Požadavky na bezpečnost. Společnost OKsystem má zavedený a udržovaný systém řízení podle norem ISO 9001, ISO 14001 a systém řízení bezpečnosti informací ISO 27001. Od Národního bezpečnostního úřadu získala osvědčení podnikatele podle §54 zákona 412/2005 Sb., o ochraně utajovaných informací a bezpečnostní způsobilosti, v platném znění, pro seznamování se s utajovanými informacemi až do stupně utajení Důvěrné a pro poskytování nebo vznik utajovaných informací až do stupně utajení Důvěrné. Máme bohaté zkušenosti s vývojem bezpečnostních aplikací. Při tvorbě Systému a jeho správě budeme vycházet ze znalosti metodik Information Technology Infrastructure Library (ITIL) a Information Security Management System (ISMS). Stejně tak zahrneme požadavky dané zákonem č. 181/2014 Sb., o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti). Celý Systém bude tvořen s důrazem na bezpečnost. Zahrnuty budou metody pro funkční i bezpečnostní dohled a audit. Z různých bezpečnostních událostí bude možno identifikovat podezření na bezpečnostní incidenty. Budeme spolupracovat s nástroji pro detekci, sběr a vyhodnocení kybernetických bezpečnostních událostí. Detailně budou řešena přístupová oprávnění na úrovni rolí a autentizační metody pro ověřování identity uživatelů. Komunikace mezi vrstvami počítá s oddělením pomocí firewallu. Všechny vrstvy Systému budou řešeny s vysokou dostupností a rozvažováním zátěže. Pro zajištění důvěrnosti dat se budou využívat kryptografické prostředky v aplikaci i na straně databázového serveru. Pro zajištění důvěryhodnosti dat se využije elektronický podpis s obsaženým časovým razítkem. Bude se využívat Public Key Infrastructure (PKI) Zadavatele. Jelikož je dáno provozování Systému ve virtuálním prostředí postaveném na technologii Microsoft Hyper-V, doporučujeme, aby toto prostředí využívalo technik pro zajištění vysoké dostupnosti. Spolehlivost celého Systému se tak dá výrazně zvýšit při využití Hyper-V Host Clusters a Virtual Machine Guest Clustering pomocí System Center Virtual Machine Manager. V případě, že bude infrastruktura roztažena přes obě datová centra, může se využít vysoké dostupnosti i geograficky. Pro provoz Systému se hodí další vlastnosti jako je Virtual Machine Live Migration, Intelligent Placement a Dynamic Optimization. BEZ001 Podpora zabezpečení sítě Veškeré komunikace na prezentační, aplikační i databázovou vrstvu budou využívat TCP protokol a budou ukončeny na staticky definovaných portech. Veškeré komunikace budou...
Požadavky na bezpečnost. Obrázek 28: Datový model nabídkového prototypu Systému NPI001 Způsob implementace NPI002 Server NPI003 Klient Nabídkový prototyp je vytvořen pro platformu Microsoft Hyper-V jako dvojice virtuálních počítačů – „klient“ a „server“. Virtuální počítač „server“ obsahuje komponenty určené pro nasazení na centrálních serverech. Na rozdíl od cílové infrastruktury Systému je dle požadavků nabídkového prototypu součástí instalace prezentační aplikační a databázová vrstva, které jsou nasazeny společně na jednom virtuálním serveru. Minimální konfigurace: Windows Server 2012 R2 včetně oprav 4 GB RAM dva virtuální procesory frekvence procesoru 1,8 GHz 50 GB HDD Veškeré potřebné komponenty nutné pro instalaci serverové části Systému jsou součástí média „Server“. Virtuální počítač „klient“ obsahuje komponenty určené pro nasazení na klientských pracovních stanicích (PC) uživatelů Systému. Komponenty jsou připraveny pro počítač s operačním systémem Microsoft Windows 7, 64-bitová edice. Minimální konfigurace „Klient“:
Požadavky na bezpečnost. Zadavatel požaduje splnění následujících požadavků na bezpečnost: • Podpora zabezpečení sítě - Infrastruktura musí být koncipována tak, aby síťová komunikace využívala výhradně protokolu TCP, přičemž na straně komponenty poskytující služby (server) využívala statických, předem známých portů. Volitelně musí umožnit použití šifrované komunikace.
Požadavky na bezpečnost. ID požadavku Požadavek Naplněn (ANO/NE) Účastník uvede odkaz na přiloženou část nabídky, kde je možné ověřit naplnění parametru MIS-12-1 Identifikace a autorizace přístupů MIS MUSÍ umožňovat nastavovat a řídit oprávnění pro jednotlivé role a oblasti přístupu. MIS MUSÍ umožňovat napojení na uživatelské skupiny definované v Active Directory zadavatele MIS-12-2 Důvěrnost a integrita MIS MUSÍ zajistit, že: Uchovávaná data nesmí být zpřístupněna neautorizovaným osobám. Přístup a veškerá manipulace s daty MUSÍ být zaznamenávaná; Data nemohou být během komunikace odposlouchávána či pozměněna neautorizovanou stranou. Pro komunikaci mezi uživatelem a systémem musí být použit pouze zabezpečený komunikační protokol; Uchovávaná data nesmí být možné změnit nebo poškodit neautorizovanou stranou, či administrátory Zadavatele nebo Dodavatele.
Požadavky na bezpečnost. V případě zpracování osobních údajů bude SW splňovat základní bezpečnostní požadavky a požadavky GDPR, a to zejména: řízení přístupu k osobním údajům pacientů (role uživatel/admin); minimalizovat rozsah osobních dat, ke kterým má přístup obsluha aplikace; minimalizovat dobu kdy se lékařská a osobní data pacientů (včetně skenů) nacházejí na PC, a po tuto dobu data bezpečně šifrovat algoritmy v souladu s požadavky NÚKIB (data on rest); monitorovat a logovat pro auditní účely přístup uživatelů k osobním údajům pacientů; LDAP/AD či heslovou politiku dle Vyhlášky o kybernetické bezpečnosti 82/2018 §19 odst. 5.
Požadavky na bezpečnost. Systém musí být koncipován tak, aby síťová komunikace využívala výhradně protokolu TCP, přičemž na straně komponenty poskytující služby (server) využívala statických, předem známých portů. Volitelně musí umožnit použití šifrované komunikace. Pokud je z technologického a provozního hlediska výhodnější použit pro některé komponenty dynamického přidělování portů, lze jej využít. Avšak musí být zaručena kompatibilita takovéto komponenty, která je součástí subsystému v prostředí MPSV a její bezproblémový chod. Systémy musí umožňovat přihlášení uživatele pomocí SSO. Integrace do desktop SSO pomocí MS Windows AD – Kerberos. V případě, že nedojde k ověření pomocí mechanismu SSO pak pomocí jména a hesla nebo klientského certifikátu X. 509 v rámci protokolu SSL / TLS. Ověření bude provedeno opět vůči MS AD. Systém / aplikace musí pouze na základě změny konfigurační položky umožnit přihlášení (ověření) uživatelů jednotlivě pouze jedním z výše zmíněných způsobů či oběma způsoby naráz (více faktorová autentizace) všude tam, kde to konkrétní produkt umožňuje. Uživatelské účty budou uloženy a spravovány v rámci MS AD. Systém / aplikace bude z AD v okamžiku přihlášení přebírat identitu uživatele. Uživatelské rozhraní musí poskytovat možnost úplného a bezpečného odhlášení uživatele ze systému. Všechny přístupy k poskytované službě jsou jednotné bez ohledu na to, jestli přistupuje uživatel pomocí uživatelského rozhraní nebo aplikace pomocí webové služby. Vždy je nezbytné provést ověření uživatele a jeho oprávnění přístupu k datům na základě role nebo oprávnění a provést auditní záznam o tomto přístupu (ev. zamítnutí přístupu) a činnosti, kterou s daty uživatel provádí. Každý přístup ke službě musí být jednoznačně identifikován a přiřazen ke koncovému uživateli, který s daty pracuje (i v případě přístupu přes API je nutné přebírat identitu uživatele a ověřovat oprávnění). Implementace produktů musí využívat všech možností pro používání certifikátů a to jak pro přihlášení uživatele, tak pro podpis dokumentů, zabezpečení - šifrování dokumentů, zabezpečené spojení nebo při použití elektronické pošty. Všechny certifikáty budou při každém použití kontrolovány na jejich platnost i proti CRL. Součástí správy aplikačních rolí bude vytváření, údržba a rušení aplikačních rolí. Uchazeč dodá návrh aplikačních rolí tak, aby respektovali požadavky na zajištění odděleného přístupu k datům nebo prostředkům MPSV na základě pracovní pozice, organizační struktury, lokality a činností vykonávan...
Požadavky na bezpečnost. V rámci této kapitoly jsou definovány minimální požadavky na bezpečnost řešení, které vycházejí z obecných požadavků Objednatele na bezpečnost. Tyto požadavky se uplatní přiměřeně potřebám a funkcím mobilní aplikace. Řešení mobilní aplikace má nastavenu HSTS politiku (HTTP Strict Transport Security)a řešení aplikace zajišťuje zabezpečené řízení přístupu s oddělením rolí, logování přístupů do systému a pravidelnou aktualizaci. Při návrhu řešení budou zohledněny bezpečnostní požadavky z dokumentů projektu OWASP. Minimálně do 3 let od spuštění bude implementována ochrana DNS prostřednictvím DANE. Mobilní aplikace bude provádět potřebná bezpečnostní opatření vzhledem ke kompromitovaným zařízením. Poskytovatel zajistí potřebná bezpečnostní opatření v případě kompromitace zařízení, jako je návrat zakoupených jízdenek v případě ztráty telefonu, odcizení apod. Poskytovatel celkově zmapuje a dodá popis životního cyklu jízdenek ve vztahu k životnímu cyklu zařízení. Poskytovatel v rámci analýzy identifikuje možné bezpečnostní hrozby a během vývoje tyto hrozby eliminuje a celkově zajistí bezpečnost aplikace s důrazem na důvěrnost, dostupnost a integritu dat. Název Logování Popis Popis Systém umožní provádění automatického logování událostí nastalých v systému do databáze podle následujícího rozdělení: • Informace o editaci, přidávání a mazání položek v databázi • Informace o přihlášení, odhlášení a základních činnostech uživatelů • Volání základních metod programu včetně vnitřního rozhodování a následné akce • Ukládání výjimek a chyb programu, komunikace s databází, nevalidních entit a překročení limitních hodnot Logy budou k dispozic k náhledu v administrátorském rozhraní pro potřeby identifikace incidentů administrátorem systému. Obecně je informační bezpečnost SW řešenírealizována s důrazem na požadavky na důvěrnost, dostupnost a integritu dat. Důvěrnost dat je zajištěna zejména oddělením rolí, řízením přístupu uživatelů a jejich autentifikací. Veškerá data v úložištích budou bezpečně šifrována alespoň v jedné vrstvě. S využitím kryptografie, která je v době dodání díla obecně považována za silnou. Komunikace s BE a případné další přenosové kanály budou šifrovány s použitím asymetrické kryptografie a s využitím důvěryhodný certifikátů důvěryhodných v min. v prohlížečích Chrome a Firefox. Pro HTTPS komunikaci bude možné použít pouze TLS 1.2 a TLS 1.3, budou použity HSTS hlavičky, bude použito automatické přesměrování z HTTP na HTTPS a bude podporováno HTTP/2, bude b...
Požadavky na bezpečnost. ID požadavku Požadavek BI-12-1 Identifikace a autorizace přístupů BI platforma MUSÍ umožňovat nastavovat a řídit oprávnění pro jednotlivé role a oblasti přístupu. BI platforma MUSÍ umožňovat napojení na uživatelské skupiny definované v LDAP (eDirectory)/ Active Directory. MŽP aktuálně nedisponuje MS Active Directory. BI platforma MUSÍ umožňovat napojení na NIA a JIP/XXXX dle specifikací příslušných rozhraní publikovaných ze strany správce NIA a JIP/XXXX. BI platforma MUSÍ umožňovat logování přístupů a činnosti (využívání systému) uživateli (více viz požadavek BI-10-6). BI-12-2 Důvěrnost a integrita BI Platforma MUSÍ zajistit, že: - Uchovávaná data nesmí být zpřístupněna neautorizovaným osobám. Přístup a veškerá manipulace s daty MUSÍ být zaznamenávaná; - Data nemohou být během komunikace odposlouchávána či pozměněna neautorizovanou stranou. Pro komunikaci mezi uživatelem a systémem musí být použit pouze zabezpečený komunikační protokol; - Uchovávaná data nesmí být možné změnit nebo poškodit neautorizovanou stranou, či administrátory MŽP nebo Dodavatele. BI-12-3 Bezpečnostní monitoring Systém MUSÍ aplikaci zajištěné MŽP umožnit plný bezpečnostní monitoring dodaných komponent, infrastruktury i všech činností souvisejících se zajištěním provozu, servisu a rozvoje systému. BI-12-4 Shoda se ZoKB Systém MUSÍ být ve shodě se zákonem č. 181/2014 Sb., o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti), ve znění pozdějších předpisů. BI-12-5 Antivirová ochrana Servery a infrastruktura provozovaná MŽP má zajištěnu antivirovou ochranu.
Požadavky na bezpečnost. V rámci této kapitoly jsou definovány minimální požadavky na bezpečnost řešení, které vycházejí z obecných požadavků zadavatele na bezpečnost. Tyto požadavky se uplatní přiměřeně potřebám a funkcím mobilní aplikace.
Požadavky na bezpečnost. Pokud je ve svazku signalizačních spojů více než jeden signalizační spoj, bude polovina z těchto signalizačních spojů z důvodu bezpečnosti každého z nich vedena fyzicky nezávislou cestou, tj. jiný HW ve spojovacím systému, jiný přenosový systém, jiný kabel, atd., pokud vzájemná dohoda nestanoví jinak