Підказки для впровадження контролю ISO 27001

Огляд

Ви знайдете практичні підказки для впровадження контролю Додатка A ISO 27001:2022 за допомогою ISMS Copilot — від розробки технічних конфігурацій до створення операційних робочих процесів, які демонструють ефективне впровадження заходів безпеки.

Для кого це призначено

Ці підказки розроблені для:

• IT та команд з безпеки, які впроваджують контролі Додатка A
• Системних адміністраторів, які налаштовують заходи безпеки
• DevOps-інженерів, які вбудовують безпеку в інфраструктуру
• Спеціалістів з комплаєнсу, які документують впровадження контролю

Перш ніж розпочати

Підказки для організаційних контролів (A.5)

Розробка ролей з інформаційної безпеки (A.5.1-A.5.3)

"Розробіть організаційну структуру для ролей з інформаційної безпеки відповідно до контролю ISO 27001:2022 A.5.1-A.5.3. Визначте: структуру управління інформаційною безпекою (комітети, лінії звітності), визначення ролей та обов'язків (CISO, команда безпеки, IT-команда, бізнес-підрозділи), матрицю розподілу обов'язків для запобігання конфліктам, шляхи ескалації для рішень з безпеки, інтеграцію з загальною організаційною структурою, механізми демонстрації зобов'язань керівництва та розподіл ресурсів для функції безпеки. Підходить для [розміру та структури компанії]."

Впровадження системи управління політиками (A.5.2)

"Розробіть систему управління політиками для підтримки наших політик ISO 27001 відповідно до контролю A.5.2. Включіть: структуру репозиторію політик та контроль доступу, робочий процес життєвого циклу політики (чернетка, перегляд, затвердження, публікація, виведення з експлуатації), контроль версій та відстеження змін, графік перегляду політик та нагадування, процес консультацій зі стейкхолдерами, органи затвердження політик за типом політики, відстеження комунікації політик та підтвердження ознайомлення, управління винятками з політик та інтеграцію з онбордингом співробітників."

Налаштування управління активами (A.5.9)

"Впровадьте систему інвентаризації та управління активами для контролю ISO 27001 A.5.9. Розробіть: методи виявлення активів (автоматичне сканування, ручна реєстрація), атрибути активів для відстеження (власник, класифікація, розташування, залежності, статус життєвого циклу), робочий процес призначення власника активу, процес маркування класифікації, механізми забезпечення прийнятного використання, інтеграцію з CMDB або системою управління IT-активами, відстеження життєвого циклу активів (від закупівлі до утилізації) та панелі звітності для нагляду за активами."

Розробка рамок контролю доступу (A.5.15-A.5.18)

"Розробіть комплексну рамку контролю доступу для контролю ISO 27001 A.5.15-A.5.18 з використанням [вашої системи ідентифікації, наприклад, Azure AD, Okta]. Включіть: управління життєвим циклом ідентичності (надання, зміни, деактивація), модель ролевого контролю доступу (RBAC) з ролями, прив'язаними до функцій роботи, робочий процес запиту та затвердження доступу, стратегію управління привілейованим доступом, механізми автентифікації (SSO, MFA, безпарольний доступ), моделі авторизації (RBAC, ABAC), процес та графік перегляду доступу та технічну реалізацію в [вашій системі каталогів]."

Приклад: "Розробіть комплексну рамку контролю доступу для контролю A.5.15-A.5.18 з використанням Azure AD з умовним доступом. Наше середовище: 200 користувачів, SaaS-додатки, хмарна інфраструктура Azure, робочі станції з привілейованим доступом для адміністраторів."

Підказки для контролів персоналу (A.6)

Створення процесу перевірки безпеки (A.6.1)

"Створіть процес перевірки та верифікації анкетних даних співробітників для контролю ISO 27001 A.6.1. Визначте: вимоги до перевірки залежно від чутливості ролі (стандартна, підвищена, привілейована), перевірки перед працевлаштуванням (кримінальні записи, історія працевлаштування, освіта, рекомендації, кредитна історія для фінансових ролей), терміни перевірки в процесі найму, вимоги до сторонніх постачальників послуг з перевірки, особливості для міжнародних кандидатів, тригери для повторної перевірки (зміна ролі, інциденти безпеки), дотримання згоди кандидата та конфіденційності, зберігання записів та інтеграцію з процесом онбордингу в HR."

Впровадження програми обізнаності з безпеки (A.6.3)

"Розробіть комплексну програму з підвищення обізнаності та навчання з безпеки для контролю ISO 27001 A.6.3. Включіть: базове навчання з обізнаності з безпеки (теми змісту, метод доставки, тривалість, частота), контрольний список з орієнтації нових співробітників з безпеки, навчальні треки за ролями (розробники, адміністратори, менеджери, весь персонал), програму імітації фішингових атак (частота, рівні складності, тригери для додаткового навчання), стратегію комунікацій з безпеки (інформаційні бюлетені, сповіщення, кампанії), вимірювання ефективності навчання (тести, опитування, кореляція з інцидентами), інтеграцію з системою управління навчанням та відстеження відповідності та звітність."

Налаштування дисциплінарного процесу (A.6.4)

"Розробіть дисциплінарний процес для порушень політики безпеки відповідно до контролю ISO 27001 A.6.4. Визначте: категорії порушень та рівні серйозності, процедури розслідування підозрюваних порушень, дисциплінарні заходи за типом порушення (попередження, тимчасове відсторонення, звільнення), органи ескалації та затвердження, вимоги до документування, права співробітників та належний процес, інтеграцію з дисциплінарними процедурами HR, конфіденційність та приватність під час розслідувань та протоколи комунікації для конфіденційних випадків."

Підказки для фізичних контролів (A.7)

Розробка фізичних засобів контролю доступу (A.7.1-A.7.2)

"Розробіть фізичні засоби безпеки для наших приміщень відповідно до контролю ISO 27001 A.7.1-A.7.2. Включіть: визначення периметра безпеки та фізичних бар'єрів, точки входу та механізми контролю доступу (зчитувачі карток, біометрія, шлюзи), процес управління відвідувачами (реєстрація, супровід, повернення бейджів), зони безпеки та обмеження доступу (загальнодоступні, для співробітників, обмежені, серверні кімнати), системи спостереження (розміщення камер CCTV, запис, зберігання), персонал служби безпеки та процедури патрулювання, процедури доступу у неробочий час та інтеграцію між фізичними та логічними системами доступу."

Впровадження безпеки обладнання (A.7.7-A.7.8)

"Створіть процедури безпеки для чистого столу, чистого екрану та обладнання відповідно до контролю ISO 27001 A.7.7-A.7.8. Визначте: вимоги до чистого столу (наприкінці дня, поводження з конфіденційними матеріалами), політики чистого екрану (блокування за тайм-аутом, захисні екрани, розташування моніторів), положення про безпечне зберігання (замкнені шафи, сейфи), розміщення обладнання для запобігання несанкціонованому перегляду, обмеження для зон для відвідувачів, застосування для віддаленої роботи, перевірки відповідності та аудит, навчання та нагадування для співробітників та механізми забезпечення виконання."

Розробка процесу безпечної утилізації (A.7.10, A.7.14)

"Впровадьте процес безпечної утилізації обладнання та носіїв відповідно до контролю ISO 27001 A.7.10 та A.7.14. Включіть: типи носіїв у сфері дії (папір, жорсткі диски, SSD, USB-накопичувачі, мобільні пристрої, стрічки для резервного копіювання), методи утилізації за типом носія (подрібнення, розмагнічування, криптографічне стирання, фізичне знищення), процедури верифікації санітаризації даних, вимоги до сертифіката знищення, управління та нагляд за постачальниками послуг з утилізації, відстеження утилізації та журнали аудиту, робочий процес затвердження утилізації для чутливих систем та дотримання екологічних та нормативних вимог."

Підказки для технологічних контролів (A.8)

Налаштування безпечної автентифікації (A.8.5)

"Впровадьте засоби безпечної автентифікації для контролю ISO 27001 A.8.5 з використанням [вашого постачальника ідентифікації]. Налаштуйте: багатофакторну автентифікацію (MFA) — реєстрацію та примусове застосування залежно від рівня ризику користувача, методи автентифікації (додатки-аутентифікатори, апаратні токени, біометрія, SMS як резервний варіант), політики умовного доступу (місцезнаходження, пристрій, рівень ризику), єдиний вхід (SSO) для інтегрованих додатків, управління сеансами (тайм-аут, одночасні сеанси), автентифікацію облікових записів служб, автентифікацію та авторизацію API, варіанти безпарольної автентифікації та моніторинг невдалих спроб автентифікації та аномалій."

Приклад: "Впровадьте безпечну автентифікацію для контролю A.8.5 з використанням Azure AD. Налаштуйте MFA для всіх користувачів, умовний доступ на основі ризику входу, відповідності пристрою та місцезнаходження. Увімкніть безпарольний доступ для керівників за допомогою Windows Hello та ключів FIDO2."

Розробка управління привілейованим доступом (A.8.2-A.8.3)

"Впровадьте систему управління привілейованим доступом для контролю ISO 27001 A.8.2-A.8.3. Розробіть: інвентаризацію та класифікацію привілейованих облікових записів, робочий процес запиту та затвердження привілейованого доступу (доступ за потребою), робочі станції з привілейованим доступом (PAW) для адміністративних завдань, запис та моніторинг сеансів для привілейованих дій, зберігання паролів для привілейованих облікових даних (з використанням [рішення PAM]), автоматичне обертання паролів, процедури аварійного доступу (break-glass), перегляд та пересертифікацію привілейованого доступу та аудитне ведення журналу привілейованих дій."

Впровадження обмеження доступу (A.8.1)

"Налаштуйте обмеження доступу до мережі та інформації для контролю ISO 27001 A.8.1. Впровадьте: стратегію сегментації мережі та мікросегментації, правила брандмауера на основі принципу найменших привілеїв, засоби контролю доступу на рівні додатків (автентифікація, авторизація), обмеження доступу до даних за рівнем класифікації, механізми забезпечення принципу "потрібно знати", розділення середовищ розробки, тестування та виробництва, засоби контролю віддаленого доступу (VPN, zero trust, умовний доступ) та ведення журналу доступу та моніторинг усіх обмежених ресурсів."

Налаштування безпеки інформаційних систем (A.8.9-A.8.11)

"Впровадьте управління конфігурацією та зміцнення для контролю ISO 27001 A.8.9-A.8.11. Включіть: базові конфігурації безпеки для [ваших ОС/платформ], підтримку бази даних управління конфігурацією (CMDB), стандарти та контрольні списки зміцнення, виявлення та усунення відхилень конфігурації, шаблони безпечної конфігурації для нових систем, регулярні аудити конфігурації, контроль змін для змін конфігурації, резервне копіювання та відновлення конфігурації та інтеграцію з управлінням вразливостями для виявлення неправильних конфігурацій."

Розробка запобігання витоку даних (A.8.12)

"Впровадьте засоби запобігання витоку даних для контролю ISO 27001 A.8.12. Розробіть: інтеграцію класифікації даних (автоматичне маркування), політики DLP для різних типів даних (PII, платіжні дані, інтелектуальна власність, конфіденційні дані), канали моніторингу (електронна пошта, веб, USB, хмарні додатки, друк), дії політик (сповіщення, блокування, шифрування, карантин), навчання користувачів щодо сповіщень DLP, робочий процес винятків та затвердження політик DLP, реагування на інциденти щодо порушень DLP та метрики ефективності DLP та налаштування."

Впровадження засобів резервного копіювання (A.8.13)

"Налаштуйте систему резервного копіювання та відновлення для контролю ISO 27001 A.8.13. Впровадьте: обсяг резервного копіювання (всі критичні системи та дані), частоту резервного копіювання за рівнем системи (безперервно, щогодини, щодня, щотижня), політику зберігання резервних копій (GFS — дід-батько-син), сховище резервних копій (локально, поза сайтом, у хмарі), шифрування резервних копій під час передачі та зберігання, перевірку цілісності резервних копій, графік тестування відновлення, автоматичний моніторинг резервного копіювання та сповіщення та інтеграцію з аварійним відновленням з цілями RTO/RPO."

Налаштування ведення журналу та моніторингу (A.8.15-A.8.16)

"Впровадьте комплексне ведення журналу та моніторинг для контролю ISO 27001 A.8.15-A.8.16 з використанням [вашого інструменту SIEM]. Налаштуйте: джерела журналів та типи подій для збору (автентифікація, доступ, зміни, події безпеки, помилки), централізацію та агрегацію журналів у SIEM, зберігання журналів за типом журналу та нормативними вимогами, захист журналів (цілісність, контроль доступу, шифрування), правила моніторингу та сповіщення в реальному часі, логіку виявлення та сценарії безпеки, процедури та обов'язки перегляду журналів, робочі процеси розслідування інцидентів та панель моніторингу для операцій безпеки."

Приклад: "Впровадьте ведення журналу та моніторинг для контролю A.8.15-A.8.16 з використанням Microsoft Sentinel. Збирайте журнали з Azure AD, Office 365, ресурсів Azure, локального AD, брандмауерів та кінцевих точок. Налаштуйте виявлення для атак грубої сили, підвищення привілеїв, витоку даних та шкідливого ПЗ."

Розробка криптографічних засобів контролю (A.8.24)

"Впровадьте криптографічні засоби контролю для контролю ISO 27001 A.8.24. Налаштуйте: шифрування даних у стані спокою (бази даних, файлові сховища, резервні копії) з використанням [методу шифрування], шифрування даних під час передачі (TLS 1.2+, затверджені набори шифрів), систему управління ключами (генерація, зберігання, обертання, знищення), депонування ключів шифрування для сценаріїв відновлення, управління цифровими сертифікатами та PKI, затверджені криптографічні алгоритми та довжини ключів, хмарне шифрування (ключі, керовані клієнтом, проти ключів, керованих постачальником) та аудит та перевірку відповідності криптографічних засобів контролю."

Впровадження управління вразливостями (A.8.8)

"Розробіть програму управління вразливостями для контролю ISO 27001 A.8.8 з використанням [ваших інструментів сканування]. Впровадьте: графік сканування вразливостей (щотижневі автентифіковані сканування для критичних систем, щомісячні для всіх систем), охоплення сканування (мережа, додатки, контейнери, хмарна інфраструктура), класифікацію серйозності вразливостей та SLA (критичні протягом 24 годин, високі протягом 7 днів, середні протягом 30 днів), робочий процес управління патчами та тестування, компенсаційні засоби контролю для систем, які неможливо пропатчити, обробку розкриття вразливостей, метрики та звітність для керівництва та інтеграцію з управлінням активами та змінами."

Налаштування безпечної розробки (A.8.25-A.8.31)

"Впровадьте життєвий цикл безпечної розробки для контролю ISO 27001 A.8.25-A.8.31. Розробіть: вимоги до безпеки в процесі розробки, моделювання загроз для нових функцій, стандарти безпечного кодування для [ваших мов програмування], процес перегляду коду з акцентом на безпеку, статичне тестування безпеки додатків (SAST) у конвеєрі CI/CD, динамічне тестування (DAST) перед розгортанням, сканування залежностей та сторонніх бібліотек, тестування безпеки на етапі QA, управління даними розробки/тестування (маскування даних, синтетичні дані) та перевірки безпеки перед розгортанням у виробництво."

Розробка управління змінами (A.8.32)

"Впровадьте систему управління змінами для контролю ISO 27001 A.8.32 з використанням [вашого інструменту управління змінами]. Налаштуйте: процес запиту на зміну та затвердження, категорізацію змін (стандартні, звичайні, екстрені), оцінку ризиків для змін, процес консультативної ради зі змін (CAB), вимоги до тестування перед впровадженням, вікна впровадження та періоди заборони змін, процедури відкату та критерії, огляд після впровадження, процес екстрених змін з ретроактивним затвердженням та аналітику та метрики змін (рівень успіху, інциденти, спричинені змінами)."

Підказки для впровадження управління інцидентами

Створення можливостей реагування на інциденти (A.5.24-A.5.28)

"Впровадьте програму реагування на інциденти безпеки для контролю ISO 27001 A.5.24-A.5.28. Розробіть: джерела виявлення інцидентів (SIEM, EDR, повідомлення користувачів, розвідка загроз), класифікацію інцидентів та рівні серйозності, структуру команди реагування на інциденти та чергування чергових, сценарії реагування на інциденти за типом (програми-вимагачі, витік даних, DDoS, загрози зсередини), процедури збору доказів та судової експертизи, план комунікацій (внутрішня ескалація, сповіщення клієнтів, звітність регуляторам), систему відстеження інцидентів та управління справами, процес огляду після інциденту та винесення уроків та навчання за столом та тестування реагування на інциденти."

Налаштування виявлення подій безпеки (A.8.16)

"Розробіть виявлення та реагування на події безпеки з використанням [ваших інструментів SIEM/EDR]. Впровадьте: сценарії використання безпеки та правила виявлення (аномалії автентифікації, горизонтальне переміщення, витік даних, підвищення привілеїв, виконання шкідливого ПЗ), інтеграцію розвідки загроз, поведінкову аналітику та машинне навчання для виявлення аномалій, налаштування сповіщень та зменшення хибнопозитивних результатів, робочий процес тріажу та розслідування сповіщень, автоматизовані дії реагування (вимкнення облікового запису, карантин, блокування IP), сценарії SOC для поширених сценаріїв та відстеження та покращення MTTR (середнього часу реагування)."

Підказки для впровадження безперервності бізнесу

Розробка програми безперервності бізнесу (A.5.29-A.5.30)

"Впровадьте програму безперервності бізнесу та аварійного відновлення для контролю ISO 27001 A.5.29-A.5.30. Створіть: аналіз впливу на бізнес (BIA) для визначення критичних функцій, цілі часу відновлення (RTO) та цілі точки відновлення (RPO) за бізнес-функцією, стратегії безперервності (надлишковість, перемикання на резерв, обхідні шляхи, ручні процеси), альтернативні місця обробки або хмарне аварійне відновлення, плани комунікацій під час збоїв, ролі та обов'язки команди з безперервності бізнесу, графік тестування плану безперервності (настільні навчання щорічно, повне тестування кожні 2 роки), тригери для оновлення плану та інтеграцію з реагуванням на інциденти та управлінням кризовими ситуаціями."

Впровадження безперервності ІКТ (A.8.14)

"Розробіть безперервність та надлишковість ІКТ для контролю ISO 27001 A.8.14. Впровадьте: надлишковість систем та високу доступність для критичних систем, механізми автоматичного перемикання на резерв, реплікацію даних (синхронну для критичних, асинхронну для інших), сайт аварійного відновлення або хмарний регіон, перевірку RTO та RPO через тестування, процедури повернення до основного сайту після відновлення, надлишковість постачальників для критичних послуг та інтеграцію з процесами відновлення резервних копій з контролю A.8.13."

Підказки для впровадження управління постачальниками

Розробка програми безпеки постачальників (A.5.19-A.5.23)

"Впровадьте програму управління безпекою третіх сторін для контролю ISO 27001 A.5.19-A.5.23. Створіть: класифікацію ризиків постачальників (високий/середній/низький на основі доступу до даних та критичності), процес оцінки безпеки постачальників та анкетування, вимоги до безпеки в процесі закупівель, контрактні вимоги до безпеки (заходи безпеки, права на аудит, сповіщення про інциденти, зобов'язання щодо відповідності), перевірку безпеки під час онбордингу постачальника, постійний моніторинг та огляд продуктивності постачальників, управління доступом постачальників та обмеження, координацію реагування на інциденти з постачальниками та процедури офбордингу постачальників та повернення даних."

Налаштування безпеки хмарних сервісів (A.5.23)

"Впровадьте засоби контролю безпеки хмарних сервісів відповідно до контролю ISO 27001 A.5.23 для [ваших хмарних провайдерів]. Охопіть: розуміння та документування моделі спільної відповідальності, перевірку безпеки хмарного провайдера (SOC 2, ISO 27001, FedRAMP), специфічні для хмари конфігурації безпеки (IAM, шифрування, мережа, ведення журналів), вимоги до суверенітету та резидентності даних, інструменти управління безпекою хмарної позиції (CSPM), брокер безпеки доступу до хмари (CASB), якщо використовується кілька SaaS, узгодженість безпеки в багатьох хмарах та координацію реагування на інциденти з хмарним провайдером."

Підказки для впровадження комплаєнсу та правових аспектів

Впровадження засобів контролю конфіденційності (A.5.33-A.5.34)

"Розробіть програму захисту конфіденційності для контролю ISO 27001 A.5.33-A.5.34 та відповідності GDPR. Впровадьте: процес виконання прав суб'єктів даних (доступ, виправлення, видалення, перенесення), конфіденційність за замовчуванням у нових проектах та системах, тригери та процес оцінки впливу на конфіденційність (PIA), управління згодою для маркетингу та необов'язкової обробки, записи обробки даних та інвентаризацію, автоматизацію зберігання та видалення даних, механізми трансграничної передачі даних (SCC, рішення про адекватність) та обов'язки уповноваженого з захисту даних (DPO) або команди з конфіденційності."

Розробка управління комплаєнсом (A.5.31)

"Впровадьте систему управління комплаєнсом для контролю ISO 27001 A.5.31. Створіть: інвентаризацію зобов'язань щодо комплаєнсу (юридичні, нормативні, контрактні вимоги), моніторинг комплаєнсу та зіставлення засобів контролю, графік оцінки комплаєнсу, процес моніторингу змін у регуляторних вимогах, навчання з комплаєнсу для відповідного персоналу, звітність з комплаєнсу для керівництва та ради директорів, оцінку ризиків комплаєнсу, зовнішню перевірку комплаєнсу (аудити, оцінки) та зберігання записів як доказів комплаєнсу відповідно до [чинних нормативних актів]."

Підказки для тестування та верифікації

Розробка тестування ефективності контролю

"Створіть програму тестування та валідації засобів контролю для перевірки ефективності контролю Додатка A. Для контролю [номер контролю] розробіть: цілі та обсяг тестування, методологію тестування (огляд документів, спостереження, технічне тестування, повторне виконання), підхід до вибірки та розмір вибірки, частоту тестування (безперервний моніторинг, щоквартально, щорічно), очікувані докази та критерії успіху/невдачі, інструменти тестування та автоматизацію, вимоги до незалежності тестувальників, звітність про недоліки та їх усунення та документацію тестування для аудиторських доказів."

Проведення огляду контролю

"Створіть документ огляду контролю для контролю Додатка A [номер та назва контролю]. Включіть: опис та мету контролю, посилання на політику та процедури, покроковий опис процесу (опис та діаграма), ролі та обов'язки на кожному етапі, задіяні системи та інструменти, вхідні та вихідні дані, точки контролю та перевірки, винятки та ескалації та докази, що генеруються контролем. Використовуйте це для навчання персоналу та демонстрації аудиторам."

Підказки для інтеграції та автоматизації

Автоматизація впровадження контролю

"Розробіть автоматизацію для контролю ISO 27001 [номер контролю] з використанням [ваших інструментів автоматизації, наприклад, PowerShell, Terraform, Ansible]. Створіть: цілі та обсяг автоматизації, технічний підхід до впровадження, сценарії автоматизації або інфраструктуру як код, тестування та валідацію автоматизації, обробку помилок та відкат, планування та оркестрацію, ведення журналу та аудитний слід автоматизованих дій, точки ручного втручання та документацію для обслуговування та усунення несправностей автоматизації."

Інтеграція інструментів безпеки

"Розробіть стратегію інтеграції інструментів безпеки для підтримки контролю ISO 27001. Інтегруйте: постачальника ідентифікації (AD/Azure AD/Okta), SIEM (Splunk/Sentinel/Chronicle), EDR (CrowdStrike/Defender/SentinelOne), сканер вразливостей (Qualys/Rapid7/Tenable), рішення PAM, інструмент DLP, CASB та систему обробки заявок. Для кожної інтеграції визначте: потоки даних, конфігурації API, робочі процеси сповіщень, можливості автоматизації та звітність на єдиній панелі управління."

Поради щодо ефективного використання цих підказок

Пов'язані бібліотеки підказок

Завершіть впровадження ISO 27001 за допомогою цих пов'язаних колекцій підказок:

• [Підказки для оцінки ризиків ISO 27001](/ISO 27001 prompt library)
• [Підказки для політик та процедур ISO 27001](/ISO 27001 prompt library)
• [Підказки для підготовки до аудиту ISO 27001](/ISO 27001 prompt library)
• [Бібліотека підказок SOC 2](/SOC 2 prompt library)

Отримання допомоги

Для підтримки з впровадження засобів контролю:

• Розуміння вимог: Ознайомтеся з посібником з оцінки ризиків ISO 27001, щоб зрозуміти, які засоби контролю вирішують ваші ризики
• Створення документації: Використовуйте [підказки для політик та процедур](/ISO 27001 prompt library), щоб документувати ваші впровадження
• Використовуйте ШІ відповідально: Прочитайте Як використовувати ISMS Copilot відповідально для отримання рекомендацій з впровадження