ФСТЭК России опубликовала новую методику оценки уровня зрелости деятельности в области технической защиты информации. Документ распространяется на информационные системы и объекты критической информационной инфраструктуры (КИИ). Об этом CNews сообщили представители Bi.Zone.

Новый подход предполагает анализ не только отдельных мер защиты, но и зрелости и управляемости связанных с ними процессов. Bi.Zone Consulting помогает оценить текущее состояние кибербезопасности и подготовить рекомендации, а платформа Bi.Zone GRC — превратить результаты этой работы в регулярную практику с ответственными, доказательствами и контролем исполнения.

Основная сложность для компаний — не только сопоставить свои процессы с критериями методики, но и обеспечить их регулярное выполнение, а также подтвердить соблюдение этих требований. При ручном управлении сложно поддерживать актуальность информации, распределять ответственность, контролировать выполнение мероприятий и своевременно получать целостную картину текущего уровня зрелости.

Для адаптации процессов к новой методике компаниям необходимо пройти несколько этапов:

Анализ применимости. Установить, какие положения методики относятся к конкретным информационным системам, активам и объектам КИИ организации.

Первичная оценка. Определить текущий уровень зрелости процессов технической защиты информации, выявить наиболее существенные разрывы между фактическим и целевым состоянием.

Формирование доказательной базы. Связать критерии оценки с внутренними документами и процессами, назначить ответственных и зафиксировать результаты выполнения.

Планирование изменений. Сформировать дорожную карту с приоритетами, сроками, владельцами процессов и критериями контроля результатов.

Тимофей Поляков, руководитель управления развития системной интеграции, аудита и консалтинга Bi.Zone: «Новая методика ФСТЭК России предполагает более высокий уровень ответственности организаций за состояние процессов кибербезопасности. Компаниям важно не только соответствовать установленным на момент оценки критериям, но и понимать, как поддерживать необходимый уровень зрелости в дальнейшем. Поэтому результаты оценки должны становиться основой для регулярного управления: указывать на проблемные зоны, определять приоритеты и контролировать изменения. Автоматизация позволяет сделать оценку не разовой процедурой, а частью постоянного управления кибербезопасностью».

• Как сопровождать СУБД на множестве серверов баз данных