Розділ IV. Комп’ютерні системи та інформаційна безпека держави

У програмі вжито формулювання «методи організації безпечної взаємодії інформації». Технічно точніше говорити про безпечну обробку, зберігання та обмін інформацією між суб’єктами й компонентами комп’ютерної системи.

Основні механізми

• ідентифікація та автентифікація суб’єктів і пристроїв;
• авторизація та контроль доступу;
• шифрування даних під час передавання і зберігання;
• контроль цілісності, MAC і цифровий підпис;
• безпечне керування ключами;
• сегментація мережі та ізоляція процесів;
• безпечні протоколи й API;
• журналювання, моніторинг та аудит;
• резервування і відновлення.

Безпечний канал

Має забезпечити конфіденційність, цілісність, автентичність сторін, захист від повторного відтворення повідомлення та, за потреби, неспростовність. TLS є типовим механізмом захисту транспортного каналу, але не виправляє небезпечну бізнес-логіку або скомпрометований кінцевий вузол.

Принцип end-to-end

Дані мають захищатися від джерела до кінцевого отримувача. Шифрування лише окремої мережевої ділянки залишає відкритими проміжні вузли. Водночас end-to-end encryption у державних системах потребує чіткого керування ключами, відновлення доступу та законних процедур.

Комп’ютерні системи виконують операційні, аналітичні, комунікаційні та контрольні функції. У державному управлінні вони підтримують реєстри, документообіг, послуги, фінанси, ситуаційні центри; на об’єктах КІ — керують фізичними процесами через ICS/SCADA, PLC та системи диспетчеризації.

IT і OT

• IT орієнтовані на дані, конфіденційність, часті оновлення, стандартні ОС.
• OT керують фізичним процесом; пріоритетом є безпека людей і безперервність, обладнання має довгий цикл, а зупинка для патчу може бути неприпустимою.

Наслідки компрометації

Порушення ІТ може спричинити витік чи зупинку послуги; порушення OT — фізичне пошкодження, аварію, загрозу життю, екологічну шкоду. Тому оцінюють не лише інформаційний, а й операційний та безпековий вплив.

Захисні принципи

Інвентаризація, зонування й conduits, односторонні шлюзи де доречно, контроль віддаленого доступу, allowlisting, пасивний моніторинг, резервні ручні режими, тестування змін у стенді, coordinated incident response між IT, OT, фізичною безпекою та керівництвом.

Інформаційно-технологічний вплив — зміна стану інформаційних систем, ресурсів або процесів за допомогою технічних засобів. Він може бути деструктивним, розвідувальним, маніпулятивним або таким, що забезпечує власні операції.

Інформаційна війна

Комплекс узгоджених дій для досягнення переваги шляхом впливу на інформацію, інформаційні системи, процеси прийняття рішень і свідомість аудиторій, одночасно захищаючи власне інформаційне середовище.

Виміри

• технічний: кібератаки, РЕБ, порушення зв’язку, компрометація даних;
• психологічний: пропаганда, дезінформація, деморалізація;
• розвідувальний: збір, аналіз, викрадення інформації;
• організаційний: вплив на процеси та ланцюги командування;
• правовий і дипломатичний: легітимація власних дій, делегітимація опонента.

Захист

Технічна стійкість, стратегічні комунікації, фактчекінг, медіаграмотність, виявлення координації, захист каналів комунікації, швидке правдиве інформування, навчання посадових осіб, резервні канали та оцінка когнітивних уразливостей.

Важливо: не кожна неправдива публікація є інформаційною операцією; для висновку потрібні ознаки наміру, координації, цільової аудиторії, повторюваних наративів і зв’язку з бажаним ефектом.

За STRIDE

• Spoofing — підміна особи;
• Tampering — несанкціонована зміна;
• Repudiation — заперечення дії;
• Information Disclosure — розголошення;
• Denial of Service — відмова в обслуговуванні;
• Elevation of Privilege — підвищення привілеїв.

За поверхнею атаки

Кінцеві пристрої, сервери, мережа, вебзастосунки, API, хмара, ідентичності, пошта, мобільні пристрої, OT/IoT, постачальники, персонал і фізична інфраструктура.

Типовий ланцюг атаки

Розвідка → первинний доступ → виконання → закріплення → підвищення привілеїв → уникнення захисту → доступ до облікових даних → внутрішнє переміщення → збір → command and control → ексфільтрація або вплив.

Протидія

Defense in depth, attack surface management, secure configuration, MFA, EDR, сегментація, least privilege, резервні копії, detection engineering, threat hunting, тестування, реагування й навчання.

Ймовірне уточнення: загроза — не те саме, що вразливість; CVE — ідентифікатор відомої вразливості, а exploit — спосіб її практичного використання.

Кібертероризм доцільно визначати як політично, ідеологічно чи релігійно мотивоване застосування або загрозу застосування кіберзасобів для створення тяжких наслідків і залякування населення чи примушування влади.

Відмежування

• хактивізм переважно має демонстративний політичний ефект без тяжких наслідків;
• кіберзлочинність мотивована переважно вигодою;
• державна кібероперація є інструментом державної політики або війни;
• кібертероризм потребує терористичної мети та відповідного рівня впливу.

Потенційні сценарії

Атаки на енергетику, транспорт, медичні системи, зв’язок, системи попередження; комбінування фізичної атаки з кіберкомпонентом; використання криптовалют, анонімних комунікацій і пропагандистських платформ.

Проблеми протидії

Атрибуція, транскордонність, використання легітимної інфраструктури, розмиття між злочинністю й державними проксі, баланс безпеки і прав людини. Потрібні захист КІ, міжвідомча та міжнародна взаємодія, розвідка загроз, фінансове відстеження, evidence preservation і кризова готовність.

Кіберзлочини можна поділити на:

1. cyber-dependent crimes — можливі лише із застосуванням ІКТ: несанкціонований доступ, malware, DDoS;
2. cyber-enabled crimes — традиційні злочини, масштабовані технологіями: шахрайство, вимагання, експлуатація людей, незаконний обіг;
3. злочини, де цифрові системи є середовищем доказів або комунікації.

Інші класифікації

• за об’єктом: дані, системи, власність, приватність, громадська безпека;
• за роллю комп’ютера: предмет, знаряддя, середовище, джерело доказів;
• за суб’єктом: одинаки, організовані групи, інсайдери, державні/проксі-суб’єкти;
• за моделлю монетизації: крадіжка коштів, ransomware, продаж доступу, даних чи послуг.

Особливості розслідування

Волатильність доказів, транскордонність, масштаб, псевдонімність, хмарна інфраструктура, шифрування, необхідність швидкого збереження даних, chain of custody, спеціальні знання та міжнародна правова допомога.

Сильний висновок: цифровий слід не є автоматично надійним доказом — потрібно підтвердити його походження, цілісність, час, контекст і зв’язок із конкретною особою.

Застосування захисником

• виявлення аномалій у мережі та поведінці;
• класифікація malware і фішингу;
• кореляція подій та пріоритизація alert;
• аналіз тексту threat intelligence;
• виявлення шахрайства;
• автоматизація triage і response;
• аналіз коду та конфігурацій.

Застосування нападником

Персоналізований фішинг, deepfake, генерація шкідливого коду, автоматизація розвідки, пошук вразливостей, обхід детекторів, масштабування соціальної інженерії.

Ризики моделей

Adversarial examples, data poisoning, model stealing, prompt injection, витік через training data, hallucination, automation bias, model supply chain.

Безпечне впровадження

Чіткий use case, оцінка даних, red teaming, human oversight, ізоляція інструментів, контроль доступу до секретів, logging, регулярне тестування, fall-back режим, вимірювання false positives/negatives.

Ключова теза: ШІ не замінює базову кібергігієну. Модель, навчена на поганих даних і підключена до надмірних повноважень, збільшує ризик.