Засоби і системи ТЗІ: категорії, перелік і вимоги

У цій галузі слова «засіб», «комплекс» і «система» означають різні речі, а плутанина коштує грошей: можна купити «правильний» пристрій і все одно провалити оцінювання. Розберемо категорії, підтвердження відповідності й те, що змінилося за останній рік. Загальний огляд напряму — у статті що таке ТЗІ.

Засіб, комплекс, система: три різні слова

• Засіб ТЗІ — окремий виріб: пристрій або програма, що виконує захисну функцію.
• Комплекс технічного захисту інформації — сукупність рішень, реалізованих на конкретному об'єкті інформаційної діяльності (ОІД): у приміщенні, де циркулює інформація з обмеженим доступом (ІзОД). Підтверджується атестацією.
• Система технічного захисту інформації — поняття державного масштабу: сукупність суб'єктів, нормативних документів, виробів і заходів, які разом забезпечують захищеність у країні.

Окремо стоїть КСЗІ — комплексна система захисту інформації всередині автоматизованої чи інформаційно-комунікаційної системи, ІКС (див. КСЗІ простими словами).

Практичний висновок звідси один: у технічному завданні треба писати, що саме ви створюєте. «Зробити ТЗІ» — не завдання, а побажання, і підрядник прочитає його так, як йому вигідно.

Категорії засобів ТЗІ

Офіційна номенклатура ділить вироби на чотири групи. Поділ зроблено не за виробником і не за ціною, а за призначенням — і саме за цією ознакою продукт шукають у реєстрі.

1. Ті, чиє основне призначення — захищати. Вони протидіють витокові, порушенню цілісності й блокуванню: генератори зашумлення, екранувальні конструкції, лінійні фільтри, апаратура протидії несанкціонованому доступу.
2. Ті, у яких захисна функція додаткова. Обладнання, придбане заради основного призначення, але з убудованими можливостями оберігати вміст.
3. Ті, якими шукають закладні пристрої. Нелінійні радіолокатори, панорамні радіовиявлювачі, аналізатори ліній — усе, чим виявляють приховане джерело загрози.
4. Ті, якими оцінюють захищеність. Вимірювальні комплекти, що показують, чи справді рішення працює, а не просто гуде.

Детальніший поділ дає окремий нормативний документ — Класифікатор, затверджений як НД ТЗІ 1.5-002-2012. Ширшу картину, за межами цієї галузі, розглянуто у статті класифікація захисних засобів.

Перелік засобів ТЗІ: що це і де він живе

Офіційна назва довга: Перелік засобів технічного захисту інформації, дозволених для державних інформаційних ресурсів і відомостей, оберігати які вимагає закон.

Кілька фактів, які варто знати:

• він формується на підставі пункту 17 Положення, затвердженого Указом Президента № 1229/99;
• веде його й оприлюднює Держспецзв'язку — на офіційному сайті, а також на порталі відкритих даних;
• він містить номенклатуру виробів, відповідність яких засвідчено сертифікатом або позитивним експертним висновком;
• адресований він тим, хто розробляє, модернізує й упроваджує рішення на ОІД і в ІКС.

Тобто перелік засобів ТЗІ — це реєстр дозволеного, а не рекламний каталог чи рейтинг «найкращих»: там, де захищеність вимагає закон, вибір обмежений саме ним.

Три шляхи підтвердження відповідності

Ось де за останній рік сталася найпомітніша зміна. Донедавна шляхів було два, тепер їх три.

Що саме дозволили. Мінімальні вимоги до захищеності систем — постанова Кабінету Міністрів № 373 у редакції постанови № 1531 від 26.11.2025 — прямо визнають міжнародний сертифікат:

• не нижче EAL2 — окрім випадків, коли обробляються службові відомості або державна таємниця;
• не нижче EAL4 — коли обробляються службові відомості.

Для державної таємниці маршрут закритий: там працює лише український експертний висновок.

Механізм зіставлення, до речі, існував і раніше: окремі НД ТЗІ описують, як переносити результати оцінювання за ISO/IEC 15408 на українські вимоги. Новина 2025 року в тому, що міжнародний папір став самостійною підставою, а не допоміжним матеріалом.

Як це виглядає в житті. Установа хоче поставити відомий закордонний міжмережевий екран. Раніше розмова закінчувалася на першій хвилині: «його немає в реєстрі». Тепер розмова інша — з'ясовують, який рівень гарантій має сертифікат виробника, який вид відомостей обробляє ІКС, і чи збігається одне з одним. Іноді збігається. Іноді доводиться шукати старший рівень оцінювання того самого продукту.

Докладніше про самі документи відповідності — у статті сертифіковані захисні засоби.

Хто такий «орган з оцінки відповідності»

Формулювання виглядає бюрократично, але за ним стоїть перевірна дія. Такий орган має бути акредитований — національним агентством з акредитації України або національним органом іншої держави, за умови, що обидва агентства належать до тієї самої міжнародної чи регіональної структури або уклали угоду про взаємне визнання.

Практично це означає ось що: сертифікат, виданий десь у світі «просто лабораторією», не працює. Працює лише той, що виданий у визнаному ланцюжку. Перед закупівлею імпортного продукту варто попросити не сам сертифікат, а відомості про орган, який його видав, і про схему визнання.

Перевірити ланцюжок нескладно: у сертифікаті вказано орган, у реєстрі відповідного агентства з акредитації — його статус, а на сайті міжнародної Домовленості — перелік учасників. Три кроки, десять хвилин. Порівняйте це з вартістю зірваного оцінювання.

Що це змінює на практиці

Раніше логіка постачальника була проста: якщо виробу немає в реєстрі — забудьте. Тепер маршрутів фактично два — український документ або міжнародний сертифікат, — і вибір між ними означає вибір між грошима й часом.

• Український висновок покриває всі випадки, включно з таємницею, і зрозумілий місцевому оцінювачеві. Але здобувати його треба тут і зараз, а строк дії обмежений.
• Common Criteria дає світовому виробникові готовий папір, який тепер приймають і в нас. Проте рівень гарантій має відповідати виду відомостей: EAL2 не відчинить двері туди, де потрібен EAL4.

Ще один нюанс, про який забувають: для «фізики» на ОІД — зашумлення, екранування, виявлення закладних пристроїв — міжнародних сертифікатів просто не буває. Там маршрут один, український.

Якщо потрібного виробу в реєстрі немає

Ситуація трапляється частіше, ніж хотілося б. Варіантів три, і всі вони мають ціну.

1. Ініціювати експертизу. Виробник або замовник подає продукт на дослідження. Шлях найдовший і найдорожчий, зате результат саме той, що потрібен.
2. Шукати функціональний аналог. Часто виявляється, що потрібну функцію закриває інший, уже підтверджений виріб — просто він називається інакше й лежить у сусідній групі номенклатури.
3. Переглянути проєктне рішення. Іноді дешевше змінити архітектуру, ніж підтягувати під неї рідкісний пристрій. Наприклад, винести обробку у сегмент із нижчими вимогами.

Чого варто уникати — так це вписувати в проєкт непідтверджений виріб «із наміром узаконити потім». Потім не настає, а оцінювач бачить таке одразу.

І ще одне: перш ніж ініціювати дослідження, попросіть виробника показати, що він робив це раніше. Компанія, яка вперше стикається з українською процедурою, витратить ваш час на власне навчання.

Два різні реєстри: ТЗІ і криптографія

Одна з найдорожчих плутанин у тендерах. Криптографічний захист — суміжна, але окрема галузь: у неї власна ліцензія, власна експертиза й власний реєстр виробів із позитивними висновками.

Чому це важить на практиці. Продукт, що шифрує канал, оцінюють як криптографічний засіб, а не як апаратуру протидії витокові. Якщо ви закупили міжмережевий екран із убудованим шифруванням, у вас, можливо, два предмети оцінювання, а не один. І документи на них видають різні експертизи.

Що питати в постачальника: які саме функції підтверджено документом, і чи покриває він криптографічну частину. Відповідь «у нас усе сертифіковано» тут порожня.

Скільки триває підтвердження і від чого залежить строк

Точних календарних обіцянок годі чекати, але чинники передбачувані:

• Складність виробу. Просте однофункційне обладнання досліджують швидше, ніж багатокомпонентну платформу з мережевими функціями.
• Повнота матеріалів від виробника. Половина затримок припадає на листування: бракує документації, схем, опису механізмів.
• Рівень гарантій. Що вищий рівень, то глибші дослідження й то більше доказів вимагають від розробника.
• Доступ до вихідних текстів. Для частини перевірок він потрібен, і саме тут іноземні постачальники впираються найчастіше.
• Черга. Ресурс лабораторій обмежений, і сезонність тут теж є.

Звідси планувальне правило: підтвердження закладають у графік проєкту як окрему віху з власним запасом, а не як формальність наприкінці. Проєкти зриваються здебільшого через відсутність вчасно отриманого документа, а зовсім рідко — через поганий виріб.

Як читати запис у реєстрі

Назви виробу мало. Перед закупівлею перевіряйте чотири речі:

1. Точну модель, точну версію. Висновок видають на конкретне виконання, а не на торгову марку. «Той самий пристрій, але нової ревізії» формально є іншим виробом.
2. Строк дії сертифіката чи висновку. Прострочений документ анулює всю попередню роботу.
3. Сферу дії. У тексті висновку написано, для чого виріб придатний: який клас ІКС, який вид відомостей, який рівень гарантій.
4. Умови застосування. Вони майже завжди є, і майже завжди їх пропускають.

Пастка з версіями та оновленнями

Типова ситуація: підтвердження отримано на версію 4.2, а адміністратор поставив 4.6, бо «вийшло оновлення безпеки». Формально виріб уже поза межами того, що підтверджено.

Для антивірусних програм із позитивним висновком це передбачили окремо: діє власний порядок оновлення, який дозволяє тримати бази актуальними, не втрачаючи чинності документа. Для решти продуктів такого коридору немає — зміну версії треба звіряти з тим, що написано у висновку.

Звідси проста звичка: тримати власну таблицю «виріб — версія — документ — строк — дата наступної звірки». П'ять стовпців, які рятують проєкт.

Зворотний бік: заборонені продукти

У дозволених є антипод. Держспецзв'язку веде й оприлюднює відомості про програмні продукти й комунікаційне обладнання, що потрапили під санкції. Знахідка такого продукту під час перевірки — це вже не зауваження: наслідком може стати скасування авторизації.

Тому інвентаризація має два боки. Спершу переконайтеся, що потрібне дозволено. Потім — що зайве не заборонено. Другу половину роботи роблять рідко, і саме там ховаються неприємні сюрпризи.

Окрема пастка — успадковане господарство. Бухгалтерська програма, куплена десять років тому, чи комутатор невідомого походження у серверній стоять роками, і ніхто не ставить до них питань, доки не приходить перевірка. Простий крок, який варто зробити раніше за неї: скласти повний список того, що взагалі працює в контурі, із зазначенням виробника й країни походження.

Головне непорозуміння: реєстр не дорівнює захищеності

Наявність дозволених виробів не означає, що захист «зараховано». Оцінюють не окремі коробки, а результат у цілому: атестацію комплексу на ОІД або відповідність ІКС затвердженому профілю безпеки.

Правильний порядок дій зворотний до звичного:

модель загроз → проєктні рішення → добір виробів під ці рішення

А не «купили те, що було в наявності, а потім придумаємо, від чого воно рятує». Друга послідовність трапляється частіше, і саме вона породжує зауваження оцінювача.

Організація та забезпечення технічного захисту інформації: де тут місце закупівлі

Щоб побачити реальну вагу вибору обладнання, корисно поглянути на весь ланцюжок:

1. Визначити відомості, які закон вимагає оберігати.
2. Обстежити приміщення й середовище, де вони обробляються.
3. Категоріювати ОІД, класифікувати ІКС.
4. Побудувати модель загроз і модель порушника.
5. Ухвалити проєктні рішення — і лише тут дібрати вироби під них.
6. Упровадити, налаштувати, випробувати.
7. Пройти оцінювання: атестацію об'єкта; авторизацію з безпеки — для ІКС.
8. Супроводжувати: стежити за строками документів, за версіями.

Закупівля — п'ятий крок із восьми. Не перший.

П'ять помилок під час закупівлі

• Купувати за словом «сертифіковано» на сайті продавця. Звіряйте реєстр самостійно: рекламний текст не є документом.
• Брати виріб із чужої моделі загроз. Те, що спрацювало в сусідній установі, може не підходити вашому класу ІКС.
• Ігнорувати строк дії. Документ добігає кінця тихо, зазвичай напередодні оцінювання.
• Плутати ТЗІ з криптографією. Криптографія — окрема галузь із власним реєстром і власною експертизою. Виріб зі словом «шифрування» у назві не закриває вимоги обох галузей автоматично.
• Замовляти обладнання до обстеження. Класика, яка перетворює кошторис на лотерею.

Коротко про головне

Вибір обладнання у цій галузі — не питання смаку й навіть не питання бюджету. Це питання доказів: чим саме ви доведете оцінювачеві, що застосований виріб має право там стояти. Реєстр, сертифікат і висновок — це і є докази. Але доказ працює тільки тоді, коли він виданий на потрібний виріб, потрібної версії, для потрібного виду відомостей і ще не втратив чинності.