Модель угроз безопасности персональных данных по методике ФСТЭК: требования, штрафы

Статус обязательный документ при обработке персональных данных в ИСПДн
Основание ч. 2 ст. 19 152-ФЗ, методика ФСТЭК от 05.02.2021
Публичность внутренний документ, для служебного пользования
Кто утверждает руководитель организации
Обновлено июль 2026
Ответственный за разработку ответственный за организацию обработки персональных данных либо служба информационной безопасности
Область применения формирование перечня угроз, оценка рисков и выбор мер защиты для информационных систем, обрабатывающих ПДн

01 Назначение

Модель угроз безопасности персональных данных

Краткое описание назначения, структуры и практического применения документа в ИСПДн

Назначение и правовой статус. Модель угроз описывает системный перечень потенциальных событий, приводящих к нарушению конфиденциальности, целостности или доступности персональных данных в конкретном ИСПДн. Документ обязателен при организации обработки и служит основой для выбора организационных и технических мер защиты, а также для регулирования правил доступа и регистрации действий с данными. Документ внутренний, утверждается руководителем организации, разработку выполняет ответственный за организацию обработки или служба информационной безопасности.

Основная структура и обязательные разделы. Типичная модель включает область и границы применения, описание ИСПДн и обрабатываемых категорий ПД, реестр активов и уязвимостей, классификацию угроз и сценарии атак, оценку последствий для субъектов и организации, а также сопоставление угроз с предложенными мерами защиты. В документе должен быть явный перенос угроз из общих банков угроз в конкретный контекст организации с обоснованием исключений и допущений.

Роли, триггеры изменений и контролируемые документы и материалы. Ответственность за разработку несёт назначенное лицо или служба ИБ, утверждение делает руководитель. Триггеры для пересмотра модели: ввод новых сервисов или сборов ПД, изменение состава обрабатываемых данных, выявленные инциденты безопасности, требования регламента по уровням защищённости. В качестве документов и материалов сохраняйте версионную историю, протокол утверждения, таблицу привязки угроз к активам и записи о проверках.

Практическое применение и типичные ошибки при внедрении. Используйте модель как рабочий инструмент: для сынапса угроз с конкретными уязвимостями, для выбора мер защиты и для обоснования требований к доступу и аутентификации. Частые ошибки: копирование перечня угроз без привязки к активам и обработкам, отсутствие подтверждения источников данных, игнорирование мер управления средствами аутентификации и контроля доступа, несогласованность с требованиями по уровням защищённости. Для соответствия выбирайте меры по сопоставлению с банком угроз и нормативными методиками и фиксируйте обоснования в документе.

Раскрыть полностью

02 Ответственность

Административная ответственность за нарушения, связанные с Моделью угроз безопасности персональных данных

ч. 1 ст. 13.11 КоАП РФ

Юридическое лицо 150 000 - 300 000 ₽
Должностное лицо 50 000 - 100 000 ₽
Физическое лицо (гражданин) 10 000 - 15 000 ₽

Отсутствие, неполнота или несоответствие Модели угроз повышают риск привлечения по ч. 1 ст. 13.11 КоАП при выявлении фактов обработки ПДн без предусмотренных законом оснований или при отсутствии необходимых организационно-технических мер. Типичные ошибки операторов: несвязанность перечня угроз с реальной архитектурой ИСПДн, отсутствие регистрации действий пользователей и правил доступа, отсутствие документированного анализа рисков и обоснований мер защиты. Рекомендуется согласовать модель с методикой ФСТЭК и фиксировать утверждение руководителем и ответственного за разработку.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Внутренний документ, объединяющий перечень актуальных угроз, модель нарушителя и связь угроз с активами и мерами защиты; формируется по методике ФСТЭК при оценке ИСПДн.

Модель угроз безопасности персональных данных
Частная модель угроз ИСПДн
Модель нарушителя и угроз ИСПДн
Модель актуальных угроз персональных данных
Перечень актуальных угроз ИСПДн
Модель угроз для оценки мер защиты ПДн
Классификация угроз и сценариев нарушений ПДн
Матрица угроз и активов ИСПДн

04 Обязательное содержание

Что должно быть в модели угроз

Короткий чеклист для проверки содержания модели угроз безопасности ПД: фокус на идентификации угроз, привязке к активам, оценке рисков, сопоставлении мер защиты и порядке утверждения и обновления.

Систематизированный перечень угроз с привязкой к компонентам ИСПДн Перечень угроз, сгруппированный по типам и привязан к конкретным сервисам, базам и каналам ИСПДн; для каждой угрозы указано место возникновения и типичные пути реализации.
Реестр активов, владельцев и значимости Реестр объектов обработки и инфраструктурных активов с указанием владельца, роли доступа и уровня значимости для защиты персональных данных; отмечены критичные точки передачи и хранения данных.
Сценарии реализации угроз и связанные уязвимости Для каждой угрозы описаны предпосылки и уязвимости, пошаговый сценарий реализации и ожидаемые последствия, а также индикаторы обнаружения и требуемые логи.
Методика оценки риска и требуемые уровни защиты Указаны критерии вероятности и последствий, процедура расчёта уровня риска по сценариям и сопоставление результатов с требуемыми уровнями защищённости ИСПДн.
Матрица соответствия мер защиты угрозам Матрица, где для каждой угрозы прописаны обязательные организационные и технические меры, ответственные за внедрение и контроль, а также ссылки на конкретные механизмы управления доступом и аутентификацией.
Порядок утверждения, ответственности и обновления модели Фиксированный порядок утверждения руководителем, назначенные ответственные за поддержку модели и перечисленные триггеры для пересмотра документа - изменения в ИСПДн, появление новых угроз или инциденты; указана ограниченная служебная публикация.

05 Применимость

Область применения - Модель угроз безопасности персональных данных

Короткое руководство, кому и в каких случаях нужна модель угроз безопасности ПД. Описаны обязательность для ИСПДн, целевые роли, границы применения и связь с другими документами безопасности.

Обязательность для ИСПДн Документ обязателен при обработке персональных данных в информационных системах персональных данных. Является внутренним документом организации, утверждается руководителем и служит основой для выбора организационных и технических мер защиты.
Кому в организации нужен документ Ответственному за организацию обработки персональных данных, службе информационной безопасности, владельцам активов ИСПДн, администраторам систем и аудиторам по безопасности. Используется при проектировании мер защиты и оценке рисков.
Случаи обязательного составления или обновления Составляется при создании или значительной модернизации ИСПДн, при изменении состава обрабатываемых ПД или архитектуры системы, а также при выявлении новых реальных угроз и уязвимостей.
Содержательная граница документа Охватывает систематизированный перечень угроз с привязкой к активам и компонентам ИСПДн, сценарии реализации угроз, связанные уязвимости и исходные оценки рисков, а также соотнесение угроз с предлагаемыми мерами защиты.
Связь с другими нормативными и внутренними документами Входит в комплект документов по защите ИСПДн и дополняет реестр активов, Политику обработки персональных данных и требования по уровням защищённости. При формулировании мер учитываются требования по уровням защищённости и управления средствами аутентификации.
Когда модель не применяется Не применяется для операций с персональными данными вне информационных систем или для эпизодических ручных обработок, не связанных с ИСПДн. В таких случаях следует использовать иной комплект документов, соответствующий характеру обработки.

06 Нормативная база

Нормативная база для модели угроз безопасности персональных данных

ч. 2 ст. 19 152-ФЗ фиксирует требования к правилам доступа и регистрации действий при обработке персональных данных; для модели угроз это означает обязательность выделения сценариев неправомерного доступа и требований к журналированию и разграничению доступа в ИСПДн
ст. 19 152-ФЗ указывает на необходимость применения организационных и технических мер защиты персональных данных; модель угроз служит аргументом для обоснования набора таких мер и для обоснования их уровня применимости в конкретной ИСПДн
методика ФСТЭК от 05.02.2021 задает порядок и критерии оценки угроз и уязвимостей; при формировании модели угроз следует применять методику для определения состава угроз, оценки риска и выбора сопутствующих мер защиты в рамках оценочной процедуры
банк данных угроз ФСТЭК является эталонным источником классификации и описаний угроз; модель угроз должна опираться на этот банк данных при составлении перечня угроз, чтобы обеспечить полноту и сопоставимость терминологии и сценариев атак
приказ ФСТЭК № 21 регламентирует меры по управлению средствами аутентификации и иные меры идентификации; модель угроз должна выделять угрозы, связанные с аутентификацией и учётом доступа, чтобы на их основе выбрать меры в соответствии с приказом
ПП РФ № 1119 устанавливает требования к уровням защищенности информационных систем персональных данных; модель угроз применяется для обоснования принадлежности ИСПДн к конкретному уровню и для выбора требуемого набора мер защиты
ч. 1 ст. 13.11 КоАП фиксирует потенциальную административную ответственность за нарушение требований при обработке персональных данных; правильно оформленная модель угроз демонстрирует проведение оценки рисков и внедрение мер, что является элементом доказательной базы при проверках

08 Внедрение

Шаги внедрения модели угроз безопасности персональных данных

Порядок от решения о необходимости модели угроз до утвержденного файла и комплекта для проверяющего. Для каждого шага указан исполнитель и результат на выходе.

1. Инициирование проекта и назначение ответственных Принять решение о подготовке модели угроз, назначить исполнителя и команду, утвердить цель и границы работ. На выходе: приказ или распоряжение, план работ и список ИСПДн в составе проекта. Документирует основание для работ и ответственное лицо.
2. Определение охвата и сбор исходных данных Составить перечень обрабатываемых категорий данных, картировку потоков, перечень ИСПДн, пользователей и смежных систем. Результат: реестр объектов и границ модели, схема потоков данных и перечень критичных активов для анализа.
3. Подбор и адаптация перечня угроз Собрать базовый перечень угроз из банка данных и иных источников, отобрать применимые угрозы с учётом специфики ИСПДн. Зафиксировать критерии отбора и обоснование исключений. Результат: реестр угроз с пометкой применимости.
4. Оценка риска по угрозам и уязвимостям По каждой применимой угрозе оценить вероятность и потенциальный вред с учётом уязвимостей и текущих мер защиты, применяя методику оценки. На выходе: таблица риск-матрица и ранжирование угроз по приоритету для мер.
5. Определение и сопоставление мер защиты Для приоритетных угроз сформировать перечень организационных и технических мер, привязать меры к конкретным системам и ответственным, указать критерии приёмки. Результат: матрица «угроза - мера - исполнитель - критерий приемки».
6. Утверждение, ввод в акт и подготовка пакета для проверяющего Согласовать и направить модель угроз на утверждение руководителю организации. Разместить утвержденную модель в служебном хранилище, подготовить комплект для проверки: модель угроз, описание методики расчёта, реестр ИСПДн, журнал изменений и документы, подтверждающие выбор мер.

09 Актуализация

Триггеры для пересмотра модели угроз безопасности персональных данных

Пересмотр модели угроз требуется при конкретных изменениях в среде обработки персональных данных. Ниже - практические триггеры с кратким объяснением и типичным действием исполнителя.

Изменение архитектуры ИСПДн Внедрение новых модулей, интеграция с внешними сервисами, миграция в облако или изменение сетевой топологии меняют объекты воздействия и способы реализации атак, что делает существующую модель устаревшей. Пересмотреть карту активов и сценарии атак, скорректировать перечень угроз и мер защиты, оформить изменения в документе и утвердить приказом руководителя.
Появление новых записей в банке данных ФСТЭК Добавление или изменение записей в банке данных ФСТЭК может выявить типовые угрозы, ранее не учтённые для конкретной конфигурации ИСПДн. Сопоставить новые угрозы с локальными активами и сценариями; обновить перечень угроз, матрицу соответствия и при необходимости меры защиты.
Изменение состава и ролей персонала с доступом к ПД Увеличение числа сотрудников с доступом, переход на удалённую работу или привлечение аутсорсинга меняют профиль внутреннего угрозопровайдера и вероятность инцидентов. Обновить матрицу доступа и роли, пересчитать вероятности и влияние угроз, ввести дополнительные контролы доступа и мониторинга при необходимости.
Изменение нормативных требований или методики оценки угроз Выпуск новой редакции методики ФСТЭК или обновление требований по уровням защищённости требует приведения модели в соответствие с актуальными правилами оценки угроз. Сравнить текущую модель с новыми требованиями, внести структурные изменения и документально зафиксировать соответствие модели требованиям организации.
Реализованный инцидент или обнаруженный новый сценарий атаки Факт реализации инцидента или обнаружение ранее неучтённого сценария указывает на пробелы в модели и недооценку рисков для персональных данных. Провести анализ инцидента, скорректировать сценарии, вероятности и меры, согласовать изменения с руководителем и службой ИБ.

10 Проверка

Инспектор проверит

Вопросы для выездной или документарной проверки соответствия модели угроз требованиям при обработке персональных данных в ИСПДн.

Вопрос 01 «Предъявите документы, подтверждающие наличие и утверждение модели угроз безопасности персональных данных.»
Вопрос 02 «Предъявите материалы, подтверждающие применение методики оценки угроз при разработке модели.»
Вопрос 03 «Предъявите документы по картированию персональных данных и сценариям угроз, использованным в модели.»
Вопрос 04 «Предъявите материалы о соответствии мер защиты выявленным угрозам и уровням защищённости.»
Вопрос 05 «Предъявите подтверждение актуализации модели угроз и результатов согласований.»

Инспектор при проверке, может запросить:

акт об утверждении модели угроз и актуальная редакция модели угроз
протокол оценки угроз по методике ФСТЭК от 05.02.2021 и реестр угроз, использованный при анализе
реестр обрабатываемых персональных данных с картой потоков и описанием сценариев угроз
перечень мер защиты с указанием соотнесения к выявленным угрозам и статусом внедрения
журнал изменений модели угроз, протоколы согласования и приказ об обновлении

11 Экспертная позиция

Практический инсайт

Модель угроз должна не быть набором общих пунктов, а документом, который напрямую связывает угрозы с реальными операциями ИСПДн и ответственными ресурсами. Частая ошибка - копирование банка угроз ФСТЭК без сопоставления с архитектурой и процессами организации. Рекомендую формализовать таблицу соответствий: угроза - сценарий атаки - обрабатываемые категории ПДн и активы - вероятность и потенциальный ущерб - действующие меры защиты - остаточный риск и владелец. Включите в модель критерии приемлемого остаточного риска и правила обновления после изменений в ИТ или процессах.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы - Модель угроз безопасности персональных данных

Да. При обработке персональных данных в ИСПДн организация обязана определить и задокументировать угрозы безопасности и меры защиты в рамках организационных и технических требований. Модель угроз служит основанием для выбора правил доступа и регистрации действий с данными и утверждается руководителем организации.

Заказать разработку модели угроз безопасности персональных данных

Закажите формирование модели угроз для вашего ИСПДн - внутреннего документа, обязательного при обработке персональных данных. В комплект поставки входят: модель угроз с классификацией нарушителя и привязкой к активам, таблица соответствия угроз и мер защиты, проект приказа руководителя об утверждении, журнал учёта угроз и шаблоны карточек активов, сопроводительная записка с рекомендациями по внедрению в локальные нормативные акты. Документ подготовит ответственный за организацию обработки персональных данных или служба информационной безопасности; возможна консультация по внедрению и сопровождению.

Заказать модель угроз в комплекте

Модель угроз безопасности персональных данных