ФСТЭК утвердила методику оценки зрелости защиты информации: кого она касается и как подготовиться
7 августа 2026 года ФСТЭК России утвердила Методику оценки уровня зрелости деятельности в области технической защиты информации в информационных системах и обеспечения безопасности значимых объектов КИИ. Документ вводит единый подход к оценке того, насколько последовательно организация управляет защитой информации. В центре внимания — не только наличие средств защиты и внутренних документов, но и фактическое выполнение установленных процессов, их контроль, измеримость и регулярное совершенствование.
Для кого предназначена методика
Методика применяется в отношении деятельности, требования к которой установлены ФСТЭК России в соответствии с законодательством о защите информации, персональных данных и критической информационной инфраструктуре.
К ее основным адресатам относятся:
- операторы государственных и иных информационных систем, на которые распространяются требования ФСТЭК России;
- владельцы значимых объектов КИИ;
- операторы информационных систем персональных данных;
- организации, эксплуатирующие АСУ производственными и технологическими процессами, подпадающие под соответствующие требования ФСТЭК России;
- подрядчики, которые получают доступ к информационным системам заказчика либо обрабатывают принадлежащую ему информацию;
- государственные органы, организации и субъекты КИИ, привлекающие таких подрядчиков;
- ФСТЭК России — при оценке эффективности деятельности операторов в области защиты информации.
Для организаций, работающих по приказу ФСТЭК России от 11 апреля 2025 года № 117, методика имеет особое практическое значение. Пункты 31–32 приказа № 117 требуют рассчитывать и оценивать показатель уровня зрелости (Пзи) не реже одного раза в два года с применением методических документов ФСТЭК России.
При этом необходимо учитывать терминологическую особенность: приказ № 117 использует обозначение Пзи, а новая методика — Узи (уровень зрелости). Прямое равенство этих показателей в документах не установлено, однако приказ № 117 указан в методике в числе требований, для оценки выполнения которых она предназначена. Таким образом, документ фактически закрывает существовавший методический пробел в части проведения оценки зрелости по приказу № 117.
Отдельное значение методика может получить для операторов ИСПДн. Опубликованный в 2026 году проект нового приказа ФСТЭК России, который должен заменить действующий приказ № 21, предусматривает оценку показателя Узи перед началом обработки персональных данных, не реже одного раза в три года и после компьютерного инцидента. Пока проект не принят, эту норму нельзя рассматривать как вступившую в силу. Однако организациям, обрабатывающим персональные данные, уже целесообразно учитывать возможное развитие регулирования.
Что оценивает ФСТЭК России
Методика предусматривает оценку 21 направления деятельности. Среди них:
- организация и управление защитой информации;
- выявление и оценка угроз;
- контроль конфигураций;
- управление уязвимостями и обновлениями;
- защита конечных, мобильных и беспроводных устройств;
- защита удаленного и привилегированного доступа;
- мониторинг информационной безопасности;
- безопасная разработка программного обеспечения;
- обеспечение непрерывности функционирования;
- повышение осведомленности работников;
- взаимодействие с подрядчиками;
- защита от DDoS-атак;
- защита информации при использовании искусственного интеллекта;
- контроль уровня защищенности.
Неприменимые направления можно исключить из области оценки, если соответствующие технологии не используются либо это обусловлено архитектурными и технологическими особенностями информационной системы.
Каждое применимое направление оценивается по восьми критериям:
1. документирование;
2. фактическое выполнение;
3. применение инструментов;
4. квалификация специалистов;
5. контроль;
6. обучение;
7. внешний аудит;
8. актуализация и совершенствование.
По результатам организация определяет текущий и целевой уровни зрелости по каждому направлению, формирует профиль зрелости и план мероприятий по устранению выявленных разрывов.
Главный смысл методики
Ключевое изменение заключается в переходе от формального наличия документов и средств защиты к оценке устойчивости и доказуемости процессов.
Особого внимания заслуживает пункт 24 методики: если подразделение или специалисты не представили запрошенные для оценки документы и материалы, соответствующим направлениям присваивается нулевое значение.
Иными словами, для целей оценки процесс должен быть подтвержден проверяемыми свидетельствами. Такими свидетельствами могут быть:
- заявки и записи в информационных системах;
- журналы и протоколы;
- отчеты о выполненных мероприятиях;
- результаты сканирования и мониторинга;
- метрики и контрольные показатели;
- протоколы совещаний и решения ответственных лиц;
- планы устранения недостатков;
- материалы обучения и проверки знаний.
Устных заверений о том, что процесс «фактически выполняется», будет недостаточно, если организация не может представить подтверждающие материалы.
Языковые модели как инструмент оценки
Примечательная особенность методики — прямое упоминание языковых моделей. Наряду с GRC-системами, SOAR/SecOps-платформами и инструментами проектирования корпоративной архитектуры для оценки допускается применять языковые модели, адаптированные для работы с исходными данными.
Это не означает, что проведение оценки можно полностью передать искусственному интеллекту. Сбор, анализ данных и подтверждение выполнения требований осуществляют назначенные специалисты. Языковая модель может использоваться как вспомогательный инструмент, например для систематизации документов, сопоставления требований и поиска противоречий.
Что делать организациям
Не следует начинать с попытки за короткий срок провести полную формальную оценку по всем направлениям. Рациональнее организовать работу поэтапно.
1. Определить область оценки. Необходимо установить, какие информационные системы и объекты входят в область оценки, какие требования ФСТЭК России к ним применимы и какие направления актуальны для организации.
На этом же этапе следует определить рекомендуемые целевые уровни зрелости с учетом класса защищенности ГИС, уровня защищенности ИСПДн или категории значимости объекта КИИ.
2. Провести первичную инвентаризацию процессов. Для начала достаточно подготовить сводную матрицу, в которой по каждому направлению будут указаны:
- наличие или отсутствие процесса;
- владелец процесса;
- ответственные подразделения и специалисты;
- действующие регламенты;
- используемые инструменты;
- доступные доказательства выполнения;
- собираемые метрики;
- известные недостатки.
Результаты такой инвентаризации должны отражать фактическое состояние процессов, а не только содержание утвержденных документов.
3. Сформировать базу доказательств. Следующий шаг — собрать уже существующие материалы: регламенты, отчеты, заявки, журналы, результаты контроля, протоколы, метрики и сведения об устранении выявленных недостатков.
Это позволит отделить процессы, которые действительно работают, от процессов, существующих только на уровне отдельных документов или устных договоренностей.
4. Провести анализ разрывов. После формирования матрицы и сбора первичных доказательств можно сопоставить текущее состояние с критериями методики, определить направления с наиболее существенными недостатками и установить приоритеты.
В первую очередь целесообразно устранять разрывы, которые:
- приводят к нулевой оценке направления;
- затрагивают критичные информационные системы и значимые объекты КИИ;
- влияют сразу на несколько процессов;
- могут быть устранены организационными мерами без существенных затрат;
- связаны с отсутствием владельцев процессов и документированных доказательств.
5. Разработать дорожную карту. По результатам анализа формируется план проектирования и внедрения отсутствующих или недостаточно зрелых процессов. В нем необходимо определить мероприятия, сроки, ответственных лиц, ожидаемые результаты и подтверждающие материалы.
Цель такой работы — не разовое получение требуемой оценки, а создание воспроизводимой системы управления защитой информации.
Когда требуется внешняя помощь
Методика допускает проведение внутренней или внешней оценки. Для внешней оценки должна привлекаться организация, имеющая предусмотренную документом лицензию на деятельность по технической защите конфиденциальной информации.
Привлечение внешних специалистов может потребоваться, если в организации:
- отсутствуют специалисты с необходимыми компетенциями;
- недостаточно ресурсов для проведения комплексной оценки;
- требуется независимое подтверждение результатов;
- необходимо одновременно оценить процессы, документацию и техническую реализацию мер;
- требуется разработать реалистичную дорожную карту повышения зрелости.
Наша команда готова провести предварительный аудит и комплексную оценку, определить недостатки по каждому направлению, подготовить дорожную карту, а также оказать методологическую поддержку при разработке и внедрении необходимых процессов, документов и инструментов. Результатом такой работы станет не только расчет итогового показателя, но и подтвержденный доказательствами уровень зрелости.
