Модель угроз ИСПДн: пошаговое составление по методике ФСТЭК 2021

Любая организация, обрабатывающая персональные данные, обязана определить актуальные угрозы безопасности для своей ИСПДн и задокументировать их в модели угроз. Этот документ — не формальность для проверки Роскомнадзора, а фундамент, на котором строится вся система защиты персональных данных: от выбора уровня защищённости до конкретных технических и организационных мер.

В статье разберём, как составить модель угроз ИСПДн по актуальной методике ФСТЭК 2021 года — от определения нормативной базы до конкретного примера с перечнем угроз. Покажем матрицу уровней защищённости, типичные ошибки и возможности автоматизации через платформу КиберОснова.

Зачем нужна модель угроз ИСПДн

Требования законодательства

Обязанность разработки модели угроз для ИСПДн установлена тремя ключевыми нормативными актами:

• 152-ФЗ «О персональных данных» (ч. 2 ст. 19) — оператор обязан определить угрозы безопасности ПДн, актуальные при обработке в информационных системах.
• Постановление Правительства РФ № 1119 (01.11.2012) — устанавливает требования к защите ПДн и определяет, что тип актуальных угроз определяет уровень защищённости ИСПДн.
• Приказ ФСТЭК России № 21 (18.02.2013) — устанавливает состав и содержание мер по обеспечению безопасности ПДн, выбираемых на основании определённых оператором актуальных угроз.

Без модели угроз оператор не может обоснованно выбрать уровень защищённости, а значит — не может корректно реализовать требования по защите персональных данных.

Практическая ценность

Помимо выполнения регуляторных требований, модель угроз решает практические задачи:

• Обоснование бюджета. Перечень актуальных угроз и сценариев атак — аргумент для руководства при выделении средств на ИБ.
• Выбор мер защиты. Приказ ФСТЭК № 21 содержит базовый набор мер для каждого уровня защищённости, но их адаптация невозможна без понимания реальных угроз.
• Реагирование на инциденты. Модель угроз описывает вероятные сценарии атак — это основа для разработки планов реагирования.
• Аудит и проверки. Модель угроз — один из первых документов, запрашиваемых при проверках ФСТЭК и Роскомнадзора.

Нормативная база для составления модели угроз

Методика ФСТЭК 2021

Основной методический документ — Методика оценки угроз безопасности информации, утверждённая ФСТЭК России 5 февраля 2021 года. Методика заменила устаревшие документы 2008 года и установила единый подход к моделированию угроз для всех типов систем: ГИС, ИСПДн, КИИ и АСУ ТП.

Ключевые принципы методики:

1. Сценарный подход — угрозы описываются через цепочки тактик и техник нарушителей, а не просто перечисляются.
2. Привязка к негативным последствиям — каждая угроза оценивается через призму реального ущерба.
3. Классификация нарушителей — четыре уровня возможностей (Н1--Н4) вместо упрощённой схемы.
4. Использование БДУ ФСТЭК — Банк данных угроз (bdu.fstec.ru) как основной каталог угроз и уязвимостей.

Постановление Правительства № 1119

ПП 1119 определяет классификацию ИСПДн и правила определения уровня защищённости. Для модели угроз ИСПДн этот документ критичен, поскольку устанавливает связь между типом угроз и уровнем защищённости — параметром, от которого зависит весь набор обязательных мер.

БДУ ФСТЭК

Банк данных угроз ФСТЭК (bdu.fstec.ru) содержит 227 угроз безопасности информации (УБИ) и свыше 85 000 уязвимостей. При составлении модели угроз ИСПДн необходимо проанализировать каталог БДУ и определить, какие УБИ применимы к конкретной системе. Работа с БДУ ФСТЭК вручную занимает значительное время — автоматизация этого процесса через SGRC-платформу сокращает трудозатраты в несколько раз.

Описание ИСПДн: что определить перед моделированием

Прежде чем приступать к моделированию угроз, необходимо формализовать описание информационной системы. Без точного описания ИСПДн невозможно корректно определить объекты воздействия, применимые тактики и категории нарушителей.

Категории персональных данных

ПП 1119 выделяет четыре категории ПДн, влияющих на уровень защищённости:

• Специальные — расовая принадлежность, политические взгляды, состояние здоровья, судимости, биометрические данные в сочетании с иными.
• Биометрические — физиологические и биологические характеристики для идентификации личности (отпечатки пальцев, изображение лица, сетчатка глаза).
• Иные — все ПДн, не относящиеся к специальным и биометрическим (ФИО, дата рождения, адрес, должность, зарплата, ИНН, СНИЛС).
• Общедоступные — данные, на распространение которых субъект дал согласие (например, в публичном реестре).

Объём обрабатываемых данных

Второй ключевой параметр — количество субъектов ПДн: до 100 000 или более 100 000. Также учитывается, являются ли субъекты сотрудниками оператора — для ИСПДн, обрабатывающих данные только собственных сотрудников, действуют смягчённые требования.

Архитектура и границы системы

В описании ИСПДн фиксируются:

• серверы, АРМ, мобильные устройства, их расположение;
• сетевая архитектура, сегментация, каналы связи (LAN, VPN, интернет);
• прикладное и системное ПО (ОС, СУБД, веб-приложения);
• средства защиты информации (межсетевые экраны, антивирусы, СКЗИ, СОВ);
• взаимодействие с внешними системами (госуслуги, банки, контрагенты);
• точки доступа — физические и логические границы ИСПДн.

Пошаговое составление модели угроз по методике ФСТЭК

Методика ФСТЭК 2021 определяет последовательность из пяти основных шагов. Каждый шаг опирается на результаты предыдущего.

Шаг 1. Определение негативных последствий

Определите конкретные последствия от реализации угроз безопасности ПДн:

• Ущерб субъектам ПДн — утечка паспортных данных, финансовые потери граждан, нарушение прав и свобод.
• Ущерб оператору — штрафы по ст. 13.11 КоАП (до 18 млн рублей), репутационный ущерб, приостановка обработки ПДн по решению Роскомнадзора.
• Нарушение бизнес-процессов — невозможность начислять зарплату, формировать отчётность, обрабатывать обращения.

Ошибка на этом этапе — использование абстрактных формулировок вроде «нарушение конфиденциальности». Правильный подход — описать последствия в терминах бизнеса и конкретного ущерба.

Шаг 2. Определение нарушителей и их возможностей

Для ИСПДн определяются актуальные категории нарушителей. Типичные нарушители для коммерческой ИСПДн:

Внешние нарушители:

• преступные группы (мотивация: продажа ПДн, вымогательство) — уровень Н2;
• отдельные хакеры (мотивация: корысть, самоутверждение) — уровень Н1--Н2;
• бывшие сотрудники (мотивация: месть, конкурентная разведка) — уровень Н1.

Внутренние нарушители:

• пользователи ИСПДн с легитимным доступом (кадровики, бухгалтерия) — уровень Н1;
• ИТ-администраторы с привилегированным доступом — уровень Н2.

Для типовой коммерческой ИСПДн нарушители уровней Н3--Н4 (APT-группы, спецслужбы иностранных государств) обычно неактуальны — ценность обрабатываемых ПДн не представляет для них интереса.

Шаг 3. Определение способов реализации угроз

На основании уровня нарушителей определяются тактики и техники, доступные для атаки на ИСПДн. Например, для нарушителя Н1--Н2 актуальны: целевой фишинг, эксплуатация известных уязвимостей, подбор паролей, использование вредоносного ПО, несанкционированное копирование данных на съёмные носители.

Шаг 4. Построение сценариев атак

Каждая актуальная угроза описывается через сценарий — цепочку тактик и техник. Например: сбор информации о сотрудниках через социальные сети, целевой фишинг с вредоносным вложением, внедрение RAT, повышение привилегий, доступ к серверу СУБД, выгрузка базы ПДн.

Шаг 5. Определение актуальных угроз

Угроза признаётся актуальной, если одновременно существуют: нарушитель с достаточными возможностями, объект воздействия, реализуемый способ атаки и негативные последствия. Из каталога БДУ ФСТЭК выбираются УБИ, удовлетворяющие всем четырём условиям. Для каждой актуальной угрозы формируется обоснование, для неактуальной — обоснование исключения.

Типы угроз и уровни защищённости ПДн

Три типа угроз по ПП 1119

Постановление Правительства № 1119 классифицирует угрозы ИСПДн по связи с недекларированными возможностями (НДВ) программного обеспечения:

• Угрозы 1 типа — связаны с наличием НДВ в системном ПО (операционные системы, СУБД, системные утилиты). Актуальны при нарушителях уровня Н3--Н4, способных внедрять закладки в ОС и СУБД.
• Угрозы 2 типа — связаны с наличием НДВ в прикладном ПО (кадровые системы, ERP, CRM, веб-приложения). Актуальны при нарушителях уровня Н2--Н3.
• Угрозы 3 типа — не связаны с НДВ в ПО. Типичные угрозы: сетевые атаки, фишинг, подбор паролей, несанкционированный физический доступ. Актуальны для нарушителей Н1--Н2.

Для абсолютного большинства коммерческих ИСПДн актуальны угрозы 3 типа: организации используют широко распространённое или сертифицированное ПО, а нарушители уровней Н3--Н4 не являются актуальными для данных систем.

Матрица определения уровня защищённости

Уровень защищённости ПДн определяется по матрице из ПП 1119 на пересечении трёх параметров: тип угроз, категория ПДн и объём данных.

Что означает каждый уровень

• УЗ-1 — максимальная защита. Требуется для ИСПДн со специальными ПДн при угрозах 1 типа. Полный набор мер из приказа ФСТЭК № 21, включая средства обнаружения вторжений, анализ защищённости, контроль потоков информации.
• УЗ-2 — высокий уровень. Добавляются требования по контролю событий безопасности, резервированию, обнаружению инцидентов.
• УЗ-3 — базовый уровень. Стандартный набор мер для большинства ИСПДн с иными и специальными ПДн при угрозах 3 типа.
• УЗ-4 — минимальный уровень. Для ИСПДн с иными или общедоступными ПДн сотрудников оператора при угрозах 3 типа.

Пример модели угроз для типовой ИСПДн

Рассмотрим практический пример — модель угроз для системы кадрового учёта.

Описание системы

ИСПДн «Кадровый учёт» — клиент-серверная система для учёта данных 800 сотрудников.

• Категория ПДн: иные (ФИО, паспортные данные, ИНН, СНИЛС, должность, зарплата, банковские реквизиты).
• Субъекты: сотрудники оператора.
• Тип угроз: 3 (НДВ неактуальны, нарушители Н1--Н2).
• Уровень защищённости: УЗ-4 (по матрице ПП 1119: иные ПДн + сотрудники + тип 3).
• Архитектура: сервер БД (Linux, PostgreSQL) в серверной, веб-интерфейс (nginx + PHP), 20 АРМ пользователей, VPN-канал до филиала.
• Средства защиты: межсетевой экран, антивирус, парольная аутентификация, резервное копирование.

Перечень актуальных угроз

Рекомендуемые меры защиты

На основе перечня актуальных угроз и уровня защищённости УЗ-4 определяются меры по приказу ФСТЭК № 21:

• Идентификация и аутентификация (ИАФ) — многофакторная аутентификация для веб-интерфейса, строгая парольная политика.
• Управление доступом (УПД) — ролевая модель доступа, блокировка USB-портов, ограничение привилегий администратора БД.
• Защита среды виртуализации (ЗСВ) — если применяется виртуализация серверов.
• Антивирусная защита (АВЗ) — централизованное управление, обновление баз.
• Обнаружение вторжений (СОВ) — мониторинг сетевого трафика на периметре.
• Контроль защищённости (АНЗ) — периодическое сканирование уязвимостей.
• Обеспечение целостности (ОЦЛ) — контроль целостности ПО и конфигураций.
• Защита каналов связи — шифрование VPN-канала до филиала сертифицированными СКЗИ.

Пример модели угроз ИСПДн для медицинской организации (ЛПУ)

Медицина — одна из крупнейших категорий операторов ПДн: в России работает более 85 000 лечебно-профилактических учреждений. Каждое из них обрабатывает специальные категории персональных данных — сведения о состоянии здоровья пациентов.

Состав ИСПДн в больнице

Типичная городская больница обрабатывает ПДн в нескольких информационных системах:

• МИС (медицинская информационная система) — электронные медицинские карты, назначения, результаты обследований;
• ЛАБИС (лабораторно-информационная система) — результаты анализов, привязанные к ФИО пациента;
• Система видеонаблюдения — может содержать биометрические ПДн при распознавании лиц;
• ЭПМЗ (электронные паспорта медицинских работников) — кадровые ПДн персонала.

Параметры ИСПДн «МИС»

• Категория ПДн: специальные (сведения о здоровье) — требует усиленной защиты по 152-ФЗ.
• Объём субъектов: более 100 000 пациентов — для крупных городских ЛПУ.
• Уровень защищённости: УЗ-3 при угрозах 3 типа (УЗ-2 или УЗ-1 при наличии угроз 1/2 типа).
• Тип угроз: как правило 3-й — НДВ в ПО неактуальны, нарушители Н1–Н2.

Актуальные угрозы для МИС

Актуальные угрозы определяются по методике ФСТЭК 2021 — каждой угрозе присваивается идентификатор УБИ.xxx из БДУ ФСТЭК.

Специфика медицины: внутренний нарушитель — врач с расширенными правами доступа к МИС — представляет наибольшую угрозу. Пациентские данные имеют коммерческую ценность (страховые компании, конкуренты, частные клиники), что повышает мотивацию к умышленным утечкам.

Типичные ошибки при составлении МУ ИСПДн

Перечисленные ошибки встречаются при проверках ФСТЭК и Роскомнадзора и ведут к отклонению документа или предписаниям:

• Признание всех угроз из БДУ актуальными. Нарушение методики: из 220+ угроз для конкретной ИСПДн актуальны 15–40. Без обоснования отбора инспектор вернёт документ на доработку.
• Отсутствие обоснования для неактуальных угроз. Методика ФСТЭК 2021 требует обосновать каждую исключённую угрозу — почему нарушитель с такими возможностями неактуален или вектор атаки нереализуем в данной архитектуре.
• МУ разработана под одну ИС, применяется ко всем. Каждая ИСПДн требует отдельную модель угроз: МИС, ЛАБИС, кадровая система — три разных документа с разными объектами воздействия и нарушителями.
• Не учтены угрозы от привилегированных пользователей. Классическая ошибка для медицины: врачи и администраторы МИС с расширенными правами — самостоятельная категория внутренних нарушителей Н2.
• МУ не обновляется при изменении инфраструктуры. Подключили новый филиал, перешли на облачную МИС, добавили мобильные устройства — модель угроз устарела. Актуализация обязательна при значимых изменениях ИСПДн.

Автоматизация составления МУ в SGRC

SGRC-платформа КиберОснова хранит реестр угроз из БДУ ФСТЭК, связывает угрозы с активами и категориями нарушителей, автоматически формирует раздел «Актуальность угроз» на основе характеристик конкретной ИС. При добавлении новой ИСПДн — например, отдельной ЛАБИС — платформа предлагает применимые угрозы с предварительной оценкой, а не требует начинать анализ заново.

Автоматизация построения модели угроз

Проблемы ручного подхода

Разработка модели угроз ИСПДн в Word и Excel остаётся распространённой практикой, но сопряжена с типичными проблемами:

• Трудоёмкость анализа БДУ. Ручной перебор 220+ угроз с обоснованием актуальности каждой — 2--5 рабочих дней только на этот этап.
• Отсутствие версионности. При изменениях ИСПДн или обновлении БДУ модель устаревает, а отследить изменения в Word-документе затруднительно.
• Изоляция от системы защиты. Модель угроз в Word не связана с реестром рисков, планом мер защиты, результатами аудитов — изменение в одном документе не отражается в остальных.
• Дублирование. Для нескольких ИСПДн создаются отдельные документы вручную, что приводит к расхождениям и ошибкам.

Возможности платформы КиберОснова

КиберОснова предоставляет инструменты для полного цикла работы с моделью угроз ИСПДн:

1. Описание ИСПДн — структурированная карточка системы с указанием категорий ПДн, объёма, архитектуры и средств защиты.
2. Автоматический отбор угроз из БДУ — платформа фильтрует каталог БДУ ФСТЭК на основе описания ИСПДн и предлагает применимые угрозы с предварительной оценкой актуальности.
3. Определение типа угроз и УЗ — автоматический расчёт уровня защищённости по матрице ПП 1119.
4. Конструктор модели нарушителя — выбор категорий нарушителей и уровней возможностей с типовыми обоснованиями.
5. Генерация документа — экспорт модели угроз в формате, соответствующем требованиям ФСТЭК.
6. Связь с управлением рисками — актуальные угрозы автоматически становятся входными данными для оценки рисков.
7. Мониторинг актуальности — при обновлении БДУ ФСТЭК платформа уведомляет о необходимости пересмотра модели.

Время разработки модели угроз с использованием КиберОснова сокращается с нескольких недель до 3--5 рабочих дней. Запросите демо, чтобы оценить возможности автоматизации на примере вашей ИСПДн.

Типичные ошибки при составлении модели угроз ИСПДн

1. Неправильное определение типа угроз

Самая распространённая ошибка — завышение или занижение типа угроз. Организация признаёт актуальными угрозы 1 типа (НДВ в системном ПО) без обоснования, что приводит к неоправданно высокому уровню защищённости и завышенным затратам. Или, наоборот, безосновательно устанавливает тип 3 при наличии реальных предпосылок к угрозам через прикладное ПО.

Правильный подход: тип угроз определяется на основе модели нарушителя. Если для данной ИСПДн нарушители Н3--Н4 неактуальны (а для большинства коммерческих систем это так), то угрозы 1 типа неактуальны. Если прикладное ПО разрабатывается доверенным подрядчиком или является сертифицированным — угрозы 2 типа также могут быть признаны неактуальными.

2. Копирование модели угроз из шаблонов

Организация берёт типовой шаблон модели угроз из интернета и заменяет только название ИСПДн, не адаптируя содержание. Такая модель не отражает реальную архитектуру и реальные угрозы, а при проверке ФСТЭК или Роскомнадзора выявляется несоответствие.

Правильный подход: модель угроз разрабатывается для конкретной ИСПДн с учётом её архитектуры, обрабатываемых данных, средств защиты и актуальных нарушителей. Шаблон — отправная точка для структуры, но не для содержания.

3. Игнорирование внутренних нарушителей

Модель рассматривает только внешних хакеров, но игнорирует сотрудников с легитимным доступом к ПДн. По статистике, более 40% инцидентов с персональными данными связаны с действиями внутренних нарушителей — как умышленными, так и непреднамеренными.

4. Отсутствие сценариев атак

Модель угроз сводится к таблице «УБИ — актуальна/неактуальна» без описания сценариев реализации. Методика ФСТЭК 2021 требует сценарного подхода — описания цепочек тактик и техник для каждой актуальной угрозы. Без сценариев невозможно корректно выбрать меры защиты.

5. Модель угроз не обновляется

Модель разработана один раз и не пересматривается при изменениях ИСПДн: добавлении серверов, новых каналов связи, обновлении ПО, подключении мобильных устройств. Устаревшая модель угроз — формальный документ, не обеспечивающий реальную защиту.

Правильный подход: пересматривайте модель угроз не реже раза в год, а также при любых существенных изменениях ИСПДн. SGRC-платформы автоматизируют мониторинг: КиберОснова отслеживает обновления БДУ ФСТЭК и уведомляет о необходимости пересмотра модели.

6. Несоответствие между угрозами и мерами

Модель определяет одни угрозы, а реализованные меры защиты закрывают другие. Например, модель фиксирует актуальность фишинговых атак, но в плане мер отсутствует обучение сотрудников и фильтрация почтового трафика. Модель угроз и документы ИБ — техническое задание, план мер, регламенты — должны быть связаны и взаимно непротиворечивы.

Модель угроз ИСПДн — документ, определяющий всю систему защиты персональных данных. Грамотно составленная модель обосновывает уровень защищённости, определяет набор мер по приказу ФСТЭК № 21 и формирует основу для управления рисками ИБ. Ключевые факторы успеха — корректное определение типа угроз, реалистичная модель нарушителя и регулярная актуализация документа.

Если вы хотите сократить трудозатраты на разработку модели угроз и обеспечить её актуальность — запросите демо платформы КиберОснова и оцените автоматизацию на примере вашей ИСПДн.

Смотрите также: Модель угроз — КиберОснова | Защита персональных данных | БДУ ФСТЭК | Управление рисками | Документы ИБ