bga68comp | Entries tagged with standard

•

Перестаньте ставитися до відповідності в ІТ як до звичайного пункту. Почніть сприймати це як конкурентну перевагу. Сильна позиція щодо дотримання вимог не лише задовольняє регулюючі органи; Це зміцнює довіру клієнтів, прискорює цикли продажів і зміцнює вашу стійкість до загроз.

Незалежно від того, чи це SOC 2, ISO 27001 або HIPAA, структурований процес аудиту має важливе значення для успіху. Новий посібник із 6 кроків показує, як перейти від реактивного дотримання вимог до проактивної безпеки. Дізнайтеся, як перетворити аудит із необхідної рутинної роботи на потужний інструмент для бізнесу.

🪟 На стартову сторінку

Безкоштовні американські тренінги по NIST SP 800-53

Online Introductory Courses Available for NIST SP 800-53, SP 800-53A, and SP 800-53B

Security and Privacy Controls Introductory Course

Вступний курс із засобів захисту та конфіденційності.
Курс, що базується на стандарті SP 800-53 «Security and Privacy Controls for Information Systems and Organizations/Засоби захисту та конфіденційності для інформаційних систем і організацій», знайомить із каталогом засобів захисту SP 800-53 та кожним сімейством засобів захисту.

Assessing Security and Privacy Controls Introductory Course

Вступний курс з оцінки засобів захисту та конфіденційності.
Курс, що базується на стандарті SP 800-53A «Assessing Security and Privacy Controls in Information Systems and Organizations/Оцінювання засобів захисту та конфіденційності в інформаційних системах і організаціях», охоплює методологію оцінки заходів захисту, визначених у стандарті SP 800-53. У матеріалі також пояснюється структура процедур оцінки (assessment procedures) та цілі оцінки (assessment objectives).

Control Baselines Introductory Course

Вступний курс «Базові рівні захисту».
Курс, що базується на стандарті SP 800-53B «Control Baselines for Information Systems and Organizations/Базові рівні захисту для інформаційних систем та організацій», надає огляд базових профілів засобів захисту та конфіденційності, а також рекомендації щодо їх адаптації (tailoring guidance).

Нові вступні онлайн-курси тривають від 45 до 60 хвилин і доступні безкоштовно, реєстрація не потрібна. Усі курси, включаючи вступний курс RMF, доступні за адресою
📎https://csrc.nist.gov/Projects/risk-management/rmf-courses
📎https://csrc.nist.gov/News/2024/online-intro-courses-for-nist-sp-800-53

🪟 На стартову сторінку

У галузі штучного інтелекту (ШІ) та інформаційної безпеки (ІБ) часто використовується термін framework. Перекладачі, які не користуються спеціалізованими словниками, іноді пропонують доволі дивні варіанти перекладу.

Вираз «рамковий документ» звучить надто сухо й канцелярсько — українською він викликає інші асоціації. Щоб уникнути калькування з англійської та підібрати природний, зрозумілий для вуха термін, який точно передає зміст, варто розглянути конкретні документи й відчути, як би ми пояснили їх колегам чи керівництву.

Як краще перекласти framework у сфері ШІ та ІБ

🔹 NIST AI Risk Management Framework (2023)

Дослівно: «Рамка управління ризиками ШІ».
Коректніше: «Методологія управління ризиками ШІ» або «Концептуальна основа управління ризиками ШІ».
Бо це не закон і не стандарт, а набір принципів, процесів і практик.

🔹 NIST GenAI Profile (2024)

Це профіль до NIST AI RMF.
Переклад: «Профіль застосування методології NIST для генеративного ШІ».
Ключове слово «профіль» залишаємо, бо воно технічно зрозуміле (приклад, «профіль безпеки»).

🔹 ISO/IEC 42001:2023 — AI Management System

Це не framework, а стандарт.
Переклад: «Стандарт системи управління ШІ».
Тут головне слово — «система управління» (як у 27001: СУІБ).

🔹 ISO/IEC 23894:2023 — AI Risk Management

Це guideline.
Переклад: «Настанови з управління ризиками ШІ».
Це підручник/методичка, а не сертифікаційний стандарт.

🔹 EU AI Act (2024)

Це закон, і переклад очевидний: «Акт ЄС про штучний інтелект» або «Регламент ЄС про ШІ».

Загальне правило

Якщо framework → краще казати «методологія» або «концептуальна основа», а не «рамка».
Якщо guideline → «настанова».
Якщо management system standard → «стандарт системи управління».
Якщо act → «закон» / «регламент».

🍁 Таким чином, українцю буде зрозуміло:

NIST AI RMF = Методологія управління ризиками ШІ
NIST GenAI Profile = Профіль методології для генеративного ШІ
ISO/IEC 42001 = Стандарт системи управління ШІ
ISO/IEC 23894 = Настанови з управління ризиками ШІ
EU AI Act = Регламент ЄС про ШІ

Малюнок © Mahmoud Hassan, CIA, CISA, CISM, CCSA,
Chief Internal Audit Officer

🪟 На стартову сторінку

У сфері інформаційної безпеки та кібербезпеки «методологія» і «стандарт» мають різну природу і структуру.

1️⃣ Методологія (framework, guidance, conceptual model)

Методологія = це опис підходу та процесів, які треба виконати, але без формальних вимог.
У сфері ІБ (наприклад, NIST Cybersecurity Framework, NIST AI RMF, ISO/IEC 31000) типовими є такі розділи:

Вступ / передмова
- Для чого створена методологія, коло застосування.
Терміни та визначення
- Щоб уникнути двозначностей (напр. «ризик», «загроза», «вразливість»).
Принципи / основи
- Ключові ідеї (наприклад, risk-based approach, continuous improvement, human oversight).
Модель / структура (core functions)
- Наприклад, у NIST CSF — Identify, Protect, Detect, Respond, Recover.
- У NIST AI RMF — Govern, Map, Measure, Manage.
Практичні орієнтири
- Рекомендації, best practices, приклади застосування.
Профілі / сценарії використання
- Як застосовувати методологію у конкретному секторі (фінанси, медицина, уряд).

→ Ключова риса: методологія каже «що робити» і «як мислити», але не каже «так мусиш робити й доведи це аудитору».

2️⃣ Стандарт (management system standard, certifiable standard)

Стандарт = це нормативний документ з вимогами, за яким можна пройти аудит/сертифікацію.
Приклади: ISO/IEC 27001:2022, ISO/IEC 42001:2023.

Типові розділи стандарту:

Сфера застосування (Scope)
- Чітко: до яких систем/організацій застосовується.
Нормативні посилання
- Які інші стандарти є обов’язковими складовими (наприклад, ISO/IEC 27000 для термінів).
Терміни та визначення
- Офіційний словник, без якого немає правильного застосування.
Контекст організації
- Вимога визначити зовнішні та внутрішні фактори, зацікавлені сторони, обсяг СУІБ / СУШІ ^😂.
Лідерство (Leadership)
- Ролі, відповідальність, політика безпеки, зобов’язання керівництва.
Планування (Planning)
- Аналіз ризиків та можливостей, постановка цілей у сфері ІБ.
Підтримка (Support)
- Ресурси, компетентність персоналу, обізнаність, комунікації, документація.
Операції (Operation)
- Як саме організація впроваджує заходи захисту, процеси управління ризиками.
Оцінка результативності (Performance evaluation)
- Моніторинг, вимірювання, внутрішній аудит, аналіз з боку керівництва.
Удосконалення (Improvement)
- Коригувальні дії, постійне поліпшення.

→ Ключова риса: стандарт каже «ти повинен робити X і мати докази Y», і це перевіряє аудитор.

☯ Головна різниця

Методологія = орієнтир, набір принципів, добровільний, для розуміння й практики.
Стандарт = обов’язкові вимоги, аудиторські критерії, сертифікація.

P.s. Вибачте, СУШІ — це система управління штучним інтелектом

🪟 На стартову сторінку

Різниця між чинною версією ISO 9001:2015 (Edition 5, 2015) та проектом DIS (Draft International Standard) Edition 6 / ISO 9001:2026, на основі оприлюднених матеріалів та аналітики провідних сертифікаційних органів.

Оскільки версія DIS 2026 ще не є остаточною, частина змін нижче — це попередні очікування, які можуть бути уточнені перед фінальним затвердженням.

§ Контекст і статус

DIS Edition 6 (2026) — це проєкт нової редакції ISO 9001, який зараз перебуває на стадії обговорення та голосування.
https://www.lrqa.com/en-us/latest-news/iso-9001-revision-update-draft-international-standard-dis-now-published/
Якщо його буде схвалено, він перейде до стадії FDIS (Final Draft International Standard), а далі стане офіційною версією ISO 9001:2026.
https://www.lrqa.com/en-us/latest-news/iso-9001-revision-update-draft-international-standard-dis-now-published/
Організації, сертифіковані за версією 2015, отримають перехідний період приблизно 3 роки для адаптації до нової версії.
https://www.9001simplified.com/learn/next-iso-9001-revision.php
Сертифікати ISO 9001:2015 залишатимуться чинними протягом цього перехідного періоду.
https://www.9001simplified.com/learn/next-iso-9001-revision.php

( Read more... )

🪟 На стартову сторінку

RFC (Request for Comments) — це серія відкритих технічних документів, які описують стандарти, протоколи та технології, що використовуються в Інтернеті й комп’ютерних мережах.

Основні моменти:

Хто створює: документи видаються організацією IETF (Internet Engineering Task Force) та іншими спільнотами.
Для чого: щоб узгодити правила роботи мереж, формати даних, протоколи (наприклад, HTTP, SMTP, DNS) або запропонувати нові ідеї.
Нумерація: кожен документ має унікальний номер, наприклад RFC 791 (описує IPv4), RFC 2616 (HTTP/1.1).
Статус: не всі RFC є стандартами — частина з них може бути інформативною, експериментальною чи навіть застарілою.

Приклади:

RFC 791 — Internet Protocol (IP, версія 4).
RFC 1035 — Domain Names – Implementation and Specification (DNS).
RFC 8446 — Transport Layer Security (TLS 1.3).

Тобто RFC — це своєрідна "бібліотека правил та інструкцій", за якими працює Інтернет.

Посилання на офіційні сторінки RFC:

RFC 791 – Internet Protocol (IPv4)
Див. на сайті RFC‑Editor: RFC 791 (rfc-editor.org)
RFC 8446 – The Transport Layer Security (TLS) Protocol Version 1.3
Документ на IETF Data Tracker: RFC 8446 (datatracker.ietf.org)
RFC 1035 – Domain Names – Implementation and Specification (DNS)
Документ на IETF Data Tracker: RFC 1035 (datatracker.ietf.org)

🪟 На стартову сторінку

На сайті CNIL у відкритому доступі дуже багато матеріалів

Publications → reports → Guidelines → Recommendations → Practical guides

https://www.cnil.fr/en/media

🪟 На стартову сторінку

Цікава новина прийшла від ISO

ISO Notifications for ISO Customer Service:

Notification

International Organization for Standardization

Dear Subscriber,

Here are the latest changes to the ISO items that you are following.

If you need more information we’d be happy to help! Please contact the ISO Member in your country or the ISO Customer Service team.

To manage your notification settings including the list of standards you are following, please log into your account on the Online Browsing Platform (OBP).

Please note that for purchased draft international standards (DIS), new versions related to DIS iterations are automatically updated in your account.

Thanks for your interest in ISO standards and ISO’s work.

New documents, versions or formats

Reference

Date

Title

Formats

ISO/IEC 2382:2015 ³

2025-07-15

Information technology — Vocabulary

Online (fr)

ISO/IEC 2382:2015 ³

2025-07-15

Information technology — Vocabulary

Online (en)

ISO/IEC DIS 27000 ³

2025-07-15

Information security, cybersecurity and privacy protection — Information security management systems — Overview

Online (en)

ISO/IEC DIS 27000 ³

2025-07-15

Information security, cybersecurity and privacy protection — Information security management systems — Overview

Online (fr)

1 - Delayed publication of language version

2 - Corrected version

3 - New format available

Ви спитаєте що ж тут цікавого?
А ось що: переходимо за посиланням до нової версії ISO 27001:2024 Draft International Standard

ISO/IEC DIS 27000 — Information security, cybersecurity and privacy protection — Information security management systems — Overview

Нічого не бентежить?

По-перше. Він змінив назву. Тепер це — Огляд СУІБ. Отакої...
По-друге. Він тепер коштуватиме 65 CHF — з чого це?
По-третє. Читаємо про нього на Online Browsing Platform (OBP) наступне:

This sixth edition cancels and replaces the fifth edition (ISO/IEC 27000:2018), which has been technically revised.
The main changes are as follows:

— the title has been modified;
— the structure of the document has been changed to stress its primary role, which is to provide an overview of, and relationships between documents related to ISMS (information security management systems) including ISO/IEC 27001;
— text presenting the concepts and principles of information security and information security management systems has been added;
— Clause 3 contains definitions for those terms used in presenting the concepts and principles ISO/IEC 27000;
— ISO/IEC 27000 is no longer a terminology document.

Так-так-таак...

Справді!

Перелік термінів і їх визначень суттєво скоротились і тепер актуальна база термінів буде тільки на OBP!

ISO and IEC maintain terminology databases for use in standardization at the following addresses:
— ISO Online browsing platform: available at https://www.iso.org/obp
— IEC Electropedia: available at https://www.electropedia.org

А це означає, що, накінець-то, не буде різночитання термінів. Вони будуть однакові у всіх стандартах. Не довші, не коротші, а — однакові!

Ну, і логічне питання:

— Ви бували коли-небудь на ~~Таїті~~ на OBP?

Спробуйте! Вам сподобається! І перевірте ось що. Зайдіть на OBP, виберіть радіокнопку (англ. radio button) Terms & Definitions і в пошуковому полі введіть, наприклад, термін asset:

Screenshot 2025-07-25 021439

Результат пошуку:

Screenshot 2025-07-25 032110

Ну, як?
Тобто тепер пошук терміна у безлічі стандартів буде займати півсекунди. Вибирайте те визначення терміну, яке вам більше підходить. Одразу ж тут і посилання на стандарт, в якому є цей термін. Навіть, на купу стандартів.
Користуємось!

🪟 На стартову сторінку

🔐 18 Критично важливих заходів захисту CIS
CIS Critical Security Controls (CIS Controls) — це приписуваний, пріоритетний і спрощений набір найкращих практик, який ви можете використовувати для зміцнення вашої кібербезпеки.

Остання версія, CIS Controls v8.1, включає оновлене узгодження з новими стандартами та галузевими фреймворками, переглянуті класи активів і описи заходів безпеки (Safeguards), а також нову функцію «Управління» (Governance) у сфері безпеки.

CIS Controls List

🔹 CIS Control 1: Інвентаризація та контроль активів підприємства
Активне управління (облік, відстеження, коригування) всіма активами підприємства (пристрої кінцевих користувачів, включаючи портативні й мобільні; мережеві пристрої; непроцесорні/IoT-пристрої; сервери), підключеними до інфраструктури фізично, віртуально, віддалено або у хмарі, для повного розуміння обсягу активів, які потрібно контролювати й захищати. Це також допомагає виявляти несанкціоновані або неуправлювані активи.

🔹 CIS Control 2: Інвентаризація та контроль програмних активів
Активне управління (облік, відстеження, коригування) всім програмним забезпеченням (ОС і застосунки) у мережі, щоб дозволити лише авторизоване ПЗ та запобігти встановленню чи виконанню несанкціонованого ПЗ.

🔹 CIS Control 3: Захист даних
Розробка процесів і технічних заходів для ідентифікації, класифікації, безпечного оброблення, зберігання та знищення даних.
( Read more... )
Джерело:
📎 https://www.cisecurity.org/controls/cis-controls-list

🪟 На стартову сторінку

Коментарі до основних родин заходів захисту NIST:

AC-: Access Control (управління доступом)
IA-: Identification and Authentication (ідентифікація і автентифікація)
SC-: System and Communications Protection (захист мереж і систем)
AU-: Audit and Accountability (журналювання і аудит)
SA-: System and Services Acquisition (розробка та закупівля)
SI-: System and Information Integrity (цілісність систем)
CM-: Configuration Management (конфігурація)
CP-: Contingency Planning (резервне копіювання)
IR-: Incident Response (реакція на інциденти)

🪟 На стартову сторінку

ISO/IEC 27000
Fifth edition
2018-02
Information technology — Security techniques — Information security management systems — Overview and vocabulary

Technologies de l'information — Techniques de sécurité — Systèmes de management de la sécurité de l'information — Vue d'ensemble et vocabulaire

Reference number
ISO/IEC 27000:2018(E)
© ISO/IEC 2018

3.28
information security
preservation of confidentiality (3.10), integrity (3.36) and availability (3.7) of information

Note 1 to entry: In addition, other properties, such as authenticity (3.6), accountability, non-repudiation (3.48), and reliability (3.55) can also be involved.

Section 3.28: Information Security

Definition: Information security is defined as the preservation of confidentiality, integrity, and availability of information.

Key Properties:

Confidentiality: This property ensures that information is not disclosed to unauthorized individuals, entities, or processes. It is essential for protecting sensitive data from unauthorized access.
Integrity: Integrity refers to the accuracy and completeness of information. It ensures that information is not altered or tampered with by unauthorized individuals, maintaining its reliability and trustworthiness.
Availability: This property ensures that information is accessible and usable on demand by authorized entities. It is crucial for ensuring that information systems and data are operational and can be accessed when needed.

Additional Considerations: The definition also mentions other properties that can be involved in the broader context of information security, such as:

Authenticity: Ensuring that an entity is what it claims to be.
Accountability: The ability to trace actions to the responsible entity.
Non-repudiation: Ensuring that a party cannot deny the authenticity of their signature on a document or the sending of a message.
Reliability: The assurance that information is consistently accurate and trustworthy.

These three core principles—confidentiality, integrity, and availability—are commonly referred to as the CIA triad and serve as a fundamental framework in the practice of information security management.

Джерело :

1 ISO 27000:2018

Переклад тексту українською:

Розділ 3.28: Інформаційна безпека

Визначення: Інформаційна безпека визначається як збереження конфіденційності, цілісності та доступності інформації.

Ключові властивості:

Конфіденційність: Ця властивість забезпечує, що інформація не розкривається несанкціонованим особам, суб'єктам або процесам. Вона є важливою для захисту чутливих даних від несанкціонованого доступу.
Цілісність: Цілісність стосується точності та повноти інформації. Вона забезпечує, що інформація не змінюється або не підробляється несанкціонованими особами, підтримуючи її надійність та достовірність.
Доступність: Ця властивість забезпечує, що інформація є доступною та придатною для використання за запитом уповноважених суб'єктів. Це важливо для забезпечення того, щоб інформаційні системи та дані були працездатними і могли бути доступні, коли це необхідно.

Додаткові міркування: У визначенні також згадуються інші властивості, які можуть бути залучені в ширшому контексті інформаційної безпеки, такі як:

Автентичність: Забезпечення того, що суб'єкт є тим, за кого себе видає.
Відповідальність: Можливість відстежувати дії до відповідального суб'єкта.
Невідмовність: Забезпечення того, що сторона не може заперечувати автентичність свого підпису на документі або відправлення повідомлення.
Надійність: Гарантія того, що інформація постійно є точною та надійною.

Три основні принципи — конфіденційність, цілісність та доступність — зазвичай називаються тріадою CIA і слугують фундаментальною основою в практиці управління інформаційною безпекою.

🪟 На стартову сторінку

У контексті інформаційної безпеки (ІБ) слово "framework" українською найчастіше перекладається як:

🔹 Фреймворк — транслітерований варіант, часто вживається у професійному ІТ-середовищі (наприклад, NIST Cybersecurity Framework — Фреймворк кібербезпеки NIST).
🔸 Рамкова модель або рамкова структура — офіційно вживаний переклад у нормативних документах (наприклад, рамкова структура управління ризиками).
🔹 Концептуальна модель — якщо йдеться про абстрактну, методологічну основу.
🔸 Методологія — коли фреймворк описує процеси та принципи роботи.
🔹 Система (управління/захисту/оцінки) — у вільному перекладі, щоб зробити текст доступнішим.

Приклади перекладу:

Англійський термін	Український переклад
NIST Cybersecurity Framework	Фреймворк кібербезпеки NIST
Risk Management Framework (RMF)	Рамкова модель управління ризиками
ISO/IEC 27001 Framework	Фреймворк ISO/IEC 27001
Cloud Security Framework	Хмарний фреймворк безпеки / Рамкова модель хмарної ІБ
Governance Framework	Фреймворк управління / Модель управління

🪟 На стартову сторінку

Кодекс практики з кіберуправління (Cyber Governance Code of Practice) — це новий документ, опублікований урядом Великої Британії 8 квітня 2025 року. Він надає керівництву компаній та директорам рекомендації щодо ефективного управління кіберризиками та захисту своїх організацій від кібератак.

image_2025-04-10_02-43-53

Кодекс кіберуправління — коротко

A: Управління ризиками

Дія 1	Отримайте впевненість, що технології, процеси, інформація та сервіси, критично важливі для досягнення цілей організації, ідентифіковані, пріоритетизовані та погоджені.
Дія 2	Узгодьте відповідального за кіберризики на рівні керівництва та впевніться, що вони інтегровані в загальне управління ризиками та внутрішній контроль.
Дія 3	Визначте та чітко донесіть рівень прийнятного кіберризику, а також переконайтесь, що існує план дій для дотримання цих меж.
Дія 4	Отримайте впевненість, що інформація про постачальників регулярно оцінюється відповідно до рівня ризику, і що організація стійка до ризиків у ланцюгу постачання.
Дія 5	Переконайтесь, що оцінки ризиків проводяться регулярно та враховують зміни в технологіях, регуляторних вимогах та загрозах.

B: Стратегія

Дія 1	Переконайтесь, що в організації розроблено кіберстратегію, яка узгоджена з загальною стратегією компанії.
Дія 2	Переконайтесь, що кіберстратегія відповідає визначеному рівню прийнятного ризику, регуляторним вимогам і змінам у середовищі (див. A3, A5).
Дія 3	Переконайтесь, що ресурси розподілені ефективно для управління кіберризиками.
Дія 4	Переконайтесь, що кіберстратегія впроваджується ефективно і досягає очікуваних результатів.

C: Люди

Дія 1	Сприяйте формуванню культури кібербезпеки з позитивними поведінковими моделями та відповідальністю — на всіх рівнях.
Дія 2	Переконайтесь, що існують чіткі політики, які підтримують цю культуру.
Дія 3	Пройдіть навчання для підвищення власної обізнаності та візьміть відповідальність за безпеку своїх цифрових активів.
Дія 4	Перевірте наявність ефективної програми навчання та обізнаності, заснованої на відповідних метриках.

D: Планування інцидентів, реагування і відновлення

Дія 1	Переконайтесь, що організація має план реагування та відновлення у разі кіберінциденту, що зачіпає критичні сервіси.
Дія 2	Щонайменше раз на рік проводьте тестування цього плану з залученням ключових внутрішніх і зовнішніх сторін.
Дія 3	У разі інциденту — виконуйте власні обов’язки щодо звітності та беріть участь у прийнятті рішень.
Дія 4	Переконайтесь, що існує процес аналізу інцидентів із врахуванням уроків для подальших оцінок ризиків та оновлення планів.

E: Контроль і нагляд

Дія 1	Створіть структуру кіберуправління, інтегровану у загальну структуру управління компанії, з чітким розподілом ролей та відповідальності.
Дія 2	Встановіть формальну звітність (не рідше ніж щоквартально), чіткі метрики та допустимі межі ризику.
Дія 3	Підтримуйте постійний двосторонній діалог із ключовими керівниками, включно з CISO (або аналогічною особою).
Дія 4	Переконайтесь, що кібербезпека інтегрована з внутрішнім/зовнішнім аудитом та системами контролю.
Дія 5	Забезпечте обізнаність керівників щодо нормативних вимог та кращих практик.

Де його завантажити?
Безкоштовно, офіційно:
gov.uk/cyber-governance

🔞 На стартову сторінку

"A Survey of Security Tools for the Industrial Control System Environment" — це звіт, підготовлений Національною лабораторією Айдахо (INL), який детально описує результати опитування щодо існуючих інструментів, які можуть бути використані для запобігання, виявлення, пом'якшення або розслідування кібератак у середовищі промислових систем управління (ICS). У звіті зібрано перелік потенційно застосовних інструментів та показано їх охоплення в архітектурі ICS.

Промислові системи управління включають такі конфігурації, як системи SCADA, розподілені системи управління (DCS) та інші, які часто використовуються в промислових секторах та критично важливій інфраструктурі, таких як електростанції, водоочисні споруди, виробництво та системи розподілу. З розвитком технологій та інтеграцією ICS з інформаційними технологіями (ІТ), такими як хмарні обчислення, ці системи стали більш вразливими до кібератак. Звіт INL допомагає зрозуміти, які інструменти доступні для забезпечення безпеки ICS та як вони можуть бути інтегровані в існуючі архітектури для підвищення захисту від потенційних загроз.

Джерело:

A Survey of Security Tools for the Industrial Control System Environment

ACRONYMS

BOM	bill of materials
CERT	computer emergency response team
CVE	common vulnerabilities and exposures
GPL	general public license
GUI	graphical user interface
HIDS	host-based intrusion detection system
HMI	human machine interface
ICS	industrial control system
IDS	intrusion detection system
IED	intelligent electronic device
INL I/O IOC	Idaho National Laboratoryinput/outputindicator of compromise
IP	internet protocol
IPS	intrusion prevention system
IT	information technology
LAN	local area network
LR	log review
NIDS	network-based intrusion detection system
NSM	network security monitoring
NTAD	network traffic anomaly detection
OA	outlier analysis
OT	operational technology
OS	operating system
OSI	open system interconnection
PLC	programmable logic controller
RE	reverse engineering
RTU	remote terminal unit
SAR	system artifact review
SCADA	supervisory control and data acquisition
SIEM	security information and event management
SME	subject matter expert

Акроніми

BOM – специфікація матеріалів (bill of materials)
CERT – команда реагування на комп’ютерні надзвичайні ситуації (computer emergency response team)
CVE – загальні вразливості та експлойти (common vulnerabilities and exposures)
GPL – загальна публічна ліцензія (general public license)
GUI – графічний інтерфейс користувача (graphical user interface)
HIDS – система виявлення вторгнень на рівні хоста (host-based intrusion detection system)
HMI – людино-машинний інтерфейс (human machine interface)
ICS – система управління виробництвом (industrial control system)
IDS – система виявлення вторгнень (intrusion detection system)
IED – інтелектуальний електронний пристрій (intelligent electronic device)
INL I/O IOC – Національна лабораторія Айдахо / вхід-вихід / індикатор компрометації (Idaho National Laboratory input/output indicator of compromise)
IP – інтернет-протокол (internet protocol)
IPS – система запобігання вторгненням (intrusion prevention system)
IT – інформаційні технології (information technology)
LAN – локальна обчислювальна мережа (local area network)
LR – перегляд журналів (log review)
NIDS – мережева система виявлення вторгнень (network-based intrusion detection system)
NSM – моніторинг безпеки мережі (network security monitoring)
NTAD – виявлення аномального мережевого трафіку (network traffic anomaly detection)
OA – аналіз аномальних даних (outlier analysis)
OT – операційні технології (operational technology)
OS – операційна система (operating system)
OSI – модель взаємозв’язку відкритих систем (open system interconnection)
PLC – програмований логічний контролер (programmable logic controller)
RE – зворотна інженерія (reverse engineering)
RTU – віддалений термінальний пристрій (remote terminal unit)
SAR – аналіз артефактів системи (system artifact review)
SCADA – система диспетчерського управління і збору даних (supervisory control and data acquisition)
SIEM – управління інформацією та подіями безпеки (security information and event management)
SME – експерт з конкретної галузі (subject matter expert)

Архітектура системи управління виробництвом (Industrial Control System, ICS)

Системи управління виробництвом (ICS) використовуються для керування промисловими процесами в таких галузях, як енергетика, транспорт, водопостачання, нафтогазова промисловість та інші. Вони забезпечують контроль та моніторинг виробничих систем, що критично важливі для безперебійної роботи інфраструктури.

Основні компоненти ICS

ICS складається з декількох ключових елементів:

Контролери промислової автоматики (PLC, DCS, RTU) – програмовані логічні контролери (PLC), розподілені системи управління (DCS) та віддалені термінальні пристрої (RTU) виконують основні функції збору даних і управління.
Людино-машинний інтерфейс (HMI) – надає операторам зручний спосіб взаємодії з системою.
SCADA-системи (Supervisory Control and Data Acquisition) – системи централізованого моніторингу та управління.
Промислові мережі – спеціалізовані протоколи для обміну даними, такі як Modbus, DNP3, Ethernet/IP, PROFINET.
Сервери управління та бази даних – використовуються для збереження та аналізу інформації.
Пристрої кінцевого рівня (датчики, виконавчі механізми) – безпосередньо взаємодіють із фізичними процесами.

Основні рівні архітектури ICS

Рівень фізичних пристроїв – включає датчики, реле, електродвигуни, клапани тощо.
Рівень контролерів (PLC, RTU) – забезпечує збір і обробку даних від датчиків, передає команди на пристрої.
Рівень SCADA та DCS – здійснює контроль за всією системою.
Рівень управління підприємством (MES, ERP) – системи управління виробництвом та бізнес-процесами.
Рівень корпоративних ІТ-систем – взаємодія ICS із загальною інформаційною інфраструктурою компанії.

Виклики безпеки ICS

ICS піддаються численним кіберзагрозам, зокрема:

Використання застарілого обладнання та програмного забезпечення.
Відсутність механізмів автентифікації та шифрування в промислових мережах.
Вплив шкідливих програм (наприклад, Stuxnet).
Фізичний доступ до критичних елементів системи.

Способи підвищення безпеки ICS

Сегментація мережі (розділення IT- та OT-систем).
Впровадження контролю доступу.
Використання механізмів аномального моніторингу.
Регулярні оновлення та патчі для ПЗ.

Джерело:

Cisco Hybrid Cloud Industrial DMZ White Paper :

Промислова демілітаризована зона (iDMZ) є критично важливим рівнем у комплексній стратегії наскрізної безпеки для середовища промислових операцій.

Незважаючи на те, що модель описує шість функціональних рівнів, вона розділяє операції промислового забезпечення на три основні області:

1. Корпоративна зона описує завод або середовища, керовані IT, включаючи корпоративні центри обробки даних, локальну мережу, глобальну мережу та хостинг бізнес-додатків.

2. Промислова демілітаризована зона (IDMZ) є буфером між критичними середовищами або системами виробничих цехів і мережею підприємства. Всі спільні послуги між промисловою зоною і зоною підприємства будуть розташовані на ІДМЗ.

3. Зона промислової безпеки є домом для критично важливих операційних систем, включаючи зону стільникового/зонального зв'язку, де зв'язок відбувається часто та з низькою затримкою або в режимі реального часу. Оскільки цей документ в основному стосується IDMZ, ми пропустимо детальне покриття зони cell/area.

🪟 На стартову сторінку

Разом ці дві моделі надають повний огляд кіберзагроз і допомагають організаціям не тільки розуміти дії атакуючих, але й розробляти ефективні контрзаходи.

MITRE ATT&CK та MITRE D3FEND — це два різні, але взаємопов'язані фреймворки, створені для аналізу кіберзагроз і захисту від них. Вони мають різні цілі, і їхні ключові відмінності можна описати так:

1. MITRE ATT&CK

Мета: Описує дії зловмисників. ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) — це таксономія тактик і технік, які використовують атакуючі на різних етапах кібератак.
Зміст: ATT&CK містить тактики (наприклад, початок атаки, підтримання доступу, ексфільтрація даних) та техніки (конкретні методи, такі як фішинг або використання шкідливого ПЗ), що допомагають досягати цих тактик.
Структура: ATT&CK представлений у вигляді матриці, де стовпці — це тактики, а рядки — техніки атак.
Застосування: ATT&CK використовується для моделювання атак і аналізу вже здійснених атак, щоб зрозуміти, які тактики і техніки були використані. Це допомагає організаціям передбачити наступні кроки атакуючих і посилити захисні заходи.

2. MITRE D3FEND

Мета: Описує захисні контрзаходи. D3FEND — це фреймворк, який зосереджений на методах захисту від атак, що протистоять технікам, описаним у ATT&CK.
Зміст: D3FEND класифікує методи захисту (наприклад, моніторинг мережі, аналіз поведінки, контроль доступу) і прив'язує їх до конкретних технік атак із ATT&CK.
Структура: D3FEND також має структуру таксономії захисних дій, згрупованих за категоріями (виявлення, запобігання, блокування) і пов'язаних з конкретними техніками атак.
Застосування: D3FEND використовується для розробки і аналізу захисних заходів в організації, допомагаючи визначити, які техніки можуть допомогти запобігти або пом'якшити дії зловмисників, описані в ATT&CK.

Основні відмінності

Фокус: ATT&CK описує дії атакуючих, тоді як D3FEND зосереджується на захисних заходах.
Структура: ATT&CK — це матриця технік атак, а D3FEND — карта захисних дій.
Застосування: ATT&CK корисний для моделювання і аналізу загроз, а D3FEND — для розробки тактик захисту і їх зіставлення з техніками атак.

Примітка

D3FEND — це ініціатива, розроблена Агентством національної безпеки США (NSA) у співпраці з MITRE для покращення захисту кіберпростору. Назва є комбінацією слова "defend" (захищати) та цифри "3", яка символізує фокус на тристоронню взаємодію між технологіями, методами захисту та архітектурними рішеннями в кібербезпеці.

D3FEND слугує таксономією та базою знань для методів захисту від кібератак. Вона підтримує MITRE ATT&CK, надаючи оборонні методи, які відповідають конкретним технікам атак.

D3FEND зазвичай вимовляється як "дефенд" (англійське слово defend, що означає "захищати"). Цифра "3" використовується для стилізації назви, але на вимову вона не впливає.

На стартову сторінку

Якщо розглядати Політику антивірусного захисту з урахуванням COBIT, то маємо на увазі наступне:

COBIT (Control Objectives for Information and Related Technology) — це фреймворк управління ІТ, розроблений для забезпечення зв’язку між ІТ-цілями та бізнес-цілями. COBIT охоплює безліч аспектів ІТ-управління, включаючи управління ризиками, безпеку, контроль і відповідність вимогам.
Антивірусний захист у контексті COBIT може розглядатися в рамках доменів, пов’язаних з управлінням ризиками та забезпеченням інформаційної безпеки. Ось ключові розділи та процеси COBIT, які стосуються антивірусного захисту:

APO12 - Управління ризиками (Risk Management)
- У цьому процесі COBIT описується необхідність ідентифікації, оцінки та управління ІТ-ризиками, що включає загрози безпеки, такі як віруси та шкідливе ПЗ. Антивірусний захист розглядається як одна з заходів для зменшення ризиків.
DSS05 - Управління безпекою (Manage Security Services)
- Цей процес включає забезпечення інформаційної безпеки шляхом реалізації та підтримання заходів захисту, таких як антивірусні рішення, брандмауери та інші механізми захисту.
DSS01 - Управління операційними ІТ-послугами (Manage Operations)
- Операційні процеси управління ІТ можуть включати моніторинг і управління антивірусним захистом як частину загальних ІТ-послуг.
BAI09 - Управління конфігурацією (Manage Configuration)
- Антивірусні програми повинні бути правильно сконфігуровані та оновлені, що також стосується управління конфігурацією ІТ-інфраструктури.

Ці розділи COBIT допомагають організаціям розробляти, впроваджувати та підтримувати ефективні заходи антивірусного захисту, а також управляти відповідними ризиками, пов’язаними з шкідливим програмним забезпеченням.

💻 На головну сторінку

Які накази і рішення НБУ стосуються дотримання вимог в контексті захисту платіжних систем та фінансових даних?

Національний банк України (НБУ) видав ряд нормативних актів, які регулюють питання захисту платіжних систем і фінансових даних. Ці акти встановлюють вимоги до інформаційної безпеки, включаючи дотримання міжнародних стандартів, таких як PCI DSS. Нижче наведено основні накази і рішення НБУ, що стосуються цього питання:

1. Постанова НБУ №95 "Про затвердження Положення про здійснення захисту інформації та кібербезпеки в банківській системі України"

Дата прийняття: 28 вересня 2022 року
Опис: Ця постанова встановлює вимоги до забезпечення інформаційної безпеки та кібербезпеки в банківській системі України. Вона регулює порядок захисту інформації, яка обробляється в банках і фінансових установах, включаючи захист платіжних даних. Постанова зобов'язує банки впроваджувати системи управління інформаційною безпекою, відповідати міжнародним стандартам (включаючи PCI DSS), а також забезпечувати кіберзахист своїх інформаційних систем.

2. Постанова НБУ №75 "Про затвердження Положення про захист інформації та кібербезпеки в платіжних системах"

Дата прийняття: 21 червня 2019 року
Опис: Ця постанова регламентує вимоги до захисту інформації в платіжних системах, а також визначає правила захисту фінансових даних, які обробляються в цих системах. Положення зобов’язує операторів платіжних систем, платіжних інфраструктурних сервісів, а також їхніх учасників дотримуватися вимог до безпеки даних, включаючи стандарти PCI DSS.

3. Постанова НБУ №56 "Про організацію захисту інформації в банках України"

Дата прийняття: 14 липня 2006 року (з подальшими змінами)
Опис: Постанова регулює загальні питання організації захисту інформації в банках України. Вона включає вимоги до створення систем захисту інформації, управління ризиками, моніторингу та аудиту безпеки, а також захисту фінансових даних, що обробляються банками.

4. Постанова НБУ №391 "Про затвердження Положення про здійснення нагляду (оверсайта) за платіжними системами"

Дата прийняття: 30 жовтня 2018 року
Опис: Цей документ регламентує порядок нагляду за платіжними системами та їхніми учасниками з боку НБУ. Постанова встановлює вимоги до дотримання стандартів безпеки, зокрема щодо захисту інформації та забезпечення кібербезпеки в платіжних системах.

5. Рішення НБУ щодо підвищення стандартів кібербезпеки в банківській системі України

Опис: НБУ регулярно приймає рішення, спрямовані на підвищення рівня кібербезпеки в банківському секторі. В рамках цих рішень банки зобов'язані впроваджувати новітні технології захисту інформації, посилювати контроль за доступом до платіжних систем, а також регулярно проводити аудит безпеки.

6. Листи та роз'яснення НБУ щодо дотримання стандартів інформаційної безпеки

Опис: НБУ періодично надсилає листи та роз'яснення щодо необхідності дотримання стандартів інформаційної безпеки, включаючи PCI DSS. Ці документи можуть містити рекомендації щодо кращих практик у сфері захисту платіжних даних та кібербезпеки.

Ці нормативні акти та рішення регламентують захист платіжних систем і фінансових даних, забезпечуючи безпеку та надійність банківської системи України. Банки та фінансові установи зобов'язані дотримуватися цих вимог і забезпечувати відповідність міжнародним стандартам, включаючи PCI DSS.

Також дивись:
→ Про PCI DSS 4.0

Які накази і рішення НБУ стосуються дотримання вимог в контексті захисту платіжних систем та фінансових даних?

НБУ видає низку нормативно-правових актів, які регулюють питання захисту платіжних систем та фінансових даних. Основні документи, що стосуються дотримання вимог інформаційної безпеки в контексті захисту платіжних систем, включають:

1. Постанова Правління НБУ № 243 від 4 липня 2007 року (зі змінами та доповненнями)

Назва: "Про затвердження Правил захисту інформації та кіберзахисту в платіжних системах України".
Опис: Ця постанова встановлює вимоги до захисту інформації в платіжних системах, зокрема до забезпечення конфіденційності, цілісності та доступності даних, що обробляються в рамках платіжних операцій.

2. Постанова Правління НБУ № 351 від 28 вересня 2021 року

Назва: "Про затвердження Положення про порядок організації захисту інформації та кіберзахисту в банківській системі України".
Опис: Ця постанова регулює питання організації інформаційної безпеки та кіберзахисту в банках України, включаючи вимоги до систем захисту платіжних даних, управління ризиками та дотримання міжнародних стандартів, таких як PCI DSS.

3. Постанова Правління НБУ № 95 від 3 грудня 2018 року

Назва: "Про затвердження Положення про захист інформації в платіжних системах і розрахункових операціях".
Опис: Ця постанова встановлює вимоги до захисту інформації в платіжних системах, включаючи вимоги щодо безпеки обробки, зберігання та передачі платіжних даних.

4. Постанова Правління НБУ № 518 від 28 вересня 2020 року

Назва: "Про затвердження Положення про організацію заходів з кіберзахисту в банківській системі України".
Опис: Документ регламентує заходи, які банки повинні впроваджувати для захисту від кіберзагроз, включаючи захист платіжних систем, моніторинг кіберінцидентів та управління ризиками інформаційної безпеки.

5. Рішення НБУ про захист даних під час дистанційного банківського обслуговування

Назва: "Про затвердження Положення про порядок надання банківських послуг із використанням інформаційно-телекомунікаційних систем".
Опис: Встановлює вимоги до захисту даних під час надання банківських послуг через дистанційні канали, включаючи інтернет-банкінг і мобільні додатки, що важливо для захисту даних клієнтів та платіжних систем.

6. Методичні рекомендації НБУ

Назва: "Методичні рекомендації щодо забезпечення захисту інформації в банківських установах України".
Опис: Ці рекомендації надають банкам керівництво щодо впровадження заходів інформаційної безпеки та дотримання вимог міжнародних стандартів, таких як PCI DSS.

Ці документи є ключовими нормативно-правовими актами, що регулюють захист платіжних систем та фінансових даних в Україні, забезпечуючи дотримання банками та іншими фінансовими установами вимог до інформаційної безпеки.

Також дивись:
→ Про PCI DSS 4.0

Profile

bga68comp

December 2025

S	M	T	W	T	F	S
	1	2	3	4	5	6
7	8	9	10	11	12	13
14	15	16	17	18	19	20
21	22	23	24	25	26	27
28	29	30	31

Syndicate

Page Summary

6-step IT Compliance Audit checklist
FYI: безкоштовні тренінги по NIST SP 800-53
Як краще перекласти framework у сфері ШІ та ІБ
«методологія» і «стандарт»
ISO 9001:2015 (Edition 5) та проект ISO DIS 9001:2026 (Edition 6)
RFC (Request for Comments)
Рекомендації та посібники з GDPR
Новий ISO DIS 27000:2024
18 критичних засобів захисту від CIS
Коментарі до основних родин заходів захисту NIST
Тріада інформаційної безпеки
Термін framework
Кодекс практики з кіберуправління
A Survey of Security Tools for the ICSE
MITRE ATT&CK та MITRE D3FEND У чому різниця?
COBIT про антивірусний захист
НБУ про дотримання вимог для фін.установ. Варіант 2
НБУ про дотримання вимог для фін.установ

Style Credit

Style: Neutral Good for Practicality by timeasmymeasure

Expand Cut Tags

No cut tags

Page generated 2026-01-03 17:16