Как руководитель отдела методологии и экспертизы ИБ SECURITM с 15-летним опытом ИБ в различных сферах деятельности компаний, я вижу, что у специалистов есть два самых сложных вызова.

Первый — в самом начале пути, когда нужно из множества регуляторных требований и разрозненных процессов собрать работающую систему, которая не будет тормозить бизнес, но даст реальную защиту.

Второй — когда все стандарты формально соблюдены. Именно тогда возникает самый правильный вопрос: «А наша система действительно защищает компанию или мы просто красиво закрываем чек-листы для аудиторов?»

Оба сценария сводятся к одной проблеме: формальное соответствие не равно реальной безопасности. Именно на стыке этих вызовов нужен практический инструмент, который превращает методологию из теории в рабочий механизм управления рисками.

Такой инструмент существует.

18 ноября 2025 года вступили в силу изменения в порядок категорирования объектов критической информационной инфраструктуры. Постановление Правительства Российской Федерации №1762 полностью перестраивает подход к определению объектов КИИ, их значимости и последующим обязанностям субъектов. Фактически государство перезапускает весь механизм категорирования: от выявления объектов до контроля соблюдения требований.

Актуальная редакция порядка категорирования объектов критической информационной инфраструктуры уже доступна в сервисе SECURITM. Но нужно отметить, что факт публикации документа — только начало. Компании столкнутся с необходимостью пересматривать методики, документы, процессы мониторинга и всю архитектуру учета объектов КИИ.

Мы разобрались, что именно меняется и как организациям подготовиться к переходу на новую систему.

Постановление №1762 меняет важное

Если раньше категорирование строилось вокруг понятия «критических процессов», которые нужно выявить, описать, оценить и на их основе определить значимость объектов ИТ-инфраструктуры, то теперь этот элемент исключён полностью. В новой редакции нет анализа процессов, значимость больше не исходит из потребностей конкретной компании и не зависит от того, как она структурирует свои сервисы.

Любой, кто работает в корпоративной информационной безопасности, знает, что отчётность отнимает больше времени, чем хотелось бы. Формирование отчётов, согласование данных между подразделениями, бесконечные Excel-файлы, ручное копирование показателей из систем — всё это не только демотивирует специалистов, но и напрямую снижает эффективность ИБ. Пока команда занята сводками для аудиторов и контролёров, реальные риски могут оставаться без внимания.

Я нередко наблюдаю, как крупные организации с развитой ИБ-службой тратят недели на подготовку ежеквартальных отчётов, четверть, а то и треть от всего периода, чтобы закрыть квартал. И речь не только о государственных организациях или финансовых компаниях, работающих по различным нормативным требованиям, таким как 152-ФЗ (и подзаконные НПА) или ГОСТ 57580. Даже коммерческие структуры, не обременённые строгим регулированием, сталкиваются с тем, что любая проверка превращается в проект на полгода. Особенно если речь идет про построение различных систем менеджмента информационной безопасности, или соответствие лучшим практикам.

Данные о системах, уязвимостях, инцидентах и планах устранения собираются вручную из множества источников, а после — проходят цепочку проверок и уточнений.

Этим летом ФСТЭК России ввел в действие новую редакцию «Методики оценки уровня критичности уязвимостей программных, программно-аппаратных средств».
В результате принятия данного документа прекратила свое действие прежняя методика, которая была утверждена ФСТЭК России еще в 2022 году.

ГОСТ Р 57580.1-2017, как и любой другой стандарт на территории Российской Федерации, не является обязательным для применения. Однако Банком России выпущены нормативные акты, устанавливающие необходимость применения ГОСТ Р 57580.1-2017. В статье мы расскажем, как можно автоматизировать и упросить процесс проведения оценки соответствия требованиям ГОСТ Р 57580, используя SECURITM.

Под ГОСТом 57580 подразумевается набор критериев, благодаря которым определяется уровень защиты информации в соответствии с требованиями. 

Проверка на соответствие требованиям ГОСТ 57580 в финансовых организациях основывается на том, насколько организация придерживается мер для защиты данных.

Из значимых особенностей ГОСТ 57580, следует отметить выделение стандартом трех направлений оценки:

Федеральный закон от 23 мая 2025 года № 104-ФЗ внес существенные изменения в Кодекс Российской Федерации об административных правонарушениях (КоАП РФ). Теперь существенно увеличились административные санкции за несоблюдение правил информационной безопасности при использовании информационных технологий и средств защиты информации (СЗИ).

Рассмотрим подробнее нововведения и их последствия для бизнеса и пользователей.