Модель угроз безопасности персональных данных

Никакая защита данных не будет эффективной, если вы не понимаете, от чего именно нужно защищаться. Модель угроз безопасности персональных данных (ПДн) помогает систематизировать все потенциальные риски — от утечки информации через сотрудников до кибератак извне. Имея такой документ, вы заранее будете знать о возможных угрозах, выстроите меры защиты и снизите вероятность инцидентов, которые могут дорого обойтись бизнесу.

Что это такое и для чего нужен документ

Модель угроз информационной безопасности персональных данных — это документ, в котором фиксируются потенциальные угрозы, которые могут привести к утечке информации, источники этих угроз и последствия для субъектов данных и организации. Она помогает системно выявлять уязвимости и выстраивать надежную систему защиты.

Разработка модели угроз необходима для соблюдения требований ст.19 ФЗ от 27.07.2006 №152-ФЗ, который обязывает операторов персональных данных принимать организационные и технические меры защиты информации.

Практическое оформление модели угроз регулируется Методикой оценки угроз безопасности информации, утвержденной ФСТЭК России 5 февраля 2021 г. Этот документ дает четкие рекомендации по выявлению угроз, классификации информации и формированию сценариев потенциальных инцидентов. Также учитываются требования Постановления Правительства РФ от 1 ноября 2012 г. №1119, если компания использует информационные системы. 

С помощью модели угроз вы можете:

• системно выявлять слабые места в информационной инфраструктуре;
• выстроить внутренние процедуры защиты данных;
• подтвердить проверяющим органам соблюдение закона и снижение рисков для клиентов.
  

Даже для небольшой компании модель угроз становится основой для внедрения мер по защите персональных данных и инструментом для оценки эффективности этих мер.

Как составить модель угроз безопасности ПДн

При оформлении документа стоит учитывать Методику оценки угроз безопасности, утвержденную ФСТЭК России 05.02.2021. Этот документ утверждает порядок и особенности оценки угроз, способы их реализации и другие нюансы, которые обязательно учитывают специалисты при разработке модели. 

Чтобы оформить модель угроз безопасности ПДн, нужно проделать многоэтапную работу:

1. Определение целей моделирования. Сначала сформулируйте, зачем создается модель. Цели определяют глубину анализа и объем документа. Это может быть подготовка к аттестации или сертификации по требованиям ФСТЭК, анализ уязвимостей новой информационной системы, разработка внутренней политики безопасности или оценка рисков. Четкое определение целей позволяет рационально распределять ресурсы и создавать максимально актуальный документ.
2. Описание информационной системы. Подробно зафиксируйте границы системы: какие компоненты входят, а какие остаются вне. Опишите архитектуру — серверы, базы данных, приложения, узлы взаимодействия. Укажите, как элементы системы взаимодействуют друг с другом, с внешними сервисами и пользователями. Такое описание помогает понять, где могут проявиться угрозы и через какие каналы возможны атаки.
3. Идентификация угроз. Выберите угрозы из официальных источников: базы ФСТЭК, методики ФСБ, ГОСТ Р 57580.1-2017 и т.д. Из них выбираются те, которые соответствуют специфике вашей системы. При необходимости добавьте отраслевые или уникальные угрозы, характерные именно для вашей организации.
4. Классификация и ранжирование нарушителей. Разделите потенциальных нарушителей на категории: внешние, внутренние и случайные. Оцените их возможности — технический уровень, доступ к ресурсам, мотивацию (корысть, вредительство, халатность). Ранжирование помогает сосредоточить защиту на наиболее опасных нарушителях.
5. Формирование сценариев реализации угроз. Создайте конкретные сценарии для каждой угрозы. Укажите тип нарушителя, его ресурсы, конкретные уязвимости, канал атаки, цель действий и последствия для организации. Такие сценарии делают риски понятными и проверяемыми, помогают разработать эффективные меры защиты и обосновать их внедрение.
6. Оценка вероятности и ущерба. Проанализируйте, какие угрозы реально опасны. Для вероятности учитывайте технические возможности, мотивацию и ресурсы нарушителя, а также существующие меры защиты. Ущерб оценивается не только в денежном выражении — учитываются прямые потери, репутационные риски и правовые последствия. 
7. Формирование документа и визуальной схемы. Собранные данные оформляются в рабочий документ. Включите в него цели моделирования, описание системы и объектов защиты, сценарии угроз, оценку вероятности и ущерба, выводы и рекомендации. Дополнительно создайте наглядную схему с объектами, рисками, каналами и нарушителями.

Когда в вашей организации будет утверждена модель угроз безопасности персональных данных, вам станет проще выявлять уязвимости и риски. Например, если у вас интернет-магазин, после подготовки модели угроз может оказаться, что основной риск — взлом базы данных из-за слабых паролей сотрудников. В таком случае нужно будет внедрить двухфакторную аутентификацию и ограничить доступ, вместо того чтобы тратить ресурсы на менее критичные риски.

Заключение

Используйте базовую модель угроз безопасности персональных данных, чтобы создать свою, частную, которая подойдет для вашей организации. Это позволит системно выявлять уязвимости, оценивать риски, выстраивать эффективные меры защиты и подтверждать соблюдение ФЗ №152-ФЗ и требований ФСТЭК. Скачивать образцы из интернета нет смысла и может даже навредить — документ должен быть оформлен с учетом особенностей конкретно вашей компании.