Кабмін затвердив порядок розробки та затвердження профілів безпеки інформаційних систем, а також порядок авторизації з безпеки

Сьогодні Кабінет Міністрів України ухвалив постанову, якою затвердив «Порядок розробки та затвердження профілів безпеки інформаційних, електронних комунікаційних, інформаційно-комунікаційних, технологічних систем» та «Порядок авторизації з безпеки інформаційних, електронних комунікаційних, інформаційно-комунікаційних, технологічних систем».

Ці порядки забезпечують реалізацію новацій, передбачених Законом України «Про внесення змін до деяких законів України щодо захисту інформації та кіберзахисту державних інформаційних ресурсів, об’єктів критичної інформаційної інфраструктури» (№ 4336-ІХ від 27.03.2025).

Зокрема визначені механізми розробки та затвердження базових, галузевих та цільових профілів безпеки.

✅ Базовий профіль безпеки системи розробляється залежно від інформації за видом обмеженням доступу, що обробляється у системах, а також функціонального призначення системи, та затверджується Адміністрацією Держспецзв’язку.

✅ Галузевий профіль безпеки системи розробляється з урахуванням визначеного базового профілю безпеки системи для відповідної категорії систем.

✅ Цільовий профіль безпеки системи розробляється для відповідної системи, що підлягає авторизації з безпеки, на основі базового профілю безпеки системи або галузевого профілю безпеки системи (за наявності).

Визначаються процедури проведення авторизації з безпеки систем, в яких обробляються державні інформаційні ресурси або інформація з обмеженим доступом об’єктів критичної інформаційної інфраструктури, власниками або розпорядниками яких є органи державної влади, державні органи, державні підприємства, установи та організації, органи місцевого самоврядування.

Авторизація з безпеки систем проводиться для можливості експлуатації системи з урахуванням відповідності вимогам законодавства, національним стандартам та передбаченим законодавством нормам технічного та криптографічного захисту інформації та кіберзахисту.

Також встановлені процедури підтвердження дотримання вимог з безпеки таких систем, а також об’єктів критичної інформаційної інфраструктури протягом їхнього життєвого циклу.