Трансформація КСЗІ: як працюватимуть сучасні профілі безпеки

Стрімкий розвиток цифрових технологій, перехід організацій до хмарних сервісів, віддаленої роботи та розподіленої інфраструктури показали, що статичної моделі захисту вже недостатньо. Інформаційні системи регулярно змінюються, з'являються нові вразливості та способи атак, тому заходи безпеки необхідно постійно переглядати й адаптувати до актуальних ризиків.

Саме тому підхід до побудови захисту поступово трансформується. Замість однакового набору вимог для різних інформаційних систем передбачається використання профілів безпеки. Вони дозволяють визначати необхідні заходи з урахуванням типу інформації, призначення системи, галузевої специфіки, архітектури та потенційних загроз.

У новій моделі використовуватимуться базові, галузеві та цільові профілі безпеки. Кожен із них матиме власне призначення та рівень деталізації. У цій статті розглянемо, чим профілі безпеки відрізняються від традиційної КСЗІ, як вони формуватимуться та що необхідно врахувати організаціям під час переходу до сучасної моделі кіберзахисту.

Що таке профіль безпеки

Профіль безпеки - це визначена сукупність взаємопов'язаних організаційних, технічних, програмних і криптографічних заходів, які необхідно реалізувати для захисту інформації в конкретній системі. Він встановлює, від яких загроз потрібно захищати систему, які вимоги необхідно виконати та якими засобами можна підтвердити належний рівень її захищеності.

Відповідно до постанови Кабінету Міністрів України від 18 червня 2025 року № 712, профілі безпеки застосовуються до інформаційних, електронних комунікаційних, інформаційно-комунікаційних і технологічних систем. Цей документ визначає механізм розроблення та затвердження базових, галузевих і цільових профілів безпеки.

Профіль безпеки не є універсальним переліком вимог, однаковим для всіх організацій. Його зміст залежить від категорії інформації, яка обробляється в системі, її функціонального призначення, архітектури, умов експлуатації, потенційних загроз і результатів оцінювання ризиків. Завдяки цьому заходи захисту можна адаптувати до реальних особливостей конкретної системи, а не впроваджувати однаковий набір засобів незалежно від її масштабу та призначення.

Основою нової моделі є три рівні профілів безпеки:

• базовий профіль визначає мінімальні вимоги та обов'язковий набір заходів залежно від виду інформації або функціонального призначення системи;
• галузевий профіль доповнює базові вимоги з урахуванням специфіки певної сфери, наприклад енергетики, медицини, фінансів або державного управління;
• цільовий профіль розробляється безпосередньо для конкретної системи з урахуванням базового і галузевого профілів, вимог законодавства, стандартів, політик безпеки та результатів аналізу ризиків.

Базовий профіль фактично встановлює мінімальний рівень захисту. Згідно з офіційним визначенням, він містить мінімальні вимоги з безпеки інформації та взаємопов'язану сукупність заходів, які встановлюються залежно від того, яка інформація обробляється в системі або яке функціональне призначення вона має.

Галузевий профіль формується уповноваженим державним органом для відповідної сфери. Він враховує базові вимоги, галузеві стандарти, політики безпеки та особливості функціонування систем у конкретній галузі. Такий профіль дозволяє встановлювати додаткові заходи там, де загального базового рівня недостатньо.

Цільовий профіль є найбільш деталізованим. Його формує власник або розпорядник конкретної системи. Під час розроблення враховуються базовий профіль, галузевий профіль за його наявності, законодавчі та нормативні вимоги, призначення системи, її структурно-функціональні характеристики, умови експлуатації та результати оцінювання ризиків безпеки.

Таким чином, профіль безпеки стає практичною основою для створення, експлуатації та подальшого контролю системи захисту інформації. Він має не лише зафіксувати перелік необхідних заходів, а й забезпечити можливість перевірити їх фактичне впровадження, оцінити відповідність установленим вимогам і регулярно переглядати захист після зміни системи або появи нових ризиків.

Як розробляється та впроваджується цільовий профіль безпеки

Цільовий профіль безпеки розробляється власником або розпорядником для конкретної інформаційної, електронної комунікаційної, інформаційно-комунікаційної чи технологічної системи. На відміну від базового профілю, він враховує не лише мінімальні нормативні вимоги, а й реальне призначення системи, її архітектуру, умови експлуатації, склад інформації та актуальні ризики.

Основою для розроблення цільового профілю є відповідний базовий профіль безпеки. За наявності затвердженого галузевого профілю його вимоги також повинні бути враховані. Додатково аналізуються положення законодавства, національних стандартів, нормативних документів у сферах технічного і криптографічного захисту інформації та кіберзахисту, а також внутрішні політики організації.

Першим практичним етапом є визначення меж системи. Організація повинна встановити, які сервери, робочі станції, мережеве обладнання, програмні компоненти, хмарні сервіси, канали зв'язку та інші ресурси входять до її складу. Також визначаються користувачі системи, відповідальні особи, зовнішні постачальники та інформаційні потоки між окремими компонентами.

Наступним кроком стає класифікація інформації, яка обробляється в системі. Необхідно з'ясувати, чи містить вона відкриту інформацію, персональні дані, державну таємницю або іншу інформацію з обмеженим доступом. Від виду інформації та функціонального призначення системи залежить вибір базового профілю і мінімального набору заходів захисту.

Після цього проводиться оцінювання ризиків безпеки. Фахівці визначають потенційні загрози, вразливі компоненти, можливі сценарії атак та наслідки реалізації таких загроз. Під час аналізу враховуються не тільки технічні вразливості, а й організаційні проблеми: недостатнє розмежування відповідальності, відсутність контролю доступу, помилки персоналу, залежність від постачальників або незахищені процеси адміністрування.

На основі результатів оцінювання ризиків базовий або галузевий набір заходів уточнюється для конкретної системи. Власник може додати посилені заходи захисту, змінити параметри їх реалізації або визначити додаткові механізми контролю. Водночас виключення окремих вимог має бути обгрунтованим і не повинно призводити до неприйнятного рівня ризику.

Сформований цільовий профіль повинен містити не тільки перелік заходів, а й конкретні вимоги до їх реалізації. Для кожного заходу доцільно визначити:

• мету та очікуваний результат;
• компоненти системи, до яких він застосовується;
• відповідальних виконавців;
• технічні та організаційні механізми реалізації;
• параметри й налаштування засобів захисту;
• документи та інші докази виконання;
• порядок перевірки ефективності.

Держспецзв'язку затвердила окремі рекомендації з розроблення цільового профілю безпеки системи. Вони призначені для практичного застосування вимог постанови Кабінету Міністрів України № 712 та допомагають власникам систем послідовно визначати необхідні заходи захисту.

Після затвердження профілю починається його впровадження. Організація розробляє або оновлює внутрішні політики, призначає відповідальних осіб, налаштовує засоби контролю доступу, журналювання, резервного копіювання, антивірусного захисту, криптографічного захисту, управління вразливостями та реагування на інциденти. Конкретний набір інструментів залежить від заходів, передбачених цільовим профілем.

Окрему увагу необхідно приділити документальному підтвердженню. Самої наявності технічного засобу недостатньо. Організація повинна мати можливість довести, що він належним чином налаштований, використовується у визначених межах і забезпечує передбачений профілем результат. Такими доказами можуть бути політики, накази, схеми, інструкції, протоколи випробувань, журнали подій, звіти сканування, резервні копії конфігурацій і результати внутрішніх перевірок.

Завершальним етапом є оцінювання фактичного дотримання вимог цільового профілю. Воно проводиться для підтвердження того, що передбачені заходи не лише внесені до документації, а й реально впроваджені в системі. Держспецзв'язку визначила вимоги до юридичних осіб і фізичних осіб - підприємців, які можуть здійснювати таке оцінювання, а також затвердила рекомендації щодо його проведення.

Цільовий профіль не повинен залишатися незмінним протягом усього строку експлуатації системи. Його необхідно переглядати після модернізації інфраструктури, зміни складу інформації, підключення нових сервісів, появи нових загроз або виявлення суттєвих недоліків захисту. Таким чином, профіль стає не одноразовим документом, а постійно актуалізованою моделлю безпеки конкретної системи.

Як організації підготуватися до переходу

Перехід від традиційної моделі КСЗІ до сучасних профілів безпеки варто починати не з підготовки нових документів, а з комплексного аналізу наявної системи захисту. Організації необхідно визначити межі інформаційної системи, провести інвентаризацію обладнання та програмного забезпечення, класифікувати інформацію, оцінити ризики й перевірити, наскільки чинні організаційні та технічні заходи відповідають вимогам базового, галузевого та майбутнього цільового профілю.

Підготовка до переходу зазвичай включає такі етапи:

• аудит поточного стану інформаційної безпеки;
• визначення меж і складу системи;
• класифікацію інформації та інформаційних ресурсів;
• аналіз актуальних загроз і вразливостей;
• оцінювання ризиків безпеки;
• вибір застосовного базового та галузевого профілю;
• розроблення цільового профілю;
• впровадження передбачених організаційних і технічних заходів;
• підготовку політик, положень, інструкцій та інших документів;
• перевірку фактичної реалізації заходів;
• підготовку до незалежного оцінювання відповідності.

Формально власником або розпорядником системи виступає сама організація, тому саме вона відповідає за визначення вимог і забезпечення належного рівня захисту. Проте на практиці самостійно виконати весь цикл робіт досить складно. Для цього потрібні фахівці, які одночасно розуміють вимоги законодавства, методику оцінювання ризиків, принципи побудови інформаційних систем, технічний і криптографічний захист, управління вразливостями та порядок документального підтвердження впроваджених заходів.

Окремі етапи також не можуть виконуватися довільним постачальником послуг. Для оцінювання дотримання вимог цільового профілю законодавством установлені вимоги до юридичних осіб і фізичних осіб - підприємців, зокрема щодо наявності відповідної ліцензії, кваліфікованого персоналу, досвіду та необхідної матеріально-технічної бази.

Тому організації зазвичай залучають профільних і сертифікованих спеціалістів, які можуть супроводжувати проєкт на всіх етапах. Такий підхід допомагає уникнути ситуації, коли документація існує окремо від реальної інфраструктури, впроваджені засоби захисту не відповідають визначеним ризикам, а під час оцінювання виявляється значна кількість невідповідностей.

Однією з компаній, яка надає професійні послуги у сфері інформаційної безпеки, є Softlist. Профільні спеціалісти компанії можуть закрити повний цикл робіт - від первинного аудиту, інвентаризації та оцінювання ризиків до розроблення необхідної документації, підбору й упровадження засобів захисту, усунення невідповідностей та підготовки організації до оцінювання.

Softlist має досвід надання консалтингових і професійних послуг у сфері інформаційної безпеки, працює з державним і комерційним секторами та співпрацює з провідними виробниками рішень для кіберзахисту. Фахівці компанії також мають міжнародні сертифікації у сфері систем управління інформаційною безпекою та допомагають організаціям проводити оцінювання ризиків, розробляти політики й готувати необхідну документацію.

Залучення однієї команди для виконання всього комплексу робіт дозволяє зберегти послідовність між результатами аудиту, визначеними ризиками, вимогами цільового профілю, технічними рішеннями та доказами їх реалізації. Організація отримує не окремі документи або програмні продукти, а цілісну систему захисту, підготовлену до практичного використання та подальшого оцінювання.

Починати підготовку до переходу бажано заздалегідь. Чим раніше буде проведений аудит і виявлені невідповідності, тим більше часу залишиться на модернізацію інфраструктури, впровадження необхідних заходів, підготовку персоналу та приведення документації у відповідність до нової моделі безпеки.