1. Об'єкти кібербезпеки

1. Інформаційні ресурси

  • Категорії інформаційних ресурсів
    • Персональні дані - інформація про фізичну особу, яка дозволяє її ідентифікувати або встановити певні факти про неї. До особливих категорій належать медичні, біометричні й фінансові дані, доступ до яких має бути суворо обмеженим і контролюватися відповідно до законодавства про захист персональних даних України.
    • Комерційна таємниця - відомості про виробничі, фінансові, технологічні чи організаційні аспекти бізнесу, що становлять конкурентну цінність і не є загальнодоступними. Сюди входять банківська таємниця, професійні секрети і технологічні розробки, класифікація й обсяг яких визначаються внутрішніми політиками та нормативними актами України.
    • Державна інформація - дані й документи з обмеженим доступом, пов’язані із забезпеченням безпеки держави: військова таємниця, службова інформація, інформація планів оборони. Рівні захисту й порядок обробки таких даних регламентуються законодавством про державну таємницю та основні засади кібербезпеки України.
  • Бази даних і сховища
    • Реляційні бази даних - традиційні СУБД (MySQL, PostgreSQL, Oracle) із схемою таблиць і суворим контролем цілісності даних.
    • NoSQL-сховища - документоорієнтовані (MongoDB), колоночні (Cassandra) та графові бази, що працюють без жорсткої схеми, але потребують особливих методів аутентифікації та шифрування.
    • Об’єктні й файлові сховища - AWS S3, Azure Blob, мережеві файлові системи (NAS, SAN), де інформацію можна зберігати у вигляді файлів або об’єктів із власними політиками доступу.
    • Сховища даних і архіви - data warehouses (Hadoop HDFS, Snowflake), електронні архіви документів і системи управління контентом (DMS), які забезпечують тривале зберігання та швидкий пошук.

    • Резервні копії та репозиторії - off-site реплікації, снапшоти, системи контрольованого зберігання вихідного коду (Git) і журналів подій.

  • Вимоги безпеки
    • Триада CIA: конфіденційність, цілісність, доступність.
    • Нормативно-правова база: закон України “Про основні засади забезпечення кібербезпеки України” визначає інформаційні ресурси як ключові об’єкти захисту та встановлює вимоги до їх охорони й обробки, закон “Про захист персональних даних” регламентує порядок збору, зберігання й використання персональних даних.
    • Технічні та організаційні заходи: шифрування даних «у спокої» й «в русі» (AES, TLS), системи контролю доступу (RBAC, ABAC), аудиторські журнали й моніторинг активності (SIEM, DAM), засоби захисту від витоку даних (DLP), виявлення аномалій користувачів (UEBA), політики класифікації та маркування інформації, інструкції з обробки, навчання персоналу.

2. Технічні та програмні засоби

  • Класифікація апаратних ресурсів
    • Персональні комп’ютери та робочі станції
    • Серверні платформи: фізичні, віртуалізовані, хмарні інстанси
    • Мережеве обладнання: маршрутизатори, комутатори, точки доступу, міжмережеві екрани
    • Пристрої зберігання й архівування: NAS, SAN, розподілені файлові системи
    • Спеціалізовані вбудовані системи: контролери IoT, ПЛК, промислові контролери
  • Класифікація програмних ресурсів та сервісів
    • Операційні системи: серверні (Linux, Windows Server), клієнтські (Windows, macOS, дистрибутиви Linux)
    • Системні утиліти безпеки: антивірусні модулі, міжмережеві екрани на рівні ОС, менеджери патчів
    • Служби моніторингу й збору логів: SIEM, EDR, UBA/UEBA платформи
    • Прикладні додатки та сервіси: ERP/CRM-системи, бази даних, веб-додатки та API
    • Хмарні сервіси: PaaS, SaaS, IaaS-провайдери й сервіси автентифікації/авторизації
  • Ключові аспекти захисту технічних і програмних засобів
    • Конфіденційність, цілісність, доступність даних та функцій (триада CIA)
    • Аутентифікація та авторизація користувачів і пристроїв
    • Оновлення й управління вразливостями: централізоване розгортання патчів
    • Шифрування даних у спокої й під час передавання
    • Журнали подій і моніторинг аномалій (SIEM, EDR, IDS/IPS)
  • Основні ризики та загрози
    • Несанкціонований доступ через вразливості ОС і мережевого стека
    • Атаки на сервіси та додатки (SQL-ін’єкції, XSS, SSRF)
    • Шкідливе ПЗ: віруси, рансомваре, нульові дні
    • Внутрішні загрози: зловживання правами доступу, інсайдерські утрати даних
    • Фізичний доступ та саботаж апаратури
  • Технічні та організаційні заходи захисту
    • Сегментація мережі та мікросегментація сервісів
    • Впровадження концепції Zero Trust
    • Регулярний аудит та тестування безпеки (Pentest, Red Teaming)
    • Захист прошивки та базових систем завантаження (Secure Boot, TPM)
    • Політики жорсткого управління конфігураціями й контроль змін

3. Мережеві ресурси

  • Категорії мережевих ресурсів
    • Комунікаційні канали
      • Інтернет: глобальна публічна мережа з розподіленим управлінням
      • WAN (міжмережеві канали): MPLS, SD-WAN, VPN-тунелі
      • LAN (локальні мережі): офісні й цехові сегменти, ізольовані VLAN
      • Бездротові мережі: Wi-Fi (IEEE 802.11 a/b/g/n/ac/ax), Bluetooth,IoT-протоколи
    • Мережеве обладнання
      • Маршрутизатори й маршрутизуючі платформи (Edge, Core, Cloud)
      • Комутатори рівнів 2–3 із підтримкою VLAN, QoS та IPv6
      • Точки доступу Wi-Fi із можливістю створення кількох SSID
      • Брандмауери й UTM-пристрої (апаратні/віртуальні)
      • Системи балансування навантаження, мережеві контролери, HSM/TPM
    • Ключові протоколи та служби
      • Транспортні: TCP, UDP; захищені версії TCP over TLS/DTLS
      • Інфраструктурні: DNS, DHCP, NTP
      • VPN-технології: IPsec, SSL/TLS-VPN, WireGuard
      • BGP/OSPF для маршрутизації між автономними системами
      • SNMP, NetFlow/IPFIX, sFlow для моніторингу й телеметрії
  • Загрози та вразливості
    • DDoS/DoS-атаки на канали та сервіси
    • ARP-спуфінг, DNS-спуфінг, MITM-атаки
    • Використання незашифрованих протоколів (HTTP, Telnet, SNMP v1/v2)
    • Підміна або компрометація прошивки маршрутизаторів/точок доступу
    • Вразливості у Wi-Fi (WEP, WPA застарілі), brute-force PSK, Rogue-точки
  • Заходи технічного захисту
    • Мережеві екрани та UTM: фільтрація пакетів, веб-проксі, DLP
    • IDS/IPS і NDR: аналіз сигнатур, поведінки й аномалій трафіку
    • VPN і шифрування каналів: IPsec, SSL/TLS, WireGuard
    • VLAN, VRF, SD-LAN: логічна сегментація й ізоляція даних
    • NAC (Network Access Control): автентифікація й профайлінг пристроїв
    • Безпека Wi-Fi: WPA3, багатофакторна автентифікація, MAC-фільтрація, окремі SSID для гостьового доступу
    • Мережевий моніторинг і логування: SIEM, syslog, NetFlow, SNMP
  • Організаційні та процесні заходи
    • Регулярне тестування й аудит
    • Управління змінами й конфігураціями
    • Політики: обмежений доступ, оновлення прошивки, кваліфікація пристроїв
    • Навчання й інструктаж персоналу: виявлення фішингових атак, безпечна робота з Wi-Fi

4. Критична інформаційна інфраструктура

Критична інформаційна інфраструктура — це сукупність інформаційних систем, мереж і ресурсів, порушення функціонування яких може спричинити значні наслідки для національної безпеки, економіки, здоров’я громадян або стабільності суспільства.

  • Енергетика
    • Системи управління електромережами (SCADA, EMS)
    • Автоматизовані платформи генерації, розподілу та обліку енергії
    • Інфраструктура атомних, теплових, гідроелектростанцій
    • Розумні лічильники, IoT-пристрої в енергомережах
  • Транспорт
    • Автоматизовані системи управління рухом (авіа, залізниця, метро)
    • Навігаційні платформи, GPS, ADS-B, AIS
    • Інфраструктура логістики, митниці, портів
    • Інформаційні системи квиткування, диспетчеризації
  • Фінанси
    • Банківські системи, платіжні шлюзи, SWIFT
    • Системи електронного документообігу, бухгалтерії
    • Інфраструктура фондових бірж, страхових компаній
    • Криптографічні модулі, сервіси цифрового підпису
  • Медицина
    • Електронні медичні картки, реєстри пацієнтів
    • Системи управління лікарнями, лабораторіями
    • Телекомунікаційні сервіси телемедицини
    • Інфраструктура екстреної допомоги (103, медичні хаби)
  • Телекомунікації
    • Мережі мобільного та фіксованого зв’язку
    • Центри обробки даних, хмарні платформи
    • DNS, CDN, маршрутизатори магістрального рівня
    • Системи управління трафіком, моніторинг QoS
  • Загрози для КІІ
    • Кібератаки на SCADA/ICS-системи (наприклад, Stuxnet, BlackEnergy)
    • DDoS-атаки на телеком-інфраструктуру або фінансові сервіси
    • Впровадження шкідливого ПЗ через постачальницький ланцюг (supply chain attacks)
    • Витік або підміна критичних даних (медичних, фінансових)
    • Компрометація криптографічних ключів, цифрових сертифікатів
    • Атаки на фізичні компоненти (електростанції, дата-центри)
  • Засоби захисту
    • Технічні
      • Сегментація мереж (air gap, VLAN, DMZ)
      • Захист SCADA/ICS через спеціалізовані шлюзи
      • SIEM, IDS/IPS, NDR для моніторингу подій
      • Шифрування, багатофакторна автентифікація, контроль доступу
      • Резервне копіювання, disaster recovery, BCP
    • Організаційні
      • Класифікація об’єктів КІІ (згідно з постановою КМУ №563)
      • Аудит безпеки, тестування на проникнення
      • Підготовка персоналу, навчання реагуванню на інциденти
      • Впровадження стандартів ISO/IEC 27001, NIST, IEC 62443
      • Співпраця з CERT-UA, НКЦК, СБУ

5. Користувачі та персонал

Люди — це не лише користувачі цифрових систем, а й ключові суб’єкти та об’єкти кібербезпеки, які можуть як забезпечувати захист, так і несвідомо створювати загрози. Їхня поведінка, рівень обізнаності, доступ до ресурсів і мотивація мають критичне значення для стійкості інформаційної системи.

  • Категорії користувачів
    • Працівники організацій 
      • Адміністратори, ІТ-фахівці, аналітики, менеджери
      • Мають різні рівні доступу до систем, баз даних, внутрішніх сервісів 
      • Відповідають за дотримання політик безпеки, реагування на інциденти
    • Клієнти та користувачі сервісів 
      • Взаємодіють із публічними інтерфейсами: сайти, мобільні додатки, онлайн-платформи 
      • Потребують захисту персональних даних, фінансової інформації, історії дій
    • Громадяни та населення 
      • Користуються державними електронними сервісами (Дія, eHealth, податкові кабінети) 
      • Є об’єктами захисту в контексті цифрових прав, конфіденційності, кібергігієни
    • Інсайдери та зовнішні загрози 
      • Можуть навмисно або випадково порушити безпеку: витік даних, саботаж, фішинг 
      • Потребують моніторингу поведінки, обмеження доступу, навчання
  • Загрози, пов’язані з людським фактором
    • Фішинг, соціальна інженерія 
      • Маніпуляції для отримання паролів, доступу, конфіденційної інформації 
      • Часто спрямовані на необізнаних або перевантажених працівників
    • Використання слабких паролів або повторне їх застосування 
      • Створює вразливість до атак типу brute-force або credential stuffing
    • Несанкціоноване використання пристроїв або програмного забезпечення 
      • BYOD, тіньові ІТ (shadow IT), незахищені USB-носії
    • Інсайдерські загрози 
      • Незадоволені працівники, помилки адміністраторів, зловживання правами доступу
  • Засоби захисту користувачів
    • Аутентифікація та контроль доступу 
      • MFA (багатофакторна автентифікація), SSO, RBAC/ABAC 
      • Принцип найменших привілеїв (least privilege)
    • Навчання та підвищення обізнаності 
      • Курси кібергігієни, симуляції фішингових атак 
      • Регулярні інструктажі, оновлення політик безпеки
    • Моніторинг поведінки користувачів
      • UEBA (User and Entity Behavior Analytics) 
      • Виявлення аномалій, автоматичне блокування підозрілих дій
    • Політики управління персоналом 
      • Перевірка при наймі, NDA, контроль при звільненні 
      • Ротація доступів, аудит дій, логування
  • Нормативна база
    • Закон України «Про захист персональних даних» 
    • Закон «Про основні засади забезпечення кібербезпеки» 
    • ISO/IEC 27001 (контроль доступу, управління персоналом) 
    • NIST SP 800-53 (контроль привілеїв, навчання користувачів)
  • Перспективи
    • Впровадження цифрової ідентичності з біометрією та блокчейн-верифікацією 
    • Розвиток "Human-centric Security" — безпека, орієнтована на поведінку людини 
    • Застосування AI/ML для прогнозування ризиків, пов’язаних із користувачами 
    • Інтеграція етичних стандартів у кібербезпеку: цифрові права, прозорість обробки даних

Люди — це найслабша, але водночас найважливіша ланка кібербезпеки. Їхній захист, навчання та контроль — ключ до стійкої цифрової екосистеми.

6. Організаційні структури та процеси

Цей тип об’єктів кібербезпеки охоплює управлінську, процедурну та нормативну основу, яка забезпечує системний захист інформаційних ресурсів, технічних засобів і користувачів. Без чітко визначених політик, регламентів і процедур навіть найсучасніші технології не гарантують безпеки.

  • Основні компоненти
    • Політики безпеки
      - Загальні принципи захисту інформації в організації
      - Визначення ролей, відповідальностей, рівнів доступу
      - Політика паролів, автентифікації, шифрування
      - Політика використання пристроїв, мереж, хмарних сервісів
    • Інструкції та регламенти
      - Опис дій у типових ситуаціях: підключення до мережі, обробка конфіденційної інформації
      - Інструкції для адміністраторів, користувачів, керівників
      - Регламенти реагування на інциденти, оновлення систем, аудитів
    • Процедури безпеки
      - Реєстрація та автентифікація користувачів
      - Управління правами доступу (RBAC, ABAC)
      - Впровадження змін у системах (Change Management)
      - Верифікація постачальників та сторонніх сервісів
    • Резервне копіювання та відновлення
      - Стратегії резервування: повне, інкрементне, диференційне
      - Зберігання копій: локально, у хмарі, офлайн
      - Тестування відновлення: частота, сценарії, відповідальні особи
      - Відповідність політикам BCP (Business Continuity Plan) та DRP (Disaster Recovery Plan)
    • Реагування на інциденти
      - Визначення типів інцидентів: витік, атака, внутрішнє порушення
      - Побудова CSIRT/CERT-команди (команди реагування)
      - Процедури повідомлення, ізоляції, аналізу, відновлення
      - Постінцидентний аналіз (lessons learned), оновлення політик
  • Ризики при відсутності організаційної структури
    - Відсутність чіткої відповідальності → хаос у реагуванні 
    - Невизначені процедури → затримки у ліквідації інцидентів 
    - Недостатнє резервування → втрата критичних даних
    - Непідготовлений персонал → успішні фішингові атаки 
    - Відсутність аудиту → приховані вразливості
  • Стандарти та нормативи
    - ISO/IEC 27001 — система управління інформаційною безпекою 
    - ISO/IEC 22301 — забезпечення безперервності бізнесу 
    - NIST SP 800-61 — реагування на комп’ютерні інциденти 
    - COBIT, ITIL — управління ІТ-процесами 
    - Закон України “Про основні засади забезпечення кібербезпеки”** — регулює обов’язки суб’єктів у сфері кіберзахисту
  • Перспективи розвитку
    - Впровадження Security Governance як частини корпоративного управління 
    - Автоматизація процедур через SOAR-платформи (Security Orchestration, Automation and Response) 
    - Використання AI/ML для аналізу інцидентів і прогнозування ризиків 
    - Інтеграція DevSecOps — безпека як частина життєвого циклу розробки 
    - Створення кіберкультури в організації: навчання, мотивація, прозорість

Організаційні структури та процеси — це «кістяк» кібербезпеки. Вони забезпечують узгодженість дій, швидкість реагування та сталість захисту, перетворюючи безпеку з технічної функції на стратегічну перевагу.

7. Кіберпростір як середовище

Кіберпростір — це сукупність віртуальних середовищ, де відбувається обробка, передача, зберігання та взаємодія з цифровою інформацією. Він охоплює як технічну інфраструктуру, так і соціальні, економічні та культурні процеси, що реалізуються через цифрові платформи.

  • Структура кіберпростору
    • Віртуальні простори
      - Веб-сайти, форуми, блоги, месенджери
      - Віртуальні офіси, освітні платформи, метавсесвіти
      - Внутрішні корпоративні середовища (Intranet, VPN)
    • Соціальні мережі
      - Facebook, Instagram, TikTok, X (Twitter), LinkedIn 
      - Місця масового поширення контенту, комунікації, впливу на громадську думку 
      - Джерела фішингу, дезінформації, соціальної інженерії
    • Онлайн-платформи
      - Електронна комерція: Amazon, Rozetka, OLX 
      - Освітні сервіси: Coursera, Prometheus
      - Державні платформи: Дія, eHealth, Prozorro 
      - Фінансові сервіси: онлайн-банкінг, криптобіржі
    • Хмарні сервіси
      - Google Drive, Microsoft Azure, Amazon Web Services 
      - Середовища зберігання, обробки, масштабування даних 
      - Платформи для DevOps, AI, аналітики, резервного копіювання
  • Загрози в кіберпросторі
    - Фішинг та соціальна інженерія — обман користувачів для отримання доступу 
    - Малвар — шкідливе ПЗ, яке поширюється через хмару, соцмережі, файлообмінники 
    - DDoS-атаки — перевантаження онлайн-платформ, сервісів 
    - Витік даних — через неправильні налаштування хмарних сховищ або слабкі паролі 
    - Дезінформація та маніпуляції — вплив на суспільство через соцмережі 
    - Кібербулінг, тролінг, шантаж — психологічні атаки в публічному просторі
  • Засоби захисту кіберпростору
    • Технічні
      - Шифрування даних у хмарі (AES, TLS, E2EE) 
      - Контроль доступу: MFA, SSO, Zero Trust 
      - Антивірусні та антифішингові системи 
      - Моніторинг активності: SIEM, CASB, UEBA 
      - Захист API та веб-додатків (WAF, rate limiting)
    • Організаційні
      - Політики безпечного використання соцмереж і хмарних сервісів 
      - Навчання користувачів кібергігієні 
      - Регламенти реагування на інциденти в онлайн-середовищі 
      - Аудит конфігурацій хмарних платформ 
      - Впровадження стандартів ISO/IEC 27017 (безпека хмари), 27018 (конфіденційність)
  • Нормативна база
    - Закон України «Про основні засади забезпечення кібербезпеки» 
    - Закон «Про захист персональних даних» 
    - Постанова КМУ № 821 — про захист державних електронних інформаційних ресурсів 
    - Європейський регламент GDPR — для захисту даних у міжнародному кіберпросторі
  • Перспективи розвитку
    - Децентралізовані платформи — Web3, блокчейн-сервіси 
    - Квантово-стійке шифрування — для захисту хмарних обчислень 
    - AI-моделі для виявлення загроз — поведінковий аналіз у соцмережах 
    - Цифрова ідентичність — єдина система автентифікації в кіберпросторі 
    - Етична кібербезпека — баланс між свободою слова та захистом від шкідливого контенту

Кіберпростір — це не просто середовище, а динамічна екосистема, де перетинаються технології, люди й політика. Його захист вимагає міждисциплінарного підходу, що поєднує технічні рішення, правові норми та соціальну відповідальність.