I. Prípravná fáza

Reforma VS

Projekt nie je zasadený do žiadneho rámca zmien procesov verejnej správy. Pritom procesy a služby v oblasti kybernetickej bezpečnosti sa dajú taktiež štandardným spôsobom merať, vyhodnocovať a plánovať. Za pozitívne však považujeme zameranie na používateľa a jeho potreby bezpečnosti.

Merateľné ciele (KPI)

Merateľné ukazovatele podľa Zámeru národného projektu:

image610×505 13.3 KB

Pri “hlavných” merateľných ukazovateľoch, ktoré sú prebraté z PO7 OPII, opäť vidno, ako sú v oblasti informačnej bezpečnosti stanovené natoľko bezvýznamovo, že prakticky nesvedčia o žiadnom konkrétnom zlepšení v deklarovaných oblastiach projektu. V dokumentácii sa pritom uvádza, že bez realizácie tohto projektu nebudú naplnené ciele PO7 OPII, čo však nie je nijako odôvodnené.

Cieľ “počet chránených endpointov” v skutočnosti znamená počet používateľov chránených web stránok, na komunikáciu ktorých budú opatrenia aplikované. V dokumentácii nie je konkretizované, prečo bol stanovený práve cieľový stav 300.000, Nases deklaruje, že ide o počet používateľov jeho systémov. Nasadenie na web stránky iných OVM je v dokumentácii predpokladané, ale nie je doriešené.

V dokumente “Analýza benefitov…” je uvedené: “v tomto momente nevieme definovať koľko bezpečnostných incidentov môže byť identifikovaných mimo infraštruktúry NASES. „Sme hluchí a slepí“.”

KPI pre oblasť “eliminovaných incidentov”, “úspora času” a “zníženie pravdepodovnosti úniku dát” sú stanovené iba na základe všeobecných údajov zahraničnej štúdie, v ktorej je navyše “silne odporúčané” pre nové projekty realizovať vlastné odhady. Jediný realizovaný vlastný odhad predkladateľa projektu je parameter “2000 bezpečnostných incidentov za rok pri 300.000 koncových bodoch”, nie je však nijako vysvetlený. Hodnoty merateľných ukazovateľov tak považujeme za čisto hypotetické.

Postup dosiahnutia cieľov

Projekt je naplánovaný ako nákup HW a štandardizovaného SW (licencií) a ich inštaláciu. Vďaka tomu má mimoriadne krátku plánovanú implementačnú fázu - 1 rok.

Nie je však jasné, ako bude naplnený deklarovaný zámer pokryť 300.000 endpointov (používateľov). Tento parameter je kľúčový pre dosiahnutie deklarovaných prínosov projektu.

Keďže v súčasnosti Nases v riešenej oblasti nedisponuje žiadnymi konkrétnymi údajmi, za vhodné by sme považovali overenie zamýšľaného prístupu v menšom rozsahu, pomocou pilotného projektu. Táto možnosť aj bola diskutovaná, nevieme prečo to v aktuálnom stave nie je plánované.

Súlad s KRIS (nie je zatiaľ vyhodnotený)

Súlad s KRIS Nases resp. MIRRI sme zatiaľ nevyhodnotili.

Biznis prínos

Zameranie pozornosti na zvýšenie ochrany používateľov webových portálov verejnej správy vnímame pozitívne. Projekt by mal však byť súčasťou širšie koncipovaného programu v tejto oblasti. Najmä by bolo potrebné vykonať aktivity vedúce k objektivizácii súčasného stavu, koncepčné pomenovanie cieľového stavu. Nie je zrejmé, prečo je projekt potrebné realizovať práve v tomto čase a práve v tomto rozsahu.

Zároveň nie je doriešená otázka súhlasu používateľa s nasadením zamýšľaných bezpečnostných techník v jeho prostredí.

Príspevok v informatizácii

Zvolené je štandardné, na trhu dostupné riešenie. Vývoj na zákazku nie je predpokladaný, s výnimkou nastavenia a prispôsobenia použitých softvérových nástrojov. Obdobným spôsobom je predmetná oblasť riešená v komerčnej sfére. Popísaný je aj spôsob integrácie riešenia do súčasnej infraštruktúry prevádzkovanej Nasesom.

Štúdia uskutočniteľnosti

Je vypracovaná dokumentácia v súlade s metodikou riadenia projektov. Dokumenty však vo viacerých oblastiach nedávajú adekvátne odpovede na vznesené otázky.

Alternatívy

Stanovenie a porovnanie alternatív je povrchné. Keďže nie je známy a konkretizovaný súčasný stav, a taktiež nie je presnejšie pomenovaný želaný cieľový stav, na biznis úrovni ani nebolo možné alternatívy reálne určiť a porovnať.
Na zvýšenie bezpečnosti na strane používateľov je uvažovateľná celá paleta možných technických aj organizačných opatrení, okrem zvoleného technologického variatnu však žiadne neboli zvažované.

Kalkulácia efektívnosti

Ide o klasický projekt s “tvrdými” nákladmi a “teoretickými” prínosmi, kde na základe všeobecných a iba odhadovaných údajov sú prezentované mnohomiliónové úspory, ktoré nevieme dnes, a ani v cieľovom stave reálne identifikovať.

Kalkulácia prínosov je založená na všeobecnej štúdii realizovanej v Severnej Amerike a Austrálii, v ktorej navyše nebol zahrnutý žiadny portál verejnej správy. V tejto štúdii je priamo uvedené: “Forrester makes no assumptions as to the potential ROI that other organizations will receive. Forrester strongly advises that readers use their own estimates within the framework provided in the report to determine the appropriateness of an investment in Microsoft Cloud App Security.” Napriek tomu vlastné analýzy Nases nevykonal, s výnimkou “expertného odhadu”, podľa ktorého nastáva “minimálne 2000 incidentov za rok pri 300.000 koncových bodoch”. Hoci by pri parametroch uvedených v dokumentácii by išlo o 192.000 človekohodín strávených riešením týchto incidentov, Nases uvádza, že o nich nemá žiadne údaje. Pritom hlavný deklarovaný prínos projektu má byť dosiahnutý práve znížením škôd z týchto incidentov (~4,4M Eur/rok). Tento údaj považujeme za zásadne nadhodnotený, najmä vzhľadom na nadštandarne vysoké požiadavky na bezpečnosť na portáloch VS a špecifickú skladbu používateľov a týmito portálmi zabezpečovaných funkcií - v porovnaní s verejnou správou USA, ktorú mali v pôvodnej štúdii autori na mysli.

V dokumentácii je uvedené, že v súčasnom stave (bez proaktívneho monitorovania) Nases nevynakladá žiadny čas v cieľových činnostiach projektu. Preto v štúdii deklarované ušetrenie času a zníženie škôd nie je reálne “úspora” oproti dnešnému stavu.

Participácia na príprave projektu

K zámeru projektu prebehlo pripomienkovanie a verejné prerokovanie. Nases sa síce o naše pripomienky úprimne zaujímal, avšak kritické otázky zostali iba v rovine všeobecných vysvetlení, ktoré nepovažujeme za adekvátne, viď. aj viaceré hodnotenia v kritériách vyššie.

Diskusie k projektu na platforme:

• Detekcia zraniteľnosti koncových obslužných bodov (projekt NASES)

Dokumenty

Online: MetaIS projekt 767

Dokumenty prípravnej fázy (aka. štúdia uskutočniteľnosti):

• Zámer národného projektu_final.docx
• P_01_a_I_01_PROJEKTOVY_ZAMER
• Pristup_k_projektu_detailny
• I_02_BC_CBA
• P2_Analýza Benefitov NP Detekcia zraniteľnosti koncových obslužných bodov.docx
• Zoznam rizík detailný (v čase schvaľovania projektu)
• Vyhodnotenie pripomienok
• Hodnotenie ÚHP
• prezentácia k schvaľovaniu: prezentácia

Aktivity

V tomto projekte už prebehli nasledovné dôležité aktivity / míľniky:

• 30.7.2021 Verejné prerokovanie zámeru projektu
• 16.12.2021 Schválenie projektu na RV PO7