Královéhradecký kraj posílil ochranu dat pomocí kybernetického trezoru

Krajský úřad Královéhradeckého kraje je výkonným orgánem kraje, který zajišťuje chod samosprávy i státní správy v regionu. Spravuje oblasti jako školství, zdravotnictví, doprava, životní prostředí, sociální služby nebo kultura, zároveň kontroluje a metodicky podporuje činnost obcí. Stará se také o krajský majetek, vyřizuje žádosti podle zákona o svobodném přístupu k informacím, řeší stížnosti, správní řízení nebo veřejné zakázky. Úřad připravuje podklady pro rozhodování rady a zastupitelstva kraje a hraje klíčovou roli v rozvoji celého regionu.

Královéhradecký kraj se rozhodl zásadně posílit svou odolnost vůči kybernetickým hrozbám. Potřeba ochrany klíčových systémů a záloh před vnějšími i vnitřními riziky vedla k rozhodnutí zavést řešení, které umožní uchovávat kritická data v bezpečném, fyzicky odděleném prostředí. Hlavním cílem bylo zavést systém, který v případě incidentu umožní obnovu dat i bez přímé závislosti na produkčním prostředí, přičemž fyzické oddělení chrání zálohy před neoprávněným smazáním a šířením kompromitace pomocných systémů – i když nelze zcela vyloučit riziko replikace již kompromitovaných dat.

Společnost Aricoma na základě veřejné zakázky implementovala řešení, které plně odpovídalo požadovaným parametrům na bezpečnost, izolaci a automatizaci provozu. Od počátku projektu jsme se jako technologický partner zaměřili na koncepční návrh architektury, který zohlednil provozní potřeby kraje a zároveň garantoval maximální úroveň bezpečnosti a spolehlivosti.

Specialisté Aricomy ve spolupráci s odborem informatiky navrhli a implementovali řešení, které využívá dvě oddělená datová centra. Jedno pro provozní zálohovací infrastrukturu a druhé jako tzv. datový trezor. Klíčovým principem řešení je maximální oddělení produkčního a trezorového prostředí, a to jak po stránce fyzické, tak síťové.

Datový trezor zůstává ve výchozím stavu plně komunikačně izolovaný. V případě potřeby provedení kopie záloh se automatizovaně otevře jednosměrný komunikační kanál, který se po dokončení procesu ihned uzavře. Trezor není propojen s běžnou LAN sítí a funguje nezávisle na zvoleném zálohovacím softwaru.

Pro správu je trezor vybaven rackovou konzolí (KMM – klávesnice, myš, monitor) a řízení přístupu je zajištěno fyzickou přítomností. Monitoring provozu probíhá přes zařízení DataDiode, které umožňuje výhradně jednosměrný tok dat směrem k dohledovému systému zákazníka. Interní infrastruktura trezoru je postavena na síti s propustností 10GE a využívá servery DELL PowerEdge i úložiště DELL Data Domain, které nabízí pokročilou deduplikaci a funkci zámku proti smazání záloh.

Implementační projekt, plánování i samotnou realizaci zajistila Aricoma. V rámci implementačního projektu byly identifikovány a odstraněny technické překážky ještě před samotnou realizací. Díky bezproblémové spolupráci se zástupci kraje a profesionálnímu řízení ze strany Aricomy probíhala instalace hladce i přes výzvy spojené s letním obdobím a posuny v dodávkách některých komponent.