ФСТЭК России утвердила методику оценки зрелости деятельности по технической защите информации и обеспечению безопасности значимых объектов КИИ. Она предназначена для операторов информационных систем, владельцев значимых объектов КИИ, операторов ИСПДн и подрядчиков, участвующих в эксплуатации систем и оказании услуг по ИБ.
Шкала включает нулевое значение и четыре уровня: начальный, системный, контролируемый и верифицируемый. На начальном уровне меры реализуются не полностью, на системном — выстроены с учётом актуальных угроз, на контролируемом — регулярно проверяются, а на верифицируемом их эффективность подтверждается независимой организацией.
Оценка охватывает 21 направление — от управления уязвимостями, обновлениями и доступом до мониторинга, обучения сотрудников, защиты от DDoS-атак и использования ИИ. Каждое направление проверяется по восьми параметрам: документирование, фактическое выполнение, инструменты, квалификация, контроль, обучение, внешний аудит и актуализация. Проверку можно провести самостоятельно или привлечь лицензированную организацию.
По итогам формируется профиль зрелости, выявляются разрывы между текущим и целевым состоянием и составляется план улучшений. Для значимых объектов КИИ первой категории рекомендован уровень не ниже третьего, второй категории — не ниже второго, третьей — не ниже первого.
💻 По сути, ФСТЭК предлагает оценивать не само наличие регламентов и средств защиты, а то, насколько ИБ-процессы реально выполняются, контролируются и развиваются.
👍 GR в IT. Подписаться.