Модель угроз безопасности персональных данных в информационных системах
Определение угроз, актуальных при обработке данных в информационных системах, — прямая обязанность оператора (ст. 19 152-ФЗ). Без модели угроз нельзя обосновать тип актуальных угроз, определить уровень защищённости по постановлению № 1119 и выбрать состав мер по приказу ФСТЭК № 21.
Что документ закрепляет
- Гриф утверждения и название
- Общие положения
- Описание системы и её характеристика как объекта защиты
- Тип актуальных угроз и уровень защищённости
- Возможные негативные последствия
- Объекты воздействия
- Источники угроз (нарушители)
Настраивается под вашу ситуацию
Ненужные пункты выключаются, условные — появляются сами по вашим ответам.
Что внутри документа
Бланк или готовый документПустой бланк — бесплатно
- Ответы подставятся в текст — от руки ничего писать не нужно
- Лишние пункты уберутся, нужные добавятся по вашим ответам
- Word, PDF, ODT и RTF без водяного знака — сразу после оплаты
PDF с прочерками — распечатать и заполнить от руки. Пришлём на почту.
Образец заполнения — смотреть на сайтеО документе
Определение угроз, актуальных при обработке данных в информационных системах, — прямая обязанность оператора (ст. 19 152-ФЗ). Без модели угроз нельзя обосновать тип актуальных угроз, определить уровень защищённости по постановлению № 1119 и выбрать состав мер по приказу ФСТЭК № 21. Проверка начинается с просьбы показать модель угроз, и общие слова о «принимаемых мерах» её не заменяют.
Опишите систему и условия её работы (интернет, удалённый доступ, облако, съёмные носители, бумага, аутсорсинг), выберите тип угроз и уровень защищённости, заполните таблицы нарушителей и актуальных угроз — конструктор соберёт документ с грифом утверждения, показателями исходной защищённости, карточкой угрозы и листом пересмотра.
Типовые ошибки: тип актуальных угроз выбран произвольно и ничем не обоснован; в модель перенесены угрозы из чужого шаблона, а соответствующих объектов воздействия в системе нет; уровень защищённости в модели, в акте и в перечне ИСПДн не совпадает; модель не пересматривалась после подключения нового сервиса, перехода на удалённую работу или инцидента.
Комментарии юриста к пунктам
Как заполнить и применить документ. В готовый файл эти пояснения не попадают.
Гриф утверждения и название
Модель угроз вводится в действие приказом руководителя оператора (в комплекте – «Приказ об утверждении модели угроз»). Структура документа соответствует приложению 3 к Методике оценки угроз безопасности информации ФСТЭК России от 05.02.2021: общие положения, описание систем, негативные последствия, объекты воздействия, источники угроз, способы реализации, актуальные угрозы.
Общие положения
Определение угроз – первая из мер обеспечения безопасности, перечисленных в ч. 2 ст. 19 152-ФЗ. Методика ФСТЭК России 2021 года заменила «Методику определения актуальных угроз безопасности ПДн» 2008 года: показатели «исходной защищённости» и расчёт вероятности по ней больше не применяются.
Тип актуальных угроз и уровень защищённости
Тип угроз определяет оператор: 1-й – связанные с недекларированными возможностями системного ПО, 2-й – прикладного ПО, 3-й – не связанные с ними (п. 6 требований, утв. постановлением № 1119). Уровень защищённости – по пп. 9–12 тех же требований. Расхождение сведений в модели угроз, акте и перечне ИСПДн – типичное замечание при проверке.
Возможные негативные последствия
По методике ФСТЭК России оценка угроз начинается с определения негативных последствий; для систем, обрабатывающих персональные данные, обязательно оценивается ущерб физическим лицам (вид риска У1).
Источники угроз (нарушители)
Исключение «сильных» нарушителей (Н3–Н4) нужно обосновать – отсутствием у них целей и мотивации применительно к системе. Администратор системы – внутренний нарушитель с наибольшими возможностями внутри неё, поэтому его действия регистрируются и периодически проверяются.
Актуальные угрозы
Формулировки угроз берите из банка данных угроз ФСТЭК России с идентификатором (УБИ.xxx) и приводите к своей системе. Типичный набор для небольшой кадровой или клиентской базы: неправомерное ознакомление (УБИ.067), несанкционированное копирование (УБИ.088), фишинг (УБИ.175), угрозы, связанные с учётными данными, вредоносным ПО и уничтожением резервных копий.
Меры нейтрализации угроз
Оценка эффективности принятых мер проводится до ввода системы в эксплуатацию (п. 4 ч. 2 ст. 19 152-ФЗ); контроль выполнения требований к защите – не реже одного раза в три года (п. 17 требований, утв. постановлением № 1119).
Угрозы, признанные неактуальными
Признание угрозы неактуальной всегда обосновывается: отсутствием объекта воздействия, интерфейса для реализации или нарушителя с нужным уровнем возможностей. При изменении системы такие угрозы оцениваются заново.
Частые вопросы
Документ «Модель угроз безопасности персональных данных» действителен по закону?
Да. Базовый документ составлен по действующим нормам РФ и содержит все существенные условия. Премиум-пункты добавляют защитные условия (неустойка, порядок споров и т.п.).
Сколько стоит и что входит в цену?
Готовый документ – 499 ₽, разовая оплата или по подписке. В цену входят все четыре формата – DOCX, PDF, ODT и RTF – без водяного знака, с бессрочным доступом в кабинете. Бесплатно и без регистрации: прочитать весь текст на экране. Пустой бланк для печати от руки пришлём на почту, тоже бесплатно.
Нужно ли заверять у нотариуса?
Для большинства бытовых договоров нотариальное заверение не требуется. Если оно необходимо в вашем случае, документ полностью готов к нотариусу.
Обновляется ли шаблон при изменении закона?
Да. При изменении законодательства шаблон обновляется, а вы получаете уведомление с предложением пересоздать документ.
Нормативная база
-
152-ФЗ ст. 19 — Меры по обеспечению безопасности данных
-
152-ФЗ ст. 18.1 — Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом
-
152-ФЗ ст. 5 — Принципы обработки персональных данных
-
152-ФЗ ст. 7 — Конфиденциальность персональных данных