Про затвердження Методики оцінювання ризиків кібербезпеки

Тип: Наказ

№ 402

Дата: 02 червня 2026 р.

Статус: Чинний

АДМІНІСТРАЦІЯ ДЕРЖАВНОЇ СЛУЖБИ СПЕЦІАЛЬНОГО ЗВ'ЯЗКУ ТА ЗАХИСТУ ІНФОРМАЦІЇ УКРАЇНИ

НАКАЗ

02.06.2026

м. Київ

N 402

Зареєстровано в Міністерстві юстиції України

18 червня 2026 р. за N 880/46274

Про затвердження Методики оцінювання ризиків кібербезпеки

Відповідно до абзацу восьмого пункту 6 Загальних вимог з кіберзахисту об'єктів критичної інфраструктури, затверджених постановою Кабінету Міністрів України від 19 червня 2019 року N 518, та пункту 28 Мінімальних вимог до захисту інформаційних, електронних комунікаційних, інформаційно-комунікаційних та технологічних систем, затверджених постановою Кабінету Міністрів України від 29 березня 2006 року N 373,

НАКАЗУЮ:

1. Затвердити Методику оцінювання ризиків кібербезпеки, що додається.

2. Департаменту кіберзахисту Адміністрації Державної служби спеціального зв'язку та захисту інформації України забезпечити в установленому порядку подання цього наказу на державну реєстрацію до Міністерства юстиції України.

3. Цей наказ набирає чинності з дня його офіційного опублікування.

Голова Служби

Олександр ПОТІЙ

ПОГОДЖЕНО:

Голова Державної

регуляторної служби України

Олексій КУЧЕР

Голова

Національного банку України

Андрій ПИШНИЙ

Заступник Керівника Апарату

Ради національної безпеки

і оборони України

Анатолій ГОРБАТЮК

Т. в. о. Голови

Служби безпеки України

генерал-майор

Євгеній ХМАРА

Голова

Національної поліції України

Іван ВИГІВСЬКИЙ

Перший заступник

Міністра оборони України

Олексій ВИСКУБ

В. о. Голови Державної

прикордонної служби України

Валерій ВАВРИНЮК

Т. в. о. Голови Служби

зовнішньої розвідки України

Олег ЛУГОВСЬКИЙ

Начальник Генерального штабу

Збройних Сил України

генерал-лейтенант

Андрій ГНАТОВ

Т. в. о. Міністра

закордонних справ України

Олександр МІЩЕНКО

ЗАТВЕРДЖЕНО

Наказ Адміністрації Державної служби спеціального зв'язку та захисту інформації України

02 червня 2026 року N 402

Методика

оцінювання ризиків кібербезпеки

I. Загальні положення

1. Ця Методика встановлює єдиний підхід до ідентифікації та оцінювання ризиків кібербезпеки для органів державної влади, інших державних органів, органів місцевого самоврядування, державних підприємствам, установ та організацій, які є власниками або розпорядниками інформаційних, електронних комунікаційних, інформаційно-комунікаційних та технологічних систем (далі - системи), в яких обробляються державні інформаційні ресурси (далі - ДІР) або інформація з обмеженим доступом, вимога щодо захисту якої встановлена законом (далі - ІзОД), операторами критичної інфраструктури та власниками або розпорядниками об'єктів критичної інформаційної інфраструктури (далі - ОКII) та застосовується під час формування поточного та/або цільового станів кіберзахисту, розроблення планів кіберзахисту.

Власники або розпорядники системи можуть використовувати іншу методику оцінки ризиків кібербезпеки за умови наявності затвердженої власником або розпорядником системи власної методики оцінки ризиків кібербезпеки, яка розроблена відповідно до вимог і національних стандартів у сфері захисту інформації та кіберзахисту або стандартів, настанов, рекомендацій, аналітичних оглядів та інших документів, розроблених та прийнятих іноземними та міжнародними організаціями у сфері кібербезпеки.

2. У цій Методиці наведені нижче терміни вживаються в таких значеннях:

актив - будь-який матеріальний чи нематеріальний ресурс, який має визначену або потенційну цінність для об'єкта кіберзахисту, використовується в його діяльності та може зазнати впливу кіберзагроз;

вразливість - властивість активу або групи активів, яке може бути використане для реалізації однієї чи декількох кіберзагроз;

вплив (наслідки) - шкода, завдана об'єкту кіберзахисту внаслідок реалізації кіберзагрози (порушення конфіденційності, цілісності, доступності інформації; фінансові, репутаційні, операційні втрати, шкода національній безпеці тощо);

частота виникнення - оцінка того, наскільки часто в рік може виникати кіберзагроза.

Інші терміни вживаються у значеннях, наведених у Законах України "Про основні засади забезпечення кібербезпеки України",

"Про Державну службу спеціального зв'язку та захисту інформації України", "Про захист інформації в інформаційно-комунікаційних системах", "Про критичну інфраструктуру", Загальних вимогах з кіберзахисту об'єктів критичної інфраструктури, затверджених постановою Кабінету Міністрів України від 19 червня 2019 року N 518, Національному плані реагування на кіберінциденти, кібератаки та кіберзагрози, затвердженому постановою Кабінету Міністрів України від 26 листопада 2025 року N 1533, Мінімальних вимогах до захисту інформаційних, електронних комунікаційних, інформаційно-комунікаційних та технологічних систем, затверджених постановою Кабінету Міністрів України від 29 березня 2006 року N 373, Порядку пошуку та виявлення потенційної вразливості інформаційних (автоматизованих), електронних комунікаційних, інформаційно-комунікаційних систем, електронних комунікаційних мереж, затвердженому постановою Кабінету Міністрів України від 16 травня 2023 року N 497.

3. Метою цієї Методики є встановлення порядку оцінки ризиків і прийняття обґрунтованих рішень на основі отриманих результатів оцінювання щодо впровадження заходів з кіберзахисту, пріоритизації ресурсів та формування планів для обробки ризиків кібербезпеки відповідно до вимог чинного законодавства.

4. Ця Методика призначена для використання власниками або розпорядниками системи, в яких обробляються ДІР або ІзОД, операторами критичної інфраструктури та власниками або розпорядниками ОКII (далі - суб'єкти кіберзахисту).

5. Методика передбачає застосування якісних і кількісних методів оцінювання ризиків кібербезпеки, зокрема кількісного методу, що ґрунтується на використанні теореми Баєса (Баєсівський метод).

6. Оцінювання ризиків кібербезпеки здійснюється не рідше одного разу на рік, а також у разі виникнення суттєвих змін в системах, сервісах або процесах обробки ДІР, ІзОД чи на ОКII.

II. Ідентифікація активів (групи активів)

1. Суб'єкт кіберзахисту формує вичерпний перелік активів, що може включати ДІР, ІзОД, іншу інформацію, яка потребує захисту, а також системи та їх складові (сервери, бази даних, мережеве обладнання тощо), що обробляють таку інформацію.

Активами можуть бути апаратне та програмне забезпечення, технологічні засоби, інформація, персонал, послуги, процеси та інші ресурси.

2. З метою спрощення процесу оцінювання ризиків кібербезпеки активи з подібними характеристиками, які піддаються однаковим кіберзагрозам, можуть об'єднуватися у групи.

3. Для кожного активу або групи активів призначається особа, яка відповідає за управління ризиками кібербезпеки відповідного активу (групи активів), включаючи їх обробку та моніторинг.

4. Кожному активу (групі активів) присвоюється рівень критичності, який визначається на основі таких факторів, які дозволяють об'єктивно класифікувати активи (групи активів) за рівнями критичності, що є основою для подальшої пріоритизації заходів із кіберзахисту:

рівень важливості для виконання функцій об'єкта кіберзахисту - оцінюється ступінь впливу активу на досягнення місії об'єкта, його стратегічних цілей (чим більше актив залучений у ключових процесах, тим вищий його рівень критичності);

законодавчі та нормативні вимоги - визначаються вимоги законодавства та нормативних документів щодо кіберзахисту інформації, що обробляється на активі (наприклад, ІзОД);

потенційний вплив на безперервність роботи - аналізується, наскільки втрата або порушення роботи активу може вплинути на безперервність критичних процесів;

фінансові, репутаційні та інші ризики, що мають значення для діяльності суб'єкта кіберзахисту, - оцінюється ймовірний фінансовий збиток, що може виникнути в результаті компрометації активу (витрати на відновлення, штрафи, втрата прибутку), а також можлива шкода для репутації об'єкта кіберзахисту та інші негативні наслідки, пов'язані з порушенням конфіденційності, цілісності та доступності інформації;

взаємозалежність активів - враховується, чи є актив ключовою ланкою в ланцюгу залежностей між іншими системами (вихід з ладу такого активу може спричинити каскадні порушення в роботі залежних систем).

III. Ідентифікація загроз та

вразливостей

1. Для кожного критичного активу (групи активів) визначається перелік актуальних кіберзагроз. Джерелами інформації для ідентифікації таких загроз є, зокрема:

національні та міжнародні каталоги кіберзагроз, такі як IT-Grundschutz, NIST, ENISA, MITRE ATT

&CK®;

дані, надані суб'єктами національної системи реагування на кіберінциденти, кібератаки та кіберзагрози;

результати проведення оцінювання стану кіберзахисту та проведення незалежного тесту (тестування на проникнення);

аналіз подій кібербезпеки та кіберінцидентів;

технічна документація виробників програмного забезпечення та обладнання;

публікації про кіберзагрози та вразливості у відкритих джерелах інформації та результати власного аналізу кіберзагроз;

особистий досвід суб'єкта кіберзахисту або дані, отримані від партнерів по співробітництву;

результати експертного обговорення із залученням фахівців з кібербезпеки, системних та інших адміністраторів, користувачів систем, що забезпечують реалізацію функціонального призначення активу.

2. Ідентифікація вразливостей, які можуть бути використані ідентифікованими кіберзагрозами, здійснюється на основі аналізу інформації з таких джерел:

результатів виявлення вразливостей, сканування інформаційних, електронних комунікаційних, інформаційно-комунікаційних та технологічних систем та мереж з метою виявлення вразливостей, які можуть мати значний вплив, пошуку та виявлення потенційної вразливості систем, електронних комунікаційних мереж, оцінки стану захищеності ДІР у системах та тестування на проникнення, проведення незалежного тесту (тестування на проникнення);

звітів виробників програмного забезпечення та обладнання про виявлені вразливості;

даних, отриманих від системи моніторингу подій та управління інформаційною безпекою;

результатів внутрішніх та зовнішніх аудитів кібербезпеки;

аналізу внутрішньої документації, включаючи політики безпеки, інструкцій та регламентів;

інформації з відкритих джерел інформації про вразливості;

звітів та рекомендацій уповноважених державних органів;

результатів аналізу існуючих засобів захисту та оцінка їх ефективності;

результати здійснення дослідником пошуку та виявлення потенційної вразливості інформаційних (автоматизованих), електронних комунікаційних, інформаційно-комунікаційних систем, електронних комунікаційних мереж.

IV. Якісний метод оцінювання ризиків кібербезпеки

1. Для кожної пари "кіберзагроза-вразливість" конкретного активу (групи активів) проводиться оцінка за двома параметрами:

оцінка впливу (наслідків) - визначається рівень потенційної шкоди у разі реалізації ризиків кібербезпеки (оцінка має враховувати не лише фінансові, а й операційні, репутаційні та безпекові наслідки для держави (рівні оцінювання впливу (наслідків) кіберзагрози на національному рівні наведено в додатку 1 до цієї Методики));

оцінка очікуваної частоти / ймовірності реалізації - визначається ймовірність реалізації загрози з урахуванням існуючих заходів захисту, рівня мотивації та можливостей потенційних зловмисників (відповідно до додатка 2 до цієї Методики).

2. Описові поля (графи), наведені в додатку 1 до цієї Методики ("Опис впливу на державні інформаційні ресурси та інформацію, вимоги щодо захисту якої встановлено законом") і в додатку 2 до цієї Методики ("Опис стану кіберзахисту"), можуть адаптуватися суб'єктом кіберзахисту з урахуванням його специфіки та практичних потреб.

3. Рівень ризиків кібербезпеки визначається шляхом поєднання результатів оцінювання впливу (наслідків) кіберзагрози (додаток 1) та оцінювання очікуваної частоти / ймовірності реалізації кіберзагрози (додаток 2).

Поєднання зазначених оцінок здійснюється шляхом визначення числового значення ризику, яке розраховується відповідно до Матриці ризиків кібербезпеки (додаток 3 до цієї Методики).

Отримане числове значення ризику відповідає одному із п'яти рівнів:

критичний (20 - 25) - неприйнятний ризик кібербезпеки, що відповідає надзвичайному та критичному рівню критичності кіберінциденту/кібератаки; вимагає негайного впровадження комплексних заходів для його зменшення та локалізації;

високий (15 - 19) -

неприйнятний ризик кібербезпеки, що відповідає високому рівню критичності кіберінциденту/кібератаки; вимагає визначення та реалізації заходів з обробки ризиків кібербезпеки з чіткими термінами та відповідальних структурних підрозділів (посадових осіб) суб'єкта кіберзахисту; бездіяльність може призвести до серйозних порушень у сталому, надійному та штатному режимі функціонування систем;

середній (6 - 14) - прийнятний ризик кібербезпеки, що відповідає середньому рівню критичності кіберінциденту/кібератаки; не потребує додаткових негайних заходів, але підлягає регулярному перегляду в рамках загального управління ризиками; заходи безпеки, що вже впроваджені або передбачені планом кіберзахисту, забезпечують належний захист від більшості типових кіберзагроз;

низький (3 - 5) - мінімальний або незначний ризик кібербезпеки, що відповідає низькому рівню критичності кіберінциденту/кібератаки; не потребує додаткових заходів, крім стандартного операційного моніторингу та планових перевірок; існуючі заходи з кіберзахисту забезпечують винятково високий рівень захисту, і ймовірність реалізації кіберзагрози є вкрай малою;

дуже низький (0 - 2) - мінімальний або незначний ризик кібербезпеки, що відповідає некритичному рівню критичності кіберінциденту/кібератаки; не потребує додаткових заходів, крім стандартного операційного моніторингу та планових перевірок; існуючі заходи безпеки забезпечують винятково високий рівень захисту, і ймовірність реалізації загрози є вкрай малою.

V. Обробка ризиків кібербезпеки та звітування

1. Суб'єктом кіберзахисту забезпечується ведення переліку ризиків кібербезпеки за формою, визначеною у додатку 4 до цієї Методики. До переліку включаються всі ідентифіковані ризики кібербезпеки, які підлягають регулярному перегляду та актуалізації.

Для всіх ризиків кібербезпеки розробляється план обробки ризиків кібербезпеки, який може включати дії щодо:

зменшення (модифікації) ризику кібербезпеки - впровадження нових або посилення існуючих заходів захисту (технічних, організаційних);

прийняття ризику кібербезпеки - формалізоване, документально підтверджене та затверджене керівництвом суб'єкта кіберзахисту рішення не застосовувати заходів для зниження ризику. Таке рішення може бути ухвалене лише у випадках, коли витрати на впровадження заходів захисту не є пропорційними рівню потенційних збитків від реалізації кіберзагрози, або ефективні заходи невідомі, або частота виникнення / ймовірність реалізації кіберзагрози та рівень її впливу є прийнятними (незначними) для діяльності суб'єкта кіберзахисту;

уникнення ризику кібербезпеки - відмова від діяльності або використання активу (групи активів), що є джерелом ризику, шляхом реструктуризації відповідних робочих процесів або систем;

передача ризику кібербезпеки (розподіл ризиків кібербезпеки) - передача ризику третій стороні, наприклад, через страхування активів або за допомогою аутсорсингу;

моніторинг ризику кібербезпеки - усі ризики кібербезпеки, включаючи ті, що були прийняті, підлягають постійному контролю. Результати моніторингу та відомості про коригування заходів захисту вносяться до переліку ризиків кібербезпеки для забезпечення його актуальності.

2. За результатами оцінки складається звіт про оцінювання ризиків кібербезпеки (далі - звіт), який містить:

перелік та класифікацію активів (групи активів);

опис ідентифікованих ризиків кібербезпеки;

перелік ризиків кібербезпеки із зазначенням оцінок частоти виникнення/ймовірності, впливу та фінального рівня;

рекомендації та план обробки ризиків кібербезпеки.

3. За рішенням керівника суб'єкта кіберзахисту, звіт може бути доповнений іншими відомостями, необхідними для повного та обґрунтованого ухвалення рішень щодо управління ризиків кібербезпеки, з урахуванням специфіки діяльності суб'єкта кіберзахисту та поточних загроз.

4. Звіт є основою для подальшого планування робіт із кіберзахисту та для подальшого прийняття рішень щодо обробки ризиків кібербезпеки.

5. Форма звіту про оцінювання ризиків кібербезпеки та плану обробки ризиків кібербезпеки є довільною та визначається суб'єктом кіберзахисту. Для їх

оформлення може використовуватися форма переліку ризиків кібербезпеки, наведена у додатку 4 до цієї Методики, з урахуванням її адаптації відповідно до змісту та призначення звіту або плану обробки ризиків кібербезпеки.

VI. Кількісний метод оцінювання ризиків кібербезпеки

1. Проведення кількісного аналізу ризиків кібербезпеки застосовується до всіх ризиків кібербезпеки, які були оцінені за критичним та високим рівнями. Застосування кількісного методу оцінювання до інших ризиків кібербезпеки здійснюється за рішенням керівника суб'єкта кіберзахисту.

2. Метою кількісного аналізу ризиків кібербезпеки є визначення їх фінансових показників, що дозволяє:

здійснювати порівняння та пріоритизацію критичних ризиків кібербезпеки; обґрунтовувати економічну доцільність витрат на впровадження заходів із кіберзахисту;

надавати керівництву суб'єкта кіберзахисту конкретні дані для ухвалення рішень щодо інвестицій у кібербезпеку.

3. Для кількісної оцінки ризиків кібербезпеки розраховуються річні очікувані втрати (РОВ) активу (групи активів) за формулою:

РОВ = ОРВ х ОЧР, де

(1)

ОРВ (очікувані разові втрати) - фінансові втрати, що виникають внаслідок одного інциденту;

ОЧР (очікувана частота реалізації) - прогнозована кількість реалізацій ризиків кібербезпеки протягом одного року (прогнозована кількість інцидентів протягом одного року).

4. Очікувана частота реалізації може базуватися на:

статистичних даних - звітах CERT-UA, Національного координаційного центру кібербезпеки, внутрішній статистиці інцидентів за попередні періоди та інших доступних джерелах;

експертній оцінці - враховуючи актуальність загроз, наявність вразливостей та привабливість активу (групи активів) для зловмисників.

5. Розрахунок ОРВ проводиться за формулою:

ОРВ = ВА х КВ, де

(2)

ВА (вартість активу (групи активів)) - сукупна вартість активу (групи активів);

КВ (коефіцієнт вразливості) - частка вартості активу (групи активів) (у відсотках, від 0 % до 100 %), яка буде втрачена внаслідок одного інциденту.

6. Вартість активу включає, але не обмежується:

балансовою вартістю обладнання та програмного забезпечення;

вартістю відновлення даних та працездатності системи (включаючи оплату праці фахівців, закупівлю нового програмного забезпечення/обладнання тощо);

втрати від переривання процесів, що виникає внаслідок неможливості надання послуг чи виконання функцій суб'єктом кіберзахисту;

вартістю компенсації збитків третім особам (включаючи штрафи за порушення законодавства про захист персональних даних тощо);

репутаційними втратами, що оцінюються експертно;

вартістю розслідування кіберінциденту;

іншими витратами.

Приклад оцінювання ризиків кібербезпеки за кількісним методом наведено в додатку 5 до цієї Методики.

7. Комплексний підхід до оцінки ризиків кібербезпеки поєднує якісний та кількісний методи. Якісний аналіз використовується для початкової ідентифікації та класифікації ризиків кібербезпеки, тоді як кількісний метод, що застосовується для ризиків кібербезпеки із високим і критичним рівнем, допомагає визначити їхні фінансові показники та обґрунтувати інвестиції у кібербезпеку.

Оскільки не можна точно визначити частоту виникнення кіберінцидентів/кібератак чи їхні наслідки, на практиці можна застосувати більш гнучкі методи такі як Баєсівські мережі довіри, метод імітаційного моделювання Монте-Карло, аналіз дерев подій та відмов, оцінка рентабельності інвестицій у кібербезпеку тощо.

VII. Баєсівський метод кількісної оцінки ризиків кібербезпеки

1. Для кількісного оцінювання ризиків кібербезпеки може застосовуватися Баєсівський метод, який передбачає оновлення значень ймовірностей реалізації ризиків на основі нової інформації про кіберінциденти, кіберзагрози або зміни стану захищеності систем.

2. Метод базується на теоремі Баєса та забезпечує адаптивне уточнення оцінок ризиків з урахуванням поточних умов функціонування і суттєвих змін у системах, сервісах або процесах обробки ДІР, ІзОД чи на ОКII.

3. Результатом цього процесу є отримання апостеріорних ймовірностей, які надають більш точну оцінку ймовірності реалізації ризику кібербезпеки

або успішної кібератаки. Метод дозволяє перейти від суб'єктивних експертних оцінок до точних числових значень, які відображають актуальний стан загроз та вразливостей.

4. При застосуванні Баєсівського методу апріорна ймовірність Р(А) може визначатися на основі очікуваної частоти виникнення (реалізації) загрози, як ймовірність виникнення, принаймні однієї події протягом визначеного інтервалу часу (наприклад, року або місяця), з використанням відповідних математичних моделей розподілу.

5. Баєсівський метод передбачає оновлення оцінок ймовірності реалізації ризиків кібербезпеки на основі оновленої інформації про інциденти, результати сканування вразливостей або змін у профілі загроз, математичне представлення методу має такий вигляд:

(3)

Р(А | В) - апостеріорна ймовірність: оновлена ймовірність події А (ризик кібербезпеки) після врахування оновленої інформації щодо ймовірності реалізації ризиків кібербезпеки В;

Р(В | А) - ймовірність правдоподібності: ймовірність спостереження даних В за умови, що подія А відбулася. Цей показник кількісно оцінює, наскільки нові дані підтверджують гіпотезу про ризик;

Р(А) - апріорна ймовірність: початкова оцінка ймовірності події А до отримання будь-яких нових даних. Ця ймовірність може ґрунтуватися на статистичних даних про кіберінциденти за попередні звітні періоди, експертних знаннях або попередніх дослідженнях;

Р(В) - гранична правдоподібність (маргінальна ймовірність): загальна ймовірність отримання даних В незалежно від реалізації події А.

6. Значення граничної правдоподібності Р(В) розраховується за допомогою закону повної ймовірності. Цей закон враховує всі можливі взаємозаперечні та вичерпні стани, в загальному - подія А та її доповнення - А (не А). Формула для обчислення Р(В) має такий вигляд:

(4)

де Р(В | ¬А) - ймовірність спостереження оновленої інформації В за умови, що подія А не відбулася. Цей показник у формулі є нормалізуючим фактором, який гарантує, що сума всіх можливих апостеріорних ймовірностей дорівнює 1, що робить Р(А | В) дійсною ймовірністю.

Приклад застосування Баєсівського методу кількісної оцінки ризиків кібербезпеки для кіберзагрози об'єктового рівня наведено в додатку 6 до цієї Методики.

7. Послідовність дій для застосування Баєсівського методу дає змогу об'єктивно оновлювати оцінки ймовірності реалізації ризиків кібербезпеки на основі нових даних, отриманих у процесі кількісної оцінки ризиків кібербезпеки.

Апріорна ймовірність реалізації ризиків кібербезпеки встановлюється на початковому етапі аналізу, ґрунтуючись на наявних даних, статистиці, експертних оцінках та результатах попередніх досліджень. Ця ймовірність відображає поточний ступінь впевненості у реалізації ризиків кібербезпеки до того, як буде отримана оновлена інформація.

Здійснюються ідентифікація та збір об'єктивних даних, спостережень або інформації, які можуть вплинути на оцінку ймовірності ризиків кібербезпеки. Оновлена інформація щодо реалізації ризиків кібербезпеки повинна бути релевантна та зафіксована.

8. Далі проводиться оцінка двох ключових умовних ймовірностей, що базуються на експертних знаннях, статистиці та моделюванні:

ймовірність отримання оновленої інформації щодо реалізації ризиків кібербезпеки (Р(А | В)), яка показує наскільки характерною є отримана інформація для конкретної кіберзагрози;

ймовірність отримання оновленої інформації за умови, що ризик не реалізувався (Р(В | ¬А)), що враховує можливість появи аналогічних відомостей з інших причин (наприклад, технічні збої, що не пов'язані з атакою).

На основі початкової оцінки та цих показників за допомогою формули Баєса обчислюється уточнена ймовірність реалізації ризику. Вона є оновленою кількісною оцінкою рівня ризику, яка вже враховує отриману інформацію.

Наступним проводиться порівняння уточненої ймовірності з початковою. Це дозволяє визначити, яка саме інформація змінила рівень ризику (підвищили його, знизили чи залишили без змін) та наскільки суттєвим є вплив на загальний стан кібербезпеки.

9. На основі оновленої кількісної оцінки ризиків кібербезпеки приймаються обґрунтовані

управлінські рішення щодо обробки ризику (зменшення, прийняття, уникнення, передача) та коригування планів заходів із забезпечення кібербезпеки.

У разі надходження нових релевантних доказів постеріорна ймовірність, отримана на поточному етапі, стає новою апріорною ймовірністю для наступного циклу оцінки, що забезпечує безперервне уточнення та підвищення точності оцінок ризиків кібербезпеки.

Приклади застосування Баєсівського методу кількісної оцінки ризиків кібербезпеки для кіберзагроз національного рівня наведено у додатку 7 до цієї Методики.

Приклад оцінювання ризиків кібербезпеки для кіберзагрози об'єктового рівня за якісним, кількісним та Баєсівським методом кількісної оцінки ризиків кібербезпеки наведено у додатку 8 до цієї Методики.

Директор Департаменту

кіберзахисту Адміністрації Держспецзв'язку

Дмитро ПАХОЛЬЧЕНКО

Додаток 1

до Методики оцінювання ризиків кібербезпеки

(пункт 1 розділу IV)

Рівні

оцінювання впливу (наслідків) кіберзагрози на національному рівні

Рівень

Назва

Опис впливу на ДІР та інформацію, вимога щодо захисту якої встановлена законом, в системах, на ОКII, а також у сферах використання ДІР

Катастрофічний

Порушення функціонування систем та/або ОКII, що містять ДІР; значна шкода національній безпеці; тривале (понад 24 год) припинення надання життєво важливих функцій та/або послуг

Дуже високий

Значні репутаційні/фінансові втрати держави; суттєве порушення функціонування систем, які обробляють інформацію, що містять ДІР, ОКII (8 - 24 год); розголошення інформації, що становить державну таємницю

Високий

Локальне порушення конфіденційності, цілісності, доступності ДІР, систем, що містять ДІР, на ОКII; значні фінансові збитки; короткочасне (1 - 8 год) порушення надання життєво важливих функцій та/або послуг; несанкціонований доступ до ДІР та інформації з обмеженим доступом; витік персональних даних громадян

Середній

Незначні фінансові втрати; короткочасне зниження продуктивності функціонування систем, що містять ДІР, ОКII (до 1 год); необхідність у відновленні даних з резервних копій; локальний репутаційний збиток.

Незначний

Мінімальний вплив на функціонування систем, що містять ДІР, ОКII; відсутність фінансових збитків; інформація, що була скомпрометована, є публічною.

____________

Додаток 2

до Методики оцінювання ризиків кібербезпеки

(пункт 1 розділу IV)

Оцінювання

очікуваної частоти/ймовірності реалізації кіберзагрози

Категорія ймовірності (частота виникнення)

Бали (для якісного методу оцінювання ризиків)

Ймовірність/відсотки (для кількісного методу оцінювання ризиків)

Опис стану кіберзахисту

Дуже висока

0,8 - 1

80 - 100 %

Організаційний рівень: Політики кібербезпеки та плану реагування на інциденти немає. Відповідальність за безпеку не закріплена за конкретним підрозділом чи особою. Співробітники не проходять інструктажі та систематичні тренінги щодо кібергігієни.

Технічний рівень: На критичних системах немає базових засобів захисту (антивірус, міжмережевий екран). Існують відомі, публічно доступні вразливості, які не виправлені. Після аудитів виявлені значні прогалини, які досі не усунуті.

Висока

0,6 - 0,8

60 - 80 %

Організаційний рівень: Політика кібербезпеки існує лише у формальному вигляді, але не застосовується на практиці. План реагування на інциденти або відсутній, або не тестується. Навчання проводяться несистематично і не охоплюють всіх співробітників.

Технічний рівень: Оновлення ПЗ та систем безпеки виконується нерегулярно. Немає багатофакторної автентифікації для облікових записів з високими привілеями. Існують невиправлені критичні вразливості.

Середня

0,4 - 0,6

40 - 60 %

Організаційний рівень: Політика кібербезпеки розроблена та затверджена, але не повністю впроваджена. План реагування на інциденти існує, але може мати прогалини. Навчання проводяться періодично, але їх ефективність не оцінюється.

Технічний рівень: Впроваджені стандартні засоби захисту, але в їх конфігурації чи моніторингу є недоліки. Зафіксовано поодинокі, але частково успішні спроби атак, які не призвели до значних

наслідків.

Низька

0,2 - 0,4

20 - 40 %

Організаційний рівень: Існує комплексна, формалізована політика кібербезпеки. Процедури реагування на інциденти чітко визначені та регулярно тестуються. Навчання співробітників є обов'язковим і проводиться систематично.

Технічний рівень: Впроваджено комплексні заходи захисту, як-от системи виявлення та запобігання вторгнень (IDS/IPS) та системи керування подіями безпеки (SIEM). Системи регулярно оновлюються. Аудити та пентести виявляють лише незначні вразливості.

Дуже низька

0 - 0,2

0 - 20 %

Організаційний рівень: Компанія має високий рівень зрілості у сфері кібербезпеки. Існує чітке управління ризиками. Застосовуються проактивні заходи, що дозволяють запобігати інцидентам. Персонал проходить постійне навчання та підвищення кваліфікації.

Технічний рівень: Впроваджена архітектура "Zero Trust" та автоматизовані системи реагування на інциденти. Не зафіксовано відомих критичних вразливостей. Незважаючи на постійні спроби, успішних атак не було зафіксовано протягом тривалого часу (більше року).

____________

Додаток 3

до Методики оцінювання ризиків кібербезпеки

(пункт 2 розділу IV)

Матриця

ризиків кібербезпеки

____________

Додаток 4

до Методики оцінювання ризиків кібербезпеки

(пункт 1 розділу V)

Перелік ризиків кібербезпеки

Приклад заповнення форми

ID ризику

Актив

Кіберзагроза

Вразли-

вість

Потенцій-

ний вплив

Рівень оціню-

вання

Ймовір-

ність (якіс-

на)

Ймовір-

ність (кіль-

кісна)

Рівень ризику (почат-

ковий)

Обґрунту-

вання почат-

кового рівня

Стратегія обробки

Заплано-

вані заходи (план обробки)

Відпо-

відаль-

на особа

Термін вико-

нання

Статус вико-

нання

Пріо-

ритет

Рівень ризику (залиш-

ковий)

Комен-

тарі/

приміт-

ки

R-001

Сервер БД (конфіден-

ційні дані клієнтів)

Несанкціо-

нований доступ (інсайдер)

Слабкі політики паролів, відсутність розмежу-

вання доступу

Витік даних, репутаційні

втрати, штрафи

5 (Кри-

тичний)

Висока

Критич-

ний

Високий ризик через критич-

ність даних та слабкі засоби контролю

Змен-

шення

Впровад-

ження MFA, посилення політик паролів, впровад-

ження системи DLP

Началь-

ник ІБ

30.09.2025

У про-

цесі

Серед-

ній

Необхід-

не навчан-

ня персо-

налу

У про-

цесі

R-002

Вебсайт (E-commerce платформа)

DDoS-атака

Недостатній захист від DDoS, відсутність балансу-

вальника навантаження

Відмова в обслуго-

вуванні,

фінансові втрати

3 (Висо-

кий)

Серед-

ня

0.5

Висо-

кий

Значний вплив на робочий процес, існують базові, але не повно-

цінні засоби захисту

Змен-

шення

Підклю-

чення до провайдера DDoS-захисту, оптимізація мережевої інфраструк-

тури

IT-дирек-

тор

31.12.2025

Запла-

новано

Низь-

кий

Потрібно провести стрес-тесту-

вання

Запла-

новано

R-003

Робочі станції співробіт-

ників

Встановлення шкідливого ПЗ (троян)

Низький рівень обізнаності користу-

вачів, відсутність EDR-рішення

Крадіжка

облікових даних, блоку-

вання систем

3 (Висо-

кий)

Висока

0.7

Висо-

кий

Висока ймовір-

ність через людський фактор, значний потен-

ційний вплив

Змен-

шення

Регулярне навчання з кібер-

гігієни (щоквар-

тально), впровад-

ження EDR-системи, жорсткіші політики встанов-

лення ПЗ

HR-відділ, началь-

ник ІБ

31.10.2025

У про-

цесі

Серед-

ній

Моніто-

ринг актив-

ності користу-

вачів

У про-

цесі

R-004

Застаріле ПЗ (внутрішній сервер)

Експлуатація відомих вразли-

востей

Неонов-

люване ПЗ (Windows Server 2008), немає плану міграції

Повна компроме-

тація сервера,

втрата даних

5 (Висо-

кий)

Дуже висока

0.9

Критич-

ний

Непідтри-

муване ПЗ створює величезну площу атаки

Уник-

нення

Міграція даних та функ-

ціоналу на новий, підтриму-

ваний сервер з актуальною ОС

IT-відділ

30.11.2025

Запла-

новано

Дуже низь-

кий

Необхід-

ний резерв-

ний план на випадок

Запла-

новано

R-005

Корпора-

тивний портал (інформація про проекти)

Несанкціо-

нований перегляд даних

Слабкий контроль доступу на рівні папок, відсутність регулярного аудиту

прав доступу

Витік комер-

ційної таємниці, зниження

конкуренто-

спроможності

2 (Серед-

ні)

Серед-

ня

0.4

Серед-

ній

Ризик є, але не такий критичний, як витік персо-

нальних даних

Прий-

няття

Вартість повного перегляду прав занадто висока на цьому етапі

Керів-

ник відділу

Постійно

Прий-

нято

Серед-

ній

Ризик буде перегля-

нуто при наступ-