---

Братан, вот текст попроще, без слишком официальных формулировок. Можешь переносить в Word. Оставил технические термины, которые нужны по заданию, но написал более естественно, как обычную студенческую работу.

### Практическая работа № 9

Тема: Определение требований к защите информации

Вариант 3. Холдинг «Вектор»

### Цель работы

Научиться определять уровень защищённости персональных данных и подбирать необходимые меры защиты для информационной системы.

### Краткое описание системы

Холдинг «Вектор» использует кадровую информационную систему, в которой хранятся данные 5000 сотрудников. В системе есть ФИО, паспортные данные, ИНН, СНИЛС и сведения о семье. Для работы используются 8 компьютеров кадровиков и бухгалтеров, сервер базы данных и локальная сеть без доступа в интернет с рабочих мест. Используются стандартная операционная система и отечественное прикладное ПО с сертификатом. По результатам модели угроз недекларированные возможности в системном и прикладном ПО неактуальны.

### Задание 1. Определение параметров и уровня защищённости

1\. Категория персональных данных

Иные персональные данные, так как система содержит ФИО, паспортные данные, ИНН, СНИЛС и сведения о семье.

2\. Количество субъектов ПДн

5000 человек. Это сотрудники холдинга.

3\. Субъекты являются сотрудниками оператора?

Да, все данные относятся к сотрудникам холдинга.

4\. Недекларированные возможности в системном ПО

Неактуальны согласно результатам модели угроз.

5\. Недекларированные возможности в прикладном ПО

Неактуальны согласно результатам модели угроз.

6\. Тип актуальных угроз

Третий тип, так как недекларированные возможности в системном и прикладном ПО неактуальны.

7\. Уровень защищённости

УЗ-4. Согласно таблице из методички, для иных персональных данных сотрудников при количестве менее 100 000 и угрозах третьего типа устанавливается четвёртый уровень защищённости.

### Задание 2. Выбор мер защиты

В таблице ниже знак «+» означает, что мера требуется, а знак «−» означает, что она не входит в базовый набор для установленного уровня.

| №   | Код    | Мера защиты                                      | Знак |
| --- | ------ | ------------------------------------------------ | ---- |
| 1   | ИАФ.1  | Идентификация и аутентификация пользователей     | +    |
| 2   | ИАФ.3  | Управление идентификаторами                      | +    |
| 3   | ИАФ.5  | Защита данных при вводе пароля                   | +    |
| 4   | УПД.1  | Управление учётными записями                     | +    |
| 5   | УПД.2  | Разграничение прав доступа                       | +    |
| 6   | УПД.3  | Управление информационными потоками              | +    |
| 7   | УПД.4  | Разделение полномочий пользователей              | +    |
| 8   | УПД.6  | Ограничение неудачных попыток входа              | +    |
| 9   | УПД.10 | Блокировка сеанса при бездействии                | −    |
| 10  | ОПС.3  | Установка только разрешённых программ            | −    |
| 11  | ЗНИ.1  | Учёт носителей информации                        | −    |
| 12  | АУД.4  | Регистрация событий безопасности                 | +    |
| 13  | АВЗ.1  | Антивирусная защита                              | +    |
| 14  | АВЗ.2  | Обновление антивирусных баз                      | +    |
| 15  | ОЦЛ.1  | Контроль целостности программ                    | −    |
| 16  | ОДТ.4  | Резервное копирование                            | −    |
| 17  | ЗТС.3  | Контроль физического доступа                     | +    |
| 18  | ИНЦ.1  | Назначение ответственных за выявление инцидентов | +    |
| 19  | АНЗ.1  | Поиск и анализ уязвимостей                       | −    |
| 20  | ЗИС.17 | Разделение системы на сегменты                   | −    |

### Задание 3. Реализация мер защиты

1\. ИАФ.1 — идентификация и аутентификация пользователей.

Для каждого работника создаётся отдельная учётная запись с паролем. Это позволит определить, кто именно вошёл в систему, и не даст пользоваться одной учётной записью всем сотрудникам.

2\. УПД.1 — управление учётными записями.

Администратор должен создавать учётные записи новым сотрудникам и отключать их после увольнения. Это поможет избежать доступа бывших работников к кадровой информации.

3\. УПД.2 — разграничение прав доступа.

Для кадровиков, бухгалтеров и администратора настраиваются разные права. Каждый сотрудник получает доступ только к тем данным и функциям, которые нужны ему для работы.

4\. УПД.6 — ограничение неудачных попыток входа.

После нескольких неправильных попыток ввода пароля учётная запись временно блокируется. Это затрудняет подбор пароля посторонними лицами.

5\. ЗТС.3 — контроль физического доступа.

Сервер базы данных размещается в закрытом помещении. Доступ туда предоставляется только ответственным сотрудникам. Это уменьшает риск того, что посторонний человек сможет получить доступ к оборудованию.

### Задание 4. Организационные требования

| Пункт | Требование                                                    | Знак |
| ----- | ------------------------------------------------------------- | ---- |
| а     | Организация безопасности помещений, где находится система     | +    |
| б     | Обеспечение сохранности носителей с персональными данными     | +    |
| в     | Утверждение списка лиц, которым разрешена обработка ПДн       | +    |
| г     | Использование средств защиты, прошедших оценку соответствия   | +    |
| д     | Назначение ответственного за безопасность ПДн                 | −    |
| е     | Ограничение доступа к электронному журналу сообщений          | −    |
| ж     | Автоматическая регистрация изменений прав доступа сотрудников | −    |
| з     | Создание подразделения, отвечающего за безопасность ПДн       | −    |

Для УЗ-4 обязательны требования с пунктами а–г. Остальные требования добавляются при более высоких уровнях защищённости согласно методичке.

### Задание 5. Анализ изменения условий

По условию холдинг начинает хранить резюме и персональные данные 130 000 соискателей, которые не являются сотрудниками организации. Остальные условия не меняются.

1\. Новые параметры

Категория данных остаётся прежней — иные персональные данные. Количество субъектов увеличивается: в системе будут данные 130 000 соискателей, а также 5000 сотрудников. Соискатели не являются сотрудниками оператора.

2\. Тип актуальных угроз

Третий тип, так как недекларированные возможности в системном и прикладном ПО по условию остаются неактуальными.

3\. Новый уровень защищённости

УЗ-3. По таблице из методички для иных персональных данных лиц, не являющихся сотрудниками оператора, при количестве более 100 000 и угрозах третьего типа устанавливается третий уровень защищённости.

4\. Какие требования изменятся

По сравнению с УЗ-4 добавляется требование о назначении должностного лица, ответственного за безопасность персональных данных. Также расширяется набор мер защиты. Например, потребуется блокировка сеанса после бездействия и выявление уязвимостей системы. Полный состав мер необходимо определять по требованиям для УЗ-3.

Вывод

После увеличения количества субъектов уровень защищённости меняется с УЗ-4 на УЗ-3. Для холдинга это означает дополнительные затраты на настройку защиты, проверку уязвимостей и выполнение новых организационных требований.

### Общий вывод

В ходе работы был определён уровень защищённости кадровой информационной системы холдинга «Вектор». В исходных условиях установлен УЗ-4, так как система обрабатывает персональные данные 5000 сотрудников, а угрозы, связанные с недекларированными возможностями ПО, неактуальны. Для защиты данных необходимо разграничить права пользователей, организовать управление учётными записями, использовать антивирусную защиту и ограничить физический доступ к серверу. При увеличении количества субъектов до 130 000 соискателей уровень повышается до УЗ-3, поэтому потребуется выполнить дополнительные требования по защите информации.

### Ответы на контрольные вопросы

1\. Что такое информационная система персональных данных и кто является оператором ПДн?

Информационная система персональных данных — это база персональных данных вместе с программами и оборудованием, которые используются для их обработки. Оператор — организация или человек, которые определяют, зачем и как обрабатываются эти данные. В данном варианте оператором является холдинг «Вектор».

2\. Чем отличаются специальные, биометрические, общедоступные и иные ПДн?

Специальные данные содержат сведения о здоровье, политических и религиозных взглядах и другие подобные сведения. Биометрические данные описывают особенности человека и используются для установления его личности. Общедоступные данные доступны широкому кругу лиц на законных основаниях. Иные персональные данные — это остальные сведения, например ФИО, паспортные данные, ИНН и СНИЛС.

Важный момент, братан: таблица во втором задании требует проверки по приказу ФСТЭК № 21, потому что в методичке приведены конкретные коды мер, и не все отметки можно надёжно подтвердить только по описанию варианта. Я сохранил обозначения из твоего задания, но перед сдачей лучше сверить плюсы и минусы с таблицей базового набора.