ОЦІНКА ЗАБЕЗПЕЧЕНОСТІ КІБЕРБЕЗПЕКИ ОБОРОННОГО ВІДОМСТВА З УРАХУВАННЯМ ПЕРЕДОВИХ МІЖНАРОДНИХ ПРАКТИК

Анотація

Вступ. У сучасних умовах інтенсивного розвитку інформаційних технологій та зростання кількості
складних кіберзагроз особливого значення набуває забезпечення належного рівня кібербезпеки інформаційно
комунікаційних систем відомчих структур, особливо у секторі безпеки й оборони. Зростаюча залежність від
ІКС обумовлює необхідність формування системних підходів до оцінювання рівня їх захищеності.
Проблематика. Існуючі міжнародні та державні стандарти, зокрема ДСТУ ISO/IEC 27001, а також
методології NIST і моделі зрілості типу CMMC, визначають вимоги до забезпечення кібербезпеки, однак не
забезпечують достатньо формалізованого, компактного та адаптованого під відомчі структури
інструментарію оцінювання рівня її забезпеченості. Відсутність уніфікованого підходу ускладнює проведення
порівняльного аналізу між підрозділами та формування узагальненої оцінки на рівні відомства.
Мета. Метою дослідження є розроблення способу оцінювання забезпечення кібербезпеки у відомчих
інформаційно-комунікаційних системах, який дозволяє здійснювати кількісну оцінку рівня впровадження заходів
безпеки на основі вимог Системи управління інформаційною безпекою за ДСТУ ISO/IEC 27001.
Матеріали й методи. У роботі використано підходи системного аналізу, методи експертного оцінювання
та узагальнення державних та міжнародних практик у сфері кібербезпеки. Запропонований спосіб базується на
оцінюванні трьох складових: документального забезпечення (наявність та актуальність політик і процедур),
змістовної глибини опрацювання питань інформаційної безпеки (чек-листи відповідності ДСТУ ISO/IEC 27001)
та технічного забезпечення (наявність і впровадження технічних засобів захисту). Оцінювання здійснюється
шляхом застосування рівнозважених коефіцієнтів із подальшим агрегуванням результатів на рівні підрозділів і
відомства.
Результати. У результаті дослідження сформовано універсальний спосіб, який дозволяє проводити
стандартизоване оцінювання рівня забезпеченості кібербезпеки підрозділів, визначати слабкі місця
в організаційних, процесних та технічних компонентах, а також здійснювати порівняльний аналіз між
підрозділами. Запропоновано підхід до визначення загального рівня кібербезпеки відомства на основі
мінімального значення серед підрозділів, що відповідає принципу “найслабшої ланки”. Спосіб узгоджується з
концепцією профілів безпеки та може бути інтегрований з інструментами автоматизованого контролю
відповідності (SCAP/OpenSCAP).
Висновки. Запропонований спосіб забезпечує підвищення об’єктивності, відтворюваності та
формалізації процесу оцінювання забезпечення кібербезпеки у відомчих інформаційно комунікаційних мережах.
Його застосування дозволяє підвищити ефективність управління кібербезпекою, забезпечити узгодженість із
міжнародними стандартами та створити основу для подальшого розвитку нормативно-методичного
забезпечення у сфері кіберзахисту державних інформаційних систем.