Стратегія кібербезпеки України: що в документі і що він означає для бізнесу

Стратегію кібербезпеки часто відкривають, очікуючи побачити перелік обов'язків. Марно: це документ іншого жанру. Він від компаній вимагає рівно нічого — натомість показує, куди рухається держава.

Саме тому його варто прочитати. За стратегією йдуть закони, а вже за законами — обов'язки. Ви отримуєте попередження на кілька років уперед, і абсолютно безкоштовно.

Що це за документ

Йдеться про рішення Ради національної безпеки і оборони, введене в дію указом Президента у серпні 2021 року. Повна назва звучить майже поетично: «Стратегія кібербезпеки України: безпечний кіберпростір — запорука успішного розвитку країни».

Тим самим указом скасовано частину попереднього — того, яким затверджували редакцію 2016 року.

На виконання окремо ухвалено План реалізації Стратегії кібербезпеки України — рішення РНБО, введене в дію указом на початку 2022-го. Ось він уже конкретний: заходи, строки, відповідальні. Тому запит «про план реалізації стратегії кібербезпеки України» веде до іншого документа, ніж запит про саму стратегію.

Щодо пошуку. Люди шукають по-різному:

• «стратегія кібербезпеки України 2021» — рік ухвалення чинної редакції;
• «стратегія кібербезпеки України 2022» — рік появи Плану реалізації;
• «стратегія кібербезпеки України 2023» — зазвичай ідеться про річні комплекси заходів;
• «про стратегію кібербезпеки України» — так називається саме рішення РНБО.

Усі чотири запити ведуть до однієї конструкції. Рік у запиті — це не різні документи, а різні етапи.

Плутанина тут коштує часу: людина шукає «свіжу редакцію 2023 року», знаходить чужий переказ і будує на ньому висновки. Тимчасом сам текст лежить у відкритому доступі, читається за годину й від 2021-го залишається на місці.

Порада та сама, що й з будь-яким актом: шукайте за номером указу, а не за роком у запиті. Номер незмінний. Рік — це те, що додав пошуковець.

Чому попередня стратегія провалилася

Найцінніше в чинному тексті — чесна оцінка попередньої спроби. Її варто прочитати навіть тим, кому байдужа державна політика.

Редакцію 2016 року виконано, за експертними оцінками, не більше ніж на 40%. Що саме не зробили:

• не сформували перелік об'єктів критичної інформаційної інфраструктури — тобто держава кілька років не знала, що саме вона захищає;
• не створили модель державно-приватного партнерства — а більшість критичних сервісів у приватних руках;
• цифрову грамотність розвивали без чіткої програми;
• кібернавчання проводили епізодично.

Чому це важливо вам? Бо жодна з цих проблем не була технічною. Усі вони — управлінські. І в компаніях повторюються один в один: немає переліку того, що захищаємо; немає домовленостей із підрядниками; навчання «коли буде час».

Три опори чинної редакції

Документ побудований довкола трьох потенціалів, і цілі поставлено до 2026 року.

Найважливіша для бізнесу — друга опора. Кіберстійкість вимагає від усіх суб'єктів режиму постійної готовності: не «ми маємо антивірус», а «ми знаємо, що робитимемо о третій ночі в суботу».

Кіберстійкість: що це насправді означає

Слово звучить як бюрократизм, а за ним стоїть цілком конкретна річ.

Стійкість — це геть інше, ніж уміння встояти. Упадуть усі. Стійкість — про те, щоб підвестися швидше, ніж наслідки стануть незворотними.

Перевірити власну стійкість можна п'ятьма питаннями. Вони прості, і саме тому їх бояться:

1. Скільки годин ми протримаємося без ключового сервісу, перш ніж це стане катастрофою?
2. Хто ухвалює рішення зупинити систему — прізвище, а не посада?
3. Чи розгортали ми резервну копію хоч раз за останній квартал?
4. Куди дзвонити о третій ночі в суботу — і хто відповість?
5. Чи знає бухгалтерія, що робити, якщо на екрані з'явиться вимога викупу?

Жодне з цих питань грошей не коштує. Усі п'ять коштують чесності. І саме на них найчастіше немає відповіді — навіть у компаній із дорогим обладнанням та товстими папками.

Чим вона відрізняється від закону

Простими словами: закон про кібербезпеку каже «ви зобов'язані», а стратегія — «держава планує зробити ось це».

Не поспішайте радіти відсутності обов'язків. Плановий документ — це чернетка майбутнього закону. Те, що сьогодні звучить як побажання, за два-три роки стає нормою з відповідальністю.

Що всередині: напрями

Розвиток національної системи. Посилення спроможностей суб'єктів (див. хто є хто в державному кіберзахисті), краща координація, обмін відомостями.

Кіберзахист критичної інфраструктури. Пріоритет номер один: ОКІ та КІІ — енергетика, зв'язок, фінанси, транспорт.

Протидія загрозам воєнного характеру, шпигунству, тероризму, злочинності.

Розвиток мережі команд реагування та системи обміну даними щодо загроз.

Кадри й кіберграмотність. Підготовка фахівців, обізнаність громадян і бізнесу (див. маршрут у професію).

Державно-приватне партнерство. Держава прямо визнає: без бізнесу нічого не вийде.

Міжнародна співпраця й наближення до підходів ЄС і НАТО. План реалізації прямо згадує імплементацію європейської директиви щодо безпеки мережевих та інформаційних систем — тієї самої, з якої виріс NIS2.

Що це означає для бізнесу: чотири висновки

1. Вимоги посилюватимуться. Це не прогноз, а план. Наближення до європейських підходів означає розширення кола компаній під регулюванням. Ті, кого сьогодні норми обходять, за кілька років опиняться всередині (див. навігацію нормативкою).

2. Держава пропонує інструменти — беріть. Це не лише про вимоги. Попередження й індикатори компрометації доступні безкоштовно й будь-кому (див. обмін даними щодо загроз). Дивовижно, як мало компаній цим користується.

Причина, здається, психологічна: безкоштовне здається несерйозним. Тим часом попередження, написане людьми, які щойно розгрібали наслідки в сусідній компанії вашого ж сектору, коштує дорожче за будь-який платний огляд світового ринку.

3. Оцінювання й стандарти стають нормою. Курс на незалежну перевірку захищеності й міжнародні стандарти — це те, чого дедалі частіше вимагатимуть і держава, і партнери (див. оцінювання кіберзахисту).

4. Партнерство — не лозунг, а можливість. Держава відкрито каже, що без приватного сектору не впорається. Це означає: у вас є голос. Галузеві асоціації, робочі групи, консультації щодо проєктів актів — усе це працює, просто туди майже ніхто й не заглядає.

Ціна участі — кілька годин на квартал. Виграш — можливість вплинути на норму, за якою потім доведеться жити роками. Дивно, що охочих так мало.

Партнерство: чому воно досі буксує

Найгірше виконаний напрям, і в цьому чесно зізнається сам документ.

Причина криється зовсім не в бюрократії, а в асиметрії довіри.

Погляд бізнесу. Розповісти державі про інцидент — означає привернути увагу. Замість допомоги можна отримати перевірку, а замість підтримки — рядок у новинах. Тому й мовчать.

Погляд держави. Без даних від бізнесу картина неповна: більшість критичних сервісів у приватних руках, і саме там відбувається найцікавіше. Тому просять.

Замкнене коло розривається лише одним способом — коли зізнання коштує дешевше за мовчання. Поки що баланс зворотний, і саме тому індикатори компрометації часто з'являються за тижні після першого удару.

Наслідок цієї асиметрії помітний неозброєним оком: галузеві звіти рясніють знеособленими прикладами «однієї великої компанії», а деталі, на яких можна було б навчитися, залишаються за кадром. Усі знають, що сталося. Ніхто не знає, як саме.

Що з цим робити вам. Дві речі, і обидві безкоштовні.

• Ідіть у галузеві спільноти. Там обмін працює краще, ніж будь-де: люди діляться тим, чого ніколи не напишуть у звіті.
• Говоріть, коли постраждали. Команда реагування бачить схожі випадки в інших організацій і може одразу підказати, що саме у вас відбувається. Ранній дзвінок економить тижні.

Горизонт вичерпується

Одна деталь, яку варто тримати в голові. Цілі чинної редакції поставлено до 2026 року. Тобто ми живемо в останньому році її горизонту.

Що це означає практично:

• оновлення документа — питання часу. Наступна редакція врахує війну, європейську інтеграцію й реформу останніх років;
• напрям навряд чи зміниться. Стримування, стійкість, взаємодія — це не мода, а структура задачі;
• вимоги стануть жорсткішими, а не м'якшими. Жодна країна ще не пом'якшувала правила кіберзахисту після того, як їх перевірили війною.

Тому готуватися варто вже зараз — не до тексту, який ще напишуть, а до логіки, яка в ньому точно буде.

Ця логіка передбачувана, бо вона однакова в усьому світі: ширше коло зобов'язаних, коротші строки сповіщення, персональна відповідальність керівництва, увага до ланцюга постачання. Хто вибудував керовану систему заздалегідь, зустріне нову редакцію позіханням. Хто чекав — знайомим авралом.

Три ситуації, три різні реакції

Ви оператор критичної інфраструктури. Для вас усе написане — не прогноз, а розклад. Обов'язки вже є, і вони лише міцнішатимуть. Головна порада: перестаньте ставитися до статусу як до тягаря. Ви — мішень, і мотивація нападника тут зовсім не фінансова. Йому потрібні не ваші гроші, а ваша зупинка.

Ви підрядник або постачальник. Найпідступніша позиція. Формально ви поза нормами, фактично — усередині, бо замовник перекладе обов'язки контрактом. Читайте договори до підписання. І пам'ятайте: через вас ідуть до вашого клієнта, тож ви цікаві навіть тоді, коли самі себе цікавим не вважаєте.

Ви звичайний бізнес. Прямих обов'язків немає — і це чудова нагода зробити все як слід, без припису й без перевірки на шиї. Ті, хто починають добровільно, витрачають утричі менше. Причина проста: коли термін не горить, речі роблять у правильному порядку — спершу розуміють, що мають, потім вирішують, що робити, і лише тоді платять.

Коли ж термін горить, порядок стає зворотним: спершу купують, потім виправдовують покупку, а розуміння приходить наприкінці — разом із рахунком. Різниця в грошах вражає, різниця в нервах — ще більше.

Як узагалі читати такі документи

Навичка корисна ширше, ніж здається: усі державні тексти цього жанру влаштовані однаково.

Перше — читайте розділ про проблеми, а не про цілі. Цілі пишуть красиво, проблеми — чесно. Саме там видно, що насправді болить.

Друге — шукайте цифри й дати. «Посилити», «розвинути», «удосконалити» означають рівно нічого. «До 2026 року», «40% виконання», «кожні півроку» — означають дуже багато.

Третє — дивіться, хто відповідальний. Захід без прізвища або без відомства — це побажання, а не план.

Четверте — порівняйте з попередньою редакцією. Те, що переїхало з документа в документ незмінним, зазвичай і є найважчим місцем.

Цей набір працює й усередині компанії. Візьміть власну стратегію розвитку й прогляньте її за цими чотирма правилами. Результат буде повчальним.

Окремо про порівняння редакцій. Це найшвидший спосіб зрозуміти, що змінилося насправді, а що лише переформулювали. Абзаци, які кочують із документа в документ роками, майже завжди позначають те, чого зробити так і не вдалося — а отже, і найважче місце всієї конструкції.

Як підготуватися заздалегідь

1. Перевірте свій статус. Чи не є ви — або ваш ключовий клієнт — об'єктом критичної інфраструктури? Відповідь «здається, ні» не рахується: з'ясуйте це письмово, у профільного відомства. Година роботи зараз рятує квартал паніки згодом.
2. Дійте до припису. Вимоги, які сьогодні стосуються операторів, завтра поширяться ширше. Різниця між добровільним і примусовим впровадженням — приблизно втричі в грошах.
3. Побудуйте керовану систему за ISO 27001. Це найкращий універсальний перехідник: та сама логіка «ризики → заходи → контроль», якої очікують і регулятори, і європейські партнери.
4. Користуйтеся тим, що дає держава. Попередження, індикатори, рекомендації — усе безкоштовно.
5. Закрийте базу. Хоч би що писали у стратегіях, більшість реальних атак досі починається з цільового фішингу, слабких паролів і невстановлених оновлень.

Шостий пункт напрошується сам, хоч його й немає в жодному документі: знайдіть у команді людину, якій це цікаво. Не призначте — знайдіть. Мотивована людина без бюджету зробить більше за незацікавлену з бюджетом, і це правило працює безвідмовно вже років тридцять.

Останній пункт найважливіший. Можна прочитати всі державні документи світу й залишитися вразливим до листа з вкладенням.

Тут криється найбільша іронія жанру. Документи такого рівня пишуть про кібервійська, міжнародну координацію й технологічний суверенітет — а падають організації через застарілий сервер, до якого забули прикрутити оновлення, та через людину, яка натиснула на посилання. Розрив між масштабом розмови й масштабом реальної діри вражає щоразу.

Тому й порада проста: спершу закрийте нудне. Оновлення, паролі, права доступу, резервні копії, навчання людей. Це геть непоказні речі, про них ніхто не пише в оглядах — зате саме вони зупиняють дев'ять атак із десяти. А коли нудне закрито, можна повертатися до великих документів: вони раптом стають зрозумілішими.

Що можна взяти в держави безкоштовно

Про це майже не пишуть, а дарма: частина заявленого вже працює й доступна будь-кому.

• Попередження команди реагування. Публікуються відкрито, читаються за п'ять хвилин, стосуються саме українських організацій — на відміну від глобальних звітів, у яких ваш сектор згадано в одному абзаці.
• Індикатори компрометації. Конкретні адреси, хеші, імена файлів. Їх можна одразу завантажити у власні засоби й перевірити журнали заднім числом за останні місяці. Цей крок пропускають майже всі — а саме він найчастіше й знаходить те, що вже сидить усередині.
• Рекомендації після реальних інцидентів. Написані людьми, які щойно розгрібали наслідки. Коштують дорого, віддаються задарма.
• Методичні матеріали та навчання. Не завжди блискучі, зате безкоштовні й українською.

Головна помилка — чекати, доки хтось принесе це вам на стіл. Ніхто не принесе. Достатньо однієї людини, яка раз на тиждень витрачає пів години на читання — і ваша обізнаність одразу вища за середню по ринку.

Ще одна деталь, яку варто закласти в процес. Прочитане має кудись потрапляти: у робочий список, у тікет, у порядок денний наради. Інакше пів години перетворюються на ритуал: людина читає, киває, забуває. Правило просте — кожне попередження завершується або дією, або письмовим рішенням «нас це не стосується, бо…». Друге теж результат.

Що змінила війна

Документ ухвалювали до повномасштабного вторгнення. Реальність виявилася жорсткішою за будь-який прогноз, і кілька уроків варто зафіксувати.

Урок перший: копія поруч із оригіналом — не копія. Це очевидно на папері й геть неочевидно, доки будівля стоїть.

Урок другий: атакують не лише «важливих». Мішенню стає той, через кого зручно дійти до важливого. Підрядник, постачальник, невеликий сервіс — усі вони раптово виявилися цікавими. Логіка нападника проста: навіщо ламати міцні двері, коли поруч стоїть відчинене вікно сусіда, з якого до тих дверей є прохід зсередини.

Урок третій: люди важливіші за техніку. Організації, які вистояли, зробили це радше завдяки людям, ніж обладнанню: хтось знав, кому дзвонити, і мав право ухвалювати рішення.

Урок четвертий: відновлення — це навичка. Її або тренують, або мають лише на папері. Третього варіанта життя поки що не вигадало.

Ці чотири уроки коштували країні дуже дорого. Найдешевше, що можна зробити, — узяти їх безкоштовно. Перевірити копії, скласти перелік залежностей, записати телефони, розгорнути резерв на тестовому середовищі. Жоден із цих кроків не потребує ані закупівель, ані узгоджень із бюджетним комітетом — лише рішення почати.

Три помилки в читанні

1. Шукати в ній обов'язки. Їх там немає. Обов'язки — у законах і постановах.
2. Вважати її декларацією без наслідків. Наслідки будуть, просто з відкладеним стартом. Приблизно як із рахунком за опалення: у травні він мало кого турбує.
3. Читати заголовки замість цілей. Найцінніше в тексті — не гасла, а чесний аналіз того, чому попередня спроба провалилася.

Що спитати всередині компанії

Найкорисніше, що можна зробити після прочитання, — поставити чотири питання своїй команді. Письмово, з датою, з іменами відповідальних.

Питання перше: що в нас критичне? Складіть перелік процесів, зупинка яких болить понад добу. Здебільшого таких виявляється три-п'ять, а не тридцять — і це вже полегшення.

Питання друге: від чого ці процеси залежать? Системи, підрядники, канали зв'язку, конкретні люди. Саме тут виявляється, що весь білінг тримається на одному застосунку, який підтримує один розробник з іншої країни.

Питання третє: що ми зробимо, коли воно ляже? Порядок дій, а не гасло «відновимо з копії». Хто, що, у якій послідовності, з якого пристрою, за чиєю командою.

Питання четверте: коли ми це востаннє перевіряли? Якщо відповіді немає — ви щойно з'ясували, з чого починати.

Чотири питання, жодних витрат, півдня роботи. За досвідом, після такої вправи половина організацій виявляє щонайменше одну діру, яку соромно показувати навіть самим собі. Це звична річ: краще виявити її самому й тихо, ніж публічно й дорого.