Новая методика ФСТЭК России для оценки состояния защиты информации в организации

Основные моменты Методики оценки показателя состояния ТЗИ и обеспечения безопасности ЗОКИИ

2 мая ФСТЭК России утвердила Методику оценки показателя состояния защиты информации и обеспечения безопасности объектов критической информационной инфраструктуры Российской Федерации. Методика предназначена для определения показателя, характеризующего текущее состояние технической защиты информации, не составляющей государственную тайну, и (или) обеспечения безопасности значимых объектов критической информационной инфраструктуры (ЗОКИИ) Российской Федерации, его нормированное значение, а также порядок его расчета.

Из названия и требований документа становится ясно, что методика предназначена не только для субъектов КИИ, но и для любых организаций.

Методика позволяет оценить текущее состояние защиты информации в организации и степень соответствия минимально необходимому уровню защиты, то есть минимальному набору требований и мер, которые определены ФСТЭК России.

Согласно тексту документа оценка показателя защищенности осуществляется в отношении всех информационных систем, подлежащих защите, и должна проводиться не реже одного раза в полгода.

Оценка проводится подразделением, ответственным за обеспечение информационной безопасности. При этом специалисты, проводящие сбор и анализ данных для оценки, не могут проверять результаты своей собственной работы, они должны обладать компетенциями в области обеспечения информационной безопасности.

ФСТЭК России может запрашивать результаты оценки уровня защищенности у организаций. Вероятно, в первую очередь требование направлено на государственные органы и субъекты КИИ.

ФСТЭК России определены следующие основные группы показателей оценки защищенности:

1. Организация и управление (функциями по безопасности);
2. Защита пользователей (учетных записей);
3. Защита информационных систем;
4. Мониторинг информационной безопасности и реагирование.

Каждая из перечисленных групп разбита на частные показатели (меры и требования), которым присвоен определенный «вес» коэффициента.

Проставив по каждому частному показателю (kji) его значение, организация по формуле в Методике определяет итоговое значение показателя защищенности (Kзи).

Он может соответствовать одному из трех уровней:

— минимальному базовому Kзи =1 («зеленому»);
— низкому 0,75 < Kзи < 1 («оранжевому»);
— критическому Kзи ≤0,75 («красному»).

Наш методолог по информационной безопасности Алексей Филиппов отмечает, что по замыслу авторов методики, организация должна выполнить все меры и требования, указанные в документе, чтобы соответствовать минимальному базовому уровню.

В противном случае, организации следует разработать план реализации мероприятий по повышению уровня защищенности и реализовать его до следующей оценки (то есть в течение полугода).

В информационном сообщении также уточняется, что на данный момент документ носит рекомендательный характер до введения в действие нормативных правовых актов, устанавливающих обязательные требования по такой оценке.