ФСТЭК всё-таки окончательно решила, что ИБ пора не только описывать в документах, но и измерять.

📊 КЗИ, оценка зрелости и новая логика контроля значимых объектов КИИ
ФСТЭК России утвердила изменения в приказ № 235, которые закрепляют для субъектов КИИ со значимыми объектами требования по расчёту показателя защищённости КЗИ и оценке уровня зрелости. Изменения вступят в силу с 1 марта 2027 года.

КЗИ необходимо будет рассчитывать не реже одного раза в полгода.
Если по результатам оценки показатель не достигает установленного значения, информацию необходимо довести до руководителя субъекта КИИ, разработать план мероприятий по совершенствованию системы защиты и выполнить его до проведения следующей оценки.
Результаты расчёта также будут направляться во ФСТЭК 🫪

Отдельно закрепляется оценка уровня зрелости в области обеспечения безопасности.
Проводить её необходимо не реже одного раза в три года - самостоятельно либо с привлечением организации, имеющей лицензию ФСТЭК.

При недостижении целевых значений логика та же: уведомление руководителя и дальнейший план совершенствования системы защиты.

При этом 7 августа ФСТЭК уже опубликовала методику оценки уровня зрелости в области технической защиты информации и безопасности значимых объектов КИИ.

Недостаточно просто иметь комплект документов, внедрённые СЗИ и формально закрытые требования. Всё больше появляется необходимости показать фактическое состояние защиты, подтвердить его исходными данными и получить измеримый результат, который можно сравнивать в динамике. Методологическое «меры реализованы» превращается в «покажите, насколько они реализованы и чем вы это подтверждаете».