Керівники установи, організації, до якої належить система

Підрозділи з кіберзахисту

Центральні органи виконавчої влади, до якої належить система

Адміністрація Держспецзв’язку та СБУ

Власники або розпорядники систем

Вимоги, спрямовані на захист особистого життя приватних осіб, що пов’язано зі створенням, збиранням, використанням, обробкою, зберіганням, поширенням, розкриттям чи видаленням персональних даних

Твердження, яке виражає конкретну потребу в безпеці інформації (активу), включно із супутніми обмеженнями та умовами

Підмножина вимог, які висуваються до інформаційної системи чи організації для забезпечення конфіденційності, цілісності та доступності інформації, що обробляється, зберігається або передається інформаційною системою

Заходи, які спрямовані на задоволення вимог безпеки та приватності

Правила та обмеження, що стосуються прав людини на контроль над її персональними даними

Взаємопов’язана сукупність заходів щодо захисту інформації, визначених для системи органом державної влади, іншим державним органом у межах своїх повноважень у відповідній сфері або галузі з урахуванням мінімальних вимог щодо таких заходів із захисту (базового профілю), відповідних стандартів, політик безпеки та особливостей функціонування системи у відповідній сфері або галузі, а також надання відповідних рекомендацій

Еталонний опис захисту, якому має відповідати система Він включає опис об'єкта: Що саме ми захищаємо (наприклад, мережевий екран, операційну систему чи базу даних)

Мінімальні вимоги з безпеки інформації та взаємопов’язана сукупність заходів щодо її захисту, які встановлюються залежно від інформації, що обробляється у системі (відкрита інформація чи інформація з обмеженим доступом), або функціонального призначення такої системи

Еталонний опис захисту, якому має відповідати система Він включаєцілі безпеки: Чого ми хочемо досягти (наприклад, «забезпечити конфіденційність передачі даних»)

Еталонний опис захисту, якому має відповідати система Він включає середовище безпеки: Опис загроз (від кого захищаємось), припущень (у яких умовах працює система) та політик організації

Реєстр обладнання (сервери, ноутбуки, мережеві пристрої)

Оцінка критичності сервісів (що має працювати 24/7)

Задокументовані результати оцінювання ризиків

Дані з існуючих журналів (логів) для створення «базового рівня» нормальної роботи

Упорядкування заходів захисту

SI

SC

SA

SR

RA

Аналіз ризиків та моделювання загроз (хто і як може атакувати)

Формування вимог до системи захисту на основі аналізу ризиків

Передпроектне обстеження та аналіз

Розроблення та затвердження для системи цільового профілю

Класифікація інформації за рівнем важливості (конфіденційна, службова, відкрита)

Державною службою спеціального зв'язку та захисту інформації України

Власником або розпорядником системи

Центральним органом виконавчої влади, до якої належить система

Підрозділом з кіберзахисту

Керівником установи, організації, до якої належить система

Державною службою спеціального зв'язку та захисту інформації України

Власником або розпорядником системи

Центральним органом виконавчої влади, до якої належить система

Підрозділом з кіберзахисту

Керівником установи, організації, до якої належить система

1039

50

294

10

20

Встановлення «планки» ефективності: Створити еталон, з яким потім порівнюватимуть реальний стан безпеки під час аудиту чи експертизи

Мінімізація ризиків: Переконатися, що всі критичні вразливості закриті саме тими методами, які є найбільш ефективними для даного типу даних

Обґрунтування витрат: Зрозуміти, скільки грошей та ресурсів доцільно витратити на захист

Обрання правильних інструментів: Чітко визначити, які саме функції захисту (шифрування, ідентифікація, аудит) потрібні саме цій системі, а які будуть зайвими

Підтвердження відповідності вибору базового профілю безпеки системи (далі – БПБ) або галузевого профілю безпеки системи (далі – ГПБ) для формування ЦПБ (підтвердження вибору)