Техническое задание на платформу Security Awareness помогает зафиксировать требования к обучению сотрудников, учебным фишинговым атакам, автоматизации, интеграциям и отчётности. В этой статье разбираем структуру готового шаблона и приводим требования, которые можно использовать при подготовке закупочной документации.
Техническое задание на платформу Security Awareness: что входит в шаблон
Шаблон описывает требования к программному обеспечению для повышения осведомлённости и навыков информационной безопасности пользователей. Документ рассчитан на адаптацию под конкретную компанию: её инфраструктуру, количество пользователей, LMS, требования к размещению и порядок закупки.
В ТЗ отдельно описаны обучение сотрудников, учебные атаки, плагины и расширения, автоматизация, отчётность, техническая поддержка, сервисное сопровождение и требования к ИТ-инфраструктуре.
Кому пригодится шаблон ТЗ
Шаблон рассчитан на ИБ-команды, CISO, HR и специалистов по обучению, ИТ-подразделения и закупочные подразделения. Он помогает перевести задачи Security Awareness в набор требований, которые можно проверить при выборе и приёмке платформы.
- ИБ-команды могут зафиксировать требования к учебным атакам, фишинговым сценариям, автоматизации и отчётности.
- HR и специалисты по обучению могут описать LMS, назначение курсов, уведомления, сертификаты и обучение новых сотрудников.
- ИТ-подразделения могут проверить требования к On-Premise, SSO, LDAP, API, syslog и операционным системам.
- Закупочные подразделения получают перечень функциональных и технических требований для сравнения предложений поставщиков.
Содержание технического задания
В шаблоне предусмотрены следующие разделы:
- Общие сведения.
- Полное наименование системы и её условное обозначение.
- Сведения о заказчике и исполнителе.
- Плановые сроки начала и окончания работ.
- Назначение и цели системы.
- Требования к системе.
- Сервисное сопровождение.
- Требования к приёмке и проверке соответствия.
- Приложения и сведения для адаптации.
Требования к обучению сотрудников
В разделе обучения предусмотрены встроенная LMS и возможность интеграции с LMS заказчика, редактирование уведомлений, расписание отправки сообщений и автоматические напоминания пользователям с незавершёнными курсами.
Шаблон также содержит требования к управлению обучением через веб-интерфейс и REST API, единому входу, интеграции с iSpring и Equeo, видеоконтенту, голосовому сопровождению, интерактивным модулям и обновлению курсов с учётом новых типов атак.
Отдельно предусмотрены загрузка произвольного учебного контента, SCORM, адаптация курсов и тестов, сертификаты, конструктор курсов и возможность редактировать назначения обучения.
Какие темы должны входить в обучение
Минимальный перечень в шаблоне включает фишинг и вредоносные вложения, пароли, конфиденциальную информацию, безопасность рабочего компьютера и мобильных устройств, социальную инженерию, удалённую работу, мошенничество в социальных сетях и мессенджерах, безопасное использование ИИ и другие темы информационной безопасности.
Также предусмотрены интерактивные тренажёры по распознаванию фишинга и атак в мессенджерах, включая дипфейки, игра по подготовке фишинговой атаки и интерактивный квест по выявлению нарушений информационной безопасности в офисе.
Учебные фишинговые атаки
Отдельный раздел ТЗ посвящён проверке практических навыков сотрудников. Платформа должна поддерживать планирование учебных атак, пакетную отправку писем, сегментацию пользователей и привязку новых кампаний к результатам предыдущих.
В требованиях предусмотрены разные векторы учебных атак: ссылки, вложения не менее 15 типов, архивированные файлы, архивы с паролем, ввод учётных данных на фишинговых страницах и имитация скачивания вредоносного файла с поддельного сайта.
В шаблоне также указаны не менее 40 готовых шаблонов учебных писем и не менее 20 шаблонов сайтов. Отдельно предусмотрен конструктор для создания собственных учебных писем и сайтов.
Другие каналы учебных атак
ТЗ предусматривает учебные атаки с использованием USB- и HID-устройств, QR-кодов, социальных сетей и мессенджеров. Для кампаний предусмотрены списки исключений и блокировок, персонализированный контент и настройка параметров отправителя в разрешённых учебных сценариях.
Автоматизация Security Awareness
Автоматизация в шаблоне связана с действиями сотрудников и результатами обучения. Предусмотрена синхронизация пользователей по LDAP с сохранением иерархии групп, автоматическое назначение курсов, уведомления о дедлайнах и автоматическая досылка учебных атак новым пользователям.
Система должна поддерживать правила, по которым после определённых действий сотрудника назначается повторное обучение, пользователь включается в учебную группу или ответственному лицу отправляется уведомление.
В качестве условий автоматизации в шаблоне указаны переход по ссылке, открытие вложения, заполнение фишинговой формы, обнаружение фишинга через расширение и добавление сотрудника в систему за заданный период.
Отчётность по обучению и учебным атакам
ТЗ предусматривает визуальные отчёты с динамикой обучения и результатов учебных атак. Для кампаний учитываются открытия писем, переходы по ссылкам, действия с файлами, заполнение фишинговых форм и сообщения о фишинге.
Для обучения предусмотрены статусы «назначено», «пройдено», «не пройдено», «просрочено» и «не начато». Также предусмотрен отчёт по уровню риска пользователей и групп.
Отчёты должны выгружаться в CSV, PDF и XLSX. В шаблоне также предусмотрена интеграция с SIEM посредством syslog и автоматическая отправка отчётов за заданный период.
Интеграции и требования к инфраструктуре
В шаблоне предусмотрено On-Premise-развертывание, поставка в виде виртуальных машин и/или дистрибутива, работа без доступа в интернет и совместимость с системами заказчика.
Для управления пользователями предусмотрены загрузка через XLSX, CSV и TXT, LDAP и LDAPS, синхронизация по OData V2, вложенные группы и пользовательские поля. Для авторизации предусмотрен SSO на базе SAML 2.0.
В требованиях к инфраструктуре указаны Ubuntu Server 22.04 и выше, Astra Linux, Debian 12 и другие согласованные с заказчиком ОС. Также заданы базовые требования к оперативной памяти, дисковому пространству и процессору.
Плагины и расширения
ТЗ включает плагин для отправки подозрительных писем в службу информационной безопасности с передачей исходного сообщения. Также предусмотрено расширение для Chromium-совместимых браузеров, которое уведомляет подразделение ИБ о вводе учётных данных на фишинговых сайтах.
Тексты уведомлений, всплывающих сообщений и адрес подразделения ИБ должны настраиваться. Данные плагина должны синхронизироваться с системой и учитываться в отчётах.
Как проверить соответствие платформы техническому заданию
Техническое задание лучше сразу связать с процедурой проверки. В шаблоне предусмотрены демонстрация заявленных функций, техническая документация и согласованные приёмочные испытания.
Например, LDAP-синхронизацию можно проверять подключением тестового каталога, SSO SAML 2.0, авторизацией тестового пользователя, учебную фишинговую кампанию, созданием и запуском тестового сценария, а отчётность, формированием и выгрузкой отчёта.
Такой подход переводит требования из описания функций в проверяемые условия приёмки.
Что адаптировать перед закупкой
Шаблон содержит поля, которые заказчику нужно заполнить самостоятельно: количество пользователей и администраторов, вариант развертывания, используемую ОС и LMS, требования к интеграциям, сроки поддержки, требования к отчётности и дополнительные требования.
Перед публикацией ТЗ эти параметры стоит сверить с фактической ИТ-инфраструктурой и процессом обучения сотрудников. Отдельно нужно определить, какие функции будут обязательными и как поставщик подтвердит их наличие.
Скачать шаблон ТЗ на платформу Security Awareness
Используйте шаблон как основу для подготовки собственной закупочной документации. Перед публикацией заполните параметры заказчика и адаптируйте требования под инфраструктуру, LMS, интеграции и порядок приёмки.
