Расчёт показателя защищённости Кзи по методике ФСТЭК от 11.11.2025

1. Методика 2024 vs Методика 2025: ключевые отличия#

  graph TB
    subgraph "Методика 2024"
        O1["3 группы показателей<br/>в Защите ИС"]
        O2["Показатель k₃₄:<br/>учёт устройств"]
        O3["Результаты —<br/>по запросу ФСТЭК"]
    end
    
    subgraph "Методика 2025 (от 11.11.2025)"
        N1["Изменения в группе 3:<br/>убран k₃₄"]
        N2["Добавлены штрафные санкции:<br/>обнуление групп при пентесте"]
        N3["Результаты —<br/>обязательно раз в полгода"]
        N4["Приложение 1:<br/>список подтверждающих документов"]
    end
    
    O1 --> N1
    O2 --> N2
    O3 --> N3
    
    style O3 fill:#f57f17,color:#fff
    style N3 fill:#c62828,color:#fff
    style N2 fill:#c62828,color:#fff
    style N4 fill:#2e7d32,color:#fff

2. Структура показателя Кзи#

Показатель Кзи складывается из 4 групп с разными весовыми коэффициентами.

  graph LR
    subgraph "Формула Кзи"
        KZI["<b>Kзи</b>"]
    end
    
    subgraph "Группа 1 (R₁ = 0.10)"
        G1_k11["k₁₁: Заместитель по ИБ<br/>(0.30)"]
        G1_k12["k₁₂: Подразделение ИБ<br/>(0.40)"]
        G1_k13["k₁₃: Подрядчики<br/>(0.30)"]
    end
    
    subgraph "Группа 2 (R₂ = 0.25)"
        G2_k21["k₂₁: Парольная политика<br/>(0.30)"]
        G2_k22["k₂₂: MFA<br/>(0.30)"]
        G2_k23["k₂₃: Сервисные УЗ<br/>(0.20)"]
        G2_k24["k₂₄: Бывшие сотрудники<br/>(0.20)"]
    end
    
    subgraph "Группа 3 (R₃ = 0.35)"
        G3_k31["k₃₁: МЭ на периметре<br/>(0.20)"]
        G3_k32["k₃₂: Крит. уязвимости<br/>внешние (0.25)"]
        G3_k33["k₃₃: Крит. уязвимости<br/>внутренние (0.15)"]
        G3_k34["k₃₄: Почтовые вложения<br/>(0.15)"]
        G3_k35["k₃₅: Антивирус<br/>(0.15)"]
        G3_k36["k₃₆: Защита от DDoS<br/>(0.10)"]
    end
    
    subgraph "Группа 4 (R₄ = 0.30)"
        G4_k41["k₄₁: SIEM и оповещения<br/>(0.40)"]
        G4_k42["k₄₂: Сбор событий<br/>(0.35)"]
        G4_k43["k₄₃: Регламент инцидентов<br/>(0.25)"]
    end
    
    KZI --> G1_k11
    KZI --> G2_k21
    KZI --> G3_k31
    KZI --> G4_k41
    
    style G3_k31 fill:#c62828,color:#fff
    style G4_k41 fill:#c62828,color:#fff

Весовые коэффициенты групп#

Самые высокие веса у групп R₂ (пользователи) и R₃ (защита ИС). Проблемы с паролями или неустранённые уязвимости сильнее всего «роняют» итоговый показатель.

3. Пошаговый расчёт Кзи#

3.1. Группа 1: Организация и управление (R₁ = 0.10)#

  graph LR
    subgraph "Группа 1: Организация и управление"
        K11["k₁₁ = 0.30<br/>Назначен ли заместитель<br/>руководителя по ИБ?"]
        K12["k₁₂ = 0.40<br/>Создано ли структурное<br/>подразделение ИБ?"]
        K13["k₁₃ = 0.30<br/>Прописаны ли требования<br/>в договорах с подрядчиками?"]
    end
    
    K11 -->|"Да"| K11_YES["+0.30"]
    K12 -->|"Да"| K12_YES["+0.40"]
    K13 -->|"Да"| K13_YES["+0.30"]
    
    K11 -->|"Нет"| K11_NO["0"]
    K12 -->|"Нет"| K12_NO["0"]
    K13 -->|"Нет"| K13_NO["0"]
    
    style K11_YES fill:#2e7d32,color:#fff
    style K12_YES fill:#2e7d32,color:#fff
    style K13_YES fill:#2e7d32,color:#fff
    style K11_NO fill:#c62828,color:#fff
    style K12_NO fill:#c62828,color:#fff
    style K13_NO fill:#c62828,color:#fff

Подтверждающие документы:

• Приказ о назначении заместителя руководителя по ИБ.
• Положение о структурном подразделении ИБ.
• Типовой договор с подрядчиком с условиями по защите информации.

Пример расчёта:

Если все условия выполнены: (0.30 + 0.40 + 0.30) × 0.10 = 0.10 из 0.10 возможных.

3.2. Группа 2: Защита пользователей (R₂ = 0.25)#

  graph TB
    subgraph "Группа 2: Защита пользователей"
        K21["k₂₁ = 0.30<br/>Парольная политика:<br/>12 символов, буквы обоих<br/>регистров, спецсимволы"]
        K22["k₂₂ = 0.30<br/>MFA для привилегированных<br/>пользователей (≥50%)"]
        K23["k₂₃ = 0.20<br/>Отсутствие сервисных УЗ<br/>с паролями по умолчанию"]
        K24["k₂₄ = 0.20<br/>Отсутствие активных УЗ<br/>уволенных сотрудников"]
    end
    
    subgraph "Штрафные санкции"
        PENALTY["⚠️ Если в ходе учений получен<br/>доступ к данным через УЗ:<br/><b>R₂ = 0 (обнуление всей группы!)</b>"]
    end
    
    K21 --> PENALTY
    K22 --> PENALTY
    
    style PENALTY fill:#c62828,color:#fff

Подтверждающие документы:

• Приказ об утверждении парольной политики.
• Снимок экрана с настройками парольной политики в AD/ОС.
• Отчёт сканера безопасности (MaxPatrol, RedCheck) о соответствии паролей требованиям.
• Снимки экрана с настройками MFA.

3.3. Группа 3: Защита информационных систем (R₃ = 0.35)#

  graph TB
    subgraph "Группа 3: Защита ИС"
        K31["k₃₁ = 0.20<br/>Межсетевые экраны L3/L4<br/>на всех интерфейсах<br/>доступных из Интернета"]
        K32["k₃₂ = 0.25<br/>Отсутствие критических<br/>уязвимостей на внешних<br/>интерфейсах >30 дней"]
        K33["k₃₃ = 0.15<br/>Отсутствие критических<br/>уязвимостей внутри >90 дней<br/>(≥90% устройств)"]
        K34["k₃₄ = 0.15<br/>Проверка почтовых вложений<br/>на ≥80% устройств"]
        K35["k₃₅ = 0.15<br/>Централизованный антивирус<br/>на ≥80% устройств"]
        K36["k₃₆ = 0.10<br/>Защита от DDoS L3/L4<br/>(договор с провайдером)"]
    end
    
    subgraph "Сроки критических уязвимостей"
        K32 -->|"Внешние"| EXT["⏰ Более 30 дней → k₃₂ = 0"]
        K33 -->|"Внутренние"| INT["⏰ Более 90 дней → k₃₃ = 0"]
    end
    
    subgraph "Штрафные санкции"
        PENALTY3["⚠️ Доступ через уязвимости ПО<br/>на пентесте:<br/><b>R₃ = 0 (обнуление всей группы!)</b>"]
    end
    
    K32 --> PENALTY3
    K33 --> PENALTY3
    
    style EXT fill:#c62828,color:#fff
    style INT fill:#e65100,color:#fff
    style PENALTY3 fill:#c62828,color:#fff

3.4. Группа 4: Мониторинг и реагирование (R₄ = 0.30)#

  graph TB
    subgraph "Группа 4: Мониторинг и реагирование"
        K41["k₄₁ = 0.40<br/>Централизованный сбор событий<br/>с оповещением о неудачных<br/>попытках входа для привилег. УЗ"]
        K42["k₄₂ = 0.35<br/>Сбор и анализ событий<br/>на всех устройствах,<br/>доступных из Интернета"]
        K43["k₄₃ = 0.25<br/>Утверждённый документ<br/>о порядке реагирования<br/>на компьютерные инциденты"]
    end
    
    K41 --> SIEM["Развёрнут SIEM<br/>+ настроены оповещения"]
    K42 --> LOGS["Настроен сбор логов<br/>с Интернет-шлюзов"]
    K43 --> REG["Регламент реагирования<br/>на инциденты"]
    
    style SIEM fill:#1a237e,color:#fff
    style LOGS fill:#283593,color:#fff
    style REG fill:#3949ab,color:#fff

Пример расчёта группы 4:

Если все условия выполнены: (0.40 + 0.35 + 0.25) × 0.30 = 0.30 из 0.30 возможных.

4. Интерпретация результатов#

  graph TB
    subgraph "Шкала оценки Кзи (Таблица 2)"
        GREEN["🟢 Зелёный<br/>Кзи = 1<br/>Минимальный уровень<br/>защищённости обеспечен"]
        ORANGE["🟠 Оранжевый<br/>0.75 < Кзи < 1<br/>Предпосылки для<br/>реализации угроз"]
        RED["🔴 Красный<br/>Кзи ≤ 0.75<br/>Реальная возможность<br/>реализации угроз"]
    end
    
    GREEN -->|"Поддерживать"| PLAN_G["Плановая оценка<br/>раз в 6 месяцев"]
    ORANGE -->|"Исправлять"| PLAN_O["Разработать План<br/>мероприятий на 6 месяцев"]
    RED -->|"Срочно исправлять"| PLAN_R["Немедленный План<br/>мероприятий + уведомление<br/>руководителя (3 дня)"]
    
    style GREEN fill:#2e7d32,color:#fff
    style ORANGE fill:#f57f17,color:#fff
    style RED fill:#c62828,color:#fff

Что делать, если уровень не «зелёный» (п. 37 Методики)#

1. Разработать План мероприятий по достижению следующего уровня.
2. Срок реализации — не более 6 месяцев (до следующей плановой оценки).
3. Определить приоритетность мер на основе значений частных показателей.
4. Если Кзи ≤ 0.75 — проинформировать руководителя в течение 3 дней.

5. Подтверждающие документы (Приложение № 1)#

Приложение № 1 к Методике 2025 года впервые вводит перечень обязательных документов. Часть документов направляется вместе с результатами, часть — только по запросу ФСТЭК.

  graph TB
    subgraph "Документы, направляемые с результатами оценки"
        D1["Приказы о назначении<br/>заместителя и создании<br/>подразделения ИБ"]
        D2["Снимки экрана с настройками<br/>парольной политики и MFA"]
        D3["Отчёты сканеров<br/>безопасности"]
        D4["Снимки настроек SIEM<br/>и оповещений"]
    end
    
    subgraph "Документы, предоставляемые по запросу ФСТЭК"
        D5["Договоры с подрядчиками<br/>с условиями по ИБ"]
        D6["Регламент реагирования<br/>на инциденты"]
        D7["Планы мероприятий<br/>по устранению недостатков"]
    end
    
    style D1 fill:#2e7d32,color:#fff
    style D2 fill:#2e7d32,color:#fff
    style D3 fill:#2e7d32,color:#fff
    style D4 fill:#2e7d32,color:#fff

6. Периодичность и отправка результатов#

  graph LR
    subgraph "Цикл оценки Кзи"
        C1["Плановая оценка<br/>⏰ Раз в 6 месяцев"]
        C2["Внеочередная оценка<br/>⚠️ Инцидент / изменение<br/>архитектуры / запрос"]
        C3["Отправка во ФСТЭК<br/>📤 Обязательно<br/>в течение 5 рабочих дней"]
        C4["Хранение документов<br/>📁 30 дней на ответ<br/>по запросу ФСТЭК"]
    end
    
    C1 --> C3
    C2 --> C3
    C3 --> C4
    
    style C1 fill:#1a237e,color:#fff
    style C2 fill:#e65100,color:#fff
    style C3 fill:#c62828,color:#fff

7. Практическое задание: рассчитайте Кзи для своей организации#

Как «Стратегия Ра» помогает с расчётом Кзи#

Мы выполняем полный цикл работ по оценке защищённости:

• Сбор исходных данных. Проводим инвентаризацию приказов, должностных инструкций, настроек систем.
• Инструментальная проверка. Запускаем сканеры безопасности для проверки паролей, уязвимостей и конфигураций (группы 2–3).
• Расчёт Кзи. Заполняем таблицу по 16 показателям, рассчитываем итоговое значение, определяем уровень.
• Подготовка отчётности. Формируем комплект подтверждающих документов по Приложению № 1, готовим План мероприятий.
• Отправка во ФСТЭК. Сопровождаем отправку результатов и ответы на запросы регулятора.

Материал подготовлен на основе лекций и практических кейсов Игоря Краева, генерального директора ООО «Стратегия Ра», апрель 2026 г.