Судя по проекту приказа, который спешит на смену приказу ФСТЭК № 21, в ближайшие годы нормативно одобренные подходы к технической защите персональных данных будут определять три основных документа:
⚫️новый приказ об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в ИСПДн (общественное обсуждение проекта завершено 8 августа 2026 года);
⚫️Состав и содержание мероприятий и мер по защите информации, содержащейся в информационных системах (методический документ ФСТЭК от 12 апреля 2026 года);
⚫️Методика оценки уровня зрелости деятельности в области технической защиты информации в информационных системах и обеспечения безопасности значимых объектов КИИ (методический документ ФСТЭК от 7 августа 2026 года).
Формально нормативным правовым актом из этой троицы является только первый документ. Но его текущий проект содержит очевидные отсылки к методическим документам ФСТЭК.
В частности, проект предусматривает оценку достаточности и эффективности реализованных мер по обеспечению безопасности персональных данных через показатель уровня зрелости, определяемый в соответствии с методическими документами ФСТЭК (п. 9). Содержание самих мер для соответствующего уровня защищённости предлагается определять также с использованием методических документов ФСТЭК (п. 12).
В связи с вышеизложенным опубликованная на днях Методика оценки уровня зрелости представляет большой интерес для всех DPO и им сочувствующих. Рекомендуем ознакомиться с первоисточником, но для первого знакомства отметим главное.
⚫️Внутренняя и внешняя оценки. Оператор может провести оценку самостоятельно или привлечь подрядчика с лицензией на техническую защиту конфиденциальной информации. Внешняя оценка считается более объективной, но обязательной не является.
⚫️Пять уровней зрелости:
0 – нулевой (требования не выполняются, мероприятия не реализованы)
1 – начальный
2 – системный
3 – контролируемый
4 – верифицируемый (наивысший уровень, предполагающий соответствие установленным требованиям и периодическую внешнюю проверку их эффективности).
⚫️21 направление деятельности. Именно по этому числу направлений по общему правилу оценивается техническая защита информации. Перечень должен быть конкретизирован оператором с учетом применимых отраслевых требований (в том числе с учётом требований нового приказа, который придет на смену приказу ФСТЭК № 21 и установит состав мер по обеспечению безопасности персональных данных).
⚫️Требования к направлениям и их весовые коэффициенты. Деятельность внутри каждого направления оценивается по 8 видам требований:
- документирование
- выполнение
- инструменты
- квалификация персонала
- контроль
- обучение
- внешний аудит
- актуализация
У каждого требования есть весовой коэффициент (от 0,1 до 0,2), а степень выполнения оценивается по шкале значений 0 / 0,5 / 1. Итоговое значение по виду требования определяется по формуле
[весовой коэффициент х степень выполнения]. Cумма значений по всем требованиям даёт текущий уровень зрелости направления.⚫️Расчет итоговых значений. Числовое значение, рассчитанное по итогам оценки требований, сопоставляется с нормированными диапазонами, что даёт итоговый уровень зрелости (0–4) для каждого направления деятельности. Общий уровень зрелости организации определяется как среднее арифметическое текущих уровней по всем направлениям, а результаты визуализируются в виде «лепестковой» диаграммы, сопоставляющей текущий и целевой профили зрелости.
⚫️Документирование итогов. По итогам оценки обязательно составляется отчёт с описанием области оценки, участников (в том числе лиц, предоставлявших исходную информацию), методологии и исходных данных, результатов по каждому виду требований и направлению, а также с графической интерпретацией результатов. Методика также предполагает сравнение результатов в динамике и формирование плана мероприятий по достижению целевых показателей.
Похоже, что в регулировании технической защиты персональных данных нас ждёт довольно заметный сдвиг: от привычной модели «определили уровень защищённости → выбрали набор мер» к более комплексной оценке того, насколько системно эти меры реализованы и работают на практике. Также бросается в глаза многокомпонентный подход к оценке, который неизбежно повлечет за собой запрос на автоматизацию соответствующего процесса.