Аудит кібербезпеки — незалежна перевірка того, наскільки реально захищена організація. Для одних компаній це добровільний інструмент («хочемо знати правду»), для інших — пряма вимога держави. Розберемо обидва випадки, а заразом і головну зміну, яка сталася на початку 2026 року.
Головне: правила змінилися з січня 2026
Донедавна обов'язкова перевірка на об'єктах критичної інфраструктури називалася незалежним аудитом інформаційної безпеки й регулювалася окремою постановою 2023 року. Вона передбачала атестованих аудиторів, перелік на сайті Держспецзв'язку, періодичність раз на два-три роки.
Ця модель скасована. Наприкінці 2025 року Кабінет Міністрів затвердив Порядок оцінювання стану кіберзахисту, і стара постанова втратила чинність на початку січня 2026-го. Разом із нею згорнули й інститут атестованих аудиторів — вимоги до них скасовано окремим наказом Держспецзв'язку.
Практичний висновок: більшість матеріалів в інтернеті описує неіснуючі правила. Якщо вам пропонують «обов'язковий незалежний аудит раз на два роки з атестованим аудитором» — перед вами застаріла пропозиція.
Що лишилося незмінним. Сама ідея нікуди не поділася: держава хоче бачити, у якому стані перебуває захист систем, від яких залежать критичні послуги. Змінилися назва, механізм і те, хто має право перевіряти. Тож обов'язок закон не скасував — він переїхав у нову рамку.
Кібербезпека, закон і нова модель контролю
Замість аудиту з'явилося оцінювання стану кіберзахисту. Кібербезпека, закон і практика тут сходяться в одній точці: держава перевіряє не наявність папірців, а стан систем.
На кого поширюється. Порядок стосується власників та розпорядників систем, у яких обробляються державні інформаційні ресурси, службова інформація чи державна таємниця, а також об'єктів критичної інфраструктури й об'єктів критичної інформаційної інфраструктури. Серед них — органи влади, місцеве самоврядування, оператори критичної інфраструктури та інші юридичні особи незалежно від форми власності.
Останнє варто прочитати двічі: приватна компанія цілком може опинитися серед адресатів — якщо вона оператор критичної інфраструктури.
Чотири види оцінювання
Порядок розрізняє чотири різні перевірки, і плутати їх не варто: вони відповідають на різні питання.
| Вид | На що відповідає |
|---|---|
| Дотримання цільових профілів безпеки | Чи відповідає система профілю, визначеному для неї |
| Поточний стан кіберзахисту | Що ми маємо насправді — тут і зараз |
| Відповідність національним стандартам | Чи виконуємо вимоги у сфері кіберзахисту та захисту інформації |
| Стан захищеності державних ресурсів | Чи убезпечені державні інформаційні ресурси |
Окремо Порядок розділяє самооцінювання (планове й позапланове) та зовнішнє оцінювання. Перше робить сама організація, друге — залучені фахівці ззовні. Результат в обох випадках оформлюють звітом, а сам звіт стає одним з інструментів державного контролю.
Як проходить перевірка: логіка процесу
Незалежно від назви й редакції норм, послідовність лишається впізнаваною.
- Домовленості. Визначають межі: які системи, які критерії, яка методика, хто відповідає з боку організації.
- Збір даних. Документи, політики, конфігурації, журнали, процеси. Тут одразу видно різницю між написаним та зробленим.
- Оцінювання. Порівняння стану з вимогами законодавства, національних стандартів та рекомендаціями міжнародних (ISO/IEC 27001, NIST CSF). Зазвичай додається аналіз вразливостей, іноді — тестування на проникнення.
- Звіт. Документ фіксує ступінь відповідності та містить рекомендації щодо усунення недоліків.
- Погодження та наслідки. Організація опрацьовує зауваження, складає план виправлень, рухається до цільового стану.
Ключове: звіт — не фініш, а стартовий постріл. Аудит кібербезпеки, після якого нічого не змінилося, — витрачені гроші.
Аудит, пентест і сканування — це різні речі
Часта плутанина, яка коштує грошей:
| Що робить | Коли потрібен | |
|---|---|---|
| Аудит | Оцінює відповідність вимогам і зрілість процесів | Регулярно / за вимогою держави |
| Пентест | Перевіряє, чи можна реально зламати | Періодично, для глибокої перевірки |
| Сканування | Знаходить відомі вразливості | Постійно |
Аудит відповідає на питання «чи правильно ми побудували захист», пентест — «чи витримає він удар». Замовляти перше замість другого — все одно що перевіряти пожежну документацію замість того, аби спробувати відчинити запасний вихід.
Кібербезпека, захист інформації й відповідність: не синоніми
Ще одна пара, яку постійно плутають замовники.
- Кібербезпека — стан захищеності цифрових систем.
- Захист інформації — конкретні заходи, якими його досягають.
- Відповідність — доведення того, що заходи справді виконуються.
Аудит перевіряє переважно третє. Компанія може мати блискучу відповідність та слабку захищеність — і навпаки. Тому розумна перевірка завжди дивиться на обидва боки: чи існує документ та чи працює написане в ньому.
Що дає аудит бізнесу, якому він не обов'язковий
Навіть без вимог держави аудит виправдовує себе:
- показує реальний, а не уявний стан;
- дає пріоритети: що виправляти першочергово, а що зачекає;
- потрібна партнерам і в тендерах як підтвердження зрілості;
- готує до сертифікації за ISO 27001 (див. gap-аналіз).
Планувати перевірку варто не «колись», а прив'язувати до подій: зміна ключової системи, великий новий клієнт, зміна підрядника, підготовка до тендера. Тоді вона працює на рішення, а не на полицю.
Як обрати аудитора, коли переліку більше немає
Раніше можна було зазирнути в державний перелік. Тепер вибір — на вас, тож питання доведеться ставити самостійно.
- Хто саме працюватиме? Не назва компанії, а прізвища та їхній досвід у вашій галузі.
- За якою методикою? Відповідь «за нашим досвідом» — привід насторожитися.
- Покажіть знеособлений зразок звіту. Якщо там самі загальні фрази, таким буде й ваш.
- Чи є конфлікт інтересів? Той, хто налаштовував вам системи, не може їх перевіряти.
- Що входить у ціну? Повторна перевірка після виправлень — окрема робота чи ні?
Від чого залежать строк і вартість
Готового цінника на аудит кібербезпеки тут немає, і це нормально. На кошторис впливають чотири речі:
- обсяг: скільки систем, майданчиків, підрядників потрапляє в межі перевірки;
- глибина: лише документи чи ще й технічна перевірка з аналізом вразливостей;
- готовність документів: якщо політик і переліків активів немає, аудитор напише їх разом із вами — а це вже інша робота;
- повторна перевірка виправлень: інколи її продають окремо, і про це варто питати наперед.
Найдорожчий сценарій — аудит «з нуля», коли жодного опису систем не існує. Найдешевший — регулярна, коли попередній звіт відпрацьовано й лишилося звірити зміни.
Три ознаки поганого аудиту
Звіт із генератора. Сотня сторінок, з яких дев'яносто — переказ стандарту. Корисних — п'ять, та й ті наприкінці.
Немає пріоритетів. Двісті зауважень одним списком, без поділу на критичні та косметичні. Такий документ неможливо виконати.
Жодної розмови з людьми. Аудитор, який дивився лише конфігурації, а з адміністратором, бухгалтерією та керівником не поговорив, побачив половину картини.
Потрібен аудит кібербезпеки? Фахівці допоможуть визначити, чи є вимога обов'язковою саме для вас, і провести перевірку з практичними рекомендаціями — отримати консультацію.