Як отримати сертифікацію
На прикладі ISO/IEC 27001 — схеми, яку визнають і в Україні, і в ЄС. Для організації середнього розміру шлях займає від 8 до 14 місяців.
Підготовка
- Вибір схеми: система управління, продукт або компетенції фахівця
- Gap-аналіз і план закриття розривів з власниками
- Впровадження політик, контролів і накопичення доказів
Аудит і підтримання
- Внутрішній аудит та аналіз з боку керівництва
- Сертифікаційний аудит: етап 1 — документи, етап 2 — практика
- Щорічні наглядові аудити, ресертифікація раз на три роки
На що звернути увагу
- Орган сертифікації має бути акредитованим — перевірте в НААУ
- Доказова база важливіша за обсяг документації
- Найчастіша причина невідповідностей — формальний аналіз керівництвом
Стандарти, про які йдеться
Вісім документів, з якими працює Центр: кожен має власну сторінку зі структурою, артефактами та планом впровадження.
CyBOK v1.1
Відкритий збірник знань із кібербезпеки: 21 галузь у 5 категоріях для навчання та професійного розвитку.
Обов’язковий у визначеній сфері; нагляд за критичними ІКТ-постачальникамиDORA
DORA встановлює правила цифрової операційної стійкості фінансового сектору ЄС: керування ІКТ-ризиками, реагування на інциденти, тестування, робота з постачальниками та обмін інформацією про загрози.
Рекомендації; правові вимоги перевіряють окремоENISA Guidelines
Добірка практичних матеріалів ENISA про управління кіберризиками, захист продуктів, навчальні вправи та професійні компетентності. Кожна публікація має власну сферу застосування.
Обов’язкова в межах сфери дії та національного впровадженняNIS2
NIS2 встановлює вимоги до кіберстійкості визначених організацій у критично важливих секторах ЄС: управління ризиками, відповідальність керівництва та повідомлення про значні інциденти.
Добровільний; конкретні зобов’язання можуть випливати із законодавства або договоруISO/IEC 27001
ISO/IEC 27001 визначає вимоги до системи управління інформаційною безпекою: як оцінювати ризики, обирати заходи захисту та перевіряти їх результативність.
Переважно добровільний; окремі вимоги перевіряють за контекстомNIST CSF 2.0
NIST CSF 2.0 допомагає організації зрозуміти кіберризики, визначити пріоритети захисту та пояснити їх керівництву. Рамка поєднує бажані результати кібербезпеки, профілі поточного й цільового стану та характеристики практик керування ризиками.
Обов’язковий у сфері дії, з поетапним застосуваннямCyber Resilience Act
CRA встановлює вимоги кібербезпеки до апаратних і програмних продуктів на ринку ЄС: від проєктування та оцінювання відповідності до усунення вразливостей у період підтримки.
Добровільний; можливі договірні або місцеві вимогиCIS Controls v8.1
CIS Controls v8.1 допомагає пріоритезувати кіберзахист: 18 напрямів і 153 конкретні заходи для активів, даних, людей та процесів організації.
Оглядовий стандарт; не закон і не вимоги до сертифікаціїISO/IEC 27000:2018
ISO/IEC 27000:2018 пояснює основи системи управління інформаційною безпекою та її терміни. Це вступ до сімейства стандартів; редакцію 2018 замінено редакцією 2026.
Добровільна рамка професійних компетентностейECSF
Європейська рамка, яка пов’язує професійні ролі в кібербезпеці з робочими завданнями, знаннями й навичками для найму та навчання.
Рамка опису роботи; застосування відповідно до контекстуNICE Framework
NICE описує роботу з кібербезпеки через завдання, знання та навички. Допомагає узгоджувати посадові обов’язки, навчання й розвиток команд.
Добровільна рамка компетентностей; використання за ліцензієюSFIA 9
SFIA 9 допомагає описати професійні навички, рівень відповідальності та поведінку на роботі. Рамка дає спільну основу для профілів посад, оцінювання досвіду й розвитку цифрових команд.
Добровільний стандарт компетентностейe-CF · EN 16234-1:2019
e-CF описує професійні компетентності фахівців з інформаційно-комунікаційних технологій. Рамка допомагає узгодити вимоги до роботи, оцінити досвід і скласти план навчання: від розроблення систем до їх підтримки та управління.
Класифікація для узгодження термінівESCO
ESCO — багатомовна класифікація професій, знань і навичок Європейської комісії. Вона допомагає узгоджувати вакансії, резюме та результати навчання за спільними поняттями.
Рекомендація; рамка кваліфікаційEQF
EQF — європейська рамка з 8 рівнів, яка допомагає порівнювати кваліфікації через результати навчання: знання, уміння, відповідальність та автономність.
Професійні вимоги для реєстрації; окремі умови галузевих схемUK Cyber Security Council
UK Cyber Security Council — британська професійна рада, яка встановлює вимоги до компетентності фахівців із кібербезпеки, веде професійний реєстр і пояснює шляхи розвитку кар’єри. Її ресурси допомагають зіставити робочі завдання, досвід, навчання та професійне визнання.
Довідкові матеріали; вимоги залежать від конкретного документаISACA
ISACA — міжнародна професійна організація у сферах ІТ-аудиту, управління технологіями, ризиків і безпеки. Її глосарій допомагає розуміти фахові поняття, а рамки та настанови — застосовувати їх у роботі.
Довідковий навчальний матеріалISC2 · CISSP Glossary
Публічний глосарій ISC2 пояснює терміни, які трапляються в навчальних матеріалах CISSP. Він допомагає читати професійні тексти й обговорювати безпеку; повну програму підготовки та вимоги до сертифікації слід розглядати окремо.
Довідковий матеріал; не обов’язкова вимогаSANS / GIAC
Глосарій SANS допомагає розуміти мову кібербезпеки: доступ, мережі, загрози та захист. Це довідник для навчання й роботи; програми навчання SANS і сертифікації фахівців GIAC мають окремі умови.
Добровільні освітні програми й персональна сертифікаціяEC-Council
EC-Council розробляє навчальні програми й персональні сертифікації з кібербезпеки. Цей розділ пояснює базові поняття, напрями підготовки та умови відповідальної практики на основі вступної статті й офіційних матеріалів організації.
Довідковий матеріал без самостійних обов’язкових вимогNCSC Glossary
Глосарій британського National Cyber Security Centre пояснює терміни кібербезпеки та скорочення, щоб читачі однаково розуміли рекомендації, технічні звіти й робочі завдання.
Добровільний довідковий матеріалCISA NICCS Glossary
Глосарій порталу CISA NICCS пояснює англомовні поняття кібербезпеки, освіти та професійного розвитку. Допомагає зрозуміти навчальні матеріали й узгодити терміни в команді.
Добровільна схема; може вимагатися конкретним контрактомCyber Essentials v3.2
Cyber Essentials визначає базові технічні заходи проти поширених інтернет-атак і спосіб перевірки їх виконання в організації. Сторінка пояснює редакцію v3.2 та її наступницю v3.3.
Добровільна технічна модельMITRE ATT&CK
MITRE ATT&CK пояснює спостережувану поведінку кіберзловмисників і допомагає пов’язати її з моніторингом, аналізом інцидентів та перевіркою захисту.
Добровільний технічний довідникMITRE CWE
CWE пояснює типи слабкостей програмного й апаратного забезпечення та допомагає знаходити спільні причини вразливостей. Глосарій дає поняття для читання каталогу й точного опису дефектів.
Добровільна довідкова база знаньMITRE CAPEC
CAPEC пояснює повторювані способи атак і допомагає пов’язати загрози зі слабкими місцями та заходами захисту. Глосарій дає основу для читання каталогу й моделювання загроз.
Регламент ЄС; сертифікація добровільна, якщо закон не вимагає іншогоCybersecurity Act · 2019/881
Cybersecurity Act закріплює постійний мандат ENISA та спільні правила створення європейських схем сертифікації кібербезпеки. Він пояснює, хто оцінює цифрові продукти й послуги та що підтверджує сертифікат.
Обов’язковий у межах сфери застосуванняGDPR
GDPR визначає правила обробки персональних даних, права людей та відповідальність організацій. Регламент поєднує законність використання даних із вимогами до їх захисту.
Схеми сертифікації
Що саме сертифікують за кожним документом: систему управління, продукт або кваліфікацію фахівця.
Немає власної сертифікації
CyBOK не сертифікує організації. Використовується як основа акредитації освітніх програм і визнання кваліфікацій.
Акредитація освітньої програми
Покриття галузей знань CyBOK — аргумент відповідності стандарту вищої освіти.
Немає окремого сертифіката DORA
Відповідність підтверджується наглядом і аудитом, а не сертифікатом. Доказова база — політики, реєстри, звіти.
ISO/IEC 27001 як доказова база
Сертифікат СУІБ закриває значну частину вимог до управління ІКТ-ризиком.
Акредитація провайдера TLPT
Центр готує вимоги до українських провайдерів тестування на основі загроз.
EUCC
Перша європейська схема; рівні гарантії basic, substantial, high.
EUCS
Схема для хмарних сервісів; статус — фіналізація на рівні ЄС.
Відповідність підтверджує нагляд
Сертифіката немає: орган перевіряє заходи та накладає санкції за невиконання.
ISO/IEC 27001 як презумпція
Сертифікат використовується як доказ виконання заходів ст. 21.
Сертифікація СУІБ
Двоетапний аудит: документація, потім практика. Перевірте акредитацію органу в НААУ.
Lead Implementer / Lead Auditor
Особисті сертифікати, які визнаються при формуванні команди впровадження.
План підготовки до сертифікації
Для кожного документа: спосіб підтвердження, орієнтовний строк, хто перевіряє та послідовність кроків.
CyBOK v1.1
- Звірити наявні дисципліни з галузями знань.
- Визначити прогалини в результатах навчання.
- Оновити робочі програми та практикуми.
- Погодити зміни на кафедрі та вченій раді.
DORA
- Побудувати систему управління ІКТ-ризиком із відповідальністю правління.
- Скласти реєстр ІКТ-постачальників і переглянути договори.
- Налагодити класифікацію та повідомлення про інциденти.
- Запровадити програму тестування стійкості.
- Провести TLPT для критичних функцій.
- Звітувати регулятору та закривати зауваження.
ENISA Guidelines
- Визначити застосовну схему сертифікації.
- Звірити продукт або послугу з вимогами схеми.
- Підготувати докази й документацію.
- Пройти оцінювання в акредитованому органі.
NIS2
- Визначити, чи організація є essential або important entity.
- Зареєструватися в компетентному органі.
- Впровадити десять базових заходів управління ризиком.
- Налагодити порядок повідомлення: рання нотифікація, звіт, фінальний звіт.
- Забезпечити навчання та відповідальність керівництва.
- Готуватися до наглядових перевірок і запитів органу.
ISO/IEC 27001
- Визначити межі СУІБ: підрозділи, процеси, активи.
- Провести оцінювання ризиків і скласти план обробки.
- Сформувати Заяву про застосовність із обґрунтуванням виключень.
- Впровадити політики й контролі Додатка A, зібрати докази виконання.
- Провести внутрішній аудит і аналіз з боку керівництва.
- Пройти сертифікаційний аудит: етап 1 (документи), етап 2 (практика).
- Утримувати систему: нагляд щороку, повторна сертифікація на третій рік.
NIST CSF 2.0
- Скласти поточний профіль за шістьма функціями.
- Визначити цільовий профіль за пріоритетами організації.
- Виявити прогалини між профілями.
- Спланувати дії з відповідальними та строками.
- Повторити оцінювання й зафіксувати прогрес.
Cyber Resilience Act
- Визначити, чи продукт належить до критичних категорій.
- Провести оцінювання ризиків кібербезпеки продукту.
- Налаштувати безпечні значення за замовчуванням і випускати оновлення протягом строку підтримки.
- Налагодити процес обробки уразливостей і SBOM.
- Підготувати технічну документацію та декларацію відповідності.
- Пройти оцінювання відповідності за застосовною процедурою.
- Нанести маркування CE та підтримувати процеси протягом життєвого циклу.
CIS Controls v8.1
- Визначити групу впровадження: IG1, IG2 або IG3.
- Провести інвентаризацію активів і програмного забезпечення.
- Закрити контролі 1–6 (базова гігієна).
- Перейти до контролів 7–12, далі 13–18 за потреби.
- Задокументувати стан і повторювати перевірку щокварталу.