Федеральная служба по техническому и экспортному контролю (ФСТЭК России) утвердила методический документ (https://fstec.ru/dokumenty/vse-dokumenty/spetsialnye-normativnye-dokumenty/metodicheskij-dokument-ot-7-avgusta-2026-g), определяющий порядок оценки уровня зрелости деятельности в области технической защиты информации и обеспечения безопасности значимых объектов критической информационной инфраструктуры (КИИ). Документ разработан в соответствии с Положением о ФСТЭК и применяется к информационным системам, не содержащим государственную тайну, а также к значимым объектам КИИ.
Методика предназначена для операторов информационных систем и владельцев объектов КИИ, подрядных организаций, государственных органов и самой ФСТЭК. Оценка может проводиться как внутренними силами, так и с привлечением внешней организации, имеющей лицензию на деятельность в области защиты конфиденциальной информации. При этом внешняя оценка признается более объективной.
Документ вводит четыре основных уровня зрелости - от "начального" до "верифицируемого", а также нулевой уровень, означающий отсутствие деятельности. Уровень зрелости рассчитывается на основе оценки 21 направления, включая организацию управления, выявление угроз, управление уязвимостями, мониторинг безопасности, защиту удаленного и беспроводного доступа, разработку безопасного ПО, защиту при использовании искусственного интеллекта и другие.
Для каждого направления определяются текущий и целевой уровни зрелости, после чего строится профиль уровней. Оценка выполняется по восьми видам требований - документирование, фактическое выполнение, применение инструментов, квалификация специалистов, контроль, обучение, внешний аудит и актуализация. Каждому требованию присвоен весовой коэффициент, а итоговое значение рассчитывается по установленной формуле.
Целевые уровни дифференцированы в зависимости от класса защищенности или категории значимости объекта. Для систем 3 класса и объектов КИИ 3 категории рекомендован уровень не ниже "1", для 2 класса и 2 категории - не ниже "2", для 1 класса и 1 категории - не ниже "3".
По итогам оценки составляется отчет, который включает сведения об операторе, использованных методах и инструментах, результатах расчета по каждому направлению, графическую интерпретацию профиля зрелости, а также рекомендации по устранению выявленных недостатков и план мероприятий по достижению целевых уровней. Отчет подписывается специалистами, проводившими оценку, и утверждается руководителем или ответственным лицом. Оператор несет ответственность за качество и объективность проведенной оценки.
Источник: