Обзор новой Методики ФСТЭК России по оценке уровня зрелости в сфере защиты информации и безопасности ЗОКИИ

24 сентября 2026

7 августа 2026 г. ФСТЭК России утвердила«Методику оценки уровня зрелости деятельности в области технической защиты информации в информационных системах и обеспечения безопасности значимых объектов критической информационной инфраструктуры Российской Федерации».

В статье эксперты Центра кибербезопасности УЦСБ разобрали ключевые положения Методики. С подробной версией обзора методического документа ФСТЭК России можно ознакомиться по ссылке.

Методика предназначена для применения организациями, выступающими в качестве операторов информационных систем (ИС) и владельцев значимых объектов критической информационной инфраструктуры (ЗОКИИ), операторами информационных систем персональных данных (ИСПДн), государственными органами и иными организациями, в том числе субъектами КИИ, являющимися заказчиками работ и услуг, подрядными организациями, а также непосредственно ФСТЭК России в рамках осуществления контрольных функций.

Методика применяется для оценки соответствия требованиям следующих нормативных правовых актов:

• приказ ФСТЭК России от 11 апреля 2025 г. № 117;
• приказ ФСТЭК России от 28 февраля 2017 г. № 31;
• приказ ФСТЭК России от 25 декабря 2017 г. № 239;
• приказ ФСТЭК России от 18 февраля 2013 г. № 21;
• приказ ФСТЭК России от 14 марта 2014 г. № 31.

Оценка уровня зрелости включает следующие этапы.

1.Определение оцениваемых направлений деятельности по защите информации

В Методике приведен перечень из 21 направления деятельности, подлежащего оценке, при этом их состав подлежит адаптации исходя из особенностей деятельности организации.

2.Сбор и анализ исходных данных.

Сбор и анализ исходных данных предусматривает как изучение внутренних нормативных документов организации, так и опрос работников, а также проведение технического анализа функционирования программных и программно-аппаратных средств ИС.

3.Определение текущего уровня зрелости для каждого из направлений деятельности

На основе собранных и проанализированных исходных данных определяется текущий уровень зрелости для каждого из направлений деятельности. Для каждого из направлений деятельности оценивается соответствие 8 видам требований к его реализации:

• документирование;
• выполнение;
• инструменты;
• квалификация;
• контроль;
• обучение;
• внешний аудит;
• актуализация.

Для каждого вида требования к реализации направления деятельности оценивается степень его выполнения по формуле, представленной в обзоре методического документа ФСТЭК России.

4.Определение целевого уровня зрелости для каждого из направлений деятельности

Наряду с текущим уровнем для каждого направления деятельности определяется целевой уровень зрелости. Этот показатель определяется оператором самостоятельно, исходя из ожидаемых результатов качества деятельности в области защиты информации. Приведенные в Методике рекомендации по установлению целевого уровня зрелости направлений деятельности также представлены в конце обзора аналитиков УЦСБ.

5.Построение диаграммы профиля уровня зрелости.

Оцениваемые направления деятельности и их целевые значения уровней зрелости образуют профиль уровня зрелости деятельности в области защиты информации. Пример диаграммы профиля уровня зрелости представлен в файле.

6.Определение уровня зрелости.

Завершающим этапом оценки является определение общего уровня зрелости. Показатель рассчитывается по формуле, представленной в обзоре.

Документирование результатов оценки уровня зрелости

По результатам оценки уровня зрелости разрабатывается отчет, содержащий:

• общие сведения: сведения об операторе, об участниках оценки, дате проведения оценки;
• сведения о результатах предыдущей оценки;
• исходные данные, на основании которых проводилась оценка;
• сведения об используемых методах и инструментах оценки;
• результаты выполнения этапов оценки уровня зрелости: перечень оцениваемых направлений деятельности, результаты определения текущего уровня зрелости по каждому из направлений деятельности и уровня зрелости, сведения о соответствии целевому уровню и выявленных недостатках, диаграмма профиля уровня зрелости;
• рекомендации по совершенствованию защиты информации.

Отчет подписывается специалистами, проводившими оценку, и утверждается руководителем либо лицом, ответственным за защиту информации.

Результаты оценки используются для совершенствования деятельности в области защиты информации. Организация проводит ретроспективный анализ, сравнивая текущие и предыдущие показатели по каждому направлению, и определяет динамику изменений.

Сопоставление текущего и целевого уровней позволяет выявить недостатки, сформулировать направления улучшения и разработать план мероприятий по достижению целевых значений. После достижения целевого уровня устанавливаются новые ориентиры, и процесс повторяется.
Выполнение требований новой Методики ФСТЭК России и соблюдение иных нормативных актов в области защиты информации и безопасности объектов КИИ – комплексная задача, требующая практического опыта и понимания отраслевой специфики.

Оценка уровня зрелости может проводиться организацией как самостоятельно, так и с привлечением внешней организации, имеющей лицензию на деятельность в области технической защиты конфиденциальной информации, при этом внешняя оценка имеет более высокую объективность.

УЦСБ — лицензиат ФСТЭК России и ФСБ России, с практическим опытом обеспечения безопасности объектов КИИ, ИСПДн и АСТУП.

Эксперты УЦСБ проводят оценку соответствия требованиям регулирующих органов, разрабатывают адресные рекомендации по достижению целевых уровней зрелости и формируют план мероприятий с учетом выявленных недостатков.

По результатам оценки соответствия требованиям Заказчик получает:

• подтвержденный уровень зрелости,
• дорожную карту достижения целевых уровней с конкретными сроками;
• снижение рисков компьютерных инцидентов и оснований для внеплановых проверок.