Модель угроз безопасности информации значимого объекта КИИ — образец 2026
Образец модели угроз безопасности информации значимого объекта КИИ по Методике ФСТЭК 2021: описание объекта, негативные последствия, объекты воздействия, нарушители, способы, актуальные угрозы.
- ФСТЭК № 239
- Методика оценки угроз ФСТЭК, 2021
- 187-ФЗ
Коротко. Модель угроз определяет, какие угрозы безопасности информации актуальны для значимого объекта КИИ, и обосновывает выбор мер защиты по приказу ФСТЭК № 239. Она разрабатывается по Методике оценки угроз ФСТЭК России от 05.02.2021 с использованием банка данных угроз (bdu.fstec.ru): от негативных последствий, оценённых при категорировании, через объекты воздействия, нарушителей и способы реализации к перечню актуальных угроз.
Структура документа
- Общие положения: назначение, нормативные документы, разработчик модели
- Описание объекта: тип, категория, архитектура, состав средств, внешние интерфейсы, обрабатываемая информация
- Негативные последствия — по оценкам показателей значимости из акта категорирования
- Объекты воздействия и виды воздействия
- Источники угроз — модель нарушителя: вид, категория, уровень возможностей, актуальность
- Способы реализации угроз через интерфейсы объекта
- Актуальные угрозы с кодами УБИ из банка данных угроз и сценариями
- Выводы: число актуальных угроз и связь с мерами по № 239, ТЗ на подсистему безопасности и планом мероприятий
Состав всех уровней — на странице комплекта документов субъекта КИИ.
Зачем нужна модель угроз
Приказ ФСТЭК № 239 требует выбирать меры защиты значимого объекта не по списку «на всякий случай», а по результатам анализа угроз. Модель угроз и есть этот анализ: она связывает последствия, оценённые при категорировании, с конкретными угрозами и становится исходным документом для технического задания на подсистему безопасности и плана мероприятий.
Как построена модель
Описание объекта. Тип и категория, архитектура (клиент-сервер, облако, ЦОД), состав программных и программно-аппаратных средств со страной происхождения, внешние интерфейсы и каналы, обрабатываемая информация — персональные данные, коммерческая тайна, технологическая информация.
Негативные последствия. Берутся из оценок показателей значимости в акте категорирования и дополняются ущербом самой организации: прекращение услуги населению, нарушение основного процесса, финансовые потери.
Нарушители и способы. Виды нарушителей, их категории, уровни возможностей и цели — по приложениям Методики; способы реализации угроз — через интерфейсы объекта.
Актуальные угрозы. Таблица с кодами УБИ, объектами воздействия, нарушителями и последствиями; для каждой угрозы — сценарий из тактик и техник, перечисленных в Методике.
Когда пересматривать
При изменении объекта и его архитектуры, при обновлении банка данных угроз ФСТЭК и после компьютерных инцидентов. В плане мероприятий из комплекта актуализация модели — отдельная строка.
Частые ошибки
- Модель не связана с категорированием. Негативные последствия должны совпадать с теми, что оценены в акте.
- Все угрозы из банка — «актуальные». Без обоснования актуальности модель не помогает выбрать меры.
- Устаревшие коды УБИ. Сверяйте с действующей версией банка данных угроз.
- В модели — IP-адреса и пароли. Это информация ограниченного доступа, ей в модели не место.
Частые вопросы
Когда угроза считается актуальной?
По Методике — если для неё есть нарушитель с необходимыми возможностями, объект воздействия, способ реализации и хотя бы один сценарий, который приводит к негативному последствию.
Можно ли указывать коды угроз УБИ из старых моделей?
Коды угроз указываются только после сверки с актуальной версией банка данных угроз ФСТЭК: банк обновляется, и старые коды могут не совпадать.
Что не включать в модель угроз?
Сведения ограниченного доступа — адреса, учётные данные. Описание объекта даётся в объёме, достаточном для определения объектов воздействия и интерфейсов.
Кто может разрабатывать модель?
Подразделение по безопасности или организация-лицензиат ФСТЭК — реквизиты лицензии указываются в модели.