Методологія й нормативна база
Підхід простий: заходи добирають під конкретні загрози, а не переписують типовий перелік. Обсяг залежить від категорії відомостей, архітектури контуру, реального середовища експлуатації.
- Порядок розроблення та затвердження профілів, Порядок авторизації — урядовий акт від 18.06.2025;
- затверджені вихідні набори заходів — накази Адміністрації Держспецзв'язку № 409 та № 419;
- методичні рекомендації щодо формування документа, схвалені експертною радою у 2025 році;
- Порядок перевірки стану кіберзахисту — урядовий акт № 1799 від 31.12.2025;
- чинні нормативні документи технічного захисту в частині, яка зберігає застосовність;
- внутрішні документи замовника: класифікація відомостей, перелік ресурсів, наявні організаційні заходи.
Заходи описуємо через властивості, яких треба досягти, а не через моделі обладнання. Такий запис не прив'язує замовника до єдиного постачальника й переживає планову заміну техніки без переписування документа.
Типова помилка попередніх років — технічне завдання, у якому перелічене бажане обладнання. Через рік виявляється, що потрібні властивості досягаються іншим шляхом, дешевше, а документ уже узгоджено.
Друга типова помилка — папери, які описують інше середовище. Схема застаріла, вузли перенесені, підрядник змінився, а документ лишився тим самим. Під час перевірки таку розбіжність помічають першою.
Третя — мертві журнали. Записи ведуться формально, події не переглядає ніхто, а строк зберігання коротший за строк розслідування. Тому склад подій, глибину зберігання та порядок перегляду фіксуємо окремо.
Окрема увага — доказовості. Кожен захід має лишати слід: запис, звіт, налаштування, підпис відповідального. Захід без сліду виконання під час перевірки рахується як невиконаний.
Ще одна поширена ситуація — підрядник, який зник. Налаштування робив зовнішній виконавець, документація лишилася в нього, а установа не має навіть схеми. Тоді роботи починаються із відновлення фактичної картини: опитування адміністраторів, вивантаження конфігурацій, звірка із договорами на обслуговування.
Практика така: найдовше триває не написання, а узгодження всередині установи. Тому графік будуємо навколо дат нарад та наказів, а не навколо обсягу тексту. Один узгоджений розділ вартий трьох написаних, але нікому не показаних.
Робота під конкретну задачу
Повний цикл потрібен не завжди. Обсяг визначається після обстеження й може обмежуватися окремими блоками.
- аналіз розбіжностей поточного стану контуру із затвердженим вихідним набором;
- підготовка документа щодо одного середовища або одного сегмента;
- перегляд чинного документа після модернізації;
- збирання доказової бази перед внутрішньою перевіркою;
- супровід під час зовнішнього розгляду, опрацювання зауважень;
- наказ про відповідальних осіб, розподіл повноважень усередині установи.
У нових середовищах діє профіль безпеки замість КСЗІ. Раніше оцінені комплекси захисту працюють до завершення строку дії документа про відповідність, після чого середовище переходить на дозвільну процедуру.
Строк і вартість залежать від виду відомостей, кількості вузлів і майданчиків, наявності галузевого набору, стану документації, потреби в дообстеженні. Оцінку даємо після обстеження, без попередніх обіцянок за телефоном.
Відповідальність за виконання заходів лишається за власником середовища. Залучений виконавець готує документи, пояснює логіку рішень, супроводжує розгляд, але не заміняє собою відповідальну особу установи.
Інші напрями
Захист середовищ спирається на керовані процеси й документацію. Атестор також працює за напрямами:
Атестор працює за типовими напрямами й під конкретну задачу. Щоб обговорити роботу, напишіть на Viber, Telegram або зателефонуйте +380 67 315-30-25. Більше — Про нас.
У нових середовищах застосовується дозвільна модель. Раніше оцінені комплекси працюють до завершення строку дії документа про відповідність, після чого середовище переходить на нову процедуру.
Від виду відомостей, кількості вузлів і майданчиків, наявності галузевого набору заходів, стану наявної документації, потреби в дообстеженні. Оцінку даємо після обстеження.
Власник середовища. Залучений виконавець готує матеріали та супроводжує розгляд, проте відповідальність за виконання заходів залишається за установою.
