---

02.09.2026 Защита и сохранность информации баз данных

1. Законодательство РФ в области защиты информации. Требования к серверам БД. Классы защиты.
1.1. Основные нормативные правовые акты (4 главных документа)

ФЗ № 152 «О персональных данных» (2006) - Обработка персональных данных (ПДн)
Категории ПДн: обычные, специальные, биометрические, медицинские.
• Локализация баз данных на территории РФ.
• Регистрация в реестре Роскомнадзора.
• С 2025 года: ужесточены требования к согласию, штрафы до 500 млн руб. за утечку биометрии.

ФЗ № 187 «О безопасности КИИ РФ» (2017)
Критическая информационная инфраструктура (КИИ)
• Вводит категории значимости объектов: 1, 2 или 3.
• Обязательное информирование НКЦКИ об инцидентах (для особо значимых — до 3 часов).
• Требование использовать российское ПО и сертифицированные СЗИ.

Постановление № 1119 (2012)
Уровни защищённости ПДн
Устанавливает 4 уровня защищённости (1 — макс., 4 — мин.) для информационных систем персональных данных (ИСПДн).

Приказ ФСТЭК № 17 (2013) и № 117 (2025)
Государственные информационные системы (ГИС) и госсектор
• Устанавливает 3 класса защищённости: К1, К2, К3.
• Новое в № 117: процессный подход, введение КЗИ (коэффициент защищённости) и ПЗИ (показатель зрелости).
• Для информации «ДСП» (для служебного пользования) автоматически назначается класс К1.

1.2. Требования безопасности к серверам баз данных
Требования делятся на три группы:

А. Организационные (управленческие)
Наличие Политики безопасности информации (ПБИ).
Назначение ответственных лиц и разделение ролей (админ БД, админ ОС, оператор).
Принцип минимальных привилегий (доступ только по необходимости).
Регулярное резервное копирование и тестирование восстановления.
Ведение журналов аудита (регистрация всех событий).

Б. Технические меры
Идентификация и аутентификация (ИАФ): строгая проверка, для администраторов — двухфакторная.
Управление доступом (УПД): разграничение прав (дискреционный, мандатный или ролевой метод).
Шифрование: данных в таблицах, трафика (TLS/SSL) и резервных копий.
Антивирусная защита (АВЗ): только сертифицированные средства.
Средства обнаружения вторжений (СОВ): обязательно для систем классов К1 и К2.
Контроль целостности (ОЦЛ): проверка данных и системных файлов.
Сетевая защита: изоляция сервера (DMZ), закрытие неиспользуемых портов.
Обновление ПО: регулярная установка патчей для СУБД и ОС.

В. Требования к средствам защиты (СЗИ) — сертификация

Класс системы - Требуемый класс СЗИ - Уровень доверия:
К1 - Не ниже 4 класса - Повышенный уровень
К2 - Не ниже 5 класса - Повышенный уровень
К3 - 6 класс -Базовый уровень

1.3. Классы защиты информационных систем
А. Для ГИС и госсектора (Приказы ФСТЭК №17 / №117)Класс (К1, К2, К3) зависит от уровня значимости информации (УЗ) и масштаба системы.

Класс - Уровень значимости - Масштаб - Особенности защиты:

К1 - УЗ1 (высокий) - Федеральный
Максимальный набор мер: обязательны СОВ, контроль целостности БД, резервирование.

К2 - УЗ2 (средний) - Региональный - Расширенный набор мер (СОВ обязателен).

К3 - УЗ3 (низкий) - Объектовый
Базовый (минимальный) набор мер защиты.
Важно: Если в системе обрабатывается информация «ДСП», автоматически присваивается УЗ1 и К1.

Б. Для ИСПДн (Постановление № 1119)Уровни защищённости (УЗ) зависят от категории обрабатываемых данных:
Уровень - Категория ПДн:

УЗ1 - Специальные, биометрические, массовые (максимальная защита)

УЗ2 - Распространённые ПДн

УЗ3 - Ограниченный круг ПДн

УЗ4 - Общедоступные ПДн (базовая защита)

В. Для объектов КИИ (187-ФЗ)Категории значимости определяются по последствиям от инцидентов:
Категория - Последствия -Примеры:

1 - Критические (угроза жизни, сбой национального масштаба) - Энергетика, транспорт, финансы
2 - Значительные - Региональные системы
3 - Умеренные - Местные (объектовые) системы


2. Основные группы методов противодействия угрозам безопасности в корпоративных сетях

Все методы делятся на 5 групп (от правовых до физических):


2.1. Классификация методов защиты

Правовые методы
Законы (152-ФЗ, 187-ФЗ, УК РФ ст. 272-274).
Договоры (NDA — соглашение о конфиденциальности, SLA).
Ответственность: штрафы и лишение свободы до 10 лет.
Организационные методы (человеческий фактор и процессы)
Кадры: проверка сотрудников, инструктажи по ИБ.
Режим: доступ «по необходимости», чистый рабочий стол.
Документы: политики, регламенты, планы реагирования на инциденты.
Управление инцидентами: создание SOC (центр мониторинга) или CERT (команда реагирования).

Технические (аппаратно-программные) методы (основные средства)
Firewall (МЭ): фильтрация трафика.
IDS/IPS (СОВ): обнаружение и блокировка атак (анализ аномалий).
Антивирусы: сертифицированные, с обновляемыми базами.
DLP: контроль утечек данных (почта, флешки, печать).
SIEM: централизованный сбор и анализ логов со всех устройств.
Сегментация: разделение сети на VLAN, изоляция серверов в DMZ.
Обновления: управление патчами (закрытие уязвимостей).
Криптографические методы (шифрование и подписи)
Симметричное шифрование (AES, ГОСТ 28147-89) — для данных.
Асимметричное шифрование (RSA, ГОСТ Р 34.10-2012) — для подписей и обмена ключами.
Защита каналов: VPN (IPSec, SSL/TLS), SSH, HTTPS.
Хеширование (SHA-256, ГОСТ Р 34.11-2012) — проверка целостности.
Важно: средства (СКЗИ) должны иметь сертификат ФСБ РФ.

Физические методы
Контроль доступа в серверные (пропуски, биометрия).
Защита от утечки по техническим каналам (экранирование, генераторы шума).
Бесперебойное питание (ИБП), климат-контроль.
Уничтожение старых носителей (шредеры, программное стирание).

2.2. Комплексный подход (Многоуровневая защита — Defense in Depth)
Эффективная защита строится "эшелонированно" — от периметра до физического уровня:
Уровень - Что защищаем - Средства:

1. Периметр - Внешние границы сети - Межсетевые экраны (Firewall), IDS/IPS

2. Сеть - Внутренний трафик - Сегментация (VLAN), DMZ

3. Хосты - Серверы и ПК пользователей - Антивирус, EDR (защита конечных точек)

4. Приложения - Веб-сайты и программы
WAF (Web Application Firewall), сканеры уязвимостей

5. Данные - Сама информация - Шифрование, DLP-системы

6. Физика - Оборудование и помещения
СКУД, охрана, ИБП, климат
Дополнительные обязательные активности:
VAPT (тестирование на проникновение) — регулярный внешний и внутренний аудит.
Обучение персонала — тренинги по распознаванию фишинга и социальной инженерии (самая частая точка взлома).


07.09.2026 КОНСПЕКТ 2 "Сертификация информационных систем"

1. Общие положения
Определение: Методы противодействия — это совокупность организационных, технических, правовых, криптографических и физических мер для предотвращения, выявления и устранения угроз ИБ.
Цель: обеспечение конфиденциальности, целостности и доступности информации.
Нормативная база: ФЗ-152, ФЗ-187, приказы ФСТЭК (№17, №21, №117), приказы ФСБ, Постановление №1119.

2. Правовые методы защиты
Суть: система законов, подзаконных актов, договоров и локальных документов, устанавливающих правила и ответственность.
Источники права:
Уровень
Примеры
Федеральные законы
152-ФЗ (ПДн), 187-ФЗ (КИИ), 149-ФЗ (информация), УК РФ (ст. 272–274)
Подзаконные акты
Приказы ФСТЭК, ФСБ, Роскомнадзора, Постановления Правительства
Договоры
NDA (о неразглашении), SLA (уровень услуг), договоры с операторами
Локальные акты
Политика ИБ, регламенты, инструкции
Ответственность (основные статьи):
УК РФ
Нарушение
Санкция
Ст. 272
Неправомерный доступ к компьютерной информации
Штраф до 500 тыс. руб., лишение свободы до 2 лет
Ст. 273
Создание и распространение вредоносных программ
Лишение свободы до 4 лет (до 7 при тяжких последствиях)
Ст. 274
Нарушение правил эксплуатации средств обработки
Лишение свободы до 4 лет
КоАП РФ:
Ст. 13.11 ч.6 — нарушение ПДн: штрафы для юрлиц до 500 тыс. руб., за утечку биометрии — до 500 млн руб.
Ст. 19.5 — неисполнение предписаний ФСТЭК/ФСБ.

3. Организационные методы защиты
Суть: создание системы управления ИБ, регламентация персонала и процессов.
Управление персоналом:
Мера
Содержание
Проверка кандидатов
Биография, рекомендации, судимости
Инструктажи
Вводный, первичный по ИБ, повторный (ежегодно), внеплановый
Должностные инструкции
Описание прав, обязанностей, ограничений
Режимные требования
Принцип need‑to‑know, «чистый стол», блокировка при простое
При увольнении
Изъятие пропусков, закрытие учётных записей, подписание NDA
Обязательные документы (по ФСТЭК):
Политика безопасности информации (ПБИ)
Положение об организации системы ИБ
Регламент управления доступом
Регламент резервного копирования
План реагирования на инциденты
Инструкции пользователей
Управление инцидентами:
Цикл: Идентификация → Анализ → Локализация → Устранение → Восстановление → Уроки.
Структуры: SOC (центр мониторинга) и CERT (команда реагирования).
По 187-ФЗ: для ЗОКИИ уведомление НКЦКИ в течение 3 часов.
Аудит: внутренние проверки не реже 1 раза в год, анализ журналов событий.

4. Технические (аппаратно-программные) методы
Суть: использование специализированных ПО и оборудования для защиты.
4.1. Защита сетевого периметра
Средство
Назначение
Примеры
Firewall (МЭ)
Фильтрация по IP, портам, протоколам
Cisco ASA, Kaspersky FW
IDS
Обнаружение атак в трафике
Snort, Suricata
IPS
Обнаружение + автоматическая блокировка
Cisco IPS, Trend Micro
WAF
Защита веб-приложений от SQL‑инъекций, XSS
Imperva, F5
Прокси
Фильтрация контента, доступ в Интернет
Squid, Blue Coat
Требование ФСТЭК: для классов К1 и К2 применение СОВ (IDS/IPS) обязательно.
4.2. Защита конечных устройств (хостов)
Средство
Назначение
Антивирус (АВЗ)
Обнаружение и нейтрализация вредоносного ПО. Только сертифицированные ФСТЭК средства.
EDR
Поведенческий анализ, расширенное реагирование на инциденты.
Персональный firewall
Контроль трафика на рабочей станции.
Системы обновлений
Централизованное управление патчами (WSUS, SCCM).
4.3. Защита от утечек (DLP)
DLP — предотвращает несанкционированную передачу конфиденциальных данных.
Контролируемые каналы: email, мессенджеры, облака, съёмные носители, печать.
Анализ контента (ключевые слова, регулярные выражения, цифровые отпечатки).
Примеры: InfoWatch, Solar Dozor, Zecurion, Symantec DLP.
4.4. Управление доступом и аутентификация
Метод
Описание
ИАФ
Идентификация, аутентификация, авторизация
2FA
Два фактора: знание (пароль) + имение (токен) или свойство (биометрия)
SSO
Единый вход во все системы
PAM
Управление привилегированным доступом (администраторы)
IAM
Централизованное управление учётными записями
Для К1 обязательна строгая аутентификация и разделение ролей администраторов.
4.5. Сегментация сети
VLAN — логическое разделение на изолированные сегменты.
DMZ — зона для публичных серверов (веб, почта).
Air Gap — физическое отделение критических сетей (АСУ ТП).
4.6. Мониторинг и анализ
SIEM — централизованный сбор и корреляция событий (Splunk, IBM QRadar, Kaspersky CyberTrace).
Сканеры уязвимостей — Nessus, OpenVAS, MaxPatrol.
Контроль целостности — обнаружение изменений файлов и реестра.

5. Криптографические методы защиты
Суть: математические преобразования для обеспечения конфиденциальности, целостности, подлинности и неотказуемости.
5.1. Симметричное шифрование (один ключ)
Алгоритм
Длина ключа
Применение
AES
128/192/256 бит
Мировой стандарт, шифрование дисков и файлов
ГОСТ 28147-89 (Магма)
256 бит
Российский стандарт (легаси)
ГОСТ Р 34.12-2015 (Кузнечик)
128 бит
Современный российский стандарт
5.2. Асимметричное шифрование (пара ключей)
Алгоритм
Применение
RSA
SSL/TLS, электронная подпись
ГОСТ Р 34.10-2012
Российская электронная подпись
ECDSA
Современные системы ЭП (эллиптические кривые)
5.3. Хеширование (однонаправленное)
SHA-256 (международный), ГОСТ Р 34.11-2012 (Стрибог) — российский стандарт.
Применяется для проверки целостности.
5.4. Электронная подпись (ЭП)
Простая — подтверждение факта подписания.
Неквалифицированная — с использованием криптосредств.
Квалифицированная (КЭП) — выдана аккредитованным УЦ, приравнена к собственноручной подписи (63-ФЗ).
5.5. Защита каналов связи
Технология
Протоколы
Назначение
VPN
IPSec, OpenVPN, WireGuard
Защищённый туннель через открытые сети
TLS/SSL
HTTPS, SMTPS, IMAPS
Шифрование прикладного уровня
SSH
—
Защищённый удалённый доступ
Требования к СКЗИ: все средства криптозащиты должны быть сертифицированы ФСБ РФ и включены в реестр.

6. Физические методы защиты
Суть: защита объектов, носителей и помещений от несанкционированного доступа, хищения, повреждений и внешних факторов.
6.1. Контроль физического доступа
СКУД — электронные пропуска, турникеты, шлагбаумы.
Биометрия — отпечатки пальцев, лицо, радужка, голос.
Охрана, видеонаблюдение.
6.2. Защита серверных и помещений
Изоляция, ограниченный доступ.
Сейфы/шкафы для резервных носителей.
ИБП, генераторы, кондиционирование, газовое пожаротушение (FM‑200, Novec).
6.3. Защита от технических каналов утечки (ТКУПИ)
Экранирование помещений и кабелей.
Шумогенераторы (маскировка сигналов).
Фильтры питания, волоконно-оптические линии.
6.4. Уничтожение носителей
Программное стирание (перезапись), дегауссеры (размагничивание), шредеры, дробилки.

7. Комплексный подход: Defense in Depth (многоуровневая защита)
Стратегия: несколько уровней — компрометация одного не ведёт к компрометации всей системы.
Уровень
Что защищается
Основные средства
1. Периметр
Внешние границы
Firewall, IDS/IPS, WAF, VPN‑шлюзы
2. Сеть
Внутренний трафик
VLAN, DMZ, маршрутизация (защита от горизонтального перемещения)
3. Хосты
Серверы и ПК
Антивирус, EDR, патчи, HIPS
4. Приложения
Веб‑ и корп. приложения
WAF, безопасная разработка (DevSecOps)
5. Данные
Сама информация
Шифрование (at rest, in transit), DLP, резервирование
6. Физический
Оборудование и помещения
СКУД, охрана, ИБП, пожаротушение
Принципы:
Разумной достаточности — затраты не превышают стоимость актива.
Глубины обороны — несколько последовательных уровней.
Своевременности — постоянное обновление.
Минимизации привилегий и разделения обязанностей.

8. Соответствие методов классам защищённости (К1, К2, К3)
Метод / Класс
К1 (максимальный)
К2
К3 (базовый)
Правовые
Полный комплект документов + аудит
Полный комплект
Базовый комплект
Организационные
SOC, план реагирования, регулярные аудиты
План реагирования
Инструктажи, базовые регламенты
Межсетевой экран
Обязательно
Обязательно
Обязательно
СОВ/IPS
Обязательно
Обязательно
Рекомендуется
Антивирус
Сертифицированный, централизованный
Сертифицированный
Сертифицированный
DLP
Обязательно (для ДСП/ПДн)
Рекомендуется
—
Шифрование
Данные + каналы (обязательно)
Каналы (обязательно)
Рекомендуется
2FA
Для всех пользователей
Для администраторов
Для администраторов
SIEM
Обязательно
Рекомендуется
—
Резервирование
Горячее, кластер
Резервное копирование
Резервное копирование
Физическая защита
СКУД, биометрия, охрана
СКУД
Замки

9. Практические рекомендации для сертификации ИС
Шаги подготовки:
Определение класса защищённости (по значимости информации и масштабу).
Проведение анализа рисков и разработка модели угроз (по методике ФСТЭК).
Реализация мер защиты согласно приказ


5. Криптографичесекие методы защиты
Суть: метематические преобразования для обеспечения конфедециальности, целостности, подлинности и неотказуемости. 

5.1. Симметричное шифрование
Алгорит/Длинна ключа/Примичание
Aes - 128/192/256 бит - мировой стандарт, шифрование дисков и файлов
ГОСТ 28147-89 (Магма) - 256 бит - Российский стандарт (легаси) 
ГОСТ Р 34.12-2015 - 128 бит - современный российский стандарт

5.2. Ассимитричное шифрование (пара ключей) 
Алгоритм/Примичание
RSA - SSL/TLS, электронная подпись
ГОСТ Р 34.10-2012 - Российская эл. подпись
ECDSA - Современные системы ЭП

5.3. Хеширование (однонаправленное)
SHA-256 (международный), ГОСТ Р 34.11-2012 (Стрибог) — российский стандарт.
Применяется для проверки целостности.

5.4. Электронная подпись (ЭП)

Простая — подтверждение факта подписания.

Неквалифицированная — с использованием криптосредств.

Квалифицированная (КЭП) — выдана аккредитованным УЦ, приравнена к собственноручной подписи (63-ФЗ).

5.5. Защита каналов связи
Технология/Протоколы/Назначение
VPN - IPSec, OpenVPN, WireGuard - Защищённый туннель через открытые сети
TLS/SSL - HTTPS, SMTPS, IMAPS - Шифрование прикладного уровня
SSH - — - Защищённый удалённый доступ

Требования к СКЗИ: все средства криптозащиты должны быть сертифицированы ФСБ РФ и включены в реестр.


6. Физические методы защиты
Суть: защита объектов, носителей и помещений от несанкционированного доступа, хищения, повреждений и внешних факторов.

6.1. Контроль физического доступа

СКУД — электронные пропуска, турникеты, шлагбаумы.

Биометрия — отпечатки пальцев, лицо, радужка, голос.

Охрана, видеонаблюдение.


6.2. Защита серверных и помещений

Изоляция, ограниченный доступ.

Сейфы/шкафы для резервных носителей.
ИБП, генераторы, кондиционирование, газовое пожаротушение (FM‑200, Novec).


6.3. Защита от технических каналов утечки (ТКУПИ)

Экранирование помещений и кабелей.
Шумогенераторы (маскировка сигналов).
Фильтры питания, волоконно-оптические линии.


6.4. Уничтожение носителей

Программное стирание (перезапись), дегауссеры (размагничивание), шредеры, дробилки.


7. Комплексный подход: Defense in Depth (многоуровневая защита)

Стратегия: несколько уровней — компрометация одного не ведёт к компрометации всей системы.

Уровень / Что защищается / Основные средства
1. Периметр - Внешние границы - Firewall, IDS/IPS, WAF, VPN‑шлюзы
2. Сеть - Внутренний трафик - VLAN, DMZ, маршрутизация (защита от горизонтального перемещения) 
3. Хосты - Серверы и ПК - Антивирус, EDR, патчи, HIPS
4. Приложения - Веб‑ и корп. приложения - WAF, безопасная разработка (DevSecOps)
5. Данные - Сама информация - Шифрование (at rest, in transit), DLP, резервирование
6. Физический - Оборудование и помещения - СКУД, охрана, ИБП, пожаротушение

Принципы:
Разумной достаточности — затраты не превышают стоимость актива.
Глубины обороны — несколько последовательных уровней.
Своевременности — постоянное обновление.
Минимизации привилегий и разделения обязанностей.

8. Соответствие методов классам защищённости (К1, К2, К3)
Метод-Класс / К1 (максимальный) / К2 / К3 (базовый)
Правовые - Полный комплект документов + аудит - Полный комплект - Базовый комплект
Организационные - SOC, план реагирования, регулярные аудиты - План реагирования - Инструктажи, базовые регламенты
Межсетевой экран - Обязательно - Обязательно - Обязательно
СОВ/IPS - Обязательно - Обязательно - Рекомендуется
Антивирус - Сертифицированный, централизованный - Сертифицированный - Сертифицированный
DLP - Обязательно (для ДСП/ПДн) - Рекомендуется
Шифрование - Данные + каналы (обязательно) - Каналы (обязательно) - Рекомендуется
2FA - Для всех пользователей - Для администраторов - Для администраторов
SIEM - Обязательно - Рекомендуется
Резервирование - Горячее, кластер - Резервное копирование - Резервное копирование
Физическая защита - СКУД, биометрия, охрана - СКУД - Замки


9. Практические рекомендации для сертификации ИС

Шаги подготовки:
1. Определение класса защищённости (по значимости информации и масштабу).
2. Проведение анализа рисков и разработка модели угроз (по методике ФСТЭК).
3. Реализация мер защиты согласно приказу №17/№117.
4. Внутренний аудит (или привлечение аудиторов).
5. Подача заявки в ФСТЭК или аккредитованную организацию.

Типичные ошибки:
* Неполный пакет документов.
* Использование несертифицированных СЗИ.
* Отсутствие журналов аудита или их малый срок хранения.
* Избыточные права пользователей.
* Отсутствие плана реагирования на инциденты.


10. Контрольные вопросы для самопроверки (краткие ответы)

1. 5 групп методов: правовые, организационные, технические, криптографические, физические.
2. Основные законы: 152-ФЗ (ПДн), 187-ФЗ (КИИ), 149-ФЗ (информация), УК РФ.
3. IDS vs IPS: IDS — обнаружение, IPS — обнаружение + блокировка.
4. Симметричное vs асимметричное: один ключ vs пара (открытый/закрытый).
5. Требования к БД К1: строгая аутентификация, СОВ, шифрование, DLP, кластеризация.
6. Defense in Depth: многоуровневая эшелонированная защита (периметр, сеть, хосты, приложения, данные, физика).
7. Обязательные документы: ПБИ, положение, регламенты доступа и резервирования, план реагирования, инструкции пользователей.