Проектирование Системы Защиты Информации (СЗИ) силами сторонней организации: Нормативно-методологическая база и проектный подход

Введение: Контекст, Цели и Терминологическая Основа

В условиях нарастающей цифровизации всех сфер экономики и государственного управления, а также перманентного роста киберугроз, проектирование и внедрение систем защиты информации (СЗИ) приобретает не просто важное, но критически значимое государственное значение. В Российской Федерации этот процесс жестко регламентирован, что требует от специалистов не только глубоких инженерных знаний, но и скрупулезного следования актуальной нормативно-правовой базе. Если не соблюдать эти требования, проект может быть признан нелегитимным, а организация-заказчик понесет серьезные регуляторные риски.

Данный материал разработан как исчерпывающая методологическая основа для создания выпускной квалификационной работы (ВКР), посвященной проектированию СЗИ силами сторонней организации. Наша цель — структурировать и детально раскрыть все этапы проектного цикла, начиная с правового обоснования деятельности подрядчика и заканчивая оценкой эффективности внедренных решений, основываясь исключительно на действующих российских стандартах и приказах регуляторов (ФСТЭК и ФСБ России).

Структура представленного материала соответствует логике академической ВКР, охватывая:

1. Аналитический раздел: Определение терминологической базы и анализ нормативных требований к исполнителю.
2. Методологический раздел: Процедуры предпроектного анализа, моделирования угроз и выбора мер защиты.
3. Проектный раздел: Стадии разработки и состав проектной документации по стандартам ГОСТ серии 34.
4. Практический раздел: Специфика защиты различных типов информационных систем (ГИС, ПДн, КИИ) и методики оценки эффективности.

Описание ключевых нормативных определений: Угроза, Уязвимость, Защита информации

Фундаментом любой работы в области информационной безопасности является единая и непротиворечивая терминология, которая в РФ закреплена в национальных стандартах. Ключевым документом здесь выступает ГОСТ Р 50922-2006 «Защита информации. Основные термины и определения».

Согласно этому стандарту, базовые элементы анализа и проектирования СЗИ определяются следующим образом:

Термин	Определение согласно ГОСТ Р 50922-2006	Роль в проекте СЗИ
Защита информации (ЗИ)	Деятельность, направленная на предотвращение утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию.	Конечная цель всего проекта СЗИ.
Угроза (безопасности информации)	Совокупность условий и факторов, создающих потенциальную или реально существующую опасность нарушения безопасности информации.	Отправная точка для моделирования; определяет, от чего именно должна защищать СЗИ.
Уязвимость	Свойство информационной системы, обусловливающее возможность реализации угроз безопасности.	Слабое место, которое необходимо устранить или компенсировать защитными мерами.
Актив	Информация, ресурсы и процессы, имеющие ценность для организации, требующие защиты. (Определение часто дополняется из ISO/IEC 27000).	Объект, которому может быть нанесен ущерб в результате реализации угрозы.

Таким образом, проектирование СЗИ — это структурированный процесс, направленный на нейтрализацию выявленных угроз путем устранения или компенсации уязвимостей в отношении ценных активов организации. Это означает, что без четкого определения активов и моделирования угроз, любая СЗИ будет не более чем набором оборудования без реальной эффективности.

Нормативно-правовое регулирование и субъект проектирования СЗИ

Привлечение сторонней организации для проектирования СЗИ — это не просто аутсорсинг инженерных работ, а делегирование ответственности в критически важной сфере. В отличие от общих IT-услуг, деятельность по защите конфиденциальной информации в России находится под строгим государственным контролем. Этот аспект является краеугольным камнем для ВКР, посвященной проектированию СЗИ силами подрядчика.

Обязательное лицензирование деятельности по технической защите конфиденциальной информации (ТЗКИ)

Ключевой тезис заключается в том, что сторонний исполнитель не имеет права приступать к проектированию СЗИ, если эта деятельность связана с технической защитой конфиденциальной информации, без наличия соответствующей лицензии. Игнорирование этого факта несет прямую юридическую ответственность для обеих сторон.

Требования к соискателям лицензии ФСТЭК России на деятельность по ТЗКИ установлены Постановлением Правительства РФ от 3 февраля 2012 г. № 79. Это Постановление четко определяет рамки, в которых может действовать подрядчик.

Лицензия ФСТЭК России на ТЗКИ дает право на выполнение широкого спектра работ, среди которых:

• Контроль защищенности информации.
• Проектирование в защищенном исполнении.
• Установка, монтаж, наладка и испытания СЗИ.
• Аттестация объектов информатизации.

Если деятельность подрядчика также включает разработку и производство самих средств защиты, или работу с криптографическими средствами, ему потребуется дополнительная лицензия ФСТЭК на разработку и производство СЗКИ (Постановление Правительства РФ от 3 марта 2012 г. № 171) или лицензия ФСБ России.

Кадровые и технические требования к подрядной организации

Лицензирование является гарантией не только правовой возможности, но и профессиональной компетентности исполнителя. Постановление Правительства РФ № 79 устанавливает строгие требования к кадровому составу подрядчика, которые служат своего рода «фильтром качества»:

1. Профильное образование и опыт: Подрядная организация должна иметь в штате не менее двух работников, которые будут непосредственно выполнять работы по ТЗКИ (включая проектирование).
2. Квалификация персонала: Эти специалисты должны соответствовать одному из следующих критериев:
   • Наличие высшего профессионального образования в области ИБ и стаж работы в этой области не менее 3 лет.
   • Наличие любого высшего образования, стаж работы в области ИБ не менее 3 лет и прохождение профессиональной переподготовки по специальности ИБ в объеме не менее 360 часов.

Эти требования гарантируют заказчику, что процесс проектирования СЗИ будет осуществляться специалистами, обладающими как теоретической базой, так и достаточным практическим опытом, что критически важно для комплексных проектов, таких как защита ГИС или КИИ. Более того, именно эти требования к кадрам определяют итоговую стоимость и сроки выполнения работ.

Методология предпроектного анализа: Формирование требований к защите информации

Проектирование СЗИ — это не просто выбор и установка программно-аппаратных комплексов. Это инженерный процесс, начинающийся с глубокого аналитического этапа, на котором формируются требования к будущей системе. Если этот этап выполнен некорректно, все последующие инвестиции в защиту окажутся неэффективными или избыточными. Разработка Модели угроз является здесь определяющей.

Классификация объекта защиты и определение актуальных угроз

Прежде чем определить, как защищать информацию, необходимо понять, что именно мы защищаем и от кого.

Процесс классификации системы является основополагающим, поскольку он напрямую определяет, какие нормативные требования будут применяться, и какой набор мер защиты (базовый профиль) потребуется реализовать:

1. Идентификация вида ИС: Определение, является ли система Государственной информационной системой (ГИС), Информационной системой персональных данных (ИСПДн), Автоматизированной системой управления технологическими процессами (АСУ ТП) или значимым объектом Критической информационной инфраструктуры (КИИ).
2. Определение класса/уровня защищенности: В зависимости от вида ИС, устанавливаются классы (К1, К2, К3 для ГИС), уровни защищенности (У1-У4 для ИСПДн) или категории значимости (для КИИ). Этот этап регламентируется Приказами ФСТЭК № 17, № 21 и № 31 соответственно.

Только после классификации можно переходить к анализу актуальных угроз, который должен быть проведен в соответствии с нормативно закрепленной методикой.

Разработка Модели угроз и нарушителя: Применение Методики ФСТЭК России (2021 г.)

Разработка модели угроз и нарушителя — это ключевой продукт предпроектного анализа, который ложится в основу Технического задания на создание СЗИ. На сегодняшний день в РФ действует Методика оценки угроз безопасности информации ФСТЭК России, утвержденная 5 февраля 2021 г., которая заменила собой множество ранее действовавших документов, унифицировав подход к моделированию для всех типов систем.

Структура Модели угроз и нарушителя

Модель угроз и нарушителя рекомендуется оформлять в виде отдельного документа с ограниченным доступом, включающего следующие обязательные разделы:

1. Описание информационной инфраструктуры: Детализация объекта защиты, включая границы ИС, состав технических средств, информационных потоков и мест хранения активов.
2. Модель нарушителя: Определяет потенциальные типы нарушителей (внутренние, внешние), их потенциал, цели и мотивы. Потенциал нарушителя (например, низкий, средний, высокий) напрямую влияет на выбор сложности и достаточности мер защиты.
3. Обоснование актуальности угроз: Этот раздел требует скрупулезного анализа. Актуальность угроз определяется на основе:
   • Источников угроз: Угрозы из внешнего или внутреннего окружения ИС.
   • Сведений о наличии уязвимостей: Использование результатов аудита или сканирования.
   • Перечня угроз ФСТЭК: Обязательное использование Банка данных угроз безопасности информации (БДУ) ФСТЭК России. БДУ является официальным источником информации о действующих и потенциальных угрозах, а также об уязвимостях.

Применение Методики ФСТЭК (2021 г.) позволяет точно определить базовый набор мер, необходимых для нейтрализации актуальных угроз, что является прямым требованием для перехода к разработке проектных решений. Если модель угроз составлена неверно или не соответствует новой методике, последующая аттестация системы будет невозможна.

Стадии создания СЗИ и структура проектной документации по ГОСТ 34

Процесс проектирования СЗИ в отечественной практике неотделим от общего процесса создания автоматизированной системы (АС), который регламентируется комплексом стандартов ГОСТ 34. Сторонняя организация, выполняя проектирование, должна интегрировать задачи ИБ в стандартный жизненный цикл АС.

Ключевыми стандартами для проектирования являются:

• ГОСТ 34.601-90: Устанавливает стадии создания АС.
• ГОСТ 34.602-2020: Регламентирует содержание Технического задания (ТЗ).

Стадии создания АС согласно ГОСТ 34.601-90

Проектирование СЗИ охватывает несколько ключевых стадий жизненного цикла АС:

Стадия по ГОСТ 34.601-90	Соответствующий этап проектирования СЗИ	Продукт этапа
1. Формирование требований к АС	Предпроектное обследование, классификация, моделирование угроз.	Отчет об обследовании, Модель угроз.
2. Разработка концепции АС	Разработка Концепции ИБ (если требуется).	Концепция ИБ.
3. Техническое задание	Разработка Технического задания (ТЗ) на СЗИ.	ТЗ на СЗИ.
4. Эскизный проект	Предварительная разработка решений, оценка бюджета.	Эскизный проект СЗИ.
5. Технический проект	Детальная разработка всех технических и организационных решений.	Технический проект СЗИ (ТП).
6. Рабочая документация	Подготовка документов для монтажа, настройки и эксплуатации.	Комплект рабочей документации.

Техническое задание (ТЗ) на создание СЗИ

ТЗ на СЗИ является базовым юридическим и техническим документом, который официально фиксирует требования заказчика и определяет объем работ для подрядчика. ТЗ должно соответствовать структуре ГОСТ 34.602-2020, включая следующие разделы применительно к ИБ:

1. Общие положения: Наименование объекта, заказчик, исполнитель, основания для разработки.
2. Назначение и цели создания СЗИ: Четкое определение задач СЗИ (например, обеспечение конфиденциальности ПДн, целостности технологических процессов).
3. Требования к СЗИ: Самый обширный раздел. Включает требования к функциональности (например, наличие механизмов ИАФ, УПД), надежности, безопасности, эргономике и стандартизации. Здесь же фиксируются ссылки на Приказы ФСТЭК (№ 17, 21, 31), которые являются обязательными для исполнения.
4. Состав и содержание работ по созданию СЗИ.

Эскизный и Технический проекты СЗИ: Принципы разработки проектных решений

После утверждения ТЗ начинается детальное проектирование.

Эскизный проект (ЭП) — это стадия, на которой разрабатываются принципиальные решения, определяются ключевые СЗИ, оценивается их совместимость и производится расчет предварительной стоимости.

Технический проект (ТП) — кульминация проектной работы. ТП содержит детальную разработку проектных решений по системе защиты, включая:

1. Технические решения: Схемы размещения оборудования, описание принципов работы выбранных сертифицированных СЗИ, разработка низкоуровневых настроек и конфигураций.
2. Организационные решения: Разработка структуры подразделений, ответственных за ИБ, описание процедуры реагирования на инциденты и плана обучения персонала.

Важный инженерный нюанс: В Техническом проекте (ТП) целесообразно не раскрывать истинное назначение критически важных технических решений по ИБ, таких как конкретные настройки межсетевого экрана, детальные схемы сегментации или пароли доступа. Все обоснования, связанные с закрытой информацией, которая может быть использована нарушителем (например, описание конкретных алгоритмов хеширования, правила фильтрации трафика), следует приводить в отдельном томе общей пояснительной записки или в приложениях, имеющих ограниченный доступ (например, помеченных грифом «Для служебного пользования»). Это предотвращает компрометацию проектных решений при их широком распространении внутри организации.

Рабочая и Эксплуатационная документация

Стадия разработки рабочей документации готовит основу для физического внедрения (монтажа и настройки) СЗИ.

Рабочая документация включает:

• Спецификации оборудования и программного обеспечения.
• Монтажные схемы, схемы подключения.

Эксплуатационная документация критически важна для дальнейшего сопровождения СЗИ и обучения персонала. Она, как правило, содержит:

• Руководство администратора СЗИ: Детальные инструкции по настройке, мониторингу, резервному копированию и восстановлению компонентов СЗИ.
• Инструкция пользователя ИС: Описание правил безопасной работы с защищаемой информацией и использования компонентов СЗИ.
• Инструкция по эксплуатации комплекса средств защиты информации: Общие правила обслуживания и поддержания работоспособности всей системы.

Специфика проектирования СЗИ в зависимости от категории защищаемой информации

Нормативная база РФ построена таким образом, что требования к защите информации напрямую зависят от ее юридического статуса и сферы применения системы. Проектировщик обязан строго следовать этим различиям, что влечет за собой кардинальные отличия в выборе мер, их объеме и необходимости прохождения аттестации. Защита ГИС, например, требует ежегодного контроля.

Проектирование СЗИ для Государственных информационных систем (ГИС)

Защита информации в ГИС регламентируется Приказом ФСТЭК России от 11 февраля 2013 г. № 17. ГИС обрабатывают сведения, не составляющие государственную тайну, но являющиеся критически важными для выполнения государственных функций.

ГИС классифицируются по трем классам защищенности, которые определяются на основе:

1. Уровня значимости информации (УЗ): УЗ1 (наиболее значимая), УЗ2, УЗ3 (наименее значимая).
2. Масштаба системы: Федеральный, региональный или объектовый.

Приказ № 17 устанавливает три класса защищенности ГИС:

Класс защищенности	Уровень значимости информации	Требования и контроль
К1 (Максимальный)	УЗ1	Требуется максимальный набор мер, контроль — не реже 1 раза в год.
К2 (Средний)	УЗ2	Средний набор мер, контроль — не реже 1 раза в два года.
К3 (Минимальный)	УЗ3	Минимальный набор мер, контроль — не реже 1 раза в два года.

Ключевое требование: Для защиты ГИС обязательно использование сертифицированных средств защиты информации (СЗИ), прошедших оценку соответствия в системе ФСТЭК России. Кроме того, ГИС должна пройти процедуру аттестации по требованиям безопасности информации до начала обработки защищаемой информации, что является конечной целью проекта СЗИ.

Проектирование СЗИ для Информационных систем персональных данных (ИСПДн)

Требования к защите ПДн определены Федеральным законом ФЗ-152 «О персональных данных» и конкретизированы Приказом ФСТЭК России от 18 февраля 2013 г. № 21.

Выбор мер защиты ПДн осуществляется исходя из установленного уровня защищенности ИСПДн, который определяется в соответствии с Постановлением Правительства РФ от 1 ноября 2012 г. № 1119.

Постановление № 1119 устанавливает четыре уровня защищенности (УЗ), определяемые в зависимости от:

1. Типа актуальных угроз (угрозы 1-го, 2-го или 3-го типов).
2. Категории обрабатываемых ПДн (специальные, биометрические, общедоступные, иные).
3. Объема обрабатываемых ПДн.

Уровень защищенности	Тип актуальных угроз	Категория и объем ПДн
У1 (Максимальный)	Угрозы 1-го типа (связанные с НДВ в системном ПО)	Специальные категории ПДн в крупном объеме.
У4 (Минимальный)	Угрозы 3-го типа (не связанные с НДВ)	Иные категории ПДн в малом объеме.

Приказ ФСТЭК № 21 содержит перечень базовых мер защиты, которые необходимо применять в зависимости от требуемого уровня УЗ (У1, У2, У3, У4). Проектировщик должен выбрать адекватный набор мер и определить, какие именно сертифицированные СЗИ будут их реализовывать.

Проектирование СЗИ для Автоматизированных систем управления (АСУ) объектов КИИ

Защита АСУ на критической информационной инфраструктуре (КИИ) регулируется Приказом ФСТЭК России от 14 марта 2014 г. № 31 во исполнение ФЗ-187 «О безопасности КИИ РФ».

Приказ № 31 устанавливает требования к защите информации в АСУ, категорированных по классам защищенности:

• К1 (наивысший);
• К2;
• К3 (наименьший).

Особые требования к СЗИ для КИИ:

Для АСУ 1-го и 2-го классов защищенности предъявляются повышенные требования к средствам защиты. В частности, обязательно применение сертифицированных СЗИ, программное обеспечение которых прошло проверку на отсутствие недекларированных возможностей (НДВ). Уровень контроля отсутствия НДВ должен быть не ниже 4 уровня. Это гарантирует, что в СЗИ отсутствуют программные закладки, способные реализовать угрозы безопасности. Проектировщик должен включать в спецификацию только те СЗИ, которые имеют соответствующие сертификаты ФСТЭК, подтверждающие указанный уровень контроля НДВ. Не следует ли нам, в условиях постоянно меняющихся угроз, задаться вопросом, насколько быстро регуляторы успевают обновлять требования к этим уровням?

Комплекс мер защиты: Техническая реализация и организационное обеспечение

Проект СЗИ должен представлять собой комплексное решение, где технические средства (СЗИ) не могут эффективно функционировать без соответствующих организационно-распорядительных документов (ОРД).

Выбор и обоснование технических мер защиты

Технические меры защиты реализуются посредством применения сертифицированных СЗИ (аппаратных, программных или аппаратно-программных комплексов). Проектировщик выбирает их на основе требований, определенных в модели угроз и классе защищенности системы.

Приказ ФСТЭК России № 31 (для АСУ КИИ) и другие приказы регулятора определяют функциональные классы мер защиты. В общей сложности выделяется 17 групп функциональных мер. Проектировщик должен четко обосновать, какие СЗИ реализуют требуемые функциональные меры:

Группа мер	Обозначение	Примеры СЗИ, реализующих меру
Идентификация и аутентификация	ИАФ	Средства аутентификации (токены, смарт-карты), SSO-системы.
Управление доступом	УПД	Средства разграничения доступа, системы Identity Management.
Ограничение программной среды	ОПС	Средства контроля целостности, песочницы, системы AppLocker.
Аудит безопасности	АУД	Системы сбора и анализа событий ИБ (SIEM).
Антивирусная защита	АВЗ	Антивирусные комплексы.
Предотвращение вторжений	СОВ	Системы обнаружения и предотвращения вторжений (IDS/IPS).
Защита машинных носителей	ЗНИ	Средства контроля портов, DLP-системы.

При проектировании СЗИ необходимо сопоставить выявленные в модели угроз актуальные угрозы с необходимыми функциональными мерами, а затем подобрать сертифицированные СЗИ, которые эти меры реализуют. Этот процесс гарантирует, что СЗИ будет достаточна и эффективна для конкретного объекта защиты.

Разработка Организационно-распорядительной документации (ОРД)

ОРД является неотъемлемой частью проекта СЗИ. Организационные меры регламентируют действия персонала, администраторов и руководства, обеспечивая дисциплинарный и процедурный контроль. Без ОРД, даже самая совершенная техническая система может быть скомпрометирована человеческим фактором. Вот почему подрядная организация, завершая проект, обязана предоставить заказчику комплект типовых ОРД, которые должны быть утверждены руководством заказчика.

Ключевые Организационно-распорядительные документы:

1. Политика защиты информации (или Политика безопасности ПДн): Фундаментальный документ, определяющий цели, принципы, область действия СЗИ, а также категории лиц, участвующих в защите, их общие обязанности и полномочия.
2. Положение об организации работ по обеспечению ИБ: Регламентирует общую структуру управления ИБ.
3. Инструкция администратора ИБ: Детально описывает обязанности и процедуры, выполняемые администратором (мониторинг, реагирование, настройка СЗИ).
4. Инструкция пользователя ИС: Определяет правила работы с защищаемой информацией и порядок использования СЗИ.
5. Положение по охране и организации режима допуска в помещения: Регламентирует физическую защиту объектов информатизации.

Проектная документация должна включать шаблоны этих документов, адаптированные под конкретную инфраструктуру заказчика.

Оценка эффективности и поддержание СЗИ: Актуальный контроль

Завершающий этап жизненного цикла СЗИ — оценка эффективности и поддержание системы в актуальном состоянии. Оценка эффективности не просто подтверждает, что СЗИ работает, но и гарантирует ее соответствие постоянно меняющимся нормативным требованиям и угрозам.

Периодичность и требования к контролю состояния защиты

Периодичность контроля строго регламентирована в зависимости от типа и класса защищенности информационной системы, что является обязательным требованием, которое должно быть отражено в эксплуатационной документации СЗИ.

Тип и класс ИС	Нормативный документ	Периодичность контроля
ГИС К1 (Максимальная защищенность)	Приказ ФСТЭК № 17	Не реже 1 раза в год
ГИС К2, К3	Приказ ФСТЭК № 17	Не реже 1 раза в два года
ИСПДн (Все уровни защищенности)	ФЗ-152, Приказ ФСТЭК № 21	Не реже 1 раза в 3 года
Объекты КИИ (ЗОКИИ)	Методика ФСТЭК для ЗОКИИ	Не реже 1 раза в полгода

Процедура контроля включает проверку реализации технических мер, анализ корректности ОРД, тестирование на проникновение и анализ соответствия текущей СЗИ актуальной модели угроз. Этот контроль является механизмом обратной связи, позволяющим своевременно адаптировать защиту к новым реалиям.

Методики оценки эффективности: Применение Методики оценки показателя состояния ЗОКИИ

Для оценки эффективности мер защиты используются специализированные методики.

1. Общая оценка угроз: Для оценки угроз безопасности информации, результаты которой напрямую используются для оценки достаточности технических мер, применяется Методика оценки угроз безопасности информации ФСТЭК России (2021 г.).
2. Оценка состояния защиты КИИ: Для объектов КИИ ФСТЭК России утверждена специальная Методика оценки показателя состояния защиты информации и обеспечения безопасности объектов критической информационной инфраструктуры (ЗОКИИ). Эта методика позволяет получить количественную оценку текущего состояния защиты (показатель защищенности) и сравнить его с минимально необходимым уровнем.

Применение методики ЗОКИИ является критически важным для организаций, владеющих значимыми объектами КИИ, и требует проведения оценки не реже одного раза в полгода. Эта оценка позволяет своевременно выявлять дефекты и несоответствия, гарантируя, что СЗИ сохраняет свою эффективность перед лицом новых угроз.

Заключение: Резюме методологических и практических выводов

Проектирование Системы Защиты Информации силами сторонней организации в Российской Федерации — это высокорегламентированный процесс, требующий глубокой интеграции инженерных знаний с актуальной нормативно-правовой базой.

Ключевые методологические и практические выводы, подтверждающие академическую глубину и практическую ценность разработанного материала, сводятся к следующему:

1. Правовая обусловленность: Начало работ по проектированию СЗИ силами подрядчика обусловлено наличием обязательной лицензии ФСТЭК России на ТЗКИ (ПП РФ № 79) и квалификационным составом персонала (не менее двух профильных специалистов со стажем от 3 лет). Это является необходимым условием для обеспечения легитимности и качества проекта.
2. Актуальность методологии: Предпроектный анализ и моделирование угроз должны строго опираться на единую Методику оценки угроз безопасности информации ФСТЭК России от 2021 года и использовать актуальные данные из БДУ, что обеспечивает адекватный выбор защитных мер.
3. Инженерная дисциплина: Проектирование СЗИ должно быть интегрировано в жизненный цикл АС согласно стандартам ГОСТ 34, проходя через стадии ТЗ, Эскизного и Технического проектов. Критическим практическим требованием является нераскрытие чувствительных проектных решений в общедоступных томах ТП, что прямо влияет на устойчивость системы к внешним угрозам.
4. Комплексность мер: Эффективная СЗИ — это баланс между техническими средствами (сертифицированные СЗИ, реализующие 17 функциональных классов мер) и организационно-распорядительной документацией (Политика ИБ, инструкции), что обеспечивает комплексность защиты.
5. Подтверждение эффективности: Разработанная СЗИ требует регулярного контроля и оценки эффективности, периодичность которого (от 1 года до 3 лет, а для КИИ — раз в полгода) зависит от класса защищенности системы (Приказы № 17, № 21). Применение специализированных методик (например, для ЗОКИИ) позволяет поддерживать состояние защиты на требуемом уровне.

Данный материал предоставляет студенту исчерпывающую базу для разработки ВКР, охватывающую все этапы проектирования СЗИ в строгом соответствии с действующими требованиями регуляторов РФ, что гарантирует высокую практическую и академическую ценность работы.

Список использованной литературы

1. Федеральный закон Российской Федерации «Об информации, информационных технологиях и о защите информации» от 27 июля 2006 г. № 149-ФЗ // Российская газета. 2006. 1 авг.
2. Федеральный закон Российской Федерации «О персональных данных» от 27 июля 2006 г. N 152-ФЗ // Российская газета. 2006. 29 июля.
3. Приказ ФСТЭК России от 14.03.2014 N 31 (ред. от 15.03.2021) «Об утверждении Требований к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды».
4. Приказ ФСТЭК России от 18.02.2013 N 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».
5. ГОСТ Р 50922-2006. Защита информации. Основные термины и определения (утв. приказом Федерального агентства по техническому регулированию и метрологии от 27.12.2006 N 373-ст).
6. ГОСТ Р 51583—2014. Защита информации. Порядок создания автоматизированных систем в защищенном исполнении. Общие положения.
7. МЕТОДИКА ОЦЕНКИ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ (ФСТЭК, 2021).
8. Грязнов Е. С., Панасенко С. А. Безопасность локальных сетей. Москва: Вузовский учебник, 2006. 525 с.
9. Герасименко В. А. Защита информации в автоматизированных системах обработки данных. Москва, 1993. Ч. 1, 2.
10. Горбатов В. С., Кондратьева Т. А. Информационная безопасность. Основы правовой защиты. Москва, 1993.
11. Соколов Д. Н., Степанюк А. Д. Защита от компьютерного терроризма. Санкт-Петербург: БХВ-Петербург, Арлит, 2002. 456 с.
12. Сыч О. С. Комплексная антивирусная защита локальной сети. Москва: Финансы и статистика, 2006. 736 с.
13. Швецова Н. Д. Системы технической безопасности: актуальные реалии. Санкт-Петербург: Питер, 2004. 340 с.
14. Алексенцев А. И. Определение состава конфиденциальных документов // Секретарское дело. 1999. № 2.
15. Алексенцев А. И. Причины, обстоятельства и условия дестабилизирующего воздействия на информацию // Справочник секретаря и офис-менеджера. 2003. № 6.
16. Алексенцев А. И. Понятие и структура угроз защищаемой информации // Справочник секретаря и офис-менеджера. 2003. № 6.
17. Гайковт В. Ю., Ершов Д. В. Основы безопасности информационных технологий. Москва, 1995.
18. Глушков В. М. Введение в АСУ. Киев: Техника, 1974.
19. itsec.ru : [Информационная безопасность] / Журнал «Информационная безопасность». URL: http://www.itsec.ru/articles2/control/aktualn_postroen_suib (дата обращения: 22.10.2025).
20. citforum.ru : [ЦИТФорум] / Статья «Безопасность обеспечения компьютерных систем». Москва: МГУЛ, 2003. URL: http://citforum.ru/security/articles/kazarin/ (дата обращения: 22.10.2025).
21. www.infosecurity.ru : [ОСБИС] / Статья «Информационная безопасность». Москва, 2006. URL: http://www.infosecurity.ru/_site/concept.shtml (дата обращения: 22.10.2025).
22. Changelog приказа ФСТЭК № 17: как изменятся требования к защите информации в госсистемах. URL: https://habr.com/ru/company/selectel/blog/595007/ (дата обращения: 22.10.2025).
23. Требования ГОСТ на автоматизированные системы в ИБ-проектах. Что изменилось и как это применять? URL: https://habr.com/ru/company/selectel/blog/666878/ (дата обращения: 22.10.2025).
24. Разработка Технического задания по ГОСТ 34 легко и просто. URL: https://habr.com/ru/company/selectel/blog/529738/ (дата обращения: 22.10.2025).