Аттестат ФСТЭК в ВКР: как применить требования информационной безопасности в дипломном проекте

Новость о том, что сервис кадрового электронного документооборота HRlink получил аттестат соответствия ФСТЭК, — не просто инфоповод. Это маркер: рынок труда и бизнес теперь обязаны доказывать реальную безопасность IT-продуктов, а не декларировать её. Для студента, который пишет ВКР, это шанс взять свежий кейс и сделать диплом, защищаемый не только теоретическими выкладками, но и привязкой к реальным требованиям регулятора. В статье разберём, как интегрировать требования ФСТЭК в работу, какие темы выбрать, как оформить главы и какие метрики использовать, чтобы комиссия не задала вопрос «а что вы сделали практически?».

Три актуальные темы ВКР с привязкой к кейсу HRlink

Кейс HRlink показывает: аттестация ФСТЭК — это процесс из реальной жизни, который требует проектирования, анализа и реализации. Эти же этапы вы выполняете в дипломе. Ниже — три направления, которые легко превратить в полноценную ВКР.

Как использовать кейс HRlink в главе 1: теория и нормативная база

В первой главе нужно показать, что вы понимаете нормативное поле. Отлично подойдёт анализ требований ФСТЭК (приказы № 17, № 21, № 235) в связке с международными стандартами. Кейс HRlink используйте как пример того, что требования реально применяются. Покажите схему соответствия: например, как ГОСТ Р 56545 (модель угроз) сочетается с OWASP ASVS для оценки веб-приложений. Это даст понимание, что вы умеете работать с разными источниками.

Практическое задание для студента: возьмите приказ ФСТЭК № 17, выпишите основные требования к организационно-распорядительной документации and сопоставьте их с политиками, которые должен был внедрить HRlink. Такой анализ с лёгкостью ложится в главу 1 и показывает ценность работы.

Глава 2: проектирование и реализация — диаграммы, модели, код

Здесь кейс HRlink помогает оправдать выбор инженерных решений. Например, вы проектируете модуль аудита и журналирования. Используйте UML-диаграмму классов или C4-схему, чтобы показать, где именно находятся защитные механизмы. Для модели угроз по ГОСТ Р 56545 понадобится структура активов, при этом удобно использовать BPMN для описания процессов обработки персональных данных.

Пример фрагмента политики безопасности (настройка NGINX для ограничения доступа к панели администратора):

location /admin/ {
    allow 10.20.30.0/24;
    deny all;
    auth_basic "Admin access";
    auth_basic_user_file /etc/nginx/.htpasswd;
    add_header X-Content-Type-Options nosniff;
    add_header X-Frame-Options DENY;
}

Этот код — не «игрушка», а конкретная реализация меры, которую можно описать в дипломе. На защите комиссия увидит, что вы умеете не только строить диаграммы, но и писать конфигурации.

Глава 3: метрики эффективности — что считать и как показать результат

Для оценки эффективности защиты в ВКР использую следующие метрики:

• Время реакции на инцидент (MTTR) — показатель, который легко связать с организационными мерами;
• Количество выявленных и закрытых уязвимостей — результат тестирования;
• Доля протестированных требований ФСТЭК — формальный показатель полноты покрытия;
• Стоимость предотвращённого ущерба — для экономического обоснования.

Постройте таблицу «до/после»: покажите, что до внедрения ваших рекомендаций уровень рисков был выше, после — снизился. Для этого используйте ранжирование угроз на основе модели (например, высокий, средний, низкий). Комиссии важно видеть, что вы умеете не просто описывать, но и считать.

Практические выводы: чему вы научитесь в ходе работы

• Проектировать архитектуру информационной системы с учётом требований регулятора;
• Разрабатывать модель угроз по ГОСТ Р 56545 и адаптировать её под конкретный сервис;
• Настраивать базовые механизмы защиты на уровне веб-приложения;
• Обосновывать выбор мер безопасности через метрики и расчёты;
• Грамотно структурировать ВКР и защищать её перед комиссией, опираясь на реальные кейсы.

Частые вопросы студентов по теме «ФСТЭК в ВКР»

Источник: Сервис HRlink получил аттестат безопасности ФСТЭК (опубликовано 2026-03-23)