Vypracovanie analýzy IT rizík vo finančnej správe a konzultačné služby k implementácii požiadaviek kybernetickej a informačnej bezpečnosti

Časť 1: Vypracovanie analýzy IT rizík vo finančnej správe a konzultačné služby k implementácii požiadaviek kybernetickej a informačnej bezpečnosti

1. Vytvorenie dokumentu Analýza rizík, ktorý bude obsahovať identifikované bezpečnostné riziká, závislé od aktív systému, ich zraniteľností, vplyvov prostredia, hrozieb a potenciálnych negatívnych dopadov na FS. Štrukturálnou súčasťou dokumentu analýza rizík je: 1.1. Analýza rizík - podrobná správa identifikujúca: 1.1.1. aktíva a ich vlastníkov - zoznam aktív špecifikovaný na úroveň agregovaných technických komponentov, údajových štruktúr, lokácií, úložísk a pod., 1.1.2. podporných služieb, prostredníctvom ktorých sa zabezpečuje kontinuita základnej a ostatných IT služieb a ich poskytovanie, 1.1.3. riziká, ktoré majú dopad na aktíva, s návrhom na ich riadenie (nemusí byť určené, či správa rizika bude realizovaná organizačným alebo technickým opatrením, či prenos rizika bude znamenať poistenie alebo outsourcing a pod.), 1.1.4. hrozby využívajúce zraniteľnosti aktív, ohodnotenie pravdepodobnosti naplnenia hrozieb, pričom stupnica hodnotenia je delená do minimálneho počtu úrovní tak, že stupne hodnotenia musia umožniť účelne rozlíšiť rozdiely v sile hrozby (pri hodnotení pravdepodobnosti naplnenia hrozby s použitou stupnicou by nemalo dôjsť k váhaniu pri výbere medzi viac ako 2 stupňami hodnotenia), 1.1.5. existujúce opatrenia vo FS, 1.1.6. zraniteľnosti zvyšujúce bezpečnostné riziká - určenie zraniteľností aktív, pričom stupnica hodnotenie je delená do minimálneho počtu úrovní tak, že stupne hodnotenia musia umožniť účelne rozlíšiť rozdiely v úrovni zraniteľnosti (pri hodnotení zraniteľnosti by nemalo dôjsť k váhaniu pri výbere medzi viac ako 2 stupňami hodnotenia), 1.1.7. následky dopadu jednotlivých hrozieb na aktívum – detailný popis možných dopadov na organizáciu v dôsledku narušenia dôvernosti, integrity alebo dostupnosti údajov a komponentov systému, 1.2. Mitigácia rizík, návrh obsahujúci: 1.2.1. podrobný popis postupov na ošetrenie jednotlivých rizík so zreteľom na povahu a rozsah rizík, 1.2.2. návrh na primerané technické a organizačné opatrenia, 1.2.3. návrh mechanizmu nahlasovania incidentov a hrozieb. 1.3. Katalóg aktív, s identifikovanými aktívami rozdelených do skupín, umožňujúce analyzovať jednotlivé subsystémy z rôznych pohľadov v závislosti na hodnotených skupinách aktív. 1.4. Manažérske zhrnutie výsledkov v rozsahu hodnotenie, odporúčania a návrh opatrení. 2. Dodanie metodiky na vykonanie analýzy rizík. 3. Konzultačné služby v oblasti kybernetickej a informačnej bezpečnosti, ktoré budú bližšie špecifikované podľa aktuálnych potrieb objednávateľa. Konzultačné služby budú poskytované najmä v nasledovných oblastiach: - návrhy nových, príp. posúdenie existujúcich smerníc, dokumentov príp. iných požiadaviek vyžadovaných bezpečnostnou legislatívou, - návrhy procesov nevyhnutných pri zavádzaní požiadaviek bezpečnostnej legislatívy v podmienkach finančnej správy. Rozsah organizácie a dodávky služby: Finančnú správu podľa zákona č. 35/2019 Z. z. tvoria Finančné riaditeľstvo SR, colné úrady, daňové úrady a Kriminálny úrad finančnej správy. Finančné riaditeľstvo SR je rozpočtovou organizáciou, ktorá vykonáva svoju pôsobnosť na celom území Slovenskej republiky. Sídlom Finančného riaditeľstva SR je Banská Bystrica. Colné úrady, daňové úrady a Kriminálny úrad finančnej správy sú preddavkovými organizáciami zapojenými na rozpočet Finančného riaditeľstva SR. Hlavným poslaním finančnej správy je efektívnym výberom a správou cla a daní napĺňať príjmovú časť štátneho rozpočtu SR a rozpočtu Európskej únie (ďalej len „EÚ“), ochrana ekonomických záujmov štátu a ochrana výdavkovej časti štátneho rozpočtu SR. Finančná správa: - plní úlohy, ktoré vyplývajú z hlavného poslania finančnej správy, a to najmä v oblasti zamedzovania porušovania colných a daňových predpisov, - vykonáva dohľad nad dodržiavaním všeobecne záväzných právnych predpisov, predpisov EÚ a medzinárodných zmlúv, ktorými zabezpečuje realizáciu obchodnej politiky, colnej politiky, daňovej politiky a spoločnej poľnohospodárskej politiky pri obehu tovaru v styku s tretími krajinami, - vykonáva colný dohľad nad tovarom v rámci colného územia EÚ, v oblasti správy nepriamych daní, daňového dozoru nad tovarmi podliehajúcimi spotrebným daniam, - vykonáva vzájomnú medzinárodnú pomoc a spoluprácu pri správe cla a daní a pri vymáhaní finančných pohľadávok, - plní úlohy v oblasti colných taríf, colných sadzieb, colnej hodnoty, nomenklatúrneho zatrieďovania tovaru, pôvodu tovaru, štatistiky obchodu s tretími krajinami a obchodu medzi členskými štátmi EÚ, - plní ďalšie úlohy ustanovené osobitnými predpismi. Finančné riaditeľstvo zamestnáva cca 9500 zamestnancov geograficky rozčlenených po celom území Slovenska v približne 200 lokalitách. Sekcia informatiky zabezpečuje prevádzku a podporu informačných systémov, ktoré prevádzkuje v dvoch dátových centrách. Prevádzkuje 3 základné služby a ďalšie IT technológie verejnej správy, ktoré sú podporované informačnými systémami a službami (cca 100) zaradenými do nasledovných 7 hlavných kategórií a troch podporných kategórií: 1. služby analýzy rizík, 2. služby colných systémov, 3. služby dokument manažment systémov, 4. služby daňových systémov, 5. externé elektronické služby, 6. služby výmeny informácií, 7. služby vnútorných systémov, 8. telekomunikačné služby, 9. služby IT infraštruktúry (siete, serverová infraštruktúra), 10. lokálne služby (správa lokálnych PC a používateľov). Analýza rizík musí byť vykonaná minimálne na jednom informačnom systéme z každej z vyššie popísanej kategórie. Konkrétne informačné systémy budú upresnené po dohode a úvodných stretnutiach.