ФСТЭК объяснила, как определять уровень зрелости

На прошлой неделе ФСТЭК утвердила методику оценки уровня зрелости деятельности по защите информации. Приказ №117 требует считать данный показатель ещё с марта 2025 года.

В документе говорится о нескольких уровнях: «начальный», «системный», «контролируемый», «верифицируемый» и «нулевой (отсутствует)» — для тех, у кого управление защитой не осуществляется вовсе. На «контролируемом» организация проверяет сама себя, на «верифицируемом» — внешний подрядчик. Во втором случае, как указано в тексте, мнение «имеет более высокую объективность».

Также оценка идёт по 21 направлению — от управления уязвимостями и привилегированного доступа до защиты при использовании нейросетей. По каждому из них определяется текущий уровень и задаётся целевой, а из них, в свою очередь, складывается «профиль уровня зрелости».

Расчёт обсуждаемого показателя должен производиться не реже одного раза в два года. При несоответствии нормированным значениям руководителя информируют в течение трёх календарных дней, а результаты в течение пяти рабочих дней передаются во ФСТЭК.