I. ОБЩИЕ ПОЛОЖЕНИЯ

1. Настоящая Методика оценки показателя состояния технической защиты информации в информационных системах и обеспечения безопасности значимых объектов критической информационной инфраструктуры Российской Федерации (далее - Методика) разработана в соответствии с подпунктами 4 и 6.1 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085.

2. Настоящая Методика определяет показатель, характеризующий текущее состояние технической защиты информации, не составляющей государственную тайну (далее - защита информации), содержащейся в информационных системах, и (или) обеспечения безопасности значимых объектов критической информационной инфраструктуры Российской Федерации (далее - обеспечение безопасности значимых объектов КИИ), его нормированное значение, а также порядок его расчета.

3. Настоящая Методика применяется для оценки текущего состояния защиты информации (обеспечения безопасности значимых объектов КИИ) в государственных органах, органах местного самоуправления, организациях, а также субъектах критической информационной инфраструктуры (далее - органы (организации), и степени его соответствия минимально необходимому уровню защиты информации (обеспечения безопасности значимых объектов КИИ) от типовых актуальных угроз безопасности информации.

В качестве минимально необходимого уровня защиты информации (обеспечения безопасности значимых объектов КИИ) задан состав мер, реализация которых предусмотрена нормативными правовыми актами Российской Федерации <1>, и который минимально достаточен для блокирования (нейтрализации) типовых актуальных угроз безопасности информации, реализуемых нарушителями с базовыми возможностями <2>.

--------------------------------

<1> Требования о защите информации, содержащейся и государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений, утвержденные приказом ФСТЭК России от 11 апреля 2025 г. N 117.

Требования к обеспечению защиты информации, содержащейся в информационных системах управления производством, используемых предприятиями оборонно-промышленного комплекса, утвержденные приказом ФСТЭК России от 28 февраля 2017 г. N 31.

Требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, утвержденные приказом ФСТЭК России от 25 декабря 2017 г. N 239.

Требования к обеспечению защиты информации в автоматизированных системах управления производственными процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды, утвержденные приказом ФСТЭК России от 14 марта 2013 г. N 31.

Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденные приказом ФСТЭК России от 18 февраля 2013 г. N 21.

<2> Методика оценки угроз безопасности информации, утвержденная ФСТЭК России 5 февраля 2021 г.

4. Несоответствие значения показателя, характеризующего текущее состояние защиты информации (обеспечения безопасности значимых объектов КИИ), установленному в соответствии с настоящей Методикой нормированному значению указывает на наличие в органе (организации) возможности реализации нарушителями с базовыми возможностями актуальных угроз безопасности информации или предпосылок для их реализации.

5. Настоящая Методика применяется:

а) ФСТЭК России - для мониторинга в пределах своей компетенции текущего состояния защиты информации и обеспечения безопасности значимых объектов КИИ в органах (организациях);

б) органом (организацией) - для оценки текущего состояния защиты информации и (или) обеспечения безопасности значимых объектов КИИ и разработки на основе такой оценки мер по повышению уровня защищенности, а также оценки эффективности деятельности заместителя руководителя органа (организации), на которого возложены полномочия по обеспечению информационной безопасности органа (организации), и (или) структурного подразделения, осуществляющего функции по обеспечению информационной безопасности органа (организации) <3>.

--------------------------------

<3> Указ Президента Российской Федерации от 1 мая 2022 г. N 250 "О дополнительных мерах по обеспечению информационной безопасности Российской Федерации".

6. Методика не применяется для оценки деятельности в области обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации.

7. В связи с утверждением настоящей Методики не применяется для оценки текущего состояния защиты информации (обеспечения безопасности значимых объектов КИИ) в органе (организации) и степени его соответствия минимально необходимому уровню защиты информации (обеспечения безопасности значимых объектов КИИ) от типовых актуальных угроз безопасности информации Методика оценки показателя состояния технической защиты информации и обеспечения безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, утвержденная ФСТЭК России 2 мая 2024 г.