Новые изменения для КИИ: Оценка показателя состояния технической защиты информации и обеспечения безопасности значимых объектов КИИ
2 мая 2024 года ФСТЭК России утвердили методику оценки показателя состояния технической защиты информации и обеспечения безопасности значимых объектов критической информационной инфраструктуры Российской Федерации.
Из неё следует что оценка показателя защищённости информации включает следующие этапы:
- Анализ имеющейся информации
Данный этап включает: назначение компетентных специалистов, проведение запросов у подразделений с соответствующими специалистами, интервьюирование и анализ программных и программно-аппаратных средств в информационных системах, включая средства защиты информации, с документированием всей информации. - Оценка частных показателей всех информационных систем, требующих защиты
Проводится специалистами, проводившими анализ и сбор исходных данных. - Расчёт и сравнение полученного значения с нормативным уровнем
Если в течении года при повторном расчёте показателя защищённости итогом вышло что меры не выполняются, то весовому коэффициенту присевается значение равно 0. - Осуществляется расчёт и сравнение полученного значения с нормативным уровнем
Если в течении года при повторном расчёте показателя защищённости итогом вышло что меры не выполняются, то весовому коэффициенту присевается значение равно 0.
Состояние защиты информации можно определить как минимальный базовый (зеленый), низкий (оранжевый) и критический (красный).
При состоянии низком или критическом, рекомендуется разработать план для достижения зеленого уровня состояния защиты.
Реализовать данные мероприятия необходимо до проведения следующей проверке.
Если оценка не соответствует стандарту, необходимо уведомить руководство.
Оценка показателя защищённости проводится раз в полгода по установленному организацией порядку.
На заместителя руководителя органа (организации) возлагается ответственность за этот процесс, который выполняется подразделением по управлению информационной безопасностью.
Результаты оценки могут быть направлены в ФСТЭК по их запросу.
В случае отсутствия ответа от ФСТЭК в течение 30 дней, значение автоматически считается равным нулю.
Возможна также внеочередная оценка показателя защищённости.