Уровень зрелости ИБ: что меняет новая методика ФСТЭК
Знакомая ситуация: регламенты написаны, средства защиты закуплены, но работать с ними некому, а часть требований существует только на бумаге? Формально меры есть, но на практике защита отсутствует. Оценка по новой методике ФСТЭК от 7 августа 2026 года показывает именно то, насколько системно выстроена работа по защите информации.
На кого распространяется?
Методика обязательна при оценке уровня зрелости деятельности по защите информации в информационных системах органов власти, госучреждений и унитарных предприятий – это следует из пункта 31 Требований, утвержденных приказом ФСТЭК от 11.04.2025 № 117.
Подготовлены акты, которые распространят методику на объекты КИИ и ИСПДн: проект приказа о составе и содержании мер по безопасности персональных данных и изменения в приказ ФСТЭК № 235. Так что круг организаций, которым предстоит рассчитывать зрелость, скоро расширится за пределы госсектора.
Как считается зрелость организации?
Методика «привязывает» достаточность и эффективность принятых мер к соответствию методическому документу ФСТЭК от 12.04.2026. Состав оцениваемых направлений повторяет меры и мероприятия из него – всего 21 направление.
Все направления оцениваются по одним и тем же критериям: документирование, выполнение, инструментальное оснащение и другие. Из суммы по направлениям считается общий показатель, который соответствует одному из уровней – от «нулевого» до «верифицируемого». Для каждого уровня защищенности системы предусмотрен целевой показатель, а модернизация ИБ привязывается к достижению более высокой зрелости.
Ключевая особенность – методика не сводит оценку к одному аспекту, например, к документам. Без квалифицированных специалистов и технических средств высокого показателя по выполнению локальных актов не добиться. Сами инструменты без кадров и регламентов применения бесполезны. Чтобы увидеть, какое направление «проседает», итоговый показатель раскладывается в диаграмму-профиль.
Как изменится планирование ИБ?
Планирование перестает быть набором разнородных задач в духе «написать регламент, определить угрозы, внедрить СЗИ, набрать людей, отчитаться». Вместо этого появляется стратегия с измеримой целью. Например: за два года повысить эффективность защиты информации ограниченного доступа, для чего актуализировать локальные акты с учетом новых угроз, дополнить систему предотвращения утечек средством файлового аудита, выделить и обучить сотрудника для работы с ним, разработать программы повышения компетенций. Такая логика позволяет планировать мероприятия и расходы на конкретные сроки и защищать бюджет перед руководством цифрой целевого уровня.
Требования дойдут до подрядчиков
Установление ИБ-требований к подрядчикам – один из фокусов новой методики ФСТЭК. Эти положения уже отражены в 117-м приказе, в методическом документе от 12.04.2026 и в проекте приказа о мерах защиты ИСПДн. Новая методика предписывает оценивать работу с подрядчиками так же, как остальные направления.
В договорах со сторонними организациями появятся типовые условия: подрядчик достигает нужного уровня зрелости, а заказчик вправе контролировать, как защищена информация. Предполагается, что зрелость ИБ подрядчика не должна быть ниже, чем у заказчика: состав мер и их реализации в двух организациях будут сопоставимы. Это сокращает количество слабых мест в организации – сотрудников, не обученных распознавать фишинг, уязвимостей, неконтролируемых каналов передачи данных.
Что будет с рынком?
Методику стоит воспринимать не как отдельное нововведение, а как часть реформы, цель которой – унифицировать защиту информации в госсекторе, на объектах КИИ и в ИСПДн. Причем меняются в первую очередь прикладные требования, а не подходы к оценке.
Для крупных объектов КИИ и федеральных структур переход пройдет без коренных изменений: техническая защита выстроена, ИБ-службы укомплектованы, опыт разработки документов есть. Организациям меньшего масштаба предстоит в сжатые сроки спланировать и выполнить большой объем организационных и технических задач.
Поэтому в ближайшие полгода-год вырастет спрос и на ИБ-услуги, например аудит защищенности, и на средства защиты, в том числе системы управления инцидентами. При этом возможности среднего бизнеса и бюджетного сектора ограничены по финансированию и кадрам. Значит, на первый план выйдут ИБ-услуги «под ключ» и многофункциональные, быстроразвертываемые, экосистемные и адаптивные технические решения
