Сопоставление паттернов NIST cybersecurity framework и требований 31 приказа ФСТЭК: матрица соответствия и методика интеграции

Предметом исследования выступают два наиболее значимых документа в сфере информационной безопасности: международный стандарт NIST Cybersecurity Framework версии 2.0 и российский нормативный акт — приказ ФСТЭК № 31. Предметом исследования являются концептуальные и структурные взаимосвязи между функциями NIST CSF и группами мер защиты информации, установленными 31 приказом. Методологическую основу составили сравнительный анализ оригинальных текстов документов, сопоставительные таблицы Positive Technologies, а также методология архитектурного проектирования TOGAF. В результате исследования разработана матрица соответствия, сопоставляющая 17 групп мер 31 приказа с шестью функциями ядра NIST CSF 2.0. Выявлено, что покрытие функций CSF мерами приказа варьируется от 40−60% для класса К3 до 95−100% для класса К1, при этом функция Govern не имеет прямого аналога в российском документе. Предложена методика гэп-анализа, позволяющая организациям выявлять недостающие меры защиты при интеграции двух подходов. Сформулированы практические рекомендации по приоритезации защитных мер на основе риск-ориентированного подхода. Результаты могут быть использованы при проектировании архитектуры информационной безопасности организаций, работающих с объектами критической информационной инфраструктуры и государственными информационными системами.