практика_4 курс_8-10 недели

1. Стандарты и нормативно-правовые основы информационной безопасности

Стандарты и нормативноправовые основы
информационной
безопасности

2.

Закон в праве: в широком смысле — установленные государством
нормативные правовые акты и общеобязательные правила; в узком
смысле — нормативный акт, принятый высшим представительным
органом государственной власти или непосредственно населением и
регулирующий наиболее важные общественные отношения.
Закон составляет основу правовой системы государства. Как
самостоятельный источник государственной власти закон вошёл в практику
ещё в древности, заменив нормы обычного права. Юридическая сила
закона позволяет отменять нормы иных нормативных актов. Акты всех
государственных органов должны соответствовать закону, издаваться на
основе его положений и в целях его исполнения, то есть носить
подзаконный характер. Любой правовой акт, противоречащий закону,
должен признаваться недействующим.

3.

Кодекс — законодательный акт, созданный путём систематизации норм
определённой отрасли права, их переработки, изменения и дополнения в
соответствии с новыми требованиями и условиями.
Указ — один из видов правовых актов, принимаемых высшими органами
государственной власти, президентом или премьер-министром.
Постановление — официальный документ, закрепляющий решения и предписания
органов и учреждений, действующих на коллегиальной основе.
Постановление принимается по вопросам, обсуждаемым на заседаниях и
собраниях. Исполнение предусмотренных в нём мер обязательно.
Приказ — акт управления, применяемый в деятельности государственных органов,
негосударственных организаций, коммерческих и некоммерческих структур. По
правовой природе приказы подразделяются на нормативные и индивидуальные
акты управления. Нормативный приказ содержит общие правила поведения,
рассчитанные на неоднократное применение и обязательные для всех лиц в
пределах определённой ситуации.

4.

Стандарт (англ. standard — мера, образец, эталон) — образец, эталон
или модель, принимаемые за основу для сравнения с другими
аналогичными объектами и предметами; нормативно-справочный
документ, принятый компетентным органом и устанавливающий
единицы измерения, термины и их определения, требования к
продукции и производственным процессам, безопасности людей,
сохранности материальных ценностей и др. В широком смысле —
основной образец, эталон или модель для сравнения с аналогичными
объектами.
Стандарт
разрабатывается
на
основе
согласия
заинтересованных сторон и утверждается органом по стандартизации,
метрологии и сертификации. Он устанавливает правила, общие
принципы или характеристики различных видов деятельности либо их
результатов для всеобщего и многократного применения.

5.

Категории стандартов
• Международный стандарт
• Региональный стандарт
• Государственный стандарт
• Стандарт организации
В рамках определённой системы стандартизации стандарты подразделяются по следующим
направлениям:
• стандарты качества
• социальные стандарты
• образовательные стандарты
• стандарты, устанавливающие технические требования
• стандарты безопасности труда
• стандарты оформления документов
• экологические стандарты и др.

6.

«Расположите их по юридической природе. Что из этого
обязательно? Что может быть добровольным? Кто принимает? Где
искать?»
Документ
Кто принял?
Что регулирует?
Обязателен?
Где найти?
Закон
Парламент
Правовые
отношения
Да
Әділет
Приказ
Уполномоченный
орган
Конкретные
требования
В зависимости от
акта
Әділет
Стандарт
Орган по
стандартизации
Требования/реком
ендации
Зависит от статуса
и применения
База стандартов
Политика ИБ
Организация
Внутренние
правила
Для работников
организации
Внутренняя
документация
Кодекс
Указ
Постановление

7.

Задание №1
Университет собирает ФИО, ИИН, телефоны и адреса студентов.
Вопрос:
Какое законодательство может применяться?
Чтобы ответить на этот вопрос, мы конкретизируем
информацию, представленную ниже:
Студент должен найти Закон «О персональныхназвание;
данных и их
область применения;
защите».
кто разработал;
год;
редакцию;
структуру;
для чего применяется;
что такое ISMS/СМИБ;
связь с аудитом и сертификацией;
какие национальные стандарты могут быть
гармонизированы/идентичны.

8.

Задание 2.
В компании произошёл инцидент информационной безопасности.
Вопрос:
Какое законодательство Казахстана необходимо проверить?
Студент должен самостоятельно выйти на нормативную базу в области кибербезопасности.
Например, в «Әділет» есть Закон РК «О кибербезопасности» № 418-V от 24 ноября 2015 года;

9.

Задание 3. Компания разрабатывает информационную систему и
хочет понять требования законодательства к цифровым ресурсам.
Какие требования законодательства необходимо учитывать компании
при разработке и эксплуатации информационной системы и цифровых
ресурсов?
Здесь можно подвести их к законодательству об информатизации и к
актуальным изменениям цифрового законодательства. Например, в
2026 году принят Цифровой кодекс РК № 255-VIII от 9 января 2026 года,

10.

Контрольные вопросы?
• Какой закон регулирует персональные данные?
• Какой закон регулирует кибербезопасность?
• Какой документ регулирует правовые акты?
• Какой закон регулирует сферу информатизации?
• Где проверить, действует ли найденный документ?

11.

Домашнее задание:
СТ РК 34.026-2006
Защита информации. Термины и определения
СТ РК 34.022-2006
Защита информации. Требования к проектированию, установке,
наладке, эксплуатации и обеспечению безопасности
ISO/IEC 27001
информационных систем
рекомендации и меры контроля информационной безопасности.
ISO/IEC 27002
https://adilet.zan.kz/rus/search/docs/fulltext=%D0%9E+%D0%BF%D0%B5%D1
%80%D1%81%D0%BE%D0%BD%D0%B0%D0%BB%D1%8C%D0%BD%D1%8B%D
1%85+%D0%B4%D0%B0%D0%BD%D0%BD%D1%8B%D1%85+%D0%B8+%D0%
B8%D1%85+%D0%B7%D0%B0%D1%89%D0%B8%D1%82%D0%B5

12.

Занятие 2

13.

«В организации произошла утечка персональных данных.
Руководитель говорит: "У нас есть антивирус и парольная политика,
значит, мы защищены". Достаточно ли этого с точки зрения
законодательства и стандартов?»

14.

Задание 2.
Вы — специалист по информационной безопасности университета. Руководитель попросил определить,
какие нормативные требования необходимо учитывать при защите персональных данных студентов.
Какие действия вы предпринимаете?
1) Найти нормативные документы.
2) Проверить, действуют ли они.
3) Найти конкретные статьи/пункты.
4)Сделать таблицу:
Требование
Источник
Статья/пункт
Требование 1
Закон
ст. X
Разработать ...
Требование 2
НПА
п. X
Обеспечить ...
Требование 3
НПА
п. X
Организовать ...
Что должна сделать организация
5) «Для нашей организации применимы следующие требования...»/ вывод

15.

Задание 3. Утечка данных студентов».
Университет.
10 000 студентов.
Есть LMS.
Есть база студентов.
Есть мобильное приложение.
Сотрудники используют корпоративную почту. Нужно самим расследовать нормативную сторону:
Произошла утечка данных.
1. Какие данные затронуты?
↓
2. Какие законы применяются?
↓
3. Где найти эти законы?
↓
4. Действуют ли они?
↓
5. Какие конкретные требования содержатся в статьях?
↓
6. Какие документы должны быть в университете?
↓
7. Какие меры защиты должны быть реализованы?
↓
8. Как доказать выполнение требований?

16.

Контрольные вопросы?
• что такое информационная безопасность;
• что такое нормативно-правовой акт;
• иерархия нормативных документов;
• законы;
• подзаконные акты;
• стандарты;
• технические регламенты;
• ведомственные нормативные документы;
• локальные документы организации;
• ответственность.

17. Домашнее задание

CT PK 34.023-2006
Информационная технология. Методика оценки
соответствия информационных систем требованиям
безопасности
CT PK 34.024-2006
Защита информации. Автоматизированные системы в
защищенном исполнении. Общие технические
требования

18.

Занятие 3

19. ТОО «Service» 50 сотрудников. Есть сайт, CRM, корпоративная почта, бухгалтерская система. Хранятся данные сотрудников и

Задание
ТОО «Service»
50 сотрудников.
Есть сайт, CRM, корпоративная почта, бухгалтерская система.
Хранятся данные сотрудников и клиентов.
Часть сотрудников работает удалённо.
Резервное копирование выполняется нерегулярно.
Вопросы:
• Какие информационные активы есть?
• Какие данные необходимо защищать?
• Какие нормативные требования могут распространяться на
организацию?
• Какие документы должны быть?
• Какие нарушения/риски можно предположить?

20.

Задание
Даны стандарты:
СТ РК 34.022-2006
ISO/IEC 27001
Надо определить:
•что регулирует документ;
•на кого распространяется;
•какие требования устанавливает;
•какие обязанности возникают у организации;
•какая ответственность предусмотрена.
Составить «паспорт нормативного документа»:
Название
Вид документа
Орган, принявший документ
Область регулирования
Кому применяется
Основные требования
Ответственность
Практическое значение для организации

21.

Задание
Практика по ISO/IEC 27001
Надо провести мини-аудит.
Например:
В компании отсутствует утверждённая политика ИБ.
Учётные записи бывших сотрудников не всегда блокируются.
Резервные копии не проверяются.
Нет процедуры регистрации инцидентов.
Сотрудники не проходят регулярное обучение ИБ.
Студент должен заполнить:
Требование
Текущее состояние Соответствие
Доказательство
Корректирующее
действие
Политика ИБ
Не утверждена
Документ
отсутствует
Разработать и
утвердить
Управление
доступом
Частично
Журнал учётных
записей
Ввести процедуру
Резервное
копирование
Выполняется
Отчёты
Организовать тест
восстановления

22.

Задание
Практика «Разработай документ»
Очень полезно дать каждому студенту или группе отдельный документ.
Например:
•Политика информационной безопасности;
•Политика управления паролями;
•Политика управления доступом;
•Положение о защите персональных данных;
•Регламент резервного копирования;
•Регламент реагирования на инциденты;
•Положение об использовании корпоративной почты;
•Инструкция пользователя по ИБ;
•Матрица доступа;
•Реестр информационных активов.
Студент должен обосновать каждый его раздел нормативными требованиями.
Например:
Требование → пункт нормативного документа → пункт внутренней политики → реализованная мера.

23.

Задание
«Произошёл инцидент»
Сотрудник получил фишинговое письмо и ввёл пароль на поддельном сайте. Через два часа
была обнаружена подозрительная активность в корпоративной системе.
Группы получают роли:
•специалист ИБ;
•системный администратор;
•руководитель;
•юрист;
•сотрудник;
•аудитор.
Что необходимо делать?
1.является ли событие инцидентом;
2.кто должен быть уведомлён;
3.какие системы необходимо проверить;
4.какие доказательства сохранить;
5.какие действия выполнить;
6.какие документы оформить;
7.нужно ли уведомлять внешние органы/заинтересованные стороны;
8.какие меры принять, чтобы ситуация не повторилась.

24.

Практика «Аудитор пришёл в организацию»
Одна группа - аудиторы.
Вторая - организация.
Аудиторы задают вопросы:
«Покажите вашу политику информационной безопасности».
«Как вы предоставляете доступ новым сотрудникам?»
«Что происходит с учётной записью уволенного сотрудника?»
«Как осуществляется резервное копирование?»
«Как регистрируются инциденты?»
«Когда последний раз проводилось обучение сотрудников?»
«Каким документом это регламентируется?»
Главное: Любое утверждение должно подтверждаться доказательством.

25.

Для поиска информации
• https://adilet.zan.kz/rus/search/docs/fulltext=%D0%9E+%D0%BF%D0
%B5%D1%80%D1%81%D0%BE%D0%BD%D0%B0%D0%BB%D1%8C%D
0%BD%D1%8B%D1%85+%D0%B4%D0%B0%D0%BD%D0%BD%D1%8B
%D1%85+%D0%B8+%D0%B8%D1%85+%D0%B7%D0%B0%D1%89%D
0%B8%D1%82%D0%B5
• https://studwood.net/1632210/informatika/bezopasnost_informatsio
nnyh_sistem