Методичні рекомендації щодо проведення інструктажів і тренінгів щодо кібергігієни на період призначення на посади державних службовців, працівників органів державної влади та інших державних органів, військовослужбовців, керівників та працівників дер
- Методичні рекомендації щодо проведення інструктажів і тренінгів
щодо кібергігієни на період призначення на посади державних службовців, працівників органів державної влади та державних органів, військовослужбовців, керівників та працівників державних підприємств, установ та організацій (далі - Рекомендації) розроблені на виконання пункту 99 частини першої статті 14 Закону України “Про Державну службу спеціального зв’язку та захисту інформації України”, Законів України “Про основні засади забезпечення кібербезпеки України”, “Про Державну службу спеціального зв’язку та захисту інформації України”, “Про критичну інфраструктуру”, підпункту 9528 пункту 4 Положення про Адміністрацію Державної служби спеціального зв’язку та захисту інформації України, затвердженого постановою Кабінету Міністрів України від 03 вересня 2014 року № 411, пункту 4 Порядку проведення інструктажів та систематичних тренінгів щодо кібергігієни, затвердженого постановою Кабінету Міністрів України від 08 жовтня 2025 року № 1281, Загальних вимог до кіберзахисту об’єктів критичної інфраструктури, затверджених постановою Кабінету Міністрів України від 19 червня 2019 року № 518.
Ці Рекомендації розроблені з урахуванням положень концептуально- референтної моделі цифрових компетентностей для громадян ЄС DigComp 2.2: The Digital Competence Framework for Citizens, рекомендацій Європейської агенції з кібербезпеки (ENISA) та Національного інституту стандартизації та технології (NIST).
- Ці Рекомендації призначені для органів державної влади, інших державних органів, органів місцевого самоврядування, державних підприємств, установ та організацій (далі - Установа) під час підготовки та проведення систематичних інструктажів і тренінгів щодо кібергігієни членів уряду України, народних депутатів України, працівників патронатних служб, депутатів місцевих рад, державних службовців, військовослужбовців, працівників органів державної влади та державних органів, керівників та працівників державних
підприємств, установ та організацій (далі - суб’єкти державного управління) протягом усього строку перебування на посадах в органах державної влади, державних органах, на державних підприємствах, в установах та організаціях або строку повноважень в органах місцевого самоврядування або повноважень народного депутата України, а також для суб’єктів забезпечення кібербезпеки під час підготовки та проведення систематичних інструктажів і тренінгів щодо кібергігієни.
Систематичні інструктажі і тренінги щодо кібергігієни для суб’єктів державного управління проводяться відповідно до Порядку проведення інструктажів та систематичних тренінгів щодо кібергігієни, затвердженого постановою Кабінету Міністрів України від 08 жовтня 2025 року № 1281.
- Ці Рекомендації можуть використовуватися суб’єктами забезпечення кібербезпеки.
Ці Рекомендації можуть використовуватися відповідальними особами підрозділів з кіберзахисту в органах державної влади, що є власниками або розпорядниками інформаційних, електронних комунікаційних та інформаційно- комунікаційних систем, у яких обробляються державні інформаційні ресурси або службова інформація та інформація, що становить державну таємницю, особами, які виконують функції та завдання керівників з кіберзахисту в органах місцевого самоврядування, відповідальними особами, які виконують функції та завдання керівника з кіберзахисту на об’єктах критичної інформаційної інфраструктури.
- Ці Рекомендації не є нормативно-правовим актом, мають інформаційний та рекомендаційний характер, не встановлюють правових норм і є добровільними для використання.
- У цих Рекомендаціях терміни вживаються в у значеннях, наведених у
Законах України “Про основні засади забезпечення кібербезпеки України”, “Про Державну службу спеціального зв’язку та захисту інформації України”, “Про критичну інфраструктуру”, “Про захист інформації в інформаційно-
комунікаційних системах”, Загальних вимогах до кіберзахисту об’єктів критичної інфраструктури, затверджених постановою Кабінету Міністрів України від 19 червня 2019 року № 518, Порядку проведення інструктажів та систематичних тренінгів щодо кібергігієни, затвердженому постановою Кабінету Міністрів України від 08 жовтня 2025 року № 1281.
- Завдання проведення систематичних інструктажів і тренінгів щодо кібергігієни:
інформування суб’єктів державного управління щодо актуальних кіберзагроз, типових сценаріїв кіберінцидентів, кібератак, методів соціальної інженерії та наслідків порушення правил кібергігієни;
підвищення рівня обізнаності суб’єктів державного управління щодо вимог законодавства України у сфері кібербезпеки, захисту персональних даних та інформації з обмеженим доступом;
формування практичних навичок безпечного використання інформаційно- комунікаційних технологій;
сприяння дотриманню внутрішніх політик безпеки, регламентів і процедур, запроваджених у відповідній Установі;
мотивація особистої відповідальності кожного суб’єкта державного управління за дотримання принципів кібергігієни у щоденній професійній (службовій) діяльності;
оцінювання рівня засвоєння знань і навичок, отриманих під час інструктажів і тренінгів, з подальшим коригуванням навчального підходу відповідно до визначених потреб.
- Проведення інструктажу і тренінгу щодо кібергігієни складається з таких етапів:
підготовчий;
безпосереднє проведення інструктажу і тренінгу щодо кібергігієни; аналіз ефективності проведення інструктажу і тренінгу щодо кібергігієни.
- Під час підготовчого етапу доцільно вжити таких заходів: розробити згідно з пунктом 9 цих Рекомендацій документацію для
проведення інструктажу і тренінгу щодо кібергігієни;
визначити керівника (інструктора, фасилітатора) конкретного інструктажу і тренінгу щодо кібергігієни;
розподілити учасників для участі в інструктажах і тренінгах щодо кібергігієни відповідно до організаційно-штатної структури відповідної Установи (конкретного підрозділу) та забезпечити належний режим функціонування та виконання завдань за призначенням;
підготувати необхідні ресурси та обладнання для забезпечення належного рівня проведення інструктажу і тренінгу щодо кібергігієни.
- Для проведення інструктажу і тренінгу щодо кібергігієни доцільно розробити такі документи:
план-графік проведення інструктажів і тренінгів щодо кібергігієни; план-конспект проведення інструктажу і тренінгу щодо кібергігієни; аркуш перевірки присутності учасників інструктажу і тренінгу щодо кібергігієни.
Крім зазначених документів, можуть використовуватися документи, що сприяють більш якісному проведенню інструктажу і тренінгу щодо кібергігієни та/або надають документальне підтвердження участі в таких інструктажах і тренінгах щодо кібергігієни (наприклад, сертифікати).
Орієнтовний перелік навчальних тем для проведення інструктажів і тренінгів щодо кібергігієни наведено у додатку до цих Рекомендацій.
- План-графік проведення інструктажів і тренінгів щодо кібергігієни необхідний для ефективного планування та розподілу учасників інструктажів і тренінгів щодо кібергігієни. У ньому зазначається інформація про:
дату та час проведення інструктажу і тренінгу щодо кібергігієни;
керівника (інструктора, фасилітатора) інструктажу і тренінгу щодо кібергігієни;
тему інструктажу і тренінгу щодо кібергігієни;
цільову аудиторію (для кого проводиться тренінг; кількість осіб і назва конкретного підрозділу (підрозділів) Установи або перелік конкретних осіб- учасників інструктажу і тренінгу щодо кібергігієни).
Відомості заповнюються для кожного конкретного інструктажу і тренінгу щодо кібергігієни.
- План-конспект проведення інструктажу і тренінгу щодо кібергігієни призначено для структурованого, послідовного та ефективного проведення інструктажу та тренінгу щодо кібергігієни керівником (інструктором, фасилітатором) інструктажу і тренінгу щодо кібергігієни. Він повинен містити відомості про:
назву тренінгу (за умови проведення тренінгу щодо кібергігієни за визначеною тематикою необхідно зазначити перелік тем);
керівника (інструктора, фасилітатора) тренінгу щодо кібергігієни;
мету та завдання проведення тренінгу;
тривалість тренінгу та часовий розподіл відповідно до кожної теми;
форми проведення інструктажу і тренінгу щодо кібергігієни (очної/дистанційної/змішаної);
необхідні матеріали та ресурси для проведення тренінгу.
План-конспект проведення інструктажу і тренінгу щодо кібергігієни, що проводиться після призначення суб’єкта державного управління на посаду в Установі або набуття повноважень в органі місцевого самоврядування чи повноважень народного депутата України, має містити узагальнену інформацію за усіма темами орієнтовного переліку навчальних тем для проведення інструктажів і тренінгів щодо кібергігієни, визначених у додатку до цих Рекомендацій.
Після настання значного кіберінциденту, кібератаки в Установі інструктаж і тренінг щодо кібергігієни доцільно проводити з акцентом на теми, пов’язані з особливостями виникнення та розвитку цього кіберінциденту (кібератаки).
- Аркуш перевірки присутності учасників інструктажу і тренінгу щодо кібергігієни призначено для підтвердження участі суб’єктів державного управління в інструктажі і тренінгу щодо кібергігієни, а також для звітування та статистичного аналізу. Він заповнюється керівником (інструктором, фасилітатором) та учасниками (учасником) інструктажу і тренінгу щодо кібергігієни шляхом внесення ідентифікаційних даних (прізвища, власного імені, по батькові (за наявності)) та особистого підпису учасника із зазначенням дати.
У разі проведення інструктажу і тренінгу щодо кібергігієни в режимі онлайн участь в інструктажі і тренінгу щодо кібергігієни підтверджується за допомогою кваліфікованого електронного підпису кожного учасника інструктажу і тренінгу щодо кібергігієни.
- Керівник (інструктор, фасилітатор) інструктажу і тренінгу щодо кібергігієни призначається з-поміж представників підрозділів з кіберзахисту та/або відповідальних осіб, які виконують функції та завдання керівника з кіберзахисту в органах місцевого самоврядування.
Керівник (інструктор, фасилітатор) може бути представником основного суб’єкта національної системи кібербезпеки за погодженням з Установою або суб’єктом господарювання, громадянином України та представником об’єднань громадян, іншою особою, яка провадить діяльність та/або надає послуги, пов’язані з електронними комунікаціями, захистом інформації та кіберзахистом, національними електронними інформаційними ресурсами, здійсненням електронних правочинів, провадить діяльність, пов’язану з інформаційними електронними послугами, на договірній основі або шляхом застосування механізмів державно-приватної взаємодії відповідно до пункту 6 Порядку проведення інструктажів та систематичних тренінгів щодо кібергігієни, затвердженого постановою Кабінету Міністрів України від 08 жовтня 2025 року № 1281.
- Розподіл учасників для участі в інструктажах і тренінгах щодо кібергігієни може здійснюватися залежно від:
організаційно-штатної структури Установи (конкретних підрозділів);
посади, яку займає конкретний суб’єкт державного управління;
повноважень, функціональних обов’язків підрозділу та конкретної посади суб’єкта державного управління (наприклад, юридичний підрозділ, фінансовий підрозділ тощо);
забезпечення належного режиму функціонування та виконання завдань за призначенням.
Для більш якісного проведення інструктажу і тренінгу щодо кібергігієни необхідно враховувати особливості використання інформаційно-комунікаційних технологій, програмних, програмно-апаратних засобів, інших технічних засобів і обладнання, організації фізичного доступу до об’єктів інформаційної діяльності, приміщень з робочими місцями, місць загального використання.
- Для належного та якісного проведення інструктажів і тренінгів щодо кібергігієни проводиться підготовка відповідних організаційних, технічних і програмних ресурсів та обладнання залежно від форми проведення інструктажу та тренінгу щодо кібергігієни (очна/дистанційна/змішана).
Під час дистанційної форми проведення заходу проводиться підготовка відповідної відеоконференції та посилання на неї. Перед початком авторизаційні дані необхідно розіслати кожному учаснику, а також перевірити присутність кожного учасника на інструктажі і тренінгу щодо кібергігієни.
Додатковими ресурсами для проведення інструктажів і тренінгів щодо кібергігієни можуть бути поліграфія (друковані матеріали, посібники, роздаткові матеріали), презентаційні матеріали (макети, плакати, постери, пам’ятки, брошури), а також інтерактивне програмне забезпечення ігрової, дискусійної, причино-наслідкової, сюжетної, рольової форми тощо.
- Під час етапу безпосереднього проведення інструктажу і тренінгу щодо кібергігієни проводиться:
представлення керівника (інструктора, фасилітатора) інструктажу і тренінгу щодо кібергігієни, оголошення теми, мети та завдань, плану заходу;
викладення теоретичного (лекційного) навчального матеріалу протягом відведеного часу згідно з планом-конспектом проведення інструктажу і тренінгу щодо кібергігієни;
відпрацювання практичних навичок реагування на конкретні навчальні ситуації;
перевірка засвоєння викладеного матеріалу шляхом проведення контрольних заходів.
- Теоретичний (лекційний) навчальний матеріал викладається відповідно до плану-конспекту проведення інструктажу і тренінгу щодо кібергігієни з урахуванням конкретних тем, таймлайнів, загального перебігу інструктажу і тренінгу щодо кібергігієни та питань, що формулюють учасники інструктажу і тренінгу щодо кібергігієни. Для кращого візуального сприйняття та засвоєння навчального матеріалу можуть бути застосовані презентаційні матеріали з переважною кількістю графічних елементів (схеми, діаграми, малюнки, ілюстрації), відео- та фотоматеріали тощо, а також спеціалізоване програмне забезпечення відповідно до пункту 18 цих Рекомендацій.
- Під час відпрацювання практичних навичок реагування на конкретні навчальні ситуації учасникам інструктажу і тренінгу щодо кібергігієни доцільно надати змогу на власному досвіді перевірити засвоєння прослуханого теоретичного матеріалу. Практичні вправи потребують чітко визначених завдань, конкретних варіантів відповіді та однозначності у трактуванні усіх частин вправи учасниками інструктажу і тренінгу щодо кібергігієни, а також повинні відповідати тематиці інструктажу і тренінгу щодо кібергігієни та переліку використаних тем щодо кібергігієни.
- Перевірка засвоєння викладеного матеріалу може відбуватися шляхом проведення одного або кількох контрольних заходів, а саме:
тестування (в письмовій формі або за допомогою інтерактивного програмного забезпечення);
усного опитування (повинно бути виключно індивідуальним задля уникнення булінгу та дискримінації);
практичного оцінювання за допомогою навчальних завдань.
Усі форми контрольних заходів повинні мати кількісну метрику оцінювання відповідно до результатів кожного учасника інструктажу і тренінгу щодо кібергігієни для проведення аналізу ефективності проведення інструктажу і тренінгу щодо кібергігієни.
- Під час етапу аналізу ефективності проведення інструктажу і тренінгу доцільно вжити таких заходів:
отримання та аналіз зворотного зв’язку від учасників заходу;
аналіз виконання контрольних заходів і конкретних результатів учасників;
формування пропозицій щодо покращення подальших інструктажів і тренінгів щодо кібергігієни.
- Після проведення інструктажу і тренінгу щодо кібергігієни керівник (інструктор, фасилітатор) інструктажу і тренінгу щодо кібергігієни може отримати у письмовій чи усній формі зворотний зв’язок від учасників заходу, що може містити інформацію про:
корисність та ефективність набутого теоретичного матеріалу; відповідність практичних вправ сучасним реаліям використання інформаційних технологій суб’єктами державного управління;
труднощі із засвоєнням теоретичного матеріалу (конкретних тем та питань), а також під час виконання практичних завдань;
рекомендації щодо покращення інструктажу і тренінгу щодо кібергігієни, пов’язані з організацією заходу, його всебічним забезпеченням, виправленням деяких неточностей (помилок) та акцентом на визначені теми.
- Аналіз виконання контрольних заходів і конкретних результатів учасників проводиться шляхом перевірки виконання контрольних заходів кожним учасником, оцінювання результатів та їх аналізу (у разі проведення таких заходів), що може містити:
формування кількісної оцінки та висновку для кожного учасника заходу; порівняння зворотного зв’язку конкретного учасника (усіх учасників) і його результатів;
визначення прогалин у засвоєнні теоретичного матеріалу та у виконанні практичних вправ;
визначення найскладніших для конкретного учасника (усіх учасників) питань і завдань.
- Покращення інструктажів і тренінгів щодо кібергігієни передбачає: зміну тематики заходу та переліку конкретних тем, що були використані для
викладення матеріалу;
зміну технічного та організаційного забезпечення заходу; переформатування заходу, зміну форми проведення та кількості учасників; зміну практичних навчальних ситуацій у зв’язку з неефективністю та втратою їх актуальності.
Т.в.о. директора Департаменту кіберзахисту
Адміністрації Держспецзв’язку майор Дмитро ПАХОЛЬЧЕНКО
