Разработка модели угроз — по методике ФСТЭК 2021

Модель угроз обязательна для всех ИСПДн (по ст. 19 152-ФЗ и ПП РФ №1119), государственных информационных систем (по Приказу ФСТЭК №117 с 01.03.2026 заменил №17), объектов КИИ К1/К2 (по Приказу ФСТЭК №239), АСУ ТП в значимых отраслях (по Приказу ФСТЭК №31). Это первый документ, который проверяют ФСТЭК и Роскомнадзор при аттестации и плановых проверках. Без модели угроз эксплуатация защищаемой системы юридически невозможна — штраф до 700 000 ₽ и приостановление эксплуатации. Подробнее — в нашем гайде «Разработка модели угроз 2026».

С 5 февраля 2021 года действует «Методика оценки угроз безопасности информации» ФСТЭК России. Модели по старой методике 2008 года недействительны с 2022 года. Главные отличия 2021: сценарный подход (актуальной считается угроза, для которой есть хотя бы один реализуемый сценарий), обязательное использование БДУ ФСТЭК (банк данных угроз, bdu.fstec.ru, более 220 угроз УБИ.001-222+), упрощённая 4-категорийная модель нарушителя с 3 уровнями потенциала, прямая связь угроза → мера защиты из Приказов ФСТЭК №21/117/239/31. Подробный разбор методики — в статье.

Полный документ — 30-80 страниц с 5 обязательными разделами: (1) Описание информационной системы — архитектура, сегменты, потоки данных, перечень обрабатываемых данных. (2) Модель нарушителя — 4 категории + потенциал. (3) Перечень актуальных угроз из БДУ ФСТЭК с обоснованием сценариев. (4) Меры защиты для нейтрализации угроз по Приказу ФСТЭК №21/117/239/31. (5) Оценка остаточного риска и план пересмотра. Плюс приложения: схема архитектуры, схема информационных потоков, перечень категорий ПДн, перечень используемых СЗИ с сертификатами.

Зависит от способа и сложности системы. Через консультанта-лицензиата ФСТЭК для ИСПДн — 1-3 месяца. Для ГИС или значимого объекта КИИ — 2-4 месяца. Через конструктор Кибероснова Документы — он готовится: по ответам об архитектуре подберёт угрозы из БДУ ФСТЭК и сопоставит их с мерами защиты; ранний доступ по листу ожидания, скидка 50 % на первый платёж. Для сложных систем доступна услуга индивидуальной разработки — точная стоимость формируется индивидуально под проект, оставьте заявку на КП.

Только как ориентир структуры — не как готовый документ. По обзорам ФСТЭК за 2024-2025 годы 70%+ моделей угроз, скачанных из интернета, не проходят проверку. Причины: используется методика 2008 вместо 2021, нет ссылок на БДУ ФСТЭК с конкретными номерами УБИ, описание системы не соответствует реальной архитектуре, угрозы без сценариев реализации, отсутствует связь угроза → мера защиты. Шаблон работает только при адаптации под конкретную систему — это занимает почти столько же времени, как разработка с нуля. Надёжнее — разработка под вашу систему; для типовых ИСПДн готовится конструктор Кибероснова с угрозами из БДУ ФСТЭК, ранний доступ по листу ожидания.

Прямая связь. Аттестация ГИС (по Приказу ФСТЭК №117) и значимых объектов КИИ К1/К2 (по Приказу №239) проводится по модели угроз — это главный документ, который проверяет аттестационный орган (лицензиат ФСТЭК). Без правильной модели угроз аттестация невозможна. Подробнее — в нашей статье о подготовке к аттестации ГИС. Кибероснова разрабатывает модель угроз → передаём партнёру-лицензиату ФСТЭК для аттестации (мы саму аттестацию не проводим — это лицензируемая деятельность).

Регламентный пересмотр — раз в год. Внеочередной обязателен при триггерах: расширение/сокращение функций системы, изменения архитектуры (миграция в облако, смена СУБД), новые типы обрабатываемых данных (биометрия, спецкатегории), изменения в нормативной базе (как 420-ФЗ от 30.11.2024), серьёзные инциденты безопасности, существенные обновления БДУ ФСТЭК (пополняется 4-8 раз в год). Для аттестованных систем — обязательный пересмотр за 6 месяцев до истечения аттестата (срок 5 лет).

Базовая структура одинакова (5 разделов по методике 2021), различия: набор учитываемых угроз (для объектов КИИ — расширенный, включая supply chain и APT), модель нарушителя (для К1 объектов КИИ обязательно высокий потенциал), глубина проработки сценариев (для значимых объектов КИИ сценарии включают оценку времени реализации и стоимости для нарушителя), связь с мерами защиты (для ИСПДн — Приказ ФСТЭК №21, для значимых объектов КИИ — Приказ №239 с расширенным набором мер). Объём документа для объекта КИИ К1 — 80-150 страниц, для типовой ИСПДн уровня УЗ-3 — 30-60 страниц.