Модель угроз по методике ФСТЭК: как составить

Модель угроз — документ, от которого зависит вся система защиты: какие меры принимать, какие средства защиты покупать и какие функции у них должны быть. Приказ ФСТЭК № 117 прямо говорит, что модель угроз служит исходными данными для выбора мер и средств защиты информации. Ниже — как составить модель угроз по методике ФСТЭК России 2021 года: кому она обязательна, из каких этапов состоит оценка, как описать нарушителя и что должно быть в самом документе.

Для персональных данных модель угроз можно собрать в облачном сервисе 152DOC вместе с остальным комплектом документов по 152-ФЗ — подробнее в карточке 152DOC для 1С.

Что такое модель угроз и по какой методике её составлять

По определению методики модель угроз — это описание системы или сети и актуальных для неё угроз безопасности информации. Актуальная угроза — та, которую реально можно реализовать при заданной архитектуре системы и условиях её работы.

Составляют модель по «Методике оценки угроз безопасности информации», утверждённой ФСТЭК России 5 февраля 2021 года. С её выходом перестали применяться две прежние методики: определения актуальных угроз персональным данным 2008 года и определения угроз в ключевых системах информационной инфраструктуры 2007 года. Модели угроз, утверждённые до 2021 года, продолжают действовать, но при развитии или модернизации системы их переделывают по новой методике.

Методика не охватывает угрозы, связанные с нарушением безопасности криптографических средств, и технические каналы утечки информации. Для шифровальных средств действуют требования ФСБ — о них в статье о СКЗИ и классах КС1–КА.

Кому модель угроз обязательна

Методика применяется к государственным и муниципальным информационным системам, информационным системам персональных данных, значимым объектам КИИ, системам управления производством в оборонно-промышленном комплексе и АСУ ТП на критически важных и потенциально опасных объектах. В остальных случаях решение о её применении принимает обладатель информации или оператор.

• ГИС. Приказ ФСТЭК № 117 требует определять актуальные угрозы при создании системы и разрабатывать модель угроз в случаях, установленных требованиями к порядку создания ГИС (постановление Правительства № 676). Для систем госорганов и организаций, которые ГИС не являются, решение о модели угроз принимает руководитель оператора. От модели угроз зависит и класс защищённости ГИС: класс определяет базовый набор мер, а модель — какие меры и средства нужны именно вашей системе.
• Персональные данные. Постановление Правительства № 1119 требует, чтобы система защиты персональных данных нейтрализовала актуальные угрозы, а тип актуальных угроз определял сам оператор.
• Значимые объекты КИИ. Методика прямо распространяется на них; какие средства защиты нужны значимому объекту — в статье о средствах защиты КИИ, о категорировании — о законе № 187-ФЗ.

Как составить модель угроз: три этапа методики ФСТЭК

Оценка угроз по методике идёт в три этапа.

1. Негативные последствия. Сначала определяют, что плохого может случиться с организацией, гражданами или государством: нарушение прав граждан, ущерб обороне, безопасности или экономике государства, финансовые, производственные и репутационные риски для самого оператора. Методика приводит примеры: для оператора персональных данных — утечка этих данных, для оператора по переводу денег — их хищение.
2. Объекты воздействия. Затем по документации и инвентаризации системы находят, на что может воздействовать нарушитель: данные, серверы и рабочие места, системное и прикладное ПО, носители информации, сетевое оборудование, сами средства защиты, пользователей и обеспечивающие системы. Для каждого объекта записывают вид воздействия — утечка, несанкционированный доступ, отказ в обслуживании, подмена данных, использование ресурсов не по назначению, нарушение работоспособности.
3. Возможность реализации угроз и их актуальность. На последнем этапе определяют нарушителей, способы реализации угроз и сценарии атак — и по ним решают, какие угрозы актуальны.

Исходные данные — банк данных угроз ФСТЭК России (bdu.fstec.ru), описания шаблонов атак из открытых баз (CAPEC, ATT&CK, OWASP и других), техническое задание и документация на систему, описание бизнес-процессов и результаты оценки рисков, если она проводилась. Если система работает в ЦОДе или облаке, угрозы оценивают вместе с поставщиком услуг; не дал поставщик своей оценки — его инфраструктуру считают скомпрометированной нарушителем с максимальными возможностями.

Модель нарушителя: виды, категории и уровни Н1–Н4

Отдельного документа «модель нарушителя» методика 2021 года не вводит: нарушитель описывается внутри модели угроз, в разделе об источниках угроз. Методика перечисляет основные виды нарушителей — от спецслужб иностранных государств и преступных групп до конкурентов, подрядчиков, поставщиков услуг, собственных пользователей, администраторов и уволенных сотрудников. Нарушитель признаётся актуальным, если его возможные цели ведут к последствиям, определённым на первом этапе.

Нарушителей делят на внешних — без прав доступа в контролируемую зону и (или) без полномочий доступа к ресурсам системы, требующим авторизации, — и внутренних, у которых есть доступ в контролируемую зону и (или) полномочия автоматизированного доступа к системе. Внутренние могут действовать и непреднамеренно: например, администратор ошибся в конфигурации веб-сервера. По возможностям нарушителей делят на четыре уровня:

Методика требует исходить из повышенной мотивации нарушителей. Спецслужбы и террористические группировки могут привлечь внутреннего нарушителя, в том числе администратора, — тогда их возможности складываются.

Когда угроза актуальна: способы реализации и сценарии

Угроза возможна, когда сходятся четыре элемента: нарушитель, объект воздействия, способ реализации и негативное последствие. Основные способы методика перечисляет сама: использование уязвимостей, внедрение вредоносного ПО, недекларированные возможности и закладки, скрытые каналы, нарушения при поставке ПО и оборудования и ошибочные действия при создании и эксплуатации системы. Способ актуален, если возможности нарушителя позволяют его применить и у него есть доступ к нужному интерфейсу — сетевому, пользовательскому, административному, к порту для флешек или к оборудованию, которое уехало в ремонт.

Решающий критерий — сценарий: последовательность тактик и техник атаки. Перечень тактик и типовых техник дан в приложении 11 к методике. Если для угрозы найден хотя бы один сценарий, она признаётся актуальной и включается в модель. При создании системы нужен хотя бы один сценарий для каждого способа реализации угрозы и каждого актуального нарушителя. При эксплуатации сценариев строят много — по реальной инвентаризации — и по ним проверяют, работают ли принятые меры и средства защиты.

Структура документа «Модель угроз»

В приложении 3 методика даёт рекомендуемую структуру модели угроз. Документ утверждает руководитель организации или иное уполномоченное лицо.

К модели можно приложить схемы архитектуры, объектов воздействия, интерфейсов и сценариев. Вести модель методика разрешает и в электронном виде.

Модель угроз для ИСПДн: типы угроз по постановлению № 1119

Для информационных систем персональных данных методика дополняется постановлением Правительства № 1119. Оно делит актуальные угрозы на три типа по тому, где могут быть недокументированные (недекларированные) возможности:

Тип угроз оператор определяет сам, с учётом оценки возможного вреда. Вместе с категорией данных — специальные, биометрические, общедоступные или иные, — числом субъектов и тем, только ли сотрудников оператора касаются данные, тип угроз задаёт уровень защищённости персональных данных: от первого, самого строгого, до четвёртого. Уровень защищённости, в свою очередь, определяет состав обязательных мер.

Компании, которой нужна модель угроз для обычной ИСПДн — кадров, бухгалтерии, клиентской базы, — удобно собрать её вместе с остальными документами по 152-ФЗ. В облачном сервисе 152DOC модель угроз для ИСПДн формируется рядом с комплектом организационно-распорядительных документов, документами по СКЗИ, согласиями и уведомлением в Роскомнадзор. Годовая лицензия «Расширенный» стоит 30 000 ₽; в тарифе «Эксперт» первичное заполнение документов делают специалисты сервиса.

Кто разрабатывает модель угроз и когда её обновлять

Оценку угроз проводит подразделение по защите информации оператора или назначенные ответственные специалисты — вместе с ИТ-службой, связистами и профильными подразделениями. По решению оператора можно привлечь специалистов сторонней организации. Метод оценки — экспертный: в экспертную группу должны входить не менее трёх экспертов. Организовать её работу методика рекомендует специалисту по защите информации со стажем от трёх лет и опытом оценки информационных рисков, а формировать группу из участников, находящихся в прямом подчинении, не рекомендует.

Модель угроз — не разовый документ. Методика требует держать её актуальной и пересматривать, когда:

• меняются нормативные акты или методические документы ФСТЭК об оценке угроз;
• меняются архитектура системы, условия её работы, режим обработки или правовой режим информации;
• анализ уязвимостей, тестирование на проникновение или аудит выявили новые угрозы или сценарии;
• в банк данных угроз ФСТЭК добавлены новые угрозы и техники их реализации.

Методический документ ФСТЭК от 12 апреля 2026 года о составе и содержании мер защиты информации в информационных системах описывает и работу с угрозами на этапе эксплуатации: анализ актуального состава и настроек системы, поиск признаков актуальных угроз, их приоритизацию по последствиям, оповещение подразделений и решение о мерах.

Чем закрыть выводы модели угроз

Выводы модели угроз — исходные данные для выбора мер и средств защиты, и здесь нужны инструменты двух типов.

Инвентаризация и анализ уязвимостей. Для эксплуатируемой системы методика требует определять объекты воздействия и интерфейсы по результатам инвентаризации автоматизированными средствами, а анализ уязвимостей и тестирование на проникновение называет источниками исходных данных. Как их проводят по методикам ФСТЭК — в статье «Анализ защищённости и пентест по методикам ФСТЭК». Эту работу закрывают сертифицированные сканеры: RedCheck и Сканер-ВС 7 проводят инвентаризацию и ищут уязвимости, а Сканер-ВС 7 сверяется в том числе с банком данных угроз ФСТЭК. Сравнение сканеров по лицензиям и сертификатам — в статье «Сканеры уязвимостей XSpider, RedCheck, Сканер-ВС», процесс устранения — в статье «Управление уязвимостями по ФСТЭК».

Средства защиты под актуальные угрозы. Для внутреннего нарушителя с доступом к рабочим местам — средства защиты от несанкционированного доступа, о них статья «СЗИ от НСД». Какой сертификат нужен средству защиты, разобрано в статье о сертификатах ФСТЭК и ФСБ.

Стартовая позиция для документов по персональным данным — годовая лицензия 152DOC «Расширенный»:

Рекомендуем в статье Лицензия на ПО "152DOC" по тарифу 152DOC для 1С "Расширенный" на 1 год

1C152DOC_ADV

30 000 ₽ НДС не облагается (ст. 149 НК РФ) — позиция в реестре российского ПО

Расчёт PDF В корзину В корзине Подробнее →

Оформляем покупку на юрлицо: счёт, договор и закрывающие документы. Поможем подобрать сканер и средства защиты под выводы вашей модели угроз и собрать документы для закупки.

Частые вопросы