На прошлой неделе ФСТЭК утвердила методику оценки уровня зрелости деятельности по защите информации. Приказ №117 требует считать данный показатель ещё с марта 2025 года.
В документе говорится о нескольких уровнях: «начальный», «системный», «контролируемый», «верифицируемый» и «нулевой (отсутствует)» — для тех, у кого управление защитой не осуществляется вовсе. На «контролируемом» организация проверяет сама себя, на «верифицируемом» — внешний подрядчик. Во втором случае, как указано в тексте, мнение «имеет более высокую объективность».
Также оценка идёт по 21 направлению — от управления уязвимостями и привилегированного доступа до защиты при использовании нейросетей. По каждому из них определяется текущий уровень и задаётся целевой, а из них, в свою очередь, складывается «профиль уровня зрелости».
Расчёт обсуждаемого показателя должен производиться не реже одного раза в два года. При несоответствии нормированным значениям руководителя информируют в течение трёх календарных дней, а результаты в течение пяти рабочих дней передаются во ФСТЭК.