ФСТЭК готовит новую систему оценки защищенности объектов КИИ, которая позволит государству контролировать уровень кибербезопасности стратегических организаций по единым KPI. Мониторинг будет проводиться дважды в год, а результаты направят в Совбез. Эксперты считают, что это означает переход от формальных проверок к системе количественной оценки эффективности защиты.
ФСТЭК готовит новую методику оценки уровня защищенности объектов критической информационной инфраструктуры. Контроль за достижением установленных показателей планируется проводить раз в полгода, а результаты мониторинга направлять в Совет безопасности, который возглавляет президент. Проект соответствующего правительственного постановления, разработанный ФСТЭК, должен стать дополнением к президентскому указу № 250, посвященному мерам обеспечения ИБ.
Новая система оценки затронет широкий круг организаций: государственные органы, госфонды, госкорпорации, стратегические предприятия, а также системообразующие компании. Предлагается использовать трехуровневую модель отчетности. На первом уровне будет анализироваться текущее состояние защищенности конкретной организации. Второй уровень предполагает оценку ситуации в масштабах отрасли, а третий — на уровне региона.
Указ президента № 250 уже закрепил персональную ответственность руководителей за обеспечение ИБ на объектах КИИ. Однако сам документ фактически ограничивался требованием к компаниям создавать профильные подразделения и принимать защитные меры, не предлагая четкого механизма оценки эффективности этой работы, отмечают эксперты. Разработка ФСТЭК единой методики должна изменить эту ситуацию.
Государство фактически формирует прозрачную систему KPI в сфере информационной безопасности, причем эти показатели будут иметь официальный статус, полагают эксперты. Ранее требования во многом носили формальный характер, а проверки регулятора часто сводились к анализу документации и наличия необходимых регламентов. Теперь же речь идет о внедрении количественных индикаторов, которые позволят оценивать реальный уровень защищенности как отдельных организаций, так и отраслей или регионов в целом.
Показатели защищенности представляют собой метрики эффективности ИБ, отражающие способность компании противостоять киберугрозам.
Одним из ключевых нововведений станет не только сбор информации о состоянии защищенности, но и обязанность ФСТЭК проводить анализ полученных данных. Регулятор сможет присваивать организациям конкретные оценки уровня защищенности, а результаты достижения целевых показателей будут отражаться в ежегодных публичных докладах.
Требования к безопасности для бизнеса принципиально не изменятся, однако контроль со стороны государства заметно усилится. Если показатели защищенности окажутся низкими и не будут демонстрировать положительной динамики, компании могут столкнуться с различными мерами воздействия со стороны регуляторов.
Без аналогов Jira. Новый подход к управлению задачами в крупных компаниях Российские low-code BPM-решения Выбираем ноутбук для дизайнера и инженера в 2026 году
Источник: www.it-world.ru