КСЗІ простими словами: що це, з чого складається і як її підтверджують

КСЗІ — це комплексна система захисту інформації: сукупність організаційних заходів, документів і технічних засобів, які разом убезпечують дані в конкретній системі. Ключове слово тут — комплексна. Не «антивірус і фаєрвол», а вибудуваний і офіційно підтверджений контур.

Розберемо простими словами: кому вона потрібна, з чого складається, що таке Атестат — і чому за останній рік усе помітно змінилося.

Одразу головна теза, яку варто винести: КСЗІ — це не коробка, яку купують, а стан, який доводять. Купити можна обладнання; довести доведеться самому.

КСЗІ: закон, який зобов'язує

Комплексний захист будують не «для галочки». Його прямо приписує законодавство — коли в системі обробляються:

• державні інформаційні ресурси;
• інформація з обмеженим доступом, захищати яку вимагає закон (службова, конфіденційна);
• відомості, що становлять державну або іншу передбачену законодавством таємницю.

Коло зобов'язаних теж окреслене: органи влади, органи місцевого самоврядування, державні підприємства й установи, а також власники об'єктів критичної інформаційної інфраструктури.

Решта організацій від такого обов'язку вільна. Якщо ви звичайний бізнес і не тримаєте в себе нічого з переліку вище, вам потрібен ISO 27001, а не комплексна система за українськими нормативами.

КСЗІ: вимоги, які доведеться виконати

Формально захист складається з трьох блоків. Кожен обов'язковий — випадіння будь-якого перетворює решту на декорацію.

1. Організаційні заходи.

• створення служби захисту інформації (СЗІ) або призначення відповідальних осіб;
• наказ керівника про проведення робіт;
• розподіл ролей і відповідальності;
• правила доступу, навчання персоналу.

2. Документація. Серце проєкту й головна стаття витрат часу:

• перелік відомостей, які підлягають захисту;
• акт обстеження середовищ функціонування;
• модель загроз і модель порушника;
• політика (план) захисту;
• технічне завдання;
• проєктна та експлуатаційна документація.

3. Технічні засоби. Причому не будь-які, а такі, що мають підтверджену відповідність — сертифікат, експертний висновок або визнаний міжнародний сертифікат (див. засоби ТЗІ).

Покроковий розбір усього шляху — у статті як створюється КСЗІ.

Функціональні послуги безпеки: те, що перевіряють насправді

У нормативних текстах постійно трапляється словосполучення «функціональні послуги безпеки». Звучить страшно, означає просту річ: набір властивостей, які система мусить забезпечувати.

• Ідентифікація й автентифікація — система знає, хто саме працює, і перевіряє це.
• Розмежування доступу — кожен бачить лише те, що йому належить.
• Реєстрація подій — усі значущі дії лишають слід, і тихо стерти його неможливо.
• Цілісність — дані неможливо непомітно змінити.
• Доступність — потрібне доступне тоді, коли потрібне.
• Повторне використання об'єктів — видалене справді зникає, а не лишається у звільненій пам'яті.

Оцінювач дивиться не на наліпку «сертифіковано» на корпусі, а на те, чи справді ці властивості реалізовані й чи можна їх продемонструвати. Саме тому обладнання без налаштувань і без документів зауважень не знімає.

КСЗІ: приклад із життя

Абстракції втомлюють, тож ось звичайна історія.

Невелика установа веде відомчий реєстр. Спершу вона склала перелік того, що там лежить, і виявила службові відомості. Далі — обстеження: два кабінети, серверна шафа в коридорі, доступ через звичайний інтернет. Потім модель загроз: інсайдер, підрядник, зовнішній нападник. За нею — проєктні рішення: розмежування доступу, журналювання, шифрування каналу, фізичне перенесення шафи в окреме приміщення.

І аж наприкінці — закупівля обладнання. Не навпаки.

Цікаво, де саме проєкт застряг? На технічному завданні. Документ переписували двічі, бо перша редакція описувала бажане обладнання, а не потрібні властивості системи.

Ще одна деталь із тієї ж історії. Установа була впевнена, що обробляє лише «звичайні робочі файли». Аж поки перелік відомостей не показав: у реєстрі лежать дані, доступ до яких обмежений законом. Саме цей перший крок — інвентаризація — і визначає обсяг усього проєкту. Помилилися тут — помилилися скрізь.

Чому «під ключ за місяць» — червоний прапорець

Основний час забирає не монтаж, а папери й узгодження. Обстеження, моделі, технічне завдання, погодження, випробування, дослідна експлуатація — кожен етап має власний ритм, і жоден із них не стискається до вихідних.

Підрядник, який обіцяє надшвидкий результат, зазвичай має на увазі одне з двох: або він зробить документи формально й ви отримаєте зауваження, або він мовчки перекладе половину роботи на вас. Обидва варіанти закінчуються однаково — переробкою.

Атестат відповідності КСЗІ: що це було

Класична схема виглядала так:

1. Систему створено, випробувано, проведено дослідну експлуатацію.
2. Замовник подає заявку на державну експертизу.
3. Експертиза перевіряє, чи відповідає результат технічному завданню й нормативним документам.
4. За позитивним підсумком видається експертний висновок.
5. На його підставі — Атестат відповідності.
6. Атестат дає право видати наказ про введення системи в постійну експлуатацію й обробляти в ній захищені відомості.

Ланцюг простий: експертиза → висновок → Атестат → дозвіл на обробку.

Саме тому фраза «отримати Атестат» роками була синонімом слова «фінішувати». Так от: для нових систем вона більше не працює.

Що змінилося у 2025–2026 роках

Найважливіше, чого немає у більшості матеріалів мережі.

• Закон № 4336-IX від 27.03.2025 запровадив ризик-орієнтований підхід до кіберзахисту державних ресурсів і критичної інфраструктури.
• Постанова Кабінету Міністрів № 712 від 18.06.2025 затвердила авторизацію з безпеки та профілі безпеки.
• Замість «статичного» документа на кілька років з'явився цикл: базовий профіль → галузевий → цільовий → оцінювання реалізації → авторизаційний лист → включення до переліку авторизованих систем.
• Базові профілі затверджує Адміністрація Держспецзв'язку — окремо для систем із відкритими й конфіденційними даними, окремо для службових.
• Перехідний період завершився 18 червня 2026 року. Роботи, розпочаті за старою схемою, добігали кінця через експертизу, а далі система переходить на авторизацію.

Профіль — не полегшення. Поширене хибне очікування: мовляв, тепер замість товстої папки буде табличка. Насправді обсяг роботи не зменшився, а перерозподілився: замість «доведи, що виконав власне технічне завдання» тепер «покажи, як саме реалізовано кожен пункт профілю». Зате з'явилася перевага — умови однакові для всіх, і прочитати їх можна заздалегідь, а не вигадувати самому.

Чи скасовано саме поняття? Ні. Комплексний захист лишився на місці: організаційні заходи, документація, підтверджені засоби — усе працює. Змінився спосіб довести, що захист працює. Раніше доводили відповідність технічному завданню, тепер — реалізацію профілю безпеки. Раніше на виході був Атестат, тепер — авторизаційний лист і рядок у переліку авторизованих систем.

Практичний висновок для читача: якщо підрядник обіцяє вам «Атестат відповідності КСЗІ» як кінцеву мету нового проєкту, він продає вчорашній результат.

Слово лишилося в нормативці. Це збиває з пантелику: сама абревіатура нікуди не зникла й далі трапляється в офіційних документах — зокрема там, де йдеться про оцінку достатності заходів захисту в системах, побудованих із використанням профілів безпеки. Тобто комплексний захист і надалі створюють. Просто фінішна стрічка тепер інша.

Що робити тим, у кого Атестат уже є

Панікувати зарано. Порядок дій простий.

1. Знайти документ і подивитися строк дії. Раніше видані документи діють до його кінця.
2. З'ясувати, чи планується модернізація: суттєві зміни в системі означають перегляд рішень.
3. Звірити наявне з базовим профілем, який відповідає видові оброблюваних відомостей.
4. Скласти перелік розбіжностей і графік їх усунення.
5. Готуватися до авторизації завчасно, а не за місяць до кінця дії документа.

КСЗІ і СУІБ: схожі абревіатури, різні речі

СУІБ — це система управління інформаційною безпекою (англійською ISMS): управлінський каркас за міжнародним стандартом. Плутають їх постійно, хоча спільного мало.

Докладніше про управлінський бік — у статті ISMS: цілі та процеси.

Іноді організація має обидві системи одночасно: одну — бо приписує законодавство, другу — бо просять партнери або замовники з-за кордону. Вони мирно уживаються, але одна одну не заміняють: аудитор ISO не подивиться на український Атестат, а оцінювач Держспецзв'язку не візьме до уваги сертифікат ISO замість профілю.

Практично поєднання виглядає так: український контур закриває обов'язок перед державою, міжнародний — питання партнерів і тендерів. Дублювання менше, ніж здається: інвентаризація активів, розподіл ролей, журнали подій, навчання персоналу потрібні обом. Різняться докази, а не сама робота.

Міні-словник: п'ять слів, які лунатимуть постійно

• ОІД — об'єкт інформаційної діяльності: приміщення, де циркулюють захищені відомості. Кабінет, переговорна, серверна.
• ІзОД — інформація з обмеженим доступом; спільна назва для службової, конфіденційної й таємної.
• СЗІ — служба захисту інформації: підрозділ або призначені люди, які ведуть проєкт і супроводжують систему далі.
• ТЗ — технічне завдання; документ, за яким потім перевірятимуть результат.
• Дослідна експлуатація — період, коли захист уже працює з реальними процесами, але систему ще не введено в постійну роботу.

Ці п'ять скорочень покривають більшу частину розмови з підрядником. Якщо він кидається ними без пояснень — просіть пояснити. Якщо оминає їх геть — насторожтеся.

Три зауваження, які отримують найчастіше

Досвід оцінювань показує, що провалюються рідко через слабку техніку. Провалюються через розрив між папером і реальністю. Ось як він виглядає.

• Документи описують іншу систему. Схема мереж застаріла, половину вузлів додали пізніше, у папці цього немає.
• Журнали є, але мертві. Реєстрація подій налаштована формально: записи пишуться, зберігаються два тижні й нікого потім не цікавлять.
• Персонал живе окремо від правил. Порядок доступу затверджено, але пересічний співробітник бачив його хіба що на обкладинці.

Жодне з цих зауважень не лікується закупівлею. Лікується воно дисципліною: актуалізувати схеми після кожної зміни, переглядати журнали за розкладом, проводити навчання й фіксувати його підписами.

Чотири помилки, які повторюють роками

• Починати з обладнання. Купили, привезли, а потім з'ясували, що модель загроз вимагала іншого.
• Копіювати технічне завдання із сусідньої установи. Клас системи інший, середовище інше, зауваження гарантовані.
• Вважати документ фінішем. Захист треба супроводжувати: змінюється система — змінюються рішення.
• Спиратися на статті 2023–2024 років. Вони описують схему, яка для нових систем уже не діє.

Коротко про головне

Комплексний захист будують тому, що так велить законодавство, а не тому, що хочеться «почуватися в безпеці». Він тримається на трьох речах: люди й ролі, документи, підтверджені засоби. Форма підсумкового документа за останній рік змінилася — суть роботи лишилася тією самою.