Požadavky na bezpečnost. Obrázek 28: Datový model nabídkového prototypu Systému NPI001 Způsob implementace NPI002 Server NPI003 Klient Nabídkový prototyp je vytvořen pro platformu Microsoft Hyper-V jako dvojice virtuálních počítačů – „klient“ a „server“. Virtuální počítač „server“ obsahuje komponenty určené pro nasazení na centrálních serverech. Na rozdíl od cílové infrastruktury Systému je dle požadavků nabídkového prototypu součástí instalace prezentační aplikační a databázová vrstva, které jsou nasazeny společně na jednom virtuálním serveru. Minimální konfigurace: Windows Server 2012 R2 včetně oprav 4 GB RAM dva virtuální procesory frekvence procesoru 1,8 GHz 50 GB HDD Veškeré potřebné komponenty nutné pro instalaci serverové části Systému jsou součástí média „Server“. Virtuální počítač „klient“ obsahuje komponenty určené pro nasazení na klientských pracovních stanicích (PC) uživatelů Systému. Komponenty jsou připraveny pro počítač s operačním systémem Microsoft Windows 7, 64-bitová edice. Minimální konfigurace „Klient“:
Požadavky na bezpečnost. Společnost OKsystem má zavedený a udržovaný systém řízení podle norem ISO 9001, ISO 14001 a systém řízení bezpečnosti informací ISO 27001. Od Národního bezpečnostního úřadu získala osvědčení podnikatele podle §54 zákona 412/2005 Sb., o ochraně utajovaných informací a bezpečnostní způsobilosti, v platném znění, pro seznamování se s utajovanými informacemi až do stupně utajení Důvěrné a pro poskytování nebo vznik utajovaných informací až do stupně utajení Důvěrné. Máme bohaté zkušenosti s vývojem bezpečnostních aplikací. Při tvorbě Systému a jeho správě budeme vycházet ze znalosti metodik Information Technology Infrastructure Library (ITIL) a Information Security Management System (ISMS). Stejně tak zahrneme požadavky dané zákonem č. 181/2014 Sb., o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti). Celý Systém bude tvořen s důrazem na bezpečnost. Zahrnuty budou metody pro funkční i bezpečnostní dohled a audit. Z různých bezpečnostních událostí bude možno identifikovat podezření na bezpečnostní incidenty. Budeme spolupracovat s nástroji pro detekci, sběr a vyhodnocení kybernetických bezpečnostních událostí. Detailně budou řešena přístupová oprávnění na úrovni rolí a autentizační metody pro ověřování identity uživatelů. Komunikace mezi vrstvami počítá s oddělením pomocí firewallu. Všechny vrstvy Systému budou řešeny s vysokou dostupností a rozvažováním zátěže. Pro zajištění důvěrnosti dat se budou využívat kryptografické prostředky v aplikaci i na straně databázového serveru. Pro zajištění důvěryhodnosti dat se využije elektronický podpis s obsaženým časovým razítkem. Bude se využívat Public Key Infrastructure (PKI) Zadavatele. Jelikož je dáno provozování Systému ve virtuálním prostředí postaveném na technologii Microsoft Hyper-V, doporučujeme, aby toto prostředí využívalo technik pro zajištění vysoké dostupnosti. Spolehlivost celého Systému se tak dá výrazně zvýšit při využití Hyper-V Host Clusters a Virtual Machine Guest Clustering pomocí System Center Virtual Machine Manager. V případě, že bude infrastruktura roztažena přes obě datová centra, může se využít vysoké dostupnosti i geograficky. Pro provoz Systému se hodí další vlastnosti jako je Virtual Machine Live Migration, Intelligent Placement a Dynamic Optimization. BEZ001 Podpora zabezpečení sítě Veškeré komunikace na prezentační, aplikační i databázovou vrstvu budou využívat TCP protokol a budou ukončeny na staticky definovaných portech. Veškeré komunikace budou...
Požadavky na bezpečnost. Systém musí splňovat požadavky dané legislativou České republiky, především pak požadavky ZKB a souvisejících prováděcích právních předpisů. Zhotovitel bude dodávat i veškerou požadovanou dokumentaci související se zákonnými požadavky. Veškerá data přenášená po telekomunikačních sítích musí být chráněná standardizovanými kryptografickými prostředky tak, aby bylo zabráněno jejich odposlechu, změně či jinému zneužití. Detailní požadavky na bezpečnost jsou součástí níže uvedených dokumentů: • Požadavky na dokumentaci Informačních systémů resortu justice • Požadavky na IS a dodavatele z pohledu Instrukce č. 5/2022 Ministerstva spravedlnosti Další upřesnění v rámci bezpečnostních požadavků je součástí následujících podkapitol.
Požadavky na bezpečnost. V rámci této kapitoly jsou definovány minimální požadavky na bezpečnost řešení, které vycházejí z obecných požadavků zadavatele na bezpečnost. Tyto požadavky se uplatní přiměřeně potřebám a funkcím mobilní aplikace.
Požadavky na bezpečnost. Pokud je ve svazku signalizačních spojů více než jedno signalizační vedení, mělo by být, z důvodu bezpečnosti každé z nich, vedeno pokud možno fyzicky nezávislou cestou, tj. jiný HW ve spojovacím systému, jiný přenosový systém, jiný kabel, atd.
Požadavky na bezpečnost. V rámci této kapitoly jsou definovány minimální požadavky na bezpečnost řešení, které vycházejí z obecných požadavků Objednatele na bezpečnost. Tyto požadavky se uplatní přiměřeně potřebám a funkcím mobilní aplikace. Řešení mobilní aplikace má nastavenu HSTS politiku (HTTP Strict Transport Security)a řešení aplikace zajišťuje zabezpečené řízení přístupu s oddělením rolí, logování přístupů do systému a pravidelnou aktualizaci. Při návrhu řešení budou zohledněny bezpečnostní požadavky z dokumentů projektu OWASP. Minimálně do 3 let od spuštění bude implementována ochrana DNS prostřednictvím DANE. Mobilní aplikace bude provádět potřebná bezpečnostní opatření vzhledem ke kompromitovaným zařízením. Poskytovatel zajistí potřebná bezpečnostní opatření v případě kompromitace zařízení, jako je návrat zakoupených jízdenek v případě ztráty telefonu, odcizení apod. Poskytovatel celkově zmapuje a dodá popis životního cyklu jízdenek ve vztahu k životnímu cyklu zařízení. Poskytovatel v rámci analýzy identifikuje možné bezpečnostní hrozby a během vývoje tyto hrozby eliminuje a celkově zajistí bezpečnost aplikace s důrazem na důvěrnost, dostupnost a integritu dat. Název Logování Popis Popis Systém umožní provádění automatického logování událostí nastalých v systému do databáze podle následujícího rozdělení: • Informace o editaci, přidávání a mazání položek v databázi • Informace o přihlášení, odhlášení a základních činnostech uživatelů • Volání základních metod programu včetně vnitřního rozhodování a následné akce • Ukládání výjimek a chyb programu, komunikace s databází, nevalidních entit a překročení limitních hodnot Logy budou k dispozic k náhledu v administrátorském rozhraní pro potřeby identifikace incidentů administrátorem systému. Obecně je informační bezpečnost SW řešenírealizována s důrazem na požadavky na důvěrnost, dostupnost a integritu dat. Důvěrnost dat je zajištěna zejména oddělením rolí, řízením přístupu uživatelů a jejich autentifikací. Veškerá data v úložištích budou bezpečně šifrována alespoň v jedné vrstvě. S využitím kryptografie, která je v době dodání díla obecně považována za silnou. Komunikace s BE a případné další přenosové kanály budou šifrovány s použitím asymetrické kryptografie a s využitím důvěryhodný certifikátů důvěryhodných v min. v prohlížečích Chrome a Firefox. Pro HTTPS komunikaci bude možné použít pouze TLS 1.2 a TLS 1.3, budou použity HSTS hlavičky, bude použito automatické přesměrování z HTTP na HTTPS a bude podporováno HTTP/2, bude b...
Požadavky na bezpečnost. Pokud je ve svazku signalizačních spojů více než jeden signalizační spoj, bude polovina z těchto signalizačních spojů z důvodu bezpečnosti každého z nich vedena fyzicky nezávislou cestou, tj. jiný HW ve spojovacím systému, jiný přenosový systém, jiný kabel, atd., pokud vzájemná dohoda nestanoví jinak
Požadavky na bezpečnost. 4.2.1.Použité materiály a výrobky musí splňovat požadavky na bezpečný výrobek ve smyslu zákona č. 102/2001 Sb., o obecné bezpečnosti výrobků a o změně některých zákonů (zákon o obecné bezpečnosti výrobků). Dále musí splňovat platné technické, bezpečnostní, zdravotní, hygienické a jiné předpisy, včetně předpisů týkajících se ochrany životního prostředí, vztahujících se na výrobek a jeho výrobu, zejména: - zákon č. 22/1997 Sb., o technických požadavcích na výrobky a o změně a doplnění některých zákonů, ve znění pozdějších předpisů, a navazující, - nařízení vlády č. 163/2002 Sb., kterým se stanoví technické požadavky na vybrané stavební výrobky, ve znění nařízení vlády č. 312/2005 Sb., - zákon č. 86/2002 Sb., o ochraně ovzduší a o změně některých dalších zákonů (zákon o ochraně ovzduší), ve znění pozdějších předpisů, - zákon č. 20/2004 Sb., kterým se mění zákon č. 254/2001 Sb., o vodách a o změně některých zákonů (vodní zákon), ve znění pozdějších předpisů, - zákon č. 106/2005 Sb., kterým se mění zákon č. 185/2001 Sb., o odpadech a o změně některých dalších zákonů, ve znění pozdějších předpisů, - zákon č. 356/2003 Sb., o chemických látkách a chemických přípravcích a o změně některých zákonů, ve znění pozdějších předpisů, - vyhlášku MŽP č. 221/2004 Sb., v platném znění, kterou se stanoví seznamy nebezpečných chemických látek a nebezpečných chemických přípravků, jejichž uvádění na trh je zakázáno nebo jejichž uvádění na trh, do oběhu nebo do používání je omezeno. 4.2.2.Splnění požadavků uchazeč prokáže: - u výrobků stanovených dle § 12 zákona č. 22/1997 Sb., písemným prohlášením o shodě výrobku s technickými předpisy a o dodržení stanoveného postupu posouzení shody podle § 13 tohoto zákona, u ostatních výrobků jiným vhodným způsobem dle zákona č. 102/2001 Sb., o obecné bezpečnosti výrobků (např. podepsaným čestným prohlášením), - a zároveň též čestným prohlášením uchazeče, že s ním není vedeno správní řízení pro porušování výše uvedených zákonů. 4.2.3.Nábytek opatřený ekoznačkou typu I dle ČSN ISO 14024 bude považován za splňující požadavky bodu 4.2.1. Pokud uchazeč předloží odpovídající certifikát dle citované normy, nemusí předkládat doklady dle 4.2.2
Požadavky na bezpečnost. 5. Popis procesů
Požadavky na bezpečnost. ID požadavku Požadavek BI-12-1 Identifikace a autorizace přístupů BI platforma MUSÍ umožňovat nastavovat a řídit oprávnění pro jednotlivé role a oblasti přístupu. BI platforma MUSÍ umožňovat napojení na uživatelské skupiny definované v LDAP (eDirectory)/ Active Directory. MŽP aktuálně nedisponuje MS Active Directory. BI platforma MUSÍ umožňovat napojení na NIA a JIP/XXXX dle specifikací příslušných rozhraní publikovaných ze strany správce NIA a JIP/XXXX. BI platforma MUSÍ umožňovat logování přístupů a činnosti (využívání systému) uživateli (více viz požadavek BI-10-6). BI-12-2 Důvěrnost a integrita BI Platforma MUSÍ zajistit, že: - Uchovávaná data nesmí být zpřístupněna neautorizovaným osobám. Přístup a veškerá manipulace s daty MUSÍ být zaznamenávaná; - Data nemohou být během komunikace odposlouchávána či pozměněna neautorizovanou stranou. Pro komunikaci mezi uživatelem a systémem musí být použit pouze zabezpečený komunikační protokol; - Uchovávaná data nesmí být možné změnit nebo poškodit neautorizovanou stranou, či administrátory MŽP nebo Dodavatele. BI-12-3 Bezpečnostní monitoring Systém MUSÍ aplikaci zajištěné MŽP umožnit plný bezpečnostní monitoring dodaných komponent, infrastruktury i všech činností souvisejících se zajištěním provozu, servisu a rozvoje systému. BI-12-4 Shoda se ZoKB Systém MUSÍ být ve shodě se zákonem č. 181/2014 Sb., o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti), ve znění pozdějších předpisů. BI-12-5 Antivirová ochrana Servery a infrastruktura provozovaná MŽP má zajištěnu antivirovou ochranu.