{
 "source": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
 "questions": [
  {
   "id": "GV.OC-01[01]",
   "measure": "GV.OC-01",
   "text": "Чи описано місію (мету функціонування) суб’єкта (наприклад, через бачення продуктів та послуг, які надаватиме суб’єкт, маркетинг та стратегії надання послуг), структуру та організаційні схеми забезпечення кібербезпеки для визначення ризиків кібербезпеки, які можуть перешкодити функціонуванню суб’єкта відповідно до його мети?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 1
   }
  },
  {
   "id": "GV.OC-02[01]",
   "measure": "GV.OC-02",
   "text": "Чи визначено підрозділи/посадові особи та їхні потреби/очікування від управління ризиками кібербезпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 1
   }
  },
  {
   "id": "GV.OC-02[02]",
   "measure": "GV.OC-02",
   "text": "Чи визначено зовнішні заінтересовані сторони та їхні очікування щодо результатів управління ризиками кібербезпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 1
   }
  },
  {
   "id": "GV.OC-03[01]",
   "measure": "GV.OC-03",
   "text": "Чи визначено процес відстеження та впровадження змін законодавства щодо кіберзахисту та захисту інформації?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 1
   }
  },
  {
   "id": "GV.OC-03[02]",
   "measure": "GV.OC-03",
   "text": "Чи визначено процес щодо відстеження дотримання партнерами договірних вимог; визначено стратегію управління ризиками кібербезпеки, узгоджено з правовими, нормативними та договірними вимогами та їх змінами?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 1
   }
  },
  {
   "id": "GV.OC-04[01]",
   "measure": "GV.OC-04",
   "text": "Чи встановлено критерії для визначення критичних спроможностей для послуг, які надаються внутрішніми і зовнішніми заінтересованими сторонами?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 1
   }
  },
  {
   "id": "GV.OC-04[02]",
   "measure": "GV.OC-04",
   "text": "Чи визначено активи та операційні процеси, які безпосередньо впливають на досягнення цілей місії суб’єкта, і потенційний вплив від втрати (або часткової втрати) таких операційних процедур?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 1
   }
  },
  {
   "id": "GV.OC-05[01]",
   "measure": "GV.OC-05",
   "text": "Чи створено зв’язки та визначено залежності суб’єкта від зовнішніх ресурсів (наприклад, систем, операторів електронних комунікацій, мереж електроживлення тощо) та їхні зв’язки з організаційними активами та послугами (сервісами)?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 2
   }
  },
  {
   "id": "GV.OC-05[02]",
   "measure": "GV.OC-05",
   "text": "Чи визначено та задокументовано зовнішні залежності, які є ключовими точками для втрати суб’єктом критичних спроможностей та послуг, та чи доведено їх до відома визначених посадових осіб?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 2
   }
  },
  {
   "id": "GV.RM-01[01]",
   "measure": "GV.RM-01",
   "text": "Чи оновлено/переглядаються з визначеною частотою короткострокові та довгострокові цілі з управління ризиками кібербезпеки, як частини річного стратегічного планування та в разі значних змін;?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 2
   }
  },
  {
   "id": "GV.RM-01[02]",
   "measure": "GV.RM-01",
   "text": "Чи встановлено вимірювальні показники в рамках досягнення цілей управління ризиками кібербезпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 2
   }
  },
  {
   "id": "GV.RM-01[03]",
   "measure": "GV.RM-01",
   "text": "Чи погоджено з керівництвом цілі кібербезпеки, які використовуються ним у повсякденній діяльності, щодо заходів з управління ризиками кібербезпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 2
   }
  },
  {
   "id": "GV.RM-02[01]",
   "measure": "GV.RM-02",
   "text": "Чи визначено допустимий рівень ризику кібербезпеки суб’єкта, який відповідає очікуванням щодо належного рівня ризику?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 2
   }
  },
  {
   "id": "GV.RM-02[02]",
   "measure": "GV.RM-02",
   "text": "Чи інформація про готовність суб’єкта приймати певний рівень ризику кібербезпеки перенесена до розділу про допустимий рівень ризику?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 2
   }
  },
  {
   "id": "GV.RM-02[03]",
   "measure": "GV.RM-02",
   "text": "Чи інформація про готовність суб’єкта до прийняття ризиків кібербезпеки та визначений допустимий рівень ризику доведена до відома співробітників та суб’єкта, інших заінтересованих сторін у конкретний, вимірюваний і зрозумілий спосіб?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 2
   }
  },
  {
   "id": "GV.RM-02[04]",
   "measure": "GV.RM-02",
   "text": "Чи встановлено періодичність уточнення інформації про допустимий рівень ризику кібербезпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 2
   }
  },
  {
   "id": "GV.RM-03[01]",
   "measure": "GV.RM-03",
   "text": "Чи об’єднано ризики кібербезпеки, які управляються разом з іншими ризиками ?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 2
   }
  },
  {
   "id": "GV.RM-03[02]",
   "measure": "GV.RM-03",
   "text": "Чи залучено менеджерів з управління ризиками кібербезпеки до планування управління ризиками суб’єкта?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 2
   }
  },
  {
   "id": "GV.RM-03[03]",
   "measure": "GV.RM-03",
   "text": "Чи встановлено критерії для передачі ризиків кібербезпеки на більш високий рівень управління в рамках управління ризиками суб’єкта?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 3
   }
  },
  {
   "id": "GV.RM-04[01]",
   "measure": "GV.RM-04",
   "text": "Чи визначено варіанти реагування на ризик кібербезпеки, наприклад: зменшення ризику шляхом впровадження нових заходів кіберзахисту або посилення наявних заходів; прийняття ризику з відповідним обґрунтуванням; обмін, перенесення ризику або відхилення ризику?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 3
   }
  },
  {
   "id": "GV.RM-04[02]",
   "measure": "GV.RM-04",
   "text": "Чи визначено критерії прийняття та уникнення ризику кібербезпеки для даних різних класифікацій?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 3
   }
  },
  {
   "id": "GV.RM-04[03]",
   "measure": "GV.RM-04",
   "text": "Чи описано умови, за яких прийнятні моделі спільної відповідальності?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 3
   }
  },
  {
   "id": "GV.RM-04[04]",
   "measure": "GV.RM-04",
   "text": "Чи ознайомлено співробітників суб’єкта та заінтересовані сторони?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 3
   }
  },
  {
   "id": "GV.RM-05[01]",
   "measure": "GV.RM-05",
   "text": "Чи визначено та узгоджено проміжки часу інформування старших керівників, директорів і керівництво про стан кібербезпеки суб’єкта?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 3
   }
  },
  {
   "id": "GV.RM-05[02]",
   "measure": "GV.RM-05",
   "text": "Чи визначено механізми спілкування та інформування в рамках управління ризиками кібербезпеки у суб’єкті, наприклад, керівництво, служба безпеки суб’єкта, юридичний відділ, відділ закупівель, відділ фізичної безпеки та кадровий відділ спілкуватимуться між собою щодо ризиків кібербезпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 3
   }
  },
  {
   "id": "GV.RM-06[01]",
   "measure": "GV.RM-06",
   "text": "Чи встановлено критерії для використання кількісного підходу до аналізу ризиків кібербезпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 3
   }
  },
  {
   "id": "GV.RM-06[02]",
   "measure": "GV.RM-06",
   "text": "Чи створено шаблони (наприклад, реєстр ризиків) для документування інформації про ризики кібербезпеки (включаючи опис ризику, контактну особу, відповідальну за ризик, загрозу)?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 3
   }
  },
  {
   "id": "GV.RM-06[03]",
   "measure": "GV.RM-06",
   "text": "Чи встановлено критерії для визначення пріоритетів ризиків кібербезпеки для суб’єкта?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 3
   }
  },
  {
   "id": "GV.RM-06[04]",
   "measure": "GV.RM-06",
   "text": "Чи використовується перелік категорій ризиків кібербезпеки для їх збору, накопичення та порівняння?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 3
   }
  },
  {
   "id": "GV.RM-07[01]",
   "measure": "GV.RM-07",
   "text": "Чи визначено методи для виявлення можливостей і включення їх в обговорення ризиків кібербезпеки (наприклад, аналіз сильних і слабких сторін, можливостей і загроз [SWOT])?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 4
   }
  },
  {
   "id": "GV.RM-07[02]",
   "measure": "GV.RM-07",
   "text": "Чи визначено та затверджено додаткові цілі?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 4
   }
  },
  {
   "id": "GV.RM-07[03]",
   "measure": "GV.RM-07",
   "text": "Чи розраховано та затверджено пріоритетність позитивних ризиків кібербезпеки разом із негативними?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 4
   }
  },
  {
   "id": "GV.RR-01[01]",
   "measure": "GV.RR-01",
   "text": "Чи керівництвом узгоджено власні ролі та обов’язки щодо розробки, впровадження та оцінювання виконання стратегії кібербезпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 4
   }
  },
  {
   "id": "GV.RR-01[02]",
   "measure": "GV.RR-01",
   "text": "Чи доведено до відома співробітників суб’єкта очікування керівників щодо безпечної та етичної культури, особливо коли поточні події надають можливість підкреслити позитивні або негативні приклади управління ризиками кібербезпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 4
   }
  },
  {
   "id": "GV.RR-01[03]",
   "measure": "GV.RR-01",
   "text": "Чи утворено підрозділ з кіберзахисту, призначено керівника з кіберзахисту або відповідальну особу, яка виконує функції та завдання керівника з кіберзахисту відповідно до статті 51 Закону України «Про основні засади забезпечення кібербезпеки України», до завдань якого належить проведення заходів з управління ризиками кібербезпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 4
   }
  },
  {
   "id": "GV.RR-01[04]",
   "measure": "GV.RR-01",
   "text": "Чи проведено перевірки для забезпечення розуміння співробітниками своїх повноважень і налагодження координації між особами, відповідальними за управління ризиками кібербезпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 4
   }
  },
  {
   "id": "GV.RR-02[01]",
   "measure": "GV.RR-02",
   "text": "Чи визначено в політиці та затверджено ролі та обов’язки з управління ризиками кібербезпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 4
   }
  },
  {
   "id": "GV.RR-02[02]",
   "measure": "GV.RR-02",
   "text": "Чи визначено відповідальних посадових осіб за діяльність з управління ризиками кібербезпеки, механізми проведення консультацій та механізми їх інформування?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 4
   }
  },
  {
   "id": "GV.RR-02[03]",
   "measure": "GV.RR-02",
   "text": "Чи до посадових обов’язків включено та до відома співробітників доведено обов’язковість виконання вимог з кібербезпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 4
   }
  },
  {
   "id": "GV.RR-02[04]",
   "measure": "GV.RR-02",
   "text": "Чи затверджено показники продуктивності для співробітників, які виконують обов’язки з управління ризиками кібербезпеки; чи проводиться періодичне вимірювання продуктивності, щоб визначити напрями для покращення?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 4
   }
  },
  {
   "id": "GV.RR-02[05]",
   "measure": "GV.RR-02",
   "text": "Чи визначено обов’язки з кібербезпеки в межах операцій, функцій управління ризиками кібербезпеки та функцій внутрішнього аудиту?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 4
   }
  },
  {
   "id": "GV.RR-03[01]",
   "measure": "GV.RR-03",
   "text": "Чи забезпечено періодичні перевірки керівництва, щоб переконатися, що ті, хто відповідає за управління ризиками кібербезпеки, мають необхідні повноваження?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 5
   }
  },
  {
   "id": "GV.RR-03[02]",
   "measure": "GV.RR-03",
   "text": "Чи забезпечено відповідність розподілу ресурсів та інвестиції ризику заходам протидії ризику кібербезпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 5
   }
  },
  {
   "id": "GV.RR-03[03]",
   "measure": "GV.RR-03",
   "text": "Чи забезпечено достатню кількість людей, процесів і технічних ресурсів для підтримки виконання заходів стратегії кібербезпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 5
   }
  },
  {
   "id": "GV.RR-04[01]",
   "measure": "GV.RR-04",
   "text": "Чи у кадрову політику внесено управління ризиками кібербезпеки (наприклад, перевірка співробітників перед прийняттям на роботу, адаптація, сповіщення про зміни, звільнення)?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 5
   }
  },
  {
   "id": "GV.RR-04[02]",
   "measure": "GV.RR-04",
   "text": "Чи при підборі кадрів знання та навички кандидатів з кібербезпеки визначено як позитивний фактор?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 5
   }
  },
  {
   "id": "GV.RR-04[03]",
   "measure": "GV.RR-04",
   "text": "Чи проводиться перевірка біографій перед прийомом на роботу нових співробітників на чутливі посади?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 5
   }
  },
  {
   "id": "GV.RR-04[04]",
   "measure": "GV.RR-04",
   "text": "Чи періодично повторюються перевірки біографії для співробітників на таких посадах?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 5
   }
  },
  {
   "id": "GV.RR-04[05]",
   "measure": "GV.RR-04",
   "text": "Чи забезпечено перевірку дотримання співробітниками зобов’язань щодо знання, дотримання та підтримки політики безпеки відповідно до їхніх ролей та посадових інструкцій?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 5
   }
  },
  {
   "id": "GV.PO-01[01]",
   "measure": "GV.PO-01",
   "text": "Чи створено, поширено та підтримується політика управління ризиками кібербезпеки, яка зрозуміла та враховує цілі, очікування та спрямування керівництва суб’єкта?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 5
   }
  },
  {
   "id": "GV.PO-01[02]",
   "measure": "GV.PO-01",
   "text": "Чи проводиться періодичний перегляд політики та допоміжних послуг (сервісів) кібербезпеки для їх узгодження із цілями та пріоритетами стратегії управління ризиками кібербезпеки, а також з керівництвом політики кібербезпеки на високому рівні?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 5
   }
  },
  {
   "id": "GV.PO-01[03]",
   "measure": "GV.PO-01",
   "text": "Чи затверджено політику керівництвом вищого рівня та доведено її до відома всіх співробітників?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 5
   }
  },
  {
   "id": "GV.PO-01[04]",
   "measure": "GV.PO-01",
   "text": "Чи співробітниками отримано та вивчено політики під час першого прийому на роботу, щорічно та у разі внесення оновлень до неї?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 5
   }
  },
  {
   "id": "GV.PO-02[01]",
   "measure": "GV.PO-02",
   "text": "Чи оновлено політику управління ризиками кібербезпеки на основі періодичних перевірок результатів управління ризиками кібербезпеки, щоб гарантувати, що політика та допоміжні послуги (сервіси з кібербезпеки) адекватно підтримують ризик на прийнятному рівні, зміни в правових і нормативних вимогах, у технологіях (наприклад, впровадження штучного інтелекту)?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 6
   }
  },
  {
   "id": "GV.PO-02[02]",
   "measure": "GV.PO-02",
   "text": "Чи встановлено графік для перегляду змін у середовищі ризиків кібербезпеки суб’єкта (наприклад, зміни в ризиках або в цілях місії суб’єкта) та чи визначено рекомендації з оновлення політики?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 6
   }
  },
  {
   "id": "GV.PO-02[03]",
   "measure": "GV.PO-02",
   "text": "Чи оновлено політику, щоб відобразити зміни в юридичних та нормативних вимогах?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 6
   }
  },
  {
   "id": "GV.PO-02[04]",
   "measure": "GV.PO-02",
   "text": "Чи оновлено політику, щоб відобразити зміни в технологіях (наприклад, впровадження штучного інтелекту) та організаційній діяльності (наприклад, придбання нових активів, нові вимоги до контрактів)?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 6
   }
  },
  {
   "id": "GV.OV-01[01]",
   "measure": "GV.OV-01",
   "text": "Чи проаналізовано, наскільки стратегія управління ризиками кібербезпеки та результати перевірки чи аудиту системи управління ризиками допомогли керівникам приймати рішення та досягати цілей суб’єкта?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 6
   }
  },
  {
   "id": "GV.OV-01[02]",
   "measure": "GV.OV-01",
   "text": "Чи проаналізовано, чи чинна стратегія управління ризиками кібербезпеки потребує коригування з метою усунення чинників, які перешкоджають ефективному функціонуванню суб’єкта та впровадженню інновацій в ньому?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 6
   }
  },
  {
   "id": "GV.OV-02[01]",
   "measure": "GV.OV-02",
   "text": "Чи переглядаються результати аудиту, щоб підтвердити, чи забезпечила наявна стратегія кібербезпеки відповідність внутрішнім і зовнішнім вимогам?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 6
   }
  },
  {
   "id": "GV.OV-02[02]",
   "measure": "GV.OV-02",
   "text": "Чи переглядається ефективність виконання функцій, пов’язаних з кібербезпекою, щоб визначити, чи потрібні зміни в політиці управління ризиками кібербезпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 6
   }
  },
  {
   "id": "GV.OV-02[03]",
   "measure": "GV.OV-02",
   "text": "Чи переглядається стратегія управління ризиками кібербезпеки з огляду на інциденти кібербезпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 6
   }
  },
  {
   "id": "GV.OV-03[01]",
   "measure": "GV.OV-03",
   "text": "Чи переглядаються ключові індикатори виконання (KPI) для переконання, що розроблена політика та впроваджені процедури допомагають досягти постановленої мети?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 6
   }
  },
  {
   "id": "GV.OV-03[02]",
   "measure": "GV.OV-03",
   "text": "Чи переглядаються ключові індикатори ризику кібербезпеки (KRI), в тому числі ймовірність їх виникнення та потенційний вплив з метою визначення ризиків, які можуть виникнути?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 7
   }
  },
  {
   "id": "GV.OV-03[03]",
   "measure": "GV.OV-03",
   "text": "Чи збираються та доповідаються керівництву показники з управління ризиками кібербезпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 7
   }
  },
  {
   "id": "GV.SC-01[01]",
   "measure": "GV.SC-01",
   "text": "Чи створено стратегію, яка відображає цілі програми управління ризиками кібербезпеки ланцюга постачання?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 7
   }
  },
  {
   "id": "GV.SC-01[02]",
   "measure": "GV.SC-01",
   "text": "Чи розроблено програму управління ризиками кібербезпеки в ланцюжку постачання, включаючи план (з основними показниками), політики та процедури, які керують впровадженням і вдосконаленням цієї програми; чи доведені до відома заінтересованих сторін суб’єкта політики та процедури?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 7
   }
  },
  {
   "id": "GV.SC-01[03]",
   "measure": "GV.SC-01",
   "text": "Чи створено міжорганізаційний механізм, який забезпечує узгодженість між функціями, які сприяють управлінню ризиками кібербезпеки ланцюга постачання, наприклад: кібербезпека, безпека ІТ, функціонування, юридичний, кадровий та інженерний аспекти?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 7
   }
  },
  {
   "id": "GV.SC-02[01]",
   "measure": "GV.SC-02",
   "text": "Чи визначено одну (або кілька) роль/посадову особу, яка відповідає за планування, забезпечення ресурсами та виконання діяльності з управління ризиками кібербезпеки ланцюга постачання?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 7
   }
  },
  {
   "id": "GV.SC-02[02]",
   "measure": "GV.SC-02",
   "text": "Чи затверджено в політиці ролі управління ризиками кібербезпеки ланцюга постачання та відповідальність за них?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 7
   }
  },
  {
   "id": "GV.SC-02[03]",
   "measure": "GV.SC-02",
   "text": "Чи створено матрицю відповідальності для визначення посадової особи (групи посадових осіб), відповідальної за виконання заходів з управління ризиками кібербезпеки ланцюга постачання, а також чи встановлено механізми проведення консультацій та інформування такої посадової особи (груп посадових осіб)?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 7
   }
  },
  {
   "id": "GV.SC-02[04]",
   "measure": "GV.SC-02",
   "text": "Чи визначено у посадових обов’язках обов’язки та показники результативності щодо управління ризиками кібербезпеки ланцюга постачання та чи проводиться їх періодичне вимірювання, щоб визначити та покращити продуктивність?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 7
   }
  },
  {
   "id": "GV.SC-02[05]",
   "measure": "GV.SC-02",
   "text": "Чи розроблено завдання та встановлено відповідальність до постачальників, користувачів та партнерів щодо допустимих ризиків кібербезпеки ланцюга постачання, які впроваджені в політику суб’єкта та застосовуються у відповідних договорах з постачальниками?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 7
   }
  },
  {
   "id": "GV.SC-02[06]",
   "measure": "GV.SC-02",
   "text": "Чи повідомлено про ролі та обов’язки з управління ризиками кібербезпеки в ланцюгу постачання для третіх сторін?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 7
   }
  },
  {
   "id": "GV.SC-02[07]",
   "measure": "GV.SC-02",
   "text": "Чи встановлено правила та протоколи обміну інформацією та звітування між суб’єктом та постачальником?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 8
   }
  },
  {
   "id": "GV.SC-03[01]",
   "measure": "GV.SC-03",
   "text": "Чи ідентифіковано та узгоджено питання кібербезпеки з управлінням ризиками кібербезпеки суб’єкта?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 8
   }
  },
  {
   "id": "GV.SC-03[02]",
   "measure": "GV.SC-03",
   "text": "Чи створено зведені набори заходів управління ризиками кібербезпеки та управління ризиками кібербезпеки ланцюга постачання?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 8
   }
  },
  {
   "id": "GV.SC-03[03]",
   "measure": "GV.SC-03",
   "text": "Управління ризиками кібербезпеки ланцюга постачання інтегровано в процеси вдосконалення?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 8
   }
  },
  {
   "id": "GV.SC-03[04]",
   "measure": "GV.SC-03",
   "text": "Чи доводиться до відома керівництва суб’єкта важлива інформація про ризики кібербезпеки ланцюга постачання та чи враховується на рівні управління ризиками суб’єкта?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 8
   }
  },
  {
   "id": "GV.SC-04[01]",
   "measure": "GV.SC-04",
   "text": "Чи розроблено критерії критичності постачальників на основі чутливості даних, які обробляються або зберігаються постачальниками, ступеня доступу до систем суб’єкта та важливості продуктів або послуг для місії суб’єкта?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 8
   }
  },
  {
   "id": "GV.SC-04[02]",
   "measure": "GV.SC-04",
   "text": "Чи ведеться облік усіх постачальників та чи проведено їх пріоритезацію на основі критеріїв їх критичності?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 8
   }
  },
  {
   "id": "GV.SC-05[01]",
   "measure": "GV.SC-05",
   "text": "Чи визначено вимоги безпеки для постачальників, продуктів і послуг (зокрема, щодо тестування та доведення безпеки продуктів і послуг, що постачаються, протягом їх всього життєвого циклу) відповідно до рівня критичності та потенційного впливу компрометації продуктів та послуг, які ними постачаються?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 8
   }
  },
  {
   "id": "GV.SC-05[02]",
   "measure": "GV.SC-05",
   "text": "Чи включено до договору всі вимоги до кібербезпеки та ланцюга постачання, обов’язкові для виконання третіми сторонами, а також чи встановлено механізми перевірки дотримання цих вимог?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 8
   }
  },
  {
   "id": "GV.SC-05[03]",
   "measure": "GV.SC-05",
   "text": "Чи визначено правила та протоколи обміну інформацією між суб’єктом, постачальником та субпідрядником?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 8
   }
  },
  {
   "id": "GV.SC-05[04]",
   "measure": "GV.SC-05",
   "text": "Чи передбачено, що управління ризиками кібербезпеки щодо включення вимог з безпеки в договорі базується на критичності потенційних наслідків у випадку компрометації поставок?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 8
   }
  },
  {
   "id": "GV.SC-05[05]",
   "measure": "GV.SC-05",
   "text": "Чи визначено вимоги до безпеки в договорах про рівень обслуговування (SLA) для моніторингу постачальників на предмет прийнятної продуктивності безпеки протягом усього життєвого циклу відносин з постачальниками?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 8
   }
  },
  {
   "id": "GV.SC-05[06]",
   "measure": "GV.SC-05",
   "text": "Чи у контрактах від постачальників вимагається: розкривати функції, функціональні можливості та вразливості їхніх продуктів і послуг протягом усього терміну служби продукту або терміну обслуговування; надавати та підтримувати актуальний інвентар компонентів (наприклад, перелік програмного або апаратного забезпечення) для критичних продуктів; перевіряти своїх співробітників і захищатися від внутрішніх загроз; надавати докази виконання прийнятних практик безпеки, наприклад, через самостійне підтвердження, відповідність чинним стандартам, вимогам сертифікації або інспекції; вказувати у контрактах та інших договорах права та обов’язки суб’єкта, постачальників та ланцюгів постачання щодо потенційних ризиків кібербезпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 9
   }
  },
  {
   "id": "GV.SC-06[01]",
   "measure": "GV.SC-06",
   "text": "Чи проводяться ретельні перевірки потенційних постачальників, які відповідають рівню ризику кібербезпеки, критичності та складності відносин з кожним потенційним постачальником?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 9
   }
  },
  {
   "id": "GV.SC-06[02]",
   "measure": "GV.SC-06",
   "text": "Чи оцінено застосовність технологій та їх властивості, а також практики потенційних постачальників щодо управління ризиками кібербезпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 9
   }
  },
  {
   "id": "GV.SC-06[03]",
   "measure": "GV.SC-06",
   "text": "Чи проведено оцінку ризиків постачальників щодо застосовності вимог з кібербезпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 9
   }
  },
  {
   "id": "GV.SC-06[04]",
   "measure": "GV.SC-06",
   "text": "Чи проводиться оцінювання автентичності, цілісності та безпеки критичних продуктів перед їх придбанням?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 9
   }
  },
  {
   "id": "GV.SC-07[01]",
   "measure": "GV.SC-07",
   "text": "Чи скориговано формати та частоту оцінювання на основі репутації третьої сторони та критичності продуктів чи послуг, які вона надає?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 9
   }
  },
  {
   "id": "GV.SC-07[02]",
   "measure": "GV.SC-07",
   "text": "Чи оцінено докази відповідності третіх сторін вимогам щодо кібербезпеки за контрактом, як-от самоатестації, гарантії, сертифікати та інші артефакти?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 9
   }
  },
  {
   "id": "GV.SC-07[03]",
   "measure": "GV.SC-07",
   "text": "Чи забезпечено контроль критично важливих постачальників таким чином, що його результати (перевірки, аудити, випробування чи інші форми оцінювання) підтверджують виконання постачальниками своїх зобов’язань щодо безпеки протягом життєвого циклу відносин із постачальниками?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 9
   }
  },
  {
   "id": "GV.SC-07[04]",
   "measure": "GV.SC-07",
   "text": "Чи проводиться моніторинг критичних постачальників, послуг та продуктів на предмет змін у їхніх профілях ризику та переоцінюється критичність постачальників і вплив ризиків?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 10
   }
  },
  {
   "id": "GV.SC-07[05]",
   "measure": "GV.SC-07",
   "text": "Чи заплановано дії на випадок несподіваних перебоїв, пов’язаних з постачальниками та ланцюгами постачання, щоб забезпечити безперервність функціонування суб’єкта?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 10
   }
  },
  {
   "id": "GV.SC-08[01]",
   "measure": "GV.SC-08",
   "text": "Чи визначено та використовуються правила та протоколи звітування про заходи реагування на кіберінциденти, кібератаки або кіберзагрози та відновлення, а також про статус між суб’єктом та його постачальниками?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 10
   }
  },
  {
   "id": "GV.SC-08[02]",
   "measure": "GV.SC-08",
   "text": "Чи визначено та затверджено ролі та відповідальність суб’єкта та його постачальників щодо реагування на кіберінциденти, кібератаки або кіберзагрози?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 10
   }
  },
  {
   "id": "GV.SC-08[03]",
   "measure": "GV.SC-08",
   "text": "Чи залучено критичних постачальників до тренувань та симуляцій?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 10
   }
  },
  {
   "id": "GV.SC-08[04]",
   "measure": "GV.SC-08",
   "text": "Чи визначено та скоординовано методи комунікацій та протоколи взаємодії, проведено спільний розгляд отриманого досвіду?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 10
   }
  },
  {
   "id": "GV.SC-08[05]",
   "measure": "GV.SC-08",
   "text": "Чи визначено та забезпечується координація способів кризових комунікацій та протоколів між суб’єктом та критичними постачальниками?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 10
   }
  },
  {
   "id": "GV.SC-08[06]",
   "measure": "GV.SC-08",
   "text": "Чи визначено та використовуються правила та протоколи звітування про заходи реагування на кіберінциденти, кібератаки або кіберзагрози та відновлення, а також статус між суб’єктом та його постачальниками?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 10
   }
  },
  {
   "id": "GV.SC-08[07]",
   "measure": "GV.SC-08",
   "text": "Чи проводяться спільні дослідження отриманих результатів навчань з критичними постачальниками?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 10
   }
  },
  {
   "id": "GV.SC-09[01]",
   "measure": "GV.SC-09",
   "text": "Чи вимагають політики та процедури документування походження всіх придбаних технологічних продуктів і послуг?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 10
   }
  },
  {
   "id": "GV.SC-09[02]",
   "measure": "GV.SC-09",
   "text": "Чи періодично готуються та подаються керівництву звіти про ідентифіковані ризики кібербезпеки, а також про заходи, що підтверджують автентичність і відсутність підробок у придбаних компонентах?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 10
   }
  },
  {
   "id": "GV.SC-09[03]",
   "measure": "GV.SC-09",
   "text": "Чи впроваджено періодичну комунікацію з відповідальними особами за управління ризиками кібербезпеки та співробітниками, що експлуатують суб’єкт, про потреби в придбанні програмних патчів, оновлень і модернізації виключно від автентифікованих та надійних постачальників програмного забезпечення?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 10
   }
  },
  {
   "id": "GV.SC-09[04]",
   "measure": "GV.SC-09",
   "text": "Чи переглянуто правила, щоб переконатися, що вони вимагають взаємодії з визначеними співробітниками постачальника при виконанні технічного обслуговування його продуктів?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 11
   }
  },
  {
   "id": "GV.SC-09[05]",
   "measure": "GV.SC-09",
   "text": "Чи встановлено політиками вимоги та процедури щодо виявлення на дозволеної модернізації апаратного забезпечення суб’єкта?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 11
   }
  },
  {
   "id": "GV.SC-10[01]",
   "measure": "GV.SC-10",
   "text": "Чи встановлено процеси для припинення критичних відносин як за нормальних, так і за несприятливих обставин?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 11
   }
  },
  {
   "id": "GV.SC-10[02]",
   "measure": "GV.SC-10",
   "text": "Чи визначено і впроваджено плани підтримки та обслуговування компонентів після закінчення їхнього життєвого циклу та їх фізичного зношення?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 11
   }
  },
  {
   "id": "GV.SC-10[03]",
   "measure": "GV.SC-10",
   "text": "Чи своєчасно деактивується доступ постачальників до ресурсів суб’єкта, коли він більше не потрібен?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 11
   }
  },
  {
   "id": "GV.SC-10[04]",
   "measure": "GV.SC-10",
   "text": "Чи перевіряється, що активи, які містять дані суб’єкта, повертаються або належним чином утилізуються вчасно, контрольовано та безпечно?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 11
   }
  },
  {
   "id": "GV.SC-10[05]",
   "measure": "GV.SC-10",
   "text": "Чи розроблено та виконується план припинення відносин або зміни постачальників, враховуючи ризики кібербезпеки безпеки ланцюга постачання та стійкість?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 11
   }
  },
  {
   "id": "GV.SC-10[06]",
   "measure": "GV.SC-10",
   "text": "Чи передбачено впровадження компенсаційних заходів для мінімізації рівнів ризиків кібербезпеки, пов’язаних із припиненням співпраці або зміною постачальників, які можуть вплинути на безпеку даних та систем?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 11
   }
  },
  {
   "id": "GV.SC-10[07]",
   "measure": "GV.SC-10",
   "text": "Чи здійснюється управління ризиками витоку даних, пов’язаних з припиненням відносин з постачальниками?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 11
   }
  },
  {
   "id": "ID.AM-01[01]",
   "measure": "ID.AM-01",
   "text": "Чи проводиться регулярна інвентаризація для всіх типів обладнання суб’єкта, включаючи ІТ, IoT, OT та мобільні пристрої?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 11
   }
  },
  {
   "id": "ID.AM-01[02]",
   "measure": "ID.AM-01",
   "text": "Чи запроваджено постійний моніторинг суб’єкта кіберзахисту, щоб виявляти нове обладнання, чи проводиться автоматична реєстрація проведених оновлень?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 11
   }
  },
  {
   "id": "ID.AM-02[01]",
   "measure": "ID.AM-02",
   "text": "Чи всі типи програмного забезпечення та послуг, у тому числі із відкритим вихідним кодом, користувацьких програм, служб API та хмарних послуг, ідентифіковано та задокументовано?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 11
   }
  },
  {
   "id": "ID.AM-02[02]",
   "measure": "ID.AM-02",
   "text": "Чи запроваджено постійний моніторинг всіх платформ, включаючи віртуальні машини, на наявність змін для інвентаризації оновлень для них?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 12
   }
  },
  {
   "id": "ID.AM-02[03]",
   "measure": "ID.AM-02",
   "text": "Чи проведено інвентаризацію всіх систем суб’єкта?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 12
   }
  },
  {
   "id": "ID.AM-03[01]",
   "measure": "ID.AM-03",
   "text": "Чи підтримуються базові лінії зв'язку та потоки даних у дротових та бездротових мережах суб’єкта?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 12
   }
  },
  {
   "id": "ID.AM-03[02]",
   "measure": "ID.AM-03",
   "text": "Чи проведено інвентаризацію електронних комунікацій, потоків даних, які їх використовують, між суб’єктом та зовнішніми сторонами?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 12
   }
  },
  {
   "id": "ID.AM-03[03]",
   "measure": "ID.AM-03",
   "text": "Чи розроблено структурну схему інформаційних потоків, яка відображає інфраструктуру взаємодії між основними компонентами?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 12
   }
  },
  {
   "id": "ID.AM-03[04]",
   "measure": "ID.AM-03",
   "text": "Чи визначено в документації з прив’язкою до кожного порту мережі, протоколу та служби, що вони типово використовуються для авторизованих систем?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 12
   }
  },
  {
   "id": "ID.AM-04[01]",
   "measure": "ID.AM-04",
   "text": "Чи усі зовнішні служби та послуги, які використовуються суб’єктом, включаючи послуги IaaS, PaaS SaaS, API, та інші зовнішні служби додатків ідентифіковано та задокументовано?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 12
   }
  },
  {
   "id": "ID.AM-04[02]",
   "measure": "ID.AM-04",
   "text": "Чи оновлюються інвентаризаційні дані при використанні нової зовнішньої служби або послуги, щоб забезпечити адекватний моніторинг управління ризиками кібербезпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 12
   }
  },
  {
   "id": "ID.AM-05[01]",
   "measure": "ID.AM-05",
   "text": "Чи встановлено критерії пріоритезації активів?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 12
   }
  },
  {
   "id": "ID.AM-05[02]",
   "measure": "ID.AM-05",
   "text": "Чи застосовано критерії пріоритезації для кожного активу?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 12
   }
  },
  {
   "id": "ID.AM-05[03]",
   "measure": "ID.AM-05",
   "text": "Чи переглядаються критерії активів періодично або у разі значних змін суб’єкта?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 12
   }
  },
  {
   "id": "ID.AM-07[01]",
   "measure": "ID.AM-07",
   "text": "Чи затверджено перелік типів даних (ідентифікаційна інформація, захищена інформація про здоров’я, номери фінансових рахунків, інтелектуальна власність суб’єкта, дані про операційні технології тощо)?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 12
   }
  },
  {
   "id": "ID.AM-07[02]",
   "measure": "ID.AM-07",
   "text": "Чи проводиться за результатами постійного аналізу даних оновлення (у разі потреби) їх типів?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 12
   }
  },
  {
   "id": "ID.AM-07[03]",
   "measure": "ID.AM-07",
   "text": "Чи встановлено індикатори віднесення інформації за встановленими типами даних?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 12
   }
  },
  {
   "id": "ID.AM-07[04]",
   "measure": "ID.AM-07",
   "text": "Чи проводить суб’єкт відстеження походження, власника та геолокації інформації за кожним типом даних?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 12
   }
  },
  {
   "id": "ID.AM-08[01]",
   "measure": "ID.AM-08",
   "text": "Чи розглядаються питання кібербезпеки протягом усього життєвого циклу систем, апаратного забезпечення, програмного забезпечення та послуг?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 13
   }
  },
  {
   "id": "ID.AM-08[02]",
   "measure": "ID.AM-08",
   "text": "Чи розглядаються питання кібербезпеки протягом життєвого циклу продуктів?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 13
   }
  },
  {
   "id": "ID.AM-08[03]",
   "measure": "ID.AM-08",
   "text": "Чи виявляються неофіційні використання технологій для досягнення цілей місії (тобто тіньові ІТ)?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 13
   }
  },
  {
   "id": "ID.AM-08[04]",
   "measure": "ID.AM-08",
   "text": "Чи виявляються періодично надлишкові системи, апаратне забезпечення, програмне забезпечення та послуги, які непотрібно збільшують поверхню атаки суб’єкта?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 13
   }
  },
  {
   "id": "ID.AM-08[05]",
   "measure": "ID.AM-08",
   "text": "Чи налаштовано належним чином і захищаються системи, апаратне забезпечення, програмне забезпечення та послуги перед їх упровадженням у виробництво?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 13
   }
  },
  {
   "id": "ID.AM-08[06]",
   "measure": "ID.AM-08",
   "text": "Чи проводиться оновлення даних інвентаризації, коли системи, апаратне забезпечення, програмне забезпечення та послуги переміщуються або передаються в межах суб’єкта?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 13
   }
  },
  {
   "id": "ID.AM-08[07]",
   "measure": "ID.AM-08",
   "text": "Чи безпечно знищуються збережені дані відповідно до політики збереження даних суб’єкта, використовуючи передбачений метод знищення; чи ведеться та здійснюється управління записами про знищення?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 13
   }
  },
  {
   "id": "ID.AM-08[08]",
   "measure": "ID.AM-08",
   "text": "Чи безпечно очищуються сховища даних, коли апаратне забезпечення виводиться з експлуатації, списується, замінюється або відправляється на ремонт чи заміну?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 13
   }
  },
  {
   "id": "ID.AM-08[09]",
   "measure": "ID.AM-08",
   "text": "Чи визначено методи знищення паперу, носіїв зберігання та інших фізичних форм зберігання даних?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 13
   }
  },
  {
   "id": "ID.RA-01[01]",
   "measure": "ID.RA-01",
   "text": "Чи запроваджено використання технології управління вразливостями для виявлення не налаштованого та неправильно налаштованого програмного забезпечення?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 13
   }
  },
  {
   "id": "ID.RA-01[02]",
   "measure": "ID.RA-01",
   "text": "Чи проводиться оцінювання архітектури мережі та системи на предмет слабких місць у проектуванні та під час впровадження, які впливають на кібербезпеку?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 13
   }
  },
  {
   "id": "ID.RA-01[03]",
   "measure": "ID.RA-01",
   "text": "Чи переглянуто, проаналізовано або протестовано програмне забезпечення, розроблене суб’єктом, щоб виявити вразливості в проектуванні, кодуванні та налаштуваннях за замовчуванням?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 13
   }
  },
  {
   "id": "ID.RA-01[04]",
   "measure": "ID.RA-01",
   "text": "Чи оцінено об’єкти, що містять критичні обчислювальні активи, на предмет фізичних вразливостей та питань стійкості?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 13
   }
  },
  {
   "id": "ID.RA-01[05]",
   "measure": "ID.RA-01",
   "text": "Чи проводиться моніторинг джерел розвідки кіберзагроз для отримання інформації про нові вразливості в продуктах і послугах?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 13
   }
  },
  {
   "id": "ID.RA-01[06]",
   "measure": "ID.RA-01",
   "text": "Чи переглянуто процеси та процедури на предмет слабких місць, які можуть бути використані для впливу на кібербезпеку?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 14
   }
  },
  {
   "id": "ID.RA-02[01]",
   "measure": "ID.RA-02",
   "text": "Чи налаштовані інструменти та технології кібербезпеки з можливостями виявлення або реагування для безпечного надання та отримання зворотного зв’язку про кіберзагрози?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 14
   }
  },
  {
   "id": "ID.RA-02[02]",
   "measure": "ID.RA-02",
   "text": "Чи отримуються та аналізуються консультації від авторитетних третіх сторін щодо поточних суб'єктів загроз та їхньої тактики, методів і процедур (ТМП)?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 14
   }
  },
  {
   "id": "ID.RA-02[03]",
   "measure": "ID.RA-02",
   "text": "Чи проводиться моніторинг джерел інформації про кіберзагрози для отримання інформації про типи вразливостей, які можуть мати новітні технології?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 14
   }
  },
  {
   "id": "ID.RA-03[01]",
   "measure": "ID.RA-03",
   "text": "Чи використовується кіберрозвідка для підтримки обізнаності про типи загрозливих акторів, які можуть націлюватися на суб’єкт, та їх тактику, методи і процедури (ТМП)?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 14
   }
  },
  {
   "id": "ID.RA-03[02]",
   "measure": "ID.RA-03",
   "text": "Чи виконується пошук загроз для виявлення ознак загрозливих акторів у середовищі?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 14
   }
  },
  {
   "id": "ID.RA-03[03]",
   "measure": "ID.RA-03",
   "text": "Чи реалізовані процеси для ідентифікації внутрішніх суб’єктів загроз?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 14
   }
  },
  {
   "id": "ID.RA-04[01]",
   "measure": "ID.RA-04",
   "text": "Керівники суб’єкта та фахівці з управління ризиками кібербезпеки працюють разом, щоб оцінити ймовірність та вплив сценаріїв ризиків і зареєструвати їх у реєстрах ризиків?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 14
   }
  },
  {
   "id": "ID.RA-04[02]",
   "measure": "ID.RA-04",
   "text": "Чи визначено та обраховано потенційний вплив несанкціонованого доступу до комунікацій суб’єкта, систем і даних, які обробляються цими системами?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 14
   }
  },
  {
   "id": "ID.RA-04[03]",
   "measure": "ID.RA-04",
   "text": "Чи розглядається потенційний вплив каскадних відмов у взаємопов’язаних системах, чи враховується потенційний вплив каскадних збоїв для операційних систем?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 14
   }
  },
  {
   "id": "ID.RA-05[01]",
   "measure": "ID.RA-05",
   "text": "Чи здійснюється розвиток моделі загроз для більшого розуміння ризиків кібербезпеки, для даних та чи визначаються відповідні заходи реагування на кіберінциденти, кібератаки та кіберзагрози?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 14
   }
  },
  {
   "id": "ID.RA-05[02]",
   "measure": "ID.RA-05",
   "text": "Чи здійснюється пріоритезація ресурсів, що виділяються, та інвестицій у кібербезпеку на основі оцінених ймовірностей і наслідків?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 15
   }
  },
  {
   "id": "ID.RA-06[01]",
   "measure": "ID.RA-06",
   "text": "Чи застосовуються критерії плану управління вразливостями для прийняття, передачі, пом’якшення або уникнення ризику кібербезпеки, або вибору компенсаційних заходів для пом’якшення ризику?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 15
   }
  },
  {
   "id": "ID.RA-06[02]",
   "measure": "ID.RA-06",
   "text": "Чи проводиться відстеження удосконалення процесів реагування на ризики кібербезпеки (наприклад: за затвердженим планом, який містить основні етапи реагування на ризики), чи ведеться реєстр ризиків, чи надається детальний звіт про реагування?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 15
   }
  },
  {
   "id": "ID.RA-06[03]",
   "measure": "ID.RA-06",
   "text": "Чи використовуються результати оцінки ризиків кібербезпеки для прийняття рішення про реагування на ризик і виконання відповідних дій?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 15
   }
  },
  {
   "id": "ID.RA-06[04]",
   "measure": "ID.RA-06",
   "text": "Чи інформуються заінтересовані сторони про заплановані заходи реагування на ризик кібербезпеки в пріоритетному порядку?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 15
   }
  },
  {
   "id": "ID.RA-07[01]",
   "measure": "ID.RA-07",
   "text": "Чи запроваджено та контролюється дотримання визначених документацією процедур перегляду, оцінювання та затвердження запропонованих змін до неї?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 15
   }
  },
  {
   "id": "ID.RA-07[02]",
   "measure": "ID.RA-07",
   "text": "Чи здійснюється документування внесення/невнесення кожної запропонованої зміни щодо кожного можливого ризику кібербезпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 15
   }
  },
  {
   "id": "ID.RA-07[03]",
   "measure": "ID.RA-07",
   "text": "Чи проводиться документування кожної пов’язаної з ризиком кібербезпеки пропозиції та планування реагування на такий ризик?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 15
   }
  },
  {
   "id": "ID.RA-07[04]",
   "measure": "ID.RA-07",
   "text": "Чи проводиться періодичний перегляд ризиків кібербезпеки, прийнятих на основі запланованих майбутніх дій або етапів?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 15
   }
  },
  {
   "id": "ID.RA-08[01]",
   "measure": "ID.RA-08",
   "text": "Чи здійснюється обмін інформацією про вразливості між суб’єктом, постачальниками відповідно до правил і протоколів, визначених у контрактах?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 15
   }
  },
  {
   "id": "ID.RA-08[02]",
   "measure": "ID.RA-08",
   "text": "Чи встановлено обов’язки щодо перевірки виконання процедур обробки, аналізу впливу та реагування на загрози кібербезпеці, уразливості або розкриття кіберінцидентів постачальниками, клієнтами, партнерами та Держспецзв'язку, іншими уповноваженими державними організаціями з кібербезпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 15
   }
  },
  {
   "id": "ID.RA-09[01]",
   "measure": "ID.RA-09",
   "text": "Чи проводиться оцінка автентичності та кібербезпеки критично важливих технологічних продуктів і послуг до їх придбання та використання?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 16
   }
  },
  {
   "id": "ID.RA-10[01]",
   "measure": "ID.RA-10",
   "text": "Чи здійснюється оцінювання постачальників товарів, робіт, послуг перед придбанням у них критично важливих для суб’єкта товарів, робіт і послуг?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 16
   }
  },
  {
   "id": "ID.IM-01[01]",
   "measure": "ID.IM-01",
   "text": "Чи проведено самооцінку критично важливих служб, враховуючи поточні загрози та відомі техніки, тактики та процедури?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 16
   }
  },
  {
   "id": "ID.IM-01[02]",
   "measure": "ID.IM-01",
   "text": "Чи проведено зовнішнє оцінювання/незалежний аудит ефективності програми кібербезпеки суб’єкта, за результатами якого визначено сфери, що потребують покращення?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 16
   }
  },
  {
   "id": "ID.IM-01[03]",
   "measure": "ID.IM-01",
   "text": "Чи проводиться оцінювання відповідності суб’єкта встановленим для нього/обраних ним вимог з кібербезпеки за допомогою автоматизованих засобів?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 16
   }
  },
  {
   "id": "ID.IM-02[01]",
   "measure": "ID.IM-02",
   "text": "Чи визначено за результатами аналізу процедур реагування на кіберінциденти, кібератаки або кіберзагрози (у тому числі ТТХ, симуляцій, тестувань, внутрішніх оглядів та незалежного аудиту), які з них і як потребують удосконалення для покращення реагування на кіберінциденти, кібератаки або кіберзагрози у майбутньому?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 16
   }
  },
  {
   "id": "ID.IM-02[02]",
   "measure": "ID.IM-02",
   "text": "Чи визначаються покращення для майбутніх заходів із забезпечення безперервної діяльності суб’єкта, аварійного відновлення та реагування на кіберінциденти, кібератаки або кіберзагрози на основі навчань, проведених у координації з постачальниками критично важливих послуг та продуктів?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 16
   }
  },
  {
   "id": "ID.IM-02[03]",
   "measure": "ID.IM-02",
   "text": "Чи залучаються керівництво суб’єкта та його внутрішні заінтересовані сторони (юридичний відділ, відділ кадрів тощо) за потреби до перевірок безпеки та навчань (вправ)?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 16
   }
  },
  {
   "id": "ID.IM-02[04]",
   "measure": "ID.IM-02",
   "text": "Чи затверджено керівництвом суб’єкта проведення тестування на проникнення у найбільш критичні системи суб’єкта?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 16
   }
  },
  {
   "id": "ID.IM-02[05]",
   "measure": "ID.IM-02",
   "text": "Чи упроваджено план дій у надзвичайних ситуаціях для реагування та відновлення після виявлення того, що продукти або послуги не походять від постачальника або партнера, з яким укладено контракт, або були змінені до їх отримання?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 16
   }
  },
  {
   "id": "ID.IM-02[06]",
   "measure": "ID.IM-02",
   "text": "Чи проведено збір та аналіз показників ефективності за допомогою інструментів та сервісів безпеки з метою підвищення ефективності програми кібербезпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 17
   }
  },
  {
   "id": "ID.IM-03[01]",
   "measure": "ID.IM-03",
   "text": "Чи проводиться спільне з постачальниками вивчення отриманого досвіду з минулих кіберінцидентів та управління вразливостями?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 17
   }
  },
  {
   "id": "ID.IM-03[02]",
   "measure": "ID.IM-03",
   "text": "Чи щороку проводиться перегляд політики, процесів та процедур виконання заходів кіберзахисту, які у разі потреби враховують отриманий досвід?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 17
   }
  },
  {
   "id": "ID.IM-03[03]",
   "measure": "ID.IM-03",
   "text": "Чи визначені та періодично застосовуються показники оцінки ефективності процесів та процедур виконання заходів кіберзахисту?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 17
   }
  },
  {
   "id": "ID.IM-04[01]",
   "measure": "ID.IM-04",
   "text": "Чи розроблено плани дій у надзвичайних ситуаціях (наприклад, плани реагування на кіберінциденти, кібератаки або кіберзагрози, безперервності діяльності суб’єкта, відновлення після катастроф) для реагування та відновлення після несприятливих подій, які можуть перешкоджати діяльності, викривати конфіденційну інформацію або іншим чином загрожувати місії та функціонуванню суб’єкта?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 17
   }
  },
  {
   "id": "ID.IM-04[02]",
   "measure": "ID.IM-04",
   "text": "Чи внесено до плану реагування на кіберінциденти, кібератаки або кіберзагрози інформацію щодо контактних осіб та комунікаційних схем, процесів обробки загальних сценаріїв, а також критеріїв для визначення пріоритетів, ескалації та підвищення рівня щодо усіх планів дій у надзвичайних ситуаціях?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 17
   }
  },
  {
   "id": "ID.IM-04[03]",
   "measure": "ID.IM-04",
   "text": "Чи створено плани управління вразливостями для визначення та оцінювання всіх типів вразливостей для їх пріоритезації, тестування та внесення до плану реагування на ризики кібербезпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 17
   }
  },
  {
   "id": "ID.IM-04[04]",
   "measure": "ID.IM-04",
   "text": "Чи доведені до відома відповідальних за їх виконання посадових осіб та заінтересованих сторін плани кіберзахисту з урахуванням управління ризиками кібербезпеки (включаючи внесені до них зміни)?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 17
   }
  },
  {
   "id": "ID.IM-04[05]",
   "measure": "ID.IM-04",
   "text": "Чи затверджують, щороку переглядають та за потреби (зокрема у разі зміни рівня ризику кібербезпеки) оновлюють суб’єкти план кіберзахисту?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 17
   }
  },
  {
   "id": "PR.AA-01[01]",
   "measure": "PR.AA-01",
   "text": "Чи створена ініціація запитів на отримання або на розширення існуючих прав доступу для співробітників, підрядників та інших осіб, чи вона відстежується, переглядається та надається за потреби і погодженням з власниками системи або даних?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 18
   }
  },
  {
   "id": "PR.AA-01[02]",
   "measure": "PR.AA-01",
   "text": "Чи видаються, управляються та відкликаються криптографічні сертифікати та ідентифікаційні токени, криптографічні ключі (тобто управління ключами) та інші облікові дані?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 18
   }
  },
  {
   "id": "PR.AA-01[03]",
   "measure": "PR.AA-01",
   "text": "Чи унікальний ідентифікатор для кожного пристрою обирається з незмінних характеристик апаратного забезпечення або з наданого у захищений спосіб ідентифікатора пристрою?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 18
   }
  },
  {
   "id": "PR.AA-01[04]",
   "measure": "PR.AA-01",
   "text": "Чи забезпечується фізичне маркування авторизованого обладнання ідентифікатором для цілей інвентаризації та обслуговування?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 18
   }
  },
  {
   "id": "PR.AA-02[01]",
   "measure": "PR.AA-02",
   "text": "Чи визначено суб’єкт, чи проводяться реєстрація та перевірка особи на підставі офіційних документів, що її засвідчують (паспорт, водійські права тощо)?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 18
   }
  },
  {
   "id": "PR.AA-02[02]",
   "measure": "PR.AA-02",
   "text": "Чи проводиться суб’єктом перевірка унікальності облікових даних для кожної особи і використання облікових даних однієї особи іншими не допускається?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 18
   }
  },
  {
   "id": "PR.AA-03[01]",
   "measure": "PR.AA-03",
   "text": "Чи впроваджена суб’єктом та використовується багатофакторна автентифікація?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 18
   }
  },
  {
   "id": "PR.AA-03[02]",
   "measure": "PR.AA-03",
   "text": "Чи передбачено суб’єктом обмеження на мінімальну довжину паролів, PIN-кодів і подібних автентифікаторів?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 18
   }
  },
  {
   "id": "PR.AA-03[03]",
   "measure": "PR.AA-03",
   "text": "Чи проводиться суб’єктом періодична повторна автентифікація користувачів, служб і апаратного забезпечення на основі ризику кібербезпеки (наприклад, в архітектурах нульової довіри)?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 18
   }
  },
  {
   "id": "PR.AA-03[04]",
   "measure": "PR.AA-03",
   "text": "Чи підтверджується суб’єктом, що уповноважені співробітники мають можливість доступу до облікових даних під час надзвичайних ситуацій?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 18
   }
  },
  {
   "id": "PR.AA-04[01]",
   "measure": "PR.AA-04",
   "text": "Чи підтверджена надійність ідентифікації тим, що передача даних автентифікації та інформації користувача проводиться через системи єдиного входу або між державними системами?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 18
   }
  },
  {
   "id": "PR.AA-04[02]",
   "measure": "PR.AA-04",
   "text": "Чи упроваджено підходи на основі стандартів надійної ідентифікації в усіх контекстах, чи дотримуються усі інструкції щодо створення (наприклад, моделі даних, метаданих), захисту (наприклад, цифровий підпис, шифрування) та перевірки (наприклад, підтвердження підпису) надійності ідентифікації?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 19
   }
  },
  {
   "id": "PR.AA-05[01]",
   "measure": "PR.AA-05",
   "text": "Чи проводиться перегляд привілеїв логічного та фізичного доступу періодично та щоразу, коли змінюється роль або відбувається звільнення співробітника, або привілеї, які більше не потрібні, скасовуються?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 19
   }
  },
  {
   "id": "PR.AA-05[02]",
   "measure": "PR.AA-05",
   "text": "Чи враховуються атрибути запитувача для прийняття рішення щодо надання доступу до запитуваного ресурсу (наприклад, геолокація, день/час, стан захищеності обладнання, з якого здійснюється доступ (кінцева точки))?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 19
   }
  },
  {
   "id": "PR.AA-05[03]",
   "measure": "PR.AA-05",
   "text": "Чи зменшені до необхідного мінімуму доступ і привілеї (наприклад, архітектура нульової довіри)?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 19
   }
  },
  {
   "id": "PR.AA-05[04]",
   "measure": "PR.AA-05",
   "text": "Чи проводиться періодичний перегляд привілеїв, пов’язаних з критично важливими функціями діяльності суб’єкта, щоб підтвердити належний розподіл обов’язків?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 19
   }
  },
  {
   "id": "PR.AA-06[01]",
   "measure": "PR.AA-06",
   "text": "Чи залучено суб’єктом співробітників охорони, застосовуються камери спостереження, замки на вході, системи сигналізації та інші технічні засоби контролю перебування та обмеження доступу?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 19
   }
  },
  {
   "id": "PR.AA-06[02]",
   "measure": "PR.AA-06",
   "text": "Чи впроваджено суб’єктом додаткові заходи фізичної безпеки для просторів (приміщень), в яких розміщуються активи високого рівня критичності?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 19
   }
  },
  {
   "id": "PR.AA-06[03]",
   "measure": "PR.AA-06",
   "text": "Чи супроводжує суб’єкт відвідувачів у приміщеннях з активами, критичними для її функціонування?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 19
   }
  },
  {
   "id": "PR.AT-01[01]",
   "measure": "PR.AT-01",
   "text": "Чи проводяться навчання та тренінги для працівників, підрядників, партнерів, постачальників та інших визначених користувачів непублічних ресурсів суб’єкта для їх обізнаності щодо базових принципів кібербезпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 19
   }
  },
  {
   "id": "PR.AT-01[02]",
   "measure": "PR.AT-01",
   "text": "Чи запроваджено навчання щодо розпізнавання та протидії спробам застосування методів соціальної інженерії, поширеним атакам, дотримання прийнятних політик безпеки, дотримання базових принципів кібергігієни (наприклад, виправлення програмного забезпечення, вибір паролів, захист облікових даних), а також інформування про атаки та підозрілу активність?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 19
   }
  },
  {
   "id": "PR.AT-01[03]",
   "measure": "PR.AT-01",
   "text": "Чи доводиться до відома співробітників суб’єкта інформація про наслідки порушення політики кібербезпеки як для окремих користувачів, так і для суб’єкта в цілому?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 20
   }
  },
  {
   "id": "PR.AT-02[01]",
   "measure": "PR.AT-02",
   "text": "Чи визначено посади, які мають доступ до важливих даних суб’єкта, обіймання яких вимагає проходження додаткового навчання з питань кібербезпеки (співробітники із фізичної та кібербезпеки, фінансовий сектор, керівництво вищого рівня)?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 20
   }
  },
  {
   "id": "PR.AT-02[02]",
   "measure": "PR.AT-02",
   "text": "Чи проводяться тренінги, навчання та перевіряється рольова обізнаність щодо кібербезпеки для співробітників, які виконують спеціалізовані ролі, а також підрядників, партнерів, постачальників та інших третіх осіб?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 20
   }
  },
  {
   "id": "PR.AT-02[03]",
   "measure": "PR.AT-02",
   "text": "Чи запроваджено періодичне оцінювання користувачів щодо розуміння практик кібербезпеки відповідно до їхніх спеціалізованих ролей?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 20
   }
  },
  {
   "id": "PR.AT-02[04]",
   "measure": "PR.AT-02",
   "text": "Чи встановлено вимоги щодо щорічного підвищення кваліфікації для покращення існуючих та впровадження нових практик кібербезпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 20
   }
  },
  {
   "id": "PR.DS-01[01]",
   "measure": "PR.DS-01",
   "text": "Чи використовуються шифрування, цифрові підписи та криптографічні хеші для захисту конфіденційності та цілісності збережених даних у файлах, базах даних, образах дисків віртуальних машин, образах контейнерів та інших ресурсах?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 20
   }
  },
  {
   "id": "PR.DS-01[02]",
   "measure": "PR.DS-01",
   "text": "Чи використовується повне шифрування дисків для захисту даних, що зберігаються на кінцевих пристроях користувачів?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 20
   }
  },
  {
   "id": "PR.DS-01[03]",
   "measure": "PR.DS-01",
   "text": "Чи здійснюється підтвердження цілісності програмного забезпечення шляхом перевірки цифрових підписів?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 20
   }
  },
  {
   "id": "PR.DS-01[04]",
   "measure": "PR.DS-01",
   "text": "Чи обмежено використання знімних носіїв для запобігання витоку даних?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 20
   }
  },
  {
   "id": "PR.DS-01[05]",
   "measure": "PR.DS-01",
   "text": "Чи фізично захищені знімні носії, що містять незашифровану конфіденційну інформацію (наприклад, зберігаються у закритих сейфах або файлових шафах)?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 20
   }
  },
  {
   "id": "PR.DS-02[01]",
   "measure": "PR.DS-02",
   "text": "Чи застосувано шифрування, цифрові підписи та криптографічні хеші для захисту конфіденційності та цілісності при використанні мережевих комунікацій?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 21
   }
  },
  {
   "id": "PR.DS-02[02]",
   "measure": "PR.DS-02",
   "text": "Чи здійснюється автоматичне шифрування або блокування вихідних електронних листів та інших комунікацій, що містять чутливі дані, залежно від класифікації таких даних?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 21
   }
  },
  {
   "id": "PR.DS-02[03]",
   "measure": "PR.DS-02",
   "text": "Чи заблокувано доступ до особистої електронної пошти, сервісів обміну файлами, зберігання файлів та інших особистих додатків і сервісів комунікації з організаційних систем і мереж?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 21
   }
  },
  {
   "id": "PR.DS-02[04]",
   "measure": "PR.DS-02",
   "text": "Чи забезпечено запобігання повторному використанню чутливих даних з продуктивних середовищ (наприклад, записи клієнтів) у інженерних, тестових та інших непродуктивних середовищах?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 21
   }
  },
  {
   "id": "PR.DS-10[01]",
   "measure": "PR.DS-10",
   "text": "Чи здійснено видалення даних, які мають залишатися конфіденційними (наприклад, з процесорів та пам’яті), як тільки вони більше не потрібні?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 21
   }
  },
  {
   "id": "PR.DS-10[02]",
   "measure": "PR.DS-10",
   "text": "Чи забезпечено захист даних, що використовуються, від доступу інших користувачів та процесів тієї ж платформи?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 21
   }
  },
  {
   "id": "PR.DS-11[01]",
   "measure": "PR.DS-11",
   "text": "Чи безперервно здійснювати резервне копіювання критичних даних у наближеному до реального часі?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 21
   }
  },
  {
   "id": "PR.DS-11[02]",
   "measure": "PR.DS-11",
   "text": "Чи проводиться резервне копіювання інших даних за встановленими графіками?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 21
   }
  },
  {
   "id": "PR.DS-11[03]",
   "measure": "PR.DS-11",
   "text": "Чи тестування резервних копій та відновлення для всіх типів джерел даних здійснюються принаймні щороку?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 21
   }
  },
  {
   "id": "PR.DS-11[04]",
   "measure": "PR.DS-11",
   "text": "Чи безпечно зберігати визначені резервні копії офлайн та поза межами суб’єкта, щоб кіберінцидент або катастрофа не пошкодили їх?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 21
   }
  },
  {
   "id": "PR.DS-11[05]",
   "measure": "PR.DS-11",
   "text": "Чи зберігати резервні копії даних в різних місцях географічно та обмежити доступ до інформації про геолокацію місць зберігання?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 21
   }
  },
  {
   "id": "PR.PS-01[01]",
   "measure": "PR.PS-01",
   "text": "Чи встановлено, протестовано, розгорнуто та підтримуються захищені базові конфігурації, які забезпечують виконання політик кібербезпеки організації та надають лише необхідні можливості (тобто принцип максимально обмеженої функціональності)?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 21
   }
  },
  {
   "id": "PR.PS-01[02]",
   "measure": "PR.PS-01",
   "text": "Чи переглянуто всі налаштування конфігурацій за замовчуванням, які можуть потенційно вплинути на кібербезпеку при встановленні або оновленні програмного забезпечення?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 22
   }
  },
  {
   "id": "PR.PS-01[03]",
   "measure": "PR.PS-01",
   "text": "Чи проводиться моніторинг виконуваного програмного забезпечення на предмет виявлення його відхилень від схвалених базових конфігурацій?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 22
   }
  },
  {
   "id": "PR.PS-02[01]",
   "measure": "PR.PS-02",
   "text": "Чи виконується поточне та екстрене виправлення вразливостей у встановлені терміни, зазначені в плані управління вразливостями?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 22
   }
  },
  {
   "id": "PR.PS-02[02]",
   "measure": "PR.PS-02",
   "text": "Чи здійснюється оновлення образів контейнерів та розгортання нових екземплярів контейнерів, щоб заміняти, а не оновлювати існуючі екземпляри?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 22
   }
  },
  {
   "id": "PR.PS-02[03]",
   "measure": "PR.PS-02",
   "text": "Чи здійснюється заміна програмного забезпечення та версії сервісів, що досягли кінця життєвого циклу, на підтримувані та обслуговувані версії?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 22
   }
  },
  {
   "id": "PR.PS-02[04]",
   "measure": "PR.PS-02",
   "text": "Чи видаляються несанкціоноване програмне забезпечення та сервіси, які становлять надмірні ризики кібербезпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 22
   }
  },
  {
   "id": "PR.PS-02[05]",
   "measure": "PR.PS-02",
   "text": "Чи видаляються будь-які непотрібні компоненти програмного забезпечення (наприклад, утиліт операційної системи), які можуть бути використані зловмисниками?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 22
   }
  },
  {
   "id": "PR.PS-02[06]",
   "measure": "PR.PS-02",
   "text": "Чи затверджені та виконуються заходи планів підтримки та обслуговування програмного забезпечення і сервісів, що досягли кінця життєвого циклу?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 22
   }
  },
  {
   "id": "PR.PS-03[01]",
   "measure": "PR.PS-03",
   "text": "Чи здійснюється заміна апаратного забезпечення, коли воно не має необхідних можливостей безпеки або не може підтримувати програмне забезпечення з необхідними можливостями безпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 22
   }
  },
  {
   "id": "PR.PS-03[02]",
   "measure": "PR.PS-03",
   "text": "Чи затверджені та виконуються заходи планів підтримки та обслуговування апаратного забезпечення, що досягло кінця життєвого циклу?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 22
   }
  },
  {
   "id": "PR.PS-03[03]",
   "measure": "PR.PS-03",
   "text": "Чи здійснюється утилізація апаратного забезпечення безпечно, відповідально та з можливістю аудиту?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 22
   }
  },
  {
   "id": "PR.PS-04[01]",
   "measure": "PR.PS-04",
   "text": "Чи налаштовані всі операційні системи, додатки та сервіси (включаючи хмарні ресурси) для генерації записів у журнали подій?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 22
   }
  },
  {
   "id": "PR.PS-04[02]",
   "measure": "PR.PS-04",
   "text": "Чи налаштовані генератори журналів для безпечного обміну їхніми журналами із системами та службами інфраструктури реєстрації суб’єкта?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 22
   }
  },
  {
   "id": "PR.PS-04[03]",
   "measure": "PR.PS-04",
   "text": "Чи налаштовані генератори записів журналів подій для запису даних, необхідних для архітектур з нульовою довірою?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 23
   }
  },
  {
   "id": "PR.PS-05[01]",
   "measure": "PR.PS-05",
   "text": "Якщо цього вимагає ризик кібербезпеки, чи обмежено використання програмного забезпечення лише дозволеними продуктами, а використання неавторизованого програмного забезпечення заборонено?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 23
   }
  },
  {
   "id": "PR.PS-05[02]",
   "measure": "PR.PS-05",
   "text": "Чи перевірені джерело походження та цілісність нового програмного забезпечення перед його встановленням?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 23
   }
  },
  {
   "id": "PR.PS-05[03]",
   "measure": "PR.PS-05",
   "text": "Чи налаштовано платформи на використання лише затверджених служб DNS, які блокують доступ до відомих шкідливих доменів, та на встановлення лише програмного забезпечення, схваленого суб’єктом?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 23
   }
  },
  {
   "id": "PR.PS-05[04]",
   "measure": "PR.PS-05",
   "text": "Чи налаштовано платформи для інсталювання лише затвердженого суб’єктом програмного забезпечення?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 23
   }
  },
  {
   "id": "PR.PS-06[01]",
   "measure": "PR.PS-06",
   "text": "Чи усі компоненти програмного забезпечення, розробленого суб’єктом, захищені від втручання та несанкціонованого доступу?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 23
   }
  },
  {
   "id": "PR.PS-06[02]",
   "measure": "PR.PS-06",
   "text": "Чи усе програмне забезпечення, розроблене суб’єктом, перевірене на відсутність вразливостей у його оновленнях?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 23
   }
  },
  {
   "id": "PR.PS-06[03]",
   "measure": "PR.PS-06",
   "text": "Чи обслуговується і безпечно утилізується програмне забезпечення, що використовується у виробничих середовищах, коли воно більше не потрібне?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 23
   }
  },
  {
   "id": "PR.IR-01[01]",
   "measure": "PR.IR-01",
   "text": "Чи логічно сегментовані мережі суб’єкта та хмарні платформи відповідно до меж довіри та типів платформ (наприклад, IT, IoT, OT, мобільні, гості) і чи необхідні комунікації дозволені лише між сегментами?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 23
   }
  },
  {
   "id": "PR.IR-01[02]",
   "measure": "PR.IR-01",
   "text": "Чи логічно сегментовані мережі суб’єкта від зовнішніх мереж і дозволені лише необхідні комунікації для входу в мережі суб’єкта із зовнішніх мереж?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 23
   }
  },
  {
   "id": "PR.IR-01[03]",
   "measure": "PR.IR-01",
   "text": "Чи упроваджено архітектуру нульової довіри для забезпечення принципу мінімальних привілеїв під час доступу до ресурсів системи?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 23
   }
  },
  {
   "id": "PR.IR-01[04]",
   "measure": "PR.IR-01",
   "text": "Чи перевірено кібербезпеку кінцевих точок перед тим, як їм надано доступ, і використання виробничих ресурсів?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 23
   }
  },
  {
   "id": "PR.IR-02[01]",
   "measure": "PR.IR-02",
   "text": "Чи забезпечується захист обладнання суб’єкта від відомих екологічних загроз, таких як затоплення, пожежа, вітер, надмірна спека та вологість?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 24
   }
  },
  {
   "id": "PR.IR-02[02]",
   "measure": "PR.IR-02",
   "text": "Чи забезпечується захист від екологічних загроз та чи включено положення про належну операційну інфраструктуру до вимог до постачальників послуг, які експлуатують системи від імені суб’єкта?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 24
   }
  },
  {
   "id": "PR.IR-03[01]",
   "measure": "PR.IR-03",
   "text": "Чи проводиться запобігання використанню єдиних точок відмови в системах та інфраструктурі?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 24
   }
  },
  {
   "id": "PR.IR-03[02]",
   "measure": "PR.IR-03",
   "text": "Чи проводиться балансування навантаження для збільшення потужності та підвищення надійності?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 24
   }
  },
  {
   "id": "PR.IR-03[03]",
   "measure": "PR.IR-03",
   "text": "Чи використовуються компоненти з високою доступністю, такі як резервне зберігання та джерела живлення, для підвищення надійності системи?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 24
   }
  },
  {
   "id": "PR.IR-04[01]",
   "measure": "PR.IR-04",
   "text": "Чи проводиться моніторинг використання пристроїв зберігання даних, живлення, обчислювальних ресурсів, пропускної здатності мережі та інших ресурсів?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 24
   }
  },
  {
   "id": "PR.IR-04[02]",
   "measure": "PR.IR-04",
   "text": "Чи упроваджено прогнозування майбутніх потреб і відповідне масштабування ресурсів?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 24
   }
  },
  {
   "id": "DE.CM-01[01]",
   "measure": "DE.CM-01",
   "text": "Чи забезпечено відстеження DNS, BGP та інших мережевих служб на наявність небажаних подій?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 24
   }
  },
  {
   "id": "DE.CM-01[02]",
   "measure": "DE.CM-01",
   "text": "Чи забезпечено відстеження дротових та бездротових мереж на наявність підключень із неавторизованих кінцевих точок?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 24
   }
  },
  {
   "id": "DE.CM-01[03]",
   "measure": "DE.CM-01",
   "text": "Чи забезпечено моніторинг засобів на наявність несанкціонованих або шахрайських бездротових мереж?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 24
   }
  },
  {
   "id": "DE.CM-01[04]",
   "measure": "DE.CM-01",
   "text": "Чи проведено порівняльний аналіз фактичних мережевих потоків з базовими лініями, щоб виявити відхилення?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 24
   }
  },
  {
   "id": "DE.CM-01[05]",
   "measure": "DE.CM-01",
   "text": "Чи проведено моніторинг мережевих комунікацій для виявлення змін у положеннях безпеки з метою нульової довіри?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 24
   }
  },
  {
   "id": "DE.CM-02[01]",
   "measure": "DE.CM-02",
   "text": "Чи відстежуються журнали подій систем контролю фізичного доступу (наприклад, зчитувачів бейджів), щоб знайти незвичайні шаблони доступу (наприклад, відхилення від норми) і невдалі спроби доступу?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 24
   }
  },
  {
   "id": "DE.CM-02[02]",
   "measure": "DE.CM-02",
   "text": "Чи переглянуто та відстежено записи фізичного доступу (наприклад, з реєстрації відвідувачів, аркушів входу)?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 25
   }
  },
  {
   "id": "DE.CM-02[03]",
   "measure": "DE.CM-02",
   "text": "Чи забезпечено контроль засобів контролю фізичного доступу (наприклад, замки, засувки, петлі, сигналізацію) на наявність ознак втручання?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 25
   }
  },
  {
   "id": "DE.CM-02[04]",
   "measure": "DE.CM-02",
   "text": "Чи забезпечено контроль фізичного середовища за допомогою систем сигналізації, камер і охоронців?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 25
   }
  },
  {
   "id": "DE.CM-03[01]",
   "measure": "DE.CM-03",
   "text": "Чи забезпечено використання програмного забезпечення для аналітики поведінки з метою виявлення аномальної активності користувачів, щоб пом’якшити внутрішні загрози?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 25
   }
  },
  {
   "id": "DE.CM-03[02]",
   "measure": "DE.CM-03",
   "text": "Чи забезпечено відстеження журналів логічних систем контролю доступу, щоб знайти незвичайні шаблони доступу та невдалі спроби доступу?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 25
   }
  },
  {
   "id": "DE.CM-03[03]",
   "measure": "DE.CM-03",
   "text": "Чи забезпечено відстеження на постійній основі технології обману, включаючи облікові записи користувачів, для будь-якого використання?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 25
   }
  },
  {
   "id": "DE.CM-06[01]",
   "measure": "DE.CM-06",
   "text": "Чи забезпечено відстеження віддаленого та локального адміністрування й технічного обслуговування, які зовнішні постачальники виконують у системах суб’єкта?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 25
   }
  },
  {
   "id": "DE.CM-06[02]",
   "measure": "DE.CM-06",
   "text": "Чи забезпечено моніторинг активності надавачів хмарних послуг, постачальників послуг Інтернету та інших постачальників послуг на наявність відхилень від очікуваної поведінки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 25
   }
  },
  {
   "id": "DE.CM-09[01]",
   "measure": "DE.CM-09",
   "text": "Чи забезпечено моніторинг електронної пошти, Інтернету, обміну файлами, служб спільної роботи та інших поширених векторів атак для виявлення зловмисного програмного забезпечення, фішингу, витоку та крадіжки даних та інших небажаних подій?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 25
   }
  },
  {
   "id": "DE.CM-09[02]",
   "measure": "DE.CM-09",
   "text": "Чи забезпечено відстеження спроби автентифікації, щоб виявити атаки на облікові дані та неавторизоване повторне використання облікових даних?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 25
   }
  },
  {
   "id": "DE.CM-09[03]",
   "measure": "DE.CM-09",
   "text": "Чи забезпечено відстеження конфігурації програмного забезпечення на наявність відхилень від базових рівнів безпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 25
   }
  },
  {
   "id": "DE.CM-09[04]",
   "measure": "DE.CM-09",
   "text": "Чи забезпечено контроль апаратного та програмного забезпечення на наявність ознак втручання?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 25
   }
  },
  {
   "id": "DE.CM-09[05]",
   "measure": "DE.CM-09",
   "text": "Чи забезпечено використання технологій з присутністю на кінцевих точках для виявлення проблем забезпечення кібербезпеки (наприклад, немає патчів, зараження зловмисним програмним забезпеченням, несанкціоноване програмне забезпечення) з метою перенаправлення кінцевих точок в середовище відновлення до того, як буде авторизовано доступ?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 25
   }
  },
  {
   "id": "DE.AE-02[01]",
   "measure": "DE.AE-02",
   "text": "Чи впроваджено систему управління інформацією та подіями безпеки (SIEM) або інші інструменти для постійного моніторингу подій у журналі на наявність відомої зловмисної та підозрілої активності?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 26
   }
  },
  {
   "id": "DE.AE-02[02]",
   "measure": "DE.AE-02",
   "text": "Чи використовується актуальна інформація про кіберзагрози в інструментах аналізу журналів, щоб підвищити точність виявлення та охарактеризувати суб’єкти загрози, їхні методи та показники компрометації?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 26
   }
  },
  {
   "id": "DE.AE-02[03]",
   "measure": "DE.AE-02",
   "text": "Чи забезпечено регулярне проведення (вручну) перевірки подій журналу для технологій, які не можна належним чином контролювати за допомогою автоматизації?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 26
   }
  },
  {
   "id": "DE.AE-02[04]",
   "measure": "DE.AE-02",
   "text": "Чи використано інструменти аналізу журналів для створення звітів про свої висновки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 26
   }
  },
  {
   "id": "DE.AE-03[01]",
   "measure": "DE.AE-03",
   "text": "Чи забезпечено постійне передавання даних журналу, створених з інших джерел, на відносно невелику кількість серверів журналів?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 26
   }
  },
  {
   "id": "DE.AE-03[02]",
   "measure": "DE.AE-03",
   "text": "Чи використано технологію кореляції подій (наприклад, SIEM) для збору інформації, отриманої з кількох джерел?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 26
   }
  },
  {
   "id": "DE.AE-03[03]",
   "measure": "DE.AE-03",
   "text": "Чи використано дані про кіберзагрози, щоб допомогти корелювати події між різними джерелами журналів аудиту та подій?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 26
   }
  },
  {
   "id": "DE.AE-04[01]",
   "measure": "DE.AE-04",
   "text": "Чи упроваджено SIEM або інші інструменти для оцінки впливу та масштабу, а також чи переглянуто й уточнено оцінки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 26
   }
  },
  {
   "id": "DE.AE-04[02]",
   "measure": "DE.AE-04",
   "text": "Чи створено власні оцінки впливу та масштабу?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 26
   }
  },
  {
   "id": "DE.AE-06[01]",
   "measure": "DE.AE-06",
   "text": "Чи використано програмне забезпечення для кібербезпеки, щоб створювати сповіщення та передавати їх до центру безпеки (SOC), служб реагування на кіберінциденти, кібератаки або кіберзагрози, та інструменти реагування?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 26
   }
  },
  {
   "id": "DE.AE-06[02]",
   "measure": "DE.AE-06",
   "text": "Чи забезпечено доступ служб реагування на кіберінциденти, кібератаки або кіберзагрози та інших уповноважених співробітників до результатів аналізу журналу в будь-який час?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 26
   }
  },
  {
   "id": "DE.AE-06[03]",
   "measure": "DE.AE-06",
   "text": "Чи забезпечено автоматичне створення та призначення сигналів у системі оповіщення, коли виникають певні типи несприятливих подій?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 27
   }
  },
  {
   "id": "DE.AE-06[04]",
   "measure": "DE.AE-06",
   "text": "Чи забезпечено ручне створення та призначення сигналів у системі оповіщення суб’єкта, коли технічний співробітник виявляє ознаки компрометації?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 27
   }
  },
  {
   "id": "DE.AE-07[01]",
   "measure": "DE.AE-07",
   "text": "Чи забезпечено безпечне розповсюдження даних про кіберзагрози, їх інтеграцію в засоби виявлення та доведення до відома персоналу?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 27
   }
  },
  {
   "id": "DE.AE-07[02]",
   "measure": "DE.AE-07",
   "text": "Чи забезпечено безпечне надання інформації від інвентаризації активів до технологій виявлення процесів і співробітників?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 27
   }
  },
  {
   "id": "DE.AE-07[03]",
   "measure": "DE.AE-07",
   "text": "Чи забезпечено швидке отримання та швидкий аналіз інформації про вразливості технологічної інфраструктури від постачальників, третіх сторін і сторонніх консультантів із безпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 27
   }
  },
  {
   "id": "DE.AE-08[01]",
   "measure": "DE.AE-08",
   "text": "Чи застосовано критерії кіберінциденту до відомих і припущених характеристик діяльності, щоб визначити, чи слід оголошувати кіберінцидент?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 27
   }
  },
  {
   "id": "DE.AE-08[02]",
   "measure": "DE.AE-08",
   "text": "Чи враховано відомі помилкові спрацьовування під час застосування критеріїв кіберінциденту?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 27
   }
  },
  {
   "id": "RS.MA-01[01]",
   "measure": "RS.MA-01",
   "text": "Чи забезпечено автоматичне виявлення кіберінцидентів?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 27
   }
  },
  {
   "id": "RS.MA-01[02]",
   "measure": "RS.MA-01",
   "text": "Чи залучено допомогу з реагування на кіберінциденти, кібератаки або кіберзагрози на основі аутсорсингу?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 27
   }
  },
  {
   "id": "RS.MA-01[03]",
   "measure": "RS.MA-01",
   "text": "Чи призначено керівника з реагування на кожний кіберінцидент?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 27
   }
  },
  {
   "id": "RS.MA-01[04]",
   "measure": "RS.MA-01",
   "text": "Чи ініційовано виконання додаткових планів кібербезпеки, якщо це необхідно для підтримки реагування на кіберінциденти, кібератаки або кіберзагрози (наприклад, забезпечення безперервного функціонування та аварійне відновлення)?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 27
   }
  },
  {
   "id": "RS.MA-02[01]",
   "measure": "RS.MA-02",
   "text": "Чи переглянуто звіти про кіберінциденти, підтверджено те, що вони пов’язані з кібербезпекою та вимагають заходів з реагування на кіберінциденти, кібератаки або кіберзагрози?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 27
   }
  },
  {
   "id": "RS.MA-02[02]",
   "measure": "RS.MA-02",
   "text": "Чи застосовано критерії для оцінки кіберінциденту?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 28
   }
  },
  {
   "id": "RS.MA-03[01]",
   "measure": "RS.MA-03",
   "text": "Чи проведено аналіз і класифікацію кіберінцидентів на основі їх таксономії (наприклад, порушення даних, програми-вимагачі, DDoS, компрометація облікового запису)?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 28
   }
  },
  {
   "id": "RS.MA-03[02]",
   "measure": "RS.MA-03",
   "text": "Чи визначено пріоритетність кіберінцидентів на основі їх масштабу, ймовірного впливу та критичного часу?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 28
   }
  },
  {
   "id": "RS.MA-03[03]",
   "measure": "RS.MA-03",
   "text": "Чи вибрано стратегію реагування на кіберінциденти, кібератаки або кіберзагрози для активних кіберінцидентів, збалансовано необхідність швидкого відновлення після кіберінциденту з необхідністю спостерігати за зловмисником або проводити більш ретельне розслідування?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 28
   }
  },
  {
   "id": "RS.MA-04[01]",
   "measure": "RS.MA-04",
   "text": "Чи відстежено та перевірено статус усіх поточних кіберінцидентів?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 28
   }
  },
  {
   "id": "RS.MA-04[02]",
   "measure": "RS.MA-04",
   "text": "Чи забезпечено координацію підвищення рівня критичності кіберінциденту та його ескалацію з визначеними внутрішніми та зовнішніми заінтересованими сторонами?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 28
   }
  },
  {
   "id": "RS.MA-05[01]",
   "measure": "RS.MA-05",
   "text": "Чи застосовано критерії відновлення кіберінциденту до відомих і передбачуваних характеристик кіберінциденту, щоб визначити, чи слід ініціювати процеси відновлення кіберінциденту?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 28
   }
  },
  {
   "id": "RS.MA-05[02]",
   "measure": "RS.MA-05",
   "text": "Чи враховано можливий збій при виконанні заходів з відновлення кіберінциденту?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 28
   }
  },
  {
   "id": "RS.AN-03[01]",
   "measure": "RS.AN-03",
   "text": "Чи визначено послідовність подій, що відбулися під час кіберінциденту, і які активи та ресурси були залучені до кожної події",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 28
   }
  },
  {
   "id": "RS.AN-03[02]",
   "measure": "RS.AN-03",
   "text": "Чи проаналізовано вразливості, загрози та суб’єкти загрози, які прямо чи опосередковано залучені до кіберінциденту?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 28
   }
  },
  {
   "id": "RS.AN-03[03]",
   "measure": "RS.AN-03",
   "text": "Чи проаналізовано кіберінцидент, щоб знайти основні системні причини?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 28
   }
  },
  {
   "id": "RS.AN-03[04]",
   "measure": "RS.AN-03",
   "text": "Чи перевірено будь-яку технологію шахрайства у кіберпросторі, щоб отримати додаткову інформацію про поведінку зловмисників?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 28
   }
  },
  {
   "id": "RS.AN-06[01]",
   "measure": "RS.AN-06",
   "text": "Чи забезпечено запис та неможливість перезапису дій кожного спеціаліста з реагування на кіберінциденти, кібератаки або кіберзагрози та інших осіб (наприклад, системних адміністраторів, інженерів з кібербезпеки), які виконують завдання з реагування на кіберінциденти?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 29
   }
  },
  {
   "id": "RS.AN-06[02]",
   "measure": "RS.AN-06",
   "text": "Чи забезпечено наявність особи, яка веде розслідування виникнення кіберінциденту, документує деталі кіберінциденту і несе відповідальність за збереження цілісності документації та джерел усієї інформації, яка задокументована?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 29
   }
  },
  {
   "id": "RS.AN-07[01]",
   "measure": "RS.AN-07",
   "text": "Чи забезпечено збирання, зберігання та захист цілісності усіх відповідних даних про інциденти та метаданих (наприклад, джерело даних, дата/час збору) на основі процедур поводження та зберігання доказів?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 29
   }
  },
  {
   "id": "RS.AN-08[01]",
   "measure": "RS.AN-08",
   "text": "Чи переглянуто інші потенційні цілі кіберінциденту, щоб знайти індикатори компрометації та докази в наполегливості?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 29
   }
  },
  {
   "id": "RS.AN-08[02]",
   "measure": "RS.AN-08",
   "text": "Чи можна автоматично запускати інструменти на цільових об'єктах для пошуку індикаторів компрометації та доказів стійкості?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 29
   }
  },
  {
   "id": "RS.CO-02[01]",
   "measure": "RS.CO-02",
   "text": "Чи дотримано визначеної процедури оповіщення щодо порушення даних після виявлення кіберінциденту з порушенням даних, включаючи сповіщення постраждалих клієнтів?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 29
   }
  },
  {
   "id": "RS.CO-02[02]",
   "measure": "RS.CO-02",
   "text": "Чи повідомлено ділових партнерів і клієнтів про кіберінциденти відповідно до вимог контракту?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 29
   }
  },
  {
   "id": "RS.CO-02[03]",
   "measure": "RS.CO-02",
   "text": "Чи повідомлено правоохоронні органи та уповноважені органи про кіберінциденти на основі затверджених критеріїв плану реагування на кіберінциденти, кібератаки або кіберзагрози?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 29
   }
  },
  {
   "id": "RS.CO-03[01]",
   "measure": "RS.CO-03",
   "text": "Чи забезпечено безпечний обмін інформацією відповідно до планів на кіберінциденти, кібератаки та кіберзагрози та договорів про обмін інформацією?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 29
   }
  },
  {
   "id": "RS.CO-03[02]",
   "measure": "RS.CO-03",
   "text": "Чи добровільно поширено інформацію з видаленням усіх конфіденційних даних серед центрів обміну та аналізу інформації про спостережувані TTP зловмисників?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 29
   }
  },
  {
   "id": "RS.CO-03[03]",
   "measure": "RS.CO-03",
   "text": "Чи сповіщено відділ кадрів про випадки зловмисної внутрішньої діяльності?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 29
   }
  },
  {
   "id": "RS.CO-03[04]",
   "measure": "RS.CO-03",
   "text": "Чи забезпечено регулярне інформування керівництва вищого рівня про статус великих кіберінцидентів?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 30
   }
  },
  {
   "id": "RS.CO-03[05]",
   "measure": "RS.CO-03",
   "text": "Чи забезпечено координацію методів комунікації в кризових ситуаціях між суб’єктом та його критично важливими постачальниками?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 30
   }
  },
  {
   "id": "RS.CO-03[06]",
   "measure": "RS.CO-03",
   "text": "Чи забезпечено дотримання правил і протоколів, визначених у контрактах, щодо обміну інформацією про кіберінциденти між суб’єктом та його постачальниками?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 30
   }
  },
  {
   "id": "RS.MI-01[01]",
   "measure": "RS.MI-01",
   "text": "Чи забезпечено автоматичне виконання дій стримування за допомогою технологічних рішень (наприклад, антивірусне програмне забезпечення) та інших технологій (наприклад, операційні системи, пристрої мережевої інфраструктури), які мають функції забезпечення кібербезпеки?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 30
   }
  },
  {
   "id": "RS.MI-01[02]",
   "measure": "RS.MI-01",
   "text": "Чи надано дозвіл службам реагування на кіберінциденти, кібератаки або кіберзагрози вручну вибирати та виконувати дії стримування?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 30
   }
  },
  {
   "id": "RS.MI-01[03]",
   "measure": "RS.MI-01",
   "text": "Чи надано дозвіл третій стороні (наприклад, постачальнику послуг Інтернету, постачальнику послуг управління безпекою) виконувати дії зі стримування від імені суб’єкта?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 30
   }
  },
  {
   "id": "RS.MI-01[04]",
   "measure": "RS.MI-01",
   "text": "Чи забезпечено автоматичне перенесення скомпрометованих кінцевих точок у віртуальну локальну мережу (VLAN) для відновлення?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 30
   }
  },
  {
   "id": "RS.MI-02[01]",
   "measure": "RS.MI-02",
   "text": "Чи забезпечено автоматичне виконання завдань стримування за допомогою впроваджених технологій кіберзахисту та інших технологій, які мають такі функції (наприклад, операційні системи, мережа пристроїв інфраструктури)?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 30
   }
  },
  {
   "id": "RS.MI-02[02]",
   "measure": "RS.MI-02",
   "text": "Чи надано дозвіл службам реагування на кіберінциденти, кібератаки або кіберзагрози вручну вибирати та виконувати дії зі стримування кіберінциденту?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 30
   }
  },
  {
   "id": "RS.MI-02[03]",
   "measure": "RS.MI-02",
   "text": "Чи надано дозвіл третій стороні (наприклад, постачальнику послуг управління безпекою) виконувати дії зі стримування від імені суб’єкта?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 30
   }
  },
  {
   "id": "RC.RP-01[01]",
   "measure": "RC.RP-01",
   "text": "Чи розпочато процедури відновлення під час або після процесів реагування на кіберінциденти, кібератаки або кіберзагрози?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 30
   }
  },
  {
   "id": "RC.RP-01[02]",
   "measure": "RC.RP-01",
   "text": "Чи ознайомлено всіх осіб, які відповідають за відновлення, про плани відновлення та повноваження, необхідні для виконання кожного аспекту планів?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 30
   }
  },
  {
   "id": "RC.RP-02[01]",
   "measure": "RC.RP-02",
   "text": "Чи обрано дії з відновлення на основі критеріїв, визначених у плані реагування на кіберінциденти, кібератаки та кіберзагрози, і доступних ресурсів?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 31
   }
  },
  {
   "id": "RC.RP-02[02]",
   "measure": "RC.RP-02",
   "text": "Чи змінено обрані дії з відновлення на основі переоцінки потреб суб’єкта і ресурсів?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 31
   }
  },
  {
   "id": "RC.RP-03[01]",
   "measure": "RC.RP-03",
   "text": "Чи перевірено відновлені активи на наявність ознак компрометації, пошкодження файлів та інших питань цілісності активів перед їх використанням?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 31
   }
  },
  {
   "id": "RC.RP-04[01]",
   "measure": "RC.RP-04",
   "text": "Чи використано записи про вплив на суб’єкт і категоризацію системи (включно з цілями надання послуг), щоб підтвердити, що основні послуги відновлюються у відповідному порядку?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 31
   }
  },
  {
   "id": "RC.RP-04[02]",
   "measure": "RC.RP-04",
   "text": "Чи забезпечено співпрацю з власниками систем, щоб підтвердити успішне відновлення систем і повернення до штатного режиму функціонування?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 31
   }
  },
  {
   "id": "RC.RP-04[03]",
   "measure": "RC.RP-04",
   "text": "Чи відстежено продуктивність відновлених систем, щоб перевірити адекватність відновлення?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 31
   }
  },
  {
   "id": "RC.RP-05[01]",
   "measure": "RC.RP-05",
   "text": "Чи перевірено відновлені активи на наявність індикаторів компрометації та усунення основних причин кіберінциденту перед їх штатним використанням?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 31
   }
  },
  {
   "id": "RC.RP-05[02]",
   "measure": "RC.RP-05",
   "text": "Чи перевірено правильність і адекватність дій з відновлення, вжитих перед запуском відновленої системи в режимі онлайн?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 31
   }
  },
  {
   "id": "RC.RP-06[01]",
   "measure": "RC.RP-06",
   "text": "Чи підготовлено звіт про завершення дії, в якому задокументовано сам кіберінцидент, вжиті заходи реагування та відновлення, а також отриманий досвід?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 31
   }
  },
  {
   "id": "RC.RP-06[02]",
   "measure": "RC.RP-06",
   "text": "Чи оголошено про закінчення відновлення після кіберінциденту та досягнення відповідних критеріїв?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 31
   }
  },
  {
   "id": "RC.CO-03[01]",
   "measure": "RC.CO-03",
   "text": "Чи забезпечено безпечний обмін інформацією про відновлення, включаючи хід відновлення, відповідно до планів реагування на кіберінциденти, кібератаки та кіберзагрози та договорів про обмін інформацією?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 32
   }
  },
  {
   "id": "RC.CO-03[02]",
   "measure": "RC.CO-03",
   "text": "Чи забезпечено регулярне інформування керівництва вищого рівня про стан відновлення та хід відновлення для великих кіберінцидентів?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 32
   }
  },
  {
   "id": "RC.CO-03[03]",
   "measure": "RC.CO-03",
   "text": "Чи дотримано вимоги правил і протоколів, визначених у контрактах між суб’єктом та його постачальниками, щодо обміну інформацією про кіберінциденти?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 32
   }
  },
  {
   "id": "RC.CO-03[04]",
   "measure": "RC.CO-03",
   "text": "Чи скоординовано кризову комунікацію між суб’єктом та його критично важливими постачальниками?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 32
   }
  },
  {
   "id": "RC.CO-04[01]",
   "measure": "RC.CO-04",
   "text": "Чи дотримано процедури інформування про кіберінциденти, кібератаки та кіберзагрози?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 32
   }
  },
  {
   "id": "RC.CO-04[02]",
   "measure": "RC.CO-04",
   "text": "Чи здійснюється інформування про кіберінциденти, кібератаки та кіберзагрози безперервно в режимі, наближеному до реального часу, з використанням платформи обміну інформацією про кіберінциденти, кібератаки, кіберзагрози та механізму «єдиного вікна» для інформування, дотримання загальних правил обміну інформацією про кіберінциденти, кібератаки, кіберзагрози (протокол TLP)?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 32
   }
  },
  {
   "id": "RC.CO-04[03]",
   "measure": "RC.CO-04",
   "text": "Чи здійснюється публічне інформування щодо кіберінцидентів, кібератаки від середнього рівня критичності та вище?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 32
   }
  },
  {
   "id": "RC.CO-04[04]",
   "measure": "RC.CO-04",
   "text": "Чи описано кроки, які вживалися для відновлення після кіберінциденту та запобігання його повторенню?",
   "source": {
    "doc": "Наказ Держспецзв'язку № 285 від 16.04.2026, Методичні рекомендації щодо зовнішнього оцінювання, додаток 2",
    "page": 32
   }
  }
 ]
}