Новое в оценке состояния технической защиты информации

ФСТЭК России в ноябре 2025 г. утвержден новый методический документ «Методика оценки показателя состояния технической защиты информации в информационных системах и обеспечения безопасности значимых объектов критической информационной инфраструктуры Российской Федерации». Это инструкция, которая помогает оценить, насколько хорошо защищена информация в различных организациях России.

Методика создана, чтобы:

  • проверять защиту данных в государственных органах и организациях;
  • оценивать безопасность значимых объектов критической информационной инфраструктуры;
  • определять, достаточно ли защищены данные от возможных угроз.

В своей деятельности методику используют как ФСТЭК России – для контроля защиты информации, так и государственные органы, органы местного самоуправления, организации, а также субъекты критической информационной инфраструктуры для определения показателя, характеризующего текущее состояние технической защиты информации, не составляющей государственную тайну, и (или) обеспечение безопасности значимых объектов КИИ.

Методика применяется для оценки степени соответствия текущего состояния защиты информации минимально необходимому уровню защиты информации (обеспечения безопасности значимых объектов КИИ) от типовых актуальных угроз безопасности информации.

В качестве минимально необходимого уровня защиты информации (обеспечения безопасности значимых объектов КИИ) задан состав мер, реализация которых предусмотрена нормативными правовыми актами Российской Федерации, и который минимально достаточен для блокирования (нейтрализации) типовых актуальных угроз безопасности информации, реализуемых нарушителями с базовыми возможностями.

Методика помогает понять

  • Насколько хорошо защищена информация сейчас.
  • Соответствует ли защита минимальным требованиям безопасности.
  • Есть ли риски для безопасности данных.

Выводы

  • Методика проверяет защиту только от обычных, типичных угроз.
  • Она не используется для оценки защиты от сложных кибератак.
  • Если оценка показывает низкий уровень защиты, то это значит, что есть риск для безопасности данных.

Кафедра информационной безопасности