Зрелость подрядчика становится частью вашей ИБ. К чему готовиться 1 марта 2027 года
В информационной безопасности давно недостаточно защищать только собственный периметр. Чем активнее компания взаимодействует с подрядчиками, тем больше ее фактический контур безопасности выходит за границы собственной инфраструктуры.
Новые требования ФСТЭК делают этот принцип более прикладным. С 1 марта 2027 года организациям потребуется учитывать не только собственный уровень защиты, но и зрелость подрядчиков в части ИБ, которые получают доступ к их информационным системам, обрабатывают принадлежащую им информацию или оказывают услуги по защите информации. Именно поэтому вопрос оценки зрелости лучше решать не в последние месяцы перед вступлением требований в силу, а уже сейчас.
Что изменилось
ФСТЭК России утвердил приказы:
№137 от 8 мая 2026 года, который вносит изменения в приказ №117 от 11 апреля 2025 года,
№220 от 16 июля 2026 года, который вносит изменения в приказ №235 от 21 декабря 2017 года,
а также Методический документ по оценке уровня зрелости деятельности в области технической защиты информации в информационных системах. В исходной редакции требований расчет показателей защищенности и уровня зрелости относился непосредственно к оператору или обладателю информации. С 1 марта 2027 года требования, связанные с показателем уровня зрелости, затрагивают и подрядные организации, имеющие доступ к информационным системам заказчика, обрабатывающие его информацию либо оказывающие услуги по ее защите.
Для заказчика это означает существенное изменение подхода к управлению третьими сторонами. Теперь недостаточно убедиться, что у поставщика есть необходимые лицензии, компетенции и договорные обязательства. Оператору информационной системы необходимо установить требования к уровню зрелости подрядной организации и учитывать их при взаимодействии с поставщиками. Сейчас эти требования рассматриваются применительно к государственным органам и организациям в рамках приказов №117 и №239, а в дальнейшем подход предполагается распространить и на ИСПДн. Иными словами, ИБ-зрелость поставщика постепенно становится таким же фактором выбора подрядчика, как стоимость, сроки, функциональность решения и наличие отраслевой экспертизы.
Что именно оценивает ФСТЭК
Оценка зрелости — это не единый формальный показатель, который можно получить после заполнения небольшой анкеты. Методика предусматривает оценку деятельности сразу по 21 направлению.
Среди них — управление уязвимостями и обновлениями, контроль конфигураций, защита конечных и мобильных устройств, удаленного, беспроводного и привилегированного доступа, мониторинг информационной безопасности, безопасная разработка ПО, физическая защита и обеспечение непрерывности. Отдельно рассматриваются взаимодействие с подрядными организациями, противодействие атакам на отказ в обслуживании, использование искусственного интеллекта и контроль уровня защищенности.
Это важный момент для бизнеса. Зрелость в данном случае характеризует не наличие отдельных средств защиты, а то, насколько системно организованы процессы информационной безопасности.
Компания может иметь современный набор ИБ-решений и при этом столкнуться с проблемами при оценке зрелости, если процессы не формализованы, выполняются нерегулярно или недостаточно контролируются. И наоборот, подготовка к новым требованиям — это повод посмотреть на безопасность шире закупки очередного технического средства и проверить, насколько последовательно работает вся система управления защитой информации.
Уровень зрелости будет зависеть от критичности систем
Заказчик должен установить целевой уровень зрелости, которому необходимо соответствовать подрядчику. В Методике он связан с классификацией информационной системы.
Для ГИС 3-го класса защищенности, ИСПДн 4-го и 3-го уровней значимости и КИИ 3-й категории предусматривается уровень не ниже первого — начального. Для ГИС 2-го класса, ИСПДн 2-го уровня и КИИ 2-й категории — не ниже второго, системного. Для наиболее значимых систем — ГИС 1-го класса защищенности, ИСПДн 1-го уровня значимости и КИИ 1-й категории — рекомендуется не ниже третьего, контролируемого уровня зрелости. На практике это означает, что требования к одному и тому же подрядчику могут различаться в зависимости от того, с какими информационными системами заказчика он работает и к каким данным получает доступ.
Поэтому один из первых вопросов, который стоит задать бизнесу уже сегодня: понимаем ли мы, какие подрядчики имеют доступ к каким системам и какой уровень зрелости от них потребуется?
Почему откладывать до 2027 года рискованно
Здесь есть организационный эффект, который легко недооценить. За несколько месяцев невозможно одномоментно повысить зрелость процессов управления уязвимостями, обновлениями, привилегированным доступом или мониторингом ИБ. Недостаточно выпустить несколько внутренних документов непосредственно перед оценкой. За документами должны стоять реально работающие процессы.
Есть и вторая сторона вопроса — договорная. Требования необходимо будет учитывать не только в отношениях с действующими поставщиками, но и при заключении новых договоров.
К 1 марта 2027 года операторам необходимо определить целевой уровень зрелости для соответствующих информационных систем и подрядчиков, запросить у поставщиков результаты оценки показателя уровня зрелости, а при планировании новых договоров — включать соответствующие требования к подрядным организациям в конкурсную документацию.
По сути, работа идет сразу в нескольких плоскостях:
провести инвентаризацию подрядчиков и определить, кто из них попадает в контур требований;
сопоставить подрядчиков с информационными системами, к которым они имеют доступ;
определить необходимый целевой уровень зрелости;
заранее запросить результаты оценки и выявить несоответствия;
пересмотреть требования к закупкам, договорам и конкурсной документации;
заложить время на устранение выявленных разрывов до 1 марта 2027 года.
Формальный результат оценки необходим, но для бизнеса гораздо ценнее другое: понимание конкретных зон риска.
Если подрядчик соответствует требованиям по большинству направлений, но недостаточно зрел в управлении привилегированным доступом или обновлениями, именно эти процессы становятся предметом первоочередного внимания. Если проблемы носят системный характер, организации потребуется уже не точечное исправление документов, а полноценная программа повышения зрелости. Поэтому подготовку разумно начинать с предварительной оценки текущего состояния — как со стороны заказчика, так и со стороны его ключевых подрядчиков. Она позволяет заранее определить расхождения между фактическими процессами и целевыми требованиями и превратить подготовку к регуляторным изменениям из аврального проекта в управляемый процесс.
Безопасность цепочки поставок перестает быть абстрактным понятием
Главное следствие изменений выходит за рамки нового показателя или еще одной процедуры оценки.
Организация все меньше может рассматривать безопасность собственной инфраструктуры отдельно от безопасности компаний, которым она доверяет доступ к своим системам и информации. Подрядчик становится частью фактического контура защиты — а значит, его процессы, технологии и организационная зрелость напрямую влияют на риски заказчика.
И эти тезисы подтверждают текущие реалии, когда атака через поставщика стала практически постоянной практикой у злоумышленников, а не каким-то мифом. По данным AngaraMTDR, до 30% атак идет через подрядные организации.
До 1 марта 2027 года остается время, которое можно использовать не только для выполнения формальных требований, но и для наведения порядка во взаимодействии с третьими сторонами: определить критичных поставщиков, установить прозрачные требования к их ИБ-процессам и заранее устранить наиболее значимые разрывы.
Именно такой подход превращает оценку зрелости из еще одной регуляторной обязанности в практический инструмент управления рисками.
Мы рекомендуем организациям уже сейчас начать анализ применимости новых требований, определить перечень подрядчиков и информационных систем, которых они коснутся, и оценить объем необходимых изменений. Это позволит подойти к 1 марта 2027 года с понятным планом действий, а не начинать подготовку тогда, когда регуляторные сроки уже станут операционным риском.