Protokol o atestaci informačního systému ADIS v. 26. Veřejná část

Česká republika Ministerstvo financí Protokol o atestaci informačního systému ADIS v. 26. Veřejná část ATEST 04-20031209 Strana 1/12

Protokol o atestačním řízení Veřejná část 1 Žadatel o atest Plný název společnosti Právní forma IČ 00006947 DIČ Česká republika - Ministerstvo financí Ústřední finanční a daňové ředitelství 325 - Organizační složka státu Adresa Letenská 15, 118 10 Praha 1 WWW E-mail www.mfcr.cz podatelna@mfcr.cz Telefon 257 041 111 Fax 257 044 393 Pobočka nadnárodní společnosti Adresa centrály společnosti Datum založení společnosti Komentář ne Letenská 15, 118 10 Praha 1 21.4.1988 1.1 Kontaktní osoby žadatele Jméno Funkce Telefon 257 044 348 E-mail Jméno Funkce Michal Faltýnek ředitel odboru 47 automatizace daňové soustavy a informačních technologií ÚFDŘ michal.faltynek@mfcr.cz Jarmila Vocetková Telefon 257 044 244 E-mail vedoucí odboru 471 vývoje daňového informačního systému ÚFDŘ jarmila.vocetkova@mfcr.cz ATEST 04-20031209 Protokol o atestačním řízení Strana 2/12

2 Dodavatel IBM Česká republika, spol. s r.o. V Parku 2294/4 The Park 148 00 Praha 4 Chodov 2.1 Kontaktní osoby dodavatele Jméno Pavel Rozsypal Funkce manažer projektu ADIS Telefon 272 131 286 E-mail pavel_rozsypal@cz.ibm.com 3 Předmět atestačního řízení ADIS je zkratkou pro Automatizovaný Daňový Informační Systém. Informační systém ADIS slouží jako automatizovaná podpora činností při správě daní a poplatků ČR. Zadavatelem celé úlohy ADIS je Ministerstvo financí České republiky, které pro úlohu ADIS úzce spolupracuje s metodiky ÚFDŘ a jednotlivých FŘ a FÚ. Předmětem atestu je ADIS v. 26. 4 Účel a způsob použití předmětu atestačního řízení, pro který byl testován ADIS je tvořen třemi aplikačními oblastmi, které odpovídají hierarchii Daňové správy Ministerstva financí (DSMF), tj. pro Finanční úřady (FÚ), Finanční ředitelství (FŘ) a Ústřední finanční a daňové ředitelství (ÚFDŘ). Každá z těchto úrovní má odlišné funkce a teritoriálně závislý rozsah zpracovávaných údajů. Na úrovni FÚ jsou v ADIS podporovány především vlastní výkonné funkce správy daní a poplatků, tj. registrace a evidence daňových subjektů, správa jednotlivých daní, vedení osobních účtů daňových subjektů, výměry daní a poplatků, evidence plateb daní. Na úrovni FŘ je funkčnost ADIS redukována především na datové přenosy, tj. zprostředkování komunikace mezi podřízenými FÚ a úrovní ÚFDŘ, a na podporu řídících činností v rozsahu působnosti FŘ, tj. statistiky a přehledy agregovaných dat. Na úrovni ÚFDŘ jsou zajišťovány funkce podporující výkonné činnosti ÚFO, tj. správa centrálních registrů, správa číselníků, komunikace s FŘ, zprostředkování přenosů dat mezi FŘ a komunikace s externími IS. Na této úrovni jsou v ADIS dále podporovány vrcholové řídící, rozhodovací a kontrolní činnosti, tj. evidence daní jako rozpočtových příjmů, daňové statistiky, prezentace a analýzy agregovaných dat. ADIS je řešen v gesci odboru 47, je vytvářen od roku 1993 a trvale se rozvíjí jeho funkčnost i výkonnost. Hlavním dodavatelem a systémovým integrátorem ADIS je IBM ČR. Vlastní aplikační programy jsou vyvíjeny subdodavatelsky firmami GIST s.r.o. Hradec Králové zejména aplikační úroveň FÚ, INTAX s.r.o. Praha zejména aplikační úroveň FŘ a ÚFDŘ, datové přenosy a správa registrů, TAXNET s.r.o. Ostrava správa některých typů daní. Řešení systému ADIS vychází ze zákona č. 337/1992 Sb., o správě daní a poplatků, zákona č. 531/1990 Sb., o územních finančních orgánech a o zákony upravující podmínky pro stvení jednotlivých typů daní. Ze zákona č. 337/1992 Sb. vyplývá i základní bezpečnostní požadavek pro přístup k informacím ADIS, kdy údaje spisů daňových subjektů jsou přístupné pouze příslušnému ATEST 04-20031209 Protokol o atestačním řízení Strana 3/12

správci daně, a tento zákon stvuje i povinnost mlčenlivost pracovníků správce daně, jakož i osob, které byly jakkoli zúčastněny na daňovém řízení. ADIS je pro jednotlivé úrovně řešen jako aplikace nad databázovým systémem Informix pracující v prostředí IBM AIX (UNIX). Uživatelské prostředí aplikace tvoří terminálové rozhraní (VT320). Pro datové přenosy, které jsou na aplikační úrovni šifrovány, se využívá resortní síť FINet. V rámci rozvoje systému je podporován i vývoj aplikací umožňujících práci s vybranými daty na bázi technologie WWW. 5 Typ atestace 5.1 Druh atestu (základní/přírůstkový) Základní 5.2 Oblast atestace Standard ISVS pro náležitosti životního cyklu informačního systému 005/02.01 5.3 Metodiky atestace Standard ISVS stvující povinné požadavky na metodiku atestace shody IS se Standardem ISVS pro náležitosti životního cyklu IS 017/01.01 6 Personální, organizační a technické zajištění atestace Hodnocení provedli pracovníci testovací laboratoře BDOcert, Olbrachtova 5, Praha 4 Hodnotitel: Pavel Krečmer Hodnotitel: Bohumír Štěpnička Vedoucí testovací laboratoře: Luděk Novák Ředitel atestačního střediska: Jindřich Pacovský Místa hodnocení: Česká republika - Ministerstvo financí Ústřední finanční a daňové ředitelství Lazarská 7, Praha 1 BDO IT, a. s. atestační středisko Olbrachtova 5, 140 00 Praha 4 Povinné a nepovinné informace Dokumentace použitá pro atestační hodnocení obsahuje celkem 60 položek, které zahrnují povinné i nepovinné informace vyžadované ve standardu 005/02.01, kapitola 8 v upřesnění podle metodiky 017/01.01. Některé dokumenty byly předány v elektronické podobě do atestačního střediska a testovány v sídle BDO IT, a. s. Mnoho dokumentů citovaných v atestační dokumentaci bylo k dispozici pro prezenční studium v dokumentačních databázích systému Lotus Notes. Seznam dokumentace je uveden v neveřejné části atestačního protokolu. ATEST 04-20031209 Protokol o atestačním řízení Strana 4/12

7 Identifikační údaje atestačního střediska Název (plné obchodní jméno): BDO IT, a. s. Právní forma podnikání: tuzemská právnická osoba akciová společnost Sídlo firmy: Olbrachtova 5/1980 140 00 Praha 4 Jméno statutárního zástupce: Dan Vaníček, předseda představenstva Úplná adresa sídla pro poštovní styk: Olbrachtova 5/1980 140 00 Praha 4 IČ: 25056646 DIČ: CZ25056646 Spojení na společnost: Telefon: 241 440 898, 241 443 734, 241 443 811 Telefax: 241 440 917, 241 441 092 www.bdo-it.com (poradenská činnost) www.bdocert.cz (atestační středisko) Kontaktní osoba pro projednávání záležitostí spojených s atestacemi Převažující předmět činnosti: Zapsané základní jmění: Představenstvo : 8 Průběh atestace 8.1 Harmonogram atestace Jindřich Pacovský, ředitel atestačního střediska jindrich.pacovsky@bdo-it.com poradenská činnost v oboru informačních technologií, zejména v jejich bezpečnosti 5.000.000,-- Kč Dan Vaníček, předseda Martin Kolařík, místopředseda Luděk Novák, prokurista Výběrové řízení na atestaci IS ADIS bylo vyhlášeno dne 24.11.2003 (Č.j.503/90474/2003/T) Po rozhodnutí o přidělení zakázky atestace atestačnímu středisku BDO IT byly ihned započaty úvodní práce na atestaci ještě před podepsáním příslušných smluv. Smlouva o atestaci a smlouva o zachování důvěrnosti byla podepsána dne 9.12.2003. Podle harmonogramu uvedeného v nabídce byla první fáze atestace ukončena dne 13.12.2003. V období od 14.12.2003 do 1.11.2004 byla dodavatelem a ÚFDŘ připravována a revidována atestační dokumentace za metodického řízení atestačním střediskem BDO IT (viz Příloha neveřejné části atestačního protokolu). Během této doby byly průběžně prováděny testy shody se standardy pro postupně připravované a revidované atestační dokumenty. Dokumentace pro atest byla dodavatelem v konečné revizi dodána 1.11.2004 Dokumentace pro atest byla ze strany ÚFDŘ v konečné revizi dodána 22.11.2004 Datum začátku konečné revize testů shody se standardy: 1.11.2004 Datum ukončení atestace: 8.12.2004 ATEST 04-20031209 Protokol o atestačním řízení Strana 5/12

Datum vydání atestu: 8.12.2004 8.2 Průběh testování Testování produktu probíhalo u žadatele - Česká republika - Ministerstvo financí Ústřední finanční a daňové ředitelství a v atestačním středisku BDO IT, a. s. O provedených testech byly vyhotoveny protokoly 04-20031209_T1 04-20031209_T2 04-20031209_T3 kde jsou uvedeny všechny podrobnosti průběhu a vyhodnocení testů. Tyto protokoly jsou součástí neveřejné části Atestačního protokolu. Testování proběhlo podle registrované metodiky PD26_11_metodZ atestačního střediska BDO IT. 9 Výsledky testů 9.1 Úvod Projekt ADIS je řešen v gesci odboru 47, který spolupracuje s metodiky jednotlivých FŘ a FÚ. ADIS je vytvářen a zaváděn na Ministerstvu financí od r. 1993 a trvale se organizačně i technologicky rozvíjí. Zejména je neustále měněna a doplňována funkcionalita podle legislativních požadavků a zvyšována technologická úroveň. Projekt ADIS má určité specifické vlastnosti, kvůli nimž se jedná o zcela unikátní informační systém se strategickým významem pro státní správu jako celek. Tato specifika mají velmi významnou úlohu i pro hodnocení během atestačního procesu. Proto je nutné uvážit i jejich vliv na dodržení shody vývoje systému ADIS s požadavky standardu 005/02.01. V souvislosti s překotným legislativním procesem, zvláště v oblasti daňového práva stále narůstají požadavky na řešení nových úloh a úpravu úloh stávajících. Je třeba si však uvědomit, že každý požadavek na řešení úlohy, byť je vyvolán legislativními změnami, může být zařazen do řešení teprve tehdy, když je jasná a jednoznačná metodika. Současně automatizovaný daňový informační systém musí ÚFO poskytovat podporu výkonu daňové správy podle platné legislativy. Při vznášení požadavků na vytváření aplikace je však třeba brát zřetel nejen na potřeby správy daní, ale i na technologické lhůty vývojového cyklu aplikace (životního cyklu IS). Jedině tímto způsobem je možné zabezpečit pro podporu výkonu daňové správy kvalitní a bezchybnou aplikaci. Současný rozsah aplikace ADIS je již tak rozsáhlý a systém tak provázaný, že každá i relativně drobná změna má rozsáhlé důsledky do celého systému. V poslední době dochází k překotnému schvalování novel zákonů, častými poslaneckými iniciativami, které mnohdy výrazně modifikují vládní návrhy novel daňových zákonů, kdy výjimkou nejsou ani ustvení s retroaktivními účinky. Termíny schválení se mnohdy výrazně neliší od termínů účinnosti. Tato situace naprosto zásadním způsobem ovlivňuje efektivnost výběru daní a při implementaci požadavků a změn do systému ADIS dochází k následujícím problémům: 1. požadavky na úlohy nemusí být vždy dostatečně připravené, chybí výklad a metodika uplatňování změn zákonů ve výkonu daňové správy, proto je i velmi obtížná algoritmizovatelnost problémů 2. úlohy jsou požadovány v termínech, které nerespektují vývojový cyklus aplikace (životní cyklus IS), což má za následek: zvýšení nákladů na řešení zvýšení chybovosti aplikace ( není dostatečný časový prostor pro řádné otestování aplikace na ÚFO ) zvýšené nároky na údržbu aplikačního programového vybavení zvýšené nároky na FÚ a FŘ (instalace nových verzí jsou příliš časté) 3. Vývoj aplikace ADIS se jen velmi těžko plánuje ATEST 04-20031209 Protokol o atestačním řízení Strana 6/12

Výše uvedené skutečnosti byly brány v úvahu i během hodnocení systému ADIS pro účely atestace. Vzhledem k dlouhodobému vývoji systému ADIS je řada informací uchovávána inkrementálním způsobem a pro účely atestace bylo nutné speciálně vytvořit řadu dokumentů zahrnujících okamžitý stav ADIS v. 26. Tento úkol byl jak ze strany dodavatele, tak ze strany MF ÚFDŘ úspěšně realizován a vytvořený souhrn informací a dokumentů tvoří veškerou požadovu atestační dokumentaci. Tato dále uvedená základní dokumentace v odst. 9.2 má zejména přehledovou funkci a v případě potřeby detailních informací směruje do dalších neveřejných dokumentů až do libovolné programátorské či provozní úrovně. V tomto smyslu byla odvedena značná práce, která však má velkou hodnotu ve zvýšení přehlednosti systému a ve zjištění dalších možných směrů pro zlepšení dokumentační základny systému. 9.2 Výpis povinně posuzovaných dokumentů a jejich hodnocení Dokumentace pro IS ADIS je velmi rozsáhlá a při hodnocení byly akceptovány informace, jež jsou sdruženy v jiném členění, než přesně podle standardu 005/02.01. Samoúčelné přeskupení informací přesně do struktury standardu by bylo neekonomické. Kromě toho by požadavky standardu vyžadovaly v některých případech uvedení řady informací duplicitně v různých dokumentech. Z toho důvodu při prezentaci výsledků hodnocení v tomto dokumentu používá atestační středisko odkazů do dokumentace zejména v následujících zdrojích. 1. Pro účely atestace byla dodavatelem IBM ČR zkompletována dokumentace sdružující atestační informace do tématicky zaměřených dokumentů: [1] D1 Architektura systému ADIS [2] D2 Bezpečnost systému ADIS [3] D3 Řízení vývoje v projektu ADIS [4] D4 Příručka řízení rizik a jakosti [5] D5 Úvodní studie a historie verzí [6] D6 Implementace, testování a zavádění verze 26 [7] D7 Dokumentace ADIS [8] ADIS rejstřík v1.2a 2. Pro účely atestace byla vypracována dokumentace ÚFDŘ zahrnující následující atestační dokumenty podle standardu 005/02.01: [9] 8.1 Záměr IS Evidenční list [10] 8.2 Informační strategie [11] 8.3 Bezpečnostní politika [12] 8.5 Plán zajištění jakosti [13] 8.6 Principy monitorování a aktualizace požadavků [14] 8.7 Projektový záměr Evidenční list [15] 8.16 Projektová bezpečnostní dokumentace IS [16] 8.30 Zpráva o provedení migrace Evidenční list [17] 8.31 Zpráva o zavedení IS a konverzi dat [18] 8.32 Protokol o převzetí IS [19] 8-34a Systémová bezpečnostní příručka ADIS [20] 8-34b Bezpečnostní směrnice ADIS pro bezpečnostního správce [21] 8-34c Bezpečnostní směrnice ADIS pro uživatele [22] 8.39 Evidenční list IS ADIS ATEST 04-20031209 Protokol o atestačním řízení Strana 7/12

3. Komplexní dokumentace je zahrnuta v dokumentačním systému Lotus Notes. Tyto dokumenty jsou rozděleny do následujících dokumentačních databází, kde jsou podle potřeby zpřístupněny uživatelům systému ADIS. [23] Dokumentační databáze Lotus Notes Hot Line [24] Dokumentační databáze Lotus Notes Hot Line Archiv [25] Dokumentační databáze Lotus Notes AOGŘ [26] Dokumentační databáze Lotus Notes Číselníky SŘA [27] Dokumentační databáze Lotus Notes ADIS Pokyny [28] Dokumentační databáze Lotus Notes Analytická zadání [29] Dokumentační databáze Lotus Notes Analytická zadání Archiv [30] Dokumentační databáze Lotus Notes Pasporty úloh [31] Dokumentační databáze Lotus Notes Q&A [32] Dokumentační databáze Lotus Notes Distribuční listy [33] Dokumentační databáze Lotus Notes Příručka v.26 [34] Dokumentační databáze Lotus Notes Datové modely Práci s uvedenými dokumentačními databázemi usnadňuje Systém pro řízení aplikací (dále jen SŘA), který tvoří integrované informační prostředí. 4. Zbývající zdroje dokumentace pro hodnocení byly k dispozici pro prezenční studium hodnotitelů, případně byly předány v listinné podobě. Podrobný seznam těchto zdrojů je značně obsáhlý a je uveden v neveřejné části protokolu. Následující tabulka zahrnuje vyjádření k jakosti a úplnosti dokumentace IS ADIS v. 26 podle položek vyžadovaných standardem 005/02.01. Ke každé položce je uveden základní odkaz na výše uvedené zdroje informací, v nichž jsou požadovaná témata zpracována. Odkazy jsou uvedeny pouze přehledovým způsobem zahrnujícím pouze zde uvedenou základní atestační dokumentaci. Odkazy jsou uvedeny v pořadí daném objemem informací věnovaných dané oblasti. V neveřejné části atestačního protokolu jsou uvedeny detailní odkazy až na jednotlivé kapitoly nebo odstavce atestačních dokumentů. Požadavek Dokumenty Hodnocení poznámka ATS Splňuje 8.1 Záměr IS - Evidenční list [1], [5], [9] Evidenční list bude odeslán v nejbližším termínu na MIČR 8.2 Informační-strategie [10], [1], [5] 8.3 Bezpečnostní politika 8.5 Plán zajištění jakosti [12], [4], [13] 8.6 Principy monitorování a [2], [11], [16], [19], [20], [21] [13], [3], [23], [24] ATEST 04-20031209 Protokol o atestačním řízení Strana 8/12

aktualizace požadavků 8.7 Projektový záměr Evidenční list 8.14 Systémové požadavky IS [14] [1], [5], [28], [32] 8.15 Úvodní studie IS [5], [1], [28], [32] 8.16 Projektová bezpečnostní dokumentace IS [15], [4], [3] 8.20 Detailní návrh IS [1], [5], [3], [28], [32], [34] 8.21 Globální návrh IS [1], [5], [28], [32], [34] 8.22 Evidence poruch a mimořádných událostí [13], [19], [3], [23], [24] 8.23 Návrh migrace [6], [5], [17], [30], [32] 8.26 Protokol o kvalifikačním testování systému 8.27 Systémová příručka IS 8.28 Uživatelská příručka IS 8.29 Školicí a učební texty 8.30 Zpráva o provedení migrace Evidenční list 8.31 Zpráva o zavedení IS a konverzi dat 8.32 Protokol o převzetí IS 8.34 Provozní bezpečnostní dokumentace IS [6], [3], [23], [28] [19], [6], [33], SŘA [21], [23], [27], [33], SŘA [27], [33], SŘA [16] [6], [17], [32] [18], [6],[32] [1], [2], [11], [33], [19], [20], [21] Informace jsou v uvedeném dokumentu k dispozici Evidenční list bude odeslán v nejbližším termínu na MIČR Projektová a bezpečnostní dokumentace zpracována Protokoly o testování jsou zpracovány v požadované jakosti a úplnosti. Systémová příručka zpracována Uživatelská příručka zpracována Školicí a učební texty jsou zpracovány v požadované jakosti a úplnosti. Informace jsou v uvedeném dokumentu k dispozici Evidenční list bude odeslán v nejbližším termínu na MIČR Protokoly o převzetí IS jsou zpracovány v požadované jakosti a úplnosti ATEST 04-20031209 Protokol o atestačním řízení Strana 9/12

8.34a Systémová bezpečnostní příručka IS ADIS 8.34b Bezpečnostní směrnice IS ADIS pro bezpečnostního správce 8.34c Bezpečnostní směrnice IS ADIS pro uživatele 8.39 Evidenční list ISVS [22] [1], [2], [19] [1], [2], [20] [1], [2], [21] Informace jsou v uvedeném dokumentu k dispozici Evidenční list bude odeslán v nejbližším termínu na MIČR 9.3 Zhodnocení testů dokumentace Dokumentace požadovaná standardem pro životní cyklus je zpracována v požadované úplnosti a kvalitě. Zde uvedená základní dokumentace v bodech 1 a 2 odst. 9.2 byla dodána v elektronické podobě. Dokumentace v bodech 3 a 4 odst. 9.2 byla na požádání dostupná k prezenčnímu studiu a v případě potřeby s výkladem odborně způsobilých pracovníků ÚFDŘ. Dodavatel IS prokázal, že má k dispozici podstatně podrobnější informace, než vyžaduje standard. Podle dodané tabulky (dokument [7]) je kdykoliv možné provést kontrolu aktuálnosti a relevance dokumentů. Podrobnější informace uvádí neveřejná část atestačního protokolu a testovací protokoly. 9.4 Testování úplnosti dokumentace povinně zasílané na MIČR Dokumentace obsahuje všechny předepsané informace a je připravena k zaslání na MIČR. 9.5 Testování úplnosti povinné dokumentace Testy prokázaly, že v rámci možností provedeného testování jsou dokumenty požadované pro životní cyklus úplné a jsou v mnoha případech doplněny odkazy na vývojové nebo metodické dokumenty v systému SŘA. 9.6 Testování správnosti a úplnosti V rámci provedených testů bylo zjištěno, že předložená dokumentace je správná a úplná. Vzhledem ke značné komplikovsti systému se testy opírají o informace podané zodpovědnými a odbornými pracovníky ÚFDŘ.V řadě případů rozsah dokumentace přesahuje požadovaný objem informací. Některé připomínky jsou uvedeny v testovacích protokolech. 9.7 Testování dokumentace z hlediska konzistence, srozumitelnosti a přehlednosti Systém ADIS používá 222 Finančních úřadů, 8 Finančních ředitelství a Ústřední finanční a daňové ředitelství, což zahrnuje přes 20 000 uživatelů. Pro informovst uživatelů se používá Systém pro řízení aplikace (SŘA) vybudovaný v prostředí dokumentačního databázového systému Lotus Notes (Lotus Domino). Systém LN má dlouholetou tradici a dodavatel systému ADIS je zároveň vlastníkem systému LN. Tato skutečnost dává vysoké garance na dokonalé zajištění funkčnosti dokumentačního systému. Systém SŘA integruje veškerou potřebnou dokumentaci v elektronické podobě, přičemž vynikající vlastnosti systému LN poskytují velmi rychlé vyhledávání, údržbu a aktualizaci uložených dokumentů. Dokumenty jsou uloženy jednak v nativním textovém editoru nebo jako přílohy vytvořené v jiných grafických nebo textových nástrojích. Přístup k dokumentům je možný jednak přes volby v integrovaném systému SŘA nebo přímým přístupem do databází LN. Ve všech případech jsou ATEST 04-20031209 Protokol o atestačním řízení Strana 10/12

dokumenty strukturovány podle různých kritérií a všeobecně je preferováno uživatelsky zaměřené strukturování. To znamená, že jsou nejsnadněji a intuitivně dostupné dokumenty podle aplikačních oblastí a podle typu uživatele (FÚ, FŘ, MF). Systémově nebo jinak věcně zaměřené informace jsou vyhledatelné už obtížněji. Nicméně jsou dokumenty v řadě případů provázány hypertextovými odkazy. Významným nástrojem pro podporu životního cyklu jsou (kromě jiných) databáze: Hot Line veškerá podpora řešení chyb nebo problémů ADIS Číselníky SŘA podpora evidence číselníků ADIS Analytická zadání popis všech aktivit a požadovaných změn v systému ADIS Q&A odpovědi na časté otázky uživatelů Distribuční listy dokumentace k provádění změn v aplikaci Příručka v.26 uživatelská, systémová a administrátorská dokumentace Datové modely popis použitých datových modelů v grafické podobě Systémové prostředí LN podporuje prakticky všechny potřeby, které vznikají při evidenci, vyhledávání, aktualizaci a registraci historie dokumentů. Dále je využíváno nástrojů pro oběh dokumentů a jejich autorizaci. Z hlediska hodnocení příspěvku k zajištění životního cyklu ADIS jde o dokonalý nástroj, který je plně využíván. Dokumenty jsou aktualizovány a jsou zpracovány srozumitelným a přehledným způsobem. Jistým problémem je úzká specializovst dokumentů a orientace na odborné uživatele. Celkový náhled na funkčnost systému a specializované provozní otázky jsou dostupné obtížněji a vyžadují hlubší orientaci v systému SŘA. Ostatní dokumentace vytvořená pro atestaci doplňuje informace v SŘA zejména o prvky informační bezpečnosti a provozní tématiku. Celkově však byla dokumentaci věnována mimořádná pozornost a poskytuje spíše přebytek, než nedostatek informací. 9.8 Posouzení jakosti konkrétních řešení Informační systém ADIS je vyvíjen od roku 1992 a prochází trvalými změnami a inovacemi. Systém je po všech stránkách velmi komplikovaný (viz odst. 9.1). Nejvyšší prioritou je trvalá dostupnost, správnost funkčních algoritmů a soulad s legislativními požadavky. Těmto prioritám musí být podřízeny další úvahy o tom, zda je systém v souladu s nejnovějšími technologickými trendy, případně, do jaké míry je optimálně zajištěna jeho bezpečnost a provoz. Vzhledem k rozsáhlosti a důležitosti systému je spíše nutné zhodnotit, zda je v rovnováze plnění uvedených strategických provozních požadavků s inovačními trendy informačních technologií. Informační systém ADIS nutně v sobě nese stopy geneze svého dlouhodobého vývoje po stránce použitých technologií, organizace podpory provozu nebo použité infrastruktury. Samozřejmě by bylo možné v některých případech doporučovat určitou inovaci např. databázového systému, systému pro autentizaci dokumentů, zdokonalit bezpečnostní parametry, procesy provozu apod. Takové inovace je však nutné velmi uvážlivě, koncepčně a dlouhodobě plánovat, protože v žádném případě nesmějí narušit strategické priority. V tomto ohledu je zkušenostmi potvrzena správnost spíše konzervativního přístupu ke změnám a inovacím. S uvážením všech omezení a specifik systému ADIS jsou hodnotitelé atestačního střediska přesvědčeni, že jsou použitá konkrétní technologická řešení IS ADIS v souladu s moderními trendy ve vývoji informačních systémů. 9.9 Splnění ostatních požadavků standardu pro životní cyklus Kromě dokumentace byly posuzovány i procesy předepsané standardy pro životní cyklus. Byl posuzován zejména proces vývoje IS ADIS a jeho shoda s požadavky standardu. Lze konstatovat, že vývoj softwarových produktů u dodavatele i jeho subdodavatelů probíhá ve velmi profesionálních ATEST 04-20031209 Protokol o atestačním řízení Strana 11/12

podmínkách, viz odst. 9.2, dokumenty [3], [4] a další. Ve vývoji je používána řada nástrojů pro zajištění dokonalé podpory všech předepsaných procesů. Tento postup je zárukou dokumentovatelnosti všech fází vývoje aplikací, evidence změn atd. Používané postupy spolu se zavedeným dokumentováním vývoje a provozu jsou zárukou vysoké důvěryhodnosti a bezpečnosti aplikace ADIS. 10 Celkové hodnocení produktu Hodnocený produkt vyhověl ve všech parametrech bez výhrad. Produkt dosahuje shody s uvažovanými kritérii podle uvedených standardů. Považujeme ho za způsobilý k provozu podle výše uvedeného aplikačního určení. 11 Rozhodnutí atestačního střediska vyhodnotilo výsledky provedených testů podle příslušných metodik a došlo ke zjištění, že produkt vyhověl všem předepsaným testům. S přihlédnutím ke stupni splnění jednotlivých požadavků ve standardech bylo vydáno následující hodnocení: Ukončení atestace shody s technickými normami a standardy ISVS produkt vyhověl s hodnocením: BEZ VÝHRAD 12 Souhrnné informace Číslo atestu 04-20031209 BDO IT, a. s. Obchodní název produktu Informační systém ADIS ve verzi 26 Žadatel Typ atestace Rozsah atestace Výsledné hodnocení Výhrady Zodpovědná osoba za ATS Česká republika Ministerstvo financí, Ústřední finanční a daňové ředitelství. základní Standard ISVS pro náležitosti životního cyklu informačního systému 005/02.01 Shoda s technickými normami a standardy ISVS - bez výhrad žádné Jindřich Pacovský Zodpovědná osoba za testovací Luděk Novák laboratoř Datum vydání atestu 8.12.2004 Platnost atestu do 7.12.2007 13 Informace o protokolu Za správnost zodpovídá: Schválil: Luděk Novák, vedoucí testovací laboratoře BDOcert Jindřich Pacovský, ředitel atestačního střediska ATEST 04-20031209 Protokol o atestačním řízení Strana 12/12