Закон требует не только применить меры защиты, но и подтвердить их эффективность. Оценку проводят до ввода информационной системы в эксплуатацию, после существенных изменений, а для государственных систем и значимых объектов критической инфраструктуры – в формах, установленных регуляторами. Результат нужен, чтобы подтвердить соответствие проверяющим органам, заказчикам и страховщикам.

• Определить применимые требования и форму оценки соответствия для системы: аттестация, приемочные испытания или иная форма.
• Собрать документы: техническое задание, проект, модель угроз, акт классификации, эксплуатационную документацию, сведения о сертификатах средств защиты.
• Проверить соответствие документации требованиям и фактическому состоянию системы.
• Провести испытания: проверка настроек и работы мер защиты, анализ уязвимостей, проверка разграничения доступа и журналирования.
• Зафиксировать результаты в протоколах и заключении; выявленные недостатки передать на устранение.
• После устранения недостатков повторить проверку и оформить итоговый документ о соответствии.

Протоколы испытаний, заключение об оценке соответствия (по результатам аттестации – аттестат соответствия), перечень устраненных недостатков, обновленная документация системы защиты.

Оценку проводит организация, независимая от разработчика защиты; при аттестации орган по аттестации должен иметь лицензию ФСТЭК. Заказчик предоставляет доступ к системе и документам, ИТ-служба помогает с испытаниями и устраняет недостатки. Для ИСПДн возможна самостоятельная оценка силами оператора или с привлечением организации.

• Убедиться, что исполнитель независим от разработчика защиты и имеет нужную лицензию, если ее требует форма оценки.
• Уточнить форму оценки по применимым требованиям, а не выбирать самую дорогую по умолчанию.
• Запросить программу и методики испытаний до начала работ.
• Выделить время администраторов для испытаний и подготовить документацию заранее.
• Согласовать сроки и порядок повторной проверки после устранения недостатков.