ФСТЭК предложила методику оценки зрелости работ по ТЗИ и защите ЗОКИИ

26 Май 2026

22 мая 2026 года ФСТЭК России представила проект методики оценки уровня зрелости деятельности в области технической защиты информации в информационных системах и обеспечения безопасности значимых объектов КИИ. Методика предназначена для оценки того, насколько организация выполняет требования по защите информации и безопасности ЗОКИИ. Она основана на нормативных актах ФСТЭК России, включая приказы № 117 от 11 апреля 2025 года, № 31 от 28 февраля 2017 года, № 239 от 25 декабря 2017 года и № 21 от 18 февраля 2013 года.

Кто сможет применять документ

Документ могут применять операторы информационных систем и ЗОКИИ, подрядные организации, государственные органы и организации-заказчики, субъекты КИИ, операторы ИСПДн, а также ФСТЭК России.

Оценка проводится по отдельным направлениям деятельности: управление уязвимостями, управление обновлениями, защита удалённого доступа, защита беспроводного доступа и другие процессы, влияющие на защищённость информационных систем и значимых объектов КИИ.

Уровни зрелости

Методика предусматривает пять уровней зрелости: нулевой, начальный, системный, контролируемый и верифицируемый. Целевой уровень определяется с учётом статуса организации и характеристик её систем.

Например, для операторов ГИС 3 класса защищённости, иных ИС государственных органов, государственных предприятий и учреждений, операторов ИСПДн 3 и 4 уровней защищённости, ЗОКИИ 3 категории значимости, а также подрядных организаций рекомендуется устанавливать целевой уровень не ниже начального.

При оценке проверяется соответствие каждого направления деятельности требованиям, указанным в таблице 2 методики. Расчёт проводится с применением весовых коэффициентов и значений выполнения требований. Затем определяется итоговый показатель по всем требованиям и подтверждается уровень зрелости с использованием таблицы 3.

Документ также содержит формулу расчёта общего уровня зрелости. Для этого учитываются количество направлений деятельности, их индексы и уровень зрелости по каждому направлению.

По результатам оценки организация должна подготовить отчёт с информацией о порядке проведения оценки по каждому направлению деятельности.

Необходимость расчёта показателя Пзи уже относится к обязательным требованиям ФСТЭК России. Сейчас расчёт показателей Кзи и Пзи прямо закреплён только в приказе № 117. Однако проекты методик расчёта Пзи и Кзи указывают на более широкий подход: такие показатели предполагается применять ко всем нормативным документам ФСТЭК, отражённым в методиках.

Таким образом, проект методики формирует единый порядок оценки зрелости деятельности по ТЗИ и обеспечению безопасности ЗОКИИ. Для организаций это означает необходимость не только выполнять требования по защите информации, но и подтверждать уровень зрелости расчётными показателями и отчётными материалами.