Доклад по информационной безопасности

Что ждут на разных ступенях

Информационная безопасность и кибербезопасность — в чём разница

Эти термины в докладах часто путают, хотя разница существенна. Информационная безопасность — более широкое понятие: это защита информации в любом виде, включая бумажные документы, устную передачу данных и организационные меры, например пропускной режим или порядок доступа к архиву. Кибербезопасность — её часть, которая касается конкретно цифровых систем: компьютеров, сетей, программ и данных, которые через них передаются.

Для школьного и студенческого доклада это различие стоит обозначить в самом начале текста, если тема касается и того, и другого: например, тема про утечку персональных данных может затрагивать как цифровую защиту базы данных, так и организационный порядок доступа сотрудников к бумажным личным делам. Указание на то, какую именно часть темы раскрывает доклад — цифровую или организационную, — делает формулировку точнее и избавляет от смешения понятий, которое сразу заметно на защите.

Внутренние и внешние угрозы

Угрозы информационной безопасности принято делить на две группы, и понимание этого деления помогает точнее сузить тему доклада.

Внутренние угрозы связаны с действиями людей, у которых уже есть доступ к системе или данным: сотрудник по ошибке отправил файл не тому адресату, ученик случайно удалил общий документ класса, слабый пароль на рабочем аккаунте позволил зайти в систему человеку, которому это не полагалось. Для доклада такие темы подходят тем, что их легко проиллюстрировать без нарушения чужих границ — достаточно разобрать механизм ошибки и способ её предотвращения.

Внешние угрозы исходят от тех, кто не имеет доступа к системе изначально: вредоносные программы, фишинговые письма, попытки мошенничества через мессенджеры и социальные сети. В докладе такую угрозу разбирают по признакам, которые помогают её распознать, — не создавая и не рассылая пример реального фишингового письма с чужими данными, а описывая типичную структуру такого письма в общих чертах.

Деление на внутренние и внешние угрозы подходит как отдельная небольшая тема для 10–11 класса или колледжа, а для более узкого доклада это скорее вступительная классификация перед разбором одной конкретной угрозы.

Что нельзя делать в этом докладе

Прежде чем выбирать тему, стоит зафиксировать границу, за которую доклад не заходит ни при каких условиях. Это не формальность — нарушение этих правил превращает учебную работу в действие с юридическими последствиями, даже если цель была учебной.

Доклад не про взлом. Тема объясняет, как устроена защита и какие угрозы существуют, а не как получить доступ к чужим данным или системе. Если формулировка темы подталкивает к демонстрации атаки, её нужно переформулировать в сторону защиты.

Нельзя подбирать или угадывать чужие пароли. Даже в учебных целях и даже если речь идёт об аккаунте одноклассника или члена семьи, который, как кажется, не будет против. Проверка надёжности пароля проводится только на своём собственном пароле.

Нельзя сканировать чужие сети. Школьная сеть, сеть соседей по дому, открытая сеть кафе — любая сеть, которая не принадлежит лично докладчику, не подлежит сканированию или анализу трафика для доклада, даже инструментами, которые свободно доступны в интернете.

Нельзя тестировать уязвимости чужих систем. Попытка проверить, насколько защищён школьный сайт, электронный журнал или любой другой чужой ресурс, не входит в рамки школьного или студенческого доклада — это относится к области, которая регулируется отдельно и требует официального разрешения владельца системы.

Защиту изучают только на своих устройствах. Настройки антивируса, двухфакторной аутентификации, резервного копирования — всё это разбирают и проверяют на собственном телефоне, компьютере или аккаунте, а не на устройстве, которое принадлежит другому человеку.

Найденные проблемы передают администрации, а не используют. Если в ходе подготовки доклада случайно обнаружилась реальная уязвимость — например, школьная система пропускает слишком простой пароль или оставляет данные открытыми, — об этом сообщают администрации школы или ответственному за информационные системы. Доклад описывает факт находки в общих словах, без инструкции, как её повторить, и без публикации технических деталей.

Где брать материал

Для доклада по информационной безопасности подходят источники, которые можно проверить по автору и дате:

• ФСТЭК России — материалы о мерах защиты информации и требованиях к информационным системам.
• Роскомнадзор — разъяснения о защите персональных данных и правах субъекта персональных данных.
• Федеральный закон «О персональных данных» — в действующей редакции, с указанием номера и даты принятия; редакцию перед использованием стоит сверить по официальному порталу правовой информации, поскольку в закон регулярно вносят изменения.
• Материалы разработчиков антивирусного программного обеспечения — статьи и отчёты об угрозах с указанным автором и датой публикации.
• Учебник информатики или ОБЖ (ОБЗР) — основа базовых терминов и определений для школьного уровня.

Номера конкретных статей закона или пунктов норматива, в которых нет уверенности, лучше не указывать вовсе — достаточно сослаться на документ целиком с оговоркой «в действующей редакции». Цифры о количестве атак, утечек или инцидентов без указания источника и года в доклад не включают: такая статистика быстро устаревает и часто расходится между изданиями, а без даты проверить её на защите невозможно.

Как выбрать тему

Для доклада по информационной безопасности подходит узкая формулировка внутри одного направления, а не вся тема защиты информации целиком:

• Виды угроз — один тип угрозы (вредоносная программа, фишинг, утечка данных) с разбором механизма, а не перечисление всех угроз подряд.
• Защита персональных данных — что закон считает персональными данными и какие права есть у их владельца, на примере школьной или студенческой ситуации.
• Пароли и аутентификация — принципы надёжного пароля и двухфакторной аутентификации, проверенные на собственном примере.
• Социальная инженерия и фишинг — как распознать мошенническую схему по признакам, без разбора реального письма с личными данными третьих лиц.
• Нормативная база — федеральный закон о персональных данных или требования к защите информации в общих чертах, без вымышленных номеров статей.
• Профессии в информационной безопасности — чем занимается специалист по защите информации, какие задачи решает, без демонстрации рабочих инструментов взлома.

Полный список тем с делением по направлениям и указанием, что раскрыть, собран в статье «Темы докладов по информационной безопасности». Общие правила сужения темы для любого предмета разобраны в статье «Как выбрать тему доклада».

Разбор одной темы целиком: проверка надёжности своего пароля

Сужение. «Пароли и аутентификация» — тема для целого раздела курса. Рабочая формулировка: «Как проверить надёжность своего пароля и почему простой пароль — это риск».

Источники. Параграф учебника информатики о защите данных, материалы разработчика антивирусного программного обеспечения о принципах подбора надёжного пароля, рекомендации по двухфакторной аутентификации с официального сайта сервиса, которым докладчик пользуется сам.

План. Три пункта: из чего складывается надёжность пароля — длина, состав символов, отсутствие личных данных в самом пароле; какие ошибки делают пароль слабым — повтор на разных сервисах, использование даты рождения; как дополнительно защитить аккаунт — двухфакторная аутентификация, менеджер паролей.

Текст. Введение — 3–4 предложения о том, почему простой пароль остаётся одной из главных причин взлома личных аккаунтов. Середину доклада удобно собрать в три блока: сама угроза — что происходит при взломе слабого пароля, способ защиты по открытым рекомендациям — какой длины и состава должен быть пароль, и проверка на собственном устройстве докладчика — что изменилось после настройки двухфакторной аутентификации. Заключение — вывод о том, что несколько простых действий снижают риск заметно сильнее, чем кажется на первый взгляд.

Оговорка. Весь разбор строится на собственном пароле и собственном аккаунте докладчика. Ни один пароль, принадлежащий другому человеку, не упоминается, не подбирается и не проверяется — ни в тексте доклада, ни на выступлении.

Пример: от темы до итога

Тема «Пароли и аутентификация» выбрана для доклада в 9 классе в рамках раздела информатики о цифровой безопасности. После сужения формулировка звучит так: «Как проверить надёжность своего пароля и почему простой пароль — это риск». Собрано три источника: параграф учебника информатики, материалы разработчика антивирусного программного обеспечения о принципах составления пароля и официальные рекомендации сервиса электронной почты о двухфакторной аутентификации.

План состоит из трёх пунктов: из чего складывается надёжность пароля, какие ошибки делают его слабым, как дополнительно защитить аккаунт. Текст занимает 3 страницы: треть страницы введения, две страницы основной части с собственным примером проверки пароля, треть страницы заключения.

Выступление отрепетировано дважды: первый раз заняло 8 минут — пришлось сократить перечень типичных ошибок до трёх самых частых, второй раз уложилось в 6 минут, что соответствует регламенту урока. На защите учитель спросил, почему менеджер паролей безопаснее, чем запись паролей в заметках телефона, — ответ на этот вопрос был подготовлен заранее, в разделе про дополнительную защиту аккаунта.

Оформление и защита

Требования к оформлению доклада по информационной безопасности совпадают с требованиями к докладу по любому другому предмету: титульный лист, разборчивый текст, список источников с автором и годом. Если в работе есть скриншоты настроек, личные данные и адреса на них предварительно затирают: как оформить работу по шагам, разобрано в статье «Оформление доклада», первая страница работы построчно — в статье «Титульный лист доклада».

На защите чаще всего спрашивают, почему выбрана именно эта угроза или механизм защиты и откуда взят пример. Отдельный вопрос, который стоит предугадать заранее, — «а что будет, если этой защитой не пользоваться»: комиссия проверяет, понимает ли докладчик практическую пользу темы, а не только термины. Список источников оформляют с автором или ведомством, названием документа и годом — полный разбор оформления списка в статье «Список литературы в докладе».

Частые ошибки

Превращают доклад в демонстрацию взлома. Показ подбора пароля, обхода защиты или доступа к чужому аккаунту недопустим в школьной и студенческой работе независимо от того, насколько безопасной кажется ситуация.

Проверяют тему на чужом устройстве или сети. Анализ чужой сети, попытка войти в чужой аккаунт или тестирование уязвимости чужой системы выходят за рамки доклада — весь практический разбор строится только на собственных данных.

Берут тему шире раздела. «Информационная безопасность» целиком без сужения до одного направления не укладывается в объём доклада и превращается в пересказ вступительной статьи.

Ссылаются на источники без автора и даты. Статья без указанного автора и года публикации не выдерживает проверки на защите — такой источник для этой темы не годится.

Путают персональные данные с любой конфиденциальной информацией. Закон определяет персональные данные конкретно — как сведения, относящиеся к определённому или определяемому человеку, — и это отличается от коммерческой или служебной тайны, о которой говорят в других разделах темы.

Не сообщают о найденной уязвимости администрации. Если в ходе подготовки доклада обнаружился реальный пробел в защите школьной или любой другой системы, о нём сообщают ответственным лицам, а не превращают находку в эффектный пример для выступления.

Чек-лист

1. Тема сужена до одного направления — вида угроз, механизма защиты или норматива.
2. В докладе нет демонстрации подбора пароля, взлома или обхода защиты.
3. Весь практический разбор построен на собственных устройствах и аккаунтах докладчика.
4. Чужие сети и системы не сканировались и не тестировались на уязвимость.
5. Если найдена реальная уязвимость, о ней сообщено администрации, а не описаны технические детали.
6. Источники проверены по автору и дате публикации.
7. Номера статей закона указаны только при полной уверенности, иначе дана оговорка о редакции.
8. Статистика об угрозах и инцидентах приведена с источником и годом.
9. Список источников оформлен с автором, названием и годом.
10. Выступление прочитано вслух и укладывается в регламент урока.

Что дальше

Если выбранное направление уже занято одноклассником или студентом группы, запасные формулировки по всем шести направлениям собраны в статье «Темы докладов по информационной безопасности». Как довести разбор угрозы или механизма защиты до трёх связных частей — введения, основной части и вывода, — показано в статье «Структура доклада». Вопрос «а что будет, если этой защитой не пользоваться» проще отработать заранее, если прогнать хронометраж выступления по советам из статьи «План доклада». Федеральный закон о персональных данных с номером и датой принятия в списке источников оформляют по правилам из статьи «Список литературы в докладе».

Если тема выбрана, а на текст и оформление времени не остаётся, Нейросова соберёт доклад по защите информации — с проверенными формулировками, титульным листом и списком источников, без единого шага за пределы учебных границ темы.