СУІБ у ритейлі: чим Україна відрізняється від ЄС і США у 2026 році

💡 Усі статті, обговорення, новини про DevOps — в одному місці. Приєднуйтесь до DevOps спільноти!

Під час побудови системи управління інформаційною безпекою (СУІБ) за ISO 27001 в українській ритейл-мережі я подумала про порівняння того, як це роблять в Україні, ЄС і США. Вийшло три різні моделі та одна спільна основа. У цій статті є пояснення для власника бізнесу, практичні висновки для спеціаліста з ІБ і розрахунок того, як довести, що безпека окуповується (ROSI).

Ритейлер є цікавим кейсом при побудові СУІБ через те, що містить одночасно все, що цікавить зловмисників: карткові дані на тисячах касових терміналів, персональні дані мільйонів учасників програм лояльності, доступи сотень постачальників до своїх систем і розподілену по всій країні інфраструктуру. За даними Akamai, у 2025 році комерційний сектор став галуззю № 1 за кількістю веб-атак, і 62 % цих атак припали на ритейл (swif.ai).

Простій у ритейлі одразу видно у доході. У липні 2021 року шведська мережа Coop закрила близько 800 магазинів майже на тиждень, бо каси не працювали. Coop не була ціллю атаки. Угруповання REvil зламало Kaseya VSA, програму для віддаленого адміністрування, і через 50-60 ІТ-підрядників шифрувальник дістався приблизно 1500 компаній (Wikipedia, ODNI). Coop просто опинилася в цьому ланцюгу.

Питання просте: хто вимагає від ритейлера побудувати СУІБ і що буде, якщо цього не зробити?

Три моделі регулювання

ЄС: горизонтальна модель і прямий примус. Європейський ритейл підпорядковується закону, і досить жорсткому.

GDPR стосується всіх, хто обробляє персональні дані, незалежно від галузі. Компанія повинна мати технічні й організаційні заходи захисту і повідомити регулятора про витік протягом 72 годин (ст. 33 GDPR). Максимальний штраф становить €20 млн або 4 % світового річного обороту. Регулятори цим реально користуються: у 2025 році вони наклали штрафів на €1,2 млрд (Sovy), зокрема €150 млн отримала SHEIN від французького CNIL (Usercentrics).

NIS2 охоплює 18 секторів економіки. Ритейл потрапляє туди через онлайн-маркетплейси та дистрибуцію харчових продуктів, якщо компанія має від 50 працівників або оборот понад €10 млн (Glocert). Звітувати про інциденти треба ще швидше, ніж за GDPR: перше попередження за 24 години, повне повідомлення за 72 години, фінальний звіт за місяць (ITA).

Найважливіша новація NIS2 полягає в персональній відповідальності керівництва. Правління затверджує заходи безпеки, контролює їх виконання і проходить навчання. За порушення керівника можуть тимчасово відсторонити від посади (Puppet).

США: суди, страховики і контракти. Єдиного федерального закону про захист даних у США немає. Вимоги складаються з кількох шарів.

FTC (Федеральна торгова комісія) з 2002 року відкрила понад 50 справ щодо безпеки даних і сформувала доктрину «розумних заходів безпеки» (CLM). Показово, що перша справа за критерієм «несправедливої практики» у 2005 році була саме проти ритейлера.

Закони штатів. Каліфорнійський CCPA/CPRA передбачає штраф до $7 988 за навмисне порушення (CPPA) і дає споживачам право подавати позови з компенсацією від $107 до $799 на людину за інцидент. Закони про повідомлення про витоки діють у кожному штаті.

PCI DSS є приватним стандартом, але для кожного, хто приймає картки, він обов’язковий за договором з еквайєром.

NIST CSF 2.0 формально добровільний. Втім, страховики, клієнти й державні закупівлі фактично роблять його обов’язковим (Thales).

Найцікавіший американський інструмент, на мою думку, це закони про safe harbor. Першим такий закон ухвалив Огайо у 2018 році, згодом його запозичили Коннектикут, Техас та Оклахома. Якщо компанія має задокументовану програму кібербезпеки за визнаною рамкою (NIST CSF, ISO 27001, CIS Controls), після витоку вона отримує юридичний захист у суді (Hyperproof). Держава не карає за відсутність безпеки, а винагороджує за її наявність.

Україна: реформа, яка тільки почалася. Закон № 2163-VIII (2017) будував систему кібербезпеки навколо держави та критичної інфраструктури (КІІ). Приватний ритейл, який не є оператором КІІ, фактично залишався поза прямим регулюванням. СУІБ будували добровільно, під вимоги НБУ до платіжних систем (Положення № 43) або на запит західних партнерів.

Закон про захист персональних даних існував, але не зобов’язував повідомляти про витоки. Максимальний адміністративний штраф становив приблизно 34 тис. грн (Омбудсман). Для великої мережі це похибка в бюджеті, а не стимул.

Що змінила реформа 2025 року

Закон № 4336-IX разом із дев’ятьма постановами Кабміну став наймасштабнішою реформою кібербезпеки в історії України (огляд НКЦК, РНБО). Головні зміни:

• Відмова від КСЗІ. Замість формальної моделі, орієнтованої на папери, вводяться ризик-орієнтовані профілі безпеки: базовий, цільовий і галузевий.
• Авторизація з безпеки за повідомним (декларативним) принципом.
• CISO закріплено законом, і цю посаду заборонено суміщати з посадою керівника цифрової трансформації (CDTO). Безпека не повинна звітувати тим, кого вона перевіряє.
• Обов’язкове звітування про кіберінциденти до відповідної команди реагування (CSIRT).
• Орієнтація на NIS2 і DORA, тобто на пряму гармонізацію з ЄС.

Щодо обмежень: сім із дев’яти підзаконних актів набули чинності лише в листопаді та грудні 2025 року. Класифікацію інцидентів і платформу обміну інформацією ще не завершено. Регулювання, операційну роботу, стандартизацію і контроль досі виконує один орган, Держспецзв’язку. Для комерційного ритейлу поза периметром КІІ реформа поки задає напрям, а не пряме зобов’язання.

Напрям при цьому однозначний. Разом із законопроєктом № 8153 про захист персональних даних за зразком GDPR (Цифрова держава) він означає, що європейські вимоги прийдуть і в український приватний бізнес.

PCI DSS 4.0: тут ми нічим не відрізняємося

У платіжному периметрі відмінностей між країнами майже немає, бо стандарт глобальний. З 31 березня 2025 року обов’язковими стали 51 нова вимога PCI DSS 4.0 (RedSecLabs), зокрема:

• багатофакторна автентифікація (MFA) для всього середовища карткових даних;
• автентифіковане внутрішнє сканування вразливостей;
• контроль скриптів на платіжних сторінках, щоб захиститися від крадіжки карткових даних з сайту (e-skimming);
• «customized approach»: можна досягати цілей контролю альтернативними методами, якщо це обґрунтовано аналізом ризиків.

Різниця між країнами проявляється після інциденту. У ЄС витік карткових даних одразу є порушенням GDPR з повідомленням за 72 години. У США він веде до розслідування FTC і колективних позовів. У Україні відповідальність переважно договірна, перед платіжною системою. За невідповідність PCI DSS платіжні бренди можуть щомісяця штрафувати на суми від $20 до $5 000 і більше, піднімати комісії та перекладати на мерчанта вартість перевипуску карток (Merchant Advocate).

Загрози: шифрувальники і постачальники

За звітом Verizon DBIR 2025, шифрувальники присутні у 44 % підтверджених витоків (роком раніше було 32 %). Участь третіх сторін у витоках подвоїлася до 30 %, а експлуатація вразливостей зросла на 34 % (Industrial Cyber).

У 2025 році британські мережі M&S, Co-op і Harrods постраждали від атак, які почалися із соціальної інженерії проти ІТ-підтримки: зловмисники дзвонили у сервісдеск і переконували скинути пароль. У ритейлі з сезонним персоналом і високою плинністю кадрів це одне з найслабших місць.

Після історії з Kaseya всі три моделі посилили вимоги до постачальників. NIS2 вимагає оцінювати безпеку кожного прямого постачальника. NIST CSF 2.0 переніс управління ланцюгом постачання у функцію Govern. PCI DSS 4.0 вимагає контролювати сторонні скрипти.

Для власника: межа вашої безпеки проходить не по вашому серверу, а по найслабшому підряднику, який має доступ до ваших систем.

Війна: те, чого немає в жодному стандарті

Ні NIS2, ні NIST CSF не створювалися для умов активної кібервійни. Українська СУІБ проєктується саме для них.

Цифри CERT-UA за 2025 рік (Держспецзв’язку):

• 5 927 інцидентів проти 4 315 у 2024 році (+37 %);
• 1 727 фішингових кампаній проти 843, тобто вдвічі більше;
• 2 058 випадків поширення шкідливого ПЗ і 425 зламів облікових записів.

Ритейл серед цілей. У квітні 2025 року цільова атака на «Епіцентр» зупинила каси, логістику, застосунок і облік по всій країні (The Record). Фізичні ризики теж нікуди не зникли: влітку 2025 року ракетні удари по Києву пошкодили сортувальне депо «Нової пошти» і точку видачі Rozetka (УСКЦ).

Що це означає на практиці:

1. План безперервності бізнесу (BCP) і план відновлення після аварій (DRP) є базовими контролями, а не розділом у політиці. Резервні дата-центри в різних регіонах, робота кас без інтернету, автономність магазинів під час відключень світла. Для українського ритейлера кібератака і ракетний удар належать до одного класу ризиків.
2. Страхування не врятує. У ЄС і США кіберстраховка є частиною моделі безпеки. Проте після NotPetya ринок змінився: Lloyd’s з 2022 року вимагає включати в поліси виключення для атак, пов’язаних з війною, а у 2024 році ці формулювання посилили (Marsh, Forrester). Найімовірніший великий інцидент для українського ритейлера, державно спонсорована атака, саме під таке виключення і потрапляє. Ризик залишається на балансі компанії.
3. Держава є операційним партнером. Взаємодія з CERT-UA, обмін інформацією про загрози і звітування є частиною щоденної роботи.

Результати при цьому вимірювані: кількість інцидентів критичного і високого рівня в Україні скоротилася з 59 до 12 на рік (РНБО).

Де Україна відстає

Кількість сертифікатів ISO/IEC 27001 за ISO Survey 2024 (HEIC):

Сертифікуються переважно експортні ІТ-компанії, від яких цього вимагають західні клієнти. Весь ринок кібербезпеки України у 2024 році становив $138 млн (Мінцифри). До глобального дефіциту кадрів у нас додаються еміграція, мобілізація і конкуренція з оборонним сектором.

Скільки коштує безпека і чи вона окуповується: ROSI

Найчастіше питання від власника звучить так: «Навіщо мені платити за СУІБ, якщо нас ще не ламали?» Відповідь дає метрика ROSI (Return on Security Investment), тобто окупність інвестицій у безпеку.

Звичайний ROI рахує прибуток. Безпека прибутку не приносить, вона зменшує збитки. Тому ROSI рахують як різницю між зменшенням збитків і вартістю рішення, поділену на вартість рішення, а грошову оцінку ризику отримують через кількісну оцінку ризиків (ENISA, 2012).

Формула простими словами

• SLE (Single Loss Expectancy): скільки коштує один інцидент. Сюди входять втрачена виручка, відновлення, юристи, штрафи, претензії партнерів.
• ARO (Annual Rate of Occurrence): скільки разів на рік це очікувано стається. Раз на три роки означає 0,33.
• ALE = SLE × ARO: очікувані збитки за рік.
• ROSI = (ALE × частка зниження ризику — вартість заходів) / вартість заходів

Приклад для ритейлу

Цифри умовні, їх треба підставити зі своїх даних.

Мережа має 300 магазинів і денну виручку ₴15 млн. Сценарій: шифрувальник зупиняє каси на 3 дні.

Заходи: EDR, офлайн-бекапи з регулярним тестом відновлення, MFA, режим роботи кас без мережі, навчання сервісдеску. Вартість становить ₴1,5 млн на рік. Припустимо, ці заходи знижують ризик на 70 %.

ROSI = (6 × 0,7 — 1,5) / 1,5 = (4,2 — 1,5) / 1,5 = 1,8, тобто 180 %.

Кожна гривня, вкладена в ці заходи, в очікуваному вимірі повертає 2,8 гривні уникнутих збитків, тобто 1,8 гривні чистої вигоди.

Як регуляторні моделі змінюють ROSI

Саме тут три моделі з початку статті стають зрозумілими в грошах. Кожна з них змінює одну зі змінних формули:

• ЄС збільшує SLE. Штраф до 4 % обороту за GDPR додається до вартості інциденту, тому в Європі окупність базових заходів майже не обговорюють: вона очевидна.
• США зменшують SLE для тих, хто має СУІБ. Safe harbor знижує судові витрати після витоку, а страховка перекладає частину збитків на страховика.
• Україна поки майже не додає до SLE штрафів. Зате війна збільшує ARO (кількість атак зростає), а воєнні виключення в полісах не дають перекласти збитки на страховика. Весь ALE залишається на вашому балансі.

Висновок парадоксальний. У Україні регуляторного тиску найменше, а економічний аргумент на користь безпеки при цьому найсильніший.

Обмеження ROSI

Чесно про слабкі місця. ENISA попереджає, що ці оцінки часто спотворені нашим сприйняттям ризику, і розрахунок ROSI легко підігнати під рішення, яке вже хочуть ухвалити. Тому:

• рахуйте діапазони (мінімум, найімовірніше, максимум), а не одну цифру;
• беріть дані з власних інцидентів, звітів CERT-UA і галузевих досліджень, а не з маркетингу вендорів;
• для зрілих команд є методологія FAIR, яка дає ймовірнісну оцінку замість точкових чисел.

Що робити українському ритейлеру зараз? Розкажу в інших моїх постах)

А зараз висновки!

Три моделі поступово сходяться на ризик-орієнтованому підході, але мотивують бізнес по-різному. ЄС карає штрафами і робить керівників персонально відповідальними. США тримають компанії через суди, страховиків і контракти. У Україні реформа молода й незавершена, а головним драйвером безпеки залишається сама війна.

Трохи питань вам на роздум):

Чи спрацював би в Україні механізм на кшталт американського safe harbor, коли компанія, що реально побудувала СУІБ, отримує юридичний захист після інциденту? У термінах ROSI це зменшило б SLE для тих, хто інвестує в безпеку, і дало б бізнесу стимул, який працює краще за самі лише штрафи.

А що для вас сьогодні головний драйвер безпеки: регулятор, клієнти, війна чи цифри в розрахунку окупності?