Вимоги кібербезпеки в Україні

Упровадження й оцінювання кіберзахисту, та авторизація систем

Допомагаємо державним органам, підприємствам, установам, органам місцевого самоврядування, операторам критичної інфраструктури й власникам об’єктів критичної інформаційної інфраструктури (КІІ) виконувати сучасні вимоги України в сфері захисту інформації та кіберзахисту.

H-X Technologies (ТОВ “Ейч-Екс”, повна назва – товариство з обмеженою відповідальністю “Ейч-Екс Текнологіс”) аналізує застосовні нормативні вимоги, проводить оцінювання кіберризиків, розробляє цільові профілі безпеки (ЦПБ), проєктує та впроваджує організаційні й технічні заходи, готує доказову та авторизаційну документацію, а також супроводжує усунення виявлених невідповідностей.

Маємо ліцензію Держспецзв’язку на надання послуг криптографічного та технічного захисту інформації.

Що потрібно саме вашій організації

Перший етап нашої роботи — визначення правильного правового й технічного варіанту.

Не слід плутати

• Оцінювання ризиків відповідає на запитання: що може статися, наскільки це ймовірно і якими можуть бути наслідки?
• Оцінювання стану кіберзахисту відповідає на запитання: які вимоги та заходи фактично виконані й наскільки повно?
• Оцінювання дотримання ЦПБ відповідає на запитання: чи реалізовані вимоги конкретного цільового профілю, необхідного для авторизації?

Кому потрібні ці послуги

Порядок авторизації за постановою Кабінету Міністрів України (КМУ) №712 застосовується до визначених систем, в яких обробляються державні інформаційні ресурси або інформація з обмеженим доступом, вимога щодо захисту якої встановлена законом, а також до об’єктів КІІ, власниками або розпорядниками яких є органи державної влади, інші державні органи, державні підприємства, установи й організації та органи місцевого самоврядування.

Порядок оцінювання стану кіберзахисту за постановою КМУ №1799 охоплює відповідні державні системи, об’єкти критичної інфраструктури та КІІ, а також визначених юридичних осіб незалежно від організаційно-правової форми. Для об’єктів критичної інфраструктури та КІІ III і IV категорій оцінювання переважно є добровільним, крім установлених Порядком випадків.

Типові замовники:

• органи державної влади та інші державні органи;
• органи місцевого самоврядування;
• державні підприємства, установи й організації;
• оператори критичної інфраструктури;
• власники та розпорядники об’єктів КІІ;
• розробники й постачальники систем для державного сектору;
• підрядники, які обробляють державні інформаційні ресурси або захищену законом інформацію;
• організації, які готуються до оцінювання чи державного контролю.

Важливий виняток: порядок оцінювання за постановою №1799 не поширюється на Національний банк України, банки, визначені установи та осіб на ринках фінансових послуг, діяльність яких регулює НБУ, а також на відповідних учасників платіжного ринку. Для них діють окремі галузеві вимоги.

Авторизація з безпеки системи

Авторизація підтверджує дотримання вимог ЦПБ станом на відповідний етап авторизації. Надалі відповідність підтримується через управління змінами, періодичний перегляд та планову або позапланову авторизацію.

Типовий порядок авторизації

Види авторизації

Планова авторизація проводиться не пізніше одного календарного року після попередньої первинної, планової або позапланової авторизації. Позапланова авторизація у визначених випадках проводиться протягом шести місяців після відповідних змін.

Оцінювання стану кіберзахисту

Постанова КМУ №1799 запровадила єдиний порядок оцінювання стану кіберзахисту інформаційних та інформаційно-комунікаційних систем, об’єктів критичної інфраструктури й об’єктів КІІ.

Чотири види оцінювання

*) у термінології та випадках, установлених відповідним нормативним актом

Ці види мають різні цілі, методики, підстави та результати. Один вид оцінювання не слід автоматично вважати заміною іншого.

Періодичність і ключові строки

Самооцінювання

Самооцінювання поточного стану кіберзахисту може бути:

• плановим — проводиться щороку;
• позаплановим — проводиться за рішенням власника або розпорядника.

Самооцінювання не означає довільну внутрішню перевірку. Його мають проводити посадові особи, які відповідають установленим вимогам до суб’єктів оцінювання та включені до відповідного переліку. Для проведення самооцінювання також може бути залучений зовнішній суб’єкт оцінювання.

Зовнішнє оцінювання

Зовнішнє оцінювання виконує незалежний суб’єкт, який:

• відповідає вимогам Держспецзв’язку;
• включений до переліку суб’єктів оцінювання;
• має право виконувати відповідний вид оцінювання;
• не є посадовою особою власника або розпорядника об’єкта;
• відповідає встановленим вимогам незалежності (частіше за все – який не брав участі у створенні об’єкта оцінювання).

Один суб’єкт також не може оцінювати той самий об’єкт понад три роки поспіль.

Розмежування ролей і незалежність оцінювання

H-X Technologies може допомагати замовнику створювати систему захисту, упроваджувати засоби технічного захисту інформації (ТЗІ) та криптографічного захисту інформації (КЗІ), розробляти ЦПБ, оцінювати ризики, готувати документацію та усувати невідповідності.

Як H-X готує систему до авторизації та оцінювання

Організаційні та технічні заходи

Постанова №1531 установлює мінімальні організаційні й технічні вимоги до захисту відповідних державних систем. Конкретний набір заходів для певної системи визначається її ЦПБ, архітектурою, категоріями інформації, нормативними вимогами та результатами оцінювання ризиків. Можливі напрями робіт:

Наведений перелік є орієнтовним. Наявність віртуальної приватної мережі (VPN), засобу виявлення загроз і реагування на кінцевих пристроях (EDR), системи управління інформацією та подіями безпеки (SIEM) або іншого продукту сама по собі не підтверджує виконання вимог. Важливі правильний вибір, налаштування, інтеграція, документування та постійне використання засобу.

Результати, які отримує замовник

Залежно від обраного обсягу робіт H-X може підготувати:

Перехідні КСЗІ та раніше оформлені документи

Постанова №712 передбачила перехідні положення для КСЗІ й процедур декларування, розпочатих до набрання нею чинності. Роботи зі створення КСЗІ в окремих випадках могли завершуватися за попередньою процедурою з подальшою авторизацією у встановлений строк. Для систем із державною таємницею застосовується окрема прив’язка до дати реєстрації атестата відповідності.

Загальний 12-місячний перехідний строк сплив, однак для систем із державною таємницею та окремих процедур діють спеціальні перехідні правила. Тому строки й можливість завершення кожного проєкту визначаються індивідуально.

Якщо ви маєте КСЗІ, потрібно перевірити:

• коли були розпочаті роботи;
• які документи затверджені;
• чи проводилася державна експертиза;
• чи зареєстрований атестат відповідності;
• строк дії атестата;
• чи змінювалася архітектура або склад системи;
• чи змінилися категорії інформації;
• чи проводилась модернізація;
• чи застосовувалася експериментальна процедура декларування;
• який профіль і вид авторизації потрібні надалі.

Не рекомендуємо автоматично продовжувати старий проєкт КСЗІ лише тому, що частина документів уже підготовлена.

Спочатку потрібно перевірити їхню юридичну та технічну актуальність, а також можливість використання в новій моделі.

Сертифікація як альтернативний маршрут

У передбачених законом випадках замість авторизації може застосовуватися отримання сертифіката відповідності стандарту інформаційної безпеки від належним чином акредитованого органу з оцінки відповідності.

Цей маршрут:

• не тотожний будь-якій сертифікації організації за ISO/IEC 27001;
• потребує аналізу конкретної системи та застосовного національного стандарту;
• передбачає проведення оцінки відповідності акредитованим органом;
• не застосовується до систем, у яких обробляється державна таємниця.

H-X допомагає оцінити застосовність такого маршруту, підготувати систему й документацію та усунути невідповідності перед оцінкою відповідності.

Чому H-X Technologies

• Ліцензія Держспецзв’язку на послуги криптографічного та технічного захисту інформації.
• Практичний досвід у кібербезпеці, аудитах, тестуванні та впровадженні захисту.
• Поєднання нормативної, організаційної та технічної експертизи.
• Досвід роботи з державними, корпоративними, хмарними та критичними середовищами.
• Можливість залучити архітекторів, аудиторів, пентестерів, DevSecOps- та SOC-фахівців.
• Орієнтація на фактичну захищеність, а не лише на підготовку комплекту документів.
• Прозоре розмежування між упровадженням і незалежним формальним оцінюванням.
• Можливість постійного супроводу після первинного проєкту.