Комплексное обеспечение защиты объекта информатизации¶

Оглавление¶

КЗОИ
1. Объект информатизации
2. Информационные активы
3. Угрозы ИБ
4. Модель нарушителя
5. Методологии моделирования угроз
6. СЗИ и разграничение доступа
7. Криптографическая защита
8. Защита сетевой инфраструктуры
9. Защита от утечек (DLP)
10. Организационные меры
11. Аттестация объектов
12. Комплексная система защиты

---

Курс посвящён проектированию, реализации и оценке комплексной системы защиты информации применительно к конкретному объекту информатизации. В отличие от смежных курсов — «Основы менеджмента ИБ» и «Аудит ИБ» — акцент здесь сделан не на управленческих процессах и не на проверке, а на технической и организационной реализации защиты: от разработки модели угроз до получения аттестата соответствия.

Курс построен вокруг единой логической цепочки:

Объект → Активы → Угрозы → Нарушитель → Модель угроз → Меры защиты → Аттестация → Оценка эффективности

Каждая лекция — один шаг этой цепочки. Сквозной пример (ИСПДн кадровой службы) проходит через все 12 лекций и в финале собирается в готовую систему защиты.

Структура курса¶

Блок 1. Что защищаем¶

Лекция 1. Объект информатизации	Понятие объекта, состав (ОТС, ВТСС, ПО, помещения), контролируемые зоны, жизненный цикл
Лекция 2. Информационные активы	Виды активов, идентификация, реестр, классификация информации, оценка ценности (ALE)

Блок 2. От кого и от чего защищаем¶

Лекция 3. Угрозы ИБ	Классификация угроз, источники, векторы атак, БДУ ФСТЭК, понятие актуальной угрозы
Лекция 4. Модель нарушителя	13 видов нарушителей по Методике ФСТЭК 2021, уровни возможностей Н1–Н4, порядок определения актуальных нарушителей
Лекция 5. Методологии моделирования угроз	STRIDE, PASTA (обзорно); детальный разбор Методики ФСТЭК 2021: три этапа, формула УБИ_i, сценарии, структура документа

Блок 3. Технические меры защиты¶

Лекция 6. СЗИ и разграничение доступа	Модели доступа (DAC, MAC, RBAC), идентификация и аутентификация, PAM, SIEM, замкнутая программная среда
Лекция 7. Криптографическая защита	ГОСТ Р 34.12/34.10/34.11, классы СКЗИ КС1–КА2, PKI, управление ключами, разграничение ФСБ/ФСТЭК
Лекция 8. Защита сетевой инфраструктуры	МЭ (типы А–Д по Приказу №9), DMZ, сегментация VLAN, IDS/IPS, ГосСОПКА, Zero Trust
Лекция 9. Защита от утечек (DLP)	Каналы утечки, DLP-архитектура, UEBA, контроль носителей, физическая защита, уничтожение данных

Блок 4. Организационные меры и подтверждение соответствия¶

Лекция 10. Организационные меры	Иерархия ОРД, управление персоналом (приём/увольнение), Security Awareness, управление инцидентами, режим коммерческой тайны
Лекция 11. Аттестация объектов	Порядок аттестации (Приказ №77), этапы испытаний, аттестат соответствия, типичные несоответствия
Лекция 12. Комплексная система защиты	Принципы КСЗИ, жизненный цикл, алгоритм выбора мер, метрики эффективности, модель зрелости, экономика защиты

Нормативная база курса¶

Курс опирается на актуальные документы по состоянию на 2025–2026 год:

• Методика оценки угроз безопасности информации ФСТЭК России (05.02.2021) — основа блоков 2 и 3
• Приказ ФСТЭК №117 от 11.04.2025 — требования к защите ГИС (заменил №17 с 01.03.2026)
• Приказ ФСТЭК №21 от 18.02.2013 — требования к защите ИСПДн
• Приказ ФСТЭК №239 от 25.12.2017 — требования к защите значимых объектов КИИ
• Приказ ФСТЭК №77 от 29.03.2019 — порядок аттестации объектов информатизации
• 187-ФЗ «О безопасности КИИ», 152-ФЗ «О персональных данных», 420-ФЗ (оборотные штрафы)
• ГОСТ Р 34.12-2015, 34.10-2012, 34.11-2012 — российские криптографические стандарты

Связь с другими курсами¶

Курс является частью учебного блока по информационной безопасности и опирается на знания, полученные в смежных курсах:

Курс	Связь с данным курсом
Основы менеджмента ИБ	Триада КДЦ, управление рисками и СУИБ — управленческая основа; здесь реализуется технически
Аудит ИБ	Аудит проверяет то, что реализуется в этом курсе; аттестация и аудит — смежные процедуры

В тексте лекций расставлены перекрёстные ссылки на конкретные темы обоих курсов там, где материал пересекается.

Сквозной пример¶

Через все 12 лекций проходит единый практический пример — информационная система персональных данных (ИСПДн) кадровой службы. К финалу курса этот объект полностью спроектирован, защищён и готов к аттестации:

• Класс защищённости: УЗ3
• Актуальные нарушители: Н1–Н2
• Актуальных угроз: 7
• Применяемые СЗИ: Secret Net Studio, UserGate NGFW, КриптоПро CSP, InfoWatch DLP, MaxPatrol SIEM, Indeed PAM
• Результат: аттестат соответствия требованиям Приказа ФСТЭК №21