Správa o plnení úloh

1. Úvod
	Predkladaný materiál dokumentuje plnenie úloh definovaných „Národnou stratégiou pre informačnú bezpečnosť v SR“, ktorá bola schválená uznesením vlády SR č. 570/2008 dňa 27. augusta 2008. Riešené úlohy vychádzajú zo strategických cieľov IB v SR a z definovaných strategických priorít podrobnejšie rozpracovaných v citovanom dokumente. Najdôležitejšie úlohy sú premietnuté do plnení úloh uznesení vlády SR z roku 2008 a majú dlhodobý charakter. Správa sa nezaoberá plnením úloh v špecifickej oblasti digitálneho priestoru, ktorou sú utajované skutočnosti. Z dôvodu urýchlenia realizácie a komplexného pokrytia úloh je proces rozdelený na dve etapy. V 1. etape sa plnia úlohy  v časovom horizonte rokov 2008 – 2009 a v 2. etape sa budú plniť úlohy v časovom horizonte rokov 2009-2013. Definovanie ďalších úloh pre 2. etapu bude riešené v Akčnom pláne na roky 2009 až 2013 k dokumentu  NSIB (úloha B. 2 citovaného uznesenia vlády SR). 
2. Plnenie úloh v 1. etape
2.1. Návrh Programu pre prístup k zdrojovým kódom a bezpečnostným riešeniam – Government Security Program (uznesenie vlády SR č. 310/2008)
Vypracovaný návrh Program (GSP) je špecializovaný program sumarizujúci súbor postupov a vzdelávacích činností zameraných na zaistenie ochrany informácií spracovávaných v programových produktoch vytvorených spoločnosťou Microsoft. Podpísaním dohody so spoločnosťou Microsoft dňa 21. mája 2008 MF SR zabezpečilo vláde SR prístup k informáciám, ktoré napomáhajú zhodnocovať a merať bezpečnosť produktov spoločnosti Microsoft v podmienkach štátnej správy a tak reagovať na kritické situácie. Kvalifikovaným účastníkom programu GSP je umožnené požiadať o prístup ku kryptografickému kódu (cryptographic cod) a vývojárskym nástrojom, ktoré sú implementované v organizáciách verejnej správy. Program umožňuje vláde SR transparentný prístup k technickým informáciám spoločnosti Microsoft, ktorý je dostupný cez centrálne webové sídlo - „Web site Code Center Premium SSL“. Významnou súčasťou programu GSP sú aj technické informácie o architektúre programových kódov, školenia bezpečnosti a konzultácie s bezpečnostnými expertmi Microsoft a poskytnutie licencie na Microsoft Office 2007 XML (Extensible Markup Language) referenčné schémy formou bezplatnej licencie za poskytnutie práv. Účasť v programe GSP a prístup k vybraným zdrojovým kódom je umožnený MF SR, ako centrálnej koordinujúcej inštitúcii pre uzatvorenú multilicenčnú zmluvu Microsoft Enterprise Agreement. Samotný prístup k zdrojovým kódom a XML referenčným schémam je poskytovaný na základe licencie. Program GSP je plnením uzatvorenej multilicenčnej zmluvy Microsoft Enterprise Agreement v oblasti poskytovania bezplatných školení a technických informácií v oblasti IB. V uvedenej oblasti MF SR zrealizovalo nasledovné činnosti:
1)	vypracovalo materiál „Návrh programu pre prístup k zdrojovým kódom a bezpečnostným riešeniam Microsoftu v rámci nadnárodnej iniciatívy GSP, ktorý bol schválený uznesením vlády SR č. 310/2008;
2)	splnomocnenec vlády SR na základe úlohy B.1 uznesenia vlády SR č. 310/2008 zo dňa 14. mája 2008 podpísal dňa 21. 5. 2008 medzinárodnú dohodu o programe vládnej bezpečnosti ohľadom zdrojového kódu spoločnosti Microsoft  (podpísali minister financií SR a  zástupca - CEO Microsoft, štát Washington);
3)	zabezpečilo prístup  do GSP centra “Code Center Premium“ pre vybraných pracovníkov inštitúcií VS, ktorý bude aktivovaný po absolvovaní špeciálnych školení;
4)	zabezpečilo realizáciu špecializovaných školení k zdrojovým kódom produktov Microsoft pre zástupcov inštitúcií MF SR (3), MV SR (3), MO SR (4), NBÚ (4) a SIS (3) v celkovom počte 17 pracovníkov, pričom zrealizované boli doposiaľ 3 špecializované školenia; 
5)	pripravuje v spolupráci s odborníkmi Microsoft metodický dokument „Bezpečnosť v prostredí Microsoft“ s určením pre cieľovú skupinu používateľov verejnej správy. Dokument, ktorý je v prípravnom procese, bude vydaný metodickým pokynom MF SR a zverejnený vo Finančnom spravodajcovi v 2. polroku 2009.
Vytvorený program, ktorého sa zúčastňujú úzko špecializovaní odborníci z oblasti počítačovej bezpečnosti z organizácií MF SR, MV SR,  MO SR, NBÚ a SIS a tvorba metodických materiálov si nevyžadujú finančné náklady zo strany štátu, t. j. prístupy a vysoko špecializované školenia sú bezplatné a metodické materiály sa pripravujú vo vlastnej réžii. Podrobnejšie informácie o obsahu úlohy sú uvedené v materiáli č. 10151/2008 schválenom uznesením vlády SR č. 310/2008 zo dňa 14. mája 2008.
2.2. Výnos MF SR č. MF/013261/2008 – 132 o štandardoch pre informačné systémy verejnej správy
Práva a povinnosti pri vytváraní a prevádzkovaní ISVS sú ustanovené v zákone č. 275/2006 Z. z. o ISVS v znení neskorších predpisov. V oblasti štandardizácie bola vypracovaná novela k výnosu MDPT SR č. 1706/M - 2006 o štandardoch pre ISVS, pričom jeho piata časť „Bezpečnostné štandardy“ bola komplexne prepracovaná. Novelizovaný všeobecne záväzný právny predpis zo dňa 8. septembra 2008 č. MF/013261/2008-132 bol zverejnený oznámením v Zbierke zákonov SR pod číslom 358/2008 Z. z. a následne uverejnený vo Finančnom spravodajcovi MF SR. Uvedený technický predpis s účinnosťou od 1. novembra 2008 obsahuje bezpečnostné štandardy v nasledovných oblastiach:
1)	štandardy pre architektúru riadenia
-	riadenie IB,
-	personálnu bezpečnosť,
-	manažment rizík pre oblasť IB,
-	kontrolný mechanizmus riadenia IB;
2)	štandardy minimálneho technického zabezpečenia
-	ochrana proti škodlivému SW,
-	sieťová bezpečnosť,
-	fyzická bezpečnosť a bezpečnosť prostredia,
-	aktualizácia SW,
-	monitorovanie a manažment bezpečnostných incidentov,
-	periodické hodnotenie zraniteľnosti,
-	zálohovanie,
-	fyzické ukladanie záloh,
-	riadenie prístupu,
-	aktualizácie informačno-komunikačných technológií,
-	účasť tretej strany. 
Pre metodiku správy štandardov a pre zoznam odporúčaných štandardov boli k citovanému výnosu o štandardoch pre ISVS vypracované metodické pokyny, ktoré sú zverejnené na stránke MF SR www.informatizacia.sk .
2.3. Návrh organizačného, personálneho, materiálno-technického a finančného zabezpečenia na vytvorenie špecializovanej jednotky pre riešenie počítačových incidentov v Slovenskej republike -CSIRT.SK (úloha B.1 uznesenie vlády SR č. 570/2008) 
Za účelom zabezpečenia primeranej úrovne ochrany informačnej komunikačnej infraštruktúry a jej technologických prvkov MF SR v zmysle úlohy B.1 citovaného uznesenia vlády SR vypracovalo komplexný návrh riešenia na vytvorenie a prevádzkovanie špecializovanej jednotky CSIRT.SK. Návrh definuje hlavné poslanie a úlohy jednotky pri riešení informačno-bezpečnostných incidentov v SR, organizačné, personálne a finančné zabezpečenie, sídlo pôsobenia jednotky a časový horizont jej dotvorenia do konečného stavu. Časový horizont realizácie je navrhnutý na obdobie 34 mesiacov, s predpokladanou realizáciou od 1. júla 2009 do 30. apríla 2012. Podrobnejšie informácie sú uvedené v nosnom materiáli, ktorý je v súčasnosti predmetom vnútrorezortného pripomienkového konania.
2.4. Návrh systému vzdelávania v oblasti informačnej bezpečnosti v SR (úloha B.5 uznesenie vlády SR č. 570/2008)
Cieľom úlohy bolo identifikovať skupiny používateľov digitálneho priestoru od laikov až po špecialistov, odhadnúť kvalifikačné potreby v SR a navrhnúť obsah vzdelávania v IB pre jednotlivé kategórie. Súčasťou vypracovaného dokumentu je návrh systému vzdelávania, ktorý vychádza zo súčasného stavu IB v SR a vo svete. Dokument je orientovaný na celý digitálny priestor SR, nezaoberá sa však prípravou špecialistov na ochranu časti tohto priestoru spadajúceho pod zákon č. 215/2004 Z. z. o ochrane utajovaných skutočností a o zmene a doplnení niektorých zákonov v znení neskorších predpisov. Navrhovaný systém vzdelávania v IB je koncipovaný ako otvorený systém, ktorý môže byť v prípade potreby modifikovaný a doplnený. Výstupom tohto strategického dokumentu je stanovenie základných cieľov, návrh úloh a aktivít v oblasti vzdelávania v IB a návrh opatrení, ktorý je premietnutý do úloh zadefinovaných v návrhu uznesenia vlády. Implementácia „Návrhu systému vzdelávania v oblasti IB v SR“ pre všetky cieľové skupiny s jeho zaradením do všetkých štátnych vzdelávacích programov a vypracovanie štandardu gramotnosti v oblasti IB pre jednotlivé kategórie a jeho zaradenie do národnej sústavy kvalifikácií v zmysle návrhu zákona o celoživotnom vzdelávaní si vyžaduje úzku spoluprácu s MŠ SR. Dokument je v súčasnosti predmetom medzirezortného pripomienkového konania.
2.5. Návrh zákona, ktorým sa mení a dopĺňa zákon č. 275/2006 Z. z. o informačných systémoch verejnej správy a o zmene a doplnení niektorých zákonov v znení neskorších predpisov a o zmene a doplnení niektorých zákonov (Plán legislatívnych úloh vlády SR)
Vypracovaný návrh zákona, ktorým sa mení a dopĺňa zákon č. 275/2006 Z. z. o ISVS v znení neskorších predpisov priamo nadväzuje na „Národnú stratégiu pre informačnú bezpečnosť v SR“ schválenú uznesením vlády SR č. 570/2008, kde MF SR riadi a koordinuje IB ISVS s výnimkou systémov ustanovených osobitnými predpismi, prípadne smernicami EÚ/EK. V zmysle vykonávacieho predpisu k citovanému zákonu, ktorým je výnos MF SR č. MF/013261/2008 – 132 o štandardoch pre ISVS, MF SR ustanovuje bezpečnostné štandardy, ktoré povinné osoby musia dodržiavať.

Predmetný návrh zákona bol predmetom medzirezortného pripomienkového konania. Dňa 26. marca 2009 bol prerokovaný v Rade vlády SR pre verejnú správu a v súčasnej dobe sa predkladá do LRV SR s jedným nevyriešeným rozporom splnomocnenca pre informačnú spoločnosť. Sporná pripomienka nebola predložená v súlade s Legislatívnymi pravidlami vlády SR (čl. 10 ods. 1), prekračuje rámec predkladaného návrhu zákona a jej aplikácia by spôsobila zvýšenie administratívneho zaťaženia dotknutých inštitúcií. Predpokladaný termín účinnosti zákona je od 1. septembra 2009.
2.6	Prehľad stavu štandardizačnej činnosti v oblasti IB
Cieľom úlohy definovanej v NSIB bolo vypracovať analytický materiál, ktorý sprehľadní všetky normy z oblasti IB potrebné pre SR, všetky existujúce normy, resp. normy, ktoré sa pripravujú. Materiál popisuje stav informačno-bezpečnostných noriem a štandardov v SR a uvádza subjekty, ktoré ich vydávajú. Obsahom vypracovaného materiálu je:
-	prehľad relevantných medzinárodných štandardizačných organizácií a o zastúpení SR v nich,
-	prehľad kompetencií slovenských organizácií v štandardizačnej činnosti,
-	prehľad  súčasných slovenských noriem (aktuálne normy a normy na vyradenie),
-	zoznam noriem, ktoré je potrebné zaradiť do STN,
-	prehľad potrebných štandardov, ktoré nie sú začleniteľné do STN,
-	analýza stavu, nedostatkov a návrhu spôsobu riešenia situácie v oblasti normotvorby v oblasti IB v SR.
Výstupom dokumentu je návrh nasledovných opatrení, ktoré je vhodné realizovať:
1)	Konsolidovať referencované technické normy citované v technických predpisoch;
2)	Zriadiť centrálny prístupový bod k štandardom;
3)	Zaradiť v rámci úlohy B.5 uznesenia vlády SR č. 570/2008 štandardizáciu IB do procesu vzdelávania;
4)	Vypracovať metodiky a návody konfigurácie konkrétnych VT zariadení a vydať ich formou metodických pokynov;
5)	Vypracovať legislatívnu analýzu pre použitie existujúcich mechanizmov štandardizácie (klasifikácia, posudzovanie zhody, certifikácia autorizácia a pod.). 
Závery uvedené v dokumente poslúžia na koordináciu činností súvisiacich s vytváraním, schvaľovaním a vydávaním nových noriem a štandardov a na zváženie rozdelenia kompetencií v oblasti štandardizácie. 
2.7	Analýza stavu IB v SR
Analýza stavu IB v SR, ktorá tvorí samostatný dokument, bola vykonaná na základe monitoringu stavu IB v organizáciách verejnej správy SR v mesiaci december 2008 formou dotazníkovej metódy. Dotazník bol sprístupnený osloveným subjektom priamo na stránke MF SR  (www.informatizacia.sk). Respondenti odpovedali formou on-line prístupu (vypĺňanie údajov priamo do elektronického formuláru na stránke MF SR) na celkovo 46 otázok zatriedených do šiestich problémových skupín, ktorými sú:
1)	Popis prostredia;
2)	Riadenie rizík;
3)	Riešenie incidentov;
4)	Riadenie zmien informačných systémov;
5)	Vzdelávanie v oblasti IB;
6)	Súlad s legislatívou.
Celkovo bolo vyhodnotených 258 organizácií z ústrednej štátnej správy, miestnej štátnej správy, špecializovanej miestnej správy, vyšších územných celkov, obcí a miest a iných organizácií (škôl, poskytovateľov zdravotnej starostlivosti, príspevkových, rozpočtových a neziskových organizácií a štátnych podnikov). Súhrn výsledkov monitoringu a závery sú uvedené v prílohe č. 1 tohto materiálu. Súčasťou plnenia úlohy je aj vypracovaný dokument „Návrh metodiky hodnotenia stavu IB v SR“. Uvedený dokument vychádza zo súčasného stavu IB v SR. Návrh obsahuje 11 modulov hodnotenia a základné princípy postupu.
2.8. Zabezpečiť zjednocovanie odbornej terminológie, jej záväznosť pre oblasť informatizácie a informačnej bezpečnosti pre tvorbu legislatívnych a koncepčných materiálov (uznesenie vlády SR č.570/2008)
MF SR za účelom zabezpečenia jednotnosti a záväznosti terminológie pre oblasť informatizácie a jej zosúladenie s terminológiou zavedenou v EÚ vypracovalo terminologický slovník (Glosár), ktorý bol vydaný v roku 2008 „Metodickým pokynom na použitie odborných výrazov v IT“. V súčasnosti je v príprave 2. časť slovníka, ktorá bude zahŕňať odbornú terminológiu z oblasti IB. Slovník, ktorý v súčasnosti obsahuje vyše 600 všeobecných odborných výrazov, bude rozšírený o ďalších cca 1000 odborných výrazov z oblasti legislatívy a normotvorby SR a EÚ. V uvedenej súvislosti MF SR zriadilo vo februári 2009 pracovnú skupinu pre tvorbu odbornej terminológie v oblasti IB a IT pod Komisiou pre štandardizáciu. Predpokladaný výstup z tejto úlohy bude v auguste 2009. 
3.	Návrh plnenia úloh na rok 2009
1)  Vypracovať Akčný plán k dokumentu NSIB v SR na obdobie rokov 2009 – 2013;
2)	Vypracovať slovník odborných terminologických výrazov z oblasti IB pre účely zjednotenia tvorby legislatívnych a strategických dokumentov a zabezpečiť jeho vydanie metodickým pokynom vo Finančnom spravodajcovi MF SR;
3)	Vypracovať legislatívny zámer zákona o IB v SR;
4)	Vypracovať návrh na zriadenie centrálneho prístupového bodu k normám a štandardom v zmysle odporúčania číslo 2 v bode 2.6 správy a zvážiť jeho prístup cez prevádzkovaný ISVS v zmysle materiálu č. 4753/1995 schváleného uznesením vlády SR č. 104/1996,
5)	V rámci úlohy „Návrhu systému vzdelávania v IB“
-	vytvoriť pracovnú skupinu pre vzdelávanie v IB pod Komisiou pre IB na MF SR,
-	v spolupráci s MŠ SR implementovať návrh systému vzdelávania v oblasti IB v SR pre cieľové skupiny definované v zmysle materiálu v bode 2.4 správy a zaradiť ho do všetkých štátnych vzdelávacích programov,
-	v spolupráci s MŠ SR vypracovať štandard gramotnosti v oblasti IB pre jednotlivé kategórie a zabezpečiť zaradenie štandardu do národnej sústavy kvalifikácií v zmysle návrhu zákona o celoživotnom vzdelávaní,
-	informovať vládu SR o plnení úloh a o stave IB vo verejnej správe SR.