Приказ об утверждении модели угроз 2026

Шапка – по ГОСТ Р 7.0.97-2016: наименование организации, вид документа, дата и номер, место издания, заголовок. Констатирующая часть отделяется словом «ПРИКАЗЫВАЮ».

Модель угроз – отдельный документ: в комплекте он оформляется документом «Модель угроз безопасности персональных данных» и прикладывается к приказу. Определение угроз безопасности – первая из мер, которые оператор обязан принять (п. 1 ч. 2 ст. 19 152-ФЗ). Методика ФСТЭК России от 05.02.2021 заменила методики 2008 года: угроза актуальна, если для неё есть хотя бы один сценарий реализации нарушителем с соответствующим уровнем возможностей.

Уровень защищённости (УЗ-1 – высший, УЗ-4 – низший) определяется по постановлению Правительства РФ № 1119 исходя из типа актуальных угроз (1, 2 или 3), категории данных (специальные, биометрические, общедоступные, иные), числа субъектов (более или менее 100 000) и того, работники ли это оператора. Для любого уровня обязательны режим безопасности помещений, сохранность носителей, утверждённый перечень лиц с доступом и средства защиты, прошедшие оценку соответствия (п. 13); для УЗ-3 и выше – ответственный за обеспечение безопасности ПДн в системе (п. 14); для УЗ-2 и выше – ограничение доступа к электронному журналу сообщений (п. 15); для УЗ-1 – автоматическая регистрация изменения полномочий и подразделение по безопасности (п. 16). Контроль выполнения требований – не реже одного раза в три года (п. 17). Состав технических мер для каждого уровня – приказ ФСТЭК России от 18.02.2013 № 21.

Ответственный за организацию обработки персональных данных назначается по ст. 22.1 152-ФЗ и подчиняется непосредственно руководителю. На период отпуска или болезни ответственных их замещение оформляется отдельным приказом.

Состав мер (идентификация и аутентификация, управление доступом, регистрация событий безопасности, антивирусная защита, защита машинных носителей, контроль целостности и др.) определяется по приказу ФСТЭК России от 18.02.2013 № 21 для установленного уровня защищённости. Оценка эффективности мер до ввода системы в эксплуатацию – п. 4 ч. 2 ст. 19 152-ФЗ.

Если исполнитель получает доступ к самим персональным данным, это поручение обработки – договор должен содержать условия ч. 3 ст. 6 152-ФЗ. Ответственность перед субъектами за действия исполнителя несёт оператор. Работы по технической защите информации, как правило, требуют лицензии ФСТЭК у исполнителя.

Методика ФСТЭК России требует актуализировать модель угроз при изменении требований законодательства, архитектуры и условий функционирования системы, при выявлении новых угроз и их включении в банк данных угроз. Ежегодный плановый пересмотр – решение оператора, удобное для внутреннего контроля.

Утратившие силу редакции модели угроз стоит хранить: по ним устанавливают, какие угрозы оператор учитывал на дату инцидента или проверки.

Сроки – ч. 3.1 ст. 21 152-ФЗ; порядок подачи уведомлений через портал Роскомнадзора – приказ Роскомнадзора от 14.11.2022 № 187. О компьютерных инцидентах оператор также информирует ГосСОПКА (ч. 12 ст. 19 152-ФЗ). За неуведомление – штраф по ч. 11 ст. 13.11 КоАП РФ.

Модель угроз – документ ограниченного доступа: работникам доводят только касающиеся их правила, полный текст – ответственным и администраторам. Ознакомление – по листу ознакомления (приложение).