---

Часть 1: Нормативно-правовая база безопасности ИТ
Задание 1.1: Идентификация требований законодательства
Вопрос 1. Основные нормативно-правовые акты РФ, регулирующие обязанности в сфере обеспечения безопасности информации:
•  Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных».
•  Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации».
•  Федеральный закон от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации».
•  Требования ФСТЭК России (в т.ч. приказы по защите информации, требования к системам защиты значимых объектов КИИ, приказы о категорировании и т.п.).
•  Приказы и нормативные акты ФСБ России, регулирующие защиту государственной тайны (в т.ч. требования по защите сведений, составляющих государственную тайну, и использованию средств криптографической защиты информации).
•  Дополнительно: Трудовой кодекс РФ (дисциплинарная ответственность), КоАП РФ (административная), УК РФ (уголовная), Постановление Правительства РФ № 1119 (требования к защите ПДн), приказы Роскомнадзора.
Вопрос 2. Конкретные обязанности:
По 152-ФЗ (оператор ПДн — организация):
•  Уведомлять Роскомнадзор о начале обработки ПДн (и об изменениях).
•  Обеспечивать безопасность ПДн (организационные и технические меры, ст. 19).
•  Получать согласие субъекта (кроме случаев, когда оно не требуется).
•  Уведомлять о трансграничной передаче и об инцидентах утечки.
•  Отвечать на запросы субъектов ПДн и Роскомнадзора в установленные сроки.
•  Вести учёт операций с ПДн, назначать ответственного за организацию обработки ПДн.
На должностных лиц, ответственных за обработку ПДн:
•  Организовывать и контролировать соблюдение требований закона.
•  Обеспечивать конфиденциальность.
•  Координировать работу с Роскомнадзором и субъектами ПДн.
•  Разрабатывать и актуализировать локальные акты по защите ПДн.
На пользователей (сотрудников):
•  Соблюдать конфиденциальность ПДн, к которым получили доступ.
•  Не передавать данные третьим лицам без оснований.
•  Использовать данные только в рамках должностных обязанностей.
•  Незамедлительно сообщать о нарушениях или инцидентах.
По 149-ФЗ:
•  Обладатель информации и оператор ИС обязаны принимать правовые, организационные и технические меры защиты (ст. 16): предотвращать несанкционированный доступ, обнаруживать факты НСД, обеспечивать восстановление информации и т.д.
•  Соблюдать права третьих лиц, ограничивать доступ, если это требуется законом.
По 187-ФЗ (субъект КИИ):
•  Категорировать объекты КИИ и направлять сведения во ФСТЭК.
•  Создавать систему безопасности значимых объектов КИИ.
•  Незамедлительно информировать о компьютерных атаках и инцидентах (через ГосСОПКА/НКЦКИ).
•  Оказывать содействие уполномоченным органам.
•  Соблюдать требования по обеспечению безопасности значимых объектов.
Вопрос 3. Организационные меры защиты информации — это меры управленческого, административного и процедурного характера, направленные на обеспечение безопасности информации. Они дополняют и обеспечивают эффективность технических мер (межсетевые экраны, СОВ, антивирусы, шифрование и т.п.).
Примеры организационных мер:
•  Утверждение политик и регламентов информационной безопасности.
•  Назначение ответственных лиц и кураторов по безопасности.
•  Проведение инструктажей и обучения сотрудников.
•  Разграничение доступа на основе ролей и принципа минимальных привилегий.
•  Регламентация порядка предоставления, изменения и отзыва прав доступа.
•  Введение режима коммерческой/государственной тайны.
•  Контроль и аудит соблюдения требований.
•  Разработка планов реагирования на инциденты.
Задание 1.2: Стандарты и рекомендации
Вопрос 4. Международные стандарты и рекомендации:
•  ISO/IEC 27001 (в т.ч. версия 2022): Clause 5.3 требует от высшего руководства назначения и доведения до сведения ролей, ответственности и полномочий, связанных с информационной безопасностью. Annex A.5.2 (Security roles and responsibilities) — роли и обязанности должны быть определены и распределены. Требуется ясность ответственности за соответствие СУИБ требованиям стандарта и отчётность о её результатах.
•  NIST SP 800-53: Контроли, связанные с назначением ответственных (например, PM — Program Management, AC — Access Control, IR — Incident Response). Требуется формальное назначение лиц, ответственных за безопасность, управление рисками, реагирование на инциденты и т.д. Подчёркивается необходимость чёткого распределения ролей и подотчётности.
•  COBIT: Модель управления ИТ с чётким разделением ролей (RACI-матрицы). Акцент на распределении ответственности за процессы управления ИТ-рисками, обеспечении прозрачности и подотчётности между бизнесом, ИТ и безопасностью.
Вопрос 5. Принцип разделения обязанностей (Segregation of Duties, SoD) — разделение критических функций между разными людьми/ролями, чтобы ни один человек не мог единолично выполнить и скрыть мошеннические или ошибочные действия.
Критически важен, потому что снижает риск внутренних угроз, ошибок, мошенничества и несанкционированных действий. Примеры конфликтов функций, которые нужно разделять:
•  Администратор БД не должен быть одновременно аудитором безопасности / внутренним аудитором.
•  Лицо, предоставляющее доступ, не должно утверждать запросы на доступ.
•  Разработчик не должен иметь права на развёртывание в продуктивную среду без контроля.
•  Администратор системы не должен единолично контролировать журналы своих действий.
Часть 2: Ролевая модель и распределение обязанностей
Задание 2.1
Вопрос 6. Конкретные должностные обязанности (не менее 3 пунктов) и персональная ответственность:
Руководитель организации (Генеральный директор):
1.  Утверждает Политику информационной безопасности и ключевые документы.
2.  Обеспечивает выделение ресурсов (бюджет, персонал) на ИБ.
3.  Назначает CISO и ответственных лиц, принимает решения о режиме защиты гостайны. Персональная ответственность: за общее состояние системы ИБ организации, выполнение требований законодательства на уровне организации, последствия крупных инцидентов при отсутствии должного контроля.
CISO (Заместитель руководителя по безопасности):
1.  Разрабатывает и внедряет систему защиты информации (СЗИ).
2.  Координирует работу служб безопасности, управляет инцидентами.
3.  Взаимодействует с регуляторами (ФСТЭК, ФСБ, Роскомнадзор). Персональная ответственность: за эффективность системы ИБ, своевременность реагирования, соответствие требованиям регуляторов.
Администратор безопасности:
1.  Настраивает и сопровождает средства защиты (МСЭ, СОВ, DLP, антивирусы).
2.  Управляет учётными записями и правами доступа в соответствии с регламентами.
3.  Мониторит события безопасности и участвует в реагировании на инциденты. Персональная ответственность: за корректность настроек средств защиты, своевременность реакции на события, соблюдение процедур доступа.
Системный администратор:
1.  Обеспечивает бесперебойную работу серверов и рабочих станций.
2.  Управляет резервным копированием и восстановлением.
3.  Устанавливает обновления безопасности в согласованные сроки. Персональная ответственность: за доступность систем, своевременность обновлений, сохранность резервных копий.
Администратор баз данных (DBA):
1.  Управляет доступом к базам данных по принципу минимальных привилегий.
2.  Обеспечивает резервное копирование и восстановление БД.
3.  Проводит аудит действий пользователей БД. Персональная ответственность: за защиту данных в БД, корректность прав доступа, сохранность данных.
Пользователь (сотрудник):
1.  Соблюдает Политику ИБ и все локальные регламенты.
2.  Использует только разрешённые устройства, ПО и каналы передачи данных.
3.  Немедленно сообщает о подозрительных событиях, утере устройств/носителей. Персональная ответственность: за соблюдение установленных правил, неразглашение информации, правильное использование средств доступа.
Ответственный за обработку персональных данных:
1.  Обеспечивает соблюдение требований 152-ФЗ.
2.  Ведёт реестр операций с ПДн и контролирует согласия.
3.  Согласовывает внешние передачи данных и взаимодействует с Роскомнадзором. Персональная ответственность: за соответствие процессов обработки ПДн законодательству.
Вопрос 7. Требования к квалификации и план обучения (ориентир — 40 часов в год):
Администратор безопасности (значительно выше, чем у пользователя):
•  Требования: глубокие знания сетевых технологий, ОС, СУБД, средств защиты, уязвимостей, нормативов ФСТЭК/ФСБ, опыт работы с СЗИ.
•  План: курсы по актуальным угрозам и средствам защиты (15–20 ч), сертификация/повышение по ФСТЭК/ISO 27001 (10–15 ч), практические учения по реагированию на инциденты (5–10 ч), изучение изменений законодательства.
Рядовой пользователь:
•  Требования: базовые знания информационной гигиены, умение работать с корпоративными системами, понимание угроз фишинга и социальной инженерии.
•  План: вводный + ежегодный инструктаж (8–10 ч), онлайн-тестирование и симуляции фишинга (10–15 ч), тематические вебинары по актуальным угрозам (10–15 ч).
Задание 2.2
Вопрос 8. Типовая должностная инструкция ответственного за безопасность ИТ в филиале (ключевые обязанности):
•  Взаимодействие с головным CISO: получение указаний, передача информации, координация.
•  Проведение локальных инструктажей и контроля знаний сотрудников филиала.
•  Мониторинг соблюдения Политики ИБ и локальных регламентов в филиале.
•  Первичное реагирование на инциденты на местном уровне (изоляция, уведомление CISO, сбор первичной информации).
•  Подготовка и представление квартальной отчётности по состоянию ИБ в филиале.
•  Контроль учёта носителей, соблюдения правил работы с USB и т.п.
•  Участие в локальных проверках и аудитах.
Вопрос 9. Полномочия:
•  Имеет право инициировать блокировку доступа сотрудника при подозрении на нарушение (с немедленным уведомлением CISO и согласованием).
•  Может требовать отключения USB-портов / применения технических ограничений в рамках утверждённых политик.
•  Может требовать смены паролей при компрометации или по регламенту.
Закрепляется документально: в должностной инструкции, приказе о назначении, регламенте реагирования на инциденты, Положении о разграничении доступа. Все действия фиксируются и согласуются с CISO (кроме экстренных мер с последующим уведомлением).
Часть 3: Обязанности пользователей (сотрудников)
Задание 3.1
Вопрос 10. Обязанности пользователя (10–15 пунктов по категориям):
Работа с учётными записями и паролями:
1.  Использовать сложные уникальные пароли и менять их в установленные сроки (например, каждые 90 дней).
2.  Не передавать учётные данные третьим лицам и не записывать их в открытом виде.
3.  Немедленно сообщать о компрометации учётной записи.
4.  Использовать многофакторную аутентификацию, где она внедрена.
Использование технических средств: 5. Не подключать неразрешённые USB-устройства и носители. 6. Не устанавливать нелицензионное и несанкционированное ПО. 7. Блокировать рабочую станцию при уходе с рабочего места. 8. Использовать только корпоративные устройства и сети для служебных задач.
Обработка данных: 9. Не передавать служебную и конфиденциальную информацию через личную почту, мессенджеры и облачные сервисы. 10. Использовать шифрование для конфиденциальных файлов при необходимости передачи. 11. Обрабатывать данные только в рамках должностных обязанностей.
Реагирование на инциденты: 12. Немедленно сообщать о потере устройств, носителей, подозрительных письмах, попытках НСД. 13. Не пытаться самостоятельно устранять инциденты без указаний.
Соблюдение режима тайны: 14. Соблюдать режим коммерческой и государственной тайны (если допущен). 15. Не разглашать сведения, полученные в ходе работы, после увольнения (в рамках NDA).
Вопрос 11. В Соглашении о неразглашении (NDA) должно быть указано:
•  Перечень категорий информации, составляющей коммерческую/служебную тайну.
•  Обязанность не разглашать информацию в период работы и после увольнения (срок).
•  Запрет на использование информации в личных целях.
•  Порядок возврата носителей и документов при увольнении.
•  Ответственность за нарушение (дисциплинарная, гражданско-правовая, уголовная).
•  Согласие на обработку персональных данных сотрудника в связи с исполнением NDA.
NDA дополняет Политику ИБ: Политика устанавливает общие правила, NDA фиксирует индивидуальные обязательства конкретного сотрудника.
Задание 3.2
Вопрос 12. Иерархия ответственности пользователя:
•  Дисциплинарная (ТК РФ): замечание, выговор, увольнение.
•  Административная (КоАП РФ): штрафы (в т.ч. за нарушения требований защиты ПДн — ст. 13.11 КоАП и др.).
•  Уголовная (УК РФ): ст. 272 (неправомерный доступ), ст. 273 (вредоносные программы), ст. 274 (нарушение правил эксплуатации средств хранения/обработки информации), а также статьи о разглашении гостайны и др.
Вопрос 13. Примеры:
•  Дисциплинарная: сотрудник оставил пароль на стикере на мониторе / подключил личную флешку.
•  Административная: руководитель отдела использовал базу ПДн клиентов в личных целях.
•  Уголовная: системный администратор продал логин/пароль от сервера с гостайной / умышленно создал вредоносное ПО.
Часть 4: Ответственность должностных лиц и администраторов
Задание 4.1
Вопрос 14. На Генеральном директоре как на первом лице организации лежит ответственность за организацию системы защиты информации. При крупной утечке возможны:
•  Административная ответственность по КоАП РФ (ст. 13.11 — нарушение законодательства о ПДн, ст. 13.12 — нарушение правил защиты информации и др.).
•  Гражданско-правовая ответственность (возмещение ущерба).
•  В отдельных случаях — уголовная (если доказана халатность или иные составы). Ссылки: 152-ФЗ, 149-ФЗ, КоАП РФ (соответствующие статьи), УК РФ (при наличии состава).
Вопрос 15. Личная ответственность CISO — ответственность за надлежащее исполнение возложенных обязанностей по организации и контролю системы ИБ. Может быть привлечён при доказанном халатном отношении, отсутствии контроля, несвоевременном реагировании на инциденты, системных нарушениях, повлекших ущерб. Формы: дисциплинарная, административная, в тяжёлых случаях — уголовная (халатность и др.).
Вопрос 16. «Отказ от ответственности» оформляется через:
•  Подписание актов выполненных работ / приёмки систем защиты.
•  Отчёты внутренних и внешних аудиторов.
•  Предписания и акты регуляторов с отметками об устранении.
•  Протоколы совещаний и решения руководства.
Это важно для фиксации факта принятия мер, распределения ответственности и защиты должностных лиц при добросовестном исполнении обязанностей.
Задание 4.2
Вопрос 17. Политика использования привилегированных учётных записей (PAM) должна регламентировать:
•  Кто имеет право на получение привилегий (только по обоснованной необходимости, с утверждением CISO).
•  Порядок выдачи паролей/ключей (через систему хранения секретов — CyberArk, аналоги, KeePass с разделением доступа; запрет на передачу в открытом виде).
•  Обязательное журналирование и аудит всех действий привилегированных пользователей.
•  Срок действия привилегий (по умолчанию временный, постоянный — только по исключению с периодическим пересмотром).
•  Принцип минимальных привилегий и Just-In-Time доступ.
•  Порядок отзыва и ротации учётных записей.
Вопрос 18. Санкции:
•  Самостоятельное создание суперпользовательской учётки без согласования: дисциплинарное взыскание (вплоть до увольнения), отзыв привилегий, возможна административная/уголовная ответственность.
•  Неустановка критических обновлений, приведшая к взлому: дисциплинарная ответственность, возможна материальная и административная.
•  Несанкционированное копирование БД на личный носитель: дисциплинарная + административная + уголовная (ст. 272, 274 УК РФ и др.) в зависимости от последствий и характера данных.
Часть 5: Процедуры и регламенты
Задание 5.1
Вопрос 19. Обязательные документы:
•  Политика информационной безопасности — верхнеуровневый документ, определяющий принципы, цели и общие требования.
•  Положение о защите персональных данных — детализирует требования 152-ФЗ, процессы обработки, меры защиты, права субъектов.
•  Инструкция по реагированию на инциденты (IRP) — роли, этапы реагирования, эскалация, контакты.
•  Регламент предоставления доступа — процедура запроса, согласования, выдачи, изменения и отзыва прав.
•  План непрерывности деятельности (BCP) и восстановления после атак (DRP) — меры по обеспечению непрерывности и восстановлению.
•  Журнал учёта и контроля — фиксация выдачи/отзыва доступа, носителей, ключевых событий.
Задание 5.2
Вопрос 20. Программа вводного инструктажа (минимум 2 часа):
•  Основные угрозы и уязвимости (фишинг, вредоносное ПО, социальная инженерия, внутренние угрозы).
•  Обязанности пользователя по Политике ИБ.
•  Порядок действий при обнаружении подозрительных активностей.
•  Запрет на передачу учётных данных и использование личных устройств/каналов.
•  Уголовная и административная ответственность за нарушения.
•  Особенности работы с ПДн и сведениями ограниченного доступа.
•  Практические примеры и ответы на вопросы.
Вопрос 21. Повторные инструктажи — не реже 1 раза в год + внеплановые при изменениях. Проверка знаний: ежегодное онлайн-тестирование, практические задания, имитация фишинговых атак (с последующим разбором). Результаты фиксируются.
Часть 6: Аудит и контроль соблюдения обязанностей
Задание 6.1
Вопрос 22. Матрица KPI (примеры):
Для CISO:
•  Уровень соответствия требованиям регуляторов.
•  Время реакции на критические инциденты.
•  Количество устранённых критических уязвимостей в срок.
•  Результаты внешних/внутренних аудитов.
Для администратора безопасности:
•  Процент своевременной установки критических обновлений.
•  Количество выявленных и обработанных событий безопасности.
•  Соблюдение регламентов настройки СЗИ.
Для ответственного в филиале:
•  Процент сотрудников, прошедших инструктажи и тестирование.
•  Количество зафиксированных нарушений в филиале.
•  Своевременность отчётности и первичного реагирования.
Для пользователя:
•  Прохождение обязательного тестирования (результат).
•  Количество зафиксированных нарушений.
•  Использование MFA и соблюдение правил работы с паролями/устройствами.
Вопрос 23. Процедура внутренних аудитов:
•  Периодичность: ежеквартально (или ежемесячно по отдельным направлениям) + внеплановые.
•  Состав комиссии: независимые аудиторы (не из проверяемого подразделения), представители службы безопасности, при необходимости — внешнего эксперта.
•  Документирование: акты, предписания, отчёты с указанием замечаний и сроков устранения.
•  Сроки устранения: устанавливаются в зависимости от критичности (критические — в кратчайшие сроки, остальные — по согласованному плану).
Вопрос 24. Подразделение внутреннего аудита должно быть независимым от ИТ-отдела и CISO. Это обеспечивает объективность проверок, отсутствие конфликта интересов и возможность беспристрастной оценки эффективности системы распределения ответственности и мер защиты. Подчинение напрямую высшему руководству или совету директоров.