Лекции/1.1.100_Понятие_автоматизированной_информационной_системы/sushenok_2.md

@@ -0,0 +1,295 @@
+# Понятие автоматизированной информационной системы
+
+Данная тема является **фундаментальной для понимания современной информационной инфраструктуры**. Автоматизированная информационная система (АИС) — это не просто «программа на компьютере», а **сложный комплекс**, объединяющий технические средства, программное обеспечение, информационные ресурсы и — что принципиально важно — **людей**, которые используют эту систему для выполнения конкретных функций.
+
+## 📌 Ключевое определение: что такое АИС
+
+Согласно **ГОСТ 34.003-90**, **автоматизированная система (АС)** — это **система, состоящая из персонала и комплекса средств автоматизации его деятельности, реализующая информационную технологию выполнения установленных функций** .
+
+**Простыми словами:** АИС — это **человеко-машинная система**. В ней есть **люди** (пользователи и эксплуатационный персонал), **техника** (компьютеры, сети, периферия) и **программы** (ПО, алгоритмы), которые **вместе** решают задачи обработки информации.
+
+**⚠️ Ключевой момент:** Слово **«автоматизированная»** (а не «автоматическая») подчёркивает **решающую роль человека**. В автоматической системе человек вообще не участвует. В автоматизированной — человек **обязательно включён** в контур управления: он ставит задачи, принимает решения, контролирует работу системы.
+
+## 🎯 Компоненты АИС: из чего состоит система
+
+Согласно ГОСТ 34.003-90, в составе АИС выделяют **следующие виды обеспечения** :
+
+| Вид обеспечения | Суть | Примеры |
+|-----------------|------|---------|
+| **Техническое** | Совокупность всех технических средств | Серверы, ПК, сетевое оборудование, периферия |
+| **Программное** | Совокупность программ и программных документов | ОС, СУБД, прикладное ПО, утилиты |
+| **Информационное** | Совокупность форм документов, классификаторов, нормативной базы, решений по объёмам и размещению информации | Базы данных, справочники, классификаторы |
+| **Математическое** | Совокупность математических методов, моделей и алгоритмов | Алгоритмы обработки, математические модели |
+| **Лингвистическое** | Совокупность средств и правил формализации естественного языка | Языки запросов, словари, тезаурусы |
+| **Организационное** | Совокупность документов, устанавливающих структуру, права и обязанности пользователей и персонала | Должностные инструкции, регламенты |
+| **Правовое** | Совокупность правовых норм, регламентирующих отношения при функционировании АИС | Законы, подзаконные акты |
+
+![схема идентификации](./b00000206.jpg)
+*Источник: [компоненты АИС](https://iknigi.net/avtor-elena-chernoprudova/109275-proektirovanie-raspredelennyh-informacionnyh-sistem-elena-chernoprudova/read/page-2.html)*
+
+**⚠️ Важно:** Все эти виды обеспечения работают **вместе**. Отсутствие любого из них делает систему **неполноценной**. Например, мощный сервер без грамотного организационного обеспечения — это просто «железо», которое никто не использует эффективно.
+
+## 🎭 Классификация АИС: какие они бывают
+
+АИС классифицируются по **различным признакам** :
+
+### По виду деятельности
+
+- **АСУ** — автоматизированные системы управления (управление процессами, предприятиями)
+- **САПР** — системы автоматизированного проектирования
+- **АСНИ** — автоматизированные системы научных исследований
+- **Обучающие АС** — системы для образования
+
+![схема идентификации](./b00000199.jpg)
+*Источник: [классификация АИС](https://iknigi.net/avtor-elena-chernoprudova/109275-proektirovanie-raspredelennyh-informacionnyh-sistem-elena-chernoprudova/read/page-2.html)*
+
+### По масштабу
+
+| Тип | Характеристика | Пример |
+|-----|---------------|--------|
+| **Одиночные (АРМ)** | На одном рабочем месте | Автоматизированное рабочее место бухгалтера |
+| **Групповые** | На базе локальной сети | Система документооборота отдела |
+| **Корпоративные** | Территориально распределённые | ERP-система предприятия с филиалами |
+
+### По степени автоматизации
+
+- **Ручные** — все операции выполняет человек
+- **Автоматизированные** — часть операций автоматизирована, решения принимает человек
+- **Автоматические** — все операции выполняются без участия человека
+
+**⚠️ Ключевой вывод:** АИС — это **«золотая середина»** между полностью ручным управлением и полной автоматикой. Она **усиливает** возможности человека, но **не заменяет** его.
+
+## ⛓️ Логическая цепочка: как работает АИС
+
+АИС функционирует по **замкнутому циклу обработки информации**:
+
+**Ввод данных → Обработка → Хранение → Поиск → Вывод результата → Принятие решения человеком**
+
+1. **Пользователь** вводит данные (или они поступают автоматически от датчиков).
+2. **Программное обеспечение** обрабатывает данные по заданным алгоритмам.
+3. **База данных** хранит информацию в структурированном виде.
+4. **Пользователь** запрашивает нужные сведения.
+5. **Система** выдаёт результат в удобной форме (отчёт, график, документ).
+6. **Человек** принимает решение на основе полученной информации.
+
+**⚠️ Важно:** АИС **не принимает решения сама** (в отличие от автоматических систем). Она **готовит информацию** для принятия решения человеком.
+
+## 🎯 Функции АИС: что она умеет
+
+Согласно ГОСТ 34.003-90 :
+
+- **Функция АС** — совокупность действий системы, направленная на достижение определённой цели.
+- **Задача АС** — функция или часть функции, представляющая собой формализованную совокупность автоматических действий, выполнение которых приводит к результату заданного вида.
+
+**Практически это означает:**
+- **Сбор и регистрация** информации
+- **Обработка** данных по заданным алгоритмам
+- **Хранение** информации в базах данных
+- **Поиск** и **выдача** сведений по запросу
+- **Формирование** отчётов и аналитических материалов
+- **Поддержка** принятия управленческих решений
+
+## ⚖️ Нормативная база: что говорит закон и стандарты
+
+### 📜 ГОСТ 34.003-90
+
+**Ключевой документ** в области автоматизированных систем. Устанавливает **единообразные термины и определения** для всех видов АС .
+
+**Основные положения:**
+- АС — это система, состоящая из **персонала** и **комплекса средств автоматизации**.
+- Виды АС выделяются по **виду деятельности** (АСУ, САПР, АСНИ) и по **виду управляемого объекта** (АСУТП, АСУП).
+- Определены **компоненты АС** и их **обеспечение** .
+
+### 📋 Приказ ФСТЭК России от 18.02.2013 № 21
+
+Регламентирует меры защиты информации в **государственных информационных системах**. В контексте АИС устанавливает требования к **идентификации, аутентификации, управлению доступом** и другим мерам защиты.
+
+### ⚠️ Требования к защите АИС
+
+Согласно нормативным документам, АИС должны соответствовать требованиям:
+- **Надёжности** — система должна работать без сбоев
+- **Безопасности** — защита информации от несанкционированного доступа
+- **Гибкости** — возможность адаптации к изменениям
+- **Дружественности** — удобство для пользователя
+- **Соответствия стандартам** — соблюдение ГОСТ и других нормативов 
+
+## 🚨 Типичные ошибки и заблуждения
+
+### ❌ «АИС — это просто программа»
+
+**Ошибка.** АИС включает **людей**, **технику**, **информацию** и **организационные документы**. Программа — лишь **одна из частей**.
+
+### ❌ «Автоматизированная = автоматическая»
+
+**Ошибка.** В автоматизированной системе **человек принимает решения**. В автоматической — **все делает машина** .
+
+### ❌ «Чем больше автоматизации, тем лучше»
+
+**Ошибка.** Чрезмерная автоматизация без учёта **человеческого фактора** приводит к тому, что система становится **непонятной** и **неуправляемой**. АИС должна **усиливать** человека, а не заменять его.
+
+### ❌ «АИС можно внедрить без обучения персонала»
+
+**Ошибка.** Люди — **ключевой компонент** АИС. Без обучения система останется **неиспользованной** или будет использоваться **неправильно**.
+
+## 🎬 СЦЕНАРИЙ: «Один день из жизни автоматизированной информационной системы»
+
+> **Это сквозной практический пример, который связывает все компоненты АИС воедино.**
+
+### 📖 Легенда
+
+В организации **ООО «Ромашка»** развернута **корпоративная автоматизированная информационная система (КАИС)**. В ней работают:
+- **Иван Петров** — бухгалтер (работает с финансовыми документами).
+- **Анна Смирнова** — HR-специалист (ведёт кадровый учёт).
+- **Сергей Кузнецов** — системный администратор (обслуживает систему).
+
+КАИС включает: **сервер**, **АРМ пользователей**, **СУБД**, **прикладное ПО** (1С, кадровая система, документооборот), **сетевое оборудование**, **регламенты работы**.
+
+### 🎭 Акт 1. Утро. Ввод данных
+
+**Иван Петров приходит на работу и включает АРМ.**
+
+1. **Идентификация:** Иван вводит логин `petrov_ii`.
+2. **Аутентификация:** Вводит пароль и код с токена.
+3. **Авторизация:** Система проверяет права Ивана — доступ к папке «Бухгалтерия» и 1С:Бухгалтерия.
+
+**Что происходит внутри АИС:**
+- **Техническое обеспечение** — АРМ, сервер, сеть работают.
+- **Программное обеспечение** — ОС, СУБД, прикладные программы запущены.
+- **Информационное обеспечение** — база данных доступна.
+- **Организационное обеспечение** — регламент доступа соблюдается.
+
+**✅ Результат:** Иван получил доступ к своим ресурсам.
+
+---
+
+### 🎭 Акт 2. Обработка данных
+
+**Иван вводит данные о новой хозяйственной операции.**
+
+1. Иван заполняет форму в 1С: указывает сумму, контрагента, дату.
+2. **Программное обеспечение** проверяет корректность ввода (формат даты, числовые значения).
+3. **Математическое обеспечение** — система рассчитывает налоги по заданным алгоритмам.
+4. **Информационное обеспечение** — данные сохраняются в **базу данных**.
+5. **Техническое обеспечение** — сервер обрабатывает запрос, сеть передаёт данные.
+
+**✅ Результат:** Операция зарегистрирована в системе.
+
+---
+
+### 🎭 Акт 3. Запрос информации
+
+**Анна Смирнова запрашивает данные для отчёта.**
+
+1. Анна входит в систему под своим логином `smirnova_aa`.
+2. **Авторизация:** система проверяет права — доступ к кадровым данным.
+3. Анна формирует запрос: «Список сотрудников с зарплатой выше средней».
+4. **Программное обеспечение** обращается к **базе данных**.
+5. **Математическое обеспечение** — система вычисляет среднюю зарплату и фильтрует записи.
+6. **Лингвистическое обеспечение** — запрос Анны на русском языке преобразуется в команды SQL.
+7. Анна получает **отчёт** в виде таблицы.
+
+**✅ Результат:** Анна получила нужную информацию для принятия решения.
+
+---
+
+### 🎭 Акт 4. Сбой: что если система откажет?
+
+**Сергей Кузнецов обнаруживает, что сервер базы данных не отвечает.**
+
+1. **Техническое обеспечение** — сбой жёсткого диска.
+2. **Программное обеспечение** — СУБД не может запуститься.
+3. **Информационное обеспечение** — данные недоступны.
+4. **Организационное обеспечение** — Сергей действует по **регламенту**: восстанавливает данные из **резервной копии**.
+5. Через 30 минут система снова работает.
+
+**✅ Вывод:** Без **организационного обеспечения** (регламентов, инструкций) сбой привёл бы к **потере данных** и **остановке работы**.
+
+---
+
+### 🎭 Акт 5. Особый случай: автоматизация и человек
+
+**Иван получает уведомление: система рекомендует провести платёж.**
+
+1. **Математическое обеспечение** — система проанализировала данные и **предложила** решение.
+2. **Иван** проверяет рекомендацию: действительно ли платёж нужен?
+3. **Иван принимает решение** — подтвердить или отклонить.
+
+**⚠️ Ключевой момент:** Система **не платит сама**. Она **готовит информацию** и **предлагает** вариант. Решение принимает **человек**.
+
+**✅ Вывод:** Это и есть **автоматизированная** система — **человек в контуре управления**.
+
+---
+
+### 📊 Итоговая таблица сценария
+
+| Этап | Что происходит | Какое обеспечение задействовано | Роль человека |
+|------|---------------|--------------------------------|---------------|
+| **Вход в систему** | Идентификация, аутентификация, авторизация | Организационное, программное | Вводит данные |
+| **Обработка** | Расчёт налогов, сохранение в БД | Математическое, информационное | Контролирует |
+| **Запрос** | Поиск и выдача отчёта | Лингвистическое, информационное | Формулирует запрос |
+| **Сбой** | Восстановление из резервной копии | Организационное, техническое | Действует по регламенту |
+| **Решение** | Рекомендация системы | Математическое | Принимает решение |
+
+---
+
+### 🎓 Мораль сценария
+
+> **АИС** — это **не просто программа**.
+> Это **люди**, **техника**, **информация**, **алгоритмы** и **правила**, работающие **вместе**.
+>
+> **Автоматизированная** — значит **усиленная человеком**, а не **заменённая машиной**.
+> **Система** — значит **взаимосвязанные компоненты**, а не набор разрозненных элементов.
+
+---
+
+## 🏁 Заключение
+
+В рамках данного доклада было рассмотрено понятие **автоматизированной информационной системы (АИС)**. Проведённый анализ показал, что АИС — это **сложный человеко-машинный комплекс**, а не просто программное обеспечение.
+
+Согласно **ГОСТ 34.003-90**, АИС определяется как **система, состоящая из персонала и комплекса средств автоматизации его деятельности**, реализующая информационную технологию выполнения установленных функций . Это определение подчёркивает **ключевую роль человека** в автоматизированных системах — в отличие от автоматических, где человек не участвует в контуре управления .
+
+Были рассмотрены **компоненты АИС**: техническое, программное, информационное, математическое, лингвистическое, организационное и правовое обеспечение. Показано, что **все виды обеспечения взаимосвязаны** — отсутствие любого из них делает систему неполноценной.
+
+На практическом сценарии было продемонстрировано, как **все компоненты АИС работают вместе**: технические средства обрабатывают данные, программное обеспечение реализует алгоритмы, информационное обеспечение хранит сведения, а **человек принимает решения** на основе подготовленной информации.
+
+Нормативная база — **ГОСТ 34.003-90**, **приказы ФСТЭК России** — устанавливает обязательные требования к организации АИС, включая обеспечение **надёжности**, **безопасности** и **соответствия стандартам**.
+
+Таким образом, **автоматизированная информационная система** представляет собой **фундамент современной информационной инфраструктуры**, объединяющий **людей**, **технологии** и **информацию** для решения практических задач.
+
+---
+
+## 📚 Список литературы
+
+1. **ГОСТ 34.003-90**. Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Термины и определения. — М.: Стандартинформ, 2009.
+2. **Приказ ФСТЭК России от 18.02.2013 № 21** «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».
+3. **ГОСТ 34.601-90**. Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Стадии создания.
+4. **ГОСТ Р 50922-2006**. Защита информации. Основные термины и определения. — М.: Стандартинформ, 2006.
+5. **Автоматизированные информационные системы**: учебник / под ред. А.А. Шелупанова. — М.: Горячая линия — Телеком, 2019.
+
+---
+
+## ❓ Вопросы и ответы
+
+**1. [Что такое автоматизированная информационная система] — *Система, состоящая из персонала и комплекса средств автоматизации его деятельности, реализующая информационную технологию выполнения установленных функций***
+**Ответ:** АИС — это человеко-машинная система, включающая людей (пользователей и персонал), технические средства, программное обеспечение и информационные ресурсы, предназначенная для автоматизации информационных процессов.
+
+**2. [В чём разница между автоматизированной и автоматической системой] — *В автоматизированной системе человек участвует в контуре управления, в автоматической — не участвует***
+**Ответ:** В автоматизированной системе человек принимает решения на основе информации, подготовленной системой. В автоматической системе все операции выполняются без участия человека .
+
+**3. [Какие виды обеспечения включает АИС] — *Техническое, программное, информационное, математическое, лингвистическое, организационное, правовое***
+**Ответ:** Согласно ГОСТ 34.003-90, АИС включает семь видов обеспечения: техническое (аппаратура), программное (ПО), информационное (данные), математическое (алгоритмы), лингвистическое (языки), организационное (документы) и правовое (нормы) .
+
+**4. [Какие виды АИС выделяют по масштабу] — *Одиночные (АРМ), групповые, корпоративные***
+**Ответ:** По масштабу АИС делятся на одиночные (на одном рабочем месте), групповые (в локальной сети) и корпоративные (территориально распределённые) .
+
+**5. [Что такое АСУ] — *Автоматизированная система управления***
+**Ответ:** АСУ — это разновидность АИС, предназначенная для управления процессами или организациями. В зависимости от объекта управления выделяют АСУТП (технологическими процессами) и АСУП (предприятиями) .
+
+**6. [Что такое САПР] — *Система автоматизированного проектирования***
+**Ответ:** САПР — это разновидность АИС, предназначенная для автоматизации проектно-конструкторских работ.
+
+**7. [Почему АИС называется «автоматизированной», а не «автоматической»] — *Потому что в ней человек принимает решения, а система лишь готовит информацию***
+**Ответ:** Термин «автоматизированная» подчёркивает участие человека в контуре управления. Система автоматизирует рутинные операции, но решения принимает человек .
+
+**8. [Какие стандарты регулируют создание АИС] — *ГОСТ 34.003-90 и другие стандарты комплекса ГОСТ 34***
+**Ответ:** Основным документом является ГОСТ 34.003-90 «Автоматизированные системы. Термины и определения». Также применяются ГОСТ 34.601-90 (стадии создания) и другие стандарты комплекса .

Лекции/1.2.100_Понятие_жизненного_цикла_АИС/sushenok3.md

@@ -0,0 +1,341 @@
+# Понятие жизненного цикла автоматизированной информационной системы
+
+Данная тема является **фундаментальной для понимания процессов создания и эксплуатации информационных систем**. Жизненный цикл АИС — это не просто «этапы разработки», а **полная история существования системы** от момента возникновения потребности в ней до момента её вывода из эксплуатации. Понимание жизненного цикла позволяет **планировать ресурсы**, **управлять рисками** и **обеспечивать качество** на каждом этапе.
+
+## 📌 Ключевое определение: что такое жизненный цикл АИС
+
+**Жизненный цикл автоматизированной системы (ЖЦ АС)** — это **совокупность взаимосвязанных процессов** создания и изменения системы с момента формирования исходных требований к ней до прекращения функционирования .
+
+**Простыми словами:** Жизненный цикл — это **«биография» системы**. Она рождается (когда появляется потребность), развивается (проектируется, создаётся), живёт (эксплуатируется, обновляется) и умирает (выводится из эксплуатации).
+
+**⚠️ Ключевой момент:** Жизненный цикл — это **не просто последовательность этапов**, а **управляемый процесс**. На каждой стадии выполняются определённые работы, создаются документы, принимаются решения о переходе на следующую стадию.
+
+## 🎯 Стадии жизненного цикла АИС по ГОСТ 34.601-90
+
+Согласно **ГОСТ 34.601-90**, установлены **8 стадий создания АС**, каждая из которых подразделяется на **этапы** .
+
+| Стадия | Название | Этапы |
+|--------|----------|-------|
+| **1** | **Формирование требований к АС** | 1.1. Обследование объекта и обоснование необходимости создания АС <br> 1.2. Формирование требований пользователя к АС <br> 1.3. Оформление отчёта о выполненной работе и заявки на разработку АС |
+| **2** | **Разработка концепции АС** | 2.1. Изучение объекта <br> 2.2. Проведение необходимых НИР <br> 2.3. Разработка вариантов концепции АС и выбор варианта, удовлетворяющего требованиям пользователя <br> 2.4. Оформление отчёта о выполненной работе |
+| **3** | **Техническое задание** | 3.1. Разработка и утверждение технического задания на создание АС |
+| **4** | **Эскизный проект** | 4.1. Разработка предварительных проектных решений по системе и её частям <br> 4.2. Разработка документации на АС и её части |
+| **5** | **Технический проект** | 5.1. Разработка проектных решений по системе и её частям <br> 5.2. Разработка документации на АС и её части <br> 5.3. Разработка и оформление документации на поставку изделий для комплектования АС <br> 5.4. Разработка заданий на проектирование в смежных частях проекта |
+| **6** | **Рабочая документация** | 6.1. Разработка рабочей документации на систему и её части <br> 6.2. Разработка или адаптация программ |
+| **7** | **Ввод в действие** | 7.1. Подготовка объекта автоматизации к вводу АС в действие <br> 7.2. Подготовка персонала <br> 7.3. Комплектация АС поставляемыми изделиями <br> 7.4. Строительно-монтажные работы <br> 7.5. Пусконаладочные работы <br> 7.6. Проведение предварительных испытаний <br> 7.7. Проведение опытной эксплуатации <br> 7.8. Проведение приёмочных испытаний |
+| **8** | **Сопровождение АС** | 8.1. Выполнение работ в соответствии с гарантийными обязательствами <br> 8.2. Послегарантийное обслуживание |
+
+![схема идентификации](./8bloks.jpg)
+*Источник: [Стадии ЖЦ по ГОСТ 34.601-90](https://shtampik.com/photo/trebovaniya-analiza-k-informatsii/84)*
+
+**⚠️ Важно:** ГОСТ 34.601-90 допускает **исключение отдельных стадий** и **объединение этапов** в зависимости от специфики системы . Например, стадия «Эскизный проект» может быть исключена, а «Технический проект» и «Рабочая документация» — объединены в «Технорабочий проект».
+
+## ⛓️ Логическая цепочка: как связаны стадии
+
+Все стадии жизненного цикла образуют **последовательную цепочку**, где каждый этап опирается на результаты предыдущего:
+
+**Формирование требований → Разработка концепции → ТЗ → Эскизный проект → Технический проект → Рабочая документация → Ввод в действие → Сопровождение**
+
+1. **Формирование требований** — выясняем, **что нужно** и **зачем**.
+2. **Разработка концепции** — определяем, **как это можно сделать**.
+3. **Техническое задание** — фиксируем **что именно** должно быть сделано.
+4. **Эскизный проект** — разрабатываем **предварительные решения**.
+5. **Технический проект** — разрабатываем **детальные решения**.
+6. **Рабочая документация** — создаём **документы для реализации**.
+7. **Ввод в действие** — **внедряем** систему в эксплуатацию.
+8. **Сопровождение** — **поддерживаем** систему в рабочем состоянии.
+
+**⚠️ Ключевой момент:** Это **«водопадная» модель** (каскадная), где переход к следующей стадии начинается только после завершения предыдущей . В современных условиях часто применяются **итеративные модели**, но ГОСТ 34.601-90 остаётся **базовым стандартом** для понимания структуры жизненного цикла.
+
+## 📋 Содержание ключевых стадий: что происходит на каждой
+
+### 📜 Стадия 1. Формирование требований к АС
+
+**Цель:** Понять, **нужна ли система** и **какие задачи** она должна решать.
+
+**Содержание работ:**
+- Сбор данных об объекте автоматизации и осуществляемых видах деятельности.
+- Оценка качества функционирования объекта, выявление проблем.
+- Оценка (технико-экономической, социальной) целесообразности создания АС .
+
+**Результат:** Отчёт о выполненной работе и заявка на разработку АС (тактико-техническое задание).
+
+### 📜 Стадия 2. Разработка концепции АС
+
+**Цель:** Определить **принципиальные подходы** к созданию системы.
+
+**Содержание работ:**
+- Детальное изучение объекта автоматизации.
+- Проведение необходимых НИР.
+- Разработка **альтернативных вариантов** концепции АС и их оценка.
+- Выбор оптимального варианта, удовлетворяющего требованиям пользователя .
+
+**Результат:** Отчёт с описанием и обоснованием выбранного варианта концепции.
+
+### 📜 Стадия 3. Техническое задание
+
+**Цель:** **Формально зафиксировать** требования к системе.
+
+**Содержание работ:**
+- Разработка, оформление, согласование и утверждение **технического задания (ТЗ)** на создание АС .
+
+**Результат:** Утверждённое ТЗ — **главный документ**, определяющий что должна делать система.
+
+### 📜 Стадии 4–6. Проектирование
+
+**Цель:** Разработать **полный комплект проектной документации**.
+
+**Содержание работ:**
+- **Эскизный проект** — предварительные проектные решения по системе и её частям .
+- **Технический проект** — детальные проектные решения, документация на поставку, задания на смежные части проекта .
+- **Рабочая документация** — документы для реализации, разработка или адаптация программ .
+
+**Результат:** Комплект проектной и рабочей документации.
+
+### 📜 Стадия 7. Ввод в действие
+
+**Цель:** **Внедрить** систему и убедиться, что она работает.
+
+**Содержание работ:**
+- Подготовка объекта автоматизации и персонала.
+- Комплектация АС, строительно-монтажные и пусконаладочные работы.
+- **Предварительные испытания** — проверка работоспособности .
+- **Опытная эксплуатация** — проверка в реальных условиях .
+- **Приёмочные испытания** — проверка соответствия ТЗ .
+
+**Результат:** Акт приёмки АС в постоянную эксплуатацию.
+
+### 📜 Стадия 8. Сопровождение АС
+
+**Цель:** **Поддерживать** систему в рабочем состоянии.
+
+**Содержание работ:**
+- Выполнение работ по гарантийным обязательствам.
+- Послегарантийное обслуживание .
+
+**Результат:** Работающая система, соответствующая требованиям.
+
+## ⚖️ Нормативная база: что говорит закон и стандарты
+
+### 📜 ГОСТ 34.601-90
+
+**Ключевой документ** в области жизненного цикла АС. Устанавливает **стадии и этапы создания АС**, а также **содержание работ** на каждой стадии .
+
+**Основные положения:**
+- Установлены **8 стадий** создания АС.
+- Каждая стадия подразделяется на **этапы**.
+- Определено **содержание работ** по стадиям и этапам.
+- Допускается **исключение отдельных стадий** и **объединение этапов** .
+
+### 📋 ГОСТ 34.603-92
+
+Регламентирует **виды испытаний АС** и общие требования к их проведению .
+
+**Основные виды испытаний:**
+- **Предварительные** — определение работоспособности.
+- **Опытная эксплуатация** — определение фактических характеристик.
+- **Приёмочные** — определение соответствия ТЗ .
+
+### ⚠️ ГОСТ Р 57193-2016
+
+Современный стандарт, определяющий **процессы жизненного цикла систем** . Устанавливает **группы процессов**: соглашения, организационного обеспечения, технического управления, технические процессы .
+
+## 🚨 Типичные ошибки и заблуждения
+
+### ❌ «Жизненный цикл заканчивается после внедрения»
+
+**Ошибка.** Сопровождение — **полноценная стадия**, которая может длиться **годы**. Без неё система деградирует.
+
+### ❌ «Все стадии обязательны»
+
+**Ошибка.** ГОСТ 34.601-90 допускает **исключение стадий** и **объединение этапов** .
+
+### ❌ «Испытания — это формальность»
+
+**Ошибка.** Именно на испытаниях выявляются **критические недостатки**, которые могут привести к провалу проекта.
+
+### ❌ «Жизненный цикл — это только про разработку ПО»
+
+**Ошибка.** Жизненный цикл охватывает **всю систему**: технику, персонал, документацию, процессы.
+
+## 🎬 СЦЕНАРИЙ: «Путь системы от идеи до сопровождения»
+
+> **Это сквозной практический пример, который показывает, как стадии жизненного цикла работают в реальном проекте.**
+
+### 📖 Легенда
+
+В организации **ООО «Ромашка»** руководство осознало, что бухгалтерия работает неэффективно: документы теряются, отчёты готовятся вручную, данные дублируются. Принято решение о создании **автоматизированной информационной системы бухгалтерского учёта (АИС БУ)**.
+
+### 🎭 Акт 1. Формирование требований (Стадия 1)
+
+**Проблема:** Бухгалтерия тратит 60% времени на рутинные операции.
+
+**Что делают:**
+- Проводят **обследование объекта**: опрашивают бухгалтеров, анализируют документооборот.
+- Выявляют **проблемы**: ручной ввод, дублирование, ошибки.
+- Оценивают **целесообразность**: затраты на АИС vs экономия времени.
+
+**✅ Результат:** Отчёт с обоснованием необходимости создания АИС.
+
+**❌ Что было бы, если пропустить:** Система создавалась бы «наугад», без понимания реальных потребностей.
+
+---
+
+### 🎭 Акт 2. Разработка концепции (Стадия 2)
+
+**Задача:** Определить, **какой должна быть система**.
+
+**Что делают:**
+- Изучают **аналоги**: какие системы есть на рынке.
+- Проводят **НИР**: анализируют, что можно автоматизировать.
+- Разрабатывают **варианты концепции**: «покупка готовой системы» vs «разработка с нуля».
+- **Сравнивают** варианты по стоимости, срокам, функциональности.
+
+**✅ Результат:** Отчёт с обоснованием выбора: «покупка готовой системы с адаптацией».
+
+**❌ Что было бы, если пропустить:** Выбрали бы первый попавшийся вариант, который мог не подойти.
+
+---
+
+### 🎭 Акт 3. Техническое задание (Стадия 3)
+
+**Задача:** **Формально зафиксировать** требования.
+
+**Что делают:**
+- Разрабатывают **ТЗ**: какие функции должна выполнять система, какие данные обрабатывать, какие отчёты формировать.
+- **Согласовывают** ТЗ с заказчиком и разработчиком.
+- **Утверждают** ТЗ.
+
+**✅ Результат:** Утверждённое ТЗ — **«конституция»** проекта.
+
+**❌ Что было бы, если пропустить:** Разработчик и заказчик по-разному понимали бы, что нужно сделать.
+
+---
+
+### 🎭 Акт 4. Проектирование (Стадии 4–6)
+
+**Задача:** Разработать **полный комплект документации**.
+
+**Что делают:**
+- **Эскизный проект**: определяют структуру системы, состав подсистем, основные решения.
+- **Технический проект**: разрабатывают детальные решения, документацию на поставку, задания на смежные части.
+- **Рабочая документация**: создают документы для реализации, адаптируют программы.
+
+**✅ Результат:** Комплект проектной и рабочей документации.
+
+**❌ Что было бы, если пропустить:** Разработка велась бы «без чертежей», что привело бы к хаосу.
+
+---
+
+### 🎭 Акт 5. Ввод в действие (Стадия 7)
+
+**Задача:** **Внедрить** систему.
+
+**Что делают:**
+- **Подготовка объекта**: устанавливают оборудование, настраивают сеть.
+- **Подготовка персонала**: обучают бухгалтеров работе с системой.
+- **Комплектация**: поставляют программное и техническое обеспечение.
+- **Пусконаладка**: настраивают систему, устраняют ошибки.
+- **Предварительные испытания**: проверяют работоспособность.
+- **Опытная эксплуатация**: работают в системе в течение месяца, выявляют проблемы.
+- **Приёмочные испытания**: проверяют соответствие ТЗ.
+
+**✅ Результат:** Акт приёмки АИС в постоянную эксплуатацию.
+
+**❌ Что было бы, если пропустить:** Система могла бы «упасть» в первый же день работы.
+
+---
+
+### 🎭 Акт 6. Сопровождение (Стадия 8)
+
+**Задача:** **Поддерживать** систему.
+
+**Что делают:**
+- **Гарантийное обслуживание**: исправляют ошибки, обновляют ПО.
+- **Послегарантийное обслуживание**: консультируют пользователей, дорабатывают систему под новые требования.
+
+**✅ Результат:** Система работает стабильно, бухгалтерия экономит 40% времени.
+
+**❌ Что было бы, если пропустить:** Система деградировала бы, пользователи вернулись бы к ручной работе.
+
+---
+
+### 📊 Итоговая таблица сценария
+
+| Стадия | Вопрос | Что делают | Результат | Что если пропустить |
+|--------|--------|-----------|-----------|---------------------|
+| **1. Формирование требований** | Зачем? | Обследуют объект, выявляют проблемы | Отчёт с обоснованием | Система «не для того» |
+| **2. Разработка концепции** | Как? | Изучают аналоги, разрабатывают варианты | Выбранный вариант | Выбор «наугад» |
+| **3. ТЗ** | Что именно? | Фиксируют требования | Утверждённое ТЗ | Разное понимание |
+| **4–6. Проектирование** | Как детально? | Разрабатывают документацию | Комплект документации | Хаос в разработке |
+| **7. Ввод в действие** | Работает? | Испытания, обучение, внедрение | Акт приёмки | Провал в первый день |
+| **8. Сопровождение** | Как поддерживать? | Гарантийное и послегарантийное обслуживание | Стабильная работа | Деградация системы |
+
+---
+
+### 🎓 Мораль сценария
+
+> **Жизненный цикл** — это **путь системы** от идеи до утилизации.
+> Каждая стадия **важна** и **обязательна** (если не исключена по ГОСТ).
+> **Пропуск стадии** — это **риск**, который может привести к провалу проекта.
+> **Сопровождение** — это **не «после проекта»**, а **полноценная часть жизненного цикла**.
+
+---
+
+## 🏁 Заключение
+
+В рамках данного доклада было рассмотрено понятие **жизненного цикла автоматизированной информационной системы (ЖЦ АИС)**. Проведённый анализ показал, что ЖЦ — это **совокупность взаимосвязанных процессов** создания и изменения системы с момента формирования требований до прекращения функционирования .
+
+Согласно **ГОСТ 34.601-90**, установлены **8 стадий создания АС**: формирование требований, разработка концепции, техническое задание, эскизный проект, технический проект, рабочая документация, ввод в действие и сопровождение . Каждая стадия подразделяется на **этапы**, содержание которых детально регламентировано .
+
+Были рассмотрены **виды испытаний АС** согласно **ГОСТ 34.603-92**: предварительные, опытная эксплуатация и приёмочные . Показано, что испытания являются **критически важной частью** ввода в действие — именно на них выявляются недостатки и принимается решение о готовности системы к эксплуатации.
+
+На практическом сценарии было продемонстрировано, как **все стадии жизненного цикла работают вместе**: от выявления потребности до сопровождения системы. Показано, что **пропуск любой стадии** создаёт риск для проекта.
+
+Нормативная база — **ГОСТ 34.601-90**, **ГОСТ 34.603-92**, **ГОСТ Р 57193-2016** — устанавливает обязательные требования к организации жизненного цикла АС, включая **стадии**, **этапы** и **виды испытаний** .
+
+Таким образом, **жизненный цикл АИС** представляет собой **фундамент управления проектами создания информационных систем**, обеспечивающий **системность**, **управляемость** и **качество** на всех этапах существования системы.
+
+---
+
+## 📚 Список литературы
+
+1. **ГОСТ 34.601-90**. Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Стадии создания. — М.: Стандартинформ, 2009.
+2. **ГОСТ 34.603-92**. Информационная технология. Виды испытаний автоматизированных систем. — М.: Стандартинформ, 2009.
+3. **ГОСТ 34.003-90**. Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Термины и определения.
+4. **ГОСТ Р 57193-2016**. Системная и программная инженерия. Процессы жизненного цикла систем. — М.: Стандартинформ, 2016.
+5. **Автоматизированные информационные системы**: учебник / под ред. А.А. Шелупанова. — М.: Горячая линия — Телеком, 2019.
+
+---
+
+## ❓ Вопросы и ответы
+
+**1. [Что такое жизненный цикл АИС] — *Совокупность взаимосвязанных процессов создания и изменения системы с момента формирования требований до прекращения функционирования***
+**Ответ:** Жизненный цикл АИС — это полная история существования системы, включающая все стадии от возникновения потребности в ней до вывода из эксплуатации.
+
+**2. [Какие стадии создания АС установлены ГОСТ 34.601-90] — *Формирование требований, разработка концепции, техническое задание, эскизный проект, технический проект, рабочая документация, ввод в действие, сопровождение***
+**Ответ:** ГОСТ 34.601-90 устанавливает 8 стадий создания АС, каждая из которых подразделяется на этапы .
+
+**3. [Что происходит на стадии «Формирование требований к АС»] — *Обследование объекта, формирование требований пользователя, оформление отчёта***
+**Ответ:** На этой стадии проводится обследование объекта автоматизации, выявляются проблемы, оценивается целесообразность создания АС, формируются требования пользователя .
+
+**4. [Что происходит на стадии «Разработка концепции АС»] — *Изучение объекта, проведение НИР, разработка вариантов концепции, выбор оптимального варианта***
+**Ответ:** На этой стадии детально изучается объект, проводятся необходимые НИР, разрабатываются альтернативные варианты концепции, выбирается оптимальный .
+
+**5. [Что такое техническое задание на АС] — *Документ, формально фиксирующий требования к системе***
+**Ответ:** ТЗ — главный документ, определяющий что должна делать система. Разрабатывается и утверждается на стадии «Техническое задание» .
+
+**6. [Какие виды испытаний АС установлены ГОСТ 34.603-92] — *Предварительные, опытная эксплуатация, приёмочные***
+**Ответ:** ГОСТ 34.603-92 устанавливает три основных вида испытаний: предварительные (проверка работоспособности), опытная эксплуатация (проверка в реальных условиях) и приёмочные (проверка соответствия ТЗ) .
+
+**7. [В чём разница между предварительными испытаниями и опытной эксплуатацией] — *Предварительные проверяют работоспособность, опытная эксплуатация — фактические характеристики в реальных условиях***
+**Ответ:** Предварительные испытания проводятся для определения работоспособности системы и решения вопроса о возможности приёмки в опытную эксплуатацию. Опытная эксплуатация проводится для определения фактических значений характеристик и готовности персонала .
+
+**8. [Что происходит на стадии «Сопровождение АС»] — *Гарантийное и послегарантийное обслуживание***
+**Ответ:** На этой стадии выполняются работы по гарантийным обязательствам и послегарантийное обслуживание системы .
+
+**9. [Допускается ли исключение отдельных стадий жизненного цикла] — *Да, ГОСТ 34.601-90 допускает исключение отдельных стадий и объединение этапов***
+**Ответ:** ГОСТ 34.601-90 допускает исключение стадии «Эскизный проект», объединение «Технического проекта» и «Рабочей документации», а также параллельное выполнение этапов .
+
+**10. [Какие современные стандарты регулируют жизненный цикл систем] — *ГОСТ Р 57193-2016***
+**Ответ:** ГОСТ Р 57193-2016 «Системная и программная инженерия. Процессы жизненного цикла систем» определяет группы процессов жизненного цикла: соглашения, организационного обеспечения, технического управления, технические процессы .

Лекции/1.3.100_Потенциальные_угрозы_безопасности/sushenok4.md

@@ -0,0 +1,315 @@
+# Потенциальные угрозы безопасности информации
+
+Данная тема является **центральной для всей системы защиты информации**. Прежде чем защищать что-либо, необходимо понять **от чего именно** мы защищаемся. Потенциальные угрозы безопасности — это не абстрактные «хакеры», а **конкретные факторы и события**, которые могут привести к нарушению конфиденциальности, целостности или доступности информации.
+
+## 📌 Ключевое определение: что такое угроза безопасности
+
+**Угроза безопасности информации** — это **потенциально существующая возможность** случайного или преднамеренного действия (или бездействия), в результате которого может быть **нарушена безопасность** информации или системы .
+
+**Простыми словами:** Угроза — это **то, что может пойти не так**. Это ещё не атака, не инцидент, а **потенциальная опасность**, которая может реализоваться при определённых условиях.
+
+**⚠️ Ключевой момент:** Угроза отличается от **атаки** и **уязвимости**:
+- **Уязвимость** — это «слабое место» в системе (например, незакрытая уязвимость ПО).
+- **Угроза** — это «возможность» использования уязвимости (например, хакер может проэксплуатировать эту уязвимость).
+- **Атака** — это «реализация» угрозы (например, хакер фактически проэксплуатировал уязвимость).
+
+## 🎯 Классификация угроз: по каким признакам делят
+
+Согласно **ГОСТ Р 51275-2006**, угрозы классифицируются по **природе возникновения** и **отношению к объекту** .
+
+| Признак классификации | Категории |
+|----------------------|-----------|
+| **По природе возникновения** | **Объективные** (не зависят от воли человека) / **Субъективные** (связаны с деятельностью человека) |
+| **По отношению к объекту** | **Внутренние** / **Внешние** |
+| **По источнику угрозы** | **Антропогенные** (человек) / **Техногенные** (техника) / **Стихийные** (природа)  |
+| **По характеру происхождения** | **Преднамеренные** (умышленные) / **Непреднамеренные** (случайные)  |
+| **По направленности** | Нарушение **конфиденциальности** / **целостности** / **доступности**  |
+
+**⚠️ Важно:** Одна и та же угроза может относиться к нескольким категориям. Например, утечка данных (угроза конфиденциальности) может быть **внутренней** и **преднамеренной** (кража сотрудником) или **внешней** и **преднамеренной** (хакерская атака).
+
+## 📖 Основные категории угроз: что именно угрожает
+
+### 🧑 Антропогенные угрозы
+
+**Антропогенные источники** — это **субъекты**, действия которых могут быть квалифицированы как умышленные или случайные нарушения .
+
+**Внешние субъекты:**
+- Криминальные структуры
+- Хакеры и киберпреступники
+- Недобросовестные партнёры
+- Технический персонал поставщиков услуг
+
+**Внутренние субъекты:**
+- Основной персонал (пользователи, программисты)
+- Представители службы защиты информации
+- Вспомогательный персонал (уборщики, охрана)
+- Специально внедрённые агенты 
+
+**Примеры антропогенных угроз:**
+- **Социальная инженерия** — обман сотрудника для получения доступа (фишинг, pretexting)
+- **Инсайдерские атаки** — умышленные действия сотрудников
+- **Ошибки персонала** — случайное удаление данных, неправильная настройка
+
+### ⚙️ Техногенные угрозы
+
+**Техногенные источники** — это **последствия технократической деятельности человека**, которые могут выйти из-под контроля .
+
+**Примеры техногенных угроз:**
+- **Отказы оборудования** — выход из строя серверов, дисков, сетевого оборудования
+- **Сбои ПО** — ошибки в программах, баги, несовместимость версий
+- **Ошибки проектирования** — недостатки в архитектуре системы
+- **Устаревание** — моральное и физическое устаревание техники 
+
+### 🌪️ Стихийные угрозы
+
+**Стихийные источники** — это **природные явления**, не зависящие от человека.
+
+**Примеры:**
+- Пожары, наводнения, землетрясения
+- Ураганы, грозы (могут повредить оборудование)
+- Перебои электропитания
+
+### 🎯 Преднамеренные vs Непреднамеренные
+
+**Непреднамеренные угрозы** — результат **случайных** действий или событий :
+- Ошибки при разработке ПО
+- Ошибки пользователей и обслуживающего персонала
+- Сбои технических средств
+
+**Преднамеренные угрозы** — результат **целенаправленных** действий :
+- Шпионаж и диверсии
+- Несанкционированный доступ
+- Съём электромагнитных излучений
+- Работа вредоносных программ
+
+### 📊 Угрозы по направленности: триада CIA
+
+Угрозы направлены на нарушение **трёх свойств безопасности информации** :
+
+| Свойство | Суть | Примеры угроз |
+|----------|------|---------------|
+| **Конфиденциальность** | Информация доступна только авторизованным лицам | Утечка данных, перехват, кража носителей |
+| **Целостность** | Информация точна и не изменена | Модификация данных, подмена, заражение вирусом |
+| **Доступность** | Информация доступна, когда нужна | DDoS-атака, отказ оборудования, шифрование-вымогатель |
+
+![схема идентификации](./CIA.jpg)
+*Источник: [триада CIA](https://au.pinterest.com/pin/security-development-and-testing-cheat-sheets--395964992254420856/)*
+
+## ⛓️ Логическая цепочка: как угроза превращается в инцидент
+
+Угрозы не реализуются сами по себе. Для этого нужны **условия**:
+
+**Источник угрозы → Уязвимость → Реализация угрозы → Инцидент → Ущерб**
+
+1. **Источник угрозы** — кто или что может навредить (хакер, сбой, пожар).
+2. **Уязвимость** — слабое место, которое позволяет угрозе реализоваться (незакрытая уязвимость ПО, слабый пароль).
+3. **Реализация** — фактическое событие (атака, сбой).
+4. **Инцидент** — нарушение безопасности (утечка, отказ).
+5. **Ущерб** — финансовые потери, репутационный урон, юридические последствия.
+
+**⚠️ Важно:** Угроза без уязвимости не страшна. Уязвимость без угрозы — тоже. **Опасность возникает при их сочетании.**
+
+## ⚖️ Нормативная база: что говорит закон и стандарты
+
+### 📜 ГОСТ Р 51275-2006
+
+**Ключевой документ** в области угроз безопасности. Устанавливает **классификацию и перечень факторов**, воздействующих на безопасность защищаемой информации, в целях **обоснования угроз безопасности** и требований по защите .
+
+**Основные положения:**
+- Факторы делятся на **объективные** и **субъективные** .
+- По отношению к объекту — на **внутренние** и **внешние** .
+- Классификация включает подклассы, группы, подгруппы, виды и подвиды .
+
+### 📋 Приказ ФСТЭК России от 18.02.2013 № 21
+
+Регламентирует **определение угроз безопасности информации** в государственных информационных системах. Устанавливает требования к **модели угроз** — документу, описывающему актуальные угрозы для конкретной системы .
+
+### ⚠️ Банк данных угроз ФСТЭК России
+
+**Официальный источник** информации об актуальных угрозах. Содержит **УБИ** (Угрозы Безопасности Информации) с уникальными идентификаторами .
+
+**Классы УБИ включают:**
+- Угрозы нарушения аутентификации и управления доступом
+- Угрозы целостности и функционирования ПО
+- Угрозы сетевых взаимодействий
+- Угрозы вредоносных программ
+- Угрозы физического воздействия 
+
+## 🚨 Типичные ошибки и заблуждения
+
+### ❌ «Угрозы — это только хакеры»
+
+**Ошибка.** Угрозы включают **природные явления**, **технические сбои** и **ошибки персонала**. Хакеры — лишь **один из источников**.
+
+### ❌ «Угрозы можно устранить полностью»
+
+**Ошибка.** Абсолютной безопасности **не существует**. Можно **снизить вероятность** реализации угроз и **минимизировать ущерб**, но не устранить их полностью.
+
+### ❌ «Внутренние угрозы менее опасны, чем внешние»
+
+**Ошибка.** **Инсайдеры** часто имеют **больше возможностей** для нанесения ущерба, чем внешние злоумышленники .
+
+### ❌ «Модель угроз нужна только для больших систем»
+
+**Ошибка.** **Любая** система должна иметь представление о **потенциальных угрозах**. Модель угроз — это **основа** для планирования защиты.
+
+## 🎬 СЦЕНАРИЙ: «Один день из жизни системы, которую атакуют»
+
+> **Это сквозной практический пример, который показывает, как различные угрозы реализуются в реальной системе.**
+
+### 📖 Легенда
+
+В организации **ООО «Ромашка»** развернута **корпоративная информационная система (КИС)**. В ней работают:
+- **Иван Петров** — бухгалтер (работает с финансовыми документами).
+- **Анна Смирнова** — HR-специалист (ведёт кадровый учёт).
+- **Сергей Кузнецов** — системный администратор (обслуживает систему).
+
+### 🎭 Акт 1. Внешняя угроза: Фишинг
+
+**Злоумышленник отправляет Ивану Петрову письмо, выдавая себя за «IT-отдел».**
+
+1. **Источник угрозы:** Внешний антропогенный (киберпреступник).
+2. **Уязвимость:** Иван **не прошёл обучение** по информационной безопасности.
+3. **Реализация:** Иван **переходит по ссылке** и вводит логин/пароль на фейковой странице.
+4. **Инцидент:** Злоумышленник получает **доступ к учётной записи** Ивана.
+5. **Ущерб:** Утечка финансовых данных, возможные финансовые потери.
+
+**✅ Что спасло бы:** **Многофакторная аутентификация** — без токена злоумышленник не смог бы войти.
+
+**❌ Что было бы, если бы угрозу не учли:** Злоумышленник **получил бы доступ** к бухгалтерским данным.
+
+---
+
+### 🎭 Акт 2. Внутренняя угроза: Инсайдер
+
+**Анна Смирнова решает уволиться и забрать базу сотрудников с собой.**
+
+1. **Источник угрозы:** Внутренний антропогенный (сотрудник).
+2. **Уязвимость:** У Анны **есть легальный доступ** к кадровым данным.
+3. **Реализация:** Анна **копирует базу** на флешку перед увольнением.
+4. **Инцидент:** Утечка персональных данных сотрудников.
+5. **Ущерб:** Юридические последствия (нарушение 152-ФЗ), репутационный урон.
+
+**✅ Что спасло бы:** **DLP-система** (защита от утечек) и **мониторинг** массовых выгрузок.
+
+**❌ Что было бы, если бы угрозу не учли:** База **попала бы** к конкурентам или в открытый доступ.
+
+---
+
+### 🎭 Акт 3. Техногенная угроза: Отказ оборудования
+
+**В серверной выходит из строя жёсткий диск с базой данных.**
+
+1. **Источник угрозы:** Техногенный (отказ оборудования).
+2. **Уязвимость:** **Отсутствие резервного копирования** или его нерегулярность.
+3. **Реализация:** Диск **физически выходит из строя**.
+4. **Инцидент:** База данных **недоступна**.
+5. **Ущерб:** Остановка работы бухгалтерии, потеря данных.
+
+**✅ Что спасло бы:** **Регулярное резервное копирование** и **RAID-массивы**.
+
+**❌ Что было бы, если бы угрозу не учли:** Потеря данных за **последний месяц** работы.
+
+---
+
+### 🎭 Акт 4. Стихийная угроза: Пожар
+
+**В здании офиса происходит короткое замыкание и пожар.**
+
+1. **Источник угрозы:** Стихийный (пожар).
+2. **Уязвимость:** **Отсутствие системы пожаротушения** в серверной.
+3. **Реализация:** Огонь **уничтожает серверы**.
+4. **Инцидент:** Полная **потеря инфраструктуры**.
+5. **Ущерб:** Остановка деятельности на недели, огромные финансовые потери.
+
+**✅ Что спасло бы:** **Система пожаротушения**, **резервный ЦОД**, **страхование**.
+
+**❌ Что было бы, если бы угрозу не учли:** Организация **прекратила бы** деятельность.
+
+---
+
+### 🎭 Акт 5. Преднамеренная угроза: DDoS-атака
+
+**Конкуренты заказывают DDoS-атаку на сайт ООО «Ромашка».**
+
+1. **Источник угрозы:** Внешний антропогенный (конкуренты).
+2. **Уязвимость:** **Отсутствие защиты** от DDoS.
+3. **Реализация:** Сайт **подвергается** массированной атаке.
+4. **Инцидент:** Сайт **недоступен** несколько часов.
+5. **Ущерб:** Потеря клиентов, репутационный урон.
+
+**✅ Что спасло бы:** **Anti-DDoS-сервис**, **CDN** с защитой.
+
+**❌ Что было бы, если бы угрозу не учли:** Сайт **«упал бы»** в самый неподходящий момент.
+
+---
+
+### 📊 Итоговая таблица сценария
+
+| Акт | Тип угрозы | Источник | Уязвимость | Последствие |
+|-----|-----------|----------|------------|-------------|
+| **1. Фишинг** | Внешняя, антропогенная, преднамеренная | Киберпреступник | Отсутствие обучения | Доступ к учётной записи |
+| **2. Инсайдер** | Внутренняя, антропогенная, преднамеренная | Сотрудник | Легальный доступ | Утечка данных |
+| **3. Отказ диска** | Техногенная, непреднамеренная | Оборудование | Нет резервных копий | Потеря данных |
+| **4. Пожар** | Стихийная, непреднамеренная | Природа | Нет пожаротушения | Уничтожение инфраструктуры |
+| **5. DDoS** | Внешняя, антропогенная, преднамеренная | Конкуренты | Нет защиты | Недоступность сервиса |
+
+---
+
+### 🎓 Мораль сценария
+
+> **Угрозы** — это **не только хакеры**.
+> Это **люди**, **техника** и **природа**.
+> **Одна угроза** может реализоваться **через разные уязвимости**.
+> **Защита** должна быть **комплексной** — нельзя закрыть только одну «дыру».
+
+---
+
+## 🏁 Заключение
+
+В рамках данного доклада было рассмотрено понятие **потенциальных угроз безопасности информации**. Проведённый анализ показал, что угрозы — это **потенциально существующая возможность** нарушения безопасности, которая может реализоваться при определённых условиях .
+
+Согласно **ГОСТ Р 51275-2006**, угрозы классифицируются по **природе возникновения** (объективные/субъективные), **отношению к объекту** (внутренние/внешние) и **источнику** (антропогенные/техногенные/стихийные) .
+
+Были рассмотрены **основные категории угроз**: антропогенные (действия человека), техногенные (отказы техники) и стихийные (природные явления) . Показано, что угрозы могут быть **преднамеренными** (умышленными) и **непреднамеренными** (случайными) .
+
+На практическом сценарии было продемонстрировано, как **различные типы угроз** реализуются в реальной системе: от **фишинга** до **пожара**. Показано, что **одна угроза** может реализоваться через **разные уязвимости**, и **защита** должна быть **комплексной**.
+
+Нормативная база — **ГОСТ Р 51275-2006**, **приказы ФСТЭК России**, **Банк данных угроз ФСТЭК** — устанавливает обязательные требования к **выявлению и учёту угроз** безопасности информации .
+
+Таким образом, **потенциальные угрозы безопасности** представляют собой **фундамент для построения системы защиты**, поскольку невозможно защищаться от того, **что не identified**. Понимание угроз — это **первый шаг** к обеспечению безопасности информации.
+
+---
+
+## 📚 Список литературы
+
+1. **ГОСТ Р 51275-2006**. Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения. — М.: Стандартинформ, 2007.
+2. **Приказ ФСТЭК России от 18.02.2013 № 21** «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».
+3. **Банк данных угроз безопасности информации** ФСТЭК России. — URL: https://bdu.fstec.ru/
+4. **ГОСТ Р 50922-2006**. Защита информации. Основные термины и определения. — М.: Стандартинформ, 2006.
+5. **Системный анализ в информационной безопасности**: учебное пособие / под ред. А.А. Шелупанова. — М.: Горячая линия — Телеком, 2019.
+
+---
+
+## ❓ Вопросы и ответы
+
+**1. [Что такое угроза безопасности информации] — *Потенциально существующая возможность случайного или преднамеренного действия, в результате которого может быть нарушена безопасность информации***
+**Ответ:** Угроза — это потенциальная опасность нарушения конфиденциальности, целостности или доступности информации. Она отличается от атаки (реализации) и уязвимости (слабого места) .
+
+**2. [Как классифицируются угрозы по источнику] — *Антропогенные, техногенные, стихийные***
+**Ответ:** Антропогенные — связаны с действиями человека; техногенные — с отказами техники; стихийные — с природными явлениями .
+
+**3. [Что такое внутренние и внешние угрозы] — *Внутренние — источник внутри объекта, внешние — за его пределами***
+**Ответ:** Внутренние угрозы исходят от сотрудников и внутренних систем; внешние — от хакеров, конкурентов, природных явлений .
+
+**4. [В чём разница между преднамеренными и непреднамеренными угрозами] — *Преднамеренные — умышленные действия, непреднамеренные — случайные***
+**Ответ:** Преднамеренные угрозы — результат целенаправленных действий (шпионаж, атаки); непреднамеренные — случайные ошибки, сбои .
+
+**5. [Какие три свойства безопасности нарушают угрозы] — *Конфиденциальность, целостность, доступность***
+**Ответ:** Угрозы направлены на нарушение одного или нескольких свойств: конфиденциальности (утечка), целостности (модификация), доступности (блокирование) .
+
+**6. [Что такое модель угроз] — *Документ, описывающий актуальные угрозы для конкретной системы***
+**Ответ:** Модель угроз — это результат анализа, в котором определяются источники угроз, уязвимости, сценарии реализации и возможные последствия .
+
+**7. [Где найти перечень актуальных угроз] — *Банк данных угроз ФСТЭК России***
+**Ответ:** Банк данных угроз (БДУ) ФСТЭК содержит официальный перечень УБИ с идентификаторами и описаниями .

Лекции/1.4.100_Меры_защиты_информации/sushenok5.md

@@ -0,0 +1,292 @@
+# Меры защиты информации
+
+Данная тема является **практическим фундаментом всей системы информационной безопасности**. Если угрозы — это «то, от чего защищаемся», то меры защиты — это **конкретные действия, механизмы и средства**, которые обеспечивают **нейтрализацию угроз** и **сохранение свойств информации**.
+
+## 📌 Ключевое определение: что такое меры защиты
+
+**Меры защиты информации** — это **совокупность действий, процессов и механизмов**, направленных на **обеспечение безопасности информации** и **нейтрализацию актуальных угроз** .
+
+**Простыми словами:** Меры защиты — это **ответ на вопрос «что делать?»**. Если угроза — это «пожар», то мера защиты — «огнетушитель». Если угроза — «хакер», то мера защиты — «межсетевой экран».
+
+**⚠️ Ключевой момент:** Меры защиты **не устраняют угрозы полностью** — это невозможно. Они **снижают вероятность** реализации угрозы и **минимизируют ущерб** в случае её реализации.
+
+## 🎯 Классификация мер защиты: по каким признакам делят
+
+Согласно нормативным документам, меры защиты классифицируются по **характеру** и **способу реализации** .
+
+| Признак классификации | Категории |
+|----------------------|-----------|
+| **По характеру** | **Правовые** (законы, договоры) / **Организационные** (регламенты, режимы) / **Технические** (средства защиты)  |
+| **По способу реализации** | **Формальные** (технические) / **Неформальные** (организационные, морально-этические)  |
+| **По уровню** | **Законодательный** / **Административный** / **Программно-аппаратный**  |
+| **По направленности** | Нарушение **конфиденциальности** / **целостности** / **доступности** |
+
+**⚠️ Важно:** Эффективная защита — это **комплекс** мер. Использование только технических средств без организационных мер — **не работает**. И наоборот.
+
+## 📖 Основные категории мер: что именно делают
+
+### ⚖️ Правовые меры
+
+**Правовые меры** — это **законы, подзаконные акты, договоры**, регламентирующие права и обязанности субъектов в области защиты информации .
+
+**Примеры:**
+- **Федеральный закон № 152-ФЗ** «О персональных данных»
+- **Федеральный закон № 149-ФЗ** «Об информации, информационных технологиях и о защите информации»
+- **Договоры** с пользователями об условиях обработки информации
+- **Лицензирование** деятельности по защите информации 
+
+**Зачем:** Создают **правовое поле**, в котором существует система защиты.
+
+### 📋 Организационные меры
+
+**Организационные (административные) меры** — это меры **организационного характера**, регламентирующие процессы функционирования системы, деятельность персонала и порядок взаимодействия пользователей .
+
+**Примеры:**
+- **Регламент доступа** в помещения с ИСПДн
+- **Порядок допуска** сотрудников к ресурсам системы
+- **Инструкции пользователей** (администратора, оператора)
+- **Пропускной режим** и **видеонаблюдение**
+- **Подбор и обучение персонала** 
+
+**Зачем:** Организационные меры — это **«стержень»** комплексной системы защиты. Только они позволяют **объединить** технические, программные и криптографические средства в **единую систему** .
+
+### 🛡️ Технические меры
+
+**Технические (аппаратно-программные) меры** — это меры, основанные на использовании **электронных устройств и специальных программ**, выполняющих функции защиты .
+
+**Примеры:**
+- **Средства идентификации и аутентификации** пользователей
+- **Средства разграничения доступа** к ресурсам
+- **Средства контроля целостности** программ и данных
+- **Средства регистрации событий** безопасности
+- **Криптографические средства** защиты 
+
+**Зачем:** Обеспечивают **автоматическую** защиту информации без постоянного участия человека.
+
+### 🖐️ Физические меры
+
+**Физические меры** — это **механические, электрические и электронные устройства**, создающие **физические препятствия** для доступа к информации .
+
+**Примеры:**
+- **Ограждения, двери, замки**
+- **Системы сигнализации** и **видеонаблюдения**
+- **Системы пожаротушения**
+- **Экранирование** помещений
+
+**Зачем:** Создают **первый рубеж защиты** — физическую преграду.
+
+## ⛓️ Логическая цепочка: как меры защиты работают вместе
+
+Меры защиты образуют **многоуровневую систему**:
+
+**Правовые → Организационные → Технические → Физические**
+
+1. **Правовые** — создают **основу** (что можно, что нельзя).
+2. **Организационные** — **реализуют** правовые нормы (кто, как, когда).
+3. **Технические** — **автоматизируют** защиту (что делает система).
+4. **Физические** — **защищают** инфраструктуру (где всё находится).
+
+**⚠️ Важно:** Пропуск **любого уровня** создаёт **уязвимость**. Закон без организационных мер — не работает. Технические средства без физической защиты — уязвимы.
+
+## ⚖️ Нормативная база: что говорит закон и стандарты
+
+### 📜 Приказ ФСТЭК России от 11.04.2025 № 117
+
+**Ключевой документ** в области мер защиты. Устанавливает **21 мероприятие** по защите информации и **17 групп мер** защиты .
+
+**Базовые меры включают:**
+- Идентификация и аутентификация
+- Управление доступом
+- Регистрация событий безопасности
+- Защита виртуализации и облачных вычислений
+- Антивирусная защита
+- Обнаружение и предотвращение вторжений
+- Сегментация и межсетевое экранирование 
+
+### 📋 Приказ ФСТЭК России от 11.02.2013 № 17
+
+Регламентирует **защиту информации** в государственных информационных системах. Устанавливает требования к **установке и настройке средств защиты**, **приемочным испытаниям** и **аттестации** .
+
+### 📜 ГОСТ Р ИСО/МЭК 27001-2021
+
+Международный стандарт, регламентирующий **систему управления информационной безопасностью** (СУИБ), включая **управление конфигурациями** .
+
+## 🚨 Типичные ошибки и заблуждения
+
+### ❌ «Достаточно купить антивирус — и всё защищено»
+
+**Ошибка.** Антивирус — **одна из многих** мер. Без организационных мер и обучения персонала он **неэффективен**.
+
+### ❌ «Организационные меры — это формальность»
+
+**Ошибка.** Организационные меры — **«стержень»** системы. Без них технические средства **не объединяются** в комплекс .
+
+### ❌ «Чем больше технических средств — тем лучше»
+
+**Ошибка.** Избыточность **усложняет** систему и **создаёт новые уязвимости**. Меры должны быть **адекватны угрозам** .
+
+### ❌ «Меры защиты внедряются один раз»
+
+**Ошибка.** Меры защиты требуют **постоянного контроля** и **обновления**. Угрозы меняются — меняются и меры .
+
+## 🎬 СЦЕНАРИЙ: «Один день из жизни системы, которую защищают»
+
+> **Это сквозной практический пример, который показывает, как различные меры защиты применяются в реальной системе.**
+
+### 📖 Легенда
+
+В организации **ООО «Ромашка»** развернута **корпоративная информационная система (КИС)**. В ней работают:
+- **Иван Петров** — бухгалтер.
+- **Анна Смирнова** — HR-специалист.
+- **Сергей Кузнецов** — системный администратор.
+
+### 🎭 Акт 1. Правовая мера: Договор
+
+**При приёме на работу Иван Петров подписывает договор.**
+
+1. **Угроза:** Разглашение конфиденциальной информации.
+2. **Мера:** **Правовая** — в трудовом договоре прописана **ответственность** за разглашение.
+3. **Реализация:** Иван **знает**, что за утечку данных ему грозит **юридическая ответственность**.
+4. **Результат:** **Снижение** вероятности умышленной утечки.
+
+**✅ Что спасло бы:** Договор **не защищает** от случайной утечки, но **предупреждает** умышленную.
+
+**❌ Что было бы, если бы меру не применили:** Иван **не осознавал бы** последствий разглашения.
+
+---
+
+### 🎭 Акт 2. Организационная мера: Регламент доступа
+
+**Иван пытается зайти в серверную.**
+
+1. **Угроза:** Несанкционированный доступ к оборудованию.
+2. **Мера:** **Организационная** — **регламент доступа** в помещения с ИСПДн .
+3. **Реализация:** В серверную **имеет доступ** только Сергей Кузнецов.
+4. **Результат:** Иван **не может** попасть в серверную.
+
+**✅ Что спасло бы:** Регламент **ограничивает** физический доступ.
+
+**❌ Что было бы, если бы меру не применили:** Иван **мог бы** повредить оборудование.
+
+---
+
+### 🎭 Акт 3. Техническая мера: Разграничение доступа
+
+**Иван пытается открыть папку «Кадры».**
+
+1. **Угроза:** Доступ к информации, не предназначенной для Ивана.
+2. **Мера:** **Техническая** — **разграничение доступа** к ресурсам .
+3. **Реализация:** Система **проверяет права** Ивана — доступ к «Кадрам» **запрещён**.
+4. **Результат:** Система **отказывает** в доступе.
+
+**✅ Что спасло бы:** Разграничение доступа **предотвращает** несанкционированное ознакомление.
+
+**❌ Что было бы, если бы меру не применили:** Иван **получил бы доступ** к кадровым данным.
+
+---
+
+### 🎭 Акт 4. Физическая мера: Видеонаблюдение
+
+**Злоумышленник пытается проникнуть в офис ночью.**
+
+1. **Угроза:** Физическое проникновение.
+2. **Мера:** **Физическая** — **видеонаблюдение** и **сигнализация** .
+3. **Реализация:** Камеры **фиксируют** злоумышленника, сигнализация **срабатывает**.
+4. **Результат:** Охрана **задерживает** нарушителя.
+
+**✅ Что спасло бы:** Физические меры **предотвращают** доступ к инфраструктуре.
+
+**❌ Что было бы, если бы меру не применили:** Злоумышленник **украл бы** оборудование.
+
+---
+
+### 🎭 Акт 5. Комплексная защита: Атака отражена
+
+**Злоумышленник пытается атаковать систему.**
+
+1. **Угроза:** Внешняя атака.
+2. **Меры:**
+   - **Правовая** — законы о киберпреступности **сдерживают**.
+   - **Организационная** — **обучение** сотрудников **предотвращает** фишинг.
+   - **Техническая** — **межсетевой экран** **блокирует** атаку.
+   - **Физическая** — **охрана** **предотвращает** физический доступ.
+3. **Реализация:** Атака **отражена** на нескольких уровнях.
+4. **Результат:** Система **работает** стабильно.
+
+**✅ Что спасло бы:** **Комплексность** — ни одна мера по отдельности не дала бы такого результата.
+
+**❌ Что было бы, если бы применили только одну меру:** Злоумышленник **нашёл бы** обходной путь.
+
+---
+
+### 📊 Итоговая таблица сценария
+
+| Акт | Тип меры | Что защищает | Результат |
+|-----|----------|--------------|-----------|
+| **1. Договор** | Правовая | От умышленной утечки | Ответственность |
+| **2. Регламент** | Организационная | От физического доступа | Ограничение |
+| **3. Разграничение** | Техническая | От несанкционированного доступа | Отказ в доступе |
+| **4. Видеонаблюдение** | Физическая | От проникновения | Задержание |
+| **5. Комплекс** | Все вместе | От всех угроз | Стабильность |
+
+---
+
+### 🎓 Мораль сценария
+
+> **Правовые меры** — это **правила игры**.
+> **Организационные меры** — это **как играть**.
+> **Технические меры** — это **инструменты**.
+> **Физические меры** — это **площадка**.
+>
+> **Только вместе** они обеспечивают **защиту**.
+
+---
+
+## 🏁 Заключение
+
+В рамках данного доклада было рассмотрено понятие **мер защиты информации**. Проведённый анализ показал, что меры защиты — это **совокупность действий, процессов и механизмов**, направленных на **нейтрализацию угроз** и **обеспечение безопасности информации** .
+
+Согласно нормативным документам, меры защиты классифицируются по **характеру** (правовые, организационные, технические) и **способу реализации** (формальные, неформальные) .
+
+Были рассмотрены **основные категории мер**: правовые (законы, договоры), организационные (регламенты, режимы), технические (средства защиты) и физические (ограждения, сигнализация) . Показано, что **организационные меры** являются **«стержнем»** комплексной системы защиты — только они позволяют **объединить** технические средства в единую систему .
+
+На практическом сценарии было продемонстрировано, как **различные типы мер** применяются в реальной системе: от **договора** до **видеонаблюдения**. Показано, что **комплексность** — ключевое условие эффективной защиты. Использование только одной категории мер **не даёт** должного результата.
+
+Нормативная база — **Приказ ФСТЭК России № 117**, **Приказ № 17**, **ГОСТ Р ИСО/МЭК 27001-2021** — устанавливает обязательные требования к **составу и реализации** мер защиты .
+
+Таким образом, **меры защиты информации** представляют собой **практический инструмент** обеспечения безопасности, без которого невозможно **нейтрализовать угрозы** и **сохранить свойства информации**.
+
+---
+
+## 📚 Список литературы
+
+1. **Приказ ФСТЭК России от 11.04.2025 № 117** «Об утверждении Методического документа "Мероприятия и меры по защите информации, содержащейся в информационных системах"».
+2. **Приказ ФСТЭК России от 11.02.2013 № 17** «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах».
+3. **ГОСТ Р ИСО/МЭК 27001-2021**. Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования. — М.: Стандартинформ, 2021.
+4. **ГОСТ Р 51275-2006**. Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения.
+5. **Методические рекомендации ФСТЭК России** по обеспечению безопасной настройки операционных систем Linux. — URL: https://fstec.ru/
+
+---
+
+## ❓ Вопросы и ответы
+
+**1. [Что такое меры защиты информации] — *Совокупность действий, процессов и механизмов, направленных на обеспечение безопасности информации и нейтрализацию угроз***
+**Ответ:** Меры защиты — это конкретные действия и средства, снижающие вероятность реализации угроз и минимизирующие ущерб.
+
+**2. [Как классифицируются меры защиты по характеру] — *Правовые, организационные, технические***
+**Ответ:** Правовые — законы и договоры; организационные — регламенты и режимы; технические — средства защиты .
+
+**3. [Что относится к организационным мерам защиты] — *Регламенты, пропускной режим, инструкции, обучение персонала***
+**Ответ:** Организационные меры регламентируют процессы функционирования системы, деятельность персонала и порядок взаимодействия пользователей .
+
+**4. [Что относится к техническим мерам защиты] — *Средства идентификации, разграничения доступа, контроля целостности, регистрации событий, криптографические средства***
+**Ответ:** Технические меры основаны на использовании электронных устройств и специальных программ .
+
+**5. [Почему организационные меры называют «стержнем» системы защиты] — *Только они позволяют объединить технические, программные и криптографические средства в единую систему***
+**Ответ:** Без организационных мер технические средства остаются разрозненными и неэффективными .
+
+**6. [Какие базовые меры защиты установлены Приказом ФСТЭК № 117] — *Идентификация и аутентификация, управление доступом, регистрация событий, антивирусная защита, межсетевое экранирование и другие***
+**Ответ:** Приказ № 117 устанавливает 17 групп мер защиты, включая защиту виртуализации, мобильных устройств, беспроводного доступа .
+
+**7. [Что такое физические меры защиты] — *Механические, электрические и электронные устройства, создающие физические препятствия для доступа***
+**Ответ:** Физические меры включают ограждения, замки, сигнализацию, видеонаблюдение, системы пожаротушения .

Лекции/1.5.100_Идентификация_авторизация_аутентификация/sushenok_1.md

@@ -0,0 +1,296 @@
+# Идентификация, авторизация и аутентификация субъектов доступа и объектов доступа
+
+Данная тема является **фундаментальной для всей системы защиты информации**. Идентификация, аутентификация и авторизация — это не просто «три умных слова», а **последовательные этапы одного процесса управления доступом**, без которых невозможно обеспечить безопасность ни одной информационной системы.
+
+## 📌 Ключевые понятия: разграничиваем термины
+
+Многие путают эти понятия или используют их как синонимы, что **методологически неверно**. Рассмотрим каждое определение строго.
+
+### 🆔 Идентификация — «Кто ты?»
+
+**Идентификация** — это действия по **присвоению** субъектам и объектам доступа идентификаторов и (или) по **сравнению** предъявляемого идентификатора с перечнем присвоенных идентификаторов.
+
+**Простыми словами:** Пользователь сообщает системе, кем он является. Это может быть ввод логина, предъявление пропуска, называние имени.
+
+**Ключевой момент:** На этапе идентификации система еще **не проверяет**, действительно ли вы — это вы. Она просто фиксирует, что некто **заявил** себя как «Иван Петров». Идентификация может быть:
+
+- **Первичной** — при регистрации нового пользователя в системе (присвоение уникального ID).
+- **Вторичной** — при каждом последующем запросе на доступ (сравнение заявленного ID с базой).
+
+### 🔐 Аутентификация — «Докажи, что это ты»
+
+**Аутентификация** — это действия по **проверке подлинности** субъекта (или объекта) доступа, а также по проверке **принадлежности** субъекту предъявленного идентификатора и аутентификационной информации.
+
+**Простыми словами:** Система требует доказательств того, что вы — именно тот, за кого себя выдаете. Пароль, отпечаток пальца, код из СМС — все это инструменты аутентификации.
+
+**Ключевой момент:** Аутентификация **основывается на проверке соответствия** аутентификационной информации, предъявленной субъектом, и той информации, которая **ассоциирована** с этим идентификатором в системе. Именно на этом этапе система отвечает на вопрос: «Действительно ли этот человек — Иван Петров?»
+
+### 🚪 Авторизация — «Что тебе можно?»
+
+**Авторизация** — это предоставление конкретному пользователю **доступа к определенным системным ресурсам**.
+
+**Простыми словами:** После успешной аутентификации система решает, **что именно** вам разрешено делать. Можете ли вы читать этот файл? Имеете ли право изменять настройки? Доступна ли вам эта база данных?
+
+**Ключевой момент:** Авторизация определяет **объем прав** пользователя. Даже если вы успешно аутентифицировались как Иван Петров, это не значит, что вам разрешено **все**. Вы получаете доступ только к тем ресурсам, которые предусмотрены вашей ролью.
+
+## ⛓️ Логическая цепочка: как это работает на практике
+
+Эти три процесса образуют **строгую последовательность**, нарушение которой создает уязвимости.
+
+**Идентификация → Аутентификация → Авторизация**
+
+![схема идентификации](./1.webp)
+*Источник: [идентификация vs аутентификация](https://blog.infra-tech.ru/identifikaciya-i-autentifikaciya/)*
+
+1. **Пользователь вводит логин.** (Идентификация)
+2. **Пользователь вводит пароль.** (Аутентификация)
+3. **Система предоставляет доступ к разрешенным ресурсам.** (Авторизация)
+
+**⚠️ Важно:** Авторизация **невозможна** без успешной аутентификации. А аутентификация **бессмысленна** без идентификации (некого проверять). Это **единый контур управления доступом**.
+
+> *Рисунок 1 — Схема процесса управления доступом: идентификация → аутентификация → авторизация*
+> *(Источник: составлено автором на основе ГОСТ Р 58833-2020)*
+
+## 🎯 Факторы аутентификации: на чем основывается доказательство
+
+Согласно ГОСТ Р 58833-2020, в процессе аутентификации применяются следующие **факторы**:
+
+| Фактор | Суть | Примеры |
+|--------|------|---------|
+| **Фактор знания** | То, что субъект **знает** | Пароль, PIN-код, секретный вопрос |
+| **Фактор владения** | То, чем субъект **обладает** | Токен, смарт-карта, аппаратный ключ |
+| **Биометрический фактор** | То, что **свойственно** субъекту | Отпечаток пальца, сетчатка глаза, голос |
+
+**Многофакторная аутентификация** — это использование **одновременно не менее двух различных факторов**. Например, пароль + код из СМС (знание + владение).
+
+## 💻 Методы аутентификации: от простого к сложному
+
+### 🔑 Парольная аутентификация
+
+**Самый распространенный**, но и **самый уязвимый** метод. Его слабости хорошо известны: пользователи выбирают простые пароли, используют один пароль для разных систем, пароли можно подсмотреть или подобрать.
+
+### 🔢 Одноразовые пароли (OTP)
+
+**Динамические данные аутентификации**, меняющиеся с каждым сеансом. Перехваченный пароль **не может быть использован повторно**. Это **устойчивая аутентификация**.
+
+### 🖐️ Биометрическая аутентификация
+
+Использование **уникальных физических характеристик**. Теоретически **самый надежный** метод, но на практике сталкивается с проблемами: ошибки ложного отказа, изменения биометрии со временем, сложности удаленной проверки.
+
+### 🛡️ Криптографическая аутентификация
+
+**Строгая аутентификация** на основе криптографических методов и средств. Обеспечивает **постоянную аутентификацию** — защиту от активных атак, когда злоумышленник может изменять данные в потоке.
+
+## ⚖️ Нормативная база: что говорит закон и стандарты
+
+### 📜 ГОСТ Р 58833-2020
+
+**Ключевой документ** в области идентификации и аутентификации. Устанавливает **единообразную организацию процессов** идентификации и аутентификации в средствах защиты информации.
+
+**Основные положения:**
+- Аутентификация следует за процессом **вторичной идентификации** при каждом запросе на доступ.
+- Доказательство подлинности должно основываться на **проверке соответствия** аутентификационной информации.
+- Цель аутентификации — формирование **необходимой уверенности** в том, что субъект действительно является зарегистрированным субъектом.
+
+### 📋 Приказ ФСБ России от 10.07.2014 № 378
+
+Регламентирует **организационные и технические меры** по обеспечению безопасности персональных данных с использованием СКЗИ. В контексте идентификации и аутентификации устанавливает требования к **хранению носителей** ключевой, аутентифицирующей и парольной информации.
+
+**Требования для 4 уровня защищенности:**
+- Организация режима безопасности помещений.
+- Обеспечение сохранности носителей персональных данных.
+- Утверждение перечня лиц, имеющих доступ к ПДн.
+- Использование сертифицированных средств защиты.
+
+### ⚠️ Требования ФСТЭК России
+
+Приказ ФСТЭК России от 18.02.2013 № 21 устанавливает **меры ЗИС.3** (идентификация и аутентификация пользователей). Для соответствующих уровней защищенности требуются:
+- СКЗИ **не ниже класса КС1**.
+- Средства вычислительной техники **не ниже 5 класса**.
+- Межсетевые экраны **не ниже 6 класса**.
+
+## 🚨 Типичные ошибки и уязвимости
+
+### ❌ Использование одного фактора там, где нужен многофакторный
+
+Пароль может быть скомпрометирован. Для доступа к критичным ресурсам необходим **второй фактор**.
+
+### ❌ Идентификация без аутентификации
+
+Предоставление доступа на основе только заявленного идентификатора — **грубейшая ошибка**. «Я — администратор» не означает, что вы им являетесь.
+
+### ❌ Аутентификация без авторизации
+
+Проверка подлинности без разграничения прав приводит к тому, что **любой аутентифицированный пользователь** получает доступ ко **всем** ресурсам.
+
+### ❌ Хранение паролей в открытом виде
+
+Даже на этапе идентификации система не должна «знать» пароль пользователя — она должна хранить его **хеш**.
+
+## 🎬 СЦЕНАРИЙ: «Один день из жизни системы управления доступом»
+
+> **Это сквозной практический пример, который связывает все три процесса воедино. Именно его чаще всего требуют на защите.**
+
+### 📖 Легенда
+
+В организации **ООО «Ромашка»** развернута корпоративная информационная система (КИС). В ней работают:
+- **Иван Петров** — бухгалтер (доступ к 1С и папке «Бухгалтерия»).
+- **Анна Смирнова** — HR-специалист (доступ к папке «Кадры» и системе электронного документооборота).
+- **Сергей Кузнецов** — системный администратор (полный доступ).
+
+В системе реализованы: **идентификация по логину**, **аутентификация по паролю + одноразовый код из токена**, **авторизация на основе ролей (RBAC)**.
+
+### 🎭 Акт 1. Идентификация — «Представься»
+
+**Утро. Иван Петров приходит на работу и включает компьютер.**
+
+1. На экране — окно входа в КИС. Система запрашивает: **«Введите логин»**.
+2. Иван вводит: `petrov_ii`.
+3. Система проверяет: **существует ли такой идентификатор в базе?**
+
+**Что происходит внутри:**
+- Система **не знает**, кто сидит за компьютером.
+- Она видит лишь строку `petrov_ii` и сверяет её со списком зарегистрированных пользователей.
+- Если логина нет — система откажет **до** любой проверки пароля.
+
+**✅ Результат этапа:** Система зафиксировала: «Некто заявил, что он — пользователь с ID `petrov_ii`».
+
+**❌ Что было бы, если пропустить этап:** Система не знала бы, чей пароль проверять дальше.
+
+---
+
+### 🎭 Акт 2. Аутентификация — «Докажи, что ты — это ты»
+
+**Система запрашивает пароль.**
+
+1. Иван вводит пароль: `Qwerty123` (он его знает — **фактор знания**).
+2. Система вычисляет **хеш** от введённого пароля и сравнивает с **хешем**, хранящимся в базе для пользователя `petrov_ii`.
+3. Хеши совпадают — **первый фактор пройден**.
+4. Система запрашивает **второй фактор**: «Введите код с токена».
+5. Иван смотрит на токен (**фактор владения**) и вводит 6-значный код: `482913`.
+6. Система проверяет код по алгоритму OTP. Код верный — **второй фактор пройден**.
+
+**✅ Результат этапа:** Система **уверена**, что за компьютером — именно Иван Петров, а не злоумышленник, который украл логин и пароль.
+
+**❌ Что было бы, если пропустить этап:** Любой, кто знал бы логин `petrov_ii`, получил бы доступ. Пароль мог быть подсмотрен, перехвачен фишингом или подобран.
+
+**⚠️ Важный нюанс:** Если бы Иван ввёл неверный пароль **три раза подряд**, сработала бы **блокировка учётной записи** — это элемент защиты от **brute-force атаки**.
+
+---
+
+### 🎭 Акт 3. Авторизация — «Вот что тебе можно»
+
+**Иван успешно прошёл идентификацию и аутентификацию. Что дальше?**
+
+1. Система обращается к **матрице доступа** (ролевой модели).
+2. Смотрит: пользователь `petrov_ii` имеет роль **«Бухгалтер»**.
+3. Роль «Бухгалтер» даёт права:
+   - ✅ **Чтение и запись** в папке `\\server\Бухгалтерия`
+   - ✅ **Доступ** к системе 1С:Бухгалтерия
+   - ❌ **Запрет** на папку `\\server\Кадры`
+   - ❌ **Запрет** на изменение системных настроек
+   - ❌ **Запрет** на доступ к базе данных клиентов
+
+4. Иван пытается открыть папку `\\server\Кадры` — система **отказывает в доступе**.
+
+**✅ Результат этапа:** Иван получил **ровно те права**, которые нужны для его работы. Не больше.
+
+**❌ Что было бы, если пропустить этап:** Иван, как аутентифицированный пользователь, получил бы доступ ко **всей** корпоративной сети, включая зарплаты коллег, кадровые документы и систему бэкапов. Это — **катастрофа**.
+
+---
+
+### 🎭 Акт 4. Атака: что если злоумышленник?
+
+**Сценарий:** Злоумышленник украл логин и пароль Ивана через фишинг.
+
+1. **Идентификация:** Злоумышленник вводит `petrov_ii` — система принимает (логин верный).
+2. **Аутентификация:** Злоумышленник вводит украденный пароль `Qwerty123` — **первый фактор пройден**.
+3. **Система запрашивает код с токена.** У злоумышленника токена **нет**. Он вводит случайный код `000000`.
+4. **Система отказывает.** Доступ **не предоставлен**.
+
+**✅ Вывод:** Именно **многофакторная аутентификация** спасла систему. Даже компрометация пароля не дала злоумышленнику доступа.
+
+**А если бы был только пароль?** Злоумышленник прошёл бы аутентификацию и, в зависимости от авторизации, получил бы доступ к бухгалтерским данным.
+
+---
+
+### 🎭 Акт 5. Особый случай: объект доступа
+
+**Важно:** Идентификация и аутентификация применяются **не только к людям**, но и к **объектам доступа** — устройствам, процессам, сервисам.
+
+**Пример:** Сервер 1С обращается к базе данных на другом сервере.
+
+1. **Идентификация:** Сервер 1С представляется: `app_server_1c`.
+2. **Аутентификация:** Предъявляет **сертификат** или **ключ** (криптографическая аутентификация).
+3. **Авторизация:** База данных проверяет: имеет ли `app_server_1c` право на чтение таблицы `Зарплата`? Да, имеет. На запись в `Системные_таблицы`? Нет, не имеет.
+
+**✅ Вывод:** Принципы **едины** для людей и для машин. Это важно для **микросервисной архитектуры**, **IoT** и **облачных сред**.
+
+---
+
+### 📊 Итоговая таблица сценария
+
+| Этап | Вопрос | Что делает Иван | Что делает система | Что если пропустить |
+|------|--------|-----------------|-------------------|---------------------|
+| **Идентификация** | Кто ты? | Вводит логин | Сверяет с базой | Не знает, чей пароль проверять |
+| **Аутентификация** | Докажи | Пароль + код с токена | Проверяет хеш и OTP | Любой с логином получит доступ |
+| **Авторизация** | Что можно? | Пытается открыть папку | Проверяет роль и права | Пользователь получает всё |
+
+---
+
+### 🎓 Мораль сценария
+
+> **Идентификация** — это **заявление**.
+> **Аутентификация** — это **доказательство**.
+> **Авторизация** — это **разрешение**.
+>
+> Только **все три этапа вместе** обеспечивают **управление доступом**. Пропуск любого звена — **дыра в безопасности**.
+
+---
+
+## 🏁 Заключение
+
+В рамках данного доклада были рассмотрены три ключевых процесса управления доступом: **идентификация**, **аутентификация** и **авторизация**. Проведённый анализ показал, что эти процессы образуют **неразрывную логическую цепочку**, где каждый последующий этап опирается на результат предыдущего.
+
+**Идентификация** позволяет системе установить, кто именно запрашивает доступ — путём присвоения и сравнения уникальных идентификаторов. **Аутентификация** подтверждает, что субъект действительно является тем, за кого себя выдаёт, проверяя предъявленные доказательства подлинности. **Авторизация** определяет объём прав, предоставляемых конкретному пользователю, — что именно ему разрешено делать в системе.
+
+На практическом сценарии было продемонстрировано, что нарушение любого из этих звеньев создаёт **критическую уязвимость**. Пропуск аутентификации позволяет злоумышленнику действовать от имени легального пользователя; отсутствие авторизации даёт аутентифицированному субъекту неограниченный доступ ко всем ресурсам.
+
+Нормативная база — **ГОСТ Р 58833-2020**, **приказы ФСБ и ФСТЭК России** — устанавливает обязательные требования к организации этих процессов, включая применение **многофакторной аутентификации** и **сертифицированных средств защиты информации**. Соблюдение этих требований является необходимым условием для построения защищённой информационной системы.
+
+Таким образом, **идентификация, аутентификация и авторизация** представляют собой **фундамент управления доступом**, без которого невозможно обеспечить конфиденциальность, целостность и доступность защищаемой информации.
+
+---
+
+## 📚 Список литературы
+
+1. **ГОСТ Р 58833-2020**. Защита информации. Идентификация и аутентификация. Общие положения. — М.: Стандартинформ, 2020.
+2. **Приказ ФСБ России от 10.07.2014 № 378** «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных с использованием средств криптографической защиты информации...».
+3. **Приказ ФСТЭК России от 18.02.2013 № 21** «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».
+4. **ГОСТ Р 50922-2006**. Защита информации. Основные термины и определения. — М.: Стандартинформ, 2006.
+5. **Введение в защиту информации**: учебное пособие / под ред. А.А. Шелупанова. — М.: Горячая линия — Телеком, 2019.
+
+---
+
+## ❓ Вопросы и ответы
+
+**1. [Что такое аутентификация] — *Это процедура проверки подлинности, доказательство того, что пользователь именно тот, за кого себя выдаёт***
+**Ответ:** Аутентификация — это проверка соответствия предъявленной субъектом аутентификационной информации той, которая ассоциирована с его идентификатором в системе. Она отвечает на вопрос: «Действительно ли этот субъект — тот, за кого он себя выдаёт?»
+
+**2. [Что такое авторизация] — *Процедура предоставления субъекту определённых прав доступа к ресурсам системы после прохождения им процедуры аутентификации***
+**Ответ:** Авторизация — это предоставление пользователю доступа к определённым ресурсам после успешной аутентификации. Она определяет объём прав: что именно разрешено делать данному субъекту.
+
+**3. [К биометрическим системам защиты информации относятся системы идентификации по…] — *Отпечатки пальцев, форма и размеры лица, особенности голоса, узор радужной оболочки и сетчатки глаз и т.д.***
+**Ответ:** К биометрическим системам относятся системы, использующие уникальные физические или поведенческие характеристики человека: отпечатки пальцев, геометрию лица, рисунок радужной оболочки, сетчатку глаза, голос, походку, динамику подписи и др.
+
+**4. [В чём разница между двусторонней аутентификацией и односторонней] — *Двусторонняя аутентификация по сравнению с односторонней содержит дополнительный ответ проверяющей стороны доказывающей стороне, который должен убедить её, что связь устанавливается именно с той стороной, которой были предназначены аутентификационные данные***
+**Ответ:** При односторонней аутентификации только одна сторона доказывает свою подлинность. При двусторонней — обе стороны обмениваются доказательствами, что позволяет каждой убедиться, что связь установлена именно с нужным субъектом, а не с злоумышленником.
+
+**5. [Что включает в себя односторонняя аутентификация] — *Подтверждение подлинности только одной стороны информационного обмена; обнаружение нарушений целостности передаваемой информации; обнаружение проведения атаки типа «повтор передачи»***
+**Ответ:** Односторонняя аутентификация включает подтверждение подлинности одной стороны, а также механизмы обнаружения нарушений целостности передаваемых данных и защиты от атак повторной передачи (replay-атак).
+
+**6. [Какие факторы аутентификации существуют] — *Фактор знания, фактор владения, биометрический фактор***
+**Ответ:** Различают три фактора: то, что субъект **знает** (пароль, PIN), то, чем субъект **обладает** (токен, смарт-карта), и то, что **свойственно** субъекту (биометрия). Многофакторная аутентификация использует не менее двух различных факторов.
+
+**7. [Что такое многофакторная аутентификация] — *Аутентификация, использующая одновременно не менее двух различных факторов***
+**Ответ:** Многофакторная аутентификация — это метод проверки подлинности, при котором субъект предъявляет доказательства, относящиеся к разным категориям: например, пароль (знание) и код с токена (владение). Это значительно повышает устойчивость к компрометации одного из факторов.