# data[].attributes.headline
ОСНОВНІ ТЕРМІНИ

# data[].attributes.subject
ОСНОВНІ ТЕРМІНИ

# data[].attributes.body
Розмежування доступу- сукупність процедур, що реалізують перевірку запитів на доступ і оцінку на підставі Правил розмежування доступу можливості надання доступу

# data[].attributes.attachment_link.readable_text
Розмежування доступу ( англ. access mediation) - сукупність процедур, що реалізують перевірку запитів на доступ і оцінку на підставі Правил розмежування доступу можливості надання доступу.

Правила розмежування доступу (access mediation rules) - частина політики безпеки, що регламентує правила доступу користувачів і процесів до пасивних об'єктів.

При розгляді взаємодії двох об'єктів комп'ютерної системи, що виступають як приймальники або джерела інформації, слід виділити пасивний об'єкт, над яким виконується операція, і активний об'єкт, який виконує або ініціює цю операцію.

Коли користувачі або процеси намагаються одержати доступ до пасивних об'єктів, механізми, що реалізують керування доступом, на підставі політики безпеки і перевірки атрибутів доступу можуть "прийняти рішення" про легальність запиту. Використовуючи набір атрибутів доступу відповідно до прийнятої політики безпеки, можна реалізувати довірче керування доступом, адміністративне, контроль за цілісністю та інші види керування доступом.

Для відображення функціональностi комп'ютерної системи використовується концепція матриці доступу. Матриця доступу являє собою таблицю, уздовж кожного виміру якої відкладені iдентифікатори об'єктів комп'ютерної системи, а елементами матриці виступають дозволені або заборонені режими доступу. Матриця доступу може бути двомірною (наприклад, користувачі/пасивні об'єкти або процеси/пасивні об'єкти) або тримірною (користувачі/процеси/пасивні об'єкти).

Термінологія в галузі захисту інформації в комп'ютерних системах від несанкціонованого доступу

# data[].attributes.attachment_link.title
Розмежування доступу

# data[].attributes.attachment_link.description
Розмежування доступу ( англ. access mediation) - сукупність процедур, що реалізують перевірку запитів на доступ і оцінку на підставі Правил розмежування доступу можливості надання доступу. Правила розмежування доступу (access mediation rules) - частина політики безпеки, що регламентує правила доступу користувачів і процесів до пасивних об'єктів.

# data[].attributes.headline
Трохи лекції

# data[].attributes.subject
Трохи лекції

# data[].attributes.headline
ОСТАНІ НОВИНИ

# data[].attributes.subject
ОСТАНІ НОВИНИ

# data[].attributes.body
«План заходів на 2018 рік з реалізації Стратегії кібербезпеки України» Складний, нудний, але дуже злий лонгрід для вузького кола вузьких фахівців з кібербезпеки. Схоже, що План готувався в надрах Держспецзвьяку: по тексту видно, що підгортають під себе все «важелі впливу» і перетягують ковдру на себе.

# data[].attributes.attachment_link.readable_text
Чому в Україні традиційно ігнорується думка професійної спільноти?
Цікавий документ від КМУ, якій слід прокоментувати: "План заходів на 2018 рік з реалізації Стратегії кібербезпеки України" Складний, нудний, але дуже злий лонгрід для вузького кола вузьких фахівців з кібербезпеки. Скидається на те, що План готувався у нетрях Держспецзв'яку: по тексту видно, що підгрібають під себе усі "важелі впливу" і перетягують ковдру на себе.
Але давайте по порядку, по пунктах.
"...розмежування кримінальної відповідальності за злочини у сфері використання електронно-обчислювальних машин (комп'ютерів), систем та комп'ютерних мереж і мереж електрозв'язку, вчинені щодо державних та інших інформаційних ресурсів, об'єктів критичної інформаційної інфраструктури та інших об'єктів, а також відповідного розмежування підслідності"
Фактично вже виконано, оскільки СБУ та Нацполіція вже узгодили це питання між собою і залишається лише закріпити змінами у Кримінально процесуальний кодекс України, якими б підслідність злочинів розділу 16 (так звані "комп'ютерні злочини") у відношенні об'єктів критичної інфраструктури (ОКІ) віддали б СБУ. Бо без прямої підслідності вони так мучаються, доводиться порушувати кримінальні справи через прокуратуру чи поліцію. Я про те вже докладно писав не так давно.
"...підвищення рівня відповідальності посадових осіб державних органів, установ та організацій за порушення вимог щодо інформування в установленому порядку про несанкціоновані дії (кібератаки) стосовно державних інформаційних ресурсів"
Ніачьом. Тобто пункт, який можна виконати лише формально.

По суті нічого не зміниться, хоч смертну кару вводь. Але можна "закрити пункт плану" подачею заздалегідь неможливих пропозицій, або ж таких, які ніхто не буде виконувати. Типу направленням від імені КМУ якогось грізного, але беззмістовного циркуляра усім чиновникам про "звернути особливу увагу керівників всіх рівнів на питання кібербезпеки..."
"...визначення Держспецзв'язку органом, відповідальним за збереження резервних копій інформації та відомостей державних електронних інформаційних ресурсів"
Питання клопітке - спробуй отримати від усіх резервні копії всього, на це піде не один рік, і не два, і не три - але, крім того і дуже ризиковане.

Лише уявіть собі усі резервні копії усіх органів влади: райради, обл- та райдержадміністрації, усілякі агентства, академії нОук, держані установи, держпідприємства, поліція-прокурватура-податкова-суди. А ще Мін'юст з їх реєстрами прав власності, реєстраціями компаній, земельних ділянок і багато іншого цікавенького.

Як безпечно побудувати процес передачі такої важливої інформації без її "втрати", "загублення", "не дійшло за призначенням"?

Та ніяк.

Усі бази будуть весело продаватися на хакерських форумах і не тільки.

Але навіть якщо нафантазувати собі, що усі бази передані до ДСС331 безпечно, місце їх зберігання буде ціллю №1 для усіх зацікавлених кіберкримінальних сторін.

Якщо тільки не зберігати їх у підземному бункері, на SDD у сталевих сейфах з автоматниками по периметру без локальної мережі і без доступу до Інтернет.

Але і тут є купа ризиків, які рано чи пізно призведуть до глобального витоку величезних масивів важливої (чи то критичної) інформації. Пошукове слово: Stuxnet.
"..встановлення обов'язкового погодження з Держспецзв'язку завдань (проектів) Національної програми інформатизації, а також проектів (завдань) створення і розвитку інформаційно-телекомунікаційних систем державних органів, підприємств, установ та організацій державної форми власності"
Чиста корупція у квадраті.

Чому у квадраті?

Сама ота програма інформатизації є чистою корупцією, а тут іще ДСС331 буде від неї свій шматок відкушувати.

Колись давно, здається за часів Кучми, шось таке було, але тоді ще не було Держспецзв'язку як самостійного відомства. Але то інша історія, але якщо коротко - не злетіло.

А ще і погодження побудови мереж усіх держорганів.

Матибожа, та у них і мереж як таких практично немає, грошей на їх побудову також, усе "на колінках" (у абсолютній більшості держструктур, які не мають власних коштів).

Тобто навіть якщо голова ОДА виділив трохи бюджету "на комп'ютери", вже домовився з кумом як його (бюджет) попиляти, через його фірмочку, а тут такий місцевий керівник з Держспецзв'язку: "Нє-нє-нє, сєкундочку, ми не погоджуємо! Ось вам наші фірми, які усе кльово зроблять, лише тоді погодимо".

Воно і так на реальну справу пішло б менше половини, а з отима "погодженнями" взагалі якщо процентів десять дійде - і то хліб.

Про якість побудови мереж за такою схемою взагалі не йдеться.
"...заборони державним органам, підприємствам, установам та організаціям державної форми власності, крім закордонних дипломатичних установ України, закуповувати послуги (укладати договори) з доступу до Інтернету в операторів (провайдерів) телекомунікацій, у яких відсутні документи про підтвердження відповідності системи захисту інформації встановленим вимогам у сфері захисту інформації"
Історія ця дуже давня, коли держустановам забороняють підключатися до будь-яких провайдерів (здається, така заборона досі діє), але лише для тих, що має сертифіковану КСЗІ.

Про КСЗІ і що воно таке я теж вже детально писав (і Укрінформ зашарив ту статтю у себе на блозі).

Але для тих, хто пропустив, дуже коротко: КСЗІ (комплексна система захисту інформації) - це такий Сизифів камінь, який дуже тяжко і довго пихати в гору, але коли допихаєш - нагородою тобі (як провайдеру) буде лише право надавати послуги підключення держструктур.

У більшості випадків зусилля з "побудови" та "погодження" КСЗІ абсолютно не адекватні потенційним бенефітам, тому мало хто на таке наважується.

А значить - треба усіх примусити, взяти палку і погнати сраних комерсів на поклон до чиновників на вул. Солом'янську, Залізняка чи Мельникова. А то геть від рук відбилися, не хочуть, бачте, грошей нести.
"..впровадження обов'язкових вимог стосовно здійснення державними органами, підприємствами, установами та організаціями державної форми власності ідентифікації та автентифікації джерел отриманих оновлень до програмного забезпечення, яке використовується для обробки державних інформаційних ресурсів та інформації, вимога щодо захисту якої встановлена законом, та встановлення цілісності таких оновлень"
Ось тут трохи недопойняв.

Пункт явно навіяно подіями з НеПетею та відповідним розробником бухгалтерського софта у червні 2017.

Перечитав кілька разів цей пункт і зрозумів десь так: щоб уберегтися від атак типу "supply chain" (до речі, лише одного з багаточисельних типів атак), Держспецзв'яку розробить якісь єдині та непорушні "вимоги" для типу-безпечного оновлення додатків, програм, антивірусів, офісних пакетів, операційних систем, джави, флеша та отого усього.

Несамовито ржу. Лише на оцю окрему тему можу написати ще два таких лонгріда.

Але якщо у двох словах - повна дурня.

Срібна куля. Золота пігулка. Ліки від усіх хвороб.

Не працює і не працюватиме. Ніде і ніколи.

Особливо в кібербезпеці.

Пункт писався на вимогу когось типу РНБО чи Президента "унеможливити у подальшому ...".

Тобто як і попередні пункти - просто щоб було у плані ("ну ми ж відреагували") і щоб можна було той пункт чимось "закрити". Наприклад, якимось всеосяжними "вимогами", які застарівають одразу після написання, або які неможливо виконати, або вони такі розмиті, що ДСС331 може приходити куди завгодно і "дрючити" кого завгодно і коли завгодно.
"..застосування посадовими (службовими) особами державних органів, підприємств, установ та організацій державної форми власності електронного цифрового підпису під час використання електронної пошти для виконання посадових(службових)обов'язків"
Оце перший пункт, який я повністю підтримую. Про те, як воно буде насправді реалізовано (і чи буде взагалі) - то вже згодом, поки що говоримо лише про План заходів.
"..визначення порядку передачі, збереження і доступу до резервних копій інформації та відомостей державних електронних інформаційних ресурсів для потреб державних органів, насамперед суб'єктів сектору безпеки і оборони, фінансового, енергетичного, транспортного секторів"
Вище я вже окреслив масштаби песця, який очікує держсектор у разі реалізації деструктивного проекту єдиного централізованого сховища усіх резервних копій усіх державних баз даних та інформації.

Але ж цього замало - виявляється, увесь цей колосальний масив інформації можна буде цілком офіційно передавати усім іншим держорганам.

Це песець у квадраті. А може й у кубі.

Хаос помножений на безкінечність.

Тобто чому СБУ чи МВС може знадобитися резервна копія, скажімо, умовного Енергоатому до того, як його зламали пацаки - це зрозуміло.

Не зрозуміло нащо Енергоатому доступ до інформації НБУ (або навпаки), чи там Мінагрополітики запросить дані про Укрзалізницю.

Тобто аргументи будуть виглядати досить переконливими, але ж хто і як буде визначати чи достатньо ці аргументи вагомі - ось у чому питання.

Думаю, відповідні чиновники швидко між собою порозуміються (гроші ж ніхто не відміняв?), а шанс продажу баз на кіберринку зросте приблизно у тисячу разів.
"...формування переліку об'єктів критичної інформаційної інфраструктури"
Окремо цитую: "Строк виконання - липень"

О-О_о_о.

Та невже.

Невже вже за два тижні у країні нарешті таки з'явиться такий жаданий і такий обговорюваний перелік ОКІІ?

Може, йдеться про липень 2019? Та наче ні.

Вангую, що затвердженого КМУ переліку об'єктів критичної інформаційної інфраструктури не з'явиться ані в липні, ані в серпні, ані у вересні. Може під Новий рік, але теж навряд.

А ще можливо, що у серпні-вересні щось таке кострубате з'явиться, але викличе просто шквал критики і скандалів, з усіх боків. І перш за все з боку керівників таких об'єктів.
"...визначення порядку формування та забезпечення функціонування державного реєстру об'єктів критичної інформаційної інфраструктури"
Питання більше технічне та технологічне, не хочу витрачати на нього час.
"...визначення вимог до проведення незалежного аудиту інформаційної безпеки на об'єктах критичної інфраструктури"
А ось тут давайте детальніше, тут корупційна яма невігластва розміром з воронку від ядерної бомби.

Перше і найголовніше питання: "а судді хто?"

Поки що ситуація виглядає так, що не дуже успішний і безвідповідальний старшокласник буде визначати вимоги до формування професорського складу у виші. Бо у його тата є гроші.

Держспецзв'язку вже багаторазово демонструвала суспільству і всьому Світові свою некомпетентність та неспроможність забезпечити захист хоча б лише державних інформаційних ресурсів. Про усі інші інформаційні ресурси країни навіть не йдеться.

Найцінніше, що є у цього відомства - CERT-UA - чи не перший попав під роздачу акції з виявлення та оприлюднення кричущої кібер-безграмотності #FuckResponsibleDisclosure.

І оці люди будуть визначати вимоги до проведення аудиту? Та що вони взагалі знають про аудит? І чи знають взагалі що це слово означає у контексті кібербезпеки? (Підказка до усіх цих риторичних питань: "так-майже_нічого-наврядчи").

Друге питання: як буде забезпечена "незалежність"?

Незалежність кого від чого?

Міністерства від аудитора? Чи аудитора від Держспецзв'язку? Чи і те, і те? А може, або те, або інше?

А кого можна буде назвати "аудитором"? У кого є PCI DSS? Так то для банків та фінансових установ (хоча і там є багато питань).

У кого є ISO2700_? Ваще не критерій.

У кого є КВЕД зі словами "аудит" чи "аудиторська діяльність"?

Ото буде взагалі треш. Бухгалтерсько-аудиторські фірми будуть перевіряти атомні електростанції на кібербезпеку. Брр.
"...створення єдиної інтерактивної бази даних про кіберінциденти для потреб Міноборони, Держспецзв'язку, СБУ, Національної поліції, Національного банку, розвідувальних органів"
В цілому, нічого поганого у цьому не бачу. Щось подібне має бути між силовиками.

Питання в тому наскільки професійно та безпечно це буде реалізовано.

І наскільки вони один одному довіряють.

І наскільки важливу інформацію будуть туди заливати.

І коли у цій системі з'явиться свій Сноуден))

І, звісно, сильно укріплена фортеця з великими скарбами манитиме усіх кіберзлочинців на чолі з руськєміром набагато більше, ніж кров манить акул посеред океану.

І такі фортеці довго не витримують. Треба або скарби ховати, або фортецю, або ж здаватися.

Друге - найефективніше.
"...організації обміну інформацією про кібератаки на об'єкти критичної інфраструктури (насамперед енергетики, транспорту, банків)"
Звучить наче правильно.

Обмінюватися інформацією про кібератаки життєво необхідно, причому ще років двадцять тому.

І цим мав би займатися CERT-UA, якби його керівники знали що це таке і навіщо і як тим керувати (окрім як їздити за кордон на конференції за бюджетні кошти та пафосно віщати загальновідомі слова на нікому не відомих "круглих столах").

Але CERT-UA цим не займається як слід, на жаль.

Бо якби займався, то не було б потреби включати цей пункт до цього Плану заходів.

І якби ця робота проводилася б якісно - не треба було б акцентувати особливу увагу на ОКІІ. Сьогодні мережа не є об'єктом критичної інфраструктури, а завтра - опппа - і є. Або ж сьогодні не є - а завтра потрапила у Перелік.

Якби CERT-UA виконував те, для чого він створювався - важливі об'єкти були б його першими клієнтами. Неважливі об'єкти прийшли б до нього пізніше за інших або взагалі б не прийшли. Просто запитайте як це робилося у Фінляндії.

Не хочете їхати до Фінляндії - вони самі до вас приїдуть, за власні кошти. Можу поклопотати)

Є купа країн, які пройшли цей шлях до нас, треба просто якось примусити себе трохи попрацювати та не набивати власні гулі. Роками і мільйонами гривень. Наших, до речі, гривень.
"...Узгодження проектів (завдань) Національної програми інформатизації, виконання яких передбачено у 2018 році, з Адміністрацією Держспецзв'язку та Державним агентством з питань електронного урядування"
Вище у цьому пості вже йшлося про НПІ та узгодження її з Держспецзв'язку, не буду рвати собі серце ще раз.

Але тут ми бачимо ще одного гравця цієї корупційної п'єси - Держагенство з е-урядування. Загадкова структура, взагалі. Хз чим там вони займаються і чому про них нічого не відомо в інформаційно-кібербезпековому просторі країни. Але свій кусок відкатного пирога він теж відкусять, no doubts.
"... Удосконалення нормативно-правової бази шляхом: подальшого впровадження норм міжнародних стандартів, стандартів ЄС та НАТО у сфері електронних комунікацій, захисту інформації, інформаційної безпеки та кібербезпеки"
Тут теж нє всьо так адназначна.

Про які саме стандарти взагалі йдеться?

"Міжнародні стандарти" не усі однаково корисні, не усі можуть бути застосовані в Україні, не всі є сучасними, не усі є беззаперечними. Та хоча б той самий славнозвісний GDPR. Особисто я не хочу таких "міжнародних стандартів" у моїй країні.

А ті стандарти, які давно слід було б запровадити - чомусь не запроваджуються.

Дивно, чому?

Може тому, що у разі їх запровадження деякі держструктури виявляться непотрібними?

Черговий пункт плану "ні про що". За все хороше проти всього поганого.
"..імплементації Директиви (ЄС) 2016/1148 Європейського Парламенту та Ради ЄС від 6 липня 2016 р. щодо заходів з підвищення загального рівня безпеки мереж та інформаційних систем в ЄС"
- не знаю про що йдеться.

Чому Україна має впроваджувати те, що передбачено суто внутрішнім документом іншої держави (якщо розглядати ЄС як над-державу)?

Чи впроваджує Монголія накази КМУ? Сумніваюся, що Ангола впроваджує розпорядження НКРЗ.

Але все ж таки я не в курсі про що там написано. У кого є час та натхнення: ось почитайте.
"...Розроблення механізму залучення фізичних і юридичних осіб до виконання завдань кіберзахисту державних електронних інформаційних ресурсів у рамках державно-приватного партнерства на умовах аутсорсингу"
Дуже хочу дожити до тієї світлої миті, коли це запрацює так само красиво, як ось тут написано.

Термін "Державно-приватне партнерство" зараз такий популярний, що навіть отримав власну абревіатуру - ДПП.

Якщо ти політик або чиновник і жодного разу у виступі не сказав ці три магічних слова - ти лошара, не рубиш фішку і взагалі твоя кар'єра під загрозою.

Що ж до реальних перспектив втілення цієї фантастичної мрії у життя - буде "як завжди".

Кілька пригодованих та близьких до Держспецзв'язку фірм назвуть себе "аудиторами", вони матимуть "допуск до держтаємниці" (тобто залізну кімнату з решітками, металевий сейф з печатками, паперові журнали обліку та дідуся-відставника), отримають якісь там простенькі професійні сертифікати, заснують свою власну "професійну асоціацію найкращих аудиторів кібербезпеки України та Світу" та й гайда пиляти бюджетне бабло.

Про усякі там тендери, прозорро і таке інше.

Відповідально та категорично заявляю - у кібербезпеці це геть ніяк не працює.

Тендери у 99% випадків виграють за критерієм найнижчої ціни.

Найнижча ціна у кібербезпеці - зазвичай то найнижча якість або ж її відсутність.

За найнижчу ціну покупець отримує найнижчу якість.

Не факт, що за найвищу ціну буде найвища якість, але це предмет зовсім іншої дискусії.

Ще раз - пропозиції стосовно Prozorro у даному контексті будуть ознакою повного невігластва та некомпетентності. Але щось мені підказує, що саме такі пропозиції і будуть взяті за основу "вирішення питання".

З власного багаторічного досвіду знаю, що навіть у великих комерційних компаніях ситуація з кібербезпекою просто жахлива через те, що на внутрішніх тендерах виграють найдешевші пропозиції.
"Розвиток Національної телекомунікаційної мережі, врегулювання питань порядку надання послуг та їх тарифікації"
Цю тему ніяк не домучать вже років з 15-20.

Якщо на двох пальцях, дуже грубо: Держспецзв'язку роками хоче нав'язати усім держорганам купувати у них доступ до Інтернет "через них".

Для цього побудовано велика оптоволоконна мережа, раніше вона називалася НСКЗ (національна системи конфіденційного зв'язку), зараз, мабуть, назвали "Національна телекомунікаційна мережа".

Але щось ніхто до них особливо не хоче. Чи то ціни удвічі-утричі вищі, ніж на ринку, чи то сервіс хріновастенький, чи то мережа не досить надійна - хтозна.

Але не купують, падлюки.

Тому треба знов брати у руки дрючок та бити потенційних клієнтів по хребту.

Так-то воно ефективніше, ага.
"...Проведення модернізації ситуаційних центрів з кібербезпеки Держспецзв'язку та СБУ шляхом залучення допомоги НАТО в рамках реалізації Трастового фонду Україна - НАТО з кібербезпеки"
Іншими словами - "робіть, хлопці, те, що й робили раніше, все норм"

Власне, мені більше нічого до цього добавити. Тема наче потроху рухається, але боюся наврочити.
"..Забезпечення розвитку організаційно-технічної моделі кіберзахисту, зокрема утворення центру реагування на кіберзагрози, а також розвиток системи захищеного доступу державних органів до Інтернету"
"Што?"(С) Ще один "центр кіберзахисту"?

Вдруге ставлю питання - а навіщо вам CERT-UA? Це ж і є центр реагування на кіберзагрози.

Нагадаю розшифровку абревіатури: Computer Emergency Response Team - Команда реагування (!!!) на комп'ютерні загрози. У сучасних термінах - Центр реагування на кіберзагрози.

Що ж до ЗВІД (Захищений вузол Інтернет-доступу) - то цій темі також вже років двадцять. Усі ці роки чиновники намагаються загнати усі держструктури під одну супер-захищену (нібито) парасольку.

І все ніяк.

З тих самих причин - неефективність, ненадійність, поганий сервіс, дорого.

До того ж, немає такого вузла, який не можна зламати.

Якщо скласти усі яйця в один супер-кошик - переможець цих змагань отримає усе.

Загрози сильно переважають можливі вигоди. Про це багато писали авторитетні фахівці, усе розклали по поличках, не буду повторюватися.

Погана ідея, але наполегливо, рік за роком насаджується державними функціонерами. Аргументи експертів до уваги не беруться. Так само наполегливо.
"..Опрацювання питання щодо утворення тренінгового кіберцентру в інтересах суб'єктів забезпечення кібербезпеки"
Ммм, тобто мається на увазі постійно діючий тренінговий центр для працівників Держспецзв'язку-СБУ-Кібеполіції? І щоб прям кібер-навчання проводити?

Ідея непогана, в цілому.

Але знов-таки: хто і на які кошти буде організовувати такий Центр? Хто у ньому буде працювати? Яка буде кваліфікація тренерів? І якщо це будуть справжні професіонали - хто їм заплатить? Волонтерство тут не конає, вибачте мою французьку.

Нехай НАТОвці приїдуть раз-два на місяць, а хто буде навчати у решту часу?

Питань багато, тому "опрацьовувати" є багато чого, опрацьовуйте.
"...Вдосконалення механізму взаємодії з Національною академією наук та її профільними установами з метою проведення наукових досліджень та спільних науково-практичних робіт у галузях кібербезпеки та кіберзахисту критичної інфраструктури"
Особисто я маю дуже низьку оцінку спроможності НАН проводити більш-менш релевантні дослідження у галузі кібербезпеки. Як і в більшості інших галузей, власне.

Хіба що сісти прочитати, зрозуміти та проаналізувати пости фахівців рівня Sean Brian Townsen d. Та зробити якісь адекватні висновки.

На більше ті дідугани не спроможні. Хіба шо запиляти бюджетні гроші "на дослідження".

Щоб робити подібні дослідження треба мати високу кваліфікацію (нема), бути у всіх сучасних трендах (дуже сумніваюся), мати доступ до живий практичних кейсів (хе-хе), постійно бути не зв'язку з колегами зі всього Світу (такий контакт є, наприклад, у того ж CERT-UA, або у приватних SOCів та CERTів, у кібер-компаніях, тощо).

Але НАН живе у своєму паралельному світі, який з реальним не перетинається.
"Забезпечення діяльності Центру кіберзахисту Національного банку, удосконалення кіберзахисту і кібербезпеки банківської системи України та у сфері переказу коштів"
Завжди корисно написати у плані пункт, який вже і так виконано.

НБУ вже давно опікується цим питанням, не чекаючи дозволів чи рішень КМУ чи Держспецзв'яку. І (мабуть) має певні успіхі.

Тому що як воно там у них насправді влаштовано і як працює - на широкий загал ніде ніколи не виноситься, лише у внутрішньо-банківських колах.

Може воно так і краще.

Хоча насправді ні.

Але НБУ живе за власним Законом України і скоріш за все тактовно та у рамках чинного законодавства пошле Держспецзв'язку разом з їх "планами заходів" куди подалі. Їм треба реальну справу (тобто гроші) робити, а не займатися дурною писаниною з нульовим результатом.
"...Розроблення методики формування та визначення основних показників ефективності реалізації Стратегії кібербезпеки України з урахуванням досвіду європейських і світових практик"
Ага, ось і до KPI добралися.

Key Performance Indicator є стандартною хворобою великих західних і особливо великих вітчизняних компаній.

Кожна така компанія на певному етапу намагається оцінити ефективність праці свої працівників. Зазвичай це більш формальна, але не дуже ефективна процедура, яка дає широке поле діяльності кадровикам, але здебільшого заважає людям працювати та заробляти гроші для фірми.

Не маю уявлення як розробляти КРІ для оцінки реалізації Стратегії кібербезпеки.

Коли немає реального результату, починають вигадувати усілякі критерії оцінки роботи.

Якщо немає результату, виникає питання "А чим ти увесь цей час займався?"

"Ти вивчив вірш? - Я вчив.."
"..Участь у заходах щодо зміцнення міжнародного співробітництва шляхом утворення спільних двосторонніх або багатосторонніх груп для здійснення розслідувань кіберзлочинів, а також проведення спільних операцій, обміну інформацією та досвідом"
Пункт, який буде виконано без будь-яких особливих зусиль з української сторони.

FBI, ІСЕ, Secret Service чи NCSC напишуть запит, пришлють фахівців, нададуть матеріали розслідування - і побіжать наші правоохоронці виконувати - аж гай шумітиме, нікуди не дінуться. І у звіті про виконання плану буде що написати.
"..Організація та проведення конференцій, семінарів, форумів, засідань круглих столів, тренінгів, навчань з питань кібербезпеки та кіберзахисту на державному і міжнародному рівнях"
Ой, не смішіть мої джавеліни.

"Круглі_столи", "семінари", "науково-практичні конференції" - вони навіть не в курсі, що такі слова з пізнього совка вже майже ніхто хто не вживає, хіба що дідугани з НАН.

А конференції Держспецзв'язку типу Пущі-Озерної краще взагалі не проводити: класичне "унилойе Г", формат дуже схожий на партійні збори радянських часів (я ще пам'ятаю ту бридоту).

Конференції "на міжнародному рівні" від вітчизняних держустанов взагалі страшно собі уявити. Брр. Чур мене.

"..підготовка фахівців тактичного та оперативно-тактичного рівня за напрямом "кібербезпека"" "...підготовка, атестація, переатестація та підвищення кваліфікації фахівців у сфері кіберзахисту для потреб державних органів, військових формувань і правоохоронних органів"
Відповідальний - Адміністрація Держспецзв'язку.

Недайбоже щоб наших військових навчали ігсперти з Адміністрації Держспецзв'язку. Їх самих треба навчати, причому починати з основ.
"Проектування захищеного дата-центру (центру обробки даних) для потреб державних органів, насамперед суб'єктів сектору безпеки і оборони, фінансового, енергетичного, транспортного секторів"
Знов про той ЗВІД, вже вдруге у одному плані.

Можу зкопипейстити мій абзац трохи вище, але не буду. Хто мав сили дочитати аж до цього місця - той вже, мабуть трохи втомився. Але якщо такі є - будь ласка, посміхніться, я вже закінчую.
"Здійснення заходів щодо утворення Національного центру оперативно-технічного управління телекомунікаційними мережами України"
Не зовсім зрозуміло про який центр йдеться, мабуть про щось ближче до провайдерів, міжнародних каналів передачі даних, магістральних каналів, НКРЗ, крадіжки телекомунікаційного обладнання, контроль над усіма існуючими мережами чи близько до того. Олександр Федієнко має знати про то більше.

Ось такий вийшов огляд.

Забагато, але по кожному пункту.

Знаю, таке цікаво одиницям, але має прямий стосунок до кібербезпеки моєї коханої країни, і тому не можу не поділитися що я про все це думаю.

Як і все, що роблять найняті нами чиновники у сфері кібербезпеки, той план заходів - таке собі, на четвірочку за 12-бальною шкалою. Чисто позначити, що вони шось там нібито роблять для кібербезпеки.

Класичне бюрократичне окозамилювання.

Звісно, показовіше було б коментувати результати виконання цього плану, але, думаю, нам його не покажуть. Бо там буде ще смішніше. Чи то, перепрошую, сумніше.

Сам план можна побачити ось тут.

Я не проти вважати цей лонгрід "суспільним обговоренням" "Плану заходів на 2018 рік з реалізації Стратегії кібербезпеки України", хоча дядькам, які його писали, на то начхати. Тим більше, він вже затверджений Кабміном.

Думка професійної спільноти (до якої я маю честь належати) в Україні традиційно ігнорується. Вивчається, немає сумніву, але ігнорується. І комусь колись доведеться за це відповідати.

Бережімося.

* Точка зору автора може не збігатися з позицією агентства

# data[].attributes.attachment_link.title
Стратегія кібербезпеки України: Який план заходів з її реалізації ми маємо?

# data[].attributes.attachment_link.description
Чому в Україні традиційно ігнорується думка професійної спільноти? Цікавий документ від КМУ, якій слід прокоментувати: "План заходів на 2018 рік з реалізації Стратегії кібербезпеки України" Складний, нудний, але дуже злий лонгрід для вузького кола вузьких фахівців з кібербезпеки. Скидається на те, що План готувався у нетрях Держспецзв'яку: по тексту видно, що підгрібають під себе усі "важелі впливу" і перетягують ковдру на себе.

# data[].attributes.headline
Захист інфор

# data[].attributes.body
Захист інформації від витоку технічними каналами досягається шляхом розробки та реалізації наступних заходів (у різних джерелах ці заходи виділяються і формулюються по-різному):

- організаційних;

- первинних технічних;

- основних технічних з використанням засобів забезпечення ТЗІ.

# data[].attributes.headline
Мозковий штурм

# data[].attributes.subject
Мозковий штурм

# data[].attributes.body
Автенвікація - процедура встановлення належності користувачеві інформації в системі пред'явленого їм ідентифікатора

# data[].attributes.attachment_link.keywords[]
індетифікація

# data[].attributes.attachment_link.title
Автентифікація - jigsaw puzzle (18 pieces)

# data[].attributes.headline
Матрична модель

# data[].attributes.subject
Матрична модель

# data[].attributes.body
Матрична модель - це метод розмежування доступу до об'єктів, заснований на обліку ідентифікатора суб'єкта або групи, в яку входить суб'єкт. Довільність управління полягає в тому, що деякий особа (зазвичай власник об'єкта) може на свій розсуд надавати іншим суб'єктам або відбирати у них права доступу до об'єкта.

# data[].attributes.headline
Розмежування доступу

# data[].attributes.subject
Розмежування доступу

# data[].attributes.body
Розмежування доступу (англ. access mediation) — сукупність процедур, що реалізують перевірку запитів на доступ і оцінку на підставі Правил розмежування доступу можливості надання доступу[1].

# data[].attributes.headline
СИСТЕМА ОХОРОНИ СПЕЦІАЛЬНИЙ ДАЧИК

# data[].attributes.subject
СИСТЕМА ОХОРОНИ СПЕЦІАЛЬНИЙ ДАЧИК

# data[].attributes.attachment_link.title
Трейлер охранного датчика Гюрза-035ПЗ

# data[].attributes.headline
Мозковий штурм

# data[].attributes.subject
Мозковий штурм

# data[].attributes.body
Ідентифікація в техніці - встановлення відповідності розпізнається предмета своїм образом (знака).

# data[].attributes.attachment_link.keywords[]
індетифікація

# data[].attributes.attachment_link.title
Ідентифікація - jigsaw puzzle (32 pieces)

# data[].attributes.headline
СИСТЕМА ОХОРОНИ ВІДЕО СПОСТЕРЕЖЕННЯ

# data[].attributes.subject
СИСТЕМА ОХОРОНИ ВІДЕО СПОСТЕРЕЖЕННЯ

# data[].attributes.attachment_link.authors[].name
Электронный город

# data[].attributes.attachment_link.title
Видеоконтроль

# data[].attributes.attachment_link.title
Без названия

# data[].attributes.headline
 ЗУ.Охрана обєкта

# data[].attributes.subject
 ЗУ.Охрана обєкта

# data[].attributes.attachment_link.provider_name
Законодавство України

# data[].attributes.attachment_link.readable_text
ЗАКОН УКРАЇНИ

Про охоронну діяльність

(Відомості Верховної Ради України (ВВР), 2013, № 2, ст.8)

{Із змінами, внесеними згідно із Законами
№ 5038-VI від 04.07.2012, ВВР, 2013, № 23, ст.225
№ 245-VII від 16.05.2013, ВВР, 2014, № 12, ст.178
№ 1206-VII від 15.04.2014, ВВР, 2014, № 24, ст.885
№ 222-VIII від 02.03.2015, ВВР, 2015, № 23, ст.158
№ 766-VIII від 10.11.2015, ВВР, 2015, № 52, ст.482
№ 835-VIII від 26.11.2015, ВВР, 2016, № 2, ст.17
№ 2581-VIII від 02.10.2018, ВВР, 2018, № 46, ст.371}

Цей Закон визначає організаційно-правові принципи здійснення господарської діяльності у сфері надання послуг з охорони власності та громадян.

Стаття 1. Визначення термінів

1. У цьому Законі наведені нижче терміни вживаються в такому значенні:

охоронна діяльність - надання послуг з охорони власності та громадян;

об'єкт охорони - фізична особа та/або майно;

суб'єкт охоронної діяльності - суб'єкт господарювання будь-якої форми власності, створений та зареєстрований на території України, що здійснює охоронну діяльність на підставі отриманої у встановленому порядку ліцензії;

охорона майна - діяльність з організації та практичного здійснення заходів охорони, спрямованих на забезпечення недоторканності, цілісності визначених власником і належних йому будівель, споруд, територій, акваторій, транспортних засобів, валютних цінностей, цінних паперів та іншого рухомого і нерухомого майна, з метою запобігання та/або недопущення чи припинення протиправних дій щодо нього, для збереження його фізичного стану, припинення несанкціонованого власником доступу до нього та забезпечення здійснення власником цього майна всіх належних йому повноважень стосовно нього;

охорона фізичної особи - діяльність з організації та практичного здійснення заходів охорони, спрямованих на забезпечення особистої безпеки, життя та здоров'я індивідуально визначеної фізичної особи (групи осіб) шляхом запобігання або недопущення негативного безпосереднього впливу факторів (діяльності або бездіяльності) протиправного характеру;

персонал охорони - працівники, які безпосередньо виконують функції з охорони майна або фізичних осіб відповідно до свого кваліфікаційного рівня;

фахівець з організації заходів охорони - керівник суб'єкта охоронної діяльності або його заступник, начальник філії, іншого відокремленого структурного підрозділу або його заступник, до посадових обов'язків якого належать організація та проведення заходів охорони, контроль за виконанням персоналом охорони покладених на нього обов'язків;

пропускний режим - установлений у межах об'єктів охорони порядок, який забезпечується комплексом організаційно-правових та інженерно-технічних заходів, що здійснюються з метою виключення можливості безконтрольного переміщення осіб, транспортних засобів і майна на об'єкти та з об'єктів охорони;

внутрішньооб'єктовий режим - порядок, установлений у межах об'єктів охорони, що забезпечується сукупністю заходів і правил внутрішнього розпорядку, обов'язкових для виконання особами, які на них перебувають;

транспорт реагування - транспортний засіб, що знаходиться у власності суб'єкта охоронної діяльності, призначений для забезпечення негайного реагування персоналу охорони на протиправні дії щодо об'єкта охорони або на події та обставини, що завдають (можуть завдати) майнової шкоди або створюють можливу загрозу особистій безпеці громадян чи персоналу охорони на об'єктах охорони;

технічні засоби охорони - технічні засоби, що використовуються під час здійснення охоронної діяльності: системи, прилади та обладнання для виявлення, оповіщення і попередження про наявність небезпеки для життя людей та/або майна;

пункт централізованого спостереження - центр з працюючим персоналом, який спостерігає за станом систем передавання тривожних сповіщень.

Стаття 2. Мета Закону

1. Основною метою цього Закону є створення умов для:

1) захисту майна, забезпечення прав і законних інтересів суб'єктів господарювання та фізичних осіб;

2) забезпечення державного контролю за здійсненням заходів з охорони майна та фізичних осіб;

3) розвитку та вдосконалення сфери надання послуг з охорони власності та громадян.

Стаття 3. Сфера дії Закону

1. Цей Закон регулює відносини суб'єктів господарювання під час організації та здійснення ними охоронної діяльності.

2. Дія цього Закону поширюється на правовідносини правоохоронних органів та військових формувань у процесі надання ними послуг з охорони власності та громадян у частині, що не регулюється законодавчими актами, які регламентують їх діяльність.

Стаття 4. Державне регулювання у сфері охоронної діяльності

1. Органами державного регулювання у сфері охоронної діяльності є Кабінет Міністрів України, а також центральний орган виконавчої влади у сфері охоронної діяльності.

2. Державне регулювання у сфері охоронної діяльності здійснюється зазначеними органами відповідно до вимог цього Закону, Закону України "Про ліцензування певних видів господарської діяльності", Закону України "Про основні засади державного нагляду (контролю) у сфері господарської діяльності" та інших законодавчих актів.

3. Центральний орган виконавчої влади у сфері охоронної діяльності:

затверджує ліцензійні умови провадження охоронної діяльності;

затверджує порядок контролю за додержанням ліцензійних умов провадження охоронної діяльності;

видає та переоформляє ліцензії на здійснення охоронної діяльності, видає дублікати таких ліцензій та приймає рішення про визнання їх недійсними;

здійснює у межах своєї компетенції контроль за додержанням суб'єктами охоронної діяльності ліцензійних умов шляхом проведення планових та позапланових перевірок;

приймає рішення про усунення недоліків, анулювання ліцензії на охоронну діяльність;

вносить до Єдиного державного реєстру юридичних осіб, фізичних осіб - підприємців та громадських формувань відомості про ліцензування господарської діяльності суб'єкта охоронної діяльності.

Стаття 5. Види охоронних послуг

1. Суб'єкт охоронної діяльності на підставі отриманої у встановленому порядку ліцензії надає такі охоронні послуги:

1) охорона майна громадян;

2) охорона майна юридичних осіб;

3) охорона фізичних осіб.

Стаття 6. Забезпечення охоронної діяльності

1. Охорона майна та фізичних осіб забезпечується персоналом охорони шляхом здійснення таких заходів:

1) використання пунктів централізованого спостереження, технічних засобів охорони, транспорту реагування, службових собак;

2) контроль за станом майнової безпеки об'єкта охорони;

3) запобігання загрозам особистій безпеці фізичної особи, яка охороняється;

4) реагування в межах наданих законом повноважень на протиправні дії, пов'язані з посяганням на об'єкт охорони.

2. Перелік окремих особливо важливих об'єктів права державної власності, охорона яких здійснюється виключно державними підприємствами та організаціями, визначається в порядку, що встановлює Кабінет Міністрів України.

3. Умови охорони небезпечних і цінних вантажів при перевезенні та їх перелік визначає Кабінет Міністрів України.

4. Вимоги щодо будівельного, конструктивного та технічного забезпечення пунктів централізованого спостереження визначаються у ліцензійних умовах.

5. Транспорт реагування суб'єкта охоронної діяльності є спеціальним транспортом і обладнується засобами радіотехнічного зв'язку, кольорографічними схемами та написами, відповідними світловими та звуковими сигналами у порядку, визначеному Міністерством внутрішніх справ України.

Стаття 7. Ліцензування охоронної діяльності

1. Ліцензування охоронних послуг здійснюється у порядку, визначеному Законом України "Про ліцензування певних видів господарської діяльності", з урахуванням особливостей, визначених цим Законом.

2. У разі анулювання ліцензії суб'єкта охоронної діяльності з підстав, передбачених пунктами четвертим - восьмим частини п'ятої статті 7 цього Закону, видача нової ліцензії цьому суб'єкту, створеним ним або його засновником (засновниками) новим суб'єктам господарювання допускається не раніше ніж через рік з дня анулювання ліцензії.

3. До заяви про видачу ліцензії на охоронну діяльність додаються документи, що підтверджують відповідність встановленим умовам залучення та відсутність обмежень щодо працівників, задіяних у здійсненні охоронних заходів.

4. Рішення про усунення суб'єктом охоронної діяльності недоліків, виявлених під час здійснення державного нагляду (контролю), приймається центральним органом виконавчої влади у сфері охоронної діяльності з підстав порушення вимог цього Закону щодо:

1) умов залучення громадян до охоронної діяльності та/або порядку підготовки та перепідготовки персоналу охорони;

2) укладення договорів про надання послуг з охорони.

5. Підставами для анулювання ліцензії на охоронну діяльність є:

1) заява ліцензіата про анулювання ліцензії;

2) припинення юридичної особи (злиття, приєднання, поділ, перетворення або ліквідація);

3) смерть фізичної особи - підприємця;

4) акт про виявлення недостовірних відомостей у документах, поданих суб'єктом господарювання для одержання ліцензії;

5) акт про встановлення факту передачі ліцензії або її копії іншій юридичній або фізичній особі для провадження господарської діяльності;

6) акт про відмову ліцензіата від проведення перевірки органом ліцензування або спеціально уповноваженим органом з питань ліцензування;

7) акт про невиконання суб'єктом охоронної діяльності рішення щодо усунення недоліків;

8) акт про недотримання суб'єктом охоронної діяльності пунктів 1, 3, 5, 12 частини першої статті 10 цього Закону.

Стаття 8. Договір про надання послуг з охорони

1. Суб'єкт охоронної діяльності надає послуги з охорони на підставі договору, укладеного із замовником у письмовій формі відповідно до законодавства.

2. У договорах про надання послуг з охорони майна та фізичних осіб відповідно до положень Цивільного кодексу України визначаються умови відшкодування суб'єктом охоронної діяльності шкоди, заподіяної через неналежне виконання ним своїх зобов'язань.

3. Замовник послуг з охорони майна зобов'язаний надати суб'єкту охоронної діяльності для ознайомлення оригінали документів або завірені в установленому порядку їх копії, що підтверджують його право володіння чи користування майном на законних підставах, охорона якого є предметом договору, а також правомірність знаходження такого майна, транспортного засобу чи особи у визначеному місці охорони.

Стаття 9. Права суб'єкта охоронної діяльності

1. Суб'єкт охоронної діяльності має право:

1) для забезпечення охоронної діяльності придбавати, зберігати та використовувати в установленому законодавством порядку спеціальні засоби, перелік яких визначається Кабінетом Міністрів України;

2) для забезпечення радіозв'язку використовувати в установленому порядку радіочастоти;

3) використовувати в охоронній діяльності службових собак;

4) використовувати в охоронній діяльності технічні засоби охоронного призначення;

5) використовувати транспорт реагування;

6) одержувати за своїм письмовим запитом від замовника послуг з охорони відомості та копії документів, необхідні для здійснення заходів охорони на об'єкті охорони;

7) за згодою замовника послуг з охорони (його представника) оглядати територію, будинки, приміщення, майно, що охороняються.

Стаття 10. Обмеження в охоронній діяльності

1. Під час організації та здійснення охоронної діяльності забороняється:

1) придбавати та використовувати майно, визначене законодавством для виключного використання військовими формуваннями та правоохоронними органами;

2) використовувати ознаки належності (елементи символіки, формений одяг тощо) до Міністерства внутрішніх справ України, Служби безпеки України, Управління державної охорони України, Збройних Сил України та інших військових формувань, правоохоронних, природоохоронних і контролюючих чи інших органів виконавчої влади, їх спеціальних підрозділів, у тому числі в назві суб'єкта охоронної діяльності, на одязі, транспорті реагування, будівлях, у документації;

3) створювати перешкоди чи заважати діяльності представників правоохоронних та інших органів державної влади, органів місцевого самоврядування, їх посадових осіб, а також громадянам у здійсненні ними повноважень, наданих їм законами та іншими нормативно-правовими актами;

4) розголошувати відомості про вжиті заходи щодо організації та здійснення охоронної діяльності, а також інформацію з обмеженим доступом та інформацію про особу, яка охороняється, що стали відомі у зв'язку із здійсненням охоронної діяльності, крім випадків, передбачених законодавством;

5) приховувати факти про кримінальні правопорушення, що вчиняються або готуються, незалежно від інтересів замовника послуг з охорони;

6) охороняти фізичну особу, яка вчиняє кримінальне або адміністративне правопорушення або намагається їх вчинити;

7) здійснювати дії, що посягають на права, свободи та власність фізичних осіб, а також ставлять під загрозу їх життя та здоров'я, честь, гідність і ділову репутацію;

8) використовувати засоби радіозв'язку без наявності дозволу на їх використання на наданих радіочастотах;

9) здійснювати заходи, що належать до оперативно-розшукових відповідно до Закону України "Про оперативно-розшукову діяльність";

10) залучати до охоронних заходів осіб, які не подали документів, необхідних для влаштування на роботу, або не відповідають кваліфікаційним вимогам;

11) брати участь у виконанні судових рішень під час виконавчого провадження;

12) вдаватися до дій, спрямованих на силове протистояння між персоналом охорони різних суб'єктів господарювання.

Стаття 11. Умови залучення громадян до охоронної діяльності

1. Персоналом охорони можуть бути дієздатні громадяни України, які досягли 18-річного віку, пройшли відповідне навчання або професійну підготовку, уклали трудовий договір із суб'єктом господарювання та подали документи, що вони:

1) не перебувають на обліку в органах охорони здоров'я з приводу психічної хвороби, алкоголізму чи наркоманії;

2) не мають непогашеної чи незнятої судимості за скоєння умисних злочинів;

3) не мають обмежень, встановлених судом щодо виконання покладених на них функціональних обов'язків;

4) не мають обмежень за станом здоров'я для виконання функціональних обов'язків;

5) зареєстровані за місцем проживання в установленому законодавством порядку.

2. Фахівець з організації заходів охорони та працівники, задіяні до роботи на пункті централізованого спостереження, повинні відповідати вимогам частини першої цієї статті, мати рівень освіти, визначений ліцензійними умовами, затвердженими центральним органом виконавчої влади у сфері охоронної діяльності, і в установлені спеціально уповноваженим центральним органом виконавчої влади у галузі освіти і науки, молоді та спорту терміни та порядку підвищувати рівень кваліфікації.

3. Персонал охорони виконує функції з охорони майна за обов'язкової наявності на його одязі ознак належності до відповідного суб'єкта охоронної діяльності згідно з його статутними документами.

4. Персонал охорони під час виконання функціональних обов'язків повинен мати при собі посвідчення з підписом керівника суб'єкта охоронної діяльності, в якому зазначаються прізвище, ім'я, по батькові особи, яка належить до персоналу охорони, дата видачі і термін дії посвідчення та міститься фотокартка особи, якій видано посвідчення.

5. Суб'єкт охоронної діяльності зобов'язаний забезпечувати дотримання законодавства в організації та функціонуванні охорони, прийомі на роботу персоналу охорони, в організації правил носіння відповідного одягу та розпізнавальних знаків, а також в оснащенні засобами оборони та індивідуального захисту.

6. Працевлаштування осіб з інвалідністю здійснюється суб'єктом охоронної діяльності згідно з чинним законодавством виходячи з кількості штатних працівників, не задіяних безпосередньо у виконанні заходів охорони.

Стаття 12. Права персоналу охорони

1. Персонал охорони під час виконання функціональних обов'язків має право:

1) вимагати від осіб припинення протиправних дій, дотримання законності та правопорядку;

2) вимагати від службових осіб об'єктів охорони та інших осіб дотримання пропускного та внутрішньооб'єктового режимів;

3) не допускати проникнення осіб та затримувати тих, які намагаються проникнути (проникли) на об'єкт охорони або залишити його, порушуючи встановлені правила, з обов'язковим негайним повідомленням про це територіального органу Національної поліції;

4) протидіяти правопорушникам і негайно повідомляти органи Національної поліції про вчинення цими особами кримінального або адміністративного правопорушення;

{Пункт 4 частини першої статті 12 із змінами, внесеними згідно із Законами № 245-VII від 16.05.2013, № 766-VIII від 10.11.2015}

5) застосовувати заходи фізичного впливу, спеціальні засоби та використовувати службових собак відповідно до цього Закону;

6) під час здійснення пропускного режиму на об'єктах охорони проводити огляд речей фізичних осіб (за їх добровільною згодою), транспортних засобів, вилучення речей і документів, що є знаряддями або предметами правопорушення, перевірку документів, що засвідчують особу, дають право на вхід (вихід) осіб, внесення (винесення), ввезення (вивезення) майна, в'їзд (виїзд) транспортних засобів, зокрема щодо їх відповідності складу матеріальних цінностей, що переміщуються на об'єкти охорони (з об'єктів охорони);

7) проводити відкриту відео- та фотозйомку подій як допоміжний засіб запобігання протиправним діям з обов'язковим оприлюдненням на об'єкті, що охороняється, інформації про здійснення таких заходів.

2. Суб'єкт охоронної діяльності зобов'язаний забезпечити належне зберігання відео- та фотоматеріалів, отриманих під час здійснення заходів охорони, протягом одного року з можливістю використання їх виключно у службовій діяльності. Після закінчення строку зберігання зазначених матеріалів проводиться їх знищення комісією у складі трьох представників суб'єкта охоронної діяльності із складенням акта знищення відео- та фотоматеріалів.

Стаття 13. Обов'язки персоналу охорони

1. Персонал охорони під час виконання функціональних обов'язків зобов'язаний:

1) забезпечувати цілісність об'єктів охорони та недоторканність майна, що на них зберігається, недоторканність фізичних осіб;

2) припиняти шляхом здійснення заходів реагування правопорушення проти власності, фізичних осіб, порушення режиму роботи об'єктів охорони;

3) негайно у будь-який спосіб повідомляти відповідні правоохоронні органи про вчинення протиправних дій щодо власності, фізичних осіб та інших незаконних дій, що мають ознаки кримінального правопорушення, у місцях здійснення заходів охорони;

4) зберігати таємницю, що охороняється законом, а також конфіденційну інформацію про господарську діяльність суб'єктів господарювання, оголошену такою в установленому порядку, відомості про особисте і сімейне життя фізичних осіб, що стали відомі у зв'язку з виконанням службових обов'язків, крім випадків, передбачених законодавством;

5) не вчиняти дій, що порушують громадський порядок.

Стаття 14. Підготовка та перепідготовка персоналу охорони

1. Персонал охорони навчається, проходить підготовку, перепідготовку, підвищення кваліфікації в навчальних закладах різних форм власності. Представники центрального органу виконавчої влади у сфері охоронної діяльності можуть залучатися до складу кваліфікаційних комісій професійно-технічних навчальних закладів, які готують фахівців у сфері охоронної діяльності. Підготовка персоналу охорони 1-3 розряду може також здійснюватися суб'єктами охоронної діяльності.

2. Навчальні програми, порядок і рівень підготовки, терміни підготовки, перепідготовки (спеціалізації) та підвищення кваліфікації персоналу охорони визначаються спеціально уповноваженим центральним органом виконавчої влади у галузі освіти і науки, молоді та спорту за погодженням з центральним органом виконавчої влади у сфері охоронної діяльності.

Стаття 15. Відповідальність персоналу охорони

1. Персонал охорони за невиконання або неналежне виконання покладених на нього обов'язків несе дисциплінарну, цивільно-правову, адміністративну або кримінальну відповідальність, встановлену законом.

Стаття 16. Порядок застосування персоналом охорони заходів фізичного впливу та спеціальних засобів

1. Під час здійснення охоронної діяльності персонал охорони має право застосовувати до осіб, які посягають на об'єкт охорони, заходи фізичного впливу та спеціальні засоби в особливих випадках, якщо інші заходи не привели до припинення посягання або до виконання особою законної вимоги персоналу охорони, у разі:

1) захисту себе або іншої особи від нападу, що становить загрозу життю та здоров'ю або майну;

2) запобігання незаконній спробі насильницьким шляхом заволодіти спеціальними засобами;

3) необхідності затримати правопорушника, який незаконно проник на об'єкт, що охороняється, або який вчиняє інші протиправні дії та чинить опір;

4) знешкодження тварини, що загрожує життю та здоров'ю персоналу охорони або інших осіб.

2. Затримання особи персоналом охорони не є адміністративним затриманням. Затримана особа негайно передається органу Національної поліції за місцем вчинення правопорушення.

3. Застосовувати заходи фізичного впливу та спеціальні засоби дозволяється тільки після попередження голосом і жестами про намір їх застосування.

4. Заходи фізичного впливу та спеціальні засоби можуть застосовуватися без попередження у разі:

1) раптового нападу;

2) нападу чи опору з використанням зброї або предметів, що становлять загрозу життю та здоров'ю особи, або з використанням механічних транспортних засобів.

5. Вид спеціального засобу, час початку та інтенсивність його застосування визначаються з урахуванням ситуації, що склалася, характеру правопорушення та особи правопорушника.

6. Забороняється застосовувати заходи фізичного впливу та спеціальні засоби проти жінок з явними ознаками вагітності, осіб похилого віку або з вираженими ознаками інвалідності та малолітніх осіб, а також проти осіб, які відповідно до законодавства є носіями спеціального статусу недоторканності, крім випадків учинення ними нападу, що становить загрозу життю та здоров'ю фізичних осіб, персоналу охорони, або збройного нападу чи збройного опору.

7. У разі якщо неможливо уникнути застосування заходів фізичного впливу та спеціальних засобів, їх застосування має здійснюватися в межах правомірності з дотриманням умов і обставин, які виключають злочинність діяння, і повинно обмежуватися заподіянням мінімальної шкоди здоров'ю особи чи інших негативних наслідків. У разі заподіяння такої шкоди персонал охорони повинен негайно викликати швидку медичну допомогу та надати першу долікарську допомогу потерпілим.

8. Персоналу охорони забороняється застосовувати спеціальні засоби в місцях значного скупчення людей, якщо це може призвести до заподіяння шкоди життю та здоров'ю сторонніх осіб, крім випадків самооборони (самозахисту).

9. Про всі факти припинення правопорушення стосовно персоналу охорони, майна або фізичних осіб, які охороняються, застосування заходів фізичного впливу, спеціальних засобів, використання службових собак персонал охорони зобов'язаний негайно в усній або письмовій формі повідомити свого безпосереднього керівника і територіальний орган Національної поліції, а в разі нанесення тілесних ушкоджень правопорушнику - негайно викликати швидку медичну допомогу.

10. У разі виявлення ознак кримінального правопорушення персонал охорони зобов'язаний до прибуття працівників правоохоронних органів вжити всіх можливих заходів для охорони місця події та збереження слідів кримінального правопорушення, виявлення очевидців і фіксації їхніх персональних даних. Після прибуття працівників правоохоронних органів персонал охорони зобов'язаний діяти за їх вказівкою.

11. Вчинення опору, погроз або насильства стосовно осіб, які здійснюють охоронну діяльність, тягне відповідальність згідно із законодавством.

Стаття 17. Порядок використання службових собак

1. Персонал охорони під час і в місцях виконання заходів охорони має право використовувати службових собак, які пройшли у встановленому порядку відповідний курс дресирування, визнані придатними для службового використання та мають ветеринарний паспорт, винятково для виявлення:

1) проникнень (спроб проникнень) на об'єкти, що охороняються;

2) осіб, які незаконно перебувають на об'єктах, що охороняються.

2. Забороняється використання службових собак в охоронній діяльності без наявності провідника собаки в громадських і загальнодоступних місцях. При цьому собаки мають бути на повідку та стосовно них мають дотримуватися установлені ветеринарні правила.

3. На закритих територіях, де відсутні люди, дозволяється тримати собак без прив'язі, якщо на видних місцях розміщені чіткі та розбірливі попереджувальні написи про охорону об'єкта за допомогою службових собак. При цьому за ними повинен забезпечуватися постійний контроль з боку персоналу охорони.

Стаття 18. Організація взаємодії з правоохоронними органами

1. Суб'єкти охоронної діяльності та правоохоронні органи можуть спільно організовувати взаємодію і надавати взаємодопомогу у діяльності, що спрямована на попередження, припинення і розкриття кримінальних правопорушень та забезпечення охорони громадського порядку.

2. Заходи із взаємодії з правоохоронними органами не можуть порушувати зобов'язання суб'єктів охоронної діяльності за договором щодо надання послуг з охорони.

Стаття 19. Форми взаємодії з правоохоронними органами

1. Суб'єкти охоронної діяльності організовують взаємодію з правоохоронними органами у формі:

1) проведення спільних нарад, консультацій;

2) обміну інформацією з питань попередження та припинення правопорушень;

3) інших не заборонених законодавством заходів за умови, що не порушуються права та обов'язки суб'єктів господарювання і здійснення таких заходів належить до компетенції відповідного правоохоронного органу.

1. Цей Закон набирає чинності через шість місяців з дня його опублікування.

3. Кабінету Міністрів України протягом шести місяців з дня набрання чинності цим Законом:

привести свої нормативно-правові акти у відповідність із цим Законом;

забезпечити приведення міністерствами, іншими центральними органами виконавчої влади їх нормативно-правових актів у відповідність із цим Законом;

забезпечити прийняття нормативно-правових актів, необхідних для реалізації положень цього Закону.

Президент України

В.ЯНУКОВИЧ

# data[].attributes.attachment_link.title
Про охоронну діяльність