Проект поправок к указу № 250 предлагает дополнить его двумя новыми нормами. Первая обязывает органы и организации принимать меры по достижению целевых значений показателей защищённости принадлежащих им объектов информационной инфраструктуры. Вторая — вводит сами показатели и их структуру:

• защищённость объектов конкретного органа/организации от актуальных угроз;
• не менее 80% защищённых объектов в отрасли по закону № 187-ФЗ;
• не менее 80% защищённых объектов в ведении региональных органов исполнительной власти;
• актуальная модель угроз как обязательный компонент оценки.

Методику расчёта количественных значений определит Правительство РФ по согласованию с ФСБ и ФСТЭК России.

Проект пока находится на стадии общественного обсуждения и в силу не вступил. Положения могут быть скорректированы.

Комментарий Ильи Балберова, эксперта АБИСС:

Проект меняет логику регулирования принципиально: вместо «принять меры» — «достичь измеримого результата». Это движение в правильную сторону, поскольку качественные формулировки и чек-листы давно не отражают реального состояния защиты.

Вместе с тем у подхода есть риски, которые стоит учитывать уже сейчас:

• Методика решает всё. Если порядок расчёта окажется формальным или оторванным от реальной архитектуры систем, организации получат новый пласт отчётности без реального усиления защиты.
• Планка 80% не даёт спрятаться за точечно защищённые объекты. Нельзя будет компенсировать десятки незащищённых систем одним хорошо выстроенным контуром — придётся работать с инфраструктурой в целом.
• Регионы окажутся под давлением. Уровень зрелости ИБ, бюджеты и кадровое обеспечение у субъектов РФ сильно различаются. Там, где инвентаризация систем и управление ИБ исторически не выстроены, подготовка потребует значительных ресурсов.

Организациям, попадающим под действие указа № 250, разумно уже сейчас провести инвентаризацию ИС, актуализировать модели угроз и оценить реальное покрытие защитными мерами — до того, как методика расчёта зафиксирует стартовую точку.