Техническое задание на СЗИ

Без технического задания выбор мер защиты рискует превратиться в набор разрозненных решений: один подрядчик поставил антивирус, другой настроил резервное копирование, третий подключил систему контроля доступа — а вместе эти меры не образуют целостную систему защиты, соответствующую реальным угрозам и требуемому уровню защищённости.

Техническое задание фиксирует единые, согласованные требования к системе защиты в целом: какие угрозы должны быть нейтрализованы, какими средствами, с каким уровнем гарантий. Это дисциплинирует и заказчика, и исполнителя — подрядчик, который строит или поставляет систему защиты, работает по конкретному документу, а не по общим пожеланиям, а заказчик получает возможность объективно проверить, выполнены ли требования по итогам работы.

Типовая структура технического задания на систему защиты информации включает следующие разделы.

Разработка технического задания требует сочетания понимания бизнес-процессов компании и специальных знаний в области защиты информации. На практике документ готовится либо силами штатного специалиста по информационной безопасности, если такая компетенция есть внутри компании, либо с привлечением специализированной организации.

Важно, чтобы техническое задание разрабатывалось на основе уже готовых модели угроз, модели нарушителя и акта определения уровня защищённости, а не параллельно с ними или вместо них.

Обратный порядок — сначала выбрать технические средства защиты, а потом задним числом обосновать их моделью угроз — распространённая ошибка. Она приводит к тому, что реализованная система защищает не от тех рисков, которые реально актуальны для компании.

Техническое задание — не самостоятельный документ, придуманный вне контекста, а прямое следствие предыдущих этапов анализа. Модель угроз определяет, какие угрозы актуальны; акт определения уровня защищённости фиксирует, к какому из четырёх уровней по Постановлению Правительства РФ № 1119 относится информационная система; техническое задание переводит эти выводы в конкретные требования к системе защиты — какие организационные и технические меры должны быть реализованы, чтобы соответствовать присвоенному уровню и нейтрализовать актуальные угрозы.

Если в компании меняется модель угроз или пересматривается уровень защищённости, техническое задание на систему защиты, как правило, тоже требует пересмотра — иначе построенная система продолжает соответствовать уже неактуальным исходным данным, а не текущей ситуации.

Хорошо составленное техническое задание позволяет объективно проверить, выполнил ли исполнитель взятые на себя обязательства. Для этого требования формулируются так, чтобы их можно было проверить: не абстрактно «обеспечить защиту от несанкционированного доступа», а конкретно, каким образом эта защита должна быть реализована и как будет проверяться результат.

Приёмка работ по построению системы защиты информации обычно оформляется отдельным актом, в котором зафиксировано соответствие или несоответствие построенной системы требованиям технического задания. Для сложных систем целесообразно предусмотреть тестирование или испытания перед окончательной приёмкой — это особенно важно, если система в дальнейшем должна пройти аттестацию или подтвердить соответствие требованиям регулятора в области защиты информации.

Итоговый акт приёмки стоит хранить вместе с самим техническим заданием и остальным пакетом документов по защите персональных данных — при проверке или при подготовке к аттестации именно эта связка документов показывает, что система защищена не декларативно, а на основании последовательно проведённого анализа и выполненных по нему работ.