Merge branch 'master' of u23-27poddubnaya/EASvZI into master

Лекции/1.7.200_Состав_и_содержание_мер/Вопросы_Поддубная.md

@@ -0,0 +1,11 @@
+Что такое Персональные данные?  
+Любая информация, относящаяся к определённому или определяемому человеку.  
+
+Какие есть основные организационные меры?  
+Разработка политики в области защиты персональных данных, Назначение ответственных лиц, Обучение сотрудников, Процедуры контроля доступа, План действий в случае инцидентов, Регулярное проведение аудитов и оценки уязвимостей.  
+
+Что используется для предотвращения внешних и внутренних угроз?  
+Применяются средства межсетевого экранирования и системы обнаружения вторжений. Контроль целостности программной среды и данных гарантирует, что информация не будет несанкционированно изменена или удалена.  
+
+Что является обязательным компонентом технической защиты?  
+Обязательным компонентом технической защиты является антивирусное программное обеспечение, охватывающее все рабочие станции и серверы.

Лекции/1.7.200_Состав_и_содержание_мер/Поддубная.md

@@ -0,0 +1,38 @@
+# Состав и содержание организационных и технических мер по защите информационных систем персональных данных.
+
+Защита персональных данных (ПДн) в информационных системах представляет собой комплексную задачу, требующую сочетания административных регламентов и технологических решений. В соответствии с законодательством Российской Федерации, в частности 152-ФЗ «О персональных данных» и нормативными актами ФСТЭК и ФСБ России, меры защиты подразделяются на организационные и технические.  
+
+**Персональные данные** — любая информация, относящаяся к определённому или определяемому человеку.  
+**Информационная система** — совокупность программ, оборудования и процедур, обеспечивающих обработку и хранение данных.  
+**Защита персональных данных** — комплекс мероприятий, направленных на обеспечение конфиденциальности, целостности и доступности данных.  
+
+![](news_1.2.png)
+
+### Организационные меры  
+Организационные меры обеспечивают структурную и нормативную защиту данных. К основным относятся:  
+1. Разработка политики в области защиты персональных данных — правила обработки, хранения и доступа.  
+2. Назначение ответственных лиц — персональных данных, административных и технических специалистов.  
+3. Обучение сотрудников — регулярное проведение инструктажей по вопросам безопасности.  
+4. Процедуры контроля доступа — определение прав и обязанностей по доступу и их ограничение.  
+5. План действий в случае инцидентов — разработка и внедрение планов реагирования на нарушения безопасности.  
+6. Регулярное проведение аудитов и оценки уязвимостей — выявление и устранение потенциальных угроз.  
+
+### Технические меры  
+Технические меры подразумевают внедрение и эксплуатацию программных и аппаратных средств защиты информации. Выбор конкретных механизмов напрямую зависит от установленного уровня защищенности системы. Первым и обязательным этапом является идентификация и аутентификация субъектов доступа, что исключает возможность работы в системе неуполномоченных лиц. Управление доступом позволяет ограничить права пользователей только теми функциями, которые необходимы им для выполнения служебных обязанностей.  
+
+Для предотвращения внешних и внутренних угроз применяются средства межсетевого экранирования и системы обнаружения вторжений. Контроль целостности программной среды и данных гарантирует, что информация не будет несанкционированно изменена или удалена. Обязательным компонентом технической защиты является антивирусное программное обеспечение, охватывающее все рабочие станции и серверы. В случаях, когда передача персональных данных осуществляется через незащищенные каналы связи, применяются криптографические методы защиты информации, такие как создание VPN-туннелей и использование алгоритмов шифрования, сертифицированных регуляторами.  
+
+Содержание системы защиты также включает в себя регистрацию событий безопасности. Ведение логов позволяет проводить расследования инцидентов и выявлять попытки взлома. Резервное копирование данных обеспечивает доступность информации и возможность ее восстановления в случае аппаратного сбоя или кибератаки.  
+
+Не менее значимым фактором является работа с персоналом. Статистика показывает, что значительная часть инцидентов происходит из-за ошибок или неосведомленности сотрудников. Регулярный инструктаж по вопросам кибергигиены, обучение распознаванию фишинговых атак и установление персональной ответственности за нарушение регламентов безопасности помогают минимизировать влияние «человеческого фактора». В крупных организациях целесообразно внедрение систем класса DLP (Data Loss Prevention), которые контролируют передачу конфиденциальных сведений за пределы корпоративной сети через электронную почту, мессенджеры или внешние накопители.  
+
+Завершающим этапом выстраивания надежной защиты является регулярный аудит и мониторинг состояния системы. Угрозы безопасности постоянно эволюционируют, поэтому конфигурации защитных систем требуют периодического пересмотра. Проведение тестов на проникновение и сканирование уязвимостей позволяют обнаружить слабые места в периметре до того, как ими воспользуются злоумышленники. Актуальное состояние системы защиты должно подтверждаться соответствующей документацией и внутренними проверками, что обеспечивает не только техническую устойчивость, но и полное соответствие требованиям законодательства в области защиты персональных данных.  
+
+### Заключение  
+Защита персональных данных — это непрерывный процесс, требующий системного подхода. Необходимо соблюдать баланс между организационными и техническими мерами, постоянно совершенствовать защиту, проводить обучение сотрудников и обновлять технические средства.  
+
+Литература:  
+https://personalresurs.ru/nchou-dpo/obespechenie-bezopasnosti-personalnyh-dannyh?utm_source=yandex&utm_medium=cpc&utm_campaign=708749800&utm_content=1906334260967475023&utm_term=---autotargeting&etext=2202.zwVSKZ74vUFq1IqcNC2N0zys9fIcDyoB-PYGnZubWXP0BR6-Ke39fEhWYPYtXF7GWrrZ5K8f_2PYh0FnC860T-RKeASCWNtYdDiBnvBGQyJOcFRrP7vgTPTlU9LhZnaFsmrUEXA4enscWO_yUn_LVsPzbKeVG3mxkna7LI1-C2BzDuclE1nkfNJDbBxo-YEYwxYYis-4w17vsxnvEGsN61rbSfsOOpAvxa2wFC1jIUeU2N1OeHjx1TYdcfltf0VYA6NAStKZz5moENgENcE_zGltZG1rdW15emhtY3JoZnI.d3db0dedf932214303c350292b8eb989327d5a70&yclid=7794804501661614079  
+https://normativ.kontur.ru/document?moduleId=1&documentId=370164  
+
+

Лекции/1.7.200_Состав_и_содержание_мер/Сценарий_Поддубная.md

@@ -0,0 +1,35 @@
+# Сценарий
+**Жанр:** Обучающий симулятор / Стратегия.  
+**Сюжет:** Игрок вступает в должность Директора по информационной безопасности в крупной компании, которая занимается обработкой данных миллионов клиентов. Задача — за ограниченный бюджет и время выстроить систему защиты до того, как произойдет масштабная проверка регулятора или кибератака.  
+### Уровни и структура игры
+**Уровень 1: Нулевой рубеж (Организационные меры)**
+Игрок оказывается в офисе, где царит хаос. Повсюду лежат флешки, компьютеры не заблокированы, а сотрудники передают пароли на бумажках.  
+**Задачи:**  
+* Сформировать список сотрудников, имеющих доступ к ПДн.  
+* Подписать с каждым документ о неразглашении.  
+* Издать «Положение об обработке ПДн» и утвердить его у директора.  
+**Сложность:** Если игрок не успеет оформить приказ за отведенное время, первый же «внутренний аудит» (игровое событие) начислит штраф.  
+
+**Уровень 2: Укрепление периметра (Технические меры)**  
+На компанию начинается серия мелких DDOS-атак и попыток подбора паролей.  
+**Задачи:**  
+* Выбрать и установить антивирусное ПО и межсетевые экраны.  
+* Настроить двухфакторную аутентификацию для входа в систему.  
+* Развернуть систему шифрования каналов связи (VPN) для удаленных сотрудников.  
+**Игровой выбор:** Выбрать дешевое решение с уязвимостями или дорогое, на которое не хватает бюджета (придется экономить на офисной мебели или обучении).  
+
+**Уровень 3: Теневой сектор (Физическая защита и мониторинг)**  
+В офис пытается проникнуть «злоумышленник» под видом курьера.  
+**Задачи:**  
+* Установить СКУД (электронные замки) на серверную комнату.  
+* Внедрить DLP-систему для перехвата утечек через почту.  
+* Организовать систему резервного копирования данных на защищенный сервер.  
+**Событие «Инцидент»:** Происходит сбой электропитания. Если игрок ранее не купил источники бесперебойного питания, часть данных будет безвозвратно утеряна, и уровень придется переигрывать.  
+
+### Игровые механики
+1. **Шкала «Доверие Регулятора»:** Заполняется при правильном оформлении документов. Если шкала упадет до нуля — игра заканчивается отзывом лицензии компании.  
+2. **Шкала «Бюджет»:** Каждое техническое средство стоит виртуальных денег. Игрок должен балансировать между безопасностью и затратами.  
+3. **Случайные события:** «Фишинговое письмо бухгалтеру», «Потеря ноутбука администратором», «Визит инспектора». Игрок должен мгновенно выбрать вариант реакции.  
+
+### Финал (Победа)
+Игра считается пройденной, если компания успешно отражает атаку хакерской группировки и проходит финальную государственную проверку без замечаний. В конце выводится отчет: сколько данных спасено и насколько эффективно были распределены ресурсы.