre oblasť ITB a KIB,

1128

* realizáciu kontroly zameranej na naplnenie požiadaviek definovaných v bezp. projekte za oblasť ITB a KIB

1129

* realizáciu kontroly zameranú na správnosť nastavení a konfigurácii bezpečnosti jednotlivých prostredí,

1130

* realizáciu kontroly zameranú realizáciu procesu posudzovania a komplexnosti bezpečnostných rizík, bezpečnosť a kompletný popis rozhraní, správnu identifikácia závislostí,

1131

* realizáciu kontroly naplnenia definovaných požiadaviek pre oblasť ITB a KIB,

1132

* realizáciu kontroly zameranú na implementovaný proces v priamom súvise s ITB a KIB,

1133

* realizáciu kontroly súladu s planou legislatívou v oblasti ITB a KIB (obsahuje aj kontrolu leg. požiadaviek)

1134

* realizáciu kontroly zameranú zabezpečenie procesu, interfejsov, integrácii, kompletného popisu rozhraní a spoločných komponentov a posúdenia z pohľadu bezpečnosti,

1135

* poskytovanie konzultácií a súčinnosti pre problematiku ITB a KIB,

1136

* získavanie a spracovanie informácií nutných pre plnenie úloh v oblasti ITB a KIB,

1137

* aktívnu účasť v projektových tímoch a spoluprácu na vypracovaní manažérskej a špecializovanej dokumentácie a produktov v minimálnom rozsahu určenom Vyhláškou 85/2020 Z.z., Prílohou č.1

1138

* plnenie pokynov projektového manažéra a dohôd zo stretnutí projektového tímu

1139

)))

1140

1141

|**Projektová rola:**|(((

1142

**PROJEKTOVÝ MANAŽÉR**

1143

)))

1144

|**Stručný popis:**|(((

1145

* zodpovedá za riadenie projektu počas celého životného cyklu projektu. Riadi projektové (ľudské a finančné) zdroje, zabezpečuje tvorbu obsahu, neustále odôvodňovanie projektu (aktualizuje BC/CBA) a predkladá vstupy na rokovanie Riadiaceho výboru. Zodpovedá za riadenie všetkých (ľudských a finančných) zdrojov, členov projektovému tím objednávateľa a za efektívnu komunikáciu s dodávateľom alebo stanovených zástupcom dodávateľa.

1146

1147

* zodpovedá za riadenie prideleného projektu - stanovenie cieľov, spracovanie harmonogramu prác, koordináciu členov projektového tímu, sledovanie dodržiavania harmonogramu prác a rozpočtu, hodnotenie a prezentáciu výsledkov a za riadenie s tým súvisiacich rizík. Projektový manažér vedie špecifikáciu a implementáciu projektov v súlade s firemnými štandardami, zásadami a princípmi projektového riadenia.

1148

1149

* zodpovedá za plnenie projektových/programových cieľov v rámci stanovených kvalitatívnych, časových a rozpočtovým plánov a za riadenie s tým súvisiacich rizík. V prípade externých kontraktov sa vedúci projektu/ projektový manažér obvykle podieľa na ich plánovaní a vyjednávaní a je hlavnou kontaktnou osobou pre zákazníka.

1150

)))

1151

|**Detailný popis rozsahu zodpovednosti, povinností a kompetencií**|(((

1152

Zodpovedný za:

1153

1154

* Riadenie projektu podľa pravidiel stanovených vo Vyhláške 85/2020 Z.z.

1155

* Riadenie prípravy, inicializácie a realizácie projektu

1156

* Identifikovanie kritických miest projektu a navrhovanie ciest k ich eliminácii

1157

* Plánovanie, organizovanie, motivovanie projektového tímu a monitorovanie projektu

1158

* Zabezpečenie efektívneho riadenia všetkých projektových zdrojov s cieľom vytvorenia a dodania obsahu a zabezpečenie naplnenie cieľov projektu

1159

* Určenie pravidiel, spôsobov, metód a nástrojov riadenia projektu a získanie podpory Riadiaceho výboru (RV) pre riadenie, plánovanie a kontrolu projektu a využívanie projektových zdrojov

1160

* Zabezpečenie vypracovania manažérskej a špecializovanej dokumentácie a produktov v minimálnom rozsahu určenom Vyhláškou 85/2020 Z.z., Prílohou č.1

1161

* Zabezpečenie realizácie projektu podľa štandardov definovaných vo Vyhláške 78/2020 Z.z.

1162

* Zabezpečenie priebežnej aktualizácie a verzionovania manažérskej a špecializovanej dokumentácie v minimálnom rozsahu Vyhlášky 85/2020 Z.z., Prílohy č.1

1163

* Vypracovanie, pravidelné predkladanie a zabezpečovanie prezentácie stavov projektu, reportov, návrhov riešení problémov a odsúhlasovania manažérskej a špecializovanej dokumentácie v rozsahu určenom Vyhláškou 85/2020 Z.z., Prílohou č.1 na rokovanie RV

1164

* Riadenie a operatívne riešenie a odstraňovanie strategických / projektových rizík a závislostí

1165

* Predkladanie návrhov na zlepšenia na rokovanie Riadiaceho výboru (RV)

1166

* Zabezpečenie vytvorenia a pravidelnej aktualizácie BC/CBA a priebežné zdôvodňovanie projektu a predkladanie na rokovania RV

1167

* Celkovú alokáciu a efektívne využívanie ľudských a finančných zdrojov v projekte

1168

* Celkový postup prác v projekte a realizuje nápravné kroky v prípade potreby

1169

* Vypracovanie požiadaviek na zmenu (CR), návrh ich prioritizácie a predkladanie zmenových požiadaviek na rokovanie RV

1170

* Riadenie zmeny (CR) a prípadné požadované riadenie konfigurácií a ich zmien

1171

* Riadenie implementačných a prevádzkových aktivít v rámci projektov.

1172

* Aktívne komunikuje s dodávateľom, zástupcom dodávateľa a projektovým manažérom dodávateľa s cieľom zabezpečiť úspešné dodanie a nasadenie požadovaných projektových výstupov,

1173

* Formálnu administráciu projektu, riadenie centrálneho projektového úložiska, správu a archiváciu projektovej dokumentácie

1174

* Kontrolu dodržiavania a plnenia míľnikov v zmysle zmluvy s dodávateľom,

1175

* Dodržiavanie metodík projektového riadenia,

1176

* Predkladanie požiadaviek dodávateľa na rokovanie Riadiaceho výboru (RV),

1177

* Vecnú a procesnú administráciu zúčtovania dodávateľských faktúr

)))

= {{id name="_Toc510413662"/}}{{id name="_Toc152607327"/}}{{id name="_Toc1721209686"/}}{{id name="_Toc1704088007"/}}{{id name="_Toc663571237"/}}{{id name="_Toc222896765"/}}{{id name="_Toc1718852369"/}}{{id name="_Toc445439934"/}}{{id name="_Toc1591178749"/}}{{id name="_Toc1059352832"/}}{{id name="_Toc1317943368"/}}{{id name="_Toc1275292488"/}}{{id name="_Toc922415075"/}}{{id name="_Toc47815710"/}}10.ODKAZY =

1183

1184

//Doplniť odkazy na už existujúce produkty v maximálnej miere – vyhnúť sa duplikovaným informáciám.//

1185

1186

= {{id name="_Toc152607328"/}}{{id name="_Toc352209542"/}}{{id name="_Toc23745434"/}}{{id name="_Toc2079765538"/}}{{id name="_Toc439451047"/}}{{id name="_Toc432728511"/}}{{id name="_Toc2041295352"/}}{{id name="_Toc2053721865"/}}{{id name="_Toc1673192336"/}}{{id name="_Toc1660740083"/}}{{id name="_Toc1335486469"/}}{{id name="_Toc1845624711"/}}{{id name="_Toc47815711"/}}11.PRÍLOHY =

1187

1188

1. M-05 - Analýza nákladov a prínosov

1189

1. I-02 - Zoznam rizík a závislostí

Wiki zdrojový kód pre I-02 Projektový zámer (projektovy_zamer)

Aplikácie

Navigácia

Moje posledné úpravy

Need help?