Розділ IX. Проєктування систем інформаційної безпеки

Security by design

Безпека формується під час визначення вимог і архітектури, а не додається після розроблення. Процес:

контекст і активи → вимоги → модель загроз → архітектура довіри → контролі → реалізація → верифікація → безпечна експлуатація → вдосконалення.

Архітектура системи

• зони довіри й межі;
• ідентичності та привілейований доступ;
• потоки даних;
• сегментація;
• криптографічні сервіси;
• журналювання і telemetry;
• керування конфігураціями;
• резервування і recovery;
• залежності та supply chain.

Особливості державної сфери

Правовий режим інформації, життєвий цикл державних даних, інтероперабельність, довгострокове зберігання, публічна підзвітність, КСЗІ/процедури відповідності, воєнна стійкість.

Критична помилка

Створити «периметр» і довіряти всьому всередині. Сучасна архітектура виходить із можливості компрометації, ізолює критичні ресурси й перевіряє кожну значущу дію.

Захисні сервіси

IAM/PAM, PKI, asset management, vulnerability management, SOC, CERT/CSIRT, SIEM, EDR/NDR, backup, key management, secure remote access, DDoS protection, configuration management, threat intelligence.

Критичні параметри

• доступність і допустимий downtime;
• RTO/RPO;
• latency та пропускна здатність;
• безпечні межі фізичного процесу;
• maximum tolerable disruption;
• цілісність команд і телеметрії;
• резерв потужності;
• час виявлення та локалізації;
• залежності від енергії, зв’язку, постачальника.

Держава і КІ

Інформаційна безпека державного призначення має будуватися на категоризації, нормативних вимогах, оцінці ризиків, державній координації, обміні даними про інциденти, спільних навчаннях і планах безперервності.

Стан систем захисту

На іспиті краще не робити непідтверджених узагальнень. Системно назвати типові виклики: legacy, неоднорідна зрілість, дефіцит кадрів, розподілена відповідальність, wartime pressure, supply-chain dependency; потім показати напрями розвитку.

Автентифікацію можна розглядати як перевірку гіпотези: H₁ — суб’єкт справжній, H₀ — спроба самозванця.

Помилки

• False Acceptance Rate (FAR): самозванця прийнято;
• False Rejection Rate (FRR): легітимного користувача відхилено;
• EER: точка рівності FAR і FRR для порівняння систем.

Зниження порогу підвищує зручність, але збільшує FAR; підвищення порогу зменшує FAR, але збільшує FRR.

Ймовірнісна оцінка

Використовують likelihood ratio, Bayes rule, ROC-криві, оцінку базової частоти атак. Рішення має враховувати різну ціну помилок: у критичній системі false acceptance може бути значно дорожчим.

Криптографічна автентифікація

Challenge–response доводить володіння секретом без передавання самого секрету; nonce захищає від replay; mutual authentication перевіряє обидві сторони. Протокол треба оцінювати на MITM, replay, downgrade і викрадення ключа.

Цифровий підпис

Підписувач обчислює хеш даних і формує підпис особистим ключем; перевірка здійснюється відкритим ключем. Підпис забезпечує цілісність, автентичність походження та може підтримувати неспростовність у поєднанні з правовими й організаційними процедурами.

PKI

Центр сертифікації пов’язує відкритий ключ з ідентичністю через сертифікат. Важливі certificate chain, строки дії, CRL/OCSP, timestamping, політики та захист кореневих ключів.

Життєвий цикл ключа

Генерація → реєстрація/сертифікація → розподіл → використання → зберігання/backup → ротація → призупинення/відкликання → архівування → знищення.

Захист ключів

HSM, secure element, TPM, поділ ролей, dual control, журналювання, контроль експорту, recovery procedures. Компрометація ключа потребує не лише заміни, а й оцінки всіх підписів/даних, на які вона могла вплинути.

Методи

• шифрування даних at rest/in transit/in use за доступними технологіями;
• електронний підпис;
• MAC і хешування;
• захищене узгодження ключів;
• PKI;
• tokenization і format-preserving encryption у спеціальних випадках;
• секретний розподіл і hardware-backed keys.

Вибір засобу

Режим доступу, категорія системи, модель загроз, вимоги законодавства, сертифікація/експертний висновок, продуктивність, сумісність, керування ключами та довгострокова стійкість.

Організаційно-технічне проєктування

Криптографічний засіб ефективний лише в належному процесі: ролі, генерація ключів, довірена доставка, облік, резервування, відкликання, реагування на компрометацію, аудит і навчання.

Актуальний акцент: потрібно планувати криптографічну гнучкість (crypto-agility) та міграцію до постквантових алгоритмів там, де дані мають тривалу секретність.

Рівні регулювання

1. закони;
2. акти Президента і Кабінету Міністрів;
3. нормативні акти уповноважених органів;
4. НД ТЗІ та стандарти;
5. галузеві вимоги;
6. внутрішні політики організації.

Що регулюється

Категорії інформації, доступ, створення й експлуатація систем, технічний та криптографічний захист, критична інфраструктура, електронна ідентифікація, персональні дані, реагування на інциденти, відповідальність.

Екзаменаційний підхід

Для кожного акта назвати: предмет, коло суб’єктів, ключові обов’язки й практичний наслідок. Не ототожнювати compliance з фактичною безпекою: відповідність — базова умова, але ризикова оцінка може вимагати додаткових контролів.

Етапи

1. обстеження об’єкта;
2. визначення інформації, активів і процесів;
3. категоризація та правові вимоги;
4. модель загроз і порушника;
5. вимоги й технічне завдання;
6. архітектура та вибір контролів;
7. реалізація й документування;
8. тестування/оцінювання відповідності;
9. введення в експлуатацію;
10. моніторинг, зміни та повторна оцінка.

Компоненти

Організаційні політики, фізичний захист, IAM, мережевий захист, endpoint/application/data security, криптографія, журналювання, реагування, безперервність, supply chain.

Принцип простежуваності

Кожний контроль має бути пов’язаний із вимогою або ризиком; кожна вимога — з тестом; результати — з доказом. Це дає змогу пояснити не лише що встановлено, а й чому та як перевірено ефективність.

Внутрішні служби

CISO/керівник безпеки, governance/risk/compliance, SOC, CSIRT, IAM/PAM, security architecture, application security, threat intelligence, forensics, business continuity, physical security, internal audit.

Зовнішні служби

MSSP/MDR, хмарні провайдери, зовнішній SOC, аудитори, penetration testing, постачальники threat intelligence, CERT/CSIRT, правоохоронні та регуляторні органи.

ISMS

Система управління інформаційною безпекою — сукупність політик, ролей, процесів, ресурсів і контролів для керування ризиками. Цикл PDCA: plan → do → check → act.

Взаємодія

Потрібні RACI, SLA, канали ескалації, класифікація інцидентів, правила обміну даними, спільні вправи. Передання функції підряднику не передає остаточну відповідальність керівництва.

Особливості

Системи є розподіленими, змінними, залежать від ідентичностей, хмар, API, мобільних пристроїв і постачальників. Тому кордон мережі більше не є єдиною межею довіри.

Базовий набір

• інвентаризація активів і ПЗ;
• hardened configuration;
• patch/vulnerability management;
• MFA та PAM;
• сегментація;
• encryption;
• EDR/NDR/SIEM;
• резервні копії;
• secure development;
• incident response;
• навчання;
• регулярне тестування.

Застосування ШІ

AI може пріоритизувати аномалії та прискорити аналіз, але потребує контрольованих даних, захисту моделі, оцінки помилок і людського підтвердження критичних дій.

Підсумок

Ефективність вимірюється не кількістю засобів, а зменшенням імовірності та впливу інцидентів, швидкістю виявлення/відновлення і здатністю довести виконання контролів.