POLICEJNÍ SÍŤ DOSTALA SPOLEČNÁ PRAVIDLA
Modernizovat síť téměř tisícovky policejních lokalit neznamenalo jen vyměnit zastaralá zařízení. Bylo třeba sjednotit technické prostředí, které vznikalo postupně po řadu let, vyjasnit odpovědnost za jeho správu a provést změny s minimálním dopadem na fungování jednotlivých pracovišť policie. Program Modernizace komunikační infrastruktury II ukazuje, proč jsou společná pravidla stejně důležitá, jako nové technologie.
Komunikační síť zůstává obvykle mimo pozornost, dokud funguje. U Policie ČR však její výpadek může zasáhnout nejen běžný chod pracovišť, ale také krizové řízení a spolupráci v integrovaném záchranném systému. Spolehlivost a bezpečnost infrastruktury proto nejsou jen záležitostí IT oddělení – jsou podmínkou fungování celé instituce.
Původní policejní síť vznikala prostřednictvím dílčích projektů, podle aktuálních potřeb a dostupných financí. Jednotlivá pracoviště se lišila stářím zařízení, zapojením i konfigurací. Také zabezpečení a způsob správy nesly otisk místních podmínek. Zavádění změn proto vyžadovalo mnoho ruční práce a znalosti konkrétních správců se obtížně přenášely mezi kraji.
Program Modernizace komunikační infrastruktury II, zkráceně MKI II, který probíhal od jara 2023 do srpna 2026, měl tuto roztříštěnost překonat. Vedle obnovy techniky přinesl společnou architekturu a provozní model pro řízení sítě jako služby. Na konferenci e-government 20:10 v Mikulově jej představili plk. Mgr. Branislav Samek, ředitel Národního centra informačních a komunikačních technologií Policejního prezidia ČR, a Ing. Jan Holub, ředitel programu za dodavatele ALEF NULA.
Od místních řešení ke společnému standardu
Potíže různorodého prostředí se nejvýrazněji projeví při rozsáhlejší změně nebo řešení incidentu. Správce, který dobře zná vlastní síť, nemusí být schopen stejně rychle pomoci v jiném kraji. Zastupitelnost je omezená a provoz se soustředí spíše na odstraňování problémů, než na jejich prevenci.
Diagnostika spotřebovává čas odborníků, zastaralá zařízení přinášejí riziko neplánovaných výdajů a vedení obtížněji předvídá náklady i dobu potřebnou k nápravě. Odlišné bezpečnostní politiky navíc komplikují kontrolu toho, jak se pravidla zabezpečení skutečně uplatňují.
Odpovědí se stala standardizace. Lokality byly rozděleny podle významu na velké a střední uzlové objekty a menší koncová pracoviště. Pro jednotlivé typy vznikla společná pravidla vybavení, zapojení a konfigurace. Sjednocení zahrnuje také označování zařízení, adresní plán a síť určenou pro správu.
Neznamená to, že všechny policejní budovy mají mít stejné vybavení. Rozdíly však vycházejí z předem definovaného návrhu, nikoli z historických zvyklostí. Konfigurační šablony se používají pro propojení jednotlivých objektů i jejich místní sítě. Administrátoři tak mohou pracovat podle společných pravidel místo toho, aby pokaždé poznávali jiné prostředí.
Šestnáct projektů, jeden celek
Koncept programu vznikl na jaře 2023, v září následoval návrh architektury a detailního řešení. V roce 2024 pracovníci Národního centra informačních a komunikačních technologií společně se zástupci smluvního partnera navštívili všechna krajská ředitelství a zmapovali skutečný stav i potřeby jednotlivých útvarů. Program byl dokončen v srpnu 2026.
MKI II zahrnoval šestnáct dílčích projektů. Financování z Národního plánu obnovy umožnilo modernizaci v celorepublikovém rozsahu, který přesahoval možnosti běžné obnovy. Jednotlivé části navazovaly na koncepci Ministerstva vnitra, předchozí modernizační projekty a standardy resortní infrastruktury.
Obnova se soustředila na tři technologické vrstvy. Páteřní přepínání na úrovni L3 zahrnovalo 277 zařízení ve sto lokalitách a jeho implementace skončila v prosinci 2024. Propojení pracovišť prostřednictvím CE routerů představovalo 1 040 zařízení v 948 lokalitách. Zakázky krajských ředitelství na přístupovou vrstvu, k níž se připojují uživatelé a koncová zařízení, zahrnovaly 3 179 přepínačů v 875 lokalitách. Jde o různé části téže infrastruktury, nikoliv o samostatné skupiny pracovišť, jejichž počty lze sečíst.
Stejně důležité jako technické řešení, bylo rozdělení odpovědnosti. Ministerstvo vnitra a NAKIT zajišťují transportní síť, Policie ČR vystupuje jako zákazník a garant požadavků na službu. Modernizace tak vymezila také hranice mezi poskytováním konektivity a správou policejní sítě.
Síť pod centrálním dohledem
Jedním z hlavních prvků modernizace je softwarově řízená síť SD-WAN. Konfigurace a pravidla komunikace se díky ní spravují centrálně, nikoliv ručním nastavováním každého routeru zvlášť. Nad transportním připojením tak vzniká společná řídicí vrstva, která může pracovat s různými technologiemi připojení.
Zavedení SD-WAN ovšem vyžadovalo důkladnou přípravu. Bylo nutné prověřit stávající síť, její rozdělení do oddělených segmentů, nároky na dostupnost i plánovaný rozvoj. K důležitým krokům patřilo ověření centrálních systémů a pilotní nasazení na vybrané skupině lokalit. Teprve odladěné konfigurační šablony vytvořily základ pro hromadné zavádění změn.
Společná pravidla se týkají také přístupů administrátorů. Pro jejich centrální ověřování a řízení oprávnění řešení využívá Cisco ISE a TACACS+. Součástí standardizace je centrální ukládání provozních záznamů a sběr informací o síťových tocích pomocí NetFlow. Tyto nástroje poskytují podklady pro dohled nad sítí a diagnostiku problémů.
Správa místních sítí stojí na Cisco Catalyst Center, propojení lokalit na Cisco SD-WAN. Obě oblasti spojuje centrální řízení, konfigurační šablony a jednotné bezpečnostní nastavení. Pravidla zabezpečení tak nezůstávají pouze doporučením pro jednotlivá pracoviště, ale lze je uplatňovat napříč sítí. Segmentace, řízení přístupů, šifrování a možnost zpětné kontroly zároveň podporují plnění požadavků kybernetické bezpečnosti.
Migrace s minimem odstávek
Převést stovky fungujících pracovišť do nového prostředí nebylo jen technickým úkolem. Policejní síť zahrnuje budovy sdílené s dalšími organizacemi rezortu vnitra, lokality bez stálé přítomnosti pracovníků i pracoviště u jiných subjektů. Do harmonogramu navíc průběžně zasahovala stěhování, rekonstrukce a nové objekty.
Nasazení L3 přepínačů předcházela analýza všech sta lokalit a úprava návrhu podle jejich skutečných podmínek. Realizace této etapy trvala tři měsíce, samotná migrace tři týdny. Přímo na pracovištích se zapojilo více než padesát pracovníků dodavatele. Společný návrh uzlových objektů a jednotný postup pomáhali omezit odstávky.
Migrace CE routerů vyžadovala koordinaci více než devíti set lokalit během dvou měsíců. Práce probíhaly souběžně v deseti krajích a postupovaly od velkých uzlových objektů přes další uzly až k menším pracovištím. Zapojilo se více než sto pracovníků policie a přes padesát pracovníků dodavatelů.
Postup zahrnoval ověření místních podmínek, zajištění instalačního materiálu a automatizované zprovoznění zařízení, označované jako zero-touch nasazení. Přechod řídil migrační velín podle harmonogramu a instalační týmy měly k dispozici centrální telefonní linku pro okamžitou podporu.
Souběžně se převádělo šestnáct lokalit a průměrné tempo dosahovalo pětadvaceti pracovišť denně. Migraci CE routerů provázel jediný neplánovaný výpadek. Omezení dopadů na provoz přitom záviselo nejen na automatizaci, ale také na přípravě, pilotním ověření postupů a průběžné komunikaci všech zapojených stran.
MKI II vytvořil společný technologický základ a provozní model pro další rozvoj policejní sítě. Nejdůležitější změnu však nelze vyjádřit počtem nových zařízení – ale tím, že místo souboru místních řešení má policie infrastrukturu se společnými pravidly a jasně rozdělenou odpovědností. Právě to vytváří předpoklady, aby síť dokázala růst bez návratu k původní roztříštěnosti.
-red-