МЕХАНІЗМ АДАПТИВНОГО ПЛАНУВАННЯ АУДИТУ КІБЕРБЕЗПЕКИ ПІДПРИЄМСТВА НА ОСНОВІ КОМПЛЕКСНОГО ОЦІНЮВАННЯ СТАНУ ТА КРИТИЧНОСТІ АКТИВІВ

Віталій Волинець; Олеся Войтович

doi:10.28925/2663-4023.2026.35.1422

Автор(и)

Віталій Волинець Вінницький національний технічний університет https://orcid.org/0009-0006-7999-1290
Олеся Войтович Вінницький національний технічний університет https://orcid.org/0000-0001-8964-7000

DOI:

https://doi.org/10.28925/2663-4023.2026.35.1422

Ключові слова:

кібербезпека, аудит кібербезпеки, інформаційні активи, критичність активів, кіберризик, пріоритизація, прийняття рішень, адаптивне планування

Анотація

У статті запропоновано механізм адаптивного планування аудиту кібербезпеки підприємства на основі комплексного оцінювання стану та критичності інформаційних активів. Механізм розглядається як засіб підтримки етапу планування аудиторських процедур і призначений для визначення пріоритетності перевірок інформаційних активів у межах установленої програми аудиту. Для комплексного оцінювання стану активу поєднуються оцінка формальної відповідності вимогам кіберзахисту, поточного динамічного стану безпеки та експертна оцінка аудитора або профільного фахівця. Бізнес-значущість активу враховується за допомогою коефіцієнта критичності. На основі зазначених показників формується узагальнена оцінка стану та розраховується індекс пріоритетності аудиту, який використовується для ранжування активів і адаптивного уточнення черговості їх перевірки за обмеженого аудиторського ресурсу. Передбачено можливість повторного обчислення пріоритетів у разі появи нових вразливостей, аномалій, інцидентів, змін конфігурації або інших чинників кіберризику. Для забезпечення відтворюваності результатів фіксуються джерела та момент отримання вхідних даних, правила нормування, шкали оцінювання і вагові коефіцієнти. Проведено сценарну апробацію механізму на прикладі восьми інформаційних активів умовного підприємства. Після моделювання погіршення стану окремих активів індекси пріоритетності було повторно обчислено, що спричинило зміну черговості першочергових перевірок. За обмеження аудиторського ресурсу трьома перевірками середній індекс пріоритетності активів першочергової перевірки збільшився з 0,307 для початкового порядку до 0,344 для адаптивно оновленого. Отримані результати демонструють працездатність механізму як засобу підтримки прийняття рішень і потребують подальшої перевірки на реальних даних підприємства.

Завантаження

Дані завантаження ще не доступні.

Посилання

Криворучко, О. В., & Гнатченко, Д. Д. (2024). Функціональні особливості інтелектуальної системи внутрішнього аудиту. Кібербезпека: освіта, наука, техніка, 4(24), 40–49. https://doi.org/10.28925/2663-4023.2024.24.4049

Куперштейн, Л. М., Волинець, В. В., & Войтович, О. П. (2026). Аналіз сучасних підходів та перспектив застосування штучного інтелекту в аудиті кібербезпеки підприємства. Наукові праці Вінницького національного технічного університету, (1). https://praci.vntu.edu.ua/index.php/praci/article/view/923

Palo Alto Networks, Unit 42. (2026). Global incident response report 2026. https://www.paloaltonetworks.com/content/dam/pan/en_US/assets/pdf/unit42/Unit42-Global-Incident-Response-Report.pdf

National Institute of Standards and Technology. (2024). The NIST Cybersecurity Framework (CSF) 2.0 (NIST CSWP 29). U.S. Department of Commerce. https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf

Войтович, О., & Волинець, В. (2025). Особливості законодавства щодо аудиту кібербезпеки в різних регіонах світу. Вимірювальна та обчислювальна техніка в технологічних процесах, (3), 23–29. https://doi.org/10.31891/2219-9365-2025-83-3

International Organization for Standardization. (2022). ISO/IEC 27001:2022 Information security, cybersecurity and privacy protection—Information security management systems—Requirements. https://www.iso.org/standard/27001

International Organization for Standardization. (2022). ISO/IEC 27005:2022 Information security, cybersecurity and privacy protection—Guidance on managing information security risks. https://www.iso.org/standard/80585.html

Chalyi, O., & Toliupa, S. (2025). Comparison of international audit standards for information security with automation perspectives. Cybersecurity: Education, Science, Technique, 3(31), 579–588. https://doi.org/10.28925/2663-4023.2025.31.1046

Souppaya, M., & Scarfone, K. (2022). Guide to enterprise patch management planning: Preventive maintenance for technology (NIST Special Publication 800-40 Rev. 4). National Institute of Standards and Technology. https://doi.org/10.6028/NIST.SP.800-40r4

Forum of Incident Response and Security Teams. (2023). Common Vulnerability Scoring System version 4.0: Specification document. https://www.first.org/cvss/v4.0/specification-document

Forum of Incident Response and Security Teams. (n.d.). Exploit Prediction Scoring System (EPSS). Retrieved June 30, 2026, from https://www.first.org/epss/

Jiang, Y., Oo, N., Meng, Q., Lim, H. W., & Sikdar, B. (2025). A survey on vulnerability prioritization: Taxonomy, metrics, and research challenges. arXiv. https://arxiv.org/abs/2502.11070

Адміністрація Державної служби спеціального зв’язку та захисту інформації України. (2026). Методичні рекомендації щодо проведення самооцінювання поточного стану кіберзахисту (Додаток до наказу Адміністрації Держспецзв’язку від 16.04.2026 № 285 «Деякі питання проведення оцінювання стану кіберзахисту»). https://cip.gov.ua/ua/docs/nakaz-administraciyi-derzhspeczv-yazku-vid-16-04-2026-285-deyaki-pitannya-provedennya-ocinyuvannya-stanu-kiberzakhistu

Korobeinikova, T., Shapovalov, B., Zhuravel, I., & Romanyuk, O. (2025). A weighted expert-based method for asset criticality assessment in cyber risk evaluation. In 2025 15th International Conference on Advanced Computer Information Technologies (ACIT). IEEE. https://doi.org/10.1109/ACIT65614.2025.11185835

Masukume, M., Mhlanga, S., Mubvirwi, T., & Mushiri, T. (2020). Development of an asset criticality assessment tool: The case of a fertiliser manufacturing company. In Proceedings of the 2nd African International Conference on Industrial Engineering and Operations Management. https://www.ieomsociety.org/harare2020/papers/117.pdf

Ghazouani, M., Medromi, H., Sayouti, A., & Faris, S. (2014). Information security risk assessment: A practical approach with a mathematical formulation of risk. International Journal of Computer Applications, 103(8). https://doi.org/10.5120/18097-9155

Kostiuk, Y., Skladannyi, P., Samoilenko, Y., Khorolska, K., Bebeshko, B., & Sokolov, V. (2025). A system for assessing the interdependencies of information system agents in information security risk management using cognitive maps. In Cyber Hygiene & Conflict Management in Global Information Networks 2024 (CEUR Workshop Proceedings, Vol. 3925, pp. 249–264). https://ceur-ws.org/Vol-3925/

Jiang, Y., Oo, N., Meng, Q., Lim, H. W., & Sikdar, B. (2025). VulRG: Multi-level explainable vulnerability patch ranking for complex systems using graphs. arXiv. https://arxiv.org/abs/2502.11143