Образец отчёта об оценке уровня зрелости деятельности по защите информации

Что должно быть в документе

• наименование оператора, дату оценки и методический документ, по которому она проводилась;
• область оценки: какие направления оценивались, а какие исключены и почему (пункт 13 методики);
• состав лиц, проводивших оценку (подпункт «в» пункта 35), и лиц, предоставивших исходные данные (подпункт «г»);
• перечень исходных данных, на основании которых проводилась оценка (пункт 19);
• оценки по каждому направлению и достигнутый уровень зрелости по каждому из них;
• общий уровень зрелости и его сопоставление с целевым (пункт 11 методики);
• профиль зрелости — диаграмму по направлениям, в том числе в сравнении с предыдущей оценкой (подпункт «д»);
• направления, не достигшие целевого уровня, и меры по их развитию;
• гриф утверждения руководителем: отчёт по зрелости во ФСТЭК России не направляется.

Как оформить

1. Определите целевой уровень: методика связывает его с классом системы, уровнем защищённости ИСПДн и категорией значимости объекта КИИ (пункт 11).
2. Определите область оценки: исключите неприменимые направления с обоснованием — непредставление документов исключением не является.
3. Оцените каждое направление по восьми видам требований.
4. Посчитайте уровни направлений и общий уровень зрелости.
5. Оформите отчёт по составу пункта 35 и утвердите его у руководителя.
6. Повторяйте оценку не реже одного раза в два года, а при существенных изменениях деятельности — раньше.

Частые вопросы