Как составить модель угроз по методике ФСТЭК 2021 в : пошагово
Руководитель поставил задачу: подготовить модель угроз безопасности информации. Специалист открывает интернет, находит образцы, построенные на отменённой методике 2008 года и «базовой модели угроз ПДн», а в шаблонах — расчёты по коэффициентам исходной защищённости, которые больше не применяются. В результате документ не проходит проверку или не отражает реальную архитектуру системы.
В этой статье разберём, как составить модель угроз по Методике ФСТЭК от 05.02.2021, какие исходные данные собрать, как оформить и утвердить документ, сколько времени это займёт и каких ошибок избежать. Материал адресован руководителям, ИТ-директорам и ответственным за информационную безопасность, которые готовят модель угроз для своих систем в .
Коротко
- Методика ФСТЭК от 05.02.2021 — действующий методический документ для разработки модели угроз. Она заменила методики 2008 и 2007 годов, но модели, утверждённые до 2021 года, действуют до модернизации системы.
- Модель угроз обязательна для ГИС, ИСПДн, значимых объектов КИИ и АСУ ТП на критически важных и опасных объектах. Для иных систем решение принимает оператор.
- Алгоритм по Методике 2021: определить негативные последствия → объекты воздействия → источники угроз и уровни нарушителей → способы реализации → сценарии и актуальность.
- Для ГИС модель согласуется с ФСТЭК и ФСБ, утверждает руководитель оператора. Для коммерческих ИСПДн и КИИ согласование не требуется.
- МелданаСБ предоставляет методическое сопровождение: шаблон модели, консультации, проверку. Разработку по договору для ГИС и значимых объектов КИИ ведём с партнёром-лицензиатом ФСТЭК.
Что такое Методика 2021 и к каким системам применяется
Методика оценки угроз безопасности информации утверждена ФСТЭК 5 февраля 2021 года. Это методический документ, на который ссылаются приказы ФСТЭК: № 117 для ГИС (п. 68), № 239 для значимых объектов КИИ (п. 11.1) и № 31 для АСУ ТП (п. 13.3). Методика применяется для следующих систем:
- государственные и муниципальные информационные системы (ГИС);
- информационные системы персональных данных (ИСПДн);
- значимые объекты критической информационной инфраструктуры (КИИ);
- информационные системы управления производством организаций ОПК;
- АСУ ТП на критически важных, потенциально опасных объектах и объектах повышенной опасности.
В остальных случаях решение о применении Методики принимает обладатель информации или оператор (п. 1.3). Например, для корпоративной системы, не подпадающей под перечисленные категории, модель угроз можно делать по этой же методике — это даст структурированное обоснование мер защиты.
Методика 2021 года не охватывает угрозы, связанные с СКЗИ, и технические каналы утечки (п. 1.4). Для криптографии действуют требования ФСБ, в частности приказ ФСБ от 22.08.2026 № 321 для ГИС.
Слова «модель угроз» в 152-ФЗ нет, но закон требует «определения угроз безопасности ПДн» (ч. 2 ст. 19). Модель угроз — документ, в котором это определение фиксируется, и для ИСПДн она необходима как минимум для обоснования выбора мер защиты по приказу ФСТЭК № 21 и ПП № 1119.
Методики определения актуальных угроз ПДн (2008) и угроз в ключевых системах информационной инфраструктуры (2007) перестали применяться с 05.02.2021 (п. 1.8). Модели, утверждённые до этой даты, продолжают действовать, но пересматриваются при модернизации системы.
Пошаговый алгоритм
Методика устанавливает три последовательных этапа оценки угроз (п. 2.15). Ниже — пошаговая таблица с действиями и результатом каждого шага.
| Шаг | Что делаем | Результат |
|---|---|---|
| 1 | Определяем возможные негативные последствия от реализации угроз. По приложению 4 Методики выделяем виды ущерба: У1 — физическому лицу, У2 — юридическому лицу или ИП, У3 — государству. | Перечень негативных последствий для конкретной системы: нарушение конфиденциальности, целостности, доступности информации, иные виды ущерба. Для ГИС дополнительно учитываются требования приказа ФСТЭК № 117 (п. 11) — негативные последствия определяются по БДУ ФСТЭК. |
| 2 | Определяем возможные объекты воздействия: серверы, рабочие станции, сетевое оборудование, базы данных, приложения, каналы связи, внешние интерфейсы, облачная инфраструктура, АРМ пользователей, средства виртуализации и т.д. Для АСУ ТП — на каждом уровне (верхний, средний, нижний). | Реестр объектов воздействия с указанием их роли в системе и видов воздействия (нарушение конфиденциальности, целостности, доступности, нецелевое использование). |
| 3 | Выявляем источники угроз и оцениваем возможности нарушителей. Уровни возможностей: Н1 — базовые, Н2 — базовые повышенные, Н3 — средние, Н4 — высокие (приложение 8). Для одной системы могут быть актуальны нарушители разных уровней. | Описание актуальных нарушителей, их целей и уровня возможностей. Для ГИС минимальный уровень нарушителя определяется классом защищённости (К3 — базовый, К2 — повышенный, К1 — высокий). |
| 4 | Определяем способы реализации угроз (через какие интерфейсы и уязвимости) и формируем сценарии. Используем тактики Т1–Т10 (сбор информации, первоначальный доступ, закрепление, повышение привилегий и т.д.) и техники из БДУ ФСТЭК, ATT&CK, CAPEC. | Перечень сценариев реализации угроз. Угроза признаётся актуальной при наличии хотя бы одного сценария (п. 5.3.4). На этапе создания системы нужен хотя бы один сценарий для каждого способа реализации и каждого актуального нарушителя. |
Формула угрозы по Методике: УБИ = [нарушитель; объекты воздействия; способы реализации; негативные последствия] (п. 5.3.3). Актуальность определяется не расчётом коэффициентов, а наличием документированного сценария.
Исходные данные
Перед началом работ соберите документы и сведения (п. 2.3 Методики):
- Банк данных угроз ФСТЭК (bdu.fstec.ru) — на 09.10.2026 содержит 227 угроз и 97 160 уязвимостей; также разделы БДУ АСУ ТП и угроз систем инженер.
- Техническое задание и документация на систему, схема сети, описание архитектуры, групп пользователей и полномочий.
- Договоры с ЦОД или облачным провайдером, распределение ответственности. Если поставщик не оценил угрозы или не передал результаты, его инфраструктура считается скомпрометированной нарушителем с максимальным уровнем возможностей (п. 2.11).
- Нормативные правовые акты: для ИСПДн — 152-ФЗ, ПП № 1119, приказ ФСТЭК № 21, отраслевые перечни угроз (например, приказ Минздрава от 03.07.2023 № 340н, Минпросвещения от 21.07.2022 № 576). Для ГИС — ПП № 676, приказ ФСТЭК № 117, приказ ФСБ № 321 при использовании криптографии. Для КИИ — приказ ФСТЭК № 239.
- Описания бизнес-процессов и результаты предыдущих оценок рисков, пентестов, аудитов.
- Международные и отраслевые источники: CAPEC, ATT&CK, OWASP, STIX, WASC, отраслевые и корпоративные модели угроз.
Для ИСПДн необходимо учесть отраслевой перечень угроз ПДн, утверждённый федеральным органом в вашей сфере (ч. 5 ст. 19 152-ФЗ). Перечень не заменяет модель угроз конкретной системы, но является обязательным исходным данным.
Как оформить и утвердить
Рекомендуемая структура модели приведена в приложении 3 Методики. На титульном листе — гриф «УТВЕРЖДАЮ» и должность руководителя оператора или уполномоченного лица. Обязательные разделы:
- Общие положения: назначение, НПА и методики, оператор, ответственные, привлечённая организация.
- Описание систем и сетей как объектов защиты: класс защищённости, категория значимости, уровень защищённости ПДн; функции; бизнес-процессы; архитектура и интерфейсы; группы пользователей; внешние взаимодействия, включая интернет; облако или ЦОД.
- Возможные негативные последствия: виды ущерба (У1–У3) и перечень последствий.
- Возможные объекты воздействия и виды воздействия.
- Источники угроз: нарушители, их цели, категории, уровни возможностей (Н1–Н4).
- Способы реализации угроз и доступные интерфейсы.
- Актуальные угрозы: перечень, сценарии (тактики и техники), выводы об актуальности.
Кто утверждает. Модель утверждает руководитель оператора или уполномоченное лицо. Для ГИС модель и техническое задание согласуются с ФСТЭК и ФСБ (п. 3 ПП № 676), криптографическая часть — с ФСБ (приказ ФСБ № 321). Для коммерческих ИСПДн, значимых объектов КИИ и АСУ ТП согласование с регуляторами не требуется.
Актуализация. Модель поддерживается в актуальном состоянии (п. 2.14). Пересмотр обязателен, если: изменились НПА или методические документы ФСТЭК; изменились архитектура, условия функционирования или правовой режим информации; выявлены новые угрозы или сценарии; в БДУ появились новые угрозы, тактики или техники.
Сколько времени занимает
Сроки зависят от полноты исходных данных и готовности ИТ-службы к совместной работе. При методическом сопровождении МелданаСБ типичные сроки:
- Модель угроз для ИСПДн или корпоративной системы — от 5 рабочих дней.
- Модель угроз для значимого объекта КИИ или АСУ ТП — от 7 рабочих дней.
- Модель угроз для ГИС (приказ ФСТЭК № 117) — от 7 рабочих дней.
- Проверка и актуализация существующей модели — от 3 до 5 рабочих дней.
Общий цикл с учётом сбора данных, консультаций и утверждения может занять от двух недель до месяца в зависимости от размера системы и готовности документации.
Типовые ошибки
Из практики проверки моделей угроз выделим пять частых недочётов.
✗ Копирование всего перечня БДУ (227 угроз) без отбора.
Как правильно: отбирать только те угрозы, для которых есть объект воздействия и хотя бы один сценарий (пп. 5.3.3–5.3.5).
✗ Использование методики 2008 года и расчётов по коэффициентам исходной защищённости.
Как правильно: после 05.02.2021 актуальность определяется наличием документированного сценария, а не вероятностными коэффициентами.
✗ Отсутствие раздела о негативных последствиях и видах ущерба (У1–У3).
Как правильно: этот раздел — первый этап Методики (п. 2.15). Для ГИС без него невозможно обосновать уровень значимости информации.
✗ Нарушители без указания уровней возможностей (Н1–Н4) или не соотнесённые с классом системы.
Как правильно: для каждой системы определить актуальные уровни нарушителей. Для ГИС минимум определяется классом защищённости по приказу № 117.
✗ Отсутствие сценариев с тактиками (Т1–Т10) и техниками.
Как правильно: в модель включаются сценарии реализации каждой актуальной угрозы, иначе угроза не может быть признана актуальной.
Чем поможет МелданаСБ
Мы предоставляем услугу методического сопровождения модели угроз. Это не «разработка под ключ»: документ готовит и утверждает ваш специалист, а мы даём адаптированный шаблон, методические указания по каждому разделу, разбор архитектуры и сценариев на консультациях с вашей ИТ-службой и проверку готового документа с письменными замечаниями.
Состав работ:
- Опросный лист (DOCX) и сбор описания системы: архитектура, схема сети, состав информации, пользователи, внешние подключения.
- Разбор применимых требований (ИСПДн / ГИС / значимый объект КИИ / АСУ ТП / корпоративная система) и определение, обязательна ли модель в вашем случае.
- Шаблон модели угроз по структуре Методики ФСТЭК 2021, адаптированный под ваш тип системы и отрасль.
- Методические указания по разделам: негативные последствия, объекты воздействия, нарушители (Н1–Н4), сценарии по тактикам и техникам БДУ, обоснование актуальности.
- Для ИСПДн — помощь в определении типа угроз и уровня защищённости по ПП № 1119.
- Две консультации со специалистом по защите информации.
- Проверка готового документа с замечаниями и проект приказа об утверждении.
Для ГИС, значимых объектов КИИ и при необходимости договорной разработки, аттестации или проектирования СЗИ работы выполняет партнёр-лицензиат ФСТЭК по договору.
| Вариант | Рынок (открытые предложения) | МелданаСБ | Срок |
|---|---|---|---|
| Модель угроз ИСПДн или корпоративной системы | от 19–25 тыс. ₽ | от 12 900 ₽ | 5 раб. дней |
| Модель угроз для значимого объекта КИИ или АСУ ТП | по запросу | от 19 900 ₽ | 7 раб. дней |
| Модель угроз для ГИС (приказ ФСТЭК № 117) | по запросу | от 19 900 ₽ | 7 раб. дней |
Отдельно для ИСПДн предлагаем модель угроз безопасности ПДн. Проверка и актуализация существующей модели — от 7 900 ₽ (3–5 раб. дней). Комплект организационных документов по ИБ — от 19 900 ₽. Категорирование КИИ с сопровождением модели угроз — от 39 900 ₽.
Подготовьте модель угроз без ошибок
✓ Шаблон по Методике ФСТЭК 2021, адаптированный под вашу систему
✓ Консультации со специалистом по защите информации
✓ Проверка готового документа с письменными замечаниями
Заказать модель угрозЧастые вопросы
Что отменено после вступления в силу Методики 2021?
Обязательна ли Методика 2021 для коммерческих организаций?
Кто утверждает модель угроз?
Нужно ли согласование с ФСТЭК для модели угроз ИСПДн или КИИ?
Как часто нужно актуализировать модель угроз?
Мы рассмотрели пошаговый порядок составления модели угроз по Методике ФСТЭК 2021. Если нужна помощь с адаптацией шаблона под вашу систему или проверкой готового документа, обратитесь на страницу услуги «Модель угроз ИБ» или в раздел документов и деклараций по информационной безопасности. Для вопросов о комплекте организационных документов — материалы по ИБ. Связаться с нами можно через контакты.
Модель угроз для разных систем и отраслей
- ИСПДн коммерческой компании
- ГИС госучреждения (приказ № 117)
- Значимый объект КИИ (приказ № 239)
- АСУ ТП (приказ № 31)
- Облака, ЦОД, виртуализация
- Удалённый доступ и подрядчики
- Медицина: МИС, ЕГИСЗ
- Образование: школы, колледжи, вузы
- Банки и финорганизации
- Промышленность
- Торговля и e-commerce
- Связь и провайдеры
- Транспорт и логистика
- Энергетика и ТЭК
- ЖКХ и управляющие компании
- ИТ-компании, SaaS, интеграторы
Как сделать модель угроз
