Оценка показателя защищённости и уровня зрелости

Кзи характеризует текущее техническое состояние защиты информационных систем — какие меры реализованы и достаточно ли их для нейтрализации типовых угроз. Узи, в свою очередь, оценивает не систему, а саму деятельность организации по защите информации: закреплена ли она документами, выполняется ли фактически, обеспечена ли ресурсами и квалификацией и совершенствуется ли. Это разные объекты оценки, разные методики и разные шкалы — один показатель не заменяет другой.

Обязанность распространяется на оператора (обладателя информации) в отношении государственных информационных систем, иных информационных систем государственных органов, государственных унитарных предприятий и государственных учреждений, подпадающих под действие приказа ФСТЭК России № 117. Расчёт проводится оператором самостоятельно либо с привлечением сторонней организации.

Показатель защищённости Кзи рассчитывается не реже одного раза в полгода. Показатель уровня зрелости Узи — не реже одного раза в два года. Более частая оценка не запрещена и может проводиться, например, после существенных изменений в информационной системе или в деятельности по защите информации.

Для Кзи применяется методика оценки показателя состояния технической защиты информации в информационных системах и обеспечения безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, утверждённая 11.11.2025г. Для Узи — методика оценки уровня зрелости деятельности в области технической защиты информации в информационных системах и обеспечения безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, утверждённая 07.08.2026г.

Оценку можно проводить как собственными силами, так и с привлечением сторонней организации, имеющей лицензию на деятельность по технической защите информации.

Потребуются политика защиты информации, приказы о назначении ответственных лиц и подразделений, внутренние стандарты и регламенты, план мероприятий по защите информации, отчёты и протоколы контроля защищённости, акты государственного контроля (при наличии), результаты опросов работников и инструментальных проверок, а также эксплуатационная документация на средства защиты информации. Отсутствие этих документов не освобождает от оценки — оно приводит к нулевым значениям по соответствующим критериям.

В обоих случаях необходимо определить, какие именно мероприятия нужны для достижения требуемого уровня, и составить план их проведения с указанием сроков и ответственных лиц. Для Кзи дополнительно установлен срок уведомления руководителя организации о несоответствии — 3 календарных дня с момента получения результата.

И при оценке Кзи, и при оценке Узи действует одно правило: непредставление документов и материалов, запрошенных для оценки конкретного параметра или направления, приводит к присвоению этому параметру (направлению) нулевого значения. Это не наказание в прямом смысле, а следствие того, что оценка строится только на подтверждённых данных.

Да. Результаты оценки и показателя защищённости, и показателя уровня зрелости должны быть направлены во ФСТЭК России не позднее чем через 5 рабочих дней после их расчёта.

Да, и это довольно распространённая ситуация. Организация может внедрить достаточный набор технических мер и получить высокий Кзи, но при этом не иметь регламентированной, документированной и контролируемой деятельности по защите информации — тогда Узи останется низким. Возможна и обратная картина: выстроенные процессы и документы при недостаточной технической реализации дадут высокий Узи и невысокий Кзи. Поскольку показатели измеряют разное, устойчивый результат обеспечивает только работа по обоим направлениям одновременно.