Система нормативно-правовых актов в области информационной безопасности (ИБ) в Российской Федерации строится по строжайшему иерархическому принципу: от Конституции РФ и Федеральных Законов, являющихся фундаментом, к Указам Президента, Постановлениям Правительства и, наконец, к детализирующим приказам и методическим документам профильных ведомств, таких как ФСТЭК России и ФСБ России. Низкоуровневые подзаконные акты не имеют права противоречить Федеральным Законам, но обязаны уточнять и детализировать механизмы их исполнения.
Введение: актуальность и правовые основы информационной безопасности
В условиях тотальной цифровизации бизнес-процессов и государственного управления, вопрос обеспечения информационной безопасности (ИБ) переходит из категории технического сопровождения в разряд стратегических приоритетов. Актуальность темы обусловлена не только возрастающей изощренностью киберугроз, но и ужесточением регуляторных требований Российской Федерации, которые налагают на организации (операторов информационных систем) не только технические, но и строгие юридические обязательства. Это означает, что несоблюдение требований ИБ автоматически влечет за собой административную или даже уголовную ответственность, что повышает цену ошибки.
Согласно Федеральному закону от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», информационная безопасность определяется как состояние защищенности интересов гражданина, общества и государства при использовании информационных технологий. Ключевые термины, определяющие сферу регулирования, включают:
- Угроза безопасности информации: Совокупность условий и факторов, создающих опасность неправомерного доступа, уничтожения, модифицирования, блокирования или копирования информации.
- Конфиденциальность информации: Обязательное для выполнения лицом, получившим доступ к определенной информации, требование не передавать такую информацию третьим лицам без согласия ее обладателя.
Целью данного реферата является исчерпывающий анализ нормативно-правовой, организационной и технической базы, необходимой для разработки и внедрения комплексной системы обеспечения ИБ, соответствующей российскому законодательству.
Иерархия нормативно-правового регулирования ИБ в РФ
Правовая база обеспечения ИБ в России представляет собой многоуровневую систему, где каждый следующий уровень детализирует требования предыдущего.
На вершине этой иерархии стоят Конституция Российской Федерации и Федеральные Законы (ФЗ). Фундаментальную роль играют два ключевых акта:
- ФЗ от 27.07.2006 № 149-ФЗ. Этот закон определяет общие правовые, организационные и технические меры, направленные на защиту информации. Статья 16 ФЗ № 149-ФЗ является краеугольной, поскольку она прямо предписывает обладателю информации принимать меры по обеспечению ее защиты от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления и распространения, а также для соблюдения конфиденциальности информации ограниченного доступа.
- ФЗ от 27.07.2006 № 152-ФЗ. Этот закон целиком посвящен регулированию процессов обработки и обеспечения безопасности персональных данных (ПДн), устанавливая строгие обязанности для операторов в отношении субъектов данных.
Следующий уровень занимают Указы Президента РФ и Постановления Правительства РФ. Например, Постановление Правительства РФ от 01.11.2012 № 1119 устанавливает конкретные требования к защите ПДн при их обработке в информационных системах персональных данных (ИСПДн).
Завершают иерархию приказы и методические документы профильных регуляторов, таких как ФСТЭК России и ФСБ России. Они являются детализирующими подзаконными актами, которые устанавливают конкретный состав организационных и технических мер. Примером может служить Приказ ФСТЭК России от 18.02.2013 № 21, который регламентирует меры защиты ПДн в ИСПДн.
Стратегические национальные интересы в сфере ИБ
Помимо оперативного законодательства, система ИБ организации должна учитывать стратегические ориентиры государства. Ключевым стратегическим документом является Доктрина информационной безопасности Российской Федерации, утвержденная Указом Президента РФ от 05.12.2016 № 646.
Доктрина определяет национальные интересы Российской Федерации в информационной сфере, которые должны быть защищены как на государственном, так и на корпоративном уровне. Эти интересы структурированы по четырем основным стратегическим областям:
| Стратегическая область | Ключевая цель Доктрины (Указ № 646) |
|---|---|
| Государственная безопасность | Обеспечение суверенитета, территориальной целостности и политической стабильности государства в информационном пространстве. |
| Экономическая сфера | Защита национальных интересов в сфере экономики, включая защиту объектов критической информационной инфраструктуры (КИИ) и обеспечение стабильного функционирования финансовой системы. |
| Общественная безопасность | Нейтрализация угроз, связанных с манипуляцией общественным сознанием, пропагандой экстремизма, и обеспечение личной безопасности граждан в информационном пространстве. |
| Сфера науки, технологий и образования | Развитие отечественной конкурентоспособной электронной компонентной базы, программного обеспечения и средств защиты информации (импортозамещение). |
Эти стратегические цели служат основой для формирования верхнеуровневых политик безопасности в организациях, особенно в государственных и критически важных структурах. Они определяют вектор развития технических средств защиты информации и процессов импортозамещения.
Система менеджмента информационной безопасности (СМИБ): процессный подход и стандартизация
Внедрение надежной системы защиты невозможно без системного, процессного подхода, который воплощается в создании Системы менеджмента информационной безопасности (СМИБ). СМИБ — это не просто набор технических средств, а структурированная система управления, направленная на непрерывное обеспечение конфиденциальности, целостности и доступности информации.
Процессный подход к построению СМИБ традиционно базируется на международном цикле PDCA (Plan-Do-Check-Act), адаптированном в национальном стандарте ГОСТ Р ИСО/МЭК 27001-2021. Этот стандарт устанавливает требования к разработке, внедрению, функционированию, мониторингу, анализу, поддержке и совершенствованию документированной системы, что позволяет руководству принимать решения, основанные на измеряемых показателях эффективности защиты.
Новации ГОСТ Р ИСО/МЭК 27001-2021 и риск-ориентированный подход
Национальный стандарт ГОСТ Р ИСО/МЭК 27001-2021 (идентичный ISO/IEC 27001:2013) привнес методологические изменения, критически важные для интеграции СМИБ в общую систему корпоративного управления.
Во-первых, стандарт использует Высокоуровневую Структуру (High Level Structure, HLS). Это унифицированная структура, которая применяется ко всем современным стандартам систем менеджмента (например, ГОСТ Р ИСО 9001, 14001). Применение HLS обеспечивает лучшую совместимость и интеграцию СМИБ с другими системами менеджмента, минимизируя дублирование и оптимизируя ресурсы.
Во-вторых, новая версия стандарта усиливает требование к риск-ориентированному подходу. Пункты 4.1 («Понимание организации и ее контекста») и 4.2 («Понимание потребностей и ожиданий заинтересованных сторон») требуют более глубокого анализа внешней и внутренней среды организации. Это означает, что СМИБ должна быть построена не по универсальному шаблону, а исходя из:
- Контекста организации: Учет нормативных, регуляторных (требования ФСТЭК, ФСБ) и договорных обязательств.
- Риск-аппетита руководства: Определение приемлемого уровня риска и, соответственно, адекватного объема мер защиты.
Таким образом, СМИБ перестает быть изолированной функцией и становится неотъемлемой частью стратегического управления рисками организации. Но как определить этот адекватный объем мер, если не проведена глубокая оценка угроз?
Основные этапы создания и внедрения СМИБ
Процесс создания системы защиты информации (СЗИ) и внедрения СМИБ является структурированным и включает следующие ключевые этапы:
- Формирование требований и области применения (Планирование):
- Определение целей, задач и критериев ИБ (например, обеспечение доступности критических сервисов на уровне 99,99%).
- Создание рабочей группы (ИБ-эксперты, IT-специалисты, представители бизнеса и руководство).
- Определение границ СМИБ (какие системы, процессы и объекты подлежат защите).
- Разработка документации и оценка рисков:
- Разработка Модели угроз и Модели нарушителя.
- Проведение оценки рисков ИБ.
- Разработка стратегической Политики безопасности и комплекта Положений, Регламентов и Инструкций, детализирующих реализацию мер.
- Реализация мер безопасности (Внедрение):
- Закупка и установка сертифицированных технических средств защиты (СЗИ).
- Внедрение организационных мер (обучение персонала, управление доступом).
- Формирование системы реагирования на инциденты.
- Мониторинг, анализ и совершенствование (Проверка и Действие):
- Регулярный мониторинг эффективности СЗИ.
- Проведение внутренних и внешних аудитов (контроль соответствия ГОСТ Р ИСО/МЭК 27001 и требованиям регуляторов).
- Анализ выявленных инцидентов и корректировка недостатков, что замыкает цикл PDCA и обеспечивает непрерывное совершенствование СМИБ.
Моделирование угроз и нарушителя как основа проектирования системы защиты
Любая система защиты информации, спроектированная без учета актуальных угроз и возможностей нарушителя, обречена на неэффективность. Поэтому создание Модели угроз и Модели нарушителя является обязательным и основополагающим элементом на этапе планирования СЗИ, что прямо предписывается регуляторами РФ.
Методика оценки угроз безопасности информации ФСТЭК России (2021)
Основой для разработки Модели угроз в Российской Федерации является «Методика оценки угроз безопасности информации», утвержденная ФСТЭК России 5 февраля 2021 года. Этот документ заменил устаревшую методику 2008 года и стандартизировал подход к моделированию для всех типов информационных систем: государственных информационных систем (ГИС), ИСПДн, автоматизированных систем управления технологическими процессами (АСУ ТП) и объектов критической информационной инфраструктуры (КИИ).
Методика ФСТЭК 2021 года фокусируется на формировании актуального перечня угроз и оценке их реализуемости и последствий. Оценка угроз предполагает рассмотрение негативных последствий в трех ключевых плоскостях, что позволяет комплексно оценить потенциальный ущерб:
- Ущерб физическим лицам: Нарушение их конституционных прав и свобод (особенно актуально для ИСПДн).
- Финансовые и репутационные риски для организации: Прямые убытки, штрафы, потеря деловой репутации.
- Ущерб государству: Нарушение функционирования государственных органов, снижение обороноспособности или безопасности страны.
Для облегчения моделирования организациям предписывается использовать Банк данных угроз безопасности информации (БДУ ФСТЭК), который содержит актуализированные сведения об уязвимостях и векторах атак, применимых к типовым элементам ИТ-инфраструктуры.
Классификация и анализ модели нарушителя
Модель нарушителя — это описание субъекта, способного реализовать угрозы безопасности, включая его мотивы, цели, ресурсы и потенциальные методы воздействия.
В соответствии с Методикой ФСТЭК 2021 года, нарушители классифицируются по их положению относительно защищаемой системы:
| Категория нарушителя | Описание и возможности |
|---|---|
| Внешний нарушитель | Не имеет санкционированного доступа к ресурсам системы. Действует удаленно через каналы связи или физически — с внешней стороны периметра. Обладает, как правило, высокими ресурсами и квалификацией (хакеры, спецслужбы). |
| Внутренний нарушитель | Имеет санкционированный доступ к ресурсам системы (сотрудник, подрядчик). Обладает инсайдерскими знаниями о структуре и защите системы. Действует с нарушением установленных правил и политик. |
| Комбинированный нарушитель | Нарушитель, который может комбинировать действия (например, внешний хакер, который использует инсайдера для получения начального доступа или информации). |
Кроме того, модель нарушителя должна учитывать возможность сговора между нарушителями. ФСТЭК выделяет три ключевые категории, способные инициировать сговор: спецслужбы, террористические/экстремистские группировки и преступные группировки. Проектирование СЗИ должно основываться на принципе минимизации ущерба, даже если угроза реализована наиболее опасным нарушителем (например, внутренним, обладающим максимальным доступом и знанием системы). А разве не стоит заранее задаться вопросом, как максимально затруднить даже низкоквалифицированному сотруднику возможность инсайдерской атаки?
Организационные меры обеспечения безопасности информации
Организационные меры являются базисом любой СЗИ. Они определяют правила, процедуры и ответственность персонала, создавая правовое и управленческое поле для применения технических средств. Без должного организационного обеспечения даже самые совершенные технические средства будут неэффективны.
Кадровая безопасность: правовые аспекты и контроль персонала
Кадровая безопасность (КБ) — это комплекс мер, направленных на предотвращение угроз, исходящих от персонала (умышленные действия, ошибки, утечки по небрежности). КБ сопровождает весь жизненный цикл сотрудника:
- Этап подбора: Проверка благонадежности, оценка лояльности.
- Этап работы: Обучение правилам ИБ, подписание обязательств о неразглашении, периодический контроль.
- Этап увольнения: Блокировка доступа, возврат материальных носителей, напоминание об обязательствах по неразглашению.
Особое внимание следует уделить правовым нюансам проверки персонала. Например, при проведении психофизиологического исследования (ПФИ), включая тестирование с использованием полиграфа, российское законодательство устанавливает критическое требование: прохождение такого тестирования возможно только при наличии письменного добровольного согласия кандидата или сотрудника. Отсутствие такого согласия делает результаты проверки неправомерными, не позволяя использовать их в суде или при дисциплинарном взыскании.
Ключевым инструментом кадровой безопасности является регулярное обучение (тренинги, инструктажи), которое должно быть направлено на повышение осведомленности о политиках ИБ и актуальных угрозах, таких как социальная инженерия и фишинг.
Документационное обеспечение и управление доступом
Документационное обеспечение — это свод локальных нормативных актов (ЛНА), которые переводят требования федерального законодательства в конкретные правила для организации.
К основным ЛНА относятся:
- Политика информационной безопасности: Стратегический документ, утверждаемый руководством, определяющий цели, принципы и общий подход к ИБ.
- Положение о коммерческой тайне: Регламентирует порядок отнесения информации к КТ, ее маркировку и ответственность за разглашение.
- Положение об обработке персональных данных: Разрабатывается в соответствии с ФЗ № 152, описывает процессы сбора, хранения и уничтожения ПДн.
- Регламент управления доступом: Устанавливает правила предоставления, изменения и отзыва прав доступа к информационным ресурсам.
- Инструкции: Детальные пошаговые руководства для сотрудников по работе с СЗИ, криптографическими средствами и реагированию на инциденты.
Управление доступом включает не только логические меры (пароли, аутентификация), но и физический пропускной режим. Это организация контроля доступа в охраняемые зоны (серверные, архивы, помещения с конфиденциальной информацией), контроль въезда/выезда транспортных средств и строгий учет прохода посетителей.
Технические средства защиты информации (СЗИ) и система сертификации РФ
Технические средства защиты информации (СЗИ) — это программные, аппаратные и программно-аппаратные комплексы, предназначенные для непосредственной реализации защитных мер (шифрование, аутентификация, фильтрация).
Классификация СЗИ и регулирующие документы ФСТЭК/ФСБ
В Российской Федерации СЗИ классифицируются по функциональному назначению и типу реализации:
- Программные СЗИ: Реализуются программным путем (антивирусы, межсетевые экраны уровня приложений, средства криптографической защиты информации – СКЗИ).
- Аппаратные СЗИ: Реализуются в виде отдельных физических устройств (аппаратные модули безопасности – HSM, аппаратные межсетевые экраны).
- Программно-аппаратные СЗИ: Комплексы, сочетающие программные и аппаратные компоненты (например, доверенная загрузка, системы обнаружения/предотвращения вторжений).
Регулирование СЗИ разделено между двумя ключевыми ведомствами:
- ФСТЭК России регулирует средства защиты от несанкционированного доступа (НСД), средства контроля защищенности, средства обеспечения целостности и межсетевые экраны. Требования к ним установлены в таких документах, как Приказ № 17 (для ГИС) и Приказ № 21 (для ИСПДН).
- ФСБ России регулирует средства криптографической защиты информации (СКЗИ). Разработка, изготовление и распространение СКЗИ является лицензируемым видом деятельности и регламентируется, в частности, Приказом ФСБ России от 13 июня 2001 г. № 152.
Уровни доверия СЗИ и требование безопасной разработки (ПБР)
Для обеспечения надежности и предотвращения использования недекларированных возможностей (НДВ) в СЗИ, предназначенных для защиты государственных и критически важных систем, в РФ действует система обязательной сертификации.
Согласно Приказу ФСТЭК России от 02.06.2020 № 76, устанавливаются Уровни Доверия (УД) к средствам технической защиты информации, от УД6 (самый низкий) до УД1 (самый высокий). Уровень доверия зависит от глубины проверки процесса разработки и тестирования средства.
Система УД является критически важной:
| Уровень доверия (УД) | Требования и назначение |
|---|---|
| УД6 — УД4 | Базовые уровни, применяются для систем низкого и среднего класса защищенности. |
| УД3 — УД2 | Средние и повышенные требования, требующие более детального анализа исходного кода и архитектуры СЗИ. |
| УД1 (Наивысший) | Устанавливается для защиты информации, составляющей государственную тайну, и значимых объектов КИИ высшей категории. Ключевое требование: СЗИ должны быть разработаны с применением Процесса Безопасной Разработки (ПБР) и пройти сертификационные испытания, подтверждающие отсутствие Недекларированных Возможностей (НДВ). |
Требование ПБР на уровне УД1 гарантирует, что безопасность закладывается не постфактум, а является неотъемлемой частью всего жизненного цикла разработки программного продукта, что минимизирует риски преднамеренного или случайного включения бэкдоров и уязвимостей.
Специфика защиты регулируемой информации: персональные данные и коммерческая тайна
Помимо общих требований ФЗ № 149-ФЗ, организация должна выполнять специфические, более жесткие требования, если она обрабатывает регулируемые виды информации — персональные данные и коммерческую тайну.
Защита персональных данных (ФЗ № 152)
Федеральный закон № 152-ФЗ налагает на операторов ПДн ряд строгих правовых и организационно-технических обязательств.
Условия обработки: Согласно Статье 6 ФЗ № 152, обработка ПДн возможна только при выполнении одного из условий, наиболее распространенным из которых является получение согласия субъекта ПДн.
Требования к оператору:
- Уведомление Роскомнадзора: Оператор обязан уведомить уполномоченный орган о своем намерении обрабатывать ПДн.
- Техническая защита: Состав и содержание организационных и технических мер для защиты ПДн в ИСПДн устанавливается Приказом ФСТЭК России № 21 (определение уровня защищенности).
Важный юридический нюанс связан с исключением из обязанности уведомления. Согласно ч. 2 ст. 22 ФЗ № 152-ФЗ, оператор вправе не подавать уведомление в Роскомнадзор, если обработка персональных данных осуществляется без использования средств автоматизации. Это применимо, например, к бумажным архивам или картотекам, при условии, что соблюдаются требования Постановления Правительства РФ № 687, регулирующего неавтоматизированную обработку. Таким образом, даже «бумажные» данные не освобождают компанию от необходимости соблюдать организационные меры безопасности.
Обеспечение режима коммерческой тайны (ФЗ № 98)
Режим коммерческой тайны (КТ) регулируется Федеральным законом от 29.07.2004 № 98-ФЗ.
Определение: Коммерческой тайной считается информация, которая позволяет ее обладателю увеличить доходы, избежать неоправданных расходов, сохранить положение на рынке или получить иную коммерческую выгоду.
В отличие от ПДн, защита КТ носит не разрешительный, а заявительный характер. Режим КТ считается установленным только после выполнения ряда обязательных организационных мероприятий:
- Определение перечня КТ: Составление списка сведений, составляющих КТ.
- Ограничение доступа: Установление порядка доступа и контроля за соблюдением этого порядка.
- Ведение учета: Создание перечня лиц, получивших доступ к информации, составляющей КТ.
- Регулирование использования носителей: Маркировка материальных носителей грифом «Коммерческая тайна» с указанием обладателя информации.
- Включение обязательств в договоры: Закрепление ответственности за неразглашение в трудовых договорах и договорах с контрагентами.
Если хотя бы одно из этих организационных требований не выполнено, организация теряет правовую защиту, предоставляемую режимом коммерческой тайны.
Типовые модели угроз и нарушителя при проектировании СЗИ
Как было отмечено, проектирование СЗИ начинается с разработки модели угроз и нарушителя. Эти модели являются динамическими документами, которые требуют регулярного обновления в соответствии с изменениями в ИТ-инфраструктуре и появлением новых методик атак.
Методика оценки угроз безопасности информации ФСТЭК России (2021)
Актуальная «Методика оценки угроз безопасности информации» ФСТЭК России 2021 года представляет собой универсальный подход, который позволяет оценить риски вне зависимости от типа системы.
Методика требует, чтобы при оценке угрозы рассматривалась следующая логическая цепочка:
Уязвимость -> Источник угрозы -> Нарушитель -> Реализация угрозы -> Последствия
При формировании перечня актуальных угроз, организация должна учитывать следующие источники данных:
- Сведения о возможностях нарушителей (Модель нарушителя).
- Результаты анализа уязвимостей (тестирование на проникновение).
- Данные Банка угроз ФСТЭК России (БДУ).
Методика 2021 года также подчеркивает важность оценки не только технической реализуемости, но и вероятности возникновения угрозы, а также масштаба негативных последствий (ущерб).
Классификация и анализ модели нарушителя
Модель нарушителя — это не просто описание злоумышленника, а инструмент для определения необходимого уровня защиты.
В соответствии с Методикой ФСТЭК, нарушители классифицируются не только по положению (Внешние, Внутренние, Комбинированные), но и по другим параметрам:
| Параметр классификации | Описание |
|---|---|
| Уровень знаний о системе | Нарушитель может быть Низкоквалифицированным (использует общедоступные инструменты) или Высококвалифицированным (разрабатывает собственные эксплойты). |
| Уровень возможностей (ресурсов) | Нарушитель может обладать Ограниченными (один человек) или Значительными ресурсами (финансируемая группа, спецслужбы). |
| Мотивация | Может быть Корыстной (финансовая выгода), Политической (кибертерроризм) или Личной (месть, нелояльность). |
Например, для информационной системы персональных данных с высоким классом защищенности, наиболее актуальным и опасным будет считаться Внутренний нарушитель, обладающий высокой квалификацией и корыстной мотивацией, поскольку он имеет физический и санкционированный логический доступ к системе. Именно поэтому меры по кадровой безопасности являются критически важными.
Заключение и перспективы развития
Комплексная система обеспечения информационной безопасности в организации, функционирующей в юрисдикции Российской Федерации, представляет собой многоуровневую, строго регулируемую систему, требующую непрерывного соответствия динамично меняющейся нормативно-правовой базе. Чтобы достичь реальной защищенности, необходимо понимать, что ИБ — это не единовременный проект, а цикл непрерывного совершенствования.
Успешное внедрение СЗИ требует не только инвестиций в сертифицированные технические средства (Уровни Доверия ФСТЭК, СКЗИ ФСБ), но и строгого выполнения организационных и правовых мер, таких как построение СМИБ на основе ГОСТ Р ИСО/МЭК 27001-2021, детальное моделирование угроз по Методике ФСТЭК 2021 года и соблюдение специфических требований к защите регулируемой информации (ПДн и КТ).
Системный, риск-ориентированный подход, основанный на актуальных нормах и стандартах, является единственной гарантией минимизации юридических рисков и обеспечения устойчивого функционирования организации в цифровой среде.
Перспективы дальнейших исследований в области ИБ в РФ должны сосредоточиться на следующих ключевых направлениях:
- Анализ практик обеспечения безопасности объектов Критической Информационной Инфраструктуры (КИИ) в свете ФЗ № 187.
- Изучение вопросов импортозамещения в сфере СЗИ и разработка методик оценки рисков при переходе на отечественные платформы.
- Развитие механизмов правового регулирования использования искусственного интеллекта в задачах ИБ и его потенциальных угроз.
Список использованной литературы
- Бабаш, А.В. Информационная безопасность. Лабораторный практикум: Учебное пособие / А.В. Бабаш, Е.К. Баранова, Ю.Н. Мельников. — М.: КноРус, 2013. — 136 c.
- Громов, Ю.Ю. Информационная безопасность и защита информации: Учебное пособие / Ю.Ю. Громов, В.О. Драчев, О.Г. Иванова. — Ст. Оскол: ТНТ, 2010. — 384 c.
- Ефимова, Л.Л. Информационная безопасность детей. Российский и зарубежный опыт: Монография / Л.Л. Ефимова, С.А. Кочерга. — М.: ЮНИТИ-ДАНА, 2013. — 239 c.
- Партыка, Т.Л. Информационная безопасность: Учебное пособие / Т.Л. Партыка, И.И. Попов. — М.: Форум, 2012. — 432 c.
- Петров, С.В. Информационная безопасность: Учебное пособие / С.В. Петров, И.П. Слинькова, В.В. Гафнер. — М.: АРТА, 2012. — 296 c.
- Семененко, В.А. Информационная безопасность: Учебное пособие / В.А. Семененко. — М.: МГИУ, 2010. — 277 c.
- Шаньгин, В.Ф. Информационная безопасность компьютерных систем и сетей: Учебное пособие / В.Ф. Шаньгин. — М.: ИД ФОРУМ, НИЦ ИНФРА-М, 2013. — 416 c.
- Ярочкин, В.И. Информационная безопасность: Учебник для вузов / В.И. Ярочкин. — М.: Акад. Проект, 2008. — 544 c.
- Максименко, В.Н., Афанасьев, В.В. Волков Н.В. Защита информации в сетях сотовой подвижной связи. – М.: Горячая Линия — Телеком, 2007. – 360 с.
- Малюк, А.А., Пазизин С.В, Погожин Н.С. Введение в защиту информации в автоматизированных системах. – М.: Горячая Линия — Телеком, 2011. – 146 с.
- Петраков, А.В. Основы практической защиты информации. Учебное пособие. – М.: Солон-Пресс, 2005. – 384 с.
- Хорев, П.Б. Методы и средства защиты информации в компьютерных системах. – М.: Академия, 2008. – 256 с.
- Торокин, А. А. Инженерно- техническая защита информации: Учебное пособие для вузов / А. А. Торокин. — М.: Гелиос АРВ, 2005.
- Справочник законодательства Российской Федерации в области информационной безопасности. URL: https://securityvision.ru/blog/security-vision-analytics/spravochnik-zakonodatelstva-rossiyskoy-federatsii-v-oblasti-informatsionnoy-bezopasnosti/ (дата обращения: 30.10.2025).
- Основные нормативно-правовые документы в области защиты информации. URL: http://cap.ru/info/2011/4967 (дата обращения: 30.10.2025).
- Сертификат на средства защиты информации (СЗИ) — цена, сроки оформления. URL: https://promtehgost.ru/blog/sertifikatsiya-szi/ (дата обращения: 30.10.2025).
- Виды средств защиты информации, подлежащих сертификации в системе сертификации СЗИ-ГТ. URL: https://base.garant.ru/181519/ (дата обращения: 30.10.2025).
- Сертификация средств защиты информации по уровням доверия. URL: https://systematic.ru/sertifikatsiya-szi-po-urovnyam-doveriya/ (дата обращения: 30.10.2025).
- Действующие нормативные правовые акты [Справочно-правовая система по информационной безопасности]. URL: https://www.sps-ib.ru/normativnye-pravovye-akty (дата обращения: 30.10.2025).
- Этапы построения системы защиты информации. URL: https://selectel.ru/academy/articles/build-information-security-system/ (дата обращения: 30.10.2025).
- Методика создания и внедрение системы менеджмента информационной безопасности на промышленном предприятии // Сборник научных трудов БРГТУ. 2020. Вып. 1(2). URL: https://www.brstu.ru/static/unit/nauka/izdaniya/sborniki/sbornik-1-2020-2.pdf (дата обращения: 30.10.2025).
- Системы менеджмента информационной безопасности (ISO/IEC 27001/ГОСТ Р ИСО 27001). URL: https://s-konsalt.ru/sistema-menedzhmenta-informatsionnoj-bezopasnosti-iso-27001/ (дата обращения: 30.10.2025).
- Противодействие кадровым угрозам безопасности организации. URL: https://www.e-biblio.ru/book/04010319200021/04010319200021-page-44.html (дата обращения: 30.10.2025).
- Обеспечение кадровой безопасности как инструмент обеспечения экономической безопасности организации // CyberLeninka. URL: https://cyberleninka.ru/article/n/obespechenie-kadrovoy-bezopasnosti-kak-instrument-obespecheniya-ekonomicheskoy-bezopasnosti-organizatsii (дата обращения: 30.10.2025).
- Концепция обеспечения безопасности организации. URL: https://sec-company.ru/koncepciya-obespecheniya-bezopasnosti-organizacii/ (дата обращения: 30.10.2025).
- Статья 6. Условия обработки персональных данных // КонсультантПлюс. URL: https://www.consultant.ru/document/cons_doc_LAW_61801/1699f7d3e09804b494668b5936dd0a9c687f879d/ (дата обращения: 30.10.2025).
- Обзор решений для управления безопасностью и защиты МСБ. 2025. URL: https://www.anti-malware.ru/analytics/market-analysis/msb-security-solutions-review-2025 (дата обращения: 30.10.2025).
- 5 ключевых законов РФ об информационной безопасности: как хранить и защищать данные. URL: https://vk.com/@vkcloud-5-klyuchevyh-zakonov-rf-ob-informacionnoi-bezopasnosti (дата обращения: 30.10.2025).