НД ТЗІ: категоріювання, модель загроз і як користуватися документами

Нормативні документи ТЗІ — це технічний щабель усієї конструкції. Закон каже «захищати обов'язково», постанова — «ось порядок», а от як саме прикручувати гайки, розказують саме вони.

Проблема одна: номери виглядають як шифр, мова суха, а половина статей у мережі описує вже неіснуючий порядок. Розберемо логіку — і далі ви орієнтуватиметеся самі.

Загальну ієрархію нормативки описано в матеріалі Навігація нормативкою.

Як читати номер

Формат такий: НД ТЗІ X.Y-ZZZ-РІК.

• X — група: загальні положення й термінологія, критерії та нормативи, порядки й методичні вказівки, класифікатори.
• Y — підгрупа за тематикою.
• ZZZ — порядковий номер.
• РІК — рік затвердження.

Приклад: фокусний для багатьох запитів НД ТЗІ 1.6-006-2015 — це перша група, шоста підгрупа, шостий за порядком, ухвалений 2015 року.

Пастка, на якій спотикаються всі. Рік у номері не означає застарілість. Текст 1999 року цілком може бути чинним, а ухвалений 2015-го — скасованим. Єдиний спосіб дізнатися напевно — подивитися чинний перелік на сайті регулятора.

Що змінилося у 2025–2026 — і що ні

Це найважливіший розділ, і саме його немає в старих матеріалах.

Галузь пережила перебудову. Схема «КСЗІ → державна експертиза → атестат відповідності» для нових систем поступилася профілям безпеки й авторизації. Звідси й закономірне питання: а НД ТЗІ ще потрібні?

Відповідь двоскладова.

Що майже не змінилося. Усе, що стосується об'єктів інформаційної діяльності — приміщень, робочих місць, комплексів технічного захисту. Обстеження, акти, комплекси, їхня атестація — ця частина живе своїм життям і далі. Реформа зачепила системи, а не стіни.

Що змінюється. Класифікація автоматизованих систем і побудова комплексної системи захисту навколо неї — саме тут новий підхід поступово витісняє старий. Раніше створені й підтверджені комплексні системи працюють далі, за умовами свого створення. Але новий проєкт сьогодні починається не з класу АС, а з оцінки ризиків і профілю.

Практичний висновок. Коли виконавець розмахує галузевою нормативкою як універсальною відповіддю на все — уточніть, про що саме йдеться. Для приміщення це доречно. Для нової системи — уже ні.

НД ТЗІ категоріювання: з чого все починається

Перш ніж щось захищати, треба зрозуміти, наскільки цінне те, що ви захищаєте. Для цього існує категоріювання.

Опорні тексти:

• НД ТЗІ 1.6-005-2013 — категоріювання об'єктів, де циркулюють відомості з обмеженим доступом, що не становлять державної таємниці;
• НД ТЗІ 1.6 006 2015 — «Положення про категоріювання об'єктів інформаційної діяльності». Той самий документ, який у пошуку пишуть і через дефіси, і через пробіли.

Як це працює:

1. Керівник наказом створює комісію з питань категоріювання.
2. Комісія обстежує об'єкти інформаційної діяльності (ОІД) — приміщення, робочі місця, середовища, де циркулюють відомості, що підлягають захисту.
3. Об'єкту присвоюється категорія — залежно від важливості відомостей та умов їх обробки.
4. Результат оформлюється актом категоріювання.
5. Категоріювання буває первинне й чергове. Друге забувають найчастіше: акт п'ятирічної давнини під час перевірки виглядає рівно так само погано, як його відсутність.

Навіщо це вам. Від категорії залежить обсяг і суворість заходів технічного захисту інформації. Без категоріювання проєктувати захист неможливо — ви просто не знаєте, від чого й наскільки ретельно берегтися.

Комісія: хто туди має входити

Питання здається бюрократичним, а насправді вирішує долю всієї роботи.

Комісія, зібрана з випадкових людей «бо треба когось призначити», видає результат відповідної якості. Робочий склад виглядає інакше:

• людина, яка розуміє процеси. Не ІТ, а той, хто знає, які саме відомості де народжуються й куди йдуть;
• інженер. Той, хто бачить приміщення, кабелі, техніку — а не лише схему на папері;
• юрист або той, хто відповідає за режим. Щоб правильно визначити, що взагалі підлягає захисту;
• представник керівництва. Без нього рішення застрягають.

Головна помилка складу — зібрати комісію виключно з ІТ-фахівців. Вони чудово опишуть сервери, а переговорну кімнату, у якій щотижня обговорюють те, заради чого сервери й будували, просто проминуть.

Друга помилка — призначити людей «для кількості». Комісія з семи осіб, у якій працюють двоє, гірша за комісію з трьох, де працюють усі троє: підписів багато, відповідальності — нуль. Формула проста: кожен член комісії має відповідати на питання «навіщо тут саме ти?».

Третя — забути зафіксувати повноваження. Комісія має право заходити куди треба, питати кого треба та отримувати відповіді. Якщо цього права немає, обстеження перетвориться на прогулянку коридорами.

Акт: що в ньому має бути

Папір, який залишиться після роботи комісії, — це не формальність, а ваш аргумент на роки вперед. Мінімум, який має бути всередині:

• що обстежували — перелік об'єктів із прив'язкою до приміщень і процесів;
• що там циркулює — категорії відомостей, а не абстрактне «інформація»;
• умови обробки — хто має доступ, як передається, де зберігається;
• присвоєна категорія з обґрунтуванням;
• дата й підписи;
• строк наступного перегляду.

Останній пункт пропускають майже завжди — саме через нього акти тихо старіють. Поставте дату відразу: це найдешевша страховка з усіх можливих.

Ще одна дрібниця, яка рятує роки по тому: зафіксуйте, де акт зберігається та в кого ключ. Папір, який шукають пів години, під час перевірки дорівнює паперу, якого немає.

Друга за поширеністю вада акта — розмите формулювання щодо того, що саме циркулює на об'єкті. «Інформація з обмеженим доступом» без уточнення категорії нікому нічого не пояснює. Пишіть конкретно: службові відомості такого-то виду, персональні дані такої-то групи, комерційна таємниця за таким-то переліком. Саме ця конкретика потім визначить, які заходи будуть достатніми, а які надлишковими — тобто скільки грошей ви витратите.

Третя вада — акт без прив'язки до процесів. Об'єкт описано, а що там роблять люди, як передають відомості, куди виносять роздруківки — тиша. Такий акт формально бездоганний і практично марний.

Модель загроз НД ТЗІ і модель порушника

Другий фундамент, без якого захист будується наосліп.

Модель загроз відповідає на питання «що саме нам загрожує»:

• які небезпеки актуальні для конкретного об'єкта чи середовища;
• через які канали витоку відомості можуть піти — технічні канали, несанкціонований доступ, необережність персоналу;
• які наслідки має реалізація кожної з них.

Модель порушника відповідає на питання «хто може напасти»:

• категорії — зовнішній чи внутрішній, кваліфікований чи ні;
• можливості — який доступ має, яке обладнання, які знання;
• мотивація — розвідка, гроші, помста, звичайна недбалість.

Ключова думка. Це фундамент проєкту, а зовсім не формальність для комісії. Складено «для галочки» — і вся КСЗІ захищатиме зовсім не від того, від чого треба. Дізнаєтеся про це в найгірший момент.

Обидва описи готують на першому етапі робіт (див. Як створюється КСЗІ) і часто оформлюють як частину плану захисту.

Як виглядає імітація

Розпізнати підробку легко, і це вміння варте своїх грошей.

Ознака перша: чужі небезпеки. Текст описує загрози, яких у вас фізично немає, і мовчить про ті, що очевидні кожному співробітникові. Класика — розлога розповідь про побічні електромагнітні випромінювання й жодного слова про підрядника з правами адміністратора.

Ознака друга: порушник без обличчя. «Зовнішній порушник високої кваліфікації» — і крапка. Ані мотиву, ані ресурсів, ані сценарію. Такий порушник однаково небезпечний і однаково марний для проєктування.

Ознака третя: описи не пов'язані із заходами. Ви читаєте один перелік, потім другий — і між ними немає жодного місточка. Кожен захід має закривати конкретну небезпеку; якщо зв'язку немає, її й не було.

Ознака четверта: усе однаково важливе. Якщо всі рядки «середні», а всі заходи «обов'язкові», значить, ніхто не думав. Пріоритезація — головна ознака чесної роботи.

Чотири портрети порушника

Абстракція «зовнішній кваліфікований порушник» нікому не допомагає. Працює конкретика. Ось базові типажі, з яких варто починати.

Випадковий. Співробітник, який помилився. Не має злого наміру, має повний доступ. Наносить шкоди більше, ніж усі інші разом, — і саме проти нього найкраще працюють нудні заходи: розмежування прав, підтвердження дій, резервні копії.

Ображений. Той, кого звільнили або обійшли підвищенням. Знає, де слабко, має легальний доступ і мотив. Проти нього працює одне: своєчасне закриття доступів і журнали, які він не може почистити.

Найманий. Приходить за грошима. Може бути підрядником, може бути зовнішнім. Раціональний: піде туди, де дешевше. Робіть себе дорогою ціллю — і він піде до сусіда.

Державний. Має час, ресурси й терпіння. Гроші його не цікавлять — цікавить ваша зупинка або ваші дані. Огорожею від нього не відгородитися; тут працює лише припущення, що всередину вже потрапили, і готовність це помітити.

Кожен портрет вимагає різних заходів. Саме тому «універсальний захист» — це маркетинг, а не інженерія.

Практична порада: почніть із першого типажу. Він найнудніший, найчастіший і найдешевший у протидії. Організації люблять фантазувати про державних нападників і при цьому дозволяють бухгалтерії роками користуватися однією обліковою карткою на трьох. Спершу закрийте очевидне — і половина сценаріїв відпаде сама собою.

Перевірити це просто. Візьміть будь-який критичний процес та спитайте: скільки людей можуть його зупинити, змінити або скопіювати просто зараз, нікого не питаючи? Якщо відповідь більша за два-три — почніть звідси. Жодне обладнання не компенсує роздані наліво й направо права, а коштує воно незрівнянно дорожче за наказ, який ці права впорядкує.

І ще одне спостереження. Портрет має відповідати на просте питання: що ця людина може зробити просто зараз, не докладаючи зусиль? Якщо відповідь «майже все» — жодні складні заходи вас не врятують, доки ви цього не зміните.

Класифікація систем і критерії захищеності

Ще два класичні напрями.

• Класифікація автоматизованих систем. Поділ на класи 1, 2 і 3 — залежно від того, чи середовище одномашинне, локальне, чи розподілене з виходом у мережі загального користування. Від класу залежав набір обов'язкових функціональних послуг безпеки.
• Критерії оцінки захищеності від несанкціонованого доступу — за ними визначали, чи достатній рівень захисту.

Дієслова в минулому часі не випадкові. Для нових проєктів цей шлях поступається профілям безпеки. Але термінологія нікуди не зникла: клас АС-2 і далі згадують у документах, і це не помилка виконавця, а мова тієї норми, на яку він спирається.

Чому галузеву нормативку так і не переписали

Логічне питання: якщо все навколо змінилося, чому ці тексти лишилися?

Причина прозаїчна. Переписати означає зачепити не заголовок, а всю конструкцію: класи, критерії, формули, посилання одного тексту на інший. Зачепиш одне — посиплеться десяток. Дешевше зберігати усталений апарат, доки перепишуть увесь масив.

Практичний наслідок для вас: у проєкті цілком нормально співіснують сучасне посилання на базовий акт та класичний клас АС-2. Це ані суперечність, ані недбалість виконавця — просто він вживає термін тієї норми, на яку спирається.

Проблема виникає тоді, коли термінологію змішують без пояснень. Замовник читає звіт, бачить два різні світи в одному абзаці та робить висновок, що виконавець сам заплутався. Тому професійний звіт завжди містить один короткий абзац: ось на що ми спираємося, ось чому тут стара термінологія, ось як вона стикується з чинним підходом. Три речення, які знімають половину незручних запитань на захисті роботи.

Коли масив нарешті перепишуть, стара термінологія теж не зникне за ніч. Буде перехідний період, під час якого поруч співіснуватимуть обидві мови. Тому звичка розуміти обидві стане в пригоді ще надовго.

Карта груп: де що шукати

Як користуватися: від задачі, а не від тексту

Спроба «вивчити всі НД ТЗІ» закінчується однаково — нічим. Дійте від задачі:

І головне правило: перевіряйте чинність перед використанням. Робота за скасованим текстом означає переробку проєкту — а це вже не години, це місяці.

Що спитати у виконавця

Питання-маркери, які економлять і гроші, і нерви:

• чи чинні всі тексти, на які ви посилаєтеся, — і коли ви це перевіряли?
• як ваші описи пов'язані із заходами? Попросіть показати місточок.
• чиї загрози ви описали — наші чи типові?
• ви ведете нас до атестата чи до авторизації? Для нової системи перша відповідь означає, що виконавець відстав.

Ухильна відповідь на будь-яке з чотирьох — привід шукати іншого підрядника, доки не пізно.

Питання варто ставити письмово. Усна розмова забувається, а лист із відповіддю лишається — та дивовижно дисциплінує співрозмовника. Досвідчені замовники давно помітили: щойно питання переходять у переписку, презентації стають скромнішими, зате конкретнішими.

Симетрична порада виконавцям. Замовник рідко читає нормативку — він читає ваш звіт та робить із нього висновки щодо вашої кваліфікації. Тому посилайтеся за номером, вказуйте чинну редакцію, явно називайте підхід, за яким працюєте, та додавайте рядок «нормативна база актуальна станом на…». Одне речення знімає купу питань ще до того, як вони прозвучать.

Скільки це триває

Реалістичні орієнтири, які зазвичай не звучать у комерційній пропозиції.

• Обстеження об'єктів — тижні, якщо в організації взагалі немає їхнього переліку.
• Описи небезпек і порушників — від кількох тижнів. Головна затримка тут не методика, а доступ до людей, які знають, як усе працює насправді.
• Проєктування й упровадження — місяці, і саме тут з'являються рахунки за обладнання.
• Оцінювання — залежить від черги й від якості поданих паперів.

Головний прискорювач — не гроші, а порядок у власних паперах. Організація з актуальним переліком об'єктів та призначеними відповідальними проходить шлях удвічі швидше за ту, що починає з нуля.

Типова помилка планування — рахувати лише «активні» етапи, забуваючи про очікування. Погодження всередині організації, черга до виконавця, доукомплектування пакета після зауважень: ці проміжки нікому не видно, доки вони мовчки з'їдять квартал. Закладайте резерв — перший цикл майже завжди виявляється довшим за розрахунковий.

Три помилки, які коштують найдорожче

1. Судити про чинність за роком у номері. Рік — це дата ухвалення, а не строк придатності. Перевіряйте перелік.
2. Вважати галузеву нормативку універсальною відповіддю. Для приміщень — так. Для нових систем підхід уже інший.
3. Складати описи «під експертизу». Формальний опис дає формальний захист. Платити за нього доведеться справжніми грошима.

Три сигнали, що вам продають учорашній день

Ринок консультантів перебудовується повільно, тож маркери варто знати.

Сигнал перший: словник. Там, де мають звучати «профіль», «оцінка ризиків», «оцінювання», лунає «атестат», «експертиза», «повний пакет». Для нового середовища це означає, що виконавець працює за методичкою п'ятирічної давнини.

Сигнал другий: єдиний шлях. Будь-яка пропозиція, у якій немає альтернатив та немає пояснення, чому обрано саме цей маршрут, — це не інженерія, а прайс-лист.

Сигнал третій: мовчання щодо ризиків. Якщо оцінка ризиків не згадується взагалі або згадується як «оформимо документ», перед вами продавець паперів. Ризики — вхідні дані для всього іншого; без них проєкт будується навмання.

Чек-лист на п'ять хвилин

• акт категоріювання є — і йому менше ніж п'ять років?
• модель загроз описує ваші небезпеки, а не абстрактні?
• модель порушника має мотив, ресурси й сценарій?
• кожен захід прив'язаний до конкретної небезпеки?
• усі тексти, на які ви спираєтеся, перевірено на чинність цього року?

Три «ні» поспіль — і проєкт варто зупинити до того, як у нього вкладуть гроші.

Зупинка тут дешевша за продовження. Проєкт, збудований на хибному фундаменті, доведеться переробляти цілком — причина навіть не в прискіпливості перевіряльників, а в тому, що захист справді працювати відмовиться. Це той рідкісний випадок, коли формальна вимога збігається з інженерним здоровим глуздом.