1. Настоящая Методика оценки показателя состояния технической защиты информации и обеспечения безопасности значимых объектов критической информационной инфраструктуры Российской Федерации (далее – Методика) разработана в соответствии с подпунктами 4 и 6.1 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утверждённого Указом Президента Российской Федерации от 16 августа 2004 г. № 1085.
2. Настоящая Методика определяет показатель, характеризующий текущее состояние технической защиты информации, не составляющей государственную тайну (далее — защита информации), и (или) обеспечения безопасности значимых объектов критической информационной инфраструктуры Российской Федерации (далее — обеспечение безопасности объектов КИИ), его нормированное значение, а также порядок его расчета.
3. Настоящая Методика применяется для оценки текущего состояния защиты информации (обеспечения безопасности объектов КИИ) в государственных органах, органах местного самоуправления, организациях, в том числе субъектах критической информационной инфраструктуры (далее – органы (организации), и степени его соответствия минимально необходимому уровню защиты информации (обеспечения безопасности объектов КИИ) от типовых актуальных угроз безопасности информации.
В качестве минимально необходимого уровня защиты информации (обеспечения безопасности объектов КИИ) задан состав мер, реализация которых предусмотрена нормативными правовыми актами Российской Федерации, и который минимально достаточен для блокирования (нейтрализации) типовых актуальных угроз безопасности информации.
4. Несоответствие значения показателя, характеризующего текущее состояние защиты информации (обеспечения безопасности объектов КИИ), установленному в соответствии с настоящей Методикой нормированному значению указывает на наличие в органе (организации) возможности реализации актуальных угроз безопасности информации или предпосылок для их реализации.
5. Настоящая Методика применяется:
- ФСТЭК России — для мониторинга в пределах своей компетенции текущего состояния защиты информации и обеспечения безопасности объектов КИИ в органах (организациях);
- органом (организацией) — для оценки текущего состояния защиты информации и (или) обеспечения безопасности объектов КИИ и разработки на основе такой оценки мер по повышению уровня защищенности, а также оценки эффективности деятельности заместителя руководителя органа (организации), на которого возложены полномочия по обеспечению информационной безопасности органа (организации), и (или) структурного подразделения, осуществляющего функции по обеспечению информационной безопасности органа (организации).
6. Методика не применяется для оценки деятельности в области обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации.
