Обновить 'Лекции/2.1.100_Содержание_и_порядок_выполнения_работ_по_защите_информаци/001/karina.md'

Лекции/2.1.100_Содержание_и_порядок_выполнения_работ_по_защите_информаци/001/karina.md

@@ -1,233 +1,131 @@
-# Содержание и порядок выполнения работ по защите информации
+# 🛡️ Содержание и порядок выполнения работ по защите информации
 
 ## Введение
 
-Модернизация автоматизированной системы (АС) в защищённом исполнении — это **изменение состава, структуры или функций системы**, при котором она продолжает обрабатывать информацию ограниченного доступа. В отличие от создания новой системы, модернизация проводится на **действующей инфраструктуре**, что создаёт дополнительные риски для защиты информации.
+Защита информации — это комплекс мероприятий, направленных на обеспечение конфиденциальности, целостности и доступности данных. В современном мире, где информация становится ключевым ресурсом любой организации, грамотное построение системы защиты приобретает стратегическое значение.
 
-Главная особенность таких работ — **непрерывность защиты**. Система не должна оставаться без защиты ни на одном этапе модернизации: ни при замене оборудования, ни при обновлении программного обеспечения, ни при изменении конфигурации. Любое ослабление режима защиты на время работ может быть использовано нарушителем.
+Однако защита информации — это **не разовое действие**, а непрерывный процесс. Чтобы система безопасности работала эффективно, необходимо четко понимать **содержание работ** (что именно нужно делать) и **порядок их выполнения** (в какой последовательности). Хаотичное внедрение средств защиты, покупка дорогостоящего оборудования без предварительного анализа рисков часто приводит к лишним финансовым затратам и появлению скрытых уязвимостей.
 
-Актуальность темы обусловлена тем, что современные организации вынуждены постоянно обновлять свои информационные системы: растут объёмы данных, появляются новые угрозы, меняются требования регуляторов. При этом **модернизация защищённой АС — это не просто техническое обновление**, а комплекс мероприятий, затрагивающих всю систему защиты информации.
-
-Настоящий доклад рассматривает **содержание работ** по защите информации на каждом этапе модернизации и **порядок их выполнения** в соответствии с требованиями регуляторов.
+Актуальность темы обусловлена тем, что злоумышленники постоянно совершенствуют методы атак, а требования законодательства к защите данных (особенно персональных) с каждым годом ужесточаются. Настоящий доклад рассматривает универсальный порядок, содержание этапов и ключевые направления работ по организации защиты информации на объекте информатизации в соответствии с требованиями регуляторов.
 
 ---
 
-## 1. Понятие модернизации защищённой АС
-
-**Модернизация АС в защищённом исполнении** — это комплекс работ по изменению системы, выполняемый без снятия режима защиты информации.
-
-Основные виды модернизации:
-
-- **аппаратная** — замена серверов, рабочих станций, сетевого оборудования, систем хранения данных;
-- **программная** — обновление операционных систем, СУБД, прикладного ПО, средств защиты информации;
-- **функциональная** — добавление новых подсистем, задач или сервисов;
-- **инфраструктурная** — изменение топологии сети, переход в виртуальную среду, миграция в облако.
+## 1. Понятие и цели защиты информации
 
-**Чем модернизация отличается от создания новой АС:**
+**Защита информации** — это деятельность по предотвращению утечки защищаемой информации, а также несанкционированных и непреднамеренных воздействий на неё.
 
-- работы ведутся на **действующей системе**, которая уже обрабатывает защищаемую информацию;
-- нельзя просто «выключить» систему на время работ — это нарушит бизнес-процессы;
-- необходимо **сохранить достигнутый уровень защищённости** на всех этапах;
-- требуется **обновление документации**, а не её создание с нуля.
+Согласно стандартам, система защиты информации должна обеспечивать три базовых свойства (триада КЦД):
 
-> 📌 Модернизация отличается от создания новой АС тем, что все работы выполняются **на действующей системе**, без остановки обработки защищаемой информации.
+- **Конфиденциальность** — информация доступна только тем субъектам, которые имеют на это официальное право (защита от утечек и шпионажа).
+- **Целостность** — информация защищена от несанкционированного изменения, уничтожения или искажения (защита от подмены данных, вирусов-шифровальщиков).
+- **Доступность** — информация и связанные с ней ресурсы доступны авторизованным пользователям именно в тот момент, когда они в них нуждаются (защита от DDoS-атак, сбоев оборудования).
 
-**Причины модернизации:**
-
-- моральное и физическое устаревание оборудования;
-- окончание срока поддержки программного обеспечения;
-- появление новых угроз и уязвимостей;
-- изменение требований регуляторов;
-- расширение функциональности системы.
+> 📌 Защита информации — это непрерывный циклический процесс, а не единоразовая установка программного обеспечения. Система безопасности должна развиваться вместе с самой информационной системой.
 
 ---
 
 ## 2. Нормативная база
 
-Работы по защите информации при модернизации регулируются:
-
-- **ФЗ-149 «Об информации, информационных технологиях и о защите информации»** — общие требования к защите информации;
-- **ФЗ-152 «О персональных данных»** — требования к защите ПДн при их обработке;
-- **Приказ ФСТЭК № 21** — состав и содержание организационных и технических мер по обеспечению безопасности ПДн;
-- **Приказ ФСТЭК № 17** — требования к защите информации в государственных информационных системах;
-- **ГОСТ 34.601-90** — стадии создания и модернизации автоматизированных систем;
-- **Методика оценки угроз безопасности информации** (ФСТЭК, 2021).
+Порядок и содержание работ по защите информации строго регламентируются государственными стандартами и законами. Игнорирование этих требований может привести не только к утечкам, но и к серьезным административным штрафам и блокировкам со стороны регуляторов.
 
-> ⚖️ С 1 сентября 2026 года вступает в силу **новый приказ ФСТЭК**, заменяющий приказ № 21. Он вводит гибкую трёхуровневую схему выбора мер защиты и требует оценки «уровня зрелости» мер не реже раза в три года. Это означает, что организациям придётся пересмотреть не только состав мер, но и порядок их оценки.
+Основные документы:
 
-**Что важно учитывать:**
+- **ФЗ-149 «Об информации, информационных технологиях и о защите информации»** — базовый закон, определяющий правовые основы защиты.
+- **ФЗ-152 «О персональных данных»** — устанавливает жесткие требования к обработке и защите данных граждан.
+- **Приказ ФСТЭК № 17** — требования к защите информации в государственных информационных системах (ГИС).
+- **Приказ ФСТЭК № 21** — определяет состав и содержание организационных и технических мер по обеспечению безопасности персональных данных.
+- **ГОСТ Р 50922-2006** — устанавливает основные термины и определения в области защиты информации.
 
-- требования регуляторов могут различаться в зависимости от **класса защищённости** АС;
-- для государственных систем требования **строже**, чем для коммерческих;
-- при модернизации необходимо **согласование с регулятором**, если система была аттестована.
+> ⚖️ **Важно:** В зависимости от типа обрабатываемых данных (государственная тайна, персональные данные, коммерческая тайна) состав документов и строгость требований могут существенно различаться. Для работы с персональными данными обязательным является уведомление Роскомнадзора.
 
 ---
 
 ## 3. Содержание работ по защите информации
 
-### 🔍 Этап 1. Анализ текущего состояния защиты
-
-Перед началом модернизации необходимо провести **полный анализ** текущего состояния системы и её защиты.
-
-**Что делается:**
-
-- проводится **инвентаризация** всех компонентов системы: серверов, рабочих станций, сетевого оборудования, средств защиты;
-- оценивается **актуальность модели угроз** — не появились ли новые угрозы с момента последней оценки;
-- проверяется **соответствие текущих мер** требованиям регуляторов;
-- выявляются **уязвимости** в существующей конфигурации;
-- анализируется **документация**: модель угроз, политика ИБ, руководства, журналы.
-
-**Что важно:**
-
-- инвентаризация должна охватывать **не только hardware и software**, но и **информационные ресурсы**;
-- при выявлении устаревших компонентов нужно оценить **риск их дальнейшего использования**;
-- если система была аттестована, необходимо проверить **срок действия аттестата**.
-
-**Результат:** отчёт о текущем состоянии защиты, перечень проблем и рекомендации по их устранению.
-
----
-
-### 📝 Этап 2. Разработка плана модернизации
-
-На основе анализа разрабатывается **план модернизации**, который учитывает требования защиты информации.
+Защита информации не сводится только к установке антивируса. Это комплексная система, включающая несколько ключевых направлений. Все средства защиты делятся на формальные (технические, программные, криптографические) и неформальные (законодательные, организационные, морально-этические).
 
-**Что включается в план:**
+![Классификация средств защиты информации](bel1.jpg)
 
-- **перечень изменений** в системе и их влияние на защиту информации;
-- **меры по защите** на период модернизации (компенсирующие меры);
-- **порядок поэтапного выполнения** работ с сохранением режима защиты;
-- **ответственные лица** за каждый этап;
-- **сроки** выполнения работ и контрольные точки;
-- **порядок действий** в случае возникновения инцидентов.
+*Рис. 1. Классификация средств защиты информации*
 
-**Компенсирующие меры** — это временные меры, которые применяются, если штатные средства защиты временно недоступны. Например:
+Рассмотрим ключевые направления подробнее:
 
-- усиление **физической охраны** на время замены оборудования;
-- **ограничение доступа** к модернизируемым компонентам;
-- **дополнительный контроль** действий пользователей;
-- **резервное копирование** перед изменениями.
+1. **Правовая (законодательная) защита** — разработка внутренних политик, регламентов, приказов и инструкций. Назначение ответственных лиц за обработку данных.
+2. **Организационная защита** — ограничение физического доступа к серверам и носителям, введение пропускного режима, обучение персонала правилам информационной гигиены, работа с кадровыми службами (проверка сотрудников).
+3. **Инженерно-техническая защита** — установка систем охраны и видеонаблюдения, защита помещений от прослушивания, экранирование кабельных линий, защита от утечек по техническим каналам (электромагнитное излучение).
+4. **Программно-аппаратная защита** — использование межсетевых экранов (брандмауэров), антивирусных программ, систем обнаружения вторжений (IDS/IPS), средств шифрования (криптография) и систем разграничения доступа.
 
-> 🔑 Ключевое требование: **ни один этап модернизации не должен снижать достигнутый уровень защищённости**.
-
-**Что важно:**
-
-- план должен быть **согласован** со службой ИБ и руководством;
-- при аттестованной системе — **согласован с регулятором**;
-- план должен предусматривать **возможность отката** изменений.
+Все эти направления должны применяться в комплексе. Только наличие замка на двери (организационная мера) без пароля на компьютере (программная мера) не обеспечит должного уровня безопасности.
 
 ---
 
-### 🛠️ Этап 3. Выполнение модернизации
-
-Непосредственное выполнение работ — самый рискованный этап, так как система работает в **режиме реального времени**.
-
-**Что делается:**
-
-- **сохраняется работоспособность средств защиты** на всех этапах;
-- **регистрируются все изменения** в конфигурации системы и системы защиты;
-- **контролируется доступ** к модернизируемым компонентам;
-- **тестируются** новые компоненты в изолированной среде перед вводом в эксплуатацию;
-- **проводится резервное копирование** перед каждым изменением.
-
-**Особенности по типам модернизации:**
-
-| Тип модернизации | Меры защиты |
-|---|---|
-| Аппаратная | Физическая охрана, маркировка, учёт носителей, контроль доступа в помещения |
-| Программная | Проверка целостности, антивирусный контроль, тестирование на стенде, контроль обновлений |
-| Функциональная | Обновление модели угроз, пересмотр прав доступа, тестирование новых функций |
-| Инфраструктурная | Защита виртуальной среды, сегментация сети, контроль миграции данных |
-
-**Что важно:**
+## 4. Порядок выполнения работ по защите информации
 
-- изменения должны вноситься **поэтапно**, а не все сразу;
-- при возможности используется **пилотная эксплуатация** на ограниченном сегменте;
-- все действия **документируются** — акты, журналы, протоколы.
+Работы по созданию и поддержанию системы защиты информации выполняются в строгой последовательности. Нарушение этого порядка (например, покупка средств защиты до анализа угроз) приводит к неэффективным тратам и оставляет систему уязвимой.
 
----
-
-### ✅ Этап 4. Оценка эффективности защиты после модернизации
+> 🔄 Процесс защиты информации цикличен: после этапа контроля и модернизации КСЗИ организация возвращается к сбору информации, чтобы вовремя реагировать на новые вызовы. Защита информации — это бесконечный цикл совершенствования.
 
-После завершения работ необходимо **убедиться**, что уровень защищённости не снизился.
+### 🔍 Этап 1. Обследование и сбор информации
 
-**Что делается:**
+На этом этапе проводится глубокий аудит объекта:
 
-- проводится **повторная оценка угроз** с учётом изменений;
-- проверяется **работоспособность всех мер защиты**;
-- проводится **контроль (анализ) защищённости** — выявление новых уязвимостей;
-- обновляется **модель угроз** и **политика информационной безопасности**;
-- при необходимости — проводится **аттестация** модернизированной системы;
-- обновляется **эксплуатационная документация**.
+- инвентаризация всех информационных ресурсов, аппаратного и программного обеспечения;
+- составление схемы информационных потоков (как данные циркулируют в компании, кто к ним имеет доступ);
+- определение категорий обрабатываемой информации (например, ПДн, коммерческая тайна, служебная информация) и определение уровня её важности;
+- выявление уже существующих средств защиты.
 
-**Что важно:**
+### 📝 Этап 2. Анализ угроз и моделирование нарушителя
 
-- оценка должна быть **объективной** — лучше привлекать независимых экспертов;
-- если выявлены новые уязвимости — необходимо **принять меры** до ввода системы в эксплуатацию;
-- результаты оценки **документируются**.
+На основе собранной информации формируется понимание того, от кого и как защищаться:
 
-> 📊 Согласно новому приказу ФСТЭК, оценка эффективности мер должна проводиться **перед началом обработки данных, не реже раза в три года и после каждого инцидента**.
-
----
+- выявляются **актуальные угрозы** безопасности информации (утечки, взлом, вирусы, физическое похищение);
+- разрабатывается **модель нарушителя** (кто может атаковать: внешний хакер, нелояльный сотрудник, конкурент; какими возможностями он обладает);
+- оценивается возможный ущерб от реализации каждой угрозы.
 
-## 4. Порядок выполнения работ
+### 🛡️ Этап 3. Определение требований и выбор мер защиты
 
-Последовательность этапов модернизации:
+Проектируется **Комплексная система защиты информации (КСЗИ)**:
 
-1. **Анализ текущего состояния** → отчёт о состоянии защиты;
-2. **Разработка плана модернизации** → план с компенсирующими мерами;
-3. **Выполнение модернизации** → поэтапное изменение системы;
-4. **Оценка эффективности** → обновлённая модель угроз и политика ИБ.
+- на основе нормативных документов (ФСТЭК, ФСБ) и выявленных угроз определяются требования к системе защиты;
+- подбираются методы нейтрализации каждой угрозы (организационные, технические, программные);
+- составляется план внедрения мер и смета (бюджет) проекта.
 
-![Порядок выполнения работ по защите информации](bel1.jpg)
+### 🛠️ Этап 4. Реализация мер защиты
 
-*Рис. 1. Циклический порядок выполнения работ по защите информации при модернизации АС (КСЗИ — комплексная система защиты информации)*
+Непосредственное внедрение выбранных решений в работу:
 
-**Особенности порядка:**
+- установка и настройка программно-аппаратных средств защиты (антивирусы, DLP-системы, межсетевые экраны);
+- применение организационных мер (издание приказов, назначение ответственных за ИБ);
+- настройка разграничения прав доступа пользователей (принцип минимальных привилегий);
+- обучение персонала.
 
-- этапы выполняются **последовательно**, но допускается **параллельное выполнение** отдельных работ;
-- при модернизации крупной системы возможен **поэтапный ввод** новых компонентов с постепенным отказом от старых;
-- **пилотная эксплуатация** позволяет выявить проблемы до полного развёртывания;
-- на каждом этапе проводится **контроль** выполнения работ и **документирование** результатов.
+### ✅ Этап 5. Оценка эффективности и контроль
 
-**Контрольные точки:**
+Система защиты не может существовать статично, её нужно регулярно проверять:
 
-- завершение анализа → утверждение плана;
-- завершение каждого этапа модернизации → промежуточный отчёт;
-- завершение всех работ → итоговая оценка эффективности.
+- проводится оценка эффективности внедренных мер (тестирование на проникновение, аудит защищенности);
+- при необходимости проводится процедура **аттестации** объекта информатизации;
+- осуществляется постоянный контроль и модернизация КСЗИ при изменении условий (появление новых угроз, обновление бизнес-процессов).
 
 ---
 
-## 5. Особенности и типичные ошибки
+## 5. Типичные ошибки при организации защиты информации
 
-**Особенности защиты информации при модернизации:**
+- ❌ **Начало работ с закупки средств защиты** без предварительного анализа угроз (покупают дорогостоящие комплексы, которые не нужны).
+- ❌ **Отсутствие организационных документов** (политик, приказов) — даже с хорошим софтом сотрудники нарушают правила из-за отсутствия регламентов.
+- ❌ **Формальный подход** (приобретение сертифицированных средств «для галочки» для проверки, без их реальной настройки и интеграции).
+- ❌ **Отсутствие регулярного контроля и обновления** системы защиты (устаревшие антивирусные базы, незакрытые уязвимости).
+- ❌ **Человеческий фактор** — отсутствие обучения персонала, из-за чего сотрудники становятся жертвами социальной инженерии (фишинга).
 
-- **непрерывность** — защита действует на всех этапах;
-- **контроль изменений** — каждое изменение регистрируется и анализируется;
-- **компенсирующие меры** — если штатная защита временно недоступна, применяются дополнительные;
-- **документирование** — акты, журналы, обновлённая модель угроз и политика ИБ;
-- **согласование с регулятором** — при работе с аттестованными системами.
-
-**Типичные ошибки:**
-
-- ❌ модернизация без предварительной оценки угроз;
-- ❌ отключение средств защиты на время работ;
-- ❌ отсутствие регистрации изменений конфигурации;
-- ❌ необновлённая модель угроз после модернизации;
-- ❌ отсутствие оценки эффективности защиты;
-- ❌ отсутствие резервного копирования перед изменениями;
-- ❌ несогласование работ с регулятором при аттестованной системе.
-
-> ⚠️ Любая из этих ошибок может привести к **снижению уровня защищённости** и нарушениям требований регуляторов, вплоть до **приостановки эксплуатации системы**.
+> ⚠️ Защита информации должна строиться по принципу **«от анализа угроз — к выбору мер»**, а не наоборот.
 
 ---
 
 ## Заключение
 
-Модернизация автоматизированной системы в защищённом исполнении — это **сложный процесс**, требующий системного подхода к защите информации. Главный принцип — **непрерывность защиты**: система не должна оставаться без защиты ни на одном этапе.
-
-Работы включают четыре этапа: анализ текущего состояния, разработку плана, выполнение модернизации и оценку эффективности. Все они регулируются ФЗ-149, ФЗ-152 и приказами ФСТЭК. После модернизации обязательна оценка эффективности мер защиты, а все изменения должны быть задокументированы — это доказательство сохранения уровня защищённости. Компенсирующие меры позволяют не снижать уровень защиты на время работ.
+Работы по защите информации требуют системного подхода и строгой последовательности. Только пройдя путь от обследования объекта и анализа угроз до внедрения конкретных мер и последующего контроля, можно построить надежную Комплексную систему защиты информации (КСЗИ).
 
-Только системный подход к защите информации при модернизации обеспечивает **безопасную и эффективную эксплуатацию** обновлённой автоматизированной системы.
+Поскольку угрозы постоянно эволюционируют, а хакерские инструменты становятся доступнее, процесс защиты информации является **непрерывным и циклическим**. Соблюдение нормативных требований, правильный порядок выполнения этапов и комплексное использование различных методов защиты позволяют организациям обеспечить конфиденциальность, целостность и доступность своих данных, минимизируя риски финансовых и репутационных потерь.
 
 ---
 
@@ -237,5 +135,5 @@
 2. ФЗ-152 «О персональных данных».
 3. Приказ ФСТЭК России № 21 от 18.02.2013 (с изменениями).
 4. Приказ ФСТЭК России № 17 от 11.02.2013.
-5. ГОСТ 34.601-90. Автоматизированные системы. Стадии создания.
+5. ГОСТ Р 50922-2006. Защита информации. Основные термины и определения.
 6. Методика оценки угроз безопасности информации (ФСТЭК, 2021).