Техническое задание превращает общие требования закона и актуальные угрозы в проверяемые требования к конкретной системе. По нему проектируют защиту, выбирают средства, принимают результат у исполнителя и проводят аттестацию. Без задания исполнитель и заказчик по-разному понимают объем работ, а приемка превращается в спор.

• Собрать исходные данные: результаты обследования, акт классификации или уровень защищенности, модель угроз, нормативные требования.
• Определить цели и границы системы защиты: какие компоненты, площадки и каналы защищаются, что остается вне границ.
• Выбрать из нормативных документов и закрепить состав мер защиты, необходимых для установленного класса или уровня защищенности.
• Сформулировать требования к средствам защиты: функции, класс или уровень доверия, наличие сертификата, совместимость с инфраструктурой.
• Описать требования к документации, обучению, сопровождению, срокам, этапам работ и порядку приемки.
• Согласовать задание с заказчиком, ИТ и подрядчиками, утвердить его и вести как документ, подлежащий пересмотру при изменениях.

Утвержденное техническое задание (частное техническое задание) на создание или развитие системы защиты информации с перечнем мер, требований к средствам защиты, этапами, документацией и критериями приемки.

Задание разрабатывает специалист по ИБ или внешний исполнитель по проектированию защиты при участии ИТ-службы и владельца системы. Утверждает руководитель организации или владелец системы. Для государственных систем задание согласуют в установленном порядке.

• Задание должно ссылаться на результаты обследования и модель угроз, а не копировать типовой шаблон.
• Требования формулируют проверяемо: к каждой мере есть способ проверки при приемке.
• Отдельно описывают требования к сертифицированным средствам защиты, срокам поддержки и обновлениям.
• Исполнитель по проектированию не должен подгонять требования под продукт, который хочет продать.
• Для внутренней разработки заранее закрепить владельца документа и порядок пересмотра.