PRILOGA

KAZALO

1.

Uvod …

1.1	Akronimi in okrajšave …

2.	Splošni pregled …

3.	Geografska pokritost …

4.	Omrežne storitve …

4.1	Struktura omrežja …

4.2	Vrsta povezave med osnovnim CS-SIS – varnostno kopijo CS-SIS …

4.3	Pasovna širina …

4.4	Vrste storitev …

4.5	Podporni protokoli …

4.6	Tehnične specifikacije …

4.6.1

Dodeljevanje naslovov IP …

4.6.2

Podpora za IPv6 …

4.6.3

Dodajanje statičnih smeri …

4.6.4

Vzdrževanje hitrosti pretoka …

4.6.5

Druge specifikacije …

4.7	Prožnost …

5.	Spremljanje …

6.	Splošne storitve …

7.	Razpoložljivost …

8.	Varnostne storitve …

8.1	Šifriranje omrežja …

8.2	Druge varnostne značilnosti …

9.	Struktura službe za pomoč uporabnikom …

10.	Sodelovanje z drugimi sistemi…

1.   Uvod

Ta dokument opisuje obliko komunikacijskega omrežja, komponente, ki jih vsebuje, in posebne zahteve omrežja.

1.1   Akronimi in okrajšave

Ta razdelek opisuje akronime, ki se uporabljajo v dokumentu.

Akronimi in okrajšave	Obrazložitev
BLNI	Lokalni nacionalni vmesnik za varnostno kopiranje (Backup Local National Interface)
CEP	Centralna končna točka (Central End Point)
CNI	Centralni nacionalni vmesnik (Central National Interface)
CS	Centralni sistem
CS-SIS	Tehnični podporni del, ki vsebuje zbirko podatkov SIS II
DNS	Strežnik za domenska imena (Domain Name Server)
FCIP	Optični kanal preko IP (Fibre Channel over IP)
FTP	Protokol, ki temelji na sistemu odjemalec-strežnik (File Transport Protocol)
HTTP	Protokol za izmenjavo nadbesedila (Hyper Text Transfer Protocol)
IP	Internetni protokol
LAN	Lokalno omrežje (Local Area Network)
LNI	Lokalni nacionalni vmesnik (Local National Interface)
Mb/s	Megabitov na sekundo
MDC	Glavni razvijalec, izvajalec (Main Developer Contractor)
N.SIS II	Nacionalni del v vsaki državi članici
NI-SIS	Enoten nacionalni vmesnik
NTP	Omrežni časovni protokol (Network Time Protocol)
SAN	Omrežje pomnilniških naprav (Storage Area Network)
SDH	Sinhrona digitalna hierarhija (Synchronous Digital Hierarchy)
SIS II	Schengenski informacijski sistem, druga generacija
SMTP	Preprost protokol za prenos elektronske pošte (Simple Mail Transport Protocol)
SNMP	Preprost protokol za upravljanje omrežja (Simple Network Management Protocol)
s-TESTA	Varne vseevropske telematske storitve med upravami; je ukrep programa IDABC (interoperabilno zagotavljanje vseevropskih e-vladnih storitev javnim upravam, podjetjem in državljanom; Sklep 2004/387/ES Evropskega parlamenta in Sveta z dne 21. aprila 2004)
TCP	Protokol za krmiljenje prenosa (Transmission Control Protocol)
VIS	Vizumski informacijski sistem
VPN	Navidezno zasebno omrežje (Virtual Private Network)
WAN	Prostrano omrežje (Wide Area Network)

2.   Splošni pregled

SIS II sestavljajo:

—

Centralni sistem (v nadaljnjem besedilu „Centralni SIS II“), ki ga sestavljata: — tehnični podporni del (v nadaljnjem besedilu „CS-SIS“), ki vsebuje zbirko podatkov SIS II. Osnovni CS-SIS izvaja tehnični nadzor in upravljanje, varnostna kopija CS-SIS pa zagotavlja opravljanje vseh funkcij osnovnega CS-SIS v primeru okvare tega sistema, — enoten nacionalni vmesnik (v nadaljnjem besedilu „NI-SIS“),

—

nacionalni del (v nadaljnjem besedilu „N.SIS II“) v vsaki državi članici, sestavljen iz nacionalnih podatkovnih sistemov, ki so povezani s Centralnim SIS II. N.SIS II lahko vsebuje podatkovno zbirko (v nadaljnjem besedilu „nacionalna kopija“), ki vsebuje celotno ali delno kopijo zbirke podatkov SIS II,

—	komunikacijska infrastruktura med CS-SIS in NI-SIS (v nadaljnjem besedilu „komunikacijska infrastruktura“), ki zagotavlja šifrirano navidezno omrežje, namenjeno podatkom SIS II in izmenjavi podatkov med uradi SIRENE.

NI-SIS sestavljajo:

—	en lokalni nacionalni vmesnik (v nadaljnjem besedilu „LNI“) v vsaki državi članici, ki fizično povezuje državo članico z varnim komunikacijskim omrežjem in vsebuje naprave za šifriranje, namenjene prometu podatkov SIS II in SIRENE. LNI se nahaja v državi članici,

—	neobvezen lokalni nacionalni vmesnik za varnostno kopiranje (v nadaljnjem besedilu „BLNI“) ki ima popolnoma enako vsebino in funkcijo kot LNI.

LNI in BLNI se uporabljata samo za sistem SIS II in za izmenjavo podatkov SIRENE. Posebna konfiguracija LNI in BLNI bo podrobno določena in dogovorjena z vsako posamezno državo članico, da bodo upoštevane varnostne zahteve, fizična lokacija in pogoji namestitve, vključno z zagotavljanjem storitev ponudnika omrežja, kar pomeni, da lahko fizična povezava s-TESTA vsebuje več tunelov VPN za druge sisteme, na primer VIS in Eurodac,

—	centralni nacionalni vmesnik (v nadaljnjem besedilu „CNI“), ki je aplikacija za varni dostop do CS-SIS. Vsaka država članica ima ločene logične dostopne točke do CNI preko centralnega požarnega zidu.

Komunikacijsko infrastrukturo med CS-SIS in NI-SIS sestavlja:

—	omrežje za varne vseevropske telematske storitve med upravami (v nadaljnjem besedilu s-TESTA), ki zagotavlja šifrirano, navidezno, zasebno omrežje, namenjeno prometu podatkov SIS II in SIRENE.

3.   Geografska pokritost

Komunikacijska infrastruktura mora zajemati in zagotavljati potrebne storitve vsem državam članicam:

vse države članice EU (Belgija, Francija, Nemčija, Luksemburg, Nizozemska, Italija, Portugalska, Španija, Grčija, Avstrija, Danska, Finska, Švedska, Ciper, Češka, Estonija, Madžarska, Latvija, Litva, Malta, Poljska, Slovaška, Slovenija, Združeno kraljestvo in Irska) in Norveška, Islandija, Švica.

Poleg tega je treba zagotoviti tudi pokritost držav pristopnic Romunije in Bolgarije.

Končno mora komunikacijska infrastruktura zagotavljati možnost, da se lahko razširi na katero koli drugo državo ali subjekt, ki pristopi k Centralnemu SIS II (npr. Europol, Eurojust).

4.   Omrežne storitve

V primerih ko je omenjen protokol ali arhitektura, je treba razumeti, da so sprejemljive tudi enakovredne prihodnje tehnologije, protokoli in arhitektura.

4.1   Struktura omrežja

Arhitektura SIS II uporablja centralizirane storitve, ki so dostopne iz različnih držav članic. Za namene prožnosti so te centralizirane storitve podvojene na dveh različnih lokacijah, in sicer Strasbourg v Franciji in St Johann im Pongau v Avstriji. Te storitve vključujejo CS-SIS, CU in varnostne kopije CS-SIS, BCU.

Centralne enote, glavne in varnostne kopije, morajo biti dostopne iz različnih držav članic. Sodelujoče države imajo lahko več dostopnih točk do omrežja, LNI in BLNI, da povežejo svoje nacionalne sisteme s centralnimi storitvami.

Poleg glavne povezljivosti s centralnimi storitvami mora komunikacijska infrastruktura podpirati tudi dvostransko dodatno izmenjavo podatkov med uradi SIRENE v različnih državah članicah.

4.2   Vrsta povezave med osnovnim CS-SIS – varnostno kopijo CS-SIS

Zahtevana vrsta povezave za medsebojno povezljivost med osnovnim CS-SIS in varnostno kopijo CS-SIS mora biti obroč SDH ali ekvivalent, kar pomeni, da mora biti odprta tudi za nove prihodnje arhitekture in tehnologije. Infrastruktura SDH se bo uporabljala za razširitev lokalnih omrežij obeh centralnih enot, da se ustvari en sam brezšiven LAN (seamless LAN). Ta LAN se bo nato uporabljal za nepretrgano sinhronizacijo med CU in BCU.

4.3   Pasovna širina

Ključna zahteva za komunikacijsko infrastrukturo je pasovna širina, ki jo lahko zagotovi različnim medsebojno povezanim stranem, in sposobnost infrastrukture, da podpira to pasovno širino znotraj svojega hrbteničnega omrežja.

Pasovna širina, ki je potrebna za LNI in neobvezen BLNI, bo različna za vsako državo članico, odvisna pa bo predvsem od izbire uporabe nacionalnih kopij, centralnega iskanja in izmenjave biometričnih podatkov.

Dejanske velikosti, ki jih komunikacijska infrastruktura namerava nuditi, so nepomembne, če izpolnjujejo minimalno potrebo posamezne države članice.

Vsaka od zgoraj navedenih vrst strani lahko prenese veliko količino podatkov (alfanumeričnih, biometričnih in celotnih dokumentov) v obe smeri. Zato mora komunikacijska infrastruktura zagotoviti zadostno minimalno hitrost nalaganja in prenašanja podatkov za vsako povezavo.

Komunikacijska infrastruktura mora nuditi obseg povezave od 2 Mb/s do 155 Mb/s ali več. Omrežje mora zagotoviti zadostno minimalno hitrost nalaganja in prenašanja podatkov za vsako povezavo in njegov obseg mora biti zadosten, da podpira celotno pasovno širino dostopnih točk do omrežja.

4.4   Vrste storitev

Centralni SIS II bo podprl zmogljivost prednostnega razvrščanja iskanj/razpisov ukrepov. Iz tega izhaja zahteva, da bo komunikacijska infrastruktura podprla tudi možnost prednostnega razvrščanja prometa podatkov.

Za parametre omrežnega prednostnega razvrščanja se šteje, da bodo določeni s strani Centralnega SIS II za vse pakete podatkov, ki bodo to zahtevali. Uporabil se bo mehanizem „Weighted Fair Queuing“. To pomeni, da mora biti komunikacijska infrastruktura sposobna prevzeti prednostno razvrščanje, določeno za pakete podatkov na izvirnem LAN, in ustrezno obravnavati pakete v okviru svojega hrbteničnega omrežja. Poleg tega mora komunikacijska infrastruktura preko oddaljene strani posredovati začetne pakete, ki vsebujejo enako prednostno razvrščanje, kot je določeno v izvirnem LAN.

4.5   Podporni protokoli

Centralni SIS II bo uporabljal več različnih omrežnih komunikacijskih protokolov. Komunikacijska infrastruktura mora podpirati vrsto omrežnih komunikacijskih protokolov. Standardni protokoli, ki bodo podprti, so HTTP, FTP, NTP, SMTP, SNMP in DNS.

Poleg standardnih protokolov mora biti komunikacijska infrastruktura prilagojena za upravljanje različnih tunelskih protokolov, protokolov za podvojevanje SAN in lastniških protokolov tipa Java-to-Java tehnologije BEA WebLogic. Tunelski protokoli, npr. IPsec v tunelskem načinu, se bodo uporabljali za prenos šifriranega prometa podatkov na njegov cilj.

4.6   Tehnične specifikacije

4.6.1   Dodeljevanje naslovov IP

Komunikacijska infrastruktura mora imeti na voljo več rezerviranih IP-naslovov, ki se lahko uporabljajo samo znotraj tega omrežja. V okviru rezerviranega IP razpona bo Centralni SIS II uporabljal določene IP-naslove, ki se drugje ne bodo uporabljali.

4.6.2   Podpora za IPv6

Mogoče je domnevati, da bo protokol, ki se bo uporabljal za lokalna omrežja držav članic, protokol TCP/IP. Vendar bodo nekatere strani temeljile na verziji 4, druge pa na verziji 6. Dostopne točke do omrežja morajo nuditi možnost, da delujejo kot prehod, in delovati morajo neodvisno od omrežnih protokolov, uporabljenih v Centralnem SIS II kot tudi v N.SIS II.

4.6.3   Dodajanje statičnih smeri

CU in BCU lahko uporabljata isti IP-naslov za komuniciranje z državami članicami. Zato mora komunikacijska infrastruktura podpirati dodajanje statičnih smeri.

4.6.4   Vzdrževanje hitrosti pretoka

Dokler ima CU ali BCU povezava hitrost nalaganja nižjo od 90 %, mora biti dana država članica sposobna trajno vzdrževati 100 % pasovne širine, določene za to povezavo.

4.6.5   Druge specifikacije

Za podporo CS-SIS mora komunikacijska infrastruktura izpolnjevati vsaj minimalne tehnične specifikacije:

Zamuda pri prenosu mora biti (vključno z najbolj zasedenimi urami) 150 ms ali manj v 95 % paketov in manj kot 200 ms v 100 % paketov.

Njena verjetnost izgube paketa mora biti (vključno z najbolj zasedenimi urami) 10-4 ali manj v 95 % paketov in manj kot 10-3 v 100 % paketov.

Zgoraj navedene specifikacije je treba upoštevati za vsako dostopno točko posebej.

Povezava med CU in BCU mora imeti povratno zamudo 60 ms ali manj.

4.7   Prožnost

CS-SIS je bil oblikovan z zahtevo visoke razpoložljivosti. Zato ima sistem vgrajeno prožnost s podvajanjem vse opreme za primere motenj delovanja komponent.

Komponente komunikacijske infrastrukture morajo biti prožne tudi v primeru okvare. V zvezi s komunikacijsko infrastrukturo to pomeni, da morajo biti prožne naslednje komponente:

—	hrbtenično omrežje,

—	usmerjevalne naprave,

—	točke prisotnosti,

—	povezave lokalne zanke (vključno z odvečnimi kabelskimi povezavami),

—	varnostne naprave (kripto naprave, požarni zidovi itd.),

—	vse splošne storitve (DNS, NTP itd.),

—

LNI/BLNI.

Mehanizmi za nadomestni način delovanja za vso opremo omrežja morajo delovati brez ročnega posredovanja.

5.   Spremljanje

Za olajšanje spremljanja morajo biti orodja za spremljanje komunikacijske infrastrukture takšna, da se lahko vključijo v naprave za nadzor organizacij, odgovornih za operativno upravljanje Centralnega SIS II.

6.   Splošne storitve

Poleg namenskega omrežja in varnostnih storitev mora komunikacijska infrastruktura nuditi tudi splošne storitve.

Namenske storitve je treba izvajati znotraj obeh centralnih enot za namene redundance.

V komunikacijski infrastrukturi morajo biti na voljo naslednje izbirne splošne storitve:

Storitev	Dodatne informacije
DNS	Sedanji postopek za nadomestni način delovanja za preklapljanje iz CU na BCU v primeru izpada omrežja temelji na spremembi IP-naslova znotraj splošnega strežnika DNS.
Posredovanje e-pošte	Uporaba splošnega posredovanja e-pošte bi lahko bila koristna za standardizacijo nastavitve e-naslova za različne države članice, ki v nasprotju z namenskim strežnikom ne izrablja omrežnih virov iz CU/BCU. E-pošta, ki uporablja splošno posredovanje e-pošte, mora kljub temu upoštevati varnostno predlogo.
NTP	Ta storitev se lahko uporablja za sinhronizacijo ur v opremi omrežja.

7.   Razpoložljivost

CS-SIS ter LNI in BLNI morajo omogočiti 99,99 % razpoložljivost v obdobju 28 dni neprekinjenega delovanja brez razpoložljivosti omrežja.

Razpoložljivost komunikacijske infrastrukture mora biti 99,99 %.

8.   Varnostne storitve

8.1   Šifriranje omrežja

Centralni SIS II ne dovoljuje prenosa podatkov z visokimi ali zelo visokimi varnostnimi zahtevami izven LAN brez šifriranja. Zagotoviti je treba, da ponudnik omrežja na noben način ne bo imel dostopa do operativnih podatkov SIS II kot tudi do podobne izmenjave podatkov SIRENE.

Da bi ohranila visoko stopnjo varnosti, mora komunikacijska infrastruktura omogočati upravljanje certifikatov/ključev. Omogočeno mora biti skrbništvo na daljavo in spremljanje naprav za šifriranje na daljavo. Algoritmi šifriranja morajo izpolnjevati najmanj naslednje zahteve:

—

Simetrični algoritmi šifriranja: — 3DES (128 bitov) ali boljši. — Generiranje ključev mora biti odvisno od naključne vrednosti, ki ne dopušča zmanjšanja prostora za ključ, če je napadena. — Ključi za šifriranje ali informacije, ki se lahko uporabljajo za izpeljevanje ključev, so vedno zaščiteni, če so na pomnilniškem ključu.

—	Asimetrični algoritmi šifriranja: — RSA (1 024 bit modul) ali boljši. — Generiranje ključev mora biti odvisno od naključne vrednosti, ki ne dopušča zmanjšanja prostora za ključ, če je napadena.

Uporabi se protokol za zavarovanje vsebine s šifriranjem (ESP, RFC2406). Uporabljen bo v tunelskem načinu. Vsebina in originalna IP-glava bosta šifrirana.

Za izmenjavo sejnih ključev se uporabi protokol upravljanja z varnostnimi ključi (IKE).

Ključi IKE ne bodo veljavni več kot 1 dan.

Sejni ključi ne bodo veljavni več kot 1 uro.

8.2   Druge varnostne značilnosti

Poleg zaščite dostopnih točk do SIS II mora komunikacijska infrastruktura zaščititi tudi izbirne splošne storitve. Te storitve morajo izpolnjevati iste zaščitne ukrepe, primerljive s tistimi v CS-SIS. Vse splošne storitve morajo biti zato zaščitene najmanj s požarnim zidom, protivirusno zaščito in s sistemom za zaznavanje vsiljivcev. Poleg tega morajo biti naprave za splošne storitve in njihovi zaščitni ukrepi pod stalnim varnostnim nadzorom (beleženje in spremljanje).

Za zagotovitev visoke stopnje varnosti se mora organizacija, odgovorna za operativno upravljanje Centralnega SIS II, zavedati vseh incidentov v zvezi z varnostjo, do katerih lahko pride v komunikacijski infrastrukturi. Zato mora komunikacijska infrastruktura omogočati, da se vsi večji incidenti v zvezi z varnostjo brez zamude sporočijo organizacijam, odgovornim za operativno upravljanje Centralnega SIS II. Vsi incidenti v zvezi z varnostjo morajo biti redno zabeleženi, npr. mesečna poročila in ad hoc poročila.

9.   Struktura službe za pomoč uporabnikom

Ponudnik komunikacijske infrastrukture mora zagotoviti službo za pomoč uporabnikom, ki sodeluje z organizacijo, odgovorno za operativno upravljanje za Centralni SIS II.

10.   Sodelovanje z drugimi sistemi

Komunikacijska infrastruktura mora zagotoviti, da podatki ne gredo izven določenih komunikacijskih kanalov. Za tehnično izvajanje to pomeni, da:

—	je vsak nedovoljen in/ali nenadzorovan dostop do drugih omrežij strogo prepovedan. To vključuje medsebojno povezljivost z internetom,

—	ne sme priti do prehajanja podatkov v druge sisteme v omrežju; npr. medsebojna povezljivost z različnimi IP navideznih zasebnih omrežij (VPN) ni dovoljena.

Poleg zgoraj omenjenih tehničnih omejitev, ki jih povzroča, vpliva tudi na službo za pomoč uporabnikom informacijske infrastrukture. Služba za pomoč uporabnikom ne sme nikomur posredovati nobenih podatkov glede Centralnega SIS II, razen organizaciji, odgovorni za operativno upravljanje za Centralni SIS II.