НЦУ хоче отримати карту українського інтернету, цікаво що буде як її отримає ворог

Особиста думка експерта

Колеги, зверніть увагу на розпорядження НЦУ від 15.09.2026 № 708/4503 «Про невідкладні організаційно-технічні заходи щодо забезпечення сталого функціонування електронних комунікаційних мереж» - пише Іван Пєтухов.

На перший погляд — цілком правильна мета. Хто ж буде заперечувати проти сталого функціонування мереж під час війни?

Але варто уважно прочитати пункт 10 цього документа.

До 29 вересня 2026 року постачальники мають надати НЦУ інформацію, зокрема про:

• AS та використовувані автономні системи;
• основні та резервні зовнішні BGP-з'єднання;
• постачальників IP-транзиту;
• точки обміну Інтернет-трафіком;
• територіально відокремлені вузли та технічні майданчики;
• резервні маршрути зовнішньої зв'язності;
• резервне активне обладнання;
• виявлені критичні точки відмови;
• заходи, які вже вжиті або плануються для зменшення ризиків.

І ось тут виникає принципове питання.

Ми точно розуміємо, який обсяг інформації пропонується зібрати в одному державному центрі?

Це вже не просто статистика про кількість абонентів або загальна інформація про оператора.

Фактично йдеться про детальний опис мережевої архітектури.

Хто є транзитним партнером. Де знаходяться точки обміну. Які існують резервні маршрути. Де розташовані відокремлені вузли. Яке резервне обладнання використовується. Де оператор бачить критичні точки відмови.

Для мирного часу це вже чутлива корпоративна інформація.

Під час повномасштабної війни — це інформація зовсім іншого рівня чутливості.

І тут я маю дуже просте питання

Хто зможе отримати всю цю інформацію?

Як вона буде зберігатися?

Який порядок доступу?

Скільки людей матимуть до неї доступ?

Чи буде вона централізовано акумулюватися?

Які механізми передбачені на випадок компрометації цієї бази?

І найголовніше:

що станеться, якщо ця інформація одного дня опиниться не там, де повинна?

Не треба бути великим кіберекспертом, щоб зрозуміти проблему.

Окремий оператор знає архітектуру власної мережі.

Інший оператор знає свою.

Третій — свою.

А тепер з'являється можливість зібрати значну частину цієї інформації в одному місці.

Тобто створити інформаційний концентратор, який потенційно може стати надзвичайно цінною ціллю для кібератаки.

Парадокс «стійкості»

Ми всі хочемо підвищити стійкість українського Інтернету.

Але стійкість — це не тільки резервний канал і запасне обладнання.

Це ще й відсутність єдиної точки відмови.

І саме тут виникає парадокс.

Ми будуємо децентралізовані мережі, створюємо резервні маршрути, територіально розносимо вузли, використовуємо різних транзитних операторів.

А потім можемо створити одну централізовану точку, де буде зібрана інформація про те, як усе це працює.

Чи не суперечить це самій філософії стійкості?

Державі потрібна інформація — але яка саме?

Я не стверджую, що НЦУ взагалі не має права отримувати інформацію від операторів.

Навпаки, у воєнний час держава повинна мати необхідні інструменти для забезпечення роботи електронних комунікацій.

Але між необхідною інформацією та детальною картою мережі кожного оператора є величезна різниця.

Якщо держава вимагає настільки деталізовану інформацію, вона повинна чітко пояснити:

для вирішення якої конкретної задачі потрібен кожен із цих масивів даних?

Яким чином знання про конкретні BGP-з'єднання, транзитних постачальників, резервні маршрути, точки обміну та критичні точки відмови безпосередньо допоможе оператору забезпечити стійкість?

І чому для досягнення цієї мети недостатньо менш деталізованої інформації?

Поки переконливої відповіді на ці питання я не бачу.

ІнАУ вже проходила цей шлях

Особливо дивно, що це питання вже виникало раніше.

У лютому 2026 року ІнАУ вже виступала проти аналогічної спроби масштабного збору інформації про мережі.

Тоді вдалося донести до державних органів просту думку:

безпека українського Інтернету — це передусім його децентралізація.

І створення єдиного місця концентрації критично важливої інформації може перетворити цю систему на потенційну «єдину точку відмови».

Тепер історія повторюється.

Тільки цього разу перелік інформації виглядає особливо детальним.

Можливо, перед відправленням таких вимог варто поставити себе на місце оператора

Уявімо, що я керую провайдером.

Мені кажуть:

«Розкажіть державі, через кого ви отримуєте IP-транзит, де у вас точки обміну, які у вас резервні маршрути, де територіально рознесені вузли, яке резервне обладнання використовується і які точки мережі ви самі вважаєте критичними».

А тепер поставимо дзеркальне питання:

чи готова держава гарантувати такий самий рівень захисту цієї інформації, який оператор забезпечує для власної мережі?

І якщо так — якими конкретно технічними та організаційними механізмами?

Бо просто написати «інформація буде захищена» — недостатньо.

Особливо у воєнний час.

Не можна плутати контроль із безпекою

Є дуже небезпечна управлінська спокуса:

чим більше інформації зібрати — тим краще ми контролюємо ситуацію.

Але в кібербезпеці це не завжди працює.

Іноді надмірна концентрація інформації створює новий ризик, якого до цього не існувало.

Тому питання до НЦУ не в тому, чому ви хочете знати, як працюють мережі.

Питання набагато простіше:

чому вам потрібно знати настільки багато і чому ця інформація повинна бути зібрана саме в одному місці?

Це питання сьогодні має поставити собі не лише ІнАУ.

Його мають поставити всі оператори.

І всі державні органи, які відповідають за кібербезпеку та стійкість українських електронних комунікацій.

Бо захист українського Інтернету — це не створення максимально повної карти його вразливостей.

Іноді найбезпечніша інформація — та, яку не зібрали в одному місці без доведеної необхідності.