Независимая проверка того, насколько системно выстроены процессы защиты информации
Оценка по методике ФСТЭК от 7 августа 2026 года. Проводить её вправе организация с лицензией ФСТЭК на техническую защиту конфиденциальной информации — «КРЕДО-С» работает по этой лицензии и оказывает услугу операторам ГИС, субъектам КИИ, операторам персональных данных и подрядным организациям.
2—6 недельориентир для организации среднего размера
с 1993на рынке ИТ и информационной безопасности
Пять уровней зрелости — куда можно прийти
По итогам оценки вы получаете не абстрактную «оценку безопасности», а позицию на этой шкале по каждому из направлений — и понятный маршрут к следующему уровню.
0
Нулевой
Управление защитой информации не осуществляется
1
Начальный
Формальное соответствие с отдельными недостатками
2
Системный
Процессы управляются системно, с учётом актуальных угроз
3
Контролируемый
Плюс регламентированный контроль и плановые проверки
4
Верифицируемый
Эффективность регулярно подтверждает внешняя организация
Недостижим без внешней оценки
Кому нужна оценка уровня зрелости
1«начальный»
ГИС 3 класса · ИСПДн УЗ-3, УЗ-4 · ЗОКИИ 3 категории
Рекомендуемый целевой уровень (МД ФСТЭК от 07.08.2026) — не ниже 1
2«системный»
ГИС 2 класса · ИСПДн УЗ-2 · ЗОКИИ 2 категории
Рекомендуемый целевой уровень (МД ФСТЭК от 07.08.2026) — не ниже 2
3«контролируемый»
ГИС 1 класса · ИСПДн УЗ-1 · ЗОКИИ 1 категории
Рекомендуемый целевой уровень (МД ФСТЭК от 07.08.2026) — не ниже 3
Отдельная категория — подрядные организации: методика предусматривает, что заказчик вправе устанавливать требования к уровню зрелости подрядчика в договорах (п. 4–5). Если вы обслуживаете информационные системы госзаказчиков или субъектов КИИ, подтверждённый уровень зрелости становится конкурентным преимуществом на ближайших конкурсах — а скоро, вероятно, и входным условием.
Что входит в услугу
01
Определение области оценки
Из 21 направления методики исключаем неприменимые для вашей инфраструктуры — обоснованно, с фиксацией причин.
02
Сбор исходных данных
По перечню методики: политики, регламенты, планы, отчёты, данные средств защиты и мониторинга, интервью с работниками (п. 19, 23). Помогаем закрыть пробелы до начала расчёта — непредставленные данные обнуляют направление.
03
Расчёт по 21 направлению × 8 видам требований
Документирование, выполнение, инструменты, квалификация, контроль, обучение, внешний аудит, актуализация. Строго по формуле методики.
04
Отчёт установленного состава
(п. 35) Текущие уровни по направлениям, диаграмма профиля «текущее — целевое», перечень недостигнутых целей с указанием видов требований.
05
План совершенствования
Конкретные мероприятия, сроки, ответственные. Не «повысить зрелость вообще», а что именно закрыть первым, чтобы дойти до целевого уровня кратчайшим путём.
06
Повторная оценка
По договорённости — фиксация динамики, ретроспективное сравнение по правилам методики.
Почему внешняя оценка, а не самооценка
Методика прямо фиксирует: внешняя оценка объективнее внутренней, потому что её результат не зависит от управленческих решений руководителя оцениваемой организации (п. 6).
Объективность по определению
Методика запрещает специалисту оценивать результаты собственной работы (п. 22) — во внутренней оценке это ограничение выполнить труднее всего.
Уровень 4 без неё недостижим
«Верифицируемый» уровень требует максимума по виду «внешний аудит» — то есть регулярных внешних оценок по графику.
Аргумент для заказчика
Отчёт независимого лицензиата ФСТЭК весит больше самодекларации — особенно когда уровень зрелости спрашивают по договору.
Взгляд со стороны находит то, к чему привыкли внутри
Типовые разрывы — контроль «после инцидентов» вместо планового, обучение без программы, регламенты, не доведённые до людей.
Почему «КРЕДО-С»
Лицензия ФСТЭК России на техническую защиту конфиденциальной информации — правовое основание для внешней оценки по п. 6 методики
На рынке ИТ и информационной безопасности с 1993 года
Оценка уровня зрелости — методический документ ФСТЭК: он определяет, как оценивать, и рекомендует целевые уровни. Прямых санкций за отсутствие оценки методика не устанавливает.
Часто задаваемые вопросы
Оценка уровня зрелости обязательна?
Нет. Методика — методический документ ФСТЭК: она определяет, как оценивать, и рекомендует целевые уровни, но прямых санкций за отсутствие оценки не устанавливает. При этом заказчики вправе требовать подтверждённый уровень от подрядчиков в договорах, а ФСТЭК использует результаты оценок для анализа эффективности защиты.
Сколько длится оценка?
Зависит от числа применимых направлений, размера инфраструктуры и готовности исходных данных. Ориентир для организации среднего размера — от двух до шести недель, включая интервью и подготовку отчёта.
Что если уровень окажется ниже целевого?
Это рабочая ситуация, а не приговор: методика для того и построена, чтобы находить разрывы. Вы получите план совершенствования с приоритетами — что закрыть первым и какие виды требований блокируют следующий уровень.
Чем это отличается от аудита соответствия приказу № 117 или № 239?
Аудит соответствия отвечает на вопрос «реализованы ли требуемые меры». Оценка зрелости — «насколько системно выстроены процессы»: документирование, контроль, обучение, актуализация. Эти работы дополняют друг друга; по результатам обеих у вас появляется полная картина.
Мы подрядчик, а не оператор. Нам это зачем?
Пункты 4–5 методики: заказчик устанавливает требования к зрелости подрядной организации в документах, на основании которых оказываются услуги. Подтверждённый уровень — ваш аргумент в конкурсах и переговорах, подготовленный заранее, а не в аврале после запроса заказчика.
Хочу получать новости и полезные материалы на email — необязательно
Условия сотрудничества
Закупки по 44-ФЗ и 223-ФЗПоставки и услуги для государственных и корпоративных заказчиков, участие в конкурсных процедурах.
ЭДО и постоплатаЭлектронный документооборот, закрывающие по этапам работ, отсрочка платежа по договору.
SLA с ответственностью исполнителяСроки, параметры сервиса и зоны ответственности закреплены договором, регулярная отчётность.
Лицензии ФСТЭК России и NDAРаботы по защите информации – легально: опыт с КИИ, ГИС и ИСПДн, соглашение о неразглашении.
ООО «КРЕДО-С» · ИНН 7106014366 · КПП 710601001 · ОГРН 1027100747596 · на рынке с 1993 года · 300034, г. Тула, ул. Демонстрации, 27 · офисы: Тула, Москва
