З чого почати
Точка входу різна: для закладів освіти — CyBOK, для бізнесу — ISO/IEC 27001 або галузевий регламент, для неприбуткових організацій — базові контролі, для сектору безпеки — профілі компетенцій.
Навчальні заклади
- CyBOK як каркас програми та обґрунтування акредитації
- Матриця «галузь знань → дисципліна», шаблони силабусів
- Курс «CyBOK для викладачів», академічна робоча група
Бізнес
- ISO/IEC 27001 як база для тендерів і договорів
- DORA або NIS2 залежно від сектору
- Чеклісти, реєстри, типові договірні застереження
Громадські організації
- CIS Controls v8.1 — базова гігієна без служби ІБ
- NIST CSF 2.0 як мова звітності перед донорами
- Захист даних бенефіціарів і безпека комунікацій
Військові та сектор безпеки
- Профілі компетенцій на базі CyBOK
- NIS2 як орієнтир для критичної інфраструктури
- Сценарії реагування та взаємодії з CERT-UA
Матриця порівняння
Обов’язковість, спосіб підтвердження відповідності та типова сфера застосування.
| Документ | Обов’язковість | Підтвердження | Хто перевіряє | Кому застосовувати | Країна |
|---|---|---|---|---|---|
| CyBOK v1.1 | Добровільний збірник знань | Немає | — | Розроблення програм і професійне навчання | Велика Британія |
| DORA | Обов’язковий у визначеній сфері; нагляд за критичними ІКТ-постачальниками | Наглядові перевірки | Регулятор + TLPT | Стійкість фінансових послуг і керування ІКТ-залежностями | ЄС |
| ENISA Guidelines | Рекомендації; правові вимоги перевіряють окремо | Немає | — | Вибір заходів, розвиток команди та перевірка готовності | ЄС |
| NIS2 | Обов’язкова в межах сфери дії та національного впровадження | Наглядові перевірки | Регулятор | Безперервність критичних послуг та виконання застосовних обов’язків | ЄС |
| ISO/IEC 27001 | Добровільний; конкретні зобов’язання можуть випливати із законодавства або договору | Сертифікація СУІБ організації третьою стороною | Внутрішні аудити; зовнішні — за програмою сертифікації | Керування інформаційними ризиками в організації | Міжнародний (ISO/IEC) |
| NIST CSF 2.0 | Переважно добровільний; окремі вимоги перевіряють за контекстом | Немає (самооцінка) | Внутрішня оцінка | Керування кіберризиками, пріоритети захисту та звітування | США |
| Cyber Resilience Act | Обов’язковий у сфері дії, з поетапним застосуванням | Оцінювання відповідності, CE | Внутрішній контроль або нотифікований орган залежно від категорії | Підготовка цифрового продукту до ринку ЄС і безпечної підтримки | ЄС |
| CIS Controls v8.1 | Добровільний; можливі договірні або місцеві вимоги | Самооцінка; окрема акредитація постачальників послуг | Оцінювання заходів за доказами | Пріоритезація, впровадження та перевірка кіберзахисту | США |
| ISO/IEC 27000:2018 | Оглядовий стандарт; не закон і не вимоги до сертифікації | — | — | Вступ до СУІБ та узгодження термінів | Міжнародний (ISO/IEC) |
| ECSF | Добровільна рамка професійних компетентностей | — | — | Планування кадрів, найм, освітні програми та розвиток кар’єри | ЄС |
| NICE Framework | Рамка опису роботи; застосування відповідно до контексту | — | — | Кадрове планування, навчання, профілі роботи | США |
| SFIA 9 | Добровільна рамка компетентностей; використання за ліцензією | — | — | Опис посад, розвиток команд і кар’єрне планування | Велика Британія |
| e-CF · EN 16234-1:2019 | Добровільний стандарт компетентностей | — | — | Профілі ІКТ-роботи, розвиток персоналу та освітні програми | ЄС |
| ESCO | Класифікація для узгодження термінів | — | — | Вакансії, навчальні програми та кар’єрне консультування | ЄС |
| EQF | Рекомендація; рамка кваліфікацій | — | — | Порівняння кваліфікацій, освітні програми, міжнародна мобільність | ЄС |
| UK Cyber Security Council | Професійні вимоги для реєстрації; окремі умови галузевих схем | — | — | Кар’єра, розвиток команди та професійне визнання | Велика Британія |
| ISACA | Довідкові матеріали; вимоги залежать від конкретного документа | — | — | Професійна термінологія, управління й аудит | США |
| ISC2 · CISSP Glossary | Довідковий навчальний матеріал | — | — | Навчання та узгодження професійної термінології | США |
| SANS / GIAC | Довідковий матеріал; не обов’язкова вимога | — | — | Розуміння термінів і підготовка зрозумілих технічних пояснень | США |
| EC-Council | Добровільні освітні програми й персональна сертифікація | — | — | Професійна підготовка та оцінювання навичок | Міжнародний |
| NCSC Glossary | Довідковий матеріал без самостійних обов’язкових вимог | — | — | Навчання, читання рекомендацій, узгодження робочої термінології | Велика Британія |
| CISA NICCS Glossary | Добровільний довідковий матеріал | — | — | Термінологія для навчання, комунікації та розвитку кадрів | США |
| Cyber Essentials v3.2 | Добровільна схема; може вимагатися конкретним контрактом | Cyber Essentials / Cyber Essentials Plus | Перевірена самооцінка; для Plus — технічні тести | Базовий захист ІТ та підтвердження вимог замовника | Велика Британія |
| MITRE ATT&CK | Добровільна технічна модель | Використання моделі не є сертифікацією | Перевірка конкретних можливостей захисту за доказами | Аналіз загроз, моніторинг і перевірка захисту | США |
| MITRE CWE | Добровільний технічний довідник | — | — | Аналіз причин дефектів і безпечне розроблення | США |
| MITRE CAPEC | Добровільна довідкова база знань | — | — | Моделювання загроз і перевірка захисних вимог | США |
| Cybersecurity Act · 2019/881 | Регламент ЄС; сертифікація добровільна, якщо закон не вимагає іншого | За конкретною ухваленою схемою | Оцінка відповідності за правилами схеми | Оцінювання доказів безпеки та вибір постачальників ІКТ | ЄС |
| GDPR | Обов’язковий у межах сфери застосування | — | — | Законна обробка даних, захист прав людей і керування ризиками приватності | ЄС |
Стандарти, про які йдеться
Вісім документів, з якими працює Центр: кожен має власну сторінку зі структурою, артефактами та планом впровадження.
CyBOK v1.1
Відкритий збірник знань із кібербезпеки: 21 галузь у 5 категоріях для навчання та професійного розвитку.
Обов’язковий у визначеній сфері; нагляд за критичними ІКТ-постачальникамиDORA
DORA встановлює правила цифрової операційної стійкості фінансового сектору ЄС: керування ІКТ-ризиками, реагування на інциденти, тестування, робота з постачальниками та обмін інформацією про загрози.
Рекомендації; правові вимоги перевіряють окремоENISA Guidelines
Добірка практичних матеріалів ENISA про управління кіберризиками, захист продуктів, навчальні вправи та професійні компетентності. Кожна публікація має власну сферу застосування.
Обов’язкова в межах сфери дії та національного впровадженняNIS2
NIS2 встановлює вимоги до кіберстійкості визначених організацій у критично важливих секторах ЄС: управління ризиками, відповідальність керівництва та повідомлення про значні інциденти.
Добровільний; конкретні зобов’язання можуть випливати із законодавства або договоруISO/IEC 27001
ISO/IEC 27001 визначає вимоги до системи управління інформаційною безпекою: як оцінювати ризики, обирати заходи захисту та перевіряти їх результативність.
Переважно добровільний; окремі вимоги перевіряють за контекстомNIST CSF 2.0
NIST CSF 2.0 допомагає організації зрозуміти кіберризики, визначити пріоритети захисту та пояснити їх керівництву. Рамка поєднує бажані результати кібербезпеки, профілі поточного й цільового стану та характеристики практик керування ризиками.
Обов’язковий у сфері дії, з поетапним застосуваннямCyber Resilience Act
CRA встановлює вимоги кібербезпеки до апаратних і програмних продуктів на ринку ЄС: від проєктування та оцінювання відповідності до усунення вразливостей у період підтримки.
Добровільний; можливі договірні або місцеві вимогиCIS Controls v8.1
CIS Controls v8.1 допомагає пріоритезувати кіберзахист: 18 напрямів і 153 конкретні заходи для активів, даних, людей та процесів організації.
Оглядовий стандарт; не закон і не вимоги до сертифікаціїISO/IEC 27000:2018
ISO/IEC 27000:2018 пояснює основи системи управління інформаційною безпекою та її терміни. Це вступ до сімейства стандартів; редакцію 2018 замінено редакцією 2026.
Добровільна рамка професійних компетентностейECSF
Європейська рамка, яка пов’язує професійні ролі в кібербезпеці з робочими завданнями, знаннями й навичками для найму та навчання.
Рамка опису роботи; застосування відповідно до контекстуNICE Framework
NICE описує роботу з кібербезпеки через завдання, знання та навички. Допомагає узгоджувати посадові обов’язки, навчання й розвиток команд.
Добровільна рамка компетентностей; використання за ліцензієюSFIA 9
SFIA 9 допомагає описати професійні навички, рівень відповідальності та поведінку на роботі. Рамка дає спільну основу для профілів посад, оцінювання досвіду й розвитку цифрових команд.
Добровільний стандарт компетентностейe-CF · EN 16234-1:2019
e-CF описує професійні компетентності фахівців з інформаційно-комунікаційних технологій. Рамка допомагає узгодити вимоги до роботи, оцінити досвід і скласти план навчання: від розроблення систем до їх підтримки та управління.
Класифікація для узгодження термінівESCO
ESCO — багатомовна класифікація професій, знань і навичок Європейської комісії. Вона допомагає узгоджувати вакансії, резюме та результати навчання за спільними поняттями.
Рекомендація; рамка кваліфікаційEQF
EQF — європейська рамка з 8 рівнів, яка допомагає порівнювати кваліфікації через результати навчання: знання, уміння, відповідальність та автономність.
Професійні вимоги для реєстрації; окремі умови галузевих схемUK Cyber Security Council
UK Cyber Security Council — британська професійна рада, яка встановлює вимоги до компетентності фахівців із кібербезпеки, веде професійний реєстр і пояснює шляхи розвитку кар’єри. Її ресурси допомагають зіставити робочі завдання, досвід, навчання та професійне визнання.
Довідкові матеріали; вимоги залежать від конкретного документаISACA
ISACA — міжнародна професійна організація у сферах ІТ-аудиту, управління технологіями, ризиків і безпеки. Її глосарій допомагає розуміти фахові поняття, а рамки та настанови — застосовувати їх у роботі.
Довідковий навчальний матеріалISC2 · CISSP Glossary
Публічний глосарій ISC2 пояснює терміни, які трапляються в навчальних матеріалах CISSP. Він допомагає читати професійні тексти й обговорювати безпеку; повну програму підготовки та вимоги до сертифікації слід розглядати окремо.
Довідковий матеріал; не обов’язкова вимогаSANS / GIAC
Глосарій SANS допомагає розуміти мову кібербезпеки: доступ, мережі, загрози та захист. Це довідник для навчання й роботи; програми навчання SANS і сертифікації фахівців GIAC мають окремі умови.
Добровільні освітні програми й персональна сертифікаціяEC-Council
EC-Council розробляє навчальні програми й персональні сертифікації з кібербезпеки. Цей розділ пояснює базові поняття, напрями підготовки та умови відповідальної практики на основі вступної статті й офіційних матеріалів організації.
Довідковий матеріал без самостійних обов’язкових вимогNCSC Glossary
Глосарій британського National Cyber Security Centre пояснює терміни кібербезпеки та скорочення, щоб читачі однаково розуміли рекомендації, технічні звіти й робочі завдання.
Добровільний довідковий матеріалCISA NICCS Glossary
Глосарій порталу CISA NICCS пояснює англомовні поняття кібербезпеки, освіти та професійного розвитку. Допомагає зрозуміти навчальні матеріали й узгодити терміни в команді.
Добровільна схема; може вимагатися конкретним контрактомCyber Essentials v3.2
Cyber Essentials визначає базові технічні заходи проти поширених інтернет-атак і спосіб перевірки їх виконання в організації. Сторінка пояснює редакцію v3.2 та її наступницю v3.3.
Добровільна технічна модельMITRE ATT&CK
MITRE ATT&CK пояснює спостережувану поведінку кіберзловмисників і допомагає пов’язати її з моніторингом, аналізом інцидентів та перевіркою захисту.
Добровільний технічний довідникMITRE CWE
CWE пояснює типи слабкостей програмного й апаратного забезпечення та допомагає знаходити спільні причини вразливостей. Глосарій дає поняття для читання каталогу й точного опису дефектів.
Добровільна довідкова база знаньMITRE CAPEC
CAPEC пояснює повторювані способи атак і допомагає пов’язати загрози зі слабкими місцями та заходами захисту. Глосарій дає основу для читання каталогу й моделювання загроз.
Регламент ЄС; сертифікація добровільна, якщо закон не вимагає іншогоCybersecurity Act · 2019/881
Cybersecurity Act закріплює постійний мандат ENISA та спільні правила створення європейських схем сертифікації кібербезпеки. Він пояснює, хто оцінює цифрові продукти й послуги та що підтверджує сертифікат.
Обов’язковий у межах сфери застосуванняGDPR
GDPR визначає правила обробки персональних даних, права людей та відповідальність організацій. Регламент поєднує законність використання даних із вимогами до їх захисту.