Опубликовано: 23.09.2026 | Источник: CNews (новости)

Корпоративный мессенджер в ВКР: защита коммуникаций финсектора на примере eXpress

Поддомен: Cybersecurity (с элементами Cloud/DevOps). Роль: специалист по ИБ / архитектор защищённых систем.

Введение

25 марта 2026 года финансовая группа «Финам» перевела внутренние коммуникации на платформу eXpress. Новость выглядит как обычный релиз о смене софта, но по факту это пересборка контура информационной безопасности: финансовый сектор не может позволить себе мессенджер, который хранит переписку на чужом облаке. Здесь сразу всплывают 152-ФЗ, ГОСТ Р 57580.1-2017, DLP, журналирование и разграничение прав. Для выпускника направления «Информационная безопасность» или «Прикладная информатика» это готовый кейс под ВКР: реальная организация, конкретное ПО, измеримые требования и защищаемый результат. Дальше разберём, как превратить новость в три полноценные темы диплома, какие диаграммы строить и какие метрики считать, чтобы на защите не услышать «а где практическая ценность?».

Основная часть: от новости к защищаемой ВКР

Темы ВКР, которые вырастают из кейса «Финам»

Тема ВКР	Цель	Задачи (3–4)	Структура
1. Проектирование защищённого контура корпоративных коммуникаций на базе on-premise мессенджера (на примере eXpress)	Разработать модель защищённой корпоративной коммуникационной среды для финансовой организации	1) Проанализировать угрозы по OWASP Top 10 и MITRE ATT&CK для мессенджеров; 2) спроектировать архитектуру в нотации C4; 3) реализовать интеграцию с AD/LDAP и RBAC; 4) оценить остаточные риски	Гл. 1 — анализ рынка и угроз; Гл. 2 — проектирование (C4, UML, модель угроз); Гл. 3 — реализация и оценка рисков
2. Оценка соответствия корпоративного мессенджера требованиям ГОСТ Р 57580.1-2017 и 152-ФЗ	Провести аудит соответствия и подготовить план закрытия несоответствий	1) Составить матрицу требований; 2) провести gap-анализ; 3) предложить организационные и технические меры; 4) рассчитать эффект от внедрения	Гл. 1 — нормативная база (152-ФЗ, ГОСТ Р 57580, ISO/IEC 27001); Гл. 2 — методика аудита; Гл. 3 — результаты и рекомендации
3. Метрики эффективности миграции корпоративных коммуникаций в финсекторе: TCO, MTTD, покрытие DLP	Разработать систему метрик для оценки миграции и её влияния на ИБ	1) Определить целевые метрики; 2) собрать данные до/после; 3) настроить экспорт логов через OpenTelemetry; 4) интерпретировать результаты	Гл. 1 — обзор метрик (MTTD, MTTR, TCO, покрытие DLP); Гл. 2 — архитектура сбора данных; Гл. 3 — эксперимент и выводы

Как встроить материал статьи в главы

Глава 1 (аналитическая). Используйте факт миграции «Финам» как отправную точку: почему финансовые организации уходят с публичных мессенджеров, какие требования предъявляет регулятор. Сравните минимум 4 решения — eXpress, VK Teams, Mattermost, Rocket.Chat — по критериям развёртывания on-premise, наличия сертификатов ФСТЭК, поддержки E2EE, API для DLP. Уместна таблица сравнения и диаграмма вариантов использования (UML Use Case).

Глава 2 (проектная). Здесь нужны C4-диаграммы уровней Context и Container: как мессенджер встраивается в корпоративную сеть, где стоит прокси, где SIEM, как проходит поток сообщений и аудит-логов. Дополните BPMN-схемой процесса «Сотрудник отправляет сообщение с вложением» — с точкой срабатывания DLP. RBAC-матрицу удобно оформить как таблицу ролей и прав.

Глава 3 (экспериментальная). Настройте экспорт журналов и посчитайте метрики. Ниже — минимальный конфиг OpenTelemetry Collector, который перенаправляет аудит-события eXpress в SIEM. Такой листинг отлично смотрится в приложении и демонстрирует, что вы понимаете не только теорию, но и как выглядит продакшн-пайплайн.

# audit-pipeline.yml — аудит-события eXpress в SIEM через OTLP
receivers:
  filelog:
    include: ["/var/log/express/audit/*.log"]
    operators:
      - type: json_parser
        parse_from: body

processors:
  attributes/rbac:
    actions:
      - key: user_role
        from_attribute: role
      - key: risk_level
        value: "medium"

exporters:
  otlphttp/siem:
    endpoint: https://siem.corp.local:4318

service:
  pipelines:
    logs:
      receivers: [filelog]
      processors: [attributes/rbac]
      exporters: [otlphttp/siem]

Чему вы научитесь на такой теме

Проектировать защищённые схемы по C4 и UML с привязкой к реальной инфраструктуре.
Оформлять модель угроз и ТЗ по ГОСТ 34 и ГОСТ 19 — без переписывания учебника.
Считать метрики поддомена: MTTD, MTTR, покрытие DLP, TCO миграции.
Обосновывать выбор ПО по ISO/IEC 25010, а не «потому что популярно».
Настраивать сбор и корреляцию логов без покупки дорогих вендоров.

FAQ: что чаще всего спрашивают студенты

Где взять исходные данные по инцидентам ИБ для расчётов?

Три надёжных источника: отчёты Positive Technologies и Лаборатории Касперского (публичные, со ссылкой — это нормально), внутренние данные вуза или стажировки, а также симуляция в стенде. Для ВКР достаточно воспроизводимого стенда: разверните eXpress или Mattermost в контейнерах и нагенерируйте события.

Какие ГОСТ обязательно применять по теме корпоративных коммуникаций?

ГОСТ 34.601-90 — если есть разработка системы; ГОСТ 19.701-90 — для схем; ГОСТ Р 57580.1-2017 — для финсектора. Не притягивайте PMBOK 7, если ваша тема чисто инженерная, — нормоконтролёр заметит.

Нужно ли писать собственный мессенджер или достаточно анализа?

Для бакалавриата достаточно проектной части с прототипом: поднятый on-premise мессенджер, настроенные RBAC и экспорт логов. Собственная разработка не требуется, а иногда и вредит — вы уйдёте в кодинг и не успеете проработать ИБ-часть.

Как защитить работу, если реальных данных компании нет?

Стройте модель на синтетических данных, но с честной постановкой: «в условиях недоступности коммерческой информации использован воспроизводимый стенд». Комиссия такое принимает — при условии, что методика описана и воспроизводима.

Чек-лист «Что проверить перед сдачей»

Задачи во введении совпадают с выводами по главам — построчно.
Все схемы подписаны и оформлены по ГОСТ 19.701-90 (рамка, штамп, ссылка в тексте).
Ссылки на статью и нормативку оформлены по ГОСТ Р 7.0.5-2008, не «взято из интернета».
Метрики имеют формулу и источник — не голые цифры.
Листинги в приложениях пронумерованы и вызываются из текста.
Есть раздел с ограничениями исследования — это плюс, а не минус.
Уникальность текста выше порога вуза, включая подписи к рисункам.

Типичные ошибки

1. Описание eXpress вместо анализа. Студенты копируют маркетинговые страницы вендора и выдают за главу 1. Отталкивайтесь от кейса «Финам», но сразу переходите к угрозам и требованиям — именно это оценивают.

2. Игнорирование отраслевой специфики. Для финсектора недостаточно «поставим шифрование». Нужен анализ по ГОСТ Р 57580.1-2017 и уровню защиты по 152-ФЗ — без этого тема «висит в воздухе».

3. Метрики без базовой линии. «Стало лучше» — не вывод. Замеряйте состояние до миграции и после, иначе комиссия попросит пересдать третью главу.

Нужна помощь с реализацией?

Если тема уже выбрана, но не хватает структуры, стенда или расчётов — можно обсудить её с нашим специалистом на бесплатной консультации. В среднем на сопровождение одной ВКР уходит около 120 часов, и мы разбираем как отдельные главы, так и работу целиком: от постановки задачи до финального нормоконтроля. Без давления и «пакетов на всё» — только то, что реально нужно вашему диплому.

Материал подготовлен экспертами компании «Диплом-IT». Мы помогаем студентам с 2010 года: разбираем темы, проектируем архитектуру, оформляем документацию по ГОСТ и готовим к защите. Если вам нужна помощь в разработке темы или оформлении работы, наши специалисты готовы подсказать.

Последнее обновление: 2026-09-23

Источник: Финансовая группа «Финам» перевела корпоративные коммуникации в eXpress (опубликовано 2026-03-25)