Техническое задание на систему защиты информации (СЗИ)

Техническое задание на систему защиты информации — документ, определяющий требования к системе защиты ИСПДн: какие угрозы должна нейтрализовать, какие меры применить, какие средства защиты использовать.

ТЗ на СЗИ является обязательным этапом создания системы защиты ПДн согласно:

• Приказ ФСТЭК № 21, п. 8 — этапы создания системы защиты: определение требований → разработка ТЗ → проектирование → внедрение → оценка соответствия;
• Приказ ФСТЭК № 17, п. 14 — аналогичные этапы для ГИС;
• ГОСТ 34.602-2020 — стандарт оформления ТЗ на автоматизированные системы (в т.ч. системы защиты);
• ГОСТ Р 51583-2014 — порядок создания автоматизированных систем в защищённом исполнении.

ТЗ решает три задачи:

1. Формализует требования — переводит результаты модели угроз и акта УЗ в конкретные технические требования;
2. Обосновывает выбор СЗИ — привязывает каждое средство защиты к конкретной угрозе;
3. Является основой для приёмки — по ТЗ проверяется, что система защиты соответствует требованиям.

ТЗ на СЗИ не существует в вакууме — оно строится на результатах предшествующих документов:

Модель угроз → ТЗ на СЗИ. Перечень актуальных угроз из модели угроз определяет, ОТ ЧЕГО должна защищать система. Каждая актуальная угроза из модели должна быть нейтрализована конкретной мерой, указанной в ТЗ.

Акт определения УЗ → ТЗ на СЗИ. Уровень защищённости (УЗ-1 — УЗ-4) определяет базовый набор мер по Приказу ФСТЭК № 21. Для УЗ-4 — минимальный набор (около 27 мер), для УЗ-1 — максимальный (все меры).

ТЗ на СЗИ → Технический проект. ТЗ фиксирует ЧТО нужно, проект — КАК это реализовать: конкретные продукты, конфигурации, схемы подключения.

ТЗ на СЗИ → Аттестация. При аттестации ИСПДн проверяющие сверяют фактическую систему защиты с требованиями ТЗ.

Все эти документы можно создать последовательно в конструкторе Кибероснова — данные из одного документа автоматически передаются в связанные.