Source: https://www.epi.sk/zz/2014-55
Timestamp: 2020-07-05 00:34:27+00:00

Document:
55/2014 Z. z. Výnos o štandardoch pre informačné systémy verejnej správy | Aktuálne znenie
Hľadaj v 55/2014 ×
(v znení č. 276/2014 Z. z., 137/2015 Z. z., 78/2018 Z. z., 311/2018 Z. z., 56/2019 Z. z., 78/2020 Z. z.)
Čiastka 18/2014
Účinnosť od 01.05.2020 do29.06.2020
Zrušený 179/2020 Z. z.
Tento výnos nadobúda účinnosť 15. marca 2014 okrem § 19 písm. c), d), f) a g), § 21, písm h), § 22 písm. d) až g), § 23, § 24 písm. b) až f) a h), § 44, § 47 písm. e) a f), § 48, § 51 ods. 2, § 52, § 53, § 55 až 57, bodov 1.6, 3.1, 5.4, 7.3 a 9.4 prílohy č. 1 a prílohy ...
Štandardy pre architektúru riadenia (§ 29 - § 32)
Štandardy minimálneho technického zabezpečenia (§ 33 - § 44)
Aktuálne znenie 01.05.2020 - 29.06.2020
i) gestorom dátového prvku povinná osoba zodpovedná za správnosť a aktuálnosť atribútov dátového prvku; gestor dátového prvku nezodpovedá za obsah prenášaný dátovým prvkom,
q) programom skupina projektov riadených koordinovaným spôsobom za účelom dosiahnutia spoločného cieľa a zvýšených prínosov a umožnenia efektívnej kontroly projektov a efektívneho riadenia projektov, čo nie je možné dosiahnuť, ak by sa projekty riadili samostatne,
r) datasetom ucelená a samostatne použiteľná skupina súvisiacich údajov vytvorených a udržiavaných na určitý účel, uložených spoločne podľa rovnakej schémy a poskytovaných prostredníctvom súboru alebo aplikačného rozhrania,
s) dátovým zdrojom pôvodné miesto evidencie datasetu,
t) referencovateľným identifikátorom identifikátor, ktorý
10. neobsahuje interpunkciu a iné znaky okrem znakov lomka, pomlčka, bodka, podčiarkovník, zavináč a mriežka, diakritiku a biele znaky ako sú napríklad medzera, tabulátor, nový riadok,
11. neobsahuje reťazec „www“,
12. neobsahuje interpunkciu okrem znakov lomka, pomlčka a bodka, diakritiku a medzery okrem identifikátora fyzickej osoby podľa osobitného predpisu,1a) kde je možné použiť interpunkciu a diakritiku,
13. obsahuje iba malé písmená,
14. nahrádza špeciálne znaky, napríklad výkričník, úvodzovky, percento, hviezdička, zátvorka, dolár alebo mriežka, pomlčkami a podčiarkovníkmi,
u) tripletom znalosť vo forme „subjekt predikát objekt“,
v) prepojenými údajmi údaje vyjadrené referencovateľnými identifikátormi, ktoré sú automatizovane spracovateľné tak, že technické zariadenie, ktoré ich spracúva, porozumie ich významu; na opis údajov sa použijú dátové prvky z Centrálneho modelu údajov,
w) metaúdajmi štruktúrované údaje obsahujúce informácie o primárnych údajoch, pričom primárne údaje spravidla reprezentujú určitý hmotný objekt alebo nehmotný objekt; metaúdaje sú určené najmä na vyhľadávanie, katalogizáciu a využívanie primárnych údajov,
x) cloud computingom model umožňujúci jednoduchý samoobslužný sieťový prístup k službám informačných technológií na vyžiadanie, poskytovaným vo virtuálnom prostredí konfigurovateľných výpočtových zdrojov, ktoré môžu byť pridelené alebo uvoľnené s minimálnym úsilím a časovým obmedzením, a to na základe voliteľného škálovania a navyšovania, nezávisle od lokality zdrojov alebo lokality prístupu k nim a bez osobného kontaktu s poskytovateľom cloudovej služby, pričom využitie týchto služieb je merané a hodnotené podľa ich skutočného využitia,
y) cloudovou službou ľubovoľný prostriedok alebo zdroj cloud computingu, poskytovaný vzdialeným prístupom na základe podmienok dohodnutých v dohode o poskytovanej úrovni cloudových služieb,
z) dohodou o poskytovanej úrovni cloudových služieb zmluvný vzťah upravujúci parametre a kvalitu poskytovaných cloudových služieb, ktorá obsahuje úlohy a povinnosti zmluvných strán, pričom táto dohoda sa obvykle uzatvára medzi odberateľom cloudových služieb a poskytovateľom cloudových služieb alebo sprostredkovateľom cloudových služieb,
aa) odberateľom cloudových služieb osoba, ktorá na základe dohody o poskytovanej úrovni cloudových služieb využíva cloudové služby poskytovateľa cloudových služieb,
ab) poskytovateľom cloudových služieb osoba zodpovedná za správu cloud computingu a poskytovanie cloudových služieb, a to podľa podmienok dohodnutých v dohode o poskytovanej úrovni cloudových služieb,
ac) prevádzkovateľom cloudových služieb osoba, ktorá na základe zmluvného vzťahu s poskytovateľom cloudových služieb zabezpečuje technické podmienky na prevádzkovanie, prepojenie a prenos cloudových služieb,
ad) sprostredkovateľom cloudových služieb osoba, ktorá na základe zmluvného vzťahu s poskytovateľom cloudových služieb prevádzkuje využívanie, výkon a dodávku cloudových služieb,
ae) audítorom cloudu osoba nezávislá od poskytovateľa cloudových služieb, určujúca na základe poverenia od tohto poskytovateľa kritériá auditu slúžiace na objektívne získavanie dôkazov o dodržiavaní podmienok poskytovania cloudových služieb a vykonávajúca na základe poverenia od tohto poskytovateľa systematický, nezávislý a zdokumentovaný proces ich vyhodnocovania,
af) identifikačnou registráciou osoby proces, počas ktorého je osoba identifikovaná na základe určitých registračných údajov, z ktorých určené registračné údaje môžu byť potvrdzované, pričom výsledkom registrácie je priradenie určitej identity v určenom kontexte tejto osobe,
ag) registračnou autoritou identifikácie poskytovateľ identifikačnej registrácie,
ah) federáciou identít overovanie identít informačných systémov verejnej správy v správe najmenej dvoch povinných osôb, ktoré sa vykonáva u jedného poskytovateľa identít,
ai) priamo podpísaným elektronickým dokumentom podpísaný elektronický dokument, ku ktorému sú elektronický podpis alebo elektronická pečať, ktorými sa podpisuje, pripojené ako jeho súčasť,
aj) externe podpísaným elektronickým dokumentom podpísaný elektronický dokument, ku ktorému sú elektronický podpis alebo elektronická pečať, ktorými sa podpisuje, pripojené prostredníctvom podpisového kontajneru, prostredníctvom formátu podpisu alebo ako samostatné súbory,
ak) číselníkom množina údajov vo forme jednotlivých položiek číselníka, ktoré sú popísané najmenej dvojicou dátových prvkov „kód položky“ a „názov položky“; „kódom položky“ je textový reťazec, ktorý je v číselníku jedinečný,
al) základným číselníkom číselník vedený centrálne prostredníctvom informačného systému verejnej správy, slúžiaci na určenie prípustných hodnôt príslušných dátových prvkov ktoré sú vyjadrené jednotným referencovateľným identifikátorom.
am) dereferenciáciou poskytovanie referencovateľného identifikátora ako funkčného priameho odkazu vo forme Uniform Resource Locator (URL) pre informácie o údaji reprezentovanom referencovateľným identifikátorom a o jeho účele,
ar) validáciou formátu elektronického dokumentu overenie súladu formátu súboru s príslušnou technickou špecifikáciou programovými prostriedkami.
11. určenie operačných smerníc pre zálohovanie a určenie ktoré skupiny údajov, v akom rozsahu, akým spôsobom a s akou periodicitou sa zálohujú v prevádzkovej zálohe a archivačnej zálohe,
14. určenie postupu pri revízii bezpečnostnej politiky povinnej osoby vrátane periodicity pravidelných a dôvodov mimoriadnych revízií bezpečnostnej politiky povinnej osoby,
g) určenie privilegovaných používateľských rolí v informačných systémoch verejnej správy, určenie bezpečnostných požiadaviek na jednotlivé privilegované používateľské roly a určenie, ktoré používateľské roly nie je možné navzájom zlúčiť; privilegovanými používateľskými roľami sú najmä správca systému, operátor, používateľ, audítor a programátor.
a) zabezpečenie, aby boli všetci zamestnanci povinnej osoby a osoby, ktoré vykonávajú činnosti pre povinnú osobu vyplývajúce zo zmluvných záväzkov (ďalej len „tretia strana“) poučení o schválenej bezpečnostnej politike povinnej osoby a o povinnostiach z nej vyplývajúcich,
c) zabezpečenie, aby povinnosti vyplývajúce z bezpečnostnej politiky povinnej osoby a z pracovného zaradenia zamestnanca boli uvedené v jeho pracovnej zmluve alebo inom dokumente týkajúcom sa jeho právneho vzťahu s povinnou osobou,
d) vypracovanie postupu pre disciplinárne konanie vo vzťahu k zamestnancovi alebo vo vzťahu k tretej strane, ktorí porušia bezpečnostnú politiku povinnej osoby alebo niektorý zo súvisiacich predpisov,
e) zabezpečenie povinnosti zamestnancov oznamovať bezpečnostné incidenty v súlade s postupmi podľa § 37,
a) implementácia systému riadenia a monitorovania rizík v súvislosti s informačnými systémami verejnej správy, a to najmä podľa relevantných technických noriem a pravidelné zbieranie relevantných údajov súvisiacich s rizikami,
e) analyzovanie rizík, vyplývajúcich z hrozieb pre informačné systémy verejnej správy, od ktorých závisia kritické procesy; tieto informačné systémy sú kritickými informačnými systémami verejnej správy,
f) vypracovanie plánov na obnovu činnosti nefunkčných, poškodených alebo zničených kritických informačných systémov verejnej správy,
g) vedenie zoznamu aktív spôsobom určeným orgánom vedenia, a to najmenej v rozsahu zoznamu
4. používaných technológií.
d) určenie pravidiel pre sťahovanie súborov prostredníctvom externých sietí,
e) podpora zabezpečenia autenticity a integrity súborov pomocou kryptografických prostriedkov, ktorým je najmä elektronický podpis,
b) vedenie evidencie o všetkých miestach prepojenia sietí v správe povinnej osoby vrátane prepojení s externými sieťami, ktorými sú všetky prepojenia, ktoré nemá povinná osoba pod svojou správou,
c) zabezpečenie, aby pre každé prepojenie podľa písmena b) bol vypracovaný interný akt riadenia prístupu medzi týmito sieťami podľa § 41.
a) zabezpečenie aktualizácie verzií inštalovaného ochranného softvéru, zabezpečujúceho ochranu podľa § 33 písm. a) a b) a § 34 písm. a), vrátane zabezpečenia všetkých ostatných komponentov a pripájaných prostriedkov,
a) vykonávanie bezpečnostného monitoringu na aktívne odhaľovanie bezpečnostných incidentov,
b) vypracovanie vnútorného predpisu obsahujúceho
5. spôsob zaistenia digitálnych stôp bezpečnostného incidentu, ktorý určí a zverejní orgán vedenia,
c) zabezpečenie, aby o postupoch podľa písmena a) boli primeraným spôsobom informovaní všetci používatelia informačného systému verejnej správy, a aby boli tieto postupy dodržiavané,
d) zavedenie evidencie každého výpadku informačného systému verejnej správy a spôsobu jeho riešenia,
e) pre povinné osoby podľa § 3 ods. 3 písm. a) zákona používanie systému na detekciu prienikov, ktorý monitoruje bezpečnosť najmenej v rozsahu Intrusion Detection System (IDS),
f) vytvorenie a prevádzka kontaktného miesta povinnej osoby pre ohlasovanie bezpečnostných incidentov a odhalených slabých miest informačných systémov verejnej správy v správe povinnej osoby a určenie kontaktných osôb vykonávajúcich technické činnosti alebo osôb oprávnených rozhodovať u povinnej osoby,
g) o kontaktnej osobe podľa písmena e) oznamiť jej meno a priezvisko, e-mailovú adresu, telefonický kontakt a jej úlohu u povinnej osoby a každú zmenu v týchto údajoch úradu; ak ide o povinnú osobu podľa § 3 ods. 3 písm. a) zákona, oznámiť aj S/MIME10b) alebo OpenPGP10c) verejný kľúč každej kontaktnej osoby,
h) ak ide o povinnú osobu, ktorá je prevádzkovateľom ústredného portálu verejnej správy, poskytovať netflow z perimetrových prvkov a externých Domain Name Services (DNS) dotazov z rekurzívnych Domain Name Services (DNS) serverov automatizovaným spôsobom úradu.
b) umožnenie vykonávania neinvazívnych penetračných testov podľa § 22 zákona vo verejne dostupných programových prostriedkoch orgánom vedenia a podľa jeho pokynov na základe ich výsledkov prijímať potrebné opatrenia a informovať orgán vedenia o ich prijatí.
a) zavedenie identifikácie používateľa a následnej autentifikácie pri vstupe do informačného systému verejnej správy,
b) vypracovanie interného aktu riadenia prístupu k údajom a funkciám informačného systému verejnej správy založenej na zásade, že používateľ má prístup iba k tým údajom a funkciám, ktoré sú potrebné na vykonávanie jeho úloh,
f) určenie bezpečnostných zásad pre mobilné pripojenie do informačného systému verejnej správy a pre prácu na diaľku; mobilným pripojením je najmä prenosný počítač a personal digital assistant (PDA),
i) automatické zaznamenávanie každého prístupu každého používateľa vrátane administrátora do informačného systému verejnej správy, zamedzenie možnosti zmeny týchto záznamov a zamedzenie možnosti vymazania týchto záznamov bez schválenia zodpovednou osobou určenou podľa § 29 písm. c),
a) zavedenie postupov s počiatočným stanovením a zahrnutím bezpečnostných požiadaviek a schvaľovacieho procesu pre
b) vymenovanie zástupcu správcu alebo prevádzkovateľa informačného systému verejnej správy, zodpovedného za informačnú bezpečnosť a činnosti podľa písmena a),
d) vykonanie testovania pre činnosti podľa písmena a) a vytvorenie dokumentácie o spôsobe testovania a o dosiahnutých výsledkoch, a to najmenej vykonanie interného používateľského testovania v rozsahu najmenej jedného týždňa pred odovzdaním informačného systému verejnej správy, jeho časti alebo súvisiacej aplikácie dodávateľom a zahrnutie jeho výstupov do dokumentácie o spôsobe testovania a o dosiahnutých výsledkoch,
a) analýza rizík v súvislosti s informačnými systémami verejnej správy podľa § 31, vyplývajúcich z činnosti tretích strán v týchto informačných systémoch, najmä dodávateľov, externých spolupracovníkov, orgánov verejnej správy, fyzických osôb a zaistenie takých technických, organizačných a právnych podmienok pre činnosť tretích strán v informačných systémoch verejnej správy, aby nebola narušená bezpečnosť informačného systému verejnej správy a bezpečnostná politika povinnej osoby,
c) zamedzenie prístupu tretích strán ku všetkým údajom v informačnom systéme verejnej správy, ktoré sa považujú za aktíva, alebo umožnenie prístupu tretích strán k takýmto údajom na základe zmluvy tak, aby nebola narušená bezpečnosť informačného systému verejnej správy a bezpečnostná politika povinnej osoby,
e) zabezpečenie, aby nesplnenie bezpečnostných požiadaviek podľa písmen b) a c) alebo podľa § 42 písm. a), c) a d) bolo dôvodom na neukončenie príslušnej etapy projektu alebo neschválenie prevzatia vykonávanej činnosti.
2. profil Single Logout Profile s technickým spôsobom jeho vykonania prostredníctvom HTTP-POST, HTTP-Redirect alebo Simple Object Access Protocol (SOAP) minimálne vo verzii 1.2,
b) dátová štruktúra Security Assertion Markup Language (SAML) Assertion pre prenos autentifikačných informácií medzi poskytovateľom služby a poskytovateľom identity má atribúty podľa prílohy č. 8.
1.1 Zoznam atribútov SAML Assertion v štruktúre AttributeStatement je uvedený v tejto tabuľke:
Atribút Význam
ActorIDSector Typ použitého identifikátora v kontexte informačného systému, ktorý je zdrojom a správcom identity použitej v atribúte ActorID pre rolu aktér.
Hodnotou je textový reťazec. Pre identity federované z ústredného portálu verejnej správy je hodnotou „SECTOR_UPVS“.
ActorID Samotný identifikátor identity v roli aktér - používateľ, ktorý akciu vykonal.
Hodnotou je identifikátor právnickej osoby alebo identifikátor fyzickej osoby1).
SubjectIDSector Typ použitého identifikátora v kontexte informačného systému, ktorý je zdrojom a správcom identity použitej v atribúte SubjectID pre rolu subjekt.
Hodnotou je textový reťazec. Pre identity federované z ústredného portálu verejnej správy je hodnotou„SECTOR_UPVS“.
SubjectID Samotný identifikátor identity v roli subjekt. Subjektom je konkrétna osoba, v mene ktorej sa vykonáva proces.
Hodnotou je identifikátor právnickej osoby alebo identifikátor fyzickej osoby. V prípade, že používateľ koná vo svojom mene, hodnota je totožná s ActorID.
DelegationType Typ zastupovania: v akom vzťahu je identita SubjectID k identite ActorID.
Hodnotou je
0 – generálne zastupovanie podľa všeobecne záväzného právneho predpisu, napríklad konateľ právnickej osoby, alebo súdom určený zástupca nesvojprávnej osoby,
1 až n – delegované zastupovanie.
QAAlevel Úroveň autentifikácie podľa prílohy č. 6 tabuľky č. 8, ktorú použil používateľ pri prihlásení sa do systému.
1.2 Atribúty podľa bodu 1.1 môžu byť rozšírené o ďalšie atribúty, potrebné pre špecifickú implementáciu.
1) § 10 ods. 11 zákona č. 305/2013 Z. z. o elektronickej podobe výkonu pôsobnosti orgánov verejnej moci a o zmene a doplnení niektorých zákonov (zákon o e-Governmente) v znení neskorších právnych predpisov.
1a) § 3 písm. j) zákona č. 305/2013 Z. z. o elektronickej podobe výkonu pôsobnosti orgánov verejnej moci a o zmene a doplnení niektorých zákonov (zákon o e-Governmente).
3) Napríklad § 5 až 5b zákona č. 211/2000 Z. z. o slobodnom prístupe k informáciám a o zmene a doplnení niektorých zákonov (zákon o slobode informácií) v znení neskorších predpisov.
4) Napríklad zákon č. 618/2003 Z. z. o autorskom práve a právach súvisiacich s autorským právom (autorský zákon) v znení neskorších predpisov.
4a) RFC 2046: Formát Multipurpose Internet Mail Extensions (MIME). Časť 2: Typy médií, RFC 3629:UTF-8 transformácia UCS (univerzálnej znakovej sady), ISO/IEC 10646 – Informačné technológie. Univerzálna znaková sada (UCS).
4aa) RFC 6838: Špecifikácie typov médií a registračné postupy z dôvodu zjednotenia používaných hodnôt.
7a) ISO/IEC 15948: Informačné technológie. Počítačová grafika a spracovanie obrázkov. Prenosná sieťová grafika (PNG). Funkčná špecifikácia.
8) ISO/IEC 10918-5:2013 Digitálna kompresia a kódovanie kontinuálne tónovaných statických obrázkov. JPEG File Interchange Format (JFIF).
10b) RFC 5751: Secure/Multipurpose Internet Mail Extensions (S/MIME) verzia 3.2, špecifikácia správ.
10c) RFC 4880: OpenPGP formát správy. RFC 6637: Kryptografia na báze eliptických kriviek (ECC) v OpenPGP.
11a) § 31 ods. 1 zákona č. 122/2013 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov v znení zákona č. 84/2014 Z. z.
11aa) §54a zákona č. 305/2013 Z.z.
11ac) Zákon č. 122/2013 Z.z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov v znení neskorších predpisov.
11b) Vykonávacie rozhodnutie Komisie (EÚ) 2015/1506 z 8. septembra 2015, ktorým sa ustanovujú špecifikácie týkajúce sa formátov zdokonalených elektronických podpisov a zdokonalených elektronických pečatí, ktoré môžu subjekty verejného sektora uznávať, podľa článkov 27 ods. 5 a 37 ods. 5 nariadenia Európskeho parlamentu a Rady (EÚ) č. 910/2014 o elektronickej identifikácii a dôveryhodných službách, pre elektronické transakcie na vnútornom trhu (Ú. v. EÚ L 235, 9.9.2015).
11ea) ETSI TS 102 918 Elektronické podpisy a infraštruktúry (ESI): Formát Associated Signature Containers (ASiC), ETSI TS 103 174 V2.2.1: Elektronické podpisy a infraštruktúry (ESI): Základný profil Associated Signature Containers (ASiC).
11ec) § 11 ods. 1 písm. k) zákona č. 272/2016 Z. z. o dôveryhodných službách pre elektronické transakcie na vnútornom trhu a o zmene a doplnení niektorých zákonov.
11g) § 11 ods. 1 písm. m) zákona č. 272/2016 Z. z. o dôveryhodných službách pre elektronické transakcie na vnútornom trhu a o zmene a doplnení niektorých zákonov.
11i) STN EN ISO 3166-1 Kódy názvov krajín a ich častí. Časť 1: Kódy krajín (ISO 3166-1: 2013) (01 0190).
11l) RFC 5646: Značky pre identifikáciu jazykov. STN ISO 639-1 Kódy názvov jazykov. Časť 1: Dvojmiestne abecedné kódy (01 0400). STN ISO 639-2 Kódy názvov jazykov. Časť 2: Trojmiestne abecedné kódy (01 0400).
11m) MessageImprint, kapitola 2.4.1, IETF RFC 3161, X.509 Internet Public Key Infrastructure, Time-Stamp Protocol (TSP).
11n) § 11 ods. 1 písm. m) zákona č. 272/2016 Z. z. o dôveryhodných službách pre elektronické transakcie na vnútornom trhu a o zmene a doplnení niektorých zákonov.
12) § 3 písm. f) zákona č. 305/2013 Z. z.
14) § 4 ods. 2 zákona č. 305/2013 Z. z.
14a) RFC 6838: Špecifikácie typov médií a registračné postupy.
15) STN ISO 15836 Informácie a dokumentácia. Dublin Core - súbor metadátových prvkov (01 0158).
17) zákona č. 25/2006 Z. z. o verejnom obstarávaní a o zmene a doplnení niektorých zákonov v znení neskorších predpisov
18) § 3 zákona č. 215/2002 Z. z. v znení zákona č. 214/2008 Z. z.
19) § 14 zákona č. 215/2002 Z. z. v znení neskorších predpisov.
20) § 3 vyhlášky Národného bezpečnostného úradu Slovenskej republiky č. 131/2009 Z. z. o certifikátoch a kvalifikovaných certifikátoch.
22) STN EN ISO 3166-1 Kódy názvov krajín a ich častí. Časť 1: Kódy krajín (ISO 3166-1: 2013) (01 0190)

References: § 19
 § 21
 § 22
 § 23
 § 24
 § 44
 § 47
 § 48
 § 51
 § 52
 § 53
 § 55
 § 32
 § 44
 § 37
 § 41
 § 33
 § 34
 § 3
 § 3
 § 22
 § 29
 § 31
 § 42
 § 10
 § 3
 § 5
 § 31
 §54
 § 11
 § 11
 § 11
 § 3
 § 4
 § 3
 § 14
 § 3