1. Анализ системы обеспечения информационной безопасности и защиты информации
В этом разделе следует отметить, какая при существующей технологии решения имеется политика безопасности в компании, а также программные и аппаратные средства ИБ и ЗИ, если эти методы и средства используются, то каким образом. При анализе системы и имеющихся в ней методов и средств ИБ и ЗИ необходимо отразить:
1. результаты анализа существующей в компании политики безопасности (нормативно-правовые и организационно-распорядительные документы, регламенты, процедуры, должностные инструкции и т.д.), рекомендуется указать основные положения политики безопасности (регламенты использования сети Internet, электронной почты, доступа к служебной информации, доступа к информации, составляющей коммерческую тайну, установки и использования программного обеспечения);
2. анализ существующих программных и аппаратных средств ИБ и ЗИ, их использование в организации (привести перечень используемых средств отразив их назначение, параметры и возможности);
3. порядок реализации системы обеспечения ИБ и ЗИ (кто этим занимается, кто отвечает, структура);
4. как обеспечивается ИБ и ЗИ на различных уровнях: программный, аппаратный, организационный (права доступа, права пользователя системы, парольная защита, доступ к базе, программные средства защиты, встроенные средства защиты, ведение логов и так далее);
5. как для Internet систем (web портал, электронный магазин и так далее) используются средства защиты от внешних угроз (взлом сайта, нарушение его работы и так далее);
6. какие используются средства защиты от инсайдерских угроз (хищение и порча данных сотрудниками организации, ошибки при пользовании программным и аппаратным обеспечением и так далее).

2. Организационно-правовые и программно-аппаратные средства обеспечения информационной безопасности и защиты информации
В данном разделе необходимо дать полную и обоснованную характеристику проектируемым для решения задач средствам обеспечения ИБ и ЗИ. При этом необходимо отразить следующие аспекты.
1. Защита от внутренних угроз (разработка внутренней политики безопасности, разграничение прав доступа к информации и так далее). Для этого необходимо определить группы пользователей разрабатываемой системы и назначить им соответствующие права доступа к папкам и модулям системы, определить требования к паролям и частоте их смены, а также другие параметры использования ИС. Данные рекомендуется представить в форме таблиц. Пример такой обобщенной таблицы приведен ниже.

Таблица. Разграничение прав пользователей.
Группы пользова-телей Общая папка «Врачи» Общая папка «Регистратор» Модуль «Регистра-тура» Модуль «Управле-ние» Доступ в Internet
Врачи Чтение/создание Чтение Чтение Чтение Нет
Главный врач Чтение/создание/удаление Чтение Чтение Полный Ограничен
Регистраторы Чтение Чтение/создание Полный Нет Нет
Старший регистратор Чтение Чтение/создание/ удаление Полный Чтение Ограничен
Системный администратор Чтение/создание/удаление Чтение/создание/ удаление Полный Полный Не ограничен

2. Защита от внешних угроз (безопасность каналов, протоколы, аутентификация, шифрование, безопасная пересылку ключей и т.д.).
Состав проектируемых программных и аппаратных средств может быть оформлен в виде таблицы с содержанием граф:
• нормативно-правовые акты организации, стандарты (международные и отечественные);
• антивирусные и антишпионские средства;
• проактивная защита от внешних угроз и защита внешнего периметра;
• защита от сетевых угроз;
• защита от инсайдерских угроз и защита информационных ресурсов;
• физическая защита информации.
3. Обоснование выбора политики безопасности, а также тех или иных программных и аппаратных средств, где должно быть:
• обоснование организационно-правовым методам и программно-аппаратным средствам (средства должны быть конкретные, лицензионные, с требованиями соответствующих стандартов);
• обоснование различным аспектам защиты системы: защита базы, резервное копирование, защита от хищения данных, защита от порчи данных, защита от инсайдерских угроз, уровни или сферы защиты (обоснование разрабатываемого решения на предмет уязвимостей, в том числе ошибки кода, ошибочные действия пользователя «защита от дурака»).