Модель угроз безопасности персональных данных в Ярославле: как составить в 2026

Оператор персональных данных слышит фразу «нужна модель угроз» от ИТ-подрядчиков, аудиторов и коллег, но в самом законе о персональных данных такого документа нет. Федеральный закон № 152-ФЗ требует другого: определить угрозы безопасности персональных данных при их обработке в информационной системе. Модель угроз — принятый на практике способ зафиксировать это определение, и сделать её можно по-разному: от короткого документа для небольшой ИСПДн до объёмного для крупной системы с облаком и подрядчиками.

Ниже по шагам: что на самом деле требует закон, какая методика применяется после 2021 года, как связаны типы угроз и уровни защищённости по постановлению № 1119, из чего состоит модель, какие нарушители и сценарии в неё входят и кто вправе её готовить. Нормы приведены на октябрь 2026 года и подходят операторам в Ярославле и в других регионах.

Что требует закон: «определение угроз», а не «модель угроз»

Ключевая норма — часть 2 статьи 19 152-ФЗ: безопасность персональных данных обеспечивается, в частности, определением угроз безопасности ПДн при их обработке в информационных системах. Остальные акты развивают эту формулу, и нигде документ с названием «модель угроз» прямо не требуется.

Практическое следствие: если проверяющий или аудитор просит «модель угроз», вы не нарушаете закон, не имея документа под таким названием, — но должны уметь показать, что угрозы определены и что меры защиты выбраны под них. Самый понятный способ — составить модель по Методике 2021 года. Отсутствие такого документа в явном виде не образует отдельного состава в КоАП: статья 13.11 наказывает за утечки (чч. 12–18) и за нарушения, связанные с законностью обработки, но не за «отсутствие модели».

Методика оценки угроз ФСТЭК 2021 года

Методический документ утверждён ФСТЭК 5 февраля 2021 года и применяется, среди прочего, для информационных систем персональных данных (п. 1.3). Он не является нормативным актом, но другие приказы ФСТЭК (в том числе для ГИС и значимых объектов КИИ) требуют использовать методические документы ФСТЭК, поэтому он стал отраслевым стандартом. Что важно знать оператору:

• Что перестало применяться (п. 1.8): Методика определения актуальных угроз безопасности ПДн в ИСПДн 2008 года. Модели, утверждённые до 05.02.2021, продолжают действовать и переделываются по новой методике при развитии системы. «Базовая модель угроз 2008 года» в методике прямо не названа: корректно говорить, что она устарела как основа, а исходные данные сегодня — база данных угроз ФСТЭК и Методика 2021.
• Чего методика не охватывает (п. 1.4): угрозы, связанные с СКЗИ, и технические каналы утечки. Для криптографии действуют требования ФСБ; методика же ориентирована на действия нарушителей (п. 1.5).
• Этапы (п. 2.15): определение негативных последствий; определение объектов воздействия; оценка возможности реализации угроз и их актуальности через источники и нарушителей, способы реализации и сценарии.
• Актуальность (пп. 5.3.4–5.3.5): угроза актуальна, если есть хотя бы один сценарий её реализации — последовательность тактик и техник. На этапе создания системы нужен хотя бы один сценарий для каждого способа реализации и каждого актуального нарушителя.
• Формула угрозы (п. 5.3.3): угроза = нарушитель (источник) + объекты воздействия + способы реализации + негативные последствия.

Главное отличие от старого подхода: нельзя, как раньше, перемножить «коэффициенты» и «вероятность», получить цифру и объявить угрозу актуальной или нет. Теперь нужно показать, какими шагами нарушитель мог бы достичь цели в вашей системе. Поэтому копирование перечня угроз из базы данных целиком без отбора под архитектуру — одна из самых частых ошибок.

Типы угроз и уровни защищённости по ПП № 1119

Результат определения угроз для оператора ПДн — прежде всего тип угроз, по которому вместе с категорией ПДн и числом субъектов определяется уровень защищённости. Тип угроз выбирает оператор с учётом оценки вреда субъектам и отраслевых актов (п. 7 ПП № 1119).

Уровни защищённости определяются сочетанием типа угроз, категории ПДн и числа субъектов (пп. 8–12). Сводка:

Для большинства коммерческих компаний (CRM, 1С, сайт с формами, кадровый учёт) типична комбинация «3-й тип угроз и иные ПДн» и уровни УЗ-3 или УЗ-4. Но вывод нужно обосновать: ставить УЗ-1 «на всякий случай» неверно, так как каждый уровень требует разного набора мер по приказу № 21 и разных затрат. Если в системе используются СКЗИ, их состав и класс определяются отдельно по приказу ФСБ № 378 исходя из возможностей нарушителя.

Структура модели угроз ПДн

Методика даёт рекомендуемую структуру (приложение 3). На титуле размещают «УТВЕРЖДАЮ» руководителя или уполномоченного лица. Разделы:

Модель можно делать на одну систему или на совокупность, с учётом смежных интерфейсов (п. 2.13). Для облака или ЦОД угрозы оцениваются вместе с поставщиком: если он оценки не провёл и результаты не передал, его инфраструктуру принимают скомпрометированной нарушителем с максимальными возможностями (п. 2.11).

Нарушители Н1–Н4, виды ущерба и тактики

В Методике 2021 года три справочные шкалы, которые чаще всего и заполняются в модели ПДн.

Н1–Н4 — именно уровни нарушителей ФСТЭК. Обозначения КС1, КС2, КС3, КВ и КА относятся к классам средств криптографической защиты по требованиям ФСБ и к нарушителям не относятся. В моделях ПДн типичный набор: внешний нарушитель с базовыми возможностями, внутренний пользователь, администратор и подрядчик с удалённым доступом.

Отраслевые перечни угроз ПДн

Часть 5 статьи 19 152-ФЗ даёт государственным органам право утверждать перечни актуальных угроз для ИСПДн в своей сфере. По пункту 7 ПП № 1119 оператор учитывает их при определении типа угроз. Перечень не заменяет модель вашей системы, а служит обязательным исходным материалом.

Для ЖКХ отраслевой акт не найден, поэтому управляющие компании и ТСЖ строят модель по общим правилам. Прежде чем опираться на перечень, проверьте действующую редакцию акта вашего ведомства: она может меняться.

Кто может разработать модель угроз и нужна ли лицензия

Перечень лицензируемых видов деятельности в области технической защиты конфиденциальной информации (постановление № 79) не содержит отдельной работы «разработка модели угроз». Вместе с тем позиция ФСТЭК (информационное сообщение от 30.05.2012 № 240/22/2222) такова: лицензия обязательна, если деятельность направлена на получение прибыли от работ по технической защите либо ведётся по поручению обладателя информации или заказчика системы. Приказ ФСТЭК № 21 допускает привлекать для работ по безопасности ПДн на договорной основе организации с лицензией ФСТЭК.

Для коммерческих ИСПДн согласовывать модель с регуляторами не нужно, утверждает её руководитель. Контроль над мерами статьи 19 в коммерческих ИСПДн осуществляет Роскомнадзор в рамках общего надзора за обработкой ПДн; контроль ФСТЭК и ФСБ закреплён в части 8 статьи 19 за ГИС персональных данных и ИСПДн госорганов (в пределах их полномочий).

Когда модель пересматривают

Модель угроз не пишется один раз. По пункту 2.14 Методики её актуализируют, если:

• изменились нормативные акты или методические документы ФСТЭК;
• изменились архитектура системы, условия функционирования, режим обработки или правовой режим информации;
• выявлены новые угрозы или сценарии, в том числе по итогам тестов на проникновение, анализа уязвимостей или аудита;
• в базе данных угроз ФСТЭК появились новые угрозы, тактики или техники.

Документ может вестись в электронном виде. Разумная практика для коммерческой ИСПДн — сверка модели при каждом значимом изменении (новая система, смена облака, подключение подрядчика) и при ежегодном анализе, а контроль выполнения требований по ПП № 1119 нужно проводить не реже раза в три года.

Чем поможет МелданаСБ

МелданаСБ оказывает по модели угроз ПДн методическое сопровождение для организаций в Ярославле и по всей России: даём шаблон под вашу отрасль, указания по заполнению каждого раздела, консультации и проверку подготовленного документа. Сам документ готовит и утверждает специалист заказчика: разработка модели по договору лицензируется, и мы её не подменяем. Если вам нужна договорная разработка, ГИС или значимые объекты КИИ, подключаем партнёра-лицензиата ФСТЭК. Правовой контур по ПДн (политика, положение, уведомление в РКН, согласия, поручения) готовим под ключ.

Частые вопросы

Для следующего шага посмотрите услугу по модели угроз ПДн, подберите нужное в разделе образцов документов и сверьтесь с нормативной базой. Методику можно прочитать на сайте ФСТЭК, а вопросы по вашей системе можно задать через страницу контактов.