Оценка уровня зрелости защиты информации в ГИС

С 1 марта 2027 года вступает в силу новая редакция п. 32 приказа ФСТЭК России №117. В предусмотренной этим пунктом ситуации расчёт и оценку показателя уровня зрелости Узи* будет проводить подрядная организация — до получения доступа к информационным системам, содержащейся в них информации и (или) передачи подрядной организации информации, а далее не реже одного раза в два года.

Узи — показатель уровня зрелости деятельности в области технической защиты информации. Показывает, насколько системно в организации выстроены процессы защиты — не только есть ли документы и СЗИ, но и выполняются ли процедуры, контролируются ли результаты, хватает ли компетенций и актуализируются ли процессы.

Это требование относится не к любому поставщику или исполнителю государственного заказчика. Оно связано с подрядными организациями, которым предоставляется соответствующий доступ при выполнении работ или оказании услуг по обработке и хранению информации, созданию или развитию информационных систем, обеспечению их эксплуатации либо защите информации.

Например, это может быть:

• ИТ-интегратор или разработчик, который дорабатывает ГИС и получает доступ к системе;
• компания технической поддержки или аутсорсинговый системный администратор;
• подрядчик по информационной безопасности;
• SOC-провайдер или исполнитель, который выполняет миграцию, хранение либо обработку данных заказчика.

Ключевой признак — не сам договор с государственным заказчиком, а характер работ и наличие доступа к информационной системе или информации заказчика.

Ждать марта 2027 года, чтобы впервые разбираться в требованиях, таким подрядчикам необязательно. Если процессы защиты не выстроены, документы расходятся с фактической работой, а подтверждающих материалов недостаточно, устранить разрывы проще заранее, а не в момент, когда заказчик уже готов предоставить доступ к системе или информации.

«Бизнес Навигатор» подготовлен к работе по требованиям, которые вступят в силу с 1 марта 2027 года. Мы проводим оценку уровня зрелости по Методике ФСТЭК России от 7 августа 2026 года, помогаем определить текущий уровень, выявить разрывы и подготовить процессы и подтверждающие материалы.

Сама Методика ФСТЭК от 07.08.2026 уже действует. С 1 марта 2027 года меняется не Методика, а порядок расчёта Узи по п. 32 приказа №117: в предусмотренном им случае субъектом расчёта и оценки становится подрядная организация.

Обращаться к нам уже сейчас могут организации, которым предстоит выполнять работы или оказывать услуги с доступом к информационным системам заказчика либо с обработкой принадлежащей заказчику информации — в случаях, на которые распространяются требования ФСТЭК к оценке уровня зрелости.

Для операторов задача актуальна уже сейчас. С 1 сентября 2026 года действующая редакция п. 58 приказа №117 требует устанавливать в отношении подрядной организации требования по защите информации, к которой предоставляется доступ, а также по расчёту и оценке Узи. Требования к уровню зрелости подрядной организации определяются в документах, на основании которых оказываются услуги или проводятся работы.

Проведём предварительную диагностику готовности, чтобы определить потенциальные разрывы до проведения оценки уровня зрелости по Методике ФСТЭК.

Записаться на диагностику

Что такое уровень зрелости применительно к ГИС

Уровень зрелости показывает не количество установленных средств защиты и не число утверждённых документов. Он характеризует, насколько системно организована деятельность в области технической защиты информации: определены ли процессы, выполняются ли они фактически, обеспечены ли необходимыми инструментами и компетенциями, контролируется ли результат и актуализируется ли работа после изменений и выявленных недостатков.

Методика ФСТЭК от 07.08.2026 применяется, в частности, операторами информационных систем и подрядными организациями в предусмотренных ею случаях.

Что оценивает Узи

Методика предусматривает 21 направление деятельности в области технической защиты информации.

Для оцениваемых направлений учитываются восемь видов требований:

• документирование;
• выполнение;
• инструменты;
• квалификация;
• контроль;
• обучение;
• внешний аудит;
• актуализация.

Поэтому комплект правильно оформленных документов сам по себе ещё не означает необходимый уровень зрелости. Документированный процесс должен фактически выполняться, обеспечиваться инструментами и компетенциями, контролироваться и актуализироваться.

Например, наличие регламента управления уязвимостями не подтверждает, что соответствующий процесс действительно работает. Необходимо показать, что уязвимости выявляются, результаты анализируются, определяются необходимые действия, исправления выполняются, а результат контролируется.

Чем Узи отличается от текущей защищённости

Узи и показатель защищённости Кзи отвечают на разные вопросы.

Кзи характеризует текущее состояние защищённости информации.

Узи характеризует зрелость деятельности в области технической защиты информации: насколько процессы сформированы, выполняются, контролируются и актуализируются.

Например, серверы и средства защиты могут быть корректно настроены на момент проверки. Но если обновления устанавливаются бессистемно, уязвимости выявляются нерегулярно, права доступа не пересматриваются, а результаты контроля не используются для улучшения процессов, уровень зрелости может оказаться ниже целевого.

В регулировании 2026 года есть переходная терминологическая особенность. С 1 сентября 2026 года п. 31 приказа №117 уже использует обозначение Узи — показатель уровня зрелости. При этом действующая до 28 февраля 2027 года редакция п. 32 формально сохраняет прежнее обозначение Пзи (показатель уровня зрелости деятельности по защите информации). С 1 марта 2027 года п. 32 будет действовать в новой редакции и также использовать обозначение Узи.

На этой странице используем актуальный термин Узи, а при описании действующей до 28 февраля 2027 года нормы учитываем обозначение Пзи, сохранённое в тексте п. 32.

Что действует сейчас и что изменится с 1 марта 2027 года

На 23 октября 2026 года будущую редакцию п. 32 нельзя применять как уже действующую норму. Она утверждена приказом ФСТЭК №137, но вступит в силу только 1 марта 2027 года.

При этом изменение п. 32 не означает, что после 1 марта 2027 года вопрос зрелости собственной деятельности оператора исчезает.

Методика предусматривает оценку деятельности оператора, когда он самостоятельно реализует соответствующие процессы и меры защиты. При привлечении подрядной организации оператор выступает заказчиком и устанавливает требования к уровню её зрелости.

Как проводится оценка

Оценка начинается с определения области: какие информационные системы, процессы и участники входят в проверяемый контур, какие направления Методики применимы и какие требования установлены для конкретной задачи.

Область и направления оценки

На первом этапе определяем:

• информационные системы, относящиеся к области оценки;
• их классы защищённости;
• процессы, выполняемые организацией;
• функции подрядчика;
• характер предоставляемого доступа;
• применимые направления Методики;
• требования заказчика;
• текущие и целевые уровни.

Методика предусматривает 21 направление деятельности. Для каждого применимого направления собираются исходные данные и подтверждающие материалы.

Если отдельное направление не относится к деятельности организации или области оценки, его неприменимость должна быть обоснована фактическими условиями. Исключать направление только потому, что по нему отсутствуют документы или сам процесс пока не выстроен, некорректно.

Для государственных информационных систем Методика содержит рекомендуемые целевые уровни зрелости: для ГИС 3 класса — не ниже первого уровня, 2 класса — не ниже второго, 1 класса — не ниже третьего.

Это рекомендуемые значения Методики, а не универсальные обязательные минимумы, которые можно автоматически применять без учёта конкретной области и задачи оценки.

Документы и свидетельства выполнения

Для оценки анализируем не только ОРД, но и фактические подтверждения работы процессов:

• политики и регламенты;
• приказы и распределение ответственности;
• заявки и результаты пересмотра доступа;
• журналы и отчёты;
• результаты контроля защищённости;
• материалы по управлению уязвимостями;
• сведения об обновлении программного обеспечения;
• результаты обучения работников;
• данные мониторинга;
• результаты предыдущих проверок;
• планы и подтверждения устранения выявленных недостатков.

Оценка не сводится к проверке папки с документами. Важно подтвердить, что предусмотренные процедуры реально выполняются.

Например, при управлении обновлениями недостаточно иметь регламент patch management. Необходимо понимать, как организация выявляет необходимые обновления, оценивает их применимость, устанавливает их в принятом порядке и контролирует результат.

Аналогично с уязвимостями: разово обновить устаревшую версию ПО и устранить конкретную уязвимость — полезное техническое действие. Но зрелый процесс управления уязвимостями предполагает регулярное выявление проблем, оценку их значимости, организацию исправления и контроль результата.

Предварительная диагностика и оценка по Методике — разные задачи

До проведения оценки по Методике можно выполнить предварительную диагностику готовности.

На этом этапе анализируем имеющиеся процессы и материалы, выявляем потенциальные слабые места и определяем, каких подтверждений может не хватать.

Предварительная диагностика помогает подготовиться, но не заменяет расчёт и оценку Узи по Методике ФСТЭК и не заменяет отчёт, оформляемый по результатам такой оценки.

После необходимой подготовки проводится непосредственно оценка уровня зрелости в определённой области: собираются исходные данные, рассчитываются уровни по применимым направлениям и оформляется результат в соответствии с Методикой.

Поэтому мы чётко разделяем:

1. предварительную диагностику готовности;

2. устранение выявленных организационных и технических разрывов;

3. проведение оценки уровня зрелости по Методике ФСТЭК.

Внутренняя и внешняя оценка

Методика предусматривает внутреннюю и внешнюю оценку.

Внутренняя оценка проводится организацией самостоятельно с соблюдением требований Методики к организации оценки и объективности результатов.

Внешняя оценка проводится с привлечением организации, отвечающей установленным Методикой требованиям.

Для подрядчиков особенно важно не смешивать общие положения Методики и новую редакцию приказа №117. С 1 марта 2027 года именно подрядная организация становится субъектом расчёта и оценки Узи в ситуации, предусмотренной новой редакцией п. 32.

«Бизнес Навигатор» готов оказывать услуги подрядным организациям по подготовке и проведению оценки с учётом требований, которые начнут применяться с 1 марта 2027 года.

Это позволяет заранее определить состояние процессов и устранить существенные разрывы до момента, когда результат оценки понадобится для конкретного проекта.

Что получает заказчик и как использовать результат оценки

Итог оценки — не только рассчитанное значение показателя.

Заказчику важно понимать, почему получен конкретный уровень, какие направления не достигают целевого состояния и какие изменения необходимы.

Профиль зрелости и выявленные разрывы

По каждому применимому направлению определяется текущий уровень и сопоставляется с целевым.

Методика предусматривает уровни зрелости с учётом нулевого значения, означающего отсутствие достигнутого уровня, и уровни от первого до четвёртого.

Такой профиль показывает не только итоговое значение Узи, но и причины, по которым отдельные направления не достигают целевого уровня.

Подготовка подрядной организации к требованиям с 1 марта 2027 года

Если организация планирует выполнять работы в условиях, на которые будет распространяться новая редакция п. 32, подготовку можно начать заранее.

1. Определяем, относится ли предполагаемая деятельность к ситуации, предусмотренной приказом №117.

2. Определяем предполагаемую область оценки.

3. Проводим предварительную диагностику процессов и имеющихся свидетельств.

4. Выявляем потенциальные разрывы и недостающие подтверждения.

5. Формируем рекомендации и план подготовки.

6. После необходимых доработок проводим оценку уровня зрелости по Методике в определённой области.

Важно: предварительная диагностика не выдаётся за нормативную оценку Узи.

Если конкретного заказчика ещё нет, можно заранее оценить существующие процессы и определить текущий уровень зрелости. Но невозможно заранее подтвердить соответствие всем требованиям будущего заказчика: требования к уровню зрелости конкретной подрядной организации определяются в документах, на основании которых оказываются услуги или проводятся работы.

Поэтому подготовка заранее помогает выстроить базовые процессы, но при появлении конкретного проекта область и требования необходимо сопоставить с документами заказчика.

План совершенствования и результат оценки

Если текущий уровень ниже целевого, по результатам оценки определяются мероприятия по совершенствованию процессов и мер защиты.

• актуализация ОРД;
• уточнение ролей и ответственности;
• регулярное сканирование и анализ уязвимостей;
• организация patch management;
• пересмотр порядка предоставления доступа;
• настройка мониторинга;
• контроль установки обновлений;
• регулярная ревизия прав;
• обучение работников;
• организация внешнего аудита;
• актуализация процессов после изменений и проверок.

Не каждое замечание требует большого проекта.

Например, устаревшую версию программного обеспечения можно обновить и устранить конкретную уязвимость. Но если проблема заключается в том, что организация вообще не контролирует версии ПО, не отслеживает уязвимости и не фиксирует результат исправлений, совершенствовать необходимо уже сам процесс.

По результатам оценки уровня зрелости по Методике ФСТЭК формируется отчёт.

Он содержит предусмотренные Методикой сведения об оценке, её области, исходных данных, полученных результатах, текущих и целевых уровнях и других необходимых элементах.

Отчёт по результатам оценки — обязательный результат самой процедуры оценки, а не дополнительная опция услуги.

Дополнительно в состав работ «Бизнес Навигатора» в зависимости от задачи могут входить:

• предварительная диагностика;
• перечень выявленных разрывов;
• рекомендации по их устранению;
• план мероприятий по подготовке;
• систематизация подтверждающих материалов;
• сопровождение устранения замечаний;
• рекомендации по подготовке к следующей оценке.

Стоимость определяется после понимания области оценки, количества информационных систем, состава процессов, объёма документов, количества задействованных подразделений и необходимой глубины работ.

Узнать стоимость

Частые вопросы

Почему для оценки зрелости выбирают «Бизнес Навигатор»

Мы уже готовы работать по требованиям с 1 марта 2027 года

Для нас это не будущая услуга, которую предстоит разрабатывать после вступления изменений в силу.

Мы изучили Методику ФСТЭК от 07.08.2026 и приказ №117 в редакции приказа №137 и готовы проводить оценку и подготовку подрядных организаций с учётом модели, которая начнёт применяться с 1 марта 2027 года.

Поэтому обращаться можно уже сейчас — если организация планирует выполнять работы, при которых ей будет предоставляться доступ к охватываемым приказом №117 информационным системам или информации.

Предварительная диагностика позволяет использовать время до конкретного проекта для устранения слабых мест. Оценка по Методике позволяет определить и документировать фактический уровень зрелости в установленной области.

Есть и практическая причина не откладывать подготовку до марта 2027 года. Обратившись заранее, можно спланировать работы и зарезервировать время специалистов, провести диагностику и необходимые доработки без аврального режима. После вступления новых требований в силу спрос на такие услуги может заметно вырасти: подрядным организациям потребуется подтверждать готовность перед получением доступа к системам и информации. В результате у исполнителей по информационной безопасности может возникнуть повышенная загрузка и очередь на проведение оценки. Заблаговременная подготовка снижает риск ситуации, когда требования уже действуют и доступ нужен сейчас, а свободных специалистов для оперативного проведения работ приходится ждать.

Опыт, лицензии и удобный формат работы

«Бизнес Навигатор» работает в ИТ и автоматизации с 2011 года, направление информационной безопасности развивает с 2012 года.

У компании есть лицензия ФСТЭК России на деятельность по технической защите конфиденциальной информации и лицензия ФСБ России на работы и услуги в области криптографической защиты информации.

Работаем с заказчиками из Москвы и Московской области, Самары и Самарской области и других регионов России. Анализ документов и часть работ можно проводить удалённо; необходимость выезда определяется областью оценки.

Нужно подготовиться к требованиям ФСТЭК с 1 марта 2027 года?

Пришлите краткую информацию о деятельности компании, предполагаемых работах, информационных системах и характере доступа к данным заказчика. Определим применимость требований, возможную область оценки и необходимый состав подготовки.

Получить консультацию