Продукты
Продукты
Menu
02
База знаний
05
Услуги
01
О нас
04
2025
Контакты
phone
e-mail:
Обучение
03
Замена приказа ФСТЭК № 21: что изменится для операторов ПДн при переходе к оценке зрелости
13.01.2023
10/11/26
Б-152
Егор Андюков, Данил Баранов
ФСТЭК предлагает изменить подход к защите персональных данных в ИСПДн: помимо выбора и реализации мер защиты учитывать зрелость процессов, то есть насколько последовательно они выполняются, контролируются и совершенствуются. На 9 ноября 2026 года новый приказ взамен № 21 еще не вступил в силу, поэтому действующие требования сохраняются. При этом методика оценки зрелости уже утверждена, и операторам стоит учитывать направление изменений заранее.
Приказ ФСТЭК России № 21 действует с 2013 года и определяет состав организационных и технических мер по обеспечению безопасности персональных данных в ИСПДн. За это время архитектура корпоративных систем заметно изменилась: широкое распространение получили облачные сервисы, API, контейнерные среды, AI и IoT.
В июле 2026 года ФСТЭК опубликовала проект нового приказа, который должен заменить приказ № 21. Один из наиболее существенных элементов проекта — использование показателя уровня зрелости при оценке эффективности защиты.
Сам проект пока не стал действующим нормативным актом. Поэтому говорить о новых обязанностях как об уже вступивших в силу нельзя. Но направление регулирования видно достаточно отчетливо: одного формального наличия мер защиты и документов может быть недостаточно. Все большее значение получает способность организации подтвердить, что процессы действительно работают.
Подготовили Старший специалист по информационной безопасности Егор Александрович Андюков и консультант по информационной безопасности Баранов Данил Дмитриевич
Содержание
Содержание
Что действует сейчас, а что пока остается проектом
Главное разграничение: приказ № 21 продолжает действовать, методика зрелости уже утверждена, а новый состав мер для ИСПДн пока находится на стадии проекта.
На 9 ноября 2026 года в опубликованных материалах проект по-прежнему имеет статус проекта, обсуждение которого завершено. Поэтому заявленная в первоначальном тексте проекта дата вступления в силу не означает, что новые требования уже начали действовать.
Для операторов сейчас важнее не пытаться срочно «перейти на новый приказ», а понять, насколько существующая система защиты готова к подходу, который предлагает ФСТЭК.
Для операторов сейчас важнее не пытаться срочно «перейти на новый приказ», а понять, насколько существующая система защиты готова к подходу, который предлагает ФСТЭК.
Чем уровень зрелости отличается от уровня защищенности ИСПДн
Уровень защищенности отвечает на вопрос, какие требования предъявляются к конкретной ИСПДн. Зрелость характеризует то, насколько качественно организация выполняет деятельность по защите информации.
Это разные показатели.
Уровень защищенности ИСПДн связан с действующей моделью по постановлению № 1119. Он влияет на состав требований к конкретной системе.
Оценка зрелости смотрит шире. Недостаточно, например, написать в документе, что права доступа периодически пересматриваются. Нужно иметь возможность показать, что процедура действительно выполняется, кто за нее отвечает, как фиксируются результаты и что происходит после выявления нарушения.
Можно представить два оператора с технически похожими ИСПДн.
У обоих настроено управление доступом. Но у первого пересмотр прав проводится нерегулярно, результаты нигде не сохраняются, исключения существуют годами. У второго установлен процесс, назначены ответственные, проверки проходят по графику, результаты фиксируются, а замечания отслеживаются до устранения.
Формально мера есть у обоих. Уровень организации процесса отличается существенно.
Эту разницу и показывает оценка зрелости.
Это разные показатели.
Уровень защищенности ИСПДн связан с действующей моделью по постановлению № 1119. Он влияет на состав требований к конкретной системе.
Оценка зрелости смотрит шире. Недостаточно, например, написать в документе, что права доступа периодически пересматриваются. Нужно иметь возможность показать, что процедура действительно выполняется, кто за нее отвечает, как фиксируются результаты и что происходит после выявления нарушения.
Можно представить два оператора с технически похожими ИСПДн.
У обоих настроено управление доступом. Но у первого пересмотр прав проводится нерегулярно, результаты нигде не сохраняются, исключения существуют годами. У второго установлен процесс, назначены ответственные, проверки проходят по графику, результаты фиксируются, а замечания отслеживаются до устранения.
Формально мера есть у обоих. Уровень организации процесса отличается существенно.
Эту разницу и показывает оценка зрелости.
Отменит ли зрелость существующие уровни защищенности
Сейчас оснований считать уровень зрелости заменой уровней защищенности нет.
Проект нового приказа касается состава и содержания мер защиты, но сам по себе не отменяет постановление Правительства № 1119.
Методика ФСТЭК также связывает рекомендуемые целевые значения зрелости с существующими уровнями защищенности ИСПДн.
Проект нового приказа касается состава и содержания мер защиты, но сам по себе не отменяет постановление Правительства № 1119.
Методика ФСТЭК также связывает рекомендуемые целевые значения зрелости с существующими уровнями защищенности ИСПДн.
Это именно рекомендуемые значения методики, а не новая классификация ИСПДн. Методика действительно устанавливает такие ориентиры для операторов ИСПДн.
Поэтому корректнее исходить из модели:
Поэтому корректнее исходить из модели:
уровень защищенности определяет требования к ИСПДн → зрелость показывает качество организации деятельности по их выполнению.
Что предлагается изменить в выборе мер защиты
Порядок формирования набора мер защиты принципиально не меняется. Как и действующий приказ № 21, проект предусматривает выбор базовых мер для установленного уровня защищенности, их адаптацию к особенностям ИСПДн и уточнение с учетом актуальных угроз. Основные изменения касаются состава мер, порядка их определения и применения методических документов ФСТЭК.
Предлагаемая логика выглядит последовательно:
Предлагаемая логика выглядит последовательно:
базовые меры для установленного уровня защищенности → адаптация к архитектуре ИСПДн → проверка с учетом угроз и возможностей нарушителя → дополнение или усиление мер.
Такой подход сильнее связывает защиту с реальной системой.
Например, если ИСПДн активно взаимодействует с внешними сервисами через API, недостаточно рассматривать ее как изолированную серверную инфраструктуру. Нужно учитывать программные интерфейсы, способы аутентификации, передаваемые через них данные, внешние зависимости и последствия компрометации.
То же касается контейнерных сред, современных облачных архитектур, IoT и AI.
При этом было бы неправильно утверждать, что действующий приказ № 21 вообще не учитывает современные способы работы. В нем уже есть меры для удаленного доступа, мобильных устройств и виртуализации.
Изменение прежде всего касается структуры требований и способа формирования набора мер.
Например, если ИСПДн активно взаимодействует с внешними сервисами через API, недостаточно рассматривать ее как изолированную серверную инфраструктуру. Нужно учитывать программные интерфейсы, способы аутентификации, передаваемые через них данные, внешние зависимости и последствия компрометации.
То же касается контейнерных сред, современных облачных архитектур, IoT и AI.
При этом было бы неправильно утверждать, что действующий приказ № 21 вообще не учитывает современные способы работы. В нем уже есть меры для удаленного доступа, мобильных устройств и виртуализации.
Изменение прежде всего касается структуры требований и способа формирования набора мер.
Что будет с компенсирующими мерами
Возможность применения компенсирующих мер предусмотрена уже действующим приказом № 21. Проект сохраняет этот механизм. Если отдельную меру невозможно реализовать по техническим причинам или ее применение экономически нецелесообразно, оператор может предусмотреть компенсирующие меры, обеспечивающие нейтрализацию актуальных угроз. Выбранное решение необходимо обосновать при разработке системы защиты ПДн.
Для бизнеса это важная деталь.
Разница между формальным и зрелым подходом хорошо видна именно на исключениях.
Если технически реализовать меру невозможно, важно обосновать причины, оценить связанные с этим риски и определить, какие альтернативные меры позволят их снизить.
Если концепция проекта сохранится, документирование таких решений станет еще важнее: оператору потребуется не только показать наличие защиты, но и объяснить логику выбора конкретного набора мер.
Для бизнеса это важная деталь.
Разница между формальным и зрелым подходом хорошо видна именно на исключениях.
Если технически реализовать меру невозможно, важно обосновать причины, оценить связанные с этим риски и определить, какие альтернативные меры позволят их снизить.
Если концепция проекта сохранится, документирование таких решений станет еще важнее: оператору потребуется не только показать наличие защиты, но и объяснить логику выбора конкретного набора мер.
Что именно оценивает методика зрелости ФСТЭК
Методика смотрит не на один документ или техническое средство, а на качество организации деятельности по защите информации.
Она охватывает 21 направление деятельности. Для каждого из них оценивается несколько типов требований, в том числе документирование, фактическое выполнение процедур, используемые инструменты, квалификация специалистов, контроль, обучение, внешняя оценка и актуализация процессов.
Это существенно меняет смысл проверки.
Допустим, организация заявляет, что управляет уязвимостями.
Для оценки зрелости недостаточно показать положение об управлении уязвимостями. Потребуется смотреть, выполняется ли процесс на практике, используются ли необходимые инструменты, кто обладает нужной квалификацией, контролируется ли устранение и пересматривается ли сам процесс.
Получается цепочка:
Она охватывает 21 направление деятельности. Для каждого из них оценивается несколько типов требований, в том числе документирование, фактическое выполнение процедур, используемые инструменты, квалификация специалистов, контроль, обучение, внешняя оценка и актуализация процессов.
Это существенно меняет смысл проверки.
Допустим, организация заявляет, что управляет уязвимостями.
Для оценки зрелости недостаточно показать положение об управлении уязвимостями. Потребуется смотреть, выполняется ли процесс на практике, используются ли необходимые инструменты, кто обладает нужной квалификацией, контролируется ли устранение и пересматривается ли сам процесс.
Получается цепочка:
правило существует → правило выполняется → результат контролируется → недостатки исправляются → процесс актуализируется.
Поэтому оценка зрелости значительно ближе к анализу реального управления ИБ, чем к проверке наличия комплекта документов.
Нужно ли обязательно привлекать внешнюю организацию
Методика допускает как внутреннюю, так и внешнюю оценку зрелости. Универсального требования для каждого оператора проводить ее только внешними силами нет.
Внешнюю оценку может проводить организация с соответствующей лицензией на деятельность в области технической защиты конфиденциальной информации.
Внешняя оценка также учитывается при расчете уровня зрелости. Методика выделяет внешний аудит в самостоятельный вид требований с весовым коэффициентом 0,1.
Так что отсутствие внешних проверок может повлиять на итоговый показатель зрелости, даже если остальные процессы защиты выполняются.
При внутренней оценке разумно разделять исполнение и проверку: специалисту, который непосредственно строил конкретный процесс, сложнее независимо оценивать собственный результат.
Но сама Методика не устанавливает, что каждый оператор ИСПДн обязан всегда привлекать внешнего оценщика.
Окончательные требования именно в контексте будущей замены приказа № 21 будут зависеть от принятой редакции документа.
Внешнюю оценку может проводить организация с соответствующей лицензией на деятельность в области технической защиты конфиденциальной информации.
Внешняя оценка также учитывается при расчете уровня зрелости. Методика выделяет внешний аудит в самостоятельный вид требований с весовым коэффициентом 0,1.
Так что отсутствие внешних проверок может повлиять на итоговый показатель зрелости, даже если остальные процессы защиты выполняются.
При внутренней оценке разумно разделять исполнение и проверку: специалисту, который непосредственно строил конкретный процесс, сложнее независимо оценивать собственный результат.
Но сама Методика не устанавливает, что каждый оператор ИСПДн обязан всегда привлекать внешнего оценщика.
Окончательные требования именно в контексте будущей замены приказа № 21 будут зависеть от принятой редакции документа.
Что изменится в оценке эффективности мер защиты
Если проект будет принят в близком виде, оценка эффективности станет тесно связана с показателем зрелости.
Действующий приказ № 21 уже предусматривает периодическую оценку эффективности реализованных мер. Поэтому сама идея проверять результат защиты для операторов не новая.
Действующий приказ № 21 уже предусматривает оценку эффективности реализованных мер защиты не реже одного раза в три года. Проект сохраняет эту периодичность, но предлагает использовать при оценке показатель уровня зрелости. Кроме того, предусматривается проведение оценки до начала обработки персональных данных и после компьютерного инцидента у оператора.
Существенно меняется содержание доказательной базы.
Недостаточно будет показать перечень средств защиты или комплект организационно-распорядительной документации. Значение получают материалы, подтверждающие выполнение процедур: результаты контроля, журналы, сведения об используемых инструментах, записи об устранении замечаний и другие свидетельства фактической работы процессов.
Поэтому операторам, у которых оценка эффективности сегодня фактически сводится к периодическому оформлению документов, особенно важно обратить внимание на новый подход.
Действующий приказ № 21 уже предусматривает периодическую оценку эффективности реализованных мер. Поэтому сама идея проверять результат защиты для операторов не новая.
Действующий приказ № 21 уже предусматривает оценку эффективности реализованных мер защиты не реже одного раза в три года. Проект сохраняет эту периодичность, но предлагает использовать при оценке показатель уровня зрелости. Кроме того, предусматривается проведение оценки до начала обработки персональных данных и после компьютерного инцидента у оператора.
Существенно меняется содержание доказательной базы.
Недостаточно будет показать перечень средств защиты или комплект организационно-распорядительной документации. Значение получают материалы, подтверждающие выполнение процедур: результаты контроля, журналы, сведения об используемых инструментах, записи об устранении замечаний и другие свидетельства фактической работы процессов.
Поэтому операторам, у которых оценка эффективности сегодня фактически сводится к периодическому оформлению документов, особенно важно обратить внимание на новый подход.
Нужно ли повторять недавно проведенную оценку
Сам факт появления проекта нового приказа не делает ранее проведенную оценку недействительной.
По вопросам перехода специалисты Б-152 направили запросы во ФСТЭК России и получили письменные разъяснения. Согласно этим разъяснениям, наличие действующих документов о проведенной оценке не означает необходимости немедленно проводить ее заново только из-за перехода на новые требования.
Следующая плановая оценка уже сможет проводиться по требованиям, которые будут действовать на соответствующую дату.
При этом окончательно планировать переходный период стоит после публикации принятого приказа: именно итоговый документ определит обязательные правила.
По вопросам перехода специалисты Б-152 направили запросы во ФСТЭК России и получили письменные разъяснения. Согласно этим разъяснениям, наличие действующих документов о проведенной оценке не означает необходимости немедленно проводить ее заново только из-за перехода на новые требования.
Следующая плановая оценка уже сможет проводиться по требованиям, которые будут действовать на соответствующую дату.
При этом окончательно планировать переходный период стоит после публикации принятого приказа: именно итоговый документ определит обязательные правила.
Почему подрядчики становятся частью оценки зрелости
Одна из заметных особенностей методики — зрелость рассматривается не только внутри самого оператора, но и в отношениях с подрядными организациями.
Методика предусматривает ситуацию, когда оператор привлекает подрядчика к эксплуатации информационных систем, обработке информации или реализации мер защиты.
В этом случае заказчик устанавливает требования к уровню зрелости подрядной организации в документах, на основании которых оказываются услуги или выполняются работы.
Проект нового приказа развивает эту логику применительно к лицам, которые обрабатывают персональные данные по поручению оператора.
Для компаний это может иметь очень практическое последствие.
Договор с ИТ-аутсорсером, облачным провайдером или организацией, обслуживающей ИСПДн, придется оценивать уже не только через формулировки о конфиденциальности и безопасности. Значение получит вопрос, насколько поставщик способен подтвердить зрелость собственных процессов защиты.
Ревизия действующих договоров с критичными ИБ- и ИТ-подрядчиками может оказаться полезной подготовительной мерой еще до принятия нового приказа.
Методика предусматривает ситуацию, когда оператор привлекает подрядчика к эксплуатации информационных систем, обработке информации или реализации мер защиты.
В этом случае заказчик устанавливает требования к уровню зрелости подрядной организации в документах, на основании которых оказываются услуги или выполняются работы.
Проект нового приказа развивает эту логику применительно к лицам, которые обрабатывают персональные данные по поручению оператора.
Для компаний это может иметь очень практическое последствие.
Договор с ИТ-аутсорсером, облачным провайдером или организацией, обслуживающей ИСПДн, придется оценивать уже не только через формулировки о конфиденциальности и безопасности. Значение получит вопрос, насколько поставщик способен подтвердить зрелость собственных процессов защиты.
Ревизия действующих договоров с критичными ИБ- и ИТ-подрядчиками может оказаться полезной подготовительной мерой еще до принятия нового приказа.
Как переход к зрелости повлияет на работу ИБ
Основное изменение — смещение внимания с состояния «внедрили меру» к состоянию «мерой постоянно управляют».
Для ИБ-функции это означает больше внимания к доказательствам работы процессов.
Например, недостаточно создать порядок контроля конфигураций. Нужно подтвердить, что контроль происходит. Недостаточно установить средство защиты — нужно понимать его состояние, результаты работы и реакцию на выявленные проблемы.
Возрастает и роль владельцев процессов.
Зрелость невозможно создать силами одного специалиста ИБ, если другие подразделения не выполняют назначенные им действия. Управление доступами зависит от HR и руководителей, работа с подрядчиками — от закупок и бизнес-владельцев, реагирование на инциденты — от ИТ, ИБ, Legal и руководства.
Оценка зрелости фактически проверяет не только технологию, но и управляемость всей системы защиты.
Для ИБ-функции это означает больше внимания к доказательствам работы процессов.
Например, недостаточно создать порядок контроля конфигураций. Нужно подтвердить, что контроль происходит. Недостаточно установить средство защиты — нужно понимать его состояние, результаты работы и реакцию на выявленные проблемы.
Возрастает и роль владельцев процессов.
Зрелость невозможно создать силами одного специалиста ИБ, если другие подразделения не выполняют назначенные им действия. Управление доступами зависит от HR и руководителей, работа с подрядчиками — от закупок и бизнес-владельцев, реагирование на инциденты — от ИТ, ИБ, Legal и руководства.
Оценка зрелости фактически проверяет не только технологию, но и управляемость всей системы защиты.
Какие доказательства могут стать особенно важными
Принцип такой: организация должна иметь возможность показать не только правило, но и факт его исполнения.
У одного оператора положение об управлении доступами лежит в папке с документами. У другого к нему можно добавить историю пересмотров прав, закрытые заявки, результаты контроля привилегированных учетных записей и подтверждения устранения исключений.
Во втором случае оценивать зрелость значительно проще.
То же относится к обучению, управлению уязвимостями, инцидентам, резервному копированию, взаимодействию с подрядчиками и другим процессам.
Это не означает, что нужно заранее создавать максимальное количество новых отчетов. Сначала имеет смысл понять, какие доказательства уже возникают в действующей работе и достаточно ли их, чтобы восстановить выполнение процесса.
У одного оператора положение об управлении доступами лежит в папке с документами. У другого к нему можно добавить историю пересмотров прав, закрытые заявки, результаты контроля привилегированных учетных записей и подтверждения устранения исключений.
Во втором случае оценивать зрелость значительно проще.
То же относится к обучению, управлению уязвимостями, инцидентам, резервному копированию, взаимодействию с подрядчиками и другим процессам.
Это не означает, что нужно заранее создавать максимальное количество новых отчетов. Сначала имеет смысл понять, какие доказательства уже возникают в действующей работе и достаточно ли их, чтобы восстановить выполнение процесса.
Что оператору можно сделать до принятия нового приказа
Сейчас разумнее готовить фактическую систему защиты, а не переписывать документы под текст, который еще может измениться.
Первый шаг — сопоставить актуальную архитектуру ИСПДн с той, на основании которой когда-то определялись уровень защищенности, угрозы и меры. За несколько лет могли появиться новые облака, API, удаленный доступ, контейнеры и подрядчики.
Затем полезно провести предварительную оценку зрелости по уже утвержденной методике. Ее задача на этом этапе — не «получить обязательный уровень по будущему приказу», а увидеть процессы, где формальные правила существуют без устойчивого исполнения.
После этого можно сформировать план улучшений: определить приоритеты, владельцев, сроки и необходимые ресурсы.
Последний шаг — систематизировать подтверждения. Не создавать документы ради документов, а убедиться, что ключевые процессы оставляют проверяемый след.
Для компаний, которым требуется независимая проверка действующей защиты ИСПДн, отдельной задачей может быть оценка эффективности мер или технический аудит. Важно только не выдавать такую проверку за обязательную «аттестацию по новому приказу», пока новый приказ не принят.
Первый шаг — сопоставить актуальную архитектуру ИСПДн с той, на основании которой когда-то определялись уровень защищенности, угрозы и меры. За несколько лет могли появиться новые облака, API, удаленный доступ, контейнеры и подрядчики.
Затем полезно провести предварительную оценку зрелости по уже утвержденной методике. Ее задача на этом этапе — не «получить обязательный уровень по будущему приказу», а увидеть процессы, где формальные правила существуют без устойчивого исполнения.
После этого можно сформировать план улучшений: определить приоритеты, владельцев, сроки и необходимые ресурсы.
Последний шаг — систематизировать подтверждения. Не создавать документы ради документов, а убедиться, что ключевые процессы оставляют проверяемый след.
Для компаний, которым требуется независимая проверка действующей защиты ИСПДн, отдельной задачей может быть оценка эффективности мер или технический аудит. Важно только не выдавать такую проверку за обязательную «аттестацию по новому приказу», пока новый приказ не принят.
Что проверить в первый год после вступления нового приказа
После принятия итоговой редакции главным станет gap-анализ между существующей системой и уже действующими требованиями.
Практический порядок может выглядеть так:
Практический порядок может выглядеть так:
- Проверить исходную модель ИСПДн. Актуальны ли уровень защищенности, архитектура, технологии, угрозы и состав систем.
- Сопоставить меры с новым приказом. Определить, какие требования уже выполняются, а где нужны изменения или обоснование компенсирующих мер.
- Оценить зрелость. Рассчитать текущие показатели по применимым направлениям и проверить наличие подтверждений.
- Сформировать план улучшений. Назначить владельцев, сроки и ресурсы.
- Встроить контроль в регулярную работу. Не возвращаться к зрелости только перед очередной оценкой.
Что пока рано делать
Проект не стоит воспринимать как уже действующую редакцию приказа.
До официального принятия документа преждевременно утверждать окончательный набор новых обязанностей, сроки перехода или необходимость конкретных технических средств исключительно на основании июльского проекта.
Отдельные положения могут измениться.
Поэтому сейчас разумно работать с тем, что не зависит от финальной редакции: актуальностью архитектуры, реальным выполнением существующих мер, владельцами процессов, контролем подрядчиков и доказательствами работы системы защиты.
Такая подготовка полезна даже в том случае, если итоговый приказ будет отличаться от проекта.
До официального принятия документа преждевременно утверждать окончательный набор новых обязанностей, сроки перехода или необходимость конкретных технических средств исключительно на основании июльского проекта.
Отдельные положения могут измениться.
Поэтому сейчас разумно работать с тем, что не зависит от финальной редакции: актуальностью архитектуры, реальным выполнением существующих мер, владельцами процессов, контролем подрядчиков и доказательствами работы системы защиты.
Такая подготовка полезна даже в том случае, если итоговый приказ будет отличаться от проекта.
Главное
- Приказ ФСТЭК № 21 пока продолжает действовать; проект его замены еще не следует применять как вступившее в силу требование.
- Методика оценки уровня зрелости утверждена ФСТЭК 7 августа 2026 года и распространяет свой подход в том числе на операторов ИСПДн.
- Уровень защищенности и уровень зрелости решают разные задачи: первый относится к требованиям к ИСПДн, второй — к качеству организации деятельности по защите.
- Ключевой сдвиг состоит в переходе от подтверждения наличия мер к подтверждению того, что процессы выполняются, контролируются и совершенствуются.
- Методика допускает внутреннюю и внешнюю оценку; обязательного внешнего оценщика для каждого оператора она не устанавливает.
- Подрядчики также могут попасть в контур требований к зрелости, поэтому важны не только внутренние процессы, но и договорная модель работы с поставщиками.
- До принятия нового приказа полезнее проверять реальное состояние системы и доказательства выполнения процессов, чем формально переписывать документы под проект.
Часто задаваемые вопросы
Приказ ФСТЭК № 21 уже отменен?
Нет. На 9 ноября 2026 года проект нового приказа размещен и прошел общественное обсуждение, но новый акт взамен № 21 не следует считать вступившим в силу. До появления принятого и официально опубликованного документа оператору нужно выполнять действующие требования.
Что такое уровень зрелости защиты информации?
Это показатель качества организации деятельности по защите информации. Он отражает не только наличие мер, но и документирование процессов, их фактическое выполнение, контроль, квалификацию специалистов, обучение, актуализацию и другие элементы устойчивой работы системы.
Заменит ли уровень зрелости уровень защищенности ИСПДн?
По текущей модели — нет. Методика сама связывает рекомендуемые целевые значения зрелости с действующими уровнями защищенности УЗ-1-УЗ-4. Поэтому эти показатели выполняют разные функции и не должны смешиваться.
Нужно ли уже сейчас проводить оценку зрелости ИСПДн?
Методика уже утверждена, поэтому ее можно использовать для предварительной оценки состояния процессов. Но конкретные обязательные правила применения зрелости в рамках нового состава мер защиты ИСПДн зависят от окончательной редакции приказа, который должен заменить № 21.
Обязательно ли приглашать внешнюю организацию для оценки зрелости?
Методика допускает внутреннюю и внешнюю оценку. Внешняя проводится организацией с соответствующей лицензией и рассматривается как более объективная, но универсального требования привлекать ее для каждой оценки каждого оператора методика не устанавливает.
Нужно ли переделывать недавно проведенную оценку эффективности мер?
Само появление проекта нового приказа не требует повторного проведения оценки эффективности. После принятия документа необходимость внеплановой оценки будет определяться его окончательными требованиями и переходными положениями. До этого действуют положения приказа № 21.
Что лучше сделать оператору уже сейчас?
Проверить, соответствует ли документация фактической архитектуре ИСПДн, посмотреть на процессы через критерии зрелости и определить, какими доказательствами подтверждается выполнение ключевых мер. Это позволит выявить разрывы без преждевременного внедрения требований, которые пока существуют только в проекте.
Материалы по теме