СБ ЗОКИИ: для чего субъектам КИИ необходимо применять Методику анализа защищенности и Методику тестирования на проникновение (ДСП)?

2026 год

Ответ: Методика анализа защищенности информационных систем, утвержденная ФСТЭК России 25.11.2025 (далее – Методика анализа защищенности), предназначена для организации и проведения работ по анализу уязвимостей в ходе испытаний системы безопасности (далее – СБ) информационных систем, автоматизированных систем управления, информационно-телекоммуникационных систем (далее – объектов информатизации), в том числе относящихся к значимым объектам критической информационной инфраструктуры (далее – КИИ).
Методика испытаний систем защиты информации информационных систем методами тестирования на проникновение, утвержденная ФСТЭК России 25.06.2025 и Методика анализа защищенности могут применяться субъектами КИИ при проведении следующих работ:

• аттестация объектов информатизации на соответствие требованиям по защите информации – при аттестации значимого объекта КИИ на соответствие Требованиям по обеспечению безопасности значимых объектов КИИ, утвержденных приказом ФСТЭК России от 25.12.2017 № 239 (далее – Требования к СБ);
• контроль уровня защищенности информации от несанкционированного доступа и ее модификации – при проведении периодического контроля уровня защиты информации на аттестованном значимом объекта КИИ в соответствии с Порядком организации и проведения работ по аттестации объектов информатизации на соответствие требованиям о защите информации ограниченного доступа, не составляющей государственную тайну, утвержденном приказом ФСТЭК России от 29.04.2021 № 77 (далее – Приказ ФСТЭК России № 77);
• оценка соответствия объектов информатизации требованиям по обеспечению безопасности в ходе приемочных испытаний как элемент оценки соответствия СБ значимого объекта КИИ Требованиям к СБ и дальнейшего ввода значимого объекта эксплуатацию в соответствии с п. 12 Требований к СБ;
• оценка соответствия информационных систем требованиям по защите информации (испытания) и достаточности принимаемых мер по защите информации (обеспечению безопасности), реализация которых предусмотрена требованиями по защите информации – в ходе контроля за обеспечением безопасности при эксплуатации значимого объекта КИИ в соответствии с п. п. 13, 26 Требований к СБ.