МЕТОДИКА ПОБУДОВИ СИСТЕМИ БЕЗПЕКИ ОБ’ЄКТА ІНФОРМАЦІЙНОЇ ДІЯЛЬНОСТІ ДЛЯ РОБОТИ З ІНФОРМАЦІЄЮ З ОБМЕЖЕНИМ ДОСТУПОМ

Анотація

У статті розроблено ризик-орієнтовану методику побудови системи безпеки об’єкта інформаційної діяльності для роботи з інформацією з обмеженим доступом. Методика узгоджує системний контур кіберзахисту з фізичним та інженерно-технічним контуром об’єкта, охоплює класифікацію інформації, визначення меж довіри, аналіз ризиків, формування цільового профілю, реалізацію контролів, підготовку доказової бази, незалежне оцінювання, авторизацію та безперервний контроль. Запропоновано аналітичні показники притаманного і залишкового ризику, зваженого покриття вимог, повноти доказів та інтегральної готовності. Показано, що кількісні оцінки мають застосовуватися разом із блокуючими критеріями та експертною перевіркою. Практичне застосування продемонстровано на умовному сценарії обробки службової інформації; наведено матрицю відповідальності RACI та річну послідовність упровадження. Наукова новизна полягає у формалізації наскрізного зв’язку «ризик — вимога — реалізація — доказ — рішення про авторизацію» для системного та фізичного контурів ОІД. Результати придатні для планування впровадження, внутрішнього аудиту й підготовки до незалежного оцінювання. Запропоновані формули мають методичний, а не нормативний статус.