Atestace při dodávce ISVS nebo svépomoc?
Orgány veřejné správy jsou na základě zákona číslo 365/2000 Sb., o informačních systémech veřejné správy (dále jen ISVS) dodržovat určitá pravidla a plnit určité povinnosti při vytváření, užívání, provozování a rozvoji svých ISVS.
Máme je dodržovat nebo se zcela spoléhat na budování IS svépomocí? Co nás čeká v případě tzv. atestace?
Atestace při dodávce ISVS
Informační činnost
Informační činností se dle §1, písm. a) zákona č. 365/2000 Sb. rozumí získávání a poskytování informací, reprezentace informací daty, shromažďování, vyhodnocování a ukládání dat na hmotné nosiče a uchování,vyhledávání, úprava nebo pozměňování dat, předávání, šíření, zpřístupňování dat,výměna dat, třídění nebo kombinování dat, blokování nebo likvidace dat ukládaných na hmotných nosičích. Informační činnost je prováděna správci, provozovateli a uživateli informačních systémů prostřednictvím technických programových prostředků.
Dodržování stanovených pravidel a splnění určitých povinností prokazují orgány veřejné správy atestací.
Atestací se rozumí stanovení shody, a to konkrétně:
- způsobilosti k realizaci vazeb ISVS s jinými informačními systémy prostřednictvím referenčního rozhraní
- dlouhodobého řízení ISVS s požadavky zákona a prováděcích právních předpisů k tomuto zákonu
Atestačním střediskem se rozumí právnická nebo fyzická osoba, která je podnikatelem provádějícím atestace.
Povinnost atestace dlouhodobého řízení se nevztahuje na obce, které vykonávají přenesenou působnost pouze v základním rozsahu podle § 61 odst. 1 písm. a) zákona č. 128/2000 Sb., o obcích, ve znění pozdějších předpisů. To však neznamená, že se na ně nevztahuje povinnost informační koncepci a provozní dokumentaci zpracovat, byť v redukovaném rozsahu vymezeném vyhláškou MIČR.
Cílem atestace dlouhodobého řízení je nejen závazné ustanovení koncepčního dlouhodobého řízení v oblasti ISVS, včetně zajištění kvality a bezpečnosti ISVS, ale též opakované vyhodnocení plnění stanovené informační koncepce a zajištění případné korekce v této oblasti.
Atest dlouhodobého řízení ISVS
Orgány veřejné správy jsou v rámci ISVS povinny vytvářet a vydávat informační koncepci, uplatňovat ji v praxi a vyhodnocovat její dodržování. V informační koncepci orgány veřejné správy stanoví své dlouhodobé cíle v oblasti řízení kvality a bezpečnosti spravovaných ISVS a vymezí obecné principy pořizování, vytváření a provozování ISVS.
Na základě vydané informační koncepce orgány veřejné správy vytvářejí a vydávají provozní dokumentaci k jednotlivým ISVS, uplatňují ji v praxi a minimálně jednou za 24 měsíců vyhodnocují její dodržování a případně provádí nezbytné korekce a nápravná opatření.
Provozní dokumentace je vytvářena zvlášť pro každý ISVS orgánu veřejné správy na základě a v souladu s informační koncepci.
Orgány veřejné správy prokáží splnění výše uvedených povinností atestem dlouhodobého řízení ISVS.
Atest referenčního rozhraní ISVS
Orgány veřejné správy jsou v rámci ISVS povinny zajistit, aby poskytované vazby jimi provozovaného ISVS na IS jiného provozovatele byly uskutečňovány prostřednictvím referenčního rozhraní s využitím datových prvků vyhlášených MIČR a vedených v informačním systému o datových prvcích. Tuto způsobilost jsou povinny prokázat atestem referenčního rozhraní ISVS.
O atestaci referenčního rozhraní ISVS mohou žádat i komerční subjekty – dodavatelé ISVS.
Referenčním rozhraním se dle §2, písm. i) zákona č. 365/2000 Sb. rozumí souhrn právních, technických, organizačních a jiných opatření vytvářejících jednotné integrační prostředí ISVS, které poskytuje kvalitní soustavu společných služeb, včetně výměny oprávněně vyžadovaných informací mezi jednotlivými informačními systémy orgánů veřejné správy a dalšími subjekty.
Vazba referenčního rozhraní je uskutečnitelná pouze s použitím datových prvků vyhlášených prostřednictvím
Informačního systému o datových prvcích a pouze, pokud jsou o událostech spojených s realizací vazby vytvářeny záznamy a tyto záznamy jsou uchovávány.
Postup při atestaci
- Orgán veřejné správy (žadatel) předloží Informační koncepci, zápis o vyhodnocení a provozní dokumentaci (Bezpečnostní politiku ISVS) ke všem ISVS
- Atestační středisko posoudí některé vlastnosti předložené dokumentace
- Jestliže atestační středisko zjistí v průběhu posuzování nedostatky, žadatel může tyto nedostatky odstranit
- Atestační středisko zaznamená údaje o zjištěních do protokolu o provedené zkoušce
- Pokud atestační středisko neshledalo vážné nedostatky, vydá atest
Výsledkem atestu je konstatování či výrok, kterým dává atestační středisko jakýsi stupeň hodnocení ISVS. ožnými variantami hodnocení jsou:
- "splňuje"
- "splňuje s výhradami" (pouze u atestace dlouhodobého řízení ISVS)
- "nesplňuje"
Pokud informační systém v některé části nesplňuje požadavky atestace, upozorní na ně atestační středisko již v průběhu atestace a v případě jejich neodstranění vydá seznam nedostatků a povede se správcem připomínkové řízení.V případě kladného výsledku atestace musí atestační středisko vydat atest a zveřejnit veřejnou část protokolu prostřednictvím svých internetových stránek. V případě negativního výsledku nesmí zveřejnit žádné informace.
Atesty jsou běžně vydávány na dobu 1 – 5 let, dle rozhodnutí příslušného atestačního střediska.
Akreditace atestačních středisek
Novela zákona č. 365/2000 Sb. zavádí nový postup při akreditaci atestačních středisek. Akreditace bude zaručovat vysokou kvalifikaci a garantovanou způsobilost atestačních středisek pro výkon atestací. Akreditace bude možné navázat na mezinárodní systém hodnocení a certifikace podle mezinárodních technických norem, neboť akreditující osobou bude moci být pouze organizace splňující pravidla mezinárodních organizací zabývajících se akreditací. Akreditující osobou může být podle požadavků zákona například Český institut pro akreditaci (zdroj MIČR).
Standard ISVS 005/02.01 pro náležitosti životního cyklu IS
Novela zákona č. 81/2006 Sb. přinesla s účinností od 1.1.2007 zrušení standardů ISVS a jejich obsah přenáší do vyhlášek. Atesty shody se standardem ISVS 005/02.01 pro náležitosti životního cyklu informačního systému vydané do 1. ledna 2007 se považují za atesty dlouhodobého řízení, a to po dobu platnosti těchto atestů.
Z toho plyne, že pokud má úřad atest na shodu s uvedeným standardem na jím spravovaný ISVS a v tomto atestu je uvedeno, že je platný do 31. 12. 2010, vzniká pro úřad povinnost atestace dlouhodobého řízení až po tomto datu.
Vlastnosti IS posuzované při atestaci ISVS
- Úplnost informační koncepce a provozní dokumentace
- Srozumitelnost, přehlednost textu a jeho logická konzistence
- Kvalita konkrétních řešení
- Vyhodnocování dodržování informační koncepce
- Přijímání opatření k odstranění nedostatků zjištěných při vyhodnocování dodržování informační koncepce
Náročnost procesu atestace
Jak již bylo zmíněno, je proces přípravy organizace k atestaci … ISVS poměrně náročný a složitý. Pro zajištění maximální efektivnosti celého procesu atestace je nutné vynaložit nemalé úsilí kvalifikovaných odborníků. Jde tedy o organizačně náročnou operaci.
Správci ISVS poptávají služby atestace prostřednictvím elektronického tržiště, což přispívá k transparentnosti celého procesu. Cena souvisí s mírou zodpovědnosti správce a s jeho připraveností k atestaci.
Správce IS by měl dbát na to, aby pořizoval kvalitní produkty, ale vzhledem k tomu, že není možné nechat si předem atestovat produkt, je vhodné se při výběru dodavatele nebo konkrétního produktu orientovat na produkty, které získaly certifikát o shodě s normami platnými v ČR. Jsou to především:
- ČSN ISO/IEC 12 119 (certifikace jakosti SW)
- ČSN ISO/IEC 12 207 (certifikace životního cyklu SW)
- ČSN ISO/IEC 15 288 (certifikace životního cyklu systému)
Pokud je správce zodpovědný, pak si smluvně ošetří, že dodavatel IS je připraven a ochoten podílet se na získání povinných atestací produktu. Dodavatel se tak může podílet na připravenosti organizace VS k atestacím zejména dodáním kvalitní dokumentace o IS, včetně dokumentace o případné možnosti poskytování vazeb na jiné IS cestou referenčního rozhraní. Pokud má dodavatel předem získanou certifikaci podle některé z výše uvedených norem, je tak dán dobrý předpoklad o kvalitě IS včetně kvality dokumentace a tato skutečnost zároveň přispívá ke konkurenční výhodě vlastního produktu IS.
Pořízením produktů IS tedy povinnosti správce ISVS nekončí. Jak již bylo zmíněno, je potřeba atestovat celý proces.
V případě, že je správce k atestaci připravený, tj. svědomitě dbá svých povinností, pak je samotná atestace cenově nenáročná a vzhledem k celkové ceně ISVS tvoří marginální částku. Navíc správné nastavení procesů přispěje významnou měrou např. k omezení neefektivních nákupů a snížení nákladů na provoz a údržbu systému. Vložené prostředky do atestace mají tedy poměrně rychlou návratnost.
Seznam atestačních středisek (zdroj: MIČR) :
- Atestační středisko, a. s.
- ADA, s. r. o.
- BDO IT, a. s.
- CERTPOINT, s. r. o.
- Relsie, spol. s r. o.
- EQUICA, a. s.
- Hewlett-Packard, s. r. o
- secunet, s. r. o.
- PVT, a. s.
- Elektrotechnický zkušební ústav, s. p.
Akreditovaná atestační střediska:
- Relsie, spol. s r.o.
▪ http://www.relsie.cz
▪ od 6.2.2007 - Equica, a.s.
▪ http://www.equica.cz
▪ od 21.2.2007 - Elektrotechnický zkušební ústav, s.p.
▪ http://www.ezu.cz
▪ od 6.4.2007 - BDO IT, a.s.
▪ http://www.bdo-it.cz
▪ od 5.5.2007 - secunet, s.r.o.
▪ http://www.secunet.cz
▪ od 16.5.2007
Závěr:
Jako nejlepší řešení budování informačních systémů u menších měst a obcí se jeví jejich vybudování tzv.svépomocí. U významnějších úřadů je na místě použít certifikační orgán výrobků a atestovat.
Zdroje:
- Zákon č. 365/2000 Sb., o ISVS ve znění pozdějších předpisů (v platnosti po 1.1.2007)
- Vyhláška č. 529/2006 Sb., o dlouhodobém řízení ISVS
- Vyhláška č. 530/2006 Sb., o postupech atestačních středisek při posuzování dlouhodobého řízení ISVS
- Návrh vyhlášky č. 53/2007 Sb., o referenčním rozhraní
- Návrh vyhlášky č. 52/2007 Sb., o postupech atestačních středisek při posuzování způsobilosti k realizaci vazeb prostřednictvím referenčního rozhraní
- Vyhláška č. 528/2006 Sb., o informačním systému o ISVS
- Vyhláška č. 469/2006 Sb., o informačním systému o datových prvcích
- Informace k novele zákona č. 365/2000 Sb., o ISVS
Odpovědět na příspěvek