МЕТОДИКА ФОРМУВАННЯ ПРОФІЛЮ БЕЗПЕКИ ТА АВТОРИЗАЦІЇ СИСТЕМ, У ЯКИХ ОБРОБЛЯЄТЬСЯ ІНФОРМАЦІЯ З ОБМЕЖЕНИМ ДОСТУПОМ

Анотація

У статті розроблено методичний підхід до формування профілю безпеки та авторизації інформаційних,
електронних комунікаційних, інформаційно-комунікаційних і технологічних систем, у яких обробляються
державні інформаційні ресурси або інформація з обмеженим доступом. Обґрунтовано перехід від разового
проєктного підтвердження відповідності до ризик-орієнтованої профільної моделі, що передбачає безперервне
управління вимогами, доказами, ризиками та змінами. Розкрито співвідношення базового, галузевого та цільового
профілів, роль власника або розпорядника системи, порядок оцінювання дотримання цільового профілю та види
авторизації. Запропоновано послідовність визначення правового режиму інформації, встановлення меж системи,
декомпозиції вимог до перевірюваних результатів, формування доказової бази, оцінювання відповідності та
підтримання профілю впродовж життєвого циклу. Для внутрішнього контролю запропоновано систему
індикаторів підтвердженості застосовності, покриття вимог, повноти доказів та авторизаційної готовності.
Практична цінність підходу полягає у забезпеченні простежуваності між нормативними вимогами, заходами
захисту та фактичними доказами їх реалізації. Методи дослідження охоплюють нормативно-правовий і
порівняльний аналіз, структурно-функціональне моделювання, декомпозицію вимог та аналіз життєвого циклу.
Сформовано практичну дорожню карту переходу до профільної моделі, що поєднує інвентаризацію систем, аналіз
ризиків, розроблення цільового профілю, перевірку критичних вимог і підготовку авторизаційного пакета. Підхід
може бути використаний для планування переходу, виявлення критичних розривів та контролю готовності
системи.
Ключові слова: інформація з обмеженим доступом, профіль безпеки, цільовий профіль, авторизація
системи, оцінювання відповідності, кіберзахист, ризик-орієнтований підхід.

Перелік посилань
1. Закон України «Про внесення змін до деяких законів України щодо удосконалення правових засад
забезпечення кіберзахисту державних інформаційних ресурсів та інформації, вимога щодо захисту якої
встановлена законом» від 27.03.2025 № 4336-IX. https://zakon.rada.gov.ua/laws/show/4336-20#Text.
2. Закон України «Про захист інформації в інформаційно-комунікаційних системах» від 05.07.1994 №
80/94-ВР. https://zakon.rada.gov.ua/laws/show/80/94-%D0%B2%D1%80#Text.
3. Постанова Кабінету Міністрів України «Деякі питання захисту інформаційних, електронних
комунікаційних, інформаційно-комунікаційних і технологічних систем» від 18.06.2025 № 712.
https://zakon.rada.gov.ua/laws/show/712-2025-%D0%BF#Text.
4. Закон України «Про основні засади забезпечення кібербезпеки України» від 05.10.2017 № 2163-VIII.
https://zakon.rada.gov.ua/laws/show/2163-19#Text.
5. Закон України «Про доступ до публічної інформації» від 13.01.2011 № 2939-VI.
https://zakon.rada.gov.ua/laws/show/2939-17#Text.
6. Закон України «Про Державну службу спеціального зв’язку та захисту інформації України» від
23.02.2006 № 3475-IV. https://zakon.rada.gov.ua/laws/show/3475-15#Text.
7. Указ Президента України «Про Положення про технічний захист інформації в Україні» від 27.09.1999
№ 1229/99. https://zakon.rada.gov.ua/laws/show/1229/99#Text.
8. Базовий профіль безпеки системи, де обробляється відкрита або конфіденційна інформація: наказ
Адміністрації Держспецзв’язку від 30.06.2025 № 409.
9. Базовий профіль безпеки системи, де обробляється службова інформація: наказ Адміністрації
Держспецзв’язку від 02.07.2025 № 419.
10. Порядок ведення переліку авторизованих систем з безпеки: наказ Адміністрації Держспецзв’язку від
11.07.2025 № 434.
11. Вимоги до суб’єктів оцінювання: наказ Адміністрації Держспецзв’язку від 11.07.2025 № 438.
12. Постанова Кабінету Міністрів України «Про внесення змін до постанов Кабінету Міністрів України від
18 червня 2025 р. № 712 і від 31 грудня 2025 р. № 1799» від 10.04.2026 № 493. https://zakon.rada. gov.ua
/laws/show/493-2026-%D0%BF#Text.
13. Постанова Кабінету Міністрів України «Про затвердження Порядку оцінювання стану кіберзахисту»
від 31.12.2025 № 1799. https://zakon.rada.gov.ua/laws/show/1799-2025-%D0%BF#Text.
14. Порядок підтвердження постачальниками відповідності впроваджених заходів безпеки інформації:
наказ Адміністрації Держспецзв’язку від 17.12.2025 № 836.
15. Вимоги з кіберзахисту об’єктів критичної інфраструктури: наказ уповноваженого органу від 07.10.2025
№ 403.
16. ISO/IEC 27001:2022. Information security, cybersecurity and privacy protection — Information security
management systems — Requirements. https://www.iso.org/standard/27001.
17. ISO/IEC 27002:2022. Information security, cybersecurity and privacy protection — Information security
controls. https://www.iso.org/standard/75652.html.
18. ISO/IEC 27005:2022. Information security, cybersecurity and privacy protection — Guidance on managing
information security risks. https://www.iso.org/standard/80585.html.
19. NIST. (2024). The NIST Cybersecurity Framework (CSF) 2.0. https://doi.org/10.6028/NIST.CSWP.29.
20. NIST. (2020). Security and Privacy Controls for Information Systems and Organizations (Special Publication
800-53 Rev. 5). https://doi.org/10.6028/NIST.SP.800-53r5.