Добавить 'Лекции/2.1.100_Содержание_и_порядок_выполнения_работ_по_защите_информаци/001/beloshapko.md'

Лекции/2.1.100_Содержание_и_порядок_выполнения_работ_по_защите_информаци/001/beloshapko.md

@@ -0,0 +1,241 @@
+# Содержание и порядок выполнения работ по защите информации
+
+## Введение
+
+Модернизация автоматизированной системы (АС) в защищённом исполнении — это **изменение состава, структуры или функций системы**, при котором она продолжает обрабатывать информацию ограниченного доступа. В отличие от создания новой системы, модернизация проводится на **действующей инфраструктуре**, что создаёт дополнительные риски для защиты информации.
+
+Главная особенность таких работ — **непрерывность защиты**. Система не должна оставаться без защиты ни на одном этапе модернизации: ни при замене оборудования, ни при обновлении программного обеспечения, ни при изменении конфигурации. Любое ослабление режима защиты на время работ может быть использовано нарушителем.
+
+Актуальность темы обусловлена тем, что современные организации вынуждены постоянно обновлять свои информационные системы: растут объёмы данных, появляются новые угрозы, меняются требования регуляторов. При этом **модернизация защищённой АС — это не просто техническое обновление**, а комплекс мероприятий, затрагивающих всю систему защиты информации.
+
+Настоящий доклад рассматривает **содержание работ** по защите информации на каждом этапе модернизации и **порядок их выполнения** в соответствии с требованиями регуляторов.
+
+---
+
+## 1. Понятие модернизации защищённой АС
+
+**Модернизация АС в защищённом исполнении** — это комплекс работ по изменению системы, выполняемый без снятия режима защиты информации.
+
+Основные виды модернизации:
+
+- **аппаратная** — замена серверов, рабочих станций, сетевого оборудования, систем хранения данных;
+- **программная** — обновление операционных систем, СУБД, прикладного ПО, средств защиты информации;
+- **функциональная** — добавление новых подсистем, задач или сервисов;
+- **инфраструктурная** — изменение топологии сети, переход в виртуальную среду, миграция в облако.
+
+**Чем модернизация отличается от создания новой АС:**
+
+- работы ведутся на **действующей системе**, которая уже обрабатывает защищаемую информацию;
+- нельзя просто «выключить» систему на время работ — это нарушит бизнес-процессы;
+- необходимо **сохранить достигнутый уровень защищённости** на всех этапах;
+- требуется **обновление документации**, а не её создание с нуля.
+
+> 📌 Модернизация отличается от создания новой АС тем, что все работы выполняются **на действующей системе**, без остановки обработки защищаемой информации.
+
+**Причины модернизации:**
+
+- моральное и физическое устаревание оборудования;
+- окончание срока поддержки программного обеспечения;
+- появление новых угроз и уязвимостей;
+- изменение требований регуляторов;
+- расширение функциональности системы.
+
+---
+
+## 2. Нормативная база
+
+Работы по защите информации при модернизации регулируются:
+
+- **ФЗ-149 «Об информации, информационных технологиях и о защите информации»** — общие требования к защите информации;
+- **ФЗ-152 «О персональных данных»** — требования к защите ПДн при их обработке;
+- **Приказ ФСТЭК № 21** — состав и содержание организационных и технических мер по обеспечению безопасности ПДн;
+- **Приказ ФСТЭК № 17** — требования к защите информации в государственных информационных системах;
+- **ГОСТ 34.601-90** — стадии создания и модернизации автоматизированных систем;
+- **Методика оценки угроз безопасности информации** (ФСТЭК, 2021).
+
+> ⚖️ С 1 сентября 2026 года вступает в силу **новый приказ ФСТЭК**, заменяющий приказ № 21. Он вводит гибкую трёхуровневую схему выбора мер защиты и требует оценки «уровня зрелости» мер не реже раза в три года. Это означает, что организациям придётся пересмотреть не только состав мер, но и порядок их оценки.
+
+**Что важно учитывать:**
+
+- требования регуляторов могут различаться в зависимости от **класса защищённости** АС;
+- для государственных систем требования **строже**, чем для коммерческих;
+- при модернизации необходимо **согласование с регулятором**, если система была аттестована.
+
+---
+
+## 3. Содержание работ по защите информации
+
+### 🔍 Этап 1. Анализ текущего состояния защиты
+
+Перед началом модернизации необходимо провести **полный анализ** текущего состояния системы и её защиты.
+
+**Что делается:**
+
+- проводится **инвентаризация** всех компонентов системы: серверов, рабочих станций, сетевого оборудования, средств защиты;
+- оценивается **актуальность модели угроз** — не появились ли новые угрозы с момента последней оценки;
+- проверяется **соответствие текущих мер** требованиям регуляторов;
+- выявляются **уязвимости** в существующей конфигурации;
+- анализируется **документация**: модель угроз, политика ИБ, руководства, журналы.
+
+**Что важно:**
+
+- инвентаризация должна охватывать **не только hardware и software**, но и **информационные ресурсы**;
+- при выявлении устаревших компонентов нужно оценить **риск их дальнейшего использования**;
+- если система была аттестована, необходимо проверить **срок действия аттестата**.
+
+**Результат:** отчёт о текущем состоянии защиты, перечень проблем и рекомендации по их устранению.
+
+---
+
+### 📝 Этап 2. Разработка плана модернизации
+
+На основе анализа разрабатывается **план модернизации**, который учитывает требования защиты информации.
+
+**Что включается в план:**
+
+- **перечень изменений** в системе и их влияние на защиту информации;
+- **меры по защите** на период модернизации (компенсирующие меры);
+- **порядок поэтапного выполнения** работ с сохранением режима защиты;
+- **ответственные лица** за каждый этап;
+- **сроки** выполнения работ и контрольные точки;
+- **порядок действий** в случае возникновения инцидентов.
+
+**Компенсирующие меры** — это временные меры, которые применяются, если штатные средства защиты временно недоступны. Например:
+
+- усиление **физической охраны** на время замены оборудования;
+- **ограничение доступа** к модернизируемым компонентам;
+- **дополнительный контроль** действий пользователей;
+- **резервное копирование** перед изменениями.
+
+> 🔑 Ключевое требование: **ни один этап модернизации не должен снижать достигнутый уровень защищённости**.
+
+**Что важно:**
+
+- план должен быть **согласован** со службой ИБ и руководством;
+- при аттестованной системе — **согласован с регулятором**;
+- план должен предусматривать **возможность отката** изменений.
+
+---
+
+### 🛠️ Этап 3. Выполнение модернизации
+
+Непосредственное выполнение работ — самый рискованный этап, так как система работает в **режиме реального времени**.
+
+**Что делается:**
+
+- **сохраняется работоспособность средств защиты** на всех этапах;
+- **регистрируются все изменения** в конфигурации системы и системы защиты;
+- **контролируется доступ** к модернизируемым компонентам;
+- **тестируются** новые компоненты в изолированной среде перед вводом в эксплуатацию;
+- **проводится резервное копирование** перед каждым изменением.
+
+**Особенности по типам модернизации:**
+
+| Тип модернизации | Меры защиты |
+|---|---|
+| Аппаратная | Физическая охрана, маркировка, учёт носителей, контроль доступа в помещения |
+| Программная | Проверка целостности, антивирусный контроль, тестирование на стенде, контроль обновлений |
+| Функциональная | Обновление модели угроз, пересмотр прав доступа, тестирование новых функций |
+| Инфраструктурная | Защита виртуальной среды, сегментация сети, контроль миграции данных |
+
+**Что важно:**
+
+- изменения должны вноситься **поэтапно**, а не все сразу;
+- при возможности используется **пилотная эксплуатация** на ограниченном сегменте;
+- все действия **документируются** — акты, журналы, протоколы.
+
+---
+
+### ✅ Этап 4. Оценка эффективности защиты после модернизации
+
+После завершения работ необходимо **убедиться**, что уровень защищённости не снизился.
+
+**Что делается:**
+
+- проводится **повторная оценка угроз** с учётом изменений;
+- проверяется **работоспособность всех мер защиты**;
+- проводится **контроль (анализ) защищённости** — выявление новых уязвимостей;
+- обновляется **модель угроз** и **политика информационной безопасности**;
+- при необходимости — проводится **аттестация** модернизированной системы;
+- обновляется **эксплуатационная документация**.
+
+**Что важно:**
+
+- оценка должна быть **объективной** — лучше привлекать независимых экспертов;
+- если выявлены новые уязвимости — необходимо **принять меры** до ввода системы в эксплуатацию;
+- результаты оценки **документируются**.
+
+> 📊 Согласно новому приказу ФСТЭК, оценка эффективности мер должна проводиться **перед началом обработки данных, не реже раза в три года и после каждого инцидента**.
+
+---
+
+## 4. Порядок выполнения работ
+
+Последовательность этапов модернизации:
+
+1. **Анализ текущего состояния** → отчёт о состоянии защиты;
+2. **Разработка плана модернизации** → план с компенсирующими мерами;
+3. **Выполнение модернизации** → поэтапное изменение системы;
+4. **Оценка эффективности** → обновлённая модель угроз и политика ИБ.
+
+![Порядок выполнения работ по защите информации](https://inf-security.ucoz.ru/zaschita.jpg)
+
+*Рис. 1. Циклический порядок выполнения работ по защите информации при модернизации АС (КСЗИ — комплексная система защиты информации)*
+
+**Особенности порядка:**
+
+- этапы выполняются **последовательно**, но допускается **параллельное выполнение** отдельных работ;
+- при модернизации крупной системы возможен **поэтапный ввод** новых компонентов с постепенным отказом от старых;
+- **пилотная эксплуатация** позволяет выявить проблемы до полного развёртывания;
+- на каждом этапе проводится **контроль** выполнения работ и **документирование** результатов.
+
+**Контрольные точки:**
+
+- завершение анализа → утверждение плана;
+- завершение каждого этапа модернизации → промежуточный отчёт;
+- завершение всех работ → итоговая оценка эффективности.
+
+---
+
+## 5. Особенности и типичные ошибки
+
+**Особенности защиты информации при модернизации:**
+
+- **непрерывность** — защита действует на всех этапах;
+- **контроль изменений** — каждое изменение регистрируется и анализируется;
+- **компенсирующие меры** — если штатная защита временно недоступна, применяются дополнительные;
+- **документирование** — акты, журналы, обновлённая модель угроз и политика ИБ;
+- **согласование с регулятором** — при работе с аттестованными системами.
+
+**Типичные ошибки:**
+
+- ❌ модернизация без предварительной оценки угроз;
+- ❌ отключение средств защиты на время работ;
+- ❌ отсутствие регистрации изменений конфигурации;
+- ❌ необновлённая модель угроз после модернизации;
+- ❌ отсутствие оценки эффективности защиты;
+- ❌ отсутствие резервного копирования перед изменениями;
+- ❌ несогласование работ с регулятором при аттестованной системе.
+
+> ⚠️ Любая из этих ошибок может привести к **снижению уровня защищённости** и нарушениям требований регуляторов, вплоть до **приостановки эксплуатации системы**.
+
+---
+
+## Заключение
+
+Модернизация автоматизированной системы в защищённом исполнении — это **сложный процесс**, требующий системного подхода к защите информации. Главный принцип — **непрерывность защиты**: система не должна оставаться без защиты ни на одном этапе.
+
+Работы включают четыре этапа: анализ текущего состояния, разработку плана, выполнение модернизации и оценку эффективности. Все они регулируются ФЗ-149, ФЗ-152 и приказами ФСТЭК. После модернизации обязательна оценка эффективности мер защиты, а все изменения должны быть задокументированы — это доказательство сохранения уровня защищённости. Компенсирующие меры позволяют не снижать уровень защиты на время работ.
+
+Только системный подход к защите информации при модернизации обеспечивает **безопасную и эффективную эксплуатацию** обновлённой автоматизированной системы.
+
+---
+
+## 📚 Источники
+
+1. ФЗ-149 «Об информации, информационных технологиях и о защите информации».
+2. ФЗ-152 «О персональных данных».
+3. Приказ ФСТЭК России № 21 от 18.02.2013 (с изменениями).
+4. Приказ ФСТЭК России № 17 от 11.02.2013.
+5. ГОСТ 34.601-90. Автоматизированные системы. Стадии создания.
+6. Методика оценки угроз безопасности информации (ФСТЭК, 2021).