Дата актуализации: 22 апреля 2026 г․
Оглавление
- Ключевые термины и определения
- Нормативно-правовая база
- Пошаговая методика идентификации угроз
- Инструментарий и шаблоны ФСТЭК
- Практический пример применения
- Чек-лист для самопроверки
- Полезные ссылки
С 1 марта 2025 года в силу полностью перешли требования приказа ФСТЭК России № 239․
Они обязывают все операторы‚ обрабатывающие персональные данные в ИСПДн‚
ежегодно актуализировать модель угроз и подтверждать её документально․
Разобраться‚ какие именно угрозы считать «актуальными»‚ помогает единая методика‚
описанная в методических рекомендациях ФСТЭК № 17-04-2025․
Ключевые термины и определения
- Актуальная угроза — потенциальное событие‚ уже имеющее реализованные прецеденты за последний год или подтверждённые данными разведки уязвимостей (CVE‚ БКГИ‚ CERT)․
- ИСПДн — информационная система персональных данных‚ класс защищённости которой определён приказом ФСТЭК № 21․
- Обработка — любое действие (сбор‚ запись‚ хранение‚ передача‚ блокирование‚ уничтожение) ПДн в ИТ-инфраструктуре․
Нормативно-правовая база
Ниже приведён свод ключевых документов‚ которые обязательно использовать при построении модели угроз:
| Документ | Как используется |
|---|---|
| Приказ ФСТЭК № 239 (в ред․ 2025) | Требования к модели угроз и порядок её актуализации |
| Методические рекомендации ФСТЭК № 17-04-2025 | Шаблоны таблиц угроз и формулы расчёта рисков |
| ГОСТ Р 57580․1-2022 | Классификация видов угроз (внешние‚ внутренние‚ случайные) |
| БКГИ ФСТЭК (ежемесячный бюллетень) | Список реальных инцидентов за последние 12 месяцев |
Пошаговая методика идентификации актуальных угроз
Шаг 1․ Сбор исходных данных
- Определить границы ИСПДн (схема сети‚ перечень АРМ‚ серверов‚ СУБД)․
- Составить перечень обрабатываемых категорий ПДн (биометрия‚ спец-категории‚ публичные)․
- Уточнить класс защищённости Кз (1-4)․
Шаг 2․ Формирование базового списка угроз
Использовать приложение № 3 приказа № 239‚ где перечислены 42 базовых угрозы․
Для каждой угрозы зафиксировать:
- Вид, внешняя / внутренняя / случайная․
- Источник — хакер‚ инсайдер‚ сбой оборудования‚ стихийное бедствие․
- Нарушаемые свойства — конфиденциальность‚ доступность‚ целостность․
Шаг 3․ Отбор актуальных угроз
Применить фильтр актуальности:
- Факт реализации, инцидент зафиксирован в БКГИ ФСТЭК за последний год․
- Наличие CVE > 7․0, уязвимость‚ по которой есть эксплойт (EPSS > 0‚2)․
- Внутренний аудит — выявленные пентестом или сканером недочёты․
- Изменение контекста, новый функционал ИСПДн‚ новые сотрудники‚ изменение законодательства․
Шаг 4․ Количественная оценка риска
Для каждой актуальной угрозы рассчитать:
R = В × Ч × У где: В — вероятность реализации (0-1)‚ Ч — вредоносность последствий (0-1)‚ У — уровень защищённости (0-1)․
Критерий актуальности: если R ≥ 0‚3‚ угроза считается актуальной и требует отражения в модели․
Инструментарий и шаблоны ФСТЭК
- Шаблон «Угрозы ИСПДн․xlsx»
(скачать с сайта fstec․ru → раздел «Методические материалы»)․ - Автоматизированная САУТ «Гард-Т» — поддерживает импорт CVE-JSON и БКГИ-XML․
- Калькулятор рисков онлайн, pd․risk․gov․ru (доступ через ЕСИА)․
Практический пример: типовая облачная ИСПДн Кз=2
| № | Угроза | CVE/Инцидент | Вероятность | Вредоносность | Уязвимость | R | Актуальность |
|---|---|---|---|---|---|---|---|
| 1 | Утечка ПДн через API-gateway | CVE-2025-1111 (EPSS=0‚35) | 0‚7 | 0‚9 | 0‚4 | 0‚25 | Нет |
| 2 | Инсайдер — сисадмин | БКГИ 02-2026‚ кейс № 78 | 0‚8 | 0‚8 | 0‚7 | 0‚45 | Да |
Чек-лист для самопроверки перед сдачей в ФСТЭК
- ✅ Все 4 критерия актуальности применены к каждой базовой угрозе?
- ✅ Использованы свежие (не позднее 12 месяцев) источники угроз?
- ✅ Для актуальных угроз рассчитаны риски и указаны меры компенсации?
- ✅ Сохранены скриншоты CVE-JSON‚ БКГИ-PDF и отчёты пентестов?
- ✅ Подписан лист согласования ИТ-директором и руководителем ИБ?
Полезные ссылки
- Приказ ФСТЭК № 239 и методические рекомендации
- Банк данных уязвимостей (БКГИ)
- EPSS-система оценки эксплойтов
© 2026‚ Команда консультантов по ИБ ИСПДн․ При копировании ссылки на источник обязательны․