ФСТЭК утвердила обязательный расчет показателей защищенности и уровня зрелости для КИИ и подрядчиков

Вчера в 14:45

© Сгенерировано ИИ

ФСТЭК России опубликовала приказ, вносящий изменения в новые требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры (КИИ). Начиная с 1 марта 2027 года субъекты КИИ обязаны перейти на регулярную систему оценки киберустойчивости собственных систем и привлекаемых сторонних организаций, передает D-Russia.

Два обязательных показателя кибербезопасности

Оценка состояния ИБ будет проводиться по методическим документам ФСТЭК на основе двух взаимодополняющих метрик:

- Показатель защищённости (Кзи): Характеризует текущее состояние безопасности объекта КИИ и степень его соответствия минимально необходимому уровню защиты от типовых актуальных угроз. Расчет и оценка Кзи должны проводиться субъектом КИИ не реже одного раза в шесть месяцев.

- Показатель уровня зрелости (Узи): Определяет полноту, достаточность и фактическую эффективность проведенных мероприятий по ИБ. Расчет Узи выполняется субъектом КИИ не реже одного раза в три года.

Регламент эскалации при отклонении от норм

В случае если расчетное значение Кзи или Узи оказывается ниже установленных ФСТЭК нормативов, запускается обязательный механизм реагирования:

1. Фиксация несоответствия в ходе плановой оценки.
2. Информирование руководителя субъекта КИИ в течение трех календарных дней.
3. Принятие оперативного решения о проведении дополнительных технических и организационных мероприятий по защите информации.

Требования к подрядным организациям

Новые правила распространяются на всех подрядчиков, привлекаемых для выполнения работ на объектах КИИ (обработка и хранение данных, эксплуатация, разработка ПО, удаленное обслуживание или предоставление услуг ИБ).

Требования к работе со сторонними организациями:

- Обязательное условие контракта: Субъект КИИ обязан законодательно зафиксировать требование о расчете и оценке показателя уровня зрелости (Узи) для подрядчика.

- Первичный контроль: Подрядная организация обязана рассчитать и подтвердить свой показатель Узи до момента получения фактического доступа к инфраструктуре значимого объекта КИИ.

- Периодический контроль: В дальнейшем расчет Узи подрядчиком проводится не реже одного раза в три года.

- Реагирование: Если показатель зрелости ИБ подрядчика не соответствует стандартам ФСТЭК, руководитель субъекта КИИ информируется в течение трех дней для принятия решения о допуске компании к работам или введении защитных ограничений.

Читайте также: «ЦОД становится основой цифрового будущего»: что мешает развитию дата-центров в России