Модель угроз информационной безопасности по Методике ФСТЭК: методическое сопровождение — от 12 900 ₽

Модель угроз информационной безопасности — это исходный документ, по которому выбираются меры защиты и обосновываются классы средств. Она обязательна для государственных информационных систем (ГИС), значимых объектов критической информационной инфраструктуры (КИИ), а для АСУ ТП на критически важных и потенциально опасных объектах — если владелец принял решение защищать систему по приказу ФСТЭК № 31. Для информационных систем персональных данных (ИСПДн) закон требует определения актуальных угроз (ст. 19 152-ФЗ), и модель угроз — документ, в котором это определение фиксируется. С 01.03.2026 для ГИС вместо приказа ФСТЭК № 17 действует приказ ФСТЭК № 117: старые модели и инструкции по № 17 устарели.

Наша услуга — методическое сопровождение: документ готовит ваш специалист по нашему шаблону и методическим указаниям, мы консультируем, разбираем архитектуру и проверяем готовую модель с письменными замечаниями. Для ГИС, значимых объектов КИИ и при необходимости договорной разработки подключаем партнёра-лицензиата ФСТЭК. Стоимость — от 12 900 ₽, срок — от 5 рабочих дней.

Фото: Dsimic, CC BY-SA 4.0, Wikimedia Commons (кадрирование, цветокоррекция).

Модель угроз для вашей системы и отрасли

Методика ФСТЭК одна, но требования, нарушители и сценарии атак для персональных данных клиники, ГИС учреждения, АСУ ТП котельной и SaaS-сервиса отличаются. Выберите свой случай — там разобрано, обязательна ли модель угроз, какие системы учитывать и как выглядит результат.

По типу системы

ИСПДн коммерческой компанииТребования, нарушители, сценарии →ГИС госучреждения (приказ № 117)Требования, нарушители, сценарии →Значимый объект КИИ (приказ № 239)Требования, нарушители, сценарии →АСУ ТП (приказ № 31)Требования, нарушители, сценарии →Облака, ЦОД, виртуализацияТребования, нарушители, сценарии →Удалённый доступ и подрядчикиТребования, нарушители, сценарии →

По отрасли

Медицина: МИС, ЕГИСЗТребования, нарушители, сценарии →Образование: школы, колледжи, вузыТребования, нарушители, сценарии →Банки и финорганизацииТребования, нарушители, сценарии →ПромышленностьТребования, нарушители, сценарии →Торговля и e-commerceТребования, нарушители, сценарии →Связь и провайдерыТребования, нарушители, сценарии →Транспорт и логистикаТребования, нарушители, сценарии →Энергетика и ТЭКТребования, нарушители, сценарии →ЖКХ и управляющие компанииТребования, нарушители, сценарии →ИТ-компании, SaaS, интеграторыТребования, нарушители, сценарии →

Когда модель угроз обязательна

Согласование с ФСТЭК и ФСБ — только для ГИС. Криптографическая часть модели угроз обосновывает класс СКЗИ и согласуется с ФСБ (приказ ФСБ № 321).

Когда нужна эта услуга

• Создание или модернизация ГИС — с 01.03.2026 модель угроз разрабатывается по приказу ФСТЭК № 117 и согласуется с ФСТЭК и ФСБ.
• Объект внесён в реестр значимых объектов КИИ — при создании или модернизации системы безопасности нужна модель по приказу ФСТЭК № 239.
• Запрос заказчика, учредителя или проверка — модель может запросить контрагент, регулятор или внутренняя проверка.
• После инцидента или утечки — модель помогает выявить пробелы и обосновать меры до штрафных рисков.
• Переход системы в облако или подключение подрядчиков — по п. 2.11 Методики 2021 угрозы оцениваются вместе с поставщиком; при отсутствии его оценки инфраструктура считается скомпрометированной.
• Модель написана по методике 2008 года и устарела — после 05.02.2021 применяется Методика ФСТЭК 2021; старые подходы не действуют.
• Выбор СКЗИ и их класса — класс КС1–КВ обосновывается возможностями нарушителя по модели угроз (приказ ФСБ № 321).

Что изменилось в 2025–2026 годах

Что требует закон

Как мы работаем

Как строится модель угроз по Методике ФСТЭК

Оценка угроз проводится по этапам Методики ФСТЭК 2021. Угроза считается актуальной, если для неё есть хотя бы один сценарий (последовательность тактик и техник). На этапе создания системы нужен минимум один сценарий для каждого способа реализации и каждого актуального нарушителя.

Структура модели угроз — по приложению 3 Методики: общие положения; описание системы как объекта защиты; возможные негативные последствия; объекты воздействия; источники угроз и нарушители; способы реализации; актуальные угрозы со сценариями. Для значимых объектов КИИ по каждой угрозе дополнительно указываются источник, уязвимости, способы, сценарии, последствия (приказ № 239).

Модель поддерживается в актуальном состоянии и пересматривается в четырёх случаях (п. 2.14 Методики):

• изменились НПА или методические документы ФСТЭК;
• изменились архитектура, условия функционирования, режим обработки или правовой режим информации;
• выявлены новые угрозы или сценарии, в том числе по результатам пентеста, анализа уязвимостей или аудита;
• в БДУ ФСТЭК появились новые угрозы, тактики или техники.

Нарушители и уровни их возможностей

Уровни возможностей нарушителей определяются по приложению 8 Методики ФСТЭК 2021. Для одной системы могут быть актуальны нарушители разных уровней.

Не путайте уровни нарушителей Н1–Н4 с классами СКЗИ ФСБ (КС1, КС2, КС3, КВ). Класс криптографической защиты выбирается по возможностям источника атак, указанным в модели угроз (приказ ФСБ № 321).

Что входит в работу

• Разбор применимых требований: ИСПДн, ГИС, значимый объект КИИ, АСУ ТП или корпоративная система — и ответ, обязательна ли модель угроз в вашей ситуации.
• Шаблон модели угроз по структуре прил. 3 Методики ФСТЭК 2021, адаптированный под ваш тип системы и отрасль.
• Методические указания по разделам: негативные последствия, объекты воздействия, нарушители и уровни Н1–Н4, сценарии по тактикам и техникам БДУ ФСТЭК, обоснование актуальности.
• Для ИСПДн — помощь в определении типа угроз и уровня защищённости по ПП № 1119.
• Для значимых объектов КИИ и АСУ ТП — отдельные указания по требованиям приказов ФСТЭК № 239 и № 31.
• Две консультации со специалистом: разбор архитектуры, нарушителей и сценариев вместе с вашей ИТ-службой.
• Проверка готового документа с письменными замечаниями.
• Проект приказа об утверждении.

Для ГИС и значимых объектов КИИ, а также если нужна разработка по договору — подключаем партнёра-лицензиата ФСТЭК.

Модель угроз утверждает руководитель вашей организации; разработку силами сторонней организации по договору вправе выполнять только лицензиат ФСТЭК (ТЗКИ), своими силами оператор вправе подготовить модель сам.

Из чего состоит документ

Мы даём шаблон по структуре прил. 3 Методики ФСТЭК 2021 и методические указания по каждому разделу. Для отдельных систем структура дополняется с учётом отраслевых требований.

Что нужно от вас

• Описание и назначение системы.
• Архитектура и схема сети.
• Состав информации и ПДн.
• Пользователи и роли.
• Внешние подключения, облака, подрядчики с удалённым доступом.
• Имеющиеся средства защиты.
• Статус: ГИС / КИИ (категория) / ИСПДн (УЗ).
• Действующая модель угроз, если есть.

Чего нет — подскажем, как корректно описать в модели.

Этапы и сроки работы

Для типовой ИСПДн или корпоративной системы — 5 рабочих дней. Для значимых объектов КИИ, АСУ ТП или ГИС — до 7 рабочих дней.

Нормативная база

Шаблоны и методические указания готовим по действующим редакциям документов. Официальные тексты — по ссылкам (PDF с портала publication.pravo.gov.ru — первоначальная редакция).

Все акты по направлениям — в разделе «Нормативная база».

Цены и сроки

Для сравнения: открытые предложения по модели угроз ИСПДн на рынке — от 19–25 тыс. ₽. Документ готовит ваш специалист по нашему шаблону и указаниям, мы консультируем и проверяем — поэтому дешевле. Разработка по договору, аттестация, поставка и внедрение сертифицированных средств защиты — через партнёра-лицензиата ФСТЭК, по отдельной смете.

После модели угроз: что дальше

Модель угроз — не финальная точка, а исходные данные для мер защиты, СКЗИ, аттестации и регулярной оценки эффективности. Ниже — типовые следующие шаги.

МелданаСБ может взять на себя методическое сопровождение следующих шагов: комплект организационных документов по ИБ — от 19 900 ₽.

Типовые ошибки в моделях угроз

• ✗ Копируют весь перечень БДУ без отбора → правильно: актуальность подтверждать сценариями для конкретных объектов воздействия и нарушителей — пп. 5.3.4–5.3.5 Методики 2021.
• ✗ Строят модель по методике 2008 года или по коэффициентам исходной защищённости → правильно: с 05.02.2021 применять Методику ФСТЭК 2021, актуальность — через наличие сценария.
• ✗ Ссылаются на приказ ФСТЭК № 17 как действующий для ГИС после 01.03.2026 → правильно: действует приказ ФСТЭК № 117 от 11.04.2025, изменённый приказом № 137.
• ✗ Используют нарушителей Н1–Н6 или путают уровни ФСТЭК с классами СКЗИ → правильно: у ФСТЭК уровни Н1–Н4, а КС1/КС2/КС3/КВ/КА — классы СКЗИ ФСБ.
• ✗ Считают модель «одноразовым» документом → правильно: актуализировать в 4 случаях по п. 2.14 Методики 2021.
• ✗ Модель не связана с реальной архитектурой: нет схемы, интерфейсов, групп пользователей, облака → правильно: раздел 2 должен описывать систему как объект защиты.
• ✗ Согласуют модель с ФСТЭК для коммерческой ИСПДн или КИИ без ГИС, а ГИС не согласуют → правильно: согласование ФСТЭК и ФСБ обязательно только для ГИС по п. 3 ПП № 676; криптографическую часть — с ФСБ, остальные утверждает руководитель.

Руководство: как сделать модель угроз

Если хотите разобраться сами или проверить подрядчика — семь статей: от методики и структуры документа до нарушителей, БДУ ФСТЭК и ответственности.

Почему МелданаСБ

• По действующей методике — Методика ФСТЭК 2021, актуальные приказы (в том числе № 117 вместо № 17 для ГИС), БДУ ФСТЭК.
• Под вашу архитектуру — помогаем вывести угрозы из ваших систем, нарушителей и сценариев, а не копировать весь перечень БДУ.
• Честно о требованиях — скажем, где модель угроз обязательна, а где нужна для дела, и не будем продавать лишнее.
• От 12 900 ₽ и 5 дней — в 2–3 раза ниже рынка за счёт типовых решений и дистанционного формата.
• Связка с другими документами — категорирование КИИ, документы по ПДн и ИБ в одном окне.
• Интегратор систем безопасности — физическую защиту (СКУД, видеонаблюдение, охранная сигнализация) можем спроектировать и смонтировать сами.

Частые вопросы

Смежные документы по безопасности данных

• Уведомление в Роскомнадзор об обработке ПДн
• Политика обработки персональных данных
• Положение о защите персональных данных
• Модель угроз безопасности ПДн (ИСПДн)
• Комплект документов по персональным данным
• Положение о пропускном и внутриобъектовом режиме
• Инструкции по пропускному режиму
• Категорирование объектов КИИ (187-ФЗ)
• Комплект документов по информационной безопасности
• Все документы, расчёты и декларации

МелданаСБ готовит документы по пожарной безопасности, охране труда и антитеррористической защищённости для организаций Грозного. Работаем дистанционно: опросник и планы вы присылаете на почту, готовые документы полностью действительны для надзорных органов в Грозном и любом другом регионе России.