МУ имени Витте: «Проектирование информационной системы для оценки рисков и безопасности.»

В условиях роста киберугроз и регуляторных требований, проектирование информационной системы для оценки рисков и безопасности становится критически важным для организаций любого масштаба. Особенно остро эта потребность ощущается в секторах, обрабатывающих персональные данные, финансовые операции и критическую инфраструктуру.

По нашему опыту, научные руководители в МУ имени Витте уделяют особое внимание реальной применимости системы. Идеальный объект — это конкретное подразделение (например, отдел информационной безопасности банка или ИТ-служба образовательного учреждения), где можно провести анализ текущих процессов и внедрить разработанное решение.

Типичная ошибка студентов — описывать угрозы абстрактно, без привязки к реальной организации. Это снижает уникальность и практическую ценность работы. Важно показать, как именно ваша ИС решает конкретные проблемы: сокращает время аудита, автоматизирует оценку уязвимостей, формирует отчеты по ГОСТ Р ИСО/МЭК 27005.

Бесплатная консультация по вашей теме: Telegram: @Vkrbigdata WhatsApp: 79508873881 | Телефон: +79508873881, Email: admin@Vkrbigdata.ru| MAX: 79508873881

Цель: Проектирование и разработка информационной системы для оценки рисков информационной безопасности на базе моделирования угроз и автоматизированного анализа уязвимостей.

Задачи:

• Провести анализ предметной области и выявить ключевые риски в выбранной организации.
• Моделировать текущий бизнес-процесс оценки рисков («КАК ЕСТЬ») с использованием IDEF0, DFD и BPMN.
• Спроектировать оптимизированный процесс («КАК ДОЛЖНО БЫТЬ») с внедрением автоматизации.
• Разработать функциональные и нефункциональные требования к системе (ГОСТ 34.602-2020).
• Выбрать стек технологий (например, Python + Django, React, PostgreSQL) с обоснованием.
• Спроектировать архитектуру БД и интерфейс системы.
• Рассчитать экономическую эффективность внедрения (TCO, NPV, ROI).

Важно: задачи должны логично вытекать одна из другой. Если вы пропустите анализ «КАК ЕСТЬ», научный руководитель может поставить вопрос о необходимости всей работы.

Объект: Процесс управления информационной безопасностью в ИТ-отделе среднего предприятия (например, ООО «ТехноСервис»).

Предмет: Процедура идентификации, анализа и оценки рисков ИБ, включая формирование отчетности и контроль за устранением уязвимостей.

На что обращают внимание на защите: предмет должен быть уже, чем объект. Например, объект — ИТ-инфраструктура, предмет — система мониторинга рисков.

Риторический вопрос: А какая именно часть процесса будет автоматизирована? Только оценка? Или и контроль выполнения мер? Ответ на него поможет сузить предмет и повысить реалистичность проекта.

Результат: Работоспособная информационная система (веб-приложение), позволяющая:

• Загружать и анализировать результаты сканирования уязвимостей (например, из Nessus или OpenVAS).
• Автоматически рассчитывать уровень риска по матрице вероятности и воздействия.
• Формировать регламентированные отчеты (например, по ГОСТ Р 57580.1-2017).
• Отслеживать выполнение мероприятий по снижению рисков.

Практическая значимость:

• Сокращение времени на оценку рисков на 40–60%.
• Повышение прозрачности процесса для руководства.
• Соответствие требованиям 152-ФЗ, ГОСТ ИСО/МЭК 27001.

Это не просто «еще одна дипломная работа» — это инструмент, который может быть реально внедрен в практику.

В условиях цифровой трансформации и роста киберугроз, управление рисками информационной безопасности становится ключевым элементом устойчивости организации. Современные предприятия сталкиваются с множеством угроз: от фишинга и утечек данных до атак на критическую инфраструктуру. При этом ручная оценка рисков занимает значительное время, подвержена ошибкам и не обеспечивает своевременного реагирования.

Актуальность темы «Проектирование информационной системы для оценки рисков и безопасности» обусловлена необходимостью автоматизации процессов анализа уязвимостей, повышения точности оценки рисков и обеспечения соответствия нормативным требованиям. Особенно остро эта потребность ощущается в секторах, регулируемых ФСТЭК, ФСБ и Роскомнадзором.

Целью выпускной квалификационной работы является разработка информационной системы, позволяющей автоматизировать идентификацию, оценку и мониторинг рисков ИБ. Для достижения цели поставлены задачи: анализ предметной области, моделирование текущего и целевого процессов, проектирование системы, выбор технологий, разработка прототипа и экономическое обоснование.

Работа состоит из трех глав: аналитической (оценка текущего состояния), проектной (разработка системы) и экономической (расчет эффективности). Методологической основой стали ГОСТ Р ИСО/МЭК 27005, методология STRIDE и стандарты управления проектами.

В ходе выполнения выпускной квалификационной работы была спроектирована информационная система для оценки рисков информационной безопасности, ориентированная на реальные потребности ИТ-подразделения предприятия. Анализ текущего процесса выявил ключевые узкие места: ручной ввод данных, отсутствие единой базы уязвимостей, задержки в отчетности.

Проектная часть включала разработку архитектуры системы, модели данных (ER-диаграмма), интерфейсов и прототипа. Были обоснованы выбор технологий (Python/Django, PostgreSQL, React) и реализованы ключевые функции: импорт данных сканеров, расчет рисков, формирование отчетов. Экономическое обоснование показало, что внедрение системы позволит сократить затраты на аудит на 35%, а срок окупаемости составит 14 месяцев при NPV = 280 тыс. рублей.

Таким образом, разработанная система не только соответствует требованиям методических указаний МУ имени Витте, но и обладает реальной практической ценностью, способствуя повышению уровня информационной безопасности и эффективности управления рисками.

Список литературы должен быть оформлен строго по ГОСТ Р 7.0.100-2018. Включайте только авторитетные источники: учебники, научные статьи, официальные документы, стандарты. Избегайте Википедии, форумов и нестабильных ссылок.

Примеры корректных источников:

1. ГОСТ Р ИСО/МЭК 27005-2018. Менеджмент риска информационной безопасности. — М.: Стандартинформ, 2018. — 45 с.
2. Бабаш А.В., Шаньгин В.Ф. Защита информации в компьютерных системах и сетях. — М.: ДМК Пресс, 2021. — 588 с.
3. Шевченко И.В. Управление рисками информационной безопасности: методология и практика // Информационная безопасность. — 2023. — № 2. — С. 45–52.

Источники должны быть актуальными (желательно не старше 5 лет), за исключением классических трудов и нормативных документов. Все источники, использованные в экономической части, должны быть указаны (например, методики TCO, ROI).

Комментарий эксперта:

Мы работаем с выпускными квалификационными работами более 10 лет и сопровождаем студентов до защиты. Именно поэтому в статье разобраны не «идеальные», а реальные требования и типовые ошибки. По нашему опыту, в работах студентов МУ имени Витте мы регулярно видим проблемы с оформлением ГОСТ 34.602 и расчетом NPV — мы поможем избежать их.