ИИ в госсекторе: как учесть новые требования ФСТЭК в дипломе по информационной безопасности

С 1 марта 2026 года вступает в силу приказ ФСТЭК, который прямо запрещает использование облачных ИИ-сервисов для обработки государственной тайны и информации ограниченного доступа. Методик, разъясняющих техническую реализацию требований, пока нет — это создаёт и риск, и возможность для студентов ИТ-специальностей. Если вы пишете ВКР по направлению «Информационная безопасность» или «Прикладная информатика», эта тема позволяет выделиться и предложить рынку практическое решение. В статье разбираем, как превратить новый регламент в сильную дипломную работу — от актуальности до конкретной архитектуры и метрик.

Актуальные темы ВКР с учётом приказа ФСТЭК

Ниже — три направления, которые легко защитить в 2026 году, опираясь на ограничения и открытые вопросы из статьи.

Как встроить статью в главу 1 (аналитика)

В первой главе вашей ВКР надо показать, что вы понимаете контекст. Статья из ComNews — отличный источник для актуальности. Обязательно:

• Процитируйте факт о запрете и укажите, что методические рекомендации ФСТЭК ещё не опубликованы — это даёт вам право предложить собственный подход.
• Сформулируйте противоречие: организации должны обрабатывать гостайну с помощью ИИ, но не имеют официальных методов, как это делать безопасно.
• Сделайте обзор нормативных документов: приказ ФСТЭК (как база), ГОСТ Р 34.10 (если речь о защите каналов), ГОСТ 19 для документации, а также документы из области защиты персональных данных (152-ФЗ).

Полезно построить диаграмму классов UML или диаграмму вариантов использования для будущей системы. Именно её потом можно включить в приложение ВКР.

Проектирование архитектуры (глава 2)

Здесь начинается инженерная часть. Запрет облачных сервисов означает, что ИИ-модель должна выполняться на собственных серверах. Для развёртывания стоит выбрать Kubernetes — он позволяет ограничивать сетевой доступ и изолировать контуры.

Пример конфигурации пода для ИИ-сервиса, которая удовлетворяет базовым требованиям безопасности: запрещена запись в файловую систему, контейнер запускается от непривилегированного пользователя, а сетевой трафик ограничен.

apiVersion: v1
kind: Pod
metadata:
  name: ai-inference
  labels:
    app: ai-gov
spec:
  securityContext:
    runAsNonRoot: true
    runAsUser: 10001
  containers:
  - name: model
    image: local-registry.local/gov-ai:1.0
    ports:
    - containerPort: 8080
    securityContext:
      allowPrivilegeEscalation: false
      readOnlyRootFilesystem: true
      capabilities:
        drop: ["ALL"]
    volumeMounts:
    - name: models
      mountPath: /models
      readOnly: true
    resources:
      limits:
        cpu: "2"
        memory: "2Gi"
  volumes:
  - name: models
    hostPath:
      path: /data/ai/models
  affinity:
    nodeAffinity:
      requiredDuringSchedulingIgnoredDuringExecution:
        nodeSelectorTerms:
        - matchExpressions:
          - key: node-group
            operator: In
            values: ["restricted"]

Опирайтесь на ГОСТ 34.601 для стадий разработки автоматизированных систем, а для описания качества — на ISO/IEC 25010: укажите характеристики безопасности (целостность, конфиденциальность) и как они достигаются.

Тестирование и оценка эффективности (глава 3)

Недостаточно просто «придумать» архитектуру — надо показать её результативность. Вот метрики, которые реально помогут на защите:

• Снижение уровня риска — сравните количество критических уязвимостей до и после внедрения мер. Используйте сканеры OWASP ZAP или безопасность образов с помощью Trivy.
• Скорость обработки запроса (latency) и пропускная способность (TPS) — докажут, что локальное решение работает не хуже облачного.
• Степень соответствия ГОСТ 19 — проверьте полноту документации: ТЗ, руководство оператора, программу испытаний.
• Отказоустойчивость — тест на поднятие пода при сбое узла, время восстановления (RTO/RPO).

Для мониторинга рекомендуем использовать OpenTelemetry — с его помощью можно настроить сбор логов безопасности и метрик работы модели. Включите в работу графики из Grafana: они хорошо смотрятся в презентации.

Часто задаваемые вопросы

1. С чего начать, если у меня нет доступа к реальным данным госорганов?

Используйте открытые нормативные документы, статьи (как наша, ComNews) и литературу. Для моделирования данных можно взять открытые наборы данных и привести их к формату, похожему на реальные конфиденциальные данные. На защите вы покажете методику, а не сами данные.

2. Нужно ли в ВКР по ИБ писать код?

Зависит от вашей специальности. Для «Информационной безопасности» достаточно детального проектирования, но код или конфигурация (как пример Kubernetes) сильно повышают оценку — это ваша практическая часть.

3. Какие стандарты точно должны быть в списке литературы?

Приказ ФСТЭК (указанный в статье), ГОСТ 34.601, ГОСТ 19.101 (структура документа), ГОСТ Р 52919 (ГОСТ 19 применим для программного обеспечения), ISO/IEC 25010, OWASP Top 10 для ИИ. Не выдумывайте — используйте только те, которые реально изучили.

4. Как быстро написать ВКР, если сроки поджимают?

Сфокусируйтесь на минимальном жизнеспособном проекте: одна глава — аналитика, вторая — прототип, третья — тесты. Не пытайтесь объять необъятное. Есть профессиональная помощь с ВКР, но начните с составления плана и согласования его с руководителем.

Типичные ошибки студентов

Чек-лист перед сдачей ВКР

Источник: ИИ в госсекторе. Как новые требования ФСТЭК меняют рынок (опубликовано 2026-03-22)