Ексклюзивне інтерв'ю агентству "Інтерфакс-Україна" заступника міністра цифрової трансформації з питань кібербезпеки та хмарних технологій Віталія Балашова
Текст: Ірина Дорош
– Після призначення новою очільницею Мінцифри Оксану Ферчук як змінилися пріоритети міністерства у сфері кібербезпеки та кіберстійкості? На чому зараз зосереджена основна увага, і які завдання є пріоритетними до кінця 2026 року?
– Концептуально наші завдання і мета не змінилися. Можливо, дещо змінилися акценти та пріоритети, але загалом моя робота залишається плюс-мінус такою самою. Єдине, що уряд в особі прем'єр-міністра України поставив на перше місце підготовку до зими та максимальну стійкість. Раніше ми теж працювали над стійкістю, але тепер ці завдання стали ще більш пріоритетними. Тому на перше місце ми також поставили стійкість цифрової інфраструктури та мобільних мереж, щоб мобільні оператори могли забезпечувати роботу своїх мереж в умовах блекаутів.
У нас був дуже системний підхід, розрахований на фундаментальну реформу та довгостроковий захист фізичної інфраструктури. Зараз ми продовжуємо цю роботу, але водночас виокремлюємо термінові заходи, які можемо реалізувати вже зараз, до цієї зими.
– Про які заходи йдеться?
– Точно можемо казати про те, що будемо посилювати взаємодію з іноземними партнерами, тому що один із спосібів захистити фізичну інфраструктуру – це вийти за кордон України. Тому наша інфраструктура на плечах наших партнерів – це як тимчасове рішення. Хоча це, звісно, бути може як і тимчасово, так і ні, але це вже зовсім інше питання.
– Мова, зокрема, і про хмарні технології?
– Ми ще не випустили, але вже підготували такий документ, який називається "Концепція з розвитку хмарних послуг України 26-31", мабуть, вже буде 27-32, як я підозрюю. У ньому ми чітко заклали схожий на американський принцип Cloud First, за яким під час створення будь-якої системи вона одразу має розглядатися для розміщення у хмарі. Ми трохи пом'якшили та перефразували цей підхід у Cloud Smart. Наші консультанти запропонували цей варіант, за якого ми залишаємо за собою право навіть на рівні принципу не переходити у хмару або, навпаки, обов'язково використовувати її, якщо це доцільно.
– Раніше бачила інформацію про концепцію хмарної технології. Ви про цей документ говорите?
– В нас є документ, який називається "концепція", його ще не опублікували. Водночас концепцію вже узгоджено з більшістю зацікавлених сторін, тобто з іншими державними органами та організаціями.
Нещодавно разом командою ми намагалися унормувати деякі терміни, які викликають особисто в мене певні запитання. Але робота над концепцією триває і вже фіналізується, і Україна її невдовзі побачить. Ми хочемо вийти з нею до кінця цього року.
– Які основні тези вона пропонує?
– Cloud Smart – це один з принципів, який туди входить. Водночас ми орієнтуємося на архітектурну модель гібридної мультихмари, яка передбачає використання різних хмарних середовищ і провайдерів.
Для нас важливо дотримуватися принципу мультихмари, оскільки це диверсифікує ризики, підвищує стійкість і дає свободу вибору провайдера.
Ми регулюємо виключно державні організації, водночас бізнес може робити, що хоче, тому що сам бере на себе відповідні ризики. Для бізнесу, який є критичною інфраструктурою, діятимуть додаткові вимоги щодо стійкості, зокрема використання гібридної та мультихмарної моделі. При цьому ми не нав'язуємо конкретних провайдерів – компанії мають обирати їх із доступних на ринку з огляду на власні потреби і ризики.
– А якою є позиція Мінцифри щодо користування хмарними технологіями, що знаходяться саме за кордоном?
– Як із будь-якими технологіями, хмарні рішення мають свої переваги та недоліки. Загалом ми відкриті до співпраці й уже працюємо із закордонними хмарними провайдерами, зокрема великими гіперскейлерами, як-от Amazon, Google та Microsoft. Водночас є певні безпекові обмеження. Для нас неприйнятна співпраця з провайдерами, інфраструктура яких розміщена в недружніх до нас країнах, тимчасово окупованих територіях України тощо.
Також існує перелік умов щодо країн, провайдери з яких не можуть надавати послуги державним ресурсам. Бізнес при цьому має більше можливостей.
Водночас ми не хочемо повністю залежати від інфраструктури за кордоном. В Україні має залишатися копія державних ресурсів, а їхні власники повинні мати процедури швидкого відновлення роботи систем у разі виникнення проблем як в Україні, так і за кордоном.
Зараз ми якраз закріпили це оновленням постанови Кабінету Міністрів №1009, яка вносить зміни до постанови №205. Там багато положень стосується саме стійкості, зокрема, запроваджуються відповідні норми та показники, які визначають вимоги до відновлення систем.
Якщо система не може бути відновлена автоматично, її власник має гарантувати нам як міністерству, що у разі виникнення проблем чи то в Україні, чи то за кордоном її можна відновити за чітко визначену кількість годин.
– Чи були вже прецеденти, коли або з нашого боку, або з іншої країни доводилося швидко відновлюватися?
– Мені такі не відомі. Це більше розглядається як ризик, а не як пряма загроза. Однак ігнорувати його ми не можемо з точки зору здорового глузду і національної безпеки, тому ми ці ризики ми враховуємо.
– Зі скількома партнерами ви працюєте зараз саме у передачі інформації у хмару?
– Ми не передаємо інформацію, а можемо мігрувати або дублювати туди певні автоматизовані системи, які вже обробляють нашу інформацію. Тому я б тут використовував саме слово "інфраструктура", яка туди переміщується, або певні програмні засоби, які працюють з інформацією.
Станом на зараз немає жодних обмежень щодо передачі публічної інформації. Раніше це було заборонено законодавством про кіберзахист: було чітко визначено, що всі державні ресурси мають бути виключно в Україні. Водночас постанова №1500 на період воєнного стану та шість місяців після його припинення дозволяє розміщувати за кордоном частину інформації. Таємну інформацію розміщувати за кордоном не можна, тоді як публічну та конфіденційну – так.
І, знов-таки, важливо розуміти, що закордонна хмара – це не завжди якийсь власник з іншої країни. Зараз, наприклад, українські провайдери GigaCloud та De Novo, а також дата-центр "Парковий", які входять до Альянсу цифрового суверенітету, мають точки присутності за кордоном. Вони можуть надавати послуги української хмари, яка фізично розташована в іншій країні, але операційно керується українською компанією.
Такий гібридний підхід для нас прийнятний. Для резервування державних реєстрів за кордоном можуть використовуватися як авторизовані в Україні іноземні провайдери, так і українські компанії з інфраструктурою за кордоном. При цьому всі оператори, незалежно від походження, проходять однакову процедуру для отримання права надавати послуги державі та критичній інфраструктурі.
– Які основні положення містить ця процедура?
– Станом на зараз вона доволі складна і передбачає підтвердження сертифікатів безпеки, розташування обладнання, а також підтвердження права власності на нього. В принципі, її можна пройти, але знову ж таки в залежності від бізнесу.
В контексті закону про хмарні послуги: одна з причин його зміни – це те, що закладені в цьому законі процедури є досить складними, а іноді навіть неможливими для надавачів хмарних послуг, як-от Amazon, Google чи Microsoft. Для них там суперскладно, і вони за політикою компанії просто за своїми compliance (вимоги, норми – ІФ-У) не можуть надати інформацію.
Тому ми пішли назустріч і трохи спрощуємо цю процедуру, однак не полегшуємо вимоги безпеки до цієї процедури.
Нам дуже важливо, щоб надавачі хмарних послуг як державі, так і критичній інфраструктурі відповідали вимогам національної безпеки, тому до процедури залучена Служба безпеки України (СБУ).
– Реалізацію яких ще напрямів до кінця цього року ви обговорюєте зараз з міністеркою?
– Наприклад, зараз ми розглядаємо концепцію створення повноцінного дата-центру за кордоном, де Україна могла б отримати окрему територію та дипломатичний статус, подібний до статусу посольства. Це дало б додатковий рівень юридичного захисту для інфраструктури та каналів зв'язку.
Це не означає, що на цій території діятиме українське законодавство, однак такий статус забезпечить додаткові гарантії захисту інфраструктури.
– На якому етапі ця ідея наразі?
– Це вже не просто план – напрям перебуває в процесі реалізації. У світі є відповідні приклади. Зокрема, Естонія використовує дата-центр у Люксембурзі для зберігання державних даних. Ми теж ведемо з перемовини з Люксембургом та з іншими країнами, які пропонують подібні рішення.
Наразі ми не погодили жоден із варіантів, передусім опрацьовуємо питання безпеки. Однак сама концепція розміщення державних даних за кордоном для нас цікава.
Серед інших напрямів, над якими працює міністерство, – реалізація підходу Secure by Design, за якого безпека має закладатися ще на етапі проєктування продукту. Зараз в Україні є вимоги до безпеки кінцевого програмного продукту, але недостатньо чіткі вимоги до самого процесу його розробки. Тому разом із представниками ринку ми працюємо над формуванням вимог до безпечної розробки програмного забезпечення, яке планується продавати державі. Держава не повинна купувати продукт, якщо немає доказів, що вимоги безпеки дотримувалися протягом усього процесу його створення.
– Реалізацію нормативки плануєте завершити цього року?
– Ми вже над цим працюємо. Чи встигнемо завершити вже цьогоріч, не знаю, тому що це може потребувати внесення змін до законодавства.
– Оксана Ферчук в інтерв'ю DOU зазначала, що Мінцифри планує розвивати нові цифрові продукти для військової екосистеми. Коли створюються цифрові сервіси та додатки для військових, яку роль у цьому процесі відіграє кібербезпека? Як ви захищаєте такі програми від потенційних кібератак і витоку даних, особливо з огляду на те, що для ворога вони можуть бути потенційно цікавою ціллю?
– Кібербезпекова складова важлива не лише для військових застосунків. Методологічно підходи не змінюються: якщо чутливість і важливість даних вища, зокрема у military grade системах, рівень контролю за безпекою має бути вищим, а прийнятні ризики – нижчими.
По суті, це питання ризик-менеджменту. Наприклад, під час розробки "Армія+" рішення щодо кібербезпеки ухвалювалися ще до написання коду. Такий підхід ми зараз намагаємося закріпити в нормативці, щоб він став обов'язковим.
Різниця між цивільними та військовими системами передусім у рівні ризиків і чутливості інформації. Методи захисту схожі, але у військових системах до ризиків потрібно ставитися значно жорсткіше, іноді жертвуючи зручністю користувача заради безпеки.
Наприклад, в "Армія+" для надсилання рапорту військовому потрібно знати ID командира. Це менш зручно, але дає змогу не створювати єдиний реєстр, де за ім'ям можна було б отримати дані, і таким чином зменшує ризик витоку даних.
Зараз розробляється окрема система з відповідними параметрами захисту, яку має бути інтегровано з "Армія+". Наскільки я знаю, робота над нею триває, але актуального статусу проєкту я наразі не маю.
– Якщо говорити про кіберінциденти, Державний центр кіберзахисту за січень-червень 2026 року опрацював 248 кібератак. Чи має Мінцифри власну статистику щодо кількості кіберінцидентів за І півріччя 2026 року? Як цей показник змінився порівняно з аналогічним періодом 2025 року?
– Сама по собі кількість кібератак не є достатньо інформативним показником. Важливіше оцінювати їхню складність, цілеспрямованість і потенційну шкоду. Автоматизовані атаки є, фактично, постійною реальністю для систем, відкритих у мережі, тоді як таргетовані атаки потребують окремого аналізу.
Держспецзв'язку та CERT-UA як національна команда реагування є одним із ключових елементів системи кібербезпеки. Крім них у нас є кіберцентри в СБУ, Національному банку України, а також власні команди в державних підприємствах, зокрема у ДП "Дія". Ми, наприклад, свої продукти намагаємося захищати самостійно, щоб, як мінімум, не створювати додаткового навантаження на національну команду там, де маємо власних фахівців і можемо впоратися самі. Тому важливо розвивати власні команди кіберзахисту в державних органах, підприємствах та інших установах, щоб розподіляти навантаження.
Водночас характер кіберзагроз змінюється разом із перебігом війни. На початку повномасштабного вторгнення переважали руйнівні атаки, спрямовані на те, щоб паралізувати державні сервіси і критичну інфраструктуру. Деякі з них взагалі не потрапляла у публічний простір. Були випадки, коли знищувалися цілі серверні організацій. Із найбільш відомих оприлюднених прикладів можна згадати атаку на "Київстар". Згодом акцент змістився на розвідувальні операції, приховану присутність у системах і тривалий збір інформації.
– Reuters у квітні повідомляв про атаку поштових скриньок українських прокурорів і слідчих. Які висновки держава зробила після цієї атаки та як саме посилила вимоги до захисту електронної пошти державних органів і правоохоронних структур?
– Не зовсім коректно оцінювати ситуацію в усій державі за одним конкретним інцидентом. Відповідальність за безпеку інформаційної системи передусім несе її власник. Профільні органи, зокрема CERT-UA, мають допомагати виявляти та ліквідовувати наслідки інцидентів, але не можуть замінити власника системи.
Моя позиція в тому, що ми не повинні мікроменеджити кожну організацію, визначаючи, де і як саме вона має зберігати резервні копії. Натомість власник системи має чітко розуміти допустимий час її простою, швидкість відновлення та можливі втрати даних.
Підхід уже закріплено у законодавстві, зокрема через авторизацію з кібербезпеки, прописано конкретні чеклісти. Завдання полягає насамперед у тому, щоб ці вимоги виконувалися.
– Раніше у подкасті "Люди цифри" ви зазначали, що в Україні фіксуються спроби атак кожного дня. Скільки з них, скажімо, у відсотках спрямовані на державну інфраструктуру?
– Чесно кажучи, я не рахую ці відсотки. Відповідні команди в державному секторі зосереджені на власній складовій захисту державних інформаційних ресурсів, тоді як приватний бізнес відповідає за захист власної інфраструктури. Тому статистика, про яку йдеться, переважно відображає атаки на державні інформаційні ресурси та інфраструктуру.
– Зараз для кібератак використовують також штучний інтелект. А як застосовується ця технологія у кібербезпеці?
– Штучний інтелект у кібербезпеці передусім пришвидшує процеси та зменшує операційне навантаження, автоматизуючи вже відомі алгоритми. Він може аналізувати журнали подій, виявляти патерни потенційних атак і швидше реагувати на загрози.
ШІ може стати своєрідним акселератором для фахівця, виконуючи великий обсяг рутинної роботи без втоми та з високою швидкістю. Водночас він не завжди здатен помітити те, що може виявити досвідчений спеціаліст. Однак технологія розвивається і може дуже швидко вдосконалюватися.
ШІ може зробити якесь попередження або автоматично прийняти рішення про контрзаходи та захист. Він також автоматизує вже відомі алгоритми, зменшуючи потребу людини. Якщо людина вміє правильно його налаштовувати, то насправді і поріг входу до професії теж трохи зменшується.
– Тобто кількість працівників таки може скорочуватися, якщо більше використовується штучний інтелект?
– Теоретично кількість працівників справді може скорочуватися, але в Україні та світі вже зараз існує значний дефіцит фахівців із кібербезпеки.
Кібербезпека – це властивість конкретної системи, яка має забезпечувати її безперебійну роботу та захищати дані. Тому фахівці в цій сфері все одно будуть потрібні, а зі зростанням складності технологій і кількості загроз потреба в них лише збільшуватиметься.
– Повернімося до теми ШІ. Чи фіксувало міністерство застосування ворогом ШІ під час кібератаки?
– Ми можемо напевне стверджувати, що деякі атаки, які спостерігає Security Operations Center у ДП "Дія", здійснюються із застосуванням штучного інтелекту. ШІ підсилює нападників так само, як і захисників: дозволяє швидше працювати, автоматизувати більше процесів і збільшувати кількість одночасних дій. Деякі атаки ми можемо майже зі 100% впевненістю ідентифікувати як такі, під час яких нападники використовували ШІ.
Зі свого боку ми використовуємо професійні комерційні рішення для виявлення та запобігання атакам. Розробники таких систем постійно вдосконалюють їхній функціонал з урахуванням нових загроз, а наші фахівці використовують ці інструменти для протидії атакам і підвищення стійкості систем.
– Щодо міжнародної кіберпідтримки. Україна нещодавно отримала доступ до Резерву кібербезпеки ЄС. Як реалізовуватиметься цей механізм? Чи комунікували ви вже з іншими країнами, які потенційно могли б допомагати протидіяти кібератакам?
– Механізм резерву – це важливий для України політичний та євроінтеграційний крок і водночас сигнал підтримки з боку ЄС. У разі масштабного кіберінциденту, якщо власних команд буде недостатньо, Україна зможе залучити європейських фахівців для реагування та розслідування. Це можуть бути як державні структури, так і представники комерційного сектору ЄС.
– Міжвідомча робоча група (МРГ) у липні розглянула та підтримала 48 нових проєктів у сфері кібербезпеки. Які з них є перспективними та важливими на цей рік та що в них передбачається?
– Абсолютно всі проєкти, які проходять через Талліннський механізм, – це завжди проєкти, направлені на посилення кібербезпеки. Цей механізм спрямований лише на посилення кібербезпеки та стійкості цивільних структур. Військові проєкти не розглядаються, оскільки для них діє окремий механізм підтримки – "ІТ-Рамштайн". Проєкти проходять два рівні відбору: технічну та міжвідомчу робочі групи, які перевіряють їхню відповідність потребам України.
Через Талліннський механізм донори з різних країн можуть обирати та фінансувати верифіковані Україною проєкти. Нещодавно також було оновлено критерії їхнього відбору: вони стали більш прозорими та більш жорсткими.
Як приклад, куди донорські кошти було спрямовано і де ми, власне, робили публічну комунікацію, – підтримка від Канади. Канада дала свою згоду на те, щоб публічно розказати про свою підтримку. Там було 5 канадських проєктів, серед них один стосувався Чорнобильської АЕС.
– Італія з липня очолює Талліннський механізм. Як відбувається зараз ця комунікація її урядом? Зазначалося, що Італія планувала злучити EUR1 млн, а загалом їхня допомога сягатиме EUR 2 млн. Можливо, є вже якісь реалізовані проєкти, і ми можемо про це говорити?
– Італія зараз фінансує щонайменше два проєкти в Україні: у Тернопільській та Одеській областях. Йдеться про підвищення стійкості окремих органів і державних функцій, а не регіонів загалом.
Насправді Італія надала ще EUR1 млн, про що вона оголосила під час отримання головування у Талліннському механізмі від Великої Британії, яка очолювала його попередні пів року.
– Україна разом з Українським альянсом цифрового суверенітету запускає дослідження цифрової екосистеми, зокрема для оцінки залежності від технологій інших країн. Як у контексті кібербезпеки можете прокоментувати таку ідею? Наскільки ми є ще залежними в цьому питанні і що планується вирішити?
– Я позитивно ставлюся до створення індексу цифрового суверенітету. Ідея виникла під час стратегічної зустрічі з Альянсом цифрового суверенітету, і нинішнє дослідження є першим кроком у цьому напрямку. Якщо ми навчимося вимірювати цифровий суверенітет, це стане корисною метрикою для ухвалення подальших рішень на основі даних.
Водночас цифровий суверенітет не має означати повну ізоляцію України від іноземних надавачів послуг. Досягнення абсолютного цифрового суверенітету, на мою думку, є радше утопією. Наше завдання – захищати національні інтереси. Тому що data-driven decision-making – це те, що у нас має бути. Що більше даних ми збираємо, то ліпші наші рішення.
– Коли планується презентація цього дослідження?
– Тут краще запитати альянс. Ми спілкуємося з ними доволі часто, але з інших питань. Цей трек (дослідження – ІФ-У) важливий, однак у нас є більш термінові і критичні напрями.
– Якось Оксана Ферчук в інтерв'ю для DOU зазначала, що головними перепонами для експорту "Дії" є законодавчі особливості та рівень цифровізації конкретної країни, а не безпека даних громадян. Однак з огляду на кібербезпекову складову, як Мінцифри планує демонструвати можливості "Дії" потенційним країнам-партнерам?
– Так, справді, проблема експерту "Дії" не зовсім очевидна для більшості людей. Для цього потрібні відповідні юридичні та технічні умови. "Дія" значною мірою є юридичним продуктом, оскільки її робота стала можливою завдяки змінам у законодавстві, які, зокрема, визнали цифрові документи офіційними. Тому в іншій країні спочатку мають бути створені відповідні правові умови, а також сучасні цифрові реєстри, автоматизовані системи та якісні дані. Лише після цього можна створювати цифровий продукт для доступу громадян до документів і державних послуг.
Ми відкриті до допомоги іншим країнам у цьому напрямі й ділимося досвідом. Деякі країни використовують цей досвід для створення власних цифрових застосунків, адаптованих до їхніх правових і технічних умов.
– Які країни зараз спілкуються з Мінцифри щодо цього питання?
– Ми постійно комунікуємо з іншими країнами, зокрема обмінюємося меморандумами та проводимо первинні консультації. За останні пів року, наскільки я пам'ятаю, спілкувалися щонайменше з однією країною в місяць. Це не завжди може бути успіх.
– Міністерка якось розповідала про намір зробити послуги "Дії" більш проактивними, щоб система сама пропонувала людині відповідний сервіс на основі інформації про неї. Як ви бачите реалізацію цього з точки зори кіберзахисту?
– Для мене це, очевидно, означає зростання складності продукту, збільшення поверхні атаки, появу додаткових механізмів і, відповідно, додаткових ризиків. Тому ми ще на етапі проєктування залучаємо фахівців із кібербезпеки та оцінюємо ризики майбутніх рішень.
Такий підхід застосовувався і під час створення "Дії". Наприклад, у застосунку свідомо немає окремої реєстрації користувачів, оскільки створення централізованої бази могло б збільшити ризик витоку даних.
Так само буде і з новою пропозицією у "Дії". Якщо є продуктова ціль зробити користувачам зручніше, ми маємо до цього прийти.
– Чи обговорюється зараз ця ідея? Можливо, є план реалізації?
– Це радше питання до моїх колег, але ми як команда безпеки точно підтримуватимемо цей напрям і водночас контролюватимемо, щоб продукт не реалізовувався без урахування вимог кібербезпеки. Усередині міністерства вже є відповідні стандарти, інженери з безпеки безпосередньо працюють із розробниками "Дії", тому цю процедуру буде дотримано незалежно від моєї особистої участі.
– В медіа неодноразово ширилася інформація про те, що частина українського бізнесу так чи інакше використовують заборонене ПЗ "1С". Чи є випадки використання російського ПЗ у держструктурах?
– Державні установи використовують російське ПЗ не тому, що хочуть цього, а тому, що перехід на інші системи часто є складним і тривалим процесом. Держава закуповувала, зокрема, російське програмне забезпечення, адже воно було адаптованим до українського ринку. Мабуть, на це впливала також цінова політика та інші фактори.
Водночас процес відмови від такого ПЗ триває. Зі свого боку Мінцифри має створювати умови та стимули для розвитку українських продуктів, які відповідають потребам держави. Однак необхідно встановлювати обмеження, щоб використання російського ПЗ було не лише забороненим, а й економічно та практично невигідним. Процес його витіснення триває, і загалом він рухається позитивно.
Ми маємо йти цим шляхом, підтримуючи наших виробників та надаючи їм допомогу. І от саме таким чином цей ринок має трансформуватися.
