АДМІНІСТРАЦІЯ ДЕРЖАВНОЇ СЛУЖБИ СПЕЦІАЛЬНОГО ЗВ'ЯЗКУ ТА ЗАХИСТУ ІНФОРМАЦІЇ УКРАЇНИ
НАКАЗ
| 02.06.2026 м. Київ № 402 |
Зареєстровано в Міністерстві юстиції України
18 червня 2026 р. за № 880/46274
Про затвердження Методики оцінювання ризиків кібербезпеки
( Із змінами і доповненнями, внесеними наказом Адміністрації Державної служби спеціального зв'язку та захисту інформації України від 19 червня 2026 року № 456 )
Відповідно до абзацу восьмого пункту 6 Загальних вимог з кіберзахисту об'єктів критичної інфраструктури, затверджених постановою Кабінету Міністрів України від 19 червня 2019 року № 518 (в редакції постанови Кабінету Міністрів України від 13 листопада 2025 року № 1470), та пункту 28 Мінімальних вимог до захисту інформаційних, електронних комунікаційних, інформаційно-комунікаційних та технологічних систем, затверджених постановою Кабінету Міністрів України від 29 березня 2006 року № 373 (в редакції постанови Кабінету Міністрів України від 26 листопада 2025 року № 1531),
НАКАЗУЮ:
( преамбула у редакції наказу Адміністрації Державної служби спеціального зв'язку та захисту інформації України від 19.06.2026 р. № 456 )
1. Затвердити Методику оцінювання ризиків кібербезпеки, що додається.
2. Департаменту кіберзахисту Адміністрації Державної служби спеціального зв'язку та захисту інформації України забезпечити в установленому порядку подання цього наказу на державну реєстрацію до Міністерства юстиції України.
3. Цей наказ набирає чинності з дня його офіційного опублікування.
ЗАТВЕРДЖЕНО
Наказ Адміністрації Державної служби спеціального зв'язку та захисту інформації України
02 червня 2026 року № 402
Методика
оцінювання ризиків кібербезпеки
I. Загальні положення
1. Ця Методика встановлює єдиний підхід до ідентифікації та оцінювання ризиків кібербезпеки для органів державної влади, інших державних органів, органів місцевого самоврядування, державних підприємств, установ та організацій, які є власниками або розпорядниками інформаційних, електронних комунікаційних, інформаційно-комунікаційних та технологічних систем (далі - системи), в яких обробляються державні інформаційні ресурси (далі - ДІР) або інформація з обмеженим доступом, вимога щодо захисту якої встановлена законом (далі - ІзОД), операторами критичної інфраструктури та власниками або розпорядниками об'єктів критичної інформаційної інфраструктури (далі - ОКII) та застосовується під час формування поточного та/або цільового станів кіберзахисту, розроблення планів кіберзахисту.
( абзац перший пункту 1 розділу I із змінами, внесеними згідно з наказом Адміністрації Державної служби спеціального зв'язку та захисту інформації України від 19.06.2026 р. № 456 )
Власники або розпорядники системи можуть використовувати іншу методику оцінки ризиків кібербезпеки за умови наявності затвердженої власником або розпорядником системи власної методики оцінки ризиків кібербезпеки, яка розроблена відповідно до вимог і національних стандартів у сфері захисту інформації та кіберзахисту або стандартів, настанов, рекомендацій, аналітичних оглядів та інших документів, розроблених та прийнятих іноземними та міжнародними організаціями у сфері кібербезпеки.
2. У цій Методиці наведені нижче терміни вживаються в таких значеннях:
актив - будь-який матеріальний чи нематеріальний ресурс, який має визначену або потенційну цінність для об'єкта кіберзахисту, використовується в його діяльності та може зазнати впливу кіберзагроз;
вразливість - властивість активу або групи активів, яке може бути використане для реалізації однієї чи декількох кіберзагроз;
вплив (наслідки) - шкода, завдана об'єкту кіберзахисту внаслідок реалізації кіберзагрози (порушення конфіденційності, цілісності, доступності інформації; фінансові, репутаційні, операційні втрати, шкода національній безпеці тощо);
частота виникнення - оцінка того, наскільки часто в рік може виникати кіберзагроза.
Інші терміни вживаються у значеннях, наведених у Законах України "Про основні засади забезпечення кібербезпеки України", "Про Державну службу спеціального зв'язку та захисту інформації України", "Про захист інформації в інформаційно-комунікаційних системах", "Про критичну інфраструктуру", Загальних вимогах з кіберзахисту об'єктів критичної інфраструктури, затверджених постановою Кабінету Міністрів України від 19 червня 2019 року № 518 (в редакції постанови Кабінету Міністрів України від 13 листопада 2025 року № 1470), Національному плані реагування на кіберінциденти, кібератаки та кіберзагрози, затвердженому постановою Кабінету Міністрів України від 26 листопада 2025 року № 1533, Мінімальних вимогах до захисту інформаційних, електронних комунікаційних, інформаційно-комунікаційних та технологічних систем, затверджених постановою Кабінету Міністрів України від 29 березня 2006 року № 373 (в редакції постанови Кабінету Міністрів України від 26 листопада 2025 року № 1531), Порядку пошуку та виявлення потенційної вразливості інформаційних (автоматизованих), електронних комунікаційних, інформаційно-комунікаційних систем, електронних комунікаційних мереж, затвердженому постановою Кабінету Міністрів України від 16 травня 2023 року № 497.
( абзац шостий пункту 2 розділу I із змінами, внесеними згідно з наказом Адміністрації Державної служби спеціального зв'язку та захисту інформації України від 19.06.2026 р. № 456 )
3. Метою цієї Методики є встановлення порядку оцінки ризиків і прийняття обґрунтованих рішень на основі отриманих результатів оцінювання щодо впровадження заходів з кіберзахисту, пріоритизації ресурсів та формування планів для обробки ризиків кібербезпеки відповідно до вимог чинного законодавства.
4. Ця Методика призначена для використання власниками або розпорядниками системи, в яких обробляються ДІР або ІзОД, операторами критичної інфраструктури та власниками або розпорядниками ОКII (далі - суб'єкти кіберзахисту).
5. Методика передбачає застосування якісних і кількісних методів оцінювання ризиків кібербезпеки, зокрема кількісного методу, що ґрунтується на використанні теореми Баєса (Баєсівський метод).
6. Оцінювання ризиків кібербезпеки здійснюється не рідше одного разу на рік, а також у разі виникнення суттєвих змін в системах, сервісах або процесах обробки ДІР, ІзОД чи на ОКII.
II. Ідентифікація активів (групи активів)
1. Суб'єкт кіберзахисту формує вичерпний перелік активів, що може включати ДІР, ІзОД, іншу інформацію, яка потребує захисту, а також системи та їх складові (сервери, бази даних, мережеве обладнання тощо), що обробляють таку інформацію.
Активами можуть бути апаратне та програмне забезпечення, технологічні засоби, інформація, персонал, послуги, процеси та інші ресурси.
2. З метою спрощення процесу оцінювання ризиків кібербезпеки активи з подібними характеристиками, які піддаються однаковим кіберзагрозам, можуть об'єднуватися у групи.
3. Для кожного активу або групи активів призначається особа, яка відповідає за управління ризиками кібербезпеки відповідного активу (групи активів), включаючи їх обробку та моніторинг.
4. Кожному активу (групі активів) присвоюється рівень критичності, який визначається на основі таких факторів, які дозволяють об'єктивно класифікувати активи (групи активів) за рівнями критичності, що є основою для подальшої пріоритизації заходів із кіберзахисту:
рівень важливості для виконання функцій об'єкта кіберзахисту - оцінюється ступінь впливу активу на досягнення місії об'єкта, його стратегічних цілей (чим більше актив залучений у ключових процесах, тим вищий його рівень критичності);
законодавчі та нормативні вимоги - визначаються вимоги законодавства та нормативних документів щодо кіберзахисту інформації, що обробляється на активі (наприклад, ІзОД);
потенційний вплив на безперервність роботи - аналізується, наскільки втрата або порушення роботи активу може вплинути на безперервність критичних процесів;
фінансові, репутаційні та інші ризики, що мають значення для діяльності суб'єкта кіберзахисту, - оцінюється ймовірний фінансовий збиток, що може виникнути в результаті компрометації активу (витрати на відновлення, штрафи, втрата прибутку), а також можлива шкода для репутації об'єкта кіберзахисту та інші негативні наслідки, пов'язані з порушенням конфіденційності, цілісності та доступності інформації;
взаємозалежність активів - враховується, чи є актив ключовою ланкою в ланцюгу залежностей між іншими системами (вихід з ладу такого активу може спричинити каскадні порушення в роботі залежних систем).
III. Ідентифікація загроз та вразливостей
1. Для кожного критичного активу (групи активів) визначається перелік актуальних кіберзагроз. Джерелами інформації для ідентифікації таких загроз є, зокрема:
національні та міжнародні каталоги кіберзагроз, такі як IT-Grundschutz, NIST, ENISA, MITRE ATT&CK-®;
дані, надані суб'єктами національної системи реагування на кіберінциденти, кібератаки та кіберзагрози;
результати проведення оцінювання стану кіберзахисту та проведення незалежного тесту (тестування на проникнення);
аналіз подій кібербезпеки та кіберінцидентів;
технічна документація виробників програмного забезпечення та обладнання;
публікації про кіберзагрози та вразливості у відкритих джерелах інформації та результати власного аналізу кіберзагроз;
особистий досвід суб'єкта кіберзахисту або дані, отримані від партнерів по співробітництву;
результати експертного обговорення із залученням фахівців з кібербезпеки, системних та інших адміністраторів, користувачів систем, що забезпечують реалізацію функціонального призначення активу.
2. Ідентифікація вразливостей, які можуть бути використані ідентифікованими кіберзагрозами, здійснюється на основі аналізу інформації з таких джерел:
результатів виявлення вразливостей, сканування інформаційних, електронних комунікаційних, інформаційно-комунікаційних та технологічних систем та мереж з метою виявлення вразливостей, які можуть мати значний вплив, пошуку та виявлення потенційної вразливості систем, електронних комунікаційних мереж, оцінки стану захищеності ДІР у системах та тестування на проникнення, проведення незалежного тесту (тестування на проникнення);
звітів виробників програмного забезпечення та обладнання про виявлені вразливості;
даних, отриманих від системи моніторингу подій та управління інформаційною безпекою;
результатів внутрішніх та зовнішніх аудитів кібербезпеки;
аналізу внутрішньої документації, включаючи політики безпеки, інструкцій та регламентів;
інформації з відкритих джерел інформації про вразливості;
звітів та рекомендацій уповноважених державних органів;
результатів аналізу існуючих засобів захисту та оцінка їх ефективності;
результати здійснення дослідником пошуку та виявлення потенційної вразливості інформаційних (автоматизованих), електронних комунікаційних, інформаційно-комунікаційних систем, електронних комунікаційних мереж.
IV. Якісний метод оцінювання ризиків кібербезпеки
1. Для кожної пари "кіберзагроза-вразливість" конкретного активу (групи активів) проводиться оцінка за двома параметрами:
оцінка впливу (наслідків) - визначається рівень потенційної шкоди у разі реалізації ризиків кібербезпеки (оцінка має враховувати не лише фінансові, а й операційні, репутаційні та безпекові наслідки для держави (рівні оцінювання впливу (наслідків) кіберзагрози на національному рівні наведено в додатку 1 до цієї Методики));
оцінка очікуваної частоти / ймовірності реалізації - визначається ймовірність реалізації загрози з урахуванням існуючих заходів захисту, рівня мотивації та можливостей потенційних зловмисників (відповідно до додатка 2 до цієї Методики).
2. Описові поля (графи), наведені в додатку 1 до цієї Методики ("Опис впливу на державні інформаційні ресурси та інформацію, вимоги щодо захисту якої встановлено законом") і в додатку 2 до цієї Методики ("Опис стану кіберзахисту"), можуть адаптуватися суб'єктом кіберзахисту з урахуванням його специфіки та практичних потреб.
3. Рівень ризиків кібербезпеки визначається шляхом поєднання результатів оцінювання впливу (наслідків) кіберзагрози (додаток 1) та оцінювання очікуваної частоти / ймовірності реалізації кіберзагрози (додаток 2).
Поєднання зазначених оцінок здійснюється шляхом визначення числового значення ризику, яке розраховується відповідно до Матриці ризиків кібербезпеки (додаток 3 до цієї Методики).
Отримане числове значення ризику відповідає одному із п'яти рівнів:
критичний (20 - 25) - неприйнятний ризик кібербезпеки, що відповідає надзвичайному та критичному рівню критичності кіберінциденту/кібератаки; вимагає негайного впровадження комплексних заходів для його зменшення та локалізації;
високий (15 - 19) - неприйнятний ризик кібербезпеки, що відповідає високому рівню критичності кіберінциденту/кібератаки; вимагає визначення та реалізації заходів з обробки ризиків кібербезпеки з чіткими термінами та відповідальних структурних підрозділів (посадових осіб) суб'єкта кіберзахисту; бездіяльність може призвести до серйозних порушень у сталому, надійному та штатному режимі функціонування систем;
середній (6 - 14) - прийнятний ризик кібербезпеки, що відповідає середньому рівню критичності кіберінциденту/кібератаки; не потребує додаткових негайних заходів, але підлягає регулярному перегляду в рамках загального управління ризиками; заходи безпеки, що вже впроваджені або передбачені планом кіберзахисту, забезпечують належний захист від більшості типових кіберзагроз;
низький (3 - 5) - мінімальний або незначний ризик кібербезпеки, що відповідає низькому рівню критичності кіберінциденту/кібератаки; не потребує додаткових заходів, крім стандартного операційного моніторингу та планових перевірок; існуючі заходи з кіберзахисту забезпечують винятково високий рівень захисту, і ймовірність реалізації кіберзагрози є вкрай малою;
дуже низький (0 - 2) - мінімальний або незначний ризик кібербезпеки, що відповідає некритичному рівню критичності кіберінциденту/кібератаки; не потребує додаткових заходів, крім стандартного операційного моніторингу та планових перевірок; існуючі заходи безпеки забезпечують винятково високий рівень захисту, і ймовірність реалізації загрози є вкрай малою.
V. Обробка ризиків кібербезпеки та звітування
1. Суб'єктом кіберзахисту забезпечується ведення переліку ризиків кібербезпеки за формою, визначеною у додатку 4 до цієї Методики. До переліку включаються всі ідентифіковані ризики кібербезпеки, які підлягають регулярному перегляду та актуалізації.
Для всіх ризиків кібербезпеки розробляється план обробки ризиків кібербезпеки, який може включати дії щодо:
зменшення (модифікації) ризику кібербезпеки - впровадження нових або посилення існуючих заходів захисту (технічних, організаційних);
прийняття ризику кібербезпеки - формалізоване, документально підтверджене та затверджене керівництвом суб'єкта кіберзахисту рішення не застосовувати заходів для зниження ризику. Таке рішення може бути ухвалене лише у випадках, коли витрати на впровадження заходів захисту не є пропорційними рівню потенційних збитків від реалізації кіберзагрози, або ефективні заходи невідомі, або частота виникнення / ймовірність реалізації кіберзагрози та рівень її впливу є прийнятними (незначними) для діяльності суб'єкта кіберзахисту;
уникнення ризику кібербезпеки - відмова від діяльності або використання активу (групи активів), що є джерелом ризику, шляхом реструктуризації відповідних робочих процесів або систем;
передача ризику кібербезпеки (розподіл ризиків кібербезпеки) - передача ризику третій стороні, наприклад, через страхування активів або за допомогою аутсорсингу;
моніторинг ризику кібербезпеки - усі ризики кібербезпеки, включаючи ті, що були прийняті, підлягають постійному контролю. Результати моніторингу та відомості про коригування заходів захисту вносяться до переліку ризиків кібербезпеки для забезпечення його актуальності.
2. За результатами оцінки складається звіт про оцінювання ризиків кібербезпеки (далі - звіт), який містить:
перелік та класифікацію активів (групи активів);
опис ідентифікованих ризиків кібербезпеки;
перелік ризиків кібербезпеки із зазначенням оцінок частоти виникнення/ймовірності, впливу та фінального рівня;
рекомендації та план обробки ризиків кібербезпеки.
3. За рішенням керівника суб'єкта кіберзахисту, звіт може бути доповнений іншими відомостями, необхідними для повного та обґрунтованого ухвалення рішень щодо управління ризиків кібербезпеки, з урахуванням специфіки діяльності суб'єкта кіберзахисту та поточних загроз.
4. Звіт є основою для подальшого планування робіт із кіберзахисту та для подальшого прийняття рішень щодо обробки ризиків кібербезпеки.
5. Форма звіту про оцінювання ризиків кібербезпеки та плану обробки ризиків кібербезпеки є довільною та визначається суб'єктом кіберзахисту. Для їх оформлення може використовуватися форма переліку ризиків кібербезпеки, наведена у додатку 4 до цієї Методики, з урахуванням її адаптації відповідно до змісту та призначення звіту або плану обробки ризиків кібербезпеки.
VI. Кількісний метод оцінювання ризиків кібербезпеки
1. Проведення кількісного аналізу ризиків кібербезпеки застосовується до всіх ризиків кібербезпеки, які були оцінені за критичним та високим рівнями. Застосування кількісного методу оцінювання до інших ризиків кібербезпеки здійснюється за рішенням керівника суб'єкта кіберзахисту.
2. Метою кількісного аналізу ризиків кібербезпеки є визначення їх фінансових показників, що дозволяє:
здійснювати порівняння та пріоритизацію критичних ризиків кібербезпеки; обґрунтовувати економічну доцільність витрат на впровадження заходів із кіберзахисту;
надавати керівництву суб'єкта кіберзахисту конкретні дані для ухвалення рішень щодо інвестицій у кібербезпеку.
3. Для кількісної оцінки ризиків кібербезпеки розраховуються річні очікувані втрати (РОВ) активу (групи активів) за формулою:
| РОВ = ОРВ х ОЧР, де | (1) |
ОРВ (очікувані разові втрати) - фінансові втрати, що виникають внаслідок одного інциденту;
ОЧР (очікувана частота реалізації) - прогнозована кількість реалізацій ризиків кібербезпеки протягом одного року (прогнозована кількість інцидентів протягом одного року).
4. Очікувана частота реалізації може базуватися на:
статистичних даних - звітах CERT-UA, Національного координаційного центру кібербезпеки, внутрішній статистиці інцидентів за попередні періоди та інших доступних джерелах;
експертній оцінці - враховуючи актуальність загроз, наявність вразливостей та привабливість активу (групи активів) для зловмисників.
5. Розрахунок ОРВ проводиться за формулою:
| ОРВ = ВА х КВ, де | (2) |
ВА (вартість активу (групи активів)) - сукупна вартість активу (групи активів);
КВ (коефіцієнт вразливості) - частка вартості активу (групи активів) (у відсотках, від 0 % до 100 %), яка буде втрачена внаслідок одного інциденту.
6. Вартість активу включає, але не обмежується:
балансовою вартістю обладнання та програмного забезпечення;
вартістю відновлення даних та працездатності системи (включаючи оплату праці фахівців, закупівлю нового програмного забезпечення/обладнання тощо);
втрати від переривання процесів, що виникає внаслідок неможливості надання послуг чи виконання функцій суб'єктом кіберзахисту;
вартістю компенсації збитків третім особам (включаючи штрафи за порушення законодавства про захист персональних даних тощо);
репутаційними втратами, що оцінюються експертно;
вартістю розслідування кіберінциденту;
іншими витратами.
Приклад оцінювання ризиків кібербезпеки за кількісним методом наведено в додатку 5 до цієї Методики.
7. Комплексний підхід до оцінки ризиків кібербезпеки поєднує якісний та кількісний методи. Якісний аналіз використовується для початкової ідентифікації та класифікації ризиків кібербезпеки, тоді як кількісний метод, що застосовується для ризиків кібербезпеки із високим і критичним рівнем, допомагає визначити їхні фінансові показники та обґрунтувати інвестиції у кібербезпеку.
Оскільки не можна точно визначити частоту виникнення кіберінцидентів/кібератак чи їхні наслідки, на практиці можна застосувати більш гнучкі методи такі як Баєсівські мережі довіри, метод імітаційного моделювання Монте-Карло, аналіз дерев подій та відмов, оцінка рентабельності інвестицій у кібербезпеку тощо.
VII. Баєсівський метод кількісної оцінки ризиків кібербезпеки
1. Для кількісного оцінювання ризиків кібербезпеки може застосовуватися Баєсівський метод, який передбачає оновлення значень ймовірностей реалізації ризиків на основі нової інформації про кіберінциденти, кіберзагрози або зміни стану захищеності систем.
2. Метод базується на теоремі Баєса та забезпечує адаптивне уточнення оцінок ризиків з урахуванням поточних умов функціонування і суттєвих змін у системах, сервісах або процесах обробки ДІР, ІзОД чи на ОКII.
3. Результатом цього процесу є отримання апостеріорних ймовірностей, які надають більш точну оцінку ймовірності реалізації ризику кібербезпеки або успішної кібератаки. Метод дозволяє перейти від суб'єктивних експертних оцінок до точних числових значень, які відображають актуальний стан загроз та вразливостей.
4. При застосуванні Баєсівського методу апріорна ймовірність Р(А) може визначатися на основі очікуваної частоти виникнення (реалізації) загрози, як ймовірність виникнення, принаймні однієї події протягом визначеного інтервалу часу (наприклад, року або місяця), з використанням відповідних математичних моделей розподілу.
5. Баєсівський метод передбачає оновлення оцінок ймовірності реалізації ризиків кібербезпеки на основі оновленої інформації про інциденти, результати сканування вразливостей або змін у профілі загроз, математичне представлення методу має такий вигляд:
| див. зображення | (3) |
Р(А | В) - апостеріорна ймовірність: оновлена ймовірність події А (ризик кібербезпеки) після врахування оновленої інформації щодо ймовірності реалізації ризиків кібербезпеки В;
Р(В | А) - ймовірність правдоподібності: ймовірність спостереження даних В за умови, що подія А відбулася. Цей показник кількісно оцінює, наскільки нові дані підтверджують гіпотезу про ризик;
Р(А) - апріорна ймовірність: початкова оцінка ймовірності події А до отримання будь-яких нових даних. Ця ймовірність може ґрунтуватися на статистичних даних про кіберінциденти за попередні звітні періоди, експертних знаннях або попередніх дослідженнях;
Р(В) - гранична правдоподібність (маргінальна ймовірність): загальна ймовірність отримання даних В незалежно від реалізації події А.
6. Значення граничної правдоподібності Р(В) розраховується за допомогою закону повної ймовірності. Цей закон враховує всі можливі взаємозаперечні та вичерпні стани, в загальному - подія А та її доповнення - А (не А). Формула для обчислення Р(В) має такий вигляд:
| див. зображення | (4) |
де Р(В | ¬А) - ймовірність спостереження оновленої інформації В за умови, що подія А не відбулася. Цей показник у формулі є нормалізуючим фактором, який гарантує, що сума всіх можливих апостеріорних ймовірностей дорівнює 1, що робить Р(А | В) дійсною ймовірністю.
Приклад застосування Баєсівського методу кількісної оцінки ризиків кібербезпеки для кіберзагрози об'єктового рівня наведено в додатку 6 до цієї Методики.
7. Послідовність дій для застосування Баєсівського методу дає змогу об'єктивно оновлювати оцінки ймовірності реалізації ризиків кібербезпеки на основі нових даних, отриманих у процесі кількісної оцінки ризиків кібербезпеки.
Апріорна ймовірність реалізації ризиків кібербезпеки встановлюється на початковому етапі аналізу, ґрунтуючись на наявних даних, статистиці, експертних оцінках та результатах попередніх досліджень. Ця ймовірність відображає поточний ступінь впевненості у реалізації ризиків кібербезпеки до того, як буде отримана оновлена інформація.
Здійснюються ідентифікація та збір об'єктивних даних, спостережень або інформації, які можуть вплинути на оцінку ймовірності ризиків кібербезпеки. Оновлена інформація щодо реалізації ризиків кібербезпеки повинна бути релевантна та зафіксована.
8. Далі проводиться оцінка двох ключових умовних ймовірностей, що базуються на експертних знаннях, статистиці та моделюванні:
ймовірність отримання оновленої інформації щодо реалізації ризиків кібербезпеки (Р(А | В)), яка показує наскільки характерною є отримана інформація для конкретної кіберзагрози;
ймовірність отримання оновленої інформації за умови, що ризик не реалізувався (Р(В | ¬А)), що враховує можливість появи аналогічних відомостей з інших причин (наприклад, технічні збої, що не пов'язані з атакою).
На основі початкової оцінки та цих показників за допомогою формули Баєса обчислюється уточнена ймовірність реалізації ризику. Вона є оновленою кількісною оцінкою рівня ризику, яка вже враховує отриману інформацію.
Наступним проводиться порівняння уточненої ймовірності з початковою. Це дозволяє визначити, яка саме інформація змінила рівень ризику (підвищили його, знизили чи залишили без змін) та наскільки суттєвим є вплив на загальний стан кібербезпеки.
9. На основі оновленої кількісної оцінки ризиків кібербезпеки приймаються обґрунтовані управлінські рішення щодо обробки ризику (зменшення, прийняття, уникнення, передача) та коригування планів заходів із забезпечення кібербезпеки.
У разі надходження нових релевантних доказів постеріорна ймовірність, отримана на поточному етапі, стає новою апріорною ймовірністю для наступного циклу оцінки, що забезпечує безперервне уточнення та підвищення точності оцінок ризиків кібербезпеки.
Приклади застосування Баєсівського методу кількісної оцінки ризиків кібербезпеки для кіберзагроз національного рівня наведено у додатку 7 до цієї Методики.
Приклад оцінювання ризиків кібербезпеки для кіберзагрози об'єктового рівня за якісним, кількісним та Баєсівським методом кількісної оцінки ризиків кібербезпеки наведено у додатку 8 до цієї Методики.
| Директор Департаменту кіберзахисту Адміністрації Держспецзв'язку | Дмитро ПАХОЛЬЧЕНКО |
Додатки
до Методики оцінювання ризиків кібербезпеки
( див. текст )
( із змінами, внесеними згідно з наказом Адміністрації Державної служби спеціального зв'язку та захисту інформації України від 19.06.2026 р. № 456 )
