Оператори зв’язку відіграють критичну роль у нацбезпеці, тому у Держспецзв’язку закликли їх підготуватися до нових вимог.
Ігор Стельник
Про це під час 16-го Українського форуму з управління Інтернетом IGF-UA директор Департаменту державного контролю у сфері захисту інформації та кіберзахисту Адміністрації Держспецзв’язку Ігор Стельник заявив, що оператори, які надають доступ до інтернету та телекомунікаційних послуг, відіграють надзвичайно важливу роль у забезпеченні національної та економічної безпеки.
«Тому зміна парадигми систем захисту стосується оператори зв’язку. А хто пам’ятає, звідки взялася КСЗІ (Комплексна система захисту інформації)? Чому вирішили перейти на іншу систему? Нагадаю, що КСЗІ була створена під одномашинні комплекси. Її потрібно було змінювати, оскільки світ рухається вперед і висуває нові вимоги до побудови сучасних рівнів захисту.
Підхід до КСЗІ було спотворено через велику кількість замовників у держорганах. КСЗІ почали сприймати як «документ для Держспецзв’язку, щоб не було проблем». Через це сумлінні компанії на ринку почали втрачати можливості — нечесна конкуренція робила їхню роботу невигідною. А через відтік кадрів Держспецзв’язок залишився сам-на-сам із недобросовісними виконавцями.
Зміна парадигми від КСЗІ до RMF (американського стандарту системи кібербезпеки) полягає в тому, що відповідальність за нову систему несе власник. Він має розробити вимоги, створити інфраструктуру, підготувати персонал, пройти навчання та вийти на відповідний рівень готовності", — наголосив Стельник.
За його словами, вже підготовлено проєкт постанови про оцінювання систем захисту інформації.
«Завдяки взаємодії з громадськістю ми прийшли до норми, яка унеможливлює негативний вплив держави або бізнесу на системи захисту інформації шляхом заниження або ігнорування вимог. Велику роль відіграватимуть оцінювачі, які будуть у відкритому реєстрі — із зазначенням кількості систем, які вони авторизували. Державні органи зможуть користуватися їхніми послугами. Якщо скасувати авторизацію, у держави та бізнесу має бути альтернатива — атестати відповідності для юридичної визначеності», — підкреслив він.
Відповідаючи на питання, чому в законі № 4336 про внесення змін до деяких законів України щодо захисту інформації та кіберзахисту державних інформаційних ресурсів, об’єктів критичної інформаційної інфраструктури, відсутній перехідний період та скільки кампаній мають провести зовнішній аудит, а також чи вистачить для цього фахівців, Ігор Стельник пояснив:
«У проєкті закону перехідний період був, разом із прописаними нормами. Але у фінальній редакції його не стало — і документ був підписаний Верховним Головнокомандувачем. Тому Держспецзв’язку відкоригував норми так, що перехід на нову систему відбудеться автоматично. Усі «шороховатості», які не врегульовані законом, будуть опрацьовані підзаконними актами, які створять екосистему захисту інформації.
Щодо фахівців та оцінювачів — так, у цивільних державних установах це велика проблема. Знайти спеціалістів, які розуміються на КСЗІ, цифровізації, побудові та налаштуванні систем, непросто. Таких людей дуже мало. Тому ми даємо можливість усунути недоліки та підготуватися. 2026 рік буде для держави та бізнесу тим механізмом, який дозволить вийти на новий рівень забезпечення. Ми рухаємося в цьому напрямку", — підсумував Ігор Стельник.
