Чому потрібно впроваджувати КСЗІ?

В Україні впровадження комплексної системи захисту інформації (КСЗІ) регулюється, законами, постановами Кабінету Міністрів, нормативними актами та ДСТУ.
📌 Ми розглянемо лише основні Закони України як найвищі нормативно-правові акти, що ухвалюються Верховною Радою України, та мають обов’язкову силу на всій території держави і регулюють суспільні відносини у різних сферах.
✅ Закон України «Про інформацію»
✅ Закон України «Про захист персональних даних»
✅ Закон України «Про захист інформації в інформаційно-комунікаційних системах»
✅ Закон України ««Про державну таємницю»

Закон України «Про інформацію» регулює відносини, пов'язані зі створенням, збиранням, одержанням, зберіганням, використанням, поширенням, охороною та захистом інформації.
Основні положення Закону:
☑️ Визначення термінів (стаття 1): Закон надає визначення ключових понять, таких як «інформація», «документ», «захист інформації» тощо.
☑️ Суб'єкти та об'єкти інформаційних відносин: Окреслюють...читати далі

Створення КСЗІ класу АС-1 (ДСК комп’ютер)

Реалії сьогодення вимагають мати повноцінну можливість роботи з документами з грифом «Для службового користування» (ДСК документами) у Вашому закладі?

📌 Компанія «Дефендіко» пропонує розробку комплексної системи захисту інформації (КСЗІ) автоматизованої системи (АС) класу «1», призначеної для обробки службової інформації.

Класифікацію автоматизованих систем визначає нормативний документ системи ТЗІ –

🔎 НД ТЗІ 2.5-005-99 Класифікація автоматизованих систем і стандартні функціональні профілі захищеності оброблюваної інформації від несанкціонованого доступу

📌 АС класу «1» — одномашинний однокористувачевий комплекс, який обробляє інформацію однієї або кількох категорій конфіденційності .

Істотні особливості:

☑️ в кожний момент часу з комплексом може працювати тільки один користувач, хоч у загальному випадку осіб, що мають доступ до комплексу, може бути декілька, але всі вони повинні мати однакові повноваження (права) щодо доступу до інформації...читати далі

КСЗІ для Національного агентства України з питань виявлення, розшуку та управління активами

Компанія Дефендіко успішно розробила Технічне завдання для Комплексної системи захисту інформації (КСЗІ) для автоматизованої системи «Розшук», яка використовується для обробки даних про арештовані активи. Реалізація проєкту надало розуміння для майбутніх кроків побудови захисту інформації у відповідності до державних стандартів.

📌 Основні кроки:
✅ Аналіз системи – аудит поточних механізмів безпеки, виявлення вразливостей, моделювання загроз.
✅ Формування вимог до захисту – визначення критичних даних, оцінка ризиків, підготовка технічного завдання.
✅ Розробка архітектури КСЗІ – проєктування комплексного захисту, вибір методів контролю доступу.

🚀 Результат:
Система «Розшук» отримала технічне завдання та дорожню карту для побудови КСЗІ, яка відповідає всім нормативним вимогам, забезпечуючи конфіденційність, цілісність і доступність даних.
Дізнатися більше

Державна служба спеціального зв’язку та захисту інформації України готова відійти від комплексної системи захисту інформації (КСЗІ) і перейти на декларування відповідності систем захисту інформації в інформаційних, електронних комунікаційних та інформаційно-комунікаційних системах, створених з використанням профілів безпеки інформації. На цьому наголосив Голова Держспецзв’язку Олександр Потій на зустрічі з представниками Асоціації «IT Ukraine».

Впровадження декларативного принципу є одним із пріоритетних завдань Держспецзв’язку на 2025 рік.

Держспецзв’язку вже створила нормативне та організаційне підґрунтя. Однак, щоб ініціатива запрацювала, потрібне бажання власників систем це робити та наявність фахівців.

Також на зустрічі Адміністрація Держспецзв’язку й Асоціація «IT Ukraine» підписали Меморандум про взаємодію у сферах захисту інформації та кіберзахисту.

Більше – на сайті Держспецзв’язку.

Яку інформацію треба захищати?

Постанова Кабінету Міністрів України від 29 березня 2006 р. № 373 затверджує «Правила забезпечення захисту інформації в інформаційних, електронних комунікаційних та інформаційно-комунікаційних системах»

У 2022 році до Постанови були внесені зміни, зокрема, термін «телекомунікаційні та інформаційно-телекомунікаційні системи» замінено на «електронні комунікаційні та інформаційно-комунікаційні системи».


📌 Детальний перелік видів інформації, яка має захищатися, при її обробці в інформаційно-комунікаційних системах (автоматизованих системах):

✅ Інформація, яка становить державну або іншу передбачену законом таємницю;

✅ Службова інформація;

✅ Відкрита інформація, яка належить до державних інформаційних ресурсів, а також про діяльність суб’єктів владних повноважень, військових формувань, яка оприлюднюється в Інтернеті, інших глобальних інформаційних мережах і системах або передається телекомунікаційними мережами;

Читати далі

КСЗІ для Обласного центру екстреної медичної допомоги та медицини катастроф у містах Дніпро, Херсон та Тернопіль

Компанія Дефендіко успішно впровадила Комплексну систему захисту інформації (КСЗІ) для інформаційної системи «Оперативна диспетчерська служба ОДС-103». Проєкт забезпечив надійний кіберзахист критично важливих медичних даних, гарантувавши стабільну роботу служби 103 та відповідність державним стандартам у сфері технічного захисту інформації.

📌 Основні кроки:
✅ Аудит системи – аналіз ризиків, розробка проєкту наказу, визначення критичних даних, формування моделі загроз.
✅ Розробка технічного завдання – створення проєкту архітектури захисту та регламентів експлуатації.
✅ Впровадження заходів безпеки – налаштування механізмів захисту, розгортання антивірусного ПЗ
✅ Тестування та оптимізація – перевірка стійкості системи, випробування на відповідність вимогам захисту інформації.
✅ Сертифікація – організація державної експертизи та отримання Атестата відповідності.

🚀 Результат детальніше на сайті

Меморандум про співпрацю з ТОВ «УАЛІНУКС»

Компанія Дефендіко уклала Меморандум про співпрацю з ТОВ «УАЛІНУКС» – провідним розробником та інтегратором рішень на основі операційної системи Linux в Україні. Ця стратегічна угода спрямована на розвиток національних технологій захисту інформації, впровадження безпечних ІТ-рішень для державного та корпоративного сектору, а також популяризацію відкритого програмного забезпечення.

📌 Ключові напрями співпраці:

✅ Розвиток рішень для кібербезпеки
Об’єднання експертизи Дефендіко у сфері захисту інформації та технічних напрацювань УАЛІНУКС у сфері операційних систем дозволить створювати інноваційні рішення для захисту державних і корпоративних інформаційних систем.

✅ Впровадження захищених операційних середовищ
Спільні проєкти передбачають розробку та інтеграцію спеціалізованих дистрибутивів Linux, адаптованих до потреб державних органів та критичної інфраструктури.

Детальніше про співпрацю

Детальніше про партнера

КСЗІ для Господарсько-фінансового департаменту Секретаріату Кабінету Міністрів України

Компанія Дефендіко успішно реалізувала проєкт створення Комплексної системи захисту інформації (КСЗІ) для Господарсько-фінансового департаменту Секретаріату Кабінету Міністрів України відповідно до вимог нормативної бази.

📌 Ключові етапи:

✅ Аналіз документів, розробка наказів, положень та переліку захищеної інформації.

✅ Аудит інфраструктури, оцінка ризиків та розробка рекомендацій.

✅ Формування вимог до КСЗІ, створення технічного завдання.

✅ Розробка Плану захисту інформації, моделювання загроз.

✅ Впровадження заходів безпеки: криптографічний захист, контроль доступу.

✅ Навчання персоналу з правил кібербезпеки.

✅ Тестування системи, усунення вразливостей.

✅ Державна експертиза, сертифікація та відповідність НД ТЗІ 3.7-003-2023.

В результаті інформаційна система Єдиного веб-порталу органів виконавчої влади Секретаріату Кабінету Міністрів України отримала надійну комплексну систему захисту інформації, яка відповідає стандартам і функціонує в захищеному середовищі.

Більше на сайті

Чому потрібно розробляти та впроваджувати КСЗІ для сайту?

Відповідь на це питання надає нормативний документ системи технічного захисту інформації (НД ТЗІ) 2.5-010-03 – Вимоги до захисту інформації WEB-сторінки від несанкціонованого доступу.

📌 Цей документ встановлює вимоги до технічних та організаційних заходів захисту інформації Web-сторінки (Web-сайту) в мережі Інтернет.

Встановлені цим НД ТЗІ вимоги є обов’язковими для виконання державними органами, органами місцевого самоврядування, а також підприємствами, установами та організаціями усіх форм власності під час захисту інформації, що належить до державних інформаційних ресурсів на WEB-сторінках.

В документі наведені:

✅загальні вимоги до захисту інформації Web-сторінки, які випливають з вимог чинного законодавства – актуалізація розміщених на Web-сторінці інформаційних ресурсів та керування доступом до них здійснюється за допомогою автоматизованої системи (АС), в якій повинна бути створена КСЗІ;

✅характеристики типових умов функціонування такої АС;

✅детальні вимоги щодо захисту інформації Web-сторінки;

✅докладно розібрана політика реалізації послуг безпеки інформації в АС, що забезпечує функціонування Web-сторінки.

Загальні вимоги

WEB-сторінка установи може бути розміщена на власному сервері або на сервері, що є власністю оператора. Власник сервера зобов’язаний гарантувати власнику інформації рівень захисту у відповідності до вимог цього НД ТЗІ.

Функціонування WEB-сторінки забезпечується АС, за допомогою якої здійснюється актуалізація розміщених на WEB-сторінці інформаційних ресурсів та керування доступом до них.

Для забезпечення захисту інформації WEB-сторінки в цій АС створюється КСЗІ, що є сукупністю організаційних і інженерно-технічних заходів, а також програмно-апаратних засобів, які забезпечують захист інформації.

До складу автоматизованої системи, яка забезпечує функціонування WEB-сторінки, входять:

обчислювальна система,
фізичне середовище, в якому вона знаходиться і функціонує,
середовище користувачів,
оброблювана інформація, у тому числі й технологія її оброблення.
Під час забезпечення захисту інформації мають бути враховані всі характеристики зазначених складових частин, які впливають на реалізацію політики безпеки WEB-сторінки.

У випадку, якщо WEB-сторінка містить посилання на інформаційні ресурси іншої WEB-сторінки, умови функціонування останньої не повинні порушувати встановлену для даної WEB-сторінки політику безпеки.
Більше інформації

В Україні створять національну систему реагування на кібератаки

Сьогодні Верховна Рада України ухвалила у другому читанні Закон України «Про внесення змін до деяких законів України щодо захисту інформації та кіберзахисту державних інформаційних ресурсів, об’єктів критичної інформаційної інфраструктури».

Це важливий крок, який дасть можливість протистояти новим викликам та загрозам у кіберпросторі, а також забезпечить посилення захисту державних інформаційних ресурсів та об’єктів критичної інформаційної інфраструктури, адже російська агресія у кіберпросторі продовжує зростати. Нагадаємо, Урядова команда реагування на комп’ютерні надзвичайні події CERT-UA, що діє при Держспецзв’язку, у 2024 році зафіксувала зростання кількості кіберінцидентів майже на майже 70% порівняно з попереднім роком.

Ухвалений Закон передбачає низку важливих змін та нововведень, серед яких:

▪️функціонування національної системи реагування на кіберінциденти, кібератаки, кіберзагрози – визначено ролі, завдання, сервісні функції команд реагування та основні принципи взаємодії всіх ключових субʼєктів багаторівневої мережі реагування;
▪️реагування в кризовій ситуації в кібербезпеці – визначено засади для залучення механізмів реагування в кризовій ситуації;
▪️функціонування системи обміну інформацією про кіберінциденти, кібератаки, кіберзагрози – упорядковані зобовʼязання щодо повідомлень, механізми взаємодії, засади захисту та розкриття інформації по кіберінциденти;
▪️функціонування системи оцінювання стану кіберзахисту включно з методом аудиту без надмірного контролю з боку держави;
▪️введення штатних посад керівників та фахівців з кібербезпеки в державних органах, а також на об’єктах критичної інфраструктури.

Більше інформації на нашому сайті
та на сайті Держспецзв’язку

Як підключитись до Єдиного державного реєстру транспортних засобів?

Процедура отримання безпосереднього доступу до Єдиного державного реєстру транспортних засобів (далі – ЄДРТЗ) для юридичної особи (органів місцевого самоврядування, ЦНАП та ін.) опублікована на сайті Головного сервісного центру МВС за посиланням.

Нормативно-правові акти:

Постанова Кабінету Міністрів України від 14 листопада 2018 року № 1024«Про затвердження Положення про єдину інформаційну систему Міністерства внутрішніх справ та переліку її пріоритетних інформаційних ресурсів».
Постанова Кабінету Міністрів України від 25 березня 2016 року № 260 «Деякі питання надання інформації про зареєстровані транспортні засоби, їх власників та належних користувачів».

📌 Обов’язковою умовою є – створення в інформаційно-телекомунікаційній системі (далі – ІТС) робочого місця Користувача комплексної системи захисту інформації (далі – КСЗІ) з підтвердженою відповідністю. Зручним варіантом є використання організаційно-технічного рішення (ОТР) для комплексної системи захисту інформації типового робочого місця Користувача інформаційно-телекомунікаційної системи Єдиного державного реєстру транспортних засобів (далі – ІТС ЄДР), що має чинний експертний висновок.

Типові робочі місця користувачів ІТС ЄДР є складовими інформаційно-телекомунікаційної системи Єдиного державного реєстру транспортних засобів.

🚀Компанія Дефендіко має успішний досвід в реалізації подібних проєктів та може допомогти Вам у вирішенні цього питання!

Комплекс технічних засобів

До складу комплексу технічних засобів типового робочого місця Користувача ІТС ЄДР входить:

✅ робоча станція (далі – РС);
✅ джерело безперебійного живлення (далі – ДБЖ);
✅ апаратно-програмний комплекс криптографічного захисту інформації (далі – АПЗ КЗІ) − електронний ключ “Кристал-1” або електронний ключ “Алмаз-1К”;
✅ комунікаційне обладнання для підключення до ЦОД ІТС ЄДР через відомчу мережу МВС або з використання захищено вузла доступу до мережі Інтернет.
✅шлюзові сертифікати завантажені в каталог для збереження сертифікатів (зазвичай – C:\My Certificates and CRLs 13).

На робочій станції встановлено і налаштовано відповідно до вимог КСЗІ ліцензійне програмне забезпечення:

✅ операційна система Microsoft Windows 10 Professional (експертний висновок Адміністрації Держспецзв’язку №142ЕВ, дійсний з 26.02.2024 (до кінця дії воєнного стану в Україні);
✅ програмне забезпечення антивірусного захисту, що має Експертний висновок Держспецзв’язку України у сфері ТЗІ (детальніше Додаток В), чинний на момент створення КСЗІ;
✅ комплекс програмний клієнта захисту мережних з’єднань «ІІТ Захист з’єднань-2. Клієнт захисту з’єднань» (експертний висновок № 04/03/02-1188, дійсний з 15.05.2020 до 15.05.2025; Настанова оператора щодо особливостей роботи у НАІС МВС України;
✅ веббраузер (рекомендується Mozilla FireFox);
✅ інтерпретатор java версії 8.77 (або вище)
✅ текстові та графічні редактори загального призначення.

Читати далі

Кейс – Захист інформації для системи екстреної допомоги 112 у Дніпрі та Одесі

Компанія Дефендіко успішно реалізувала проєкт із створення та погодження в Держспецзв'язку Технічного завдання на побудову комплексної системи технічного захисту інформації інформаційно-комунікаційної системи екстреної допомоги 112 у містах Дніпро та Одеса.

📌Що було зроблено:
✅Аналіз системи – аудит поточних складових ІКС, формування переліку інформації що потребує захисту, розмежування технологій з обробки інформації, моделювання загроз та порушників.
✅Формування вимог до захисту – визначення переліку необхідних заходів, підготовка технічного завдання та погодження його в Держспецзвязку.

🚀 Результат:
Служба 112 Центру інфраструктури та технологій МВС України отримала погоджене Технічне завдання та дорожню карту для побудови КСЗІ, яка відповідає всім нормативним вимогам, забезпечуючи конфіденційність, цілісність і доступність даних служби 112.
Більше кейсів тут

Підписаний Президентом Закон № 4336-IX про кіберзахист державних інформаційних ресурсів набрав чинності

Президент України Володимир Зеленський підписав Закон України № 4336-IX «Про внесення змін до деяких законів України щодо захисту інформації та кіберзахисту державних інформаційних ресурсів, об’єктів критичної інформаційної інфраструктури» (реєстр. № 11290), який був ухвалений Верховною Радою України у другому читанні 27 березня.

Це важливий крок, який дасть можливість протистояти новим викликам та загрозам у кіберпросторі, а також забезпечить посилення захисту державних інформаційних ресурсів та об’єктів критичної інформаційної інфраструктури, адже російська агресія у кіберпросторі продовжує зростати.

Підписаний Закон передбачає низку важливих змін та нововведень, серед яких:

▪️функціонування національної системи реагування на кіберінциденти, кібератаки, кіберзагрози – визначено ролі, завдання, сервісні функції команд реагування та основні принципи взаємодії всіх ключових субʼєктів багаторівневої мережі реагування;

▪️реагування в кризовій ситуації в кібербезпеці – визначено засади для залучення механізмів реагування в кризовій ситуації;

▪️функціонування системи обміну інформацією про кіберінциденти, кібератаки, кіберзагрози – упорядковані зобовʼязання щодо повідомлень, механізми взаємодії, засади захисту та розкриття інформації по кіберінциденти;

▪️відмова від КСЗІ та визначення процесу впровадження заходів з управління ризиками і забезпечення того, щоб такі заходи підтримувалися протягом життєвого циклу систем на основі профілів безпеки;

▪️функціонування системи оцінювання стану кіберзахисту включно з методом аудиту без надмірного контролю з боку держави;

▪️введення штатних посад керівників та фахівців з кібербезпеки в державних органах, а також на об’єктах критичної інфраструктури.

Закон набрав чинності з 20.04.25

📌 Компанія Дефендіко вже працює над кейсами зі створення авторизованих систем з безпеки для органів державної влади.

🚀 Якщо у вас виникнуть додаткові питання щодо захисту інформації, звертайтеся — фахівці компанії Дефендіко завжди готові Вам допомогти!
Більше інформації

З чого почати впроваджування КСЗІ у Вашому закладі?

Ви плануєте впроваджувати комплексну систему захисту інформації в Вашому закладі? У Вас виникли питання щодо захисту інформації після перевірки контролюючими органами?

З чого почати? Яку інформацію треба захищати? Як її захищати? Які роботи треба виконувати? Яка реальна вартість розробки та впровадження КСЗІ? Який бюджет треба запланувати?

📌 Відповідь на всі ці питання може надати ТІЛЬКИ аудит Ваших інформаційно-комунікаційних систем (далі – ІКС) у межах технічного захисту інформації (далі – ТЗІ) відповідно до чинного законодавства України.

🔐 Аудит технічного захисту інформації — це спеціалізована перевірка систем і засобів, які забезпечують нерозголошення, цілісність і доступність інформації, відповідно до вимог чинного законодавства України.

В процесі аудиту інформаційно-комунікаційної системи, в рамках технічного захисту інформації, виконуємо наступні задачі:

✅ Аналіз всіх інформаційних ресурсів Вашого закладу (інвентаризація всіх видів створюваної, оброблюваної, прийнятої, переданої та іншої інформації, визначення вимог забезпечення основних властивостей безпеки (конфіденційності, цілісності, доступності) для кожного виду інформації – відкритої, конфіденційної та службової).

✅ Аналіз серверної інфраструктури (ідентифікація всіх фізичних та віртуальних серверів, мережевого обладнання та засобів захисту, системи контролю доступу та ін);

✅ Інвентаризація робочих станцій користувачів та встановленого ПЗ (ідентифікація по ролях та рівнях доступу до інформації);

✅Перевірка підключень до Інтернету (ідентифікація провайдерів та наявності атестованих захищених вузлів доступу до мережі Інтернет)

✅Аудит всіх наявних віддалених підключень (оцінка безпечності підключень та використання криптографічного захисту, наявність сторонніх систем з якими взаємодіє Ваша ІКС);

✅ Аналіз фізичної безпеки ( визначення контрольованої зони, аналіз охоронних заходів та фізичного контролю доступу до приміщень ІКС);

✅Аналіз всієї наявної документації та оцінка поточного рівня захищеності ІКС (оцінка чинних внутрішніх розпорядчих документів щодо технічного захисту інформації).
Читати далі