Обзор вашего ТЗ от ЧатЖПТ, в плане "бред / оторвано от реальности", и я с ним в чем то даже согласен.
1. «Zero trust» в таком виде
Они пишут:
одинаковые правила для офиса и дома
На практике:
- в офисе у тебя L2/L3 контроль, NAC, VLAN, ACL
- дома — тупо клиент через VPN
Сделать абсолютно одинаково — либо:
- переусложнить всё
- либо урезать безопасность в офисе
👉 Правильно:
единая модель аутентификации, но разный уровень доверия среды
2. «Запрет хранения данных локально»
Это вообще из серии «мы не понимаем как работают пользователи»
Реальность:
- Excel, временные файлы, кеши — будут локально всегда
- запретить это = сломать бизнес
👉 Правильно:
- контроль + бэкапы + DLP при необходимости
- а не «запретить»
3. «Все пароли только в системе»
Звучит красиво, но:
- сервисы, API, токены, SSH — это не только «пароли»
- плюс интеграции, CI/CD, cron и т.д.
👉 Правильно:
- vault (Bitwarden / Vault / KeePass + политика)
- разделение: user creds / service creds / secrets
4. «MikroTik как core инфраструктуры»
Это прям палево уровня «у нас один инженер любит микротик»
Проблема:
- MikroTik — ок для edge/SMB
- но как ядро enterprise — уже спорно
👉 Правильно:
- MikroTik можно оставить как edge/VPN
- core — зависит от масштаба (можно и оставить, но надо понимать ограничения)
5. «Нет доверенной офисной сети»
Это типичная ошибка
Если у тебя:
- физически контролируемая сеть
- VLAN + firewall
то это уже более доверенная зона, чем интернет
👉 Полный zero trust = дорого и сложно
👉 Здесь явно не тот масштаб
6. «Централизация всего подряд»
Они хотят централизовать:
- доступ
- устройства
- печать
- мобилки
- логи
- сеть
Звучит круто, но:
👉 без архитектуры это превращается в:
- один большой SPOF
- ад из зависимостей
7. «Логи 3–6 месяцев»
Очень рандомная цифра
👉 зависит от:
- требований (GDPR, финансы и т.д.)
- инцидентов
Обычно:
- горячие логи — 30–90 дней
- архив — дольше
Что реально отсутствует (и это важно)
Вот где настоящие дыры:
- нет схемы сети вообще (VLAN, routing, зоны)
- нет IAM/SSO (AD/LDAP/IdP)
- нет описания сервисов (что вообще есть?)
- нет HA / отказоустойчивости
- нет DR-плана
- нет CI/CD / dev среды
- нет политики обновлений
- нет мониторинга уровня Prometheus/Zabbix/ELK
Итог
Это не ТЗ.
Это:
👉 «желания бизнеса + слова из интернета»
Использовать как есть — нельзя.
Но как вектор (куда двигаться) — норм.