Разработка модели угроз — по методике ФСТЭК 2021

6-этапный процесс по методике ФСТЭК 2021. Срок 1-2 недели для типовой ИСПДн, 4-6 недель для сложной ГИС или объекта КИИ.

Этап 1. Сбор информации (3-5 дней)

Подписание NDA. Запрос проектной документации системы: архитектура, перечень компонентов, потоки данных, перечень СЗИ. Интервью с владельцем системы, ИБ-специалистом, системным администратором. Изучение существующих документов (если есть): паспорт системы, акт классификации, регламент эксплуатации.

Этап 2. Анализ системы (3-5 дней)

Построение схемы архитектуры: сегменты, точки уязвимости, потоки данных. Определение перечня объектов воздействия — что именно может атаковать нарушитель. Классификация защищаемой информации: категории ПДн (по ПП-1119), категории защищаемых данных (для ГИС/КИИ). Определение уровня защищённости (УЗ-1..УЗ-4 для ИСПДн, класс для ГИС, категория значимости для КИИ).

Этап 3. Модель нарушителя (1-2 дня)

Определение категорий нарушителей по методике 2021 (внешний, внутренний без легитимного доступа, внутренний с легитимным доступом, привилегированный пользователь). Оценка потенциала каждой категории (низкий/средний/высокий) с учётом отрасли и угрожающей картины. Описание возможностей: технические, организационные, финансовые.

Этап 4. Идентификация актуальных угроз (3-7 дней)

Анализ полной базы БДУ ФСТЭК (УБИ.001-222+). Выбор угроз, объекты воздействия которых присутствуют в системе. Для каждой угрозы — построение сценария реализации с учётом возможностей нарушителя. Если хотя бы один сценарий реализуем — угроза актуальна, включается в модель. Документирование сценариев с обоснованиями.

Этап 5. Сопоставление с мерами защиты (2-3 дня)

Для каждой актуальной угрозы — определение мер защиты из Приказа ФСТЭК №21 (для ИСПДн) или №117 (для ГИС) или №239 (для КИИ) или №31 (для АСУ ТП). Группировка мер: организационные (политики, регламенты), технические (СЗИ с сертификатами). Оценка достаточности мер.

Этап 6. Оценка остаточного риска и план пересмотра (1-2 дня)

Идентификация рисков, которые остаются после применения мер. Обоснование, почему остаточные риски приемлемы (риск-аппетит организации). План действий при реализации остаточных рисков. Триггеры пересмотра модели (изменения архитектуры, обновления БДУ, инциденты).

Готовый документ для аттестации и плановых проверок ФСТЭК / РКН.

• Модель угроз — 30-150 страниц в зависимости от сложности системы. Формат DOCX (для редактирования) + PDF (для подписания)
• Модель нарушителя — отдельный документ или приложение, с описанием 4 категорий + потенциала
• Схема архитектуры системы — визуальное представление сегментов и потоков данных
• Перечень актуальных угроз с обоснованиями — таблица УБИ.XXX → сценарий → меры защиты
• Спецификация СЗИ — перечень используемых средств защиты с сертификатами ФСТЭК
• Регламент пересмотра модели угроз — порядок и триггеры
• Презентация для руководства — основные риски и меры
• Сопровождение в течение 6 месяцев — бесплатные консультации, обновления при изменении НПА, мониторинг БДУ ФСТЭК

Разработка модели угроз учитывает специфику типа защищаемой системы.

Для ИСПДн (коммерческие операторы)

Применяется Приказ ФСТЭК №21. Модель нарушителя обычно: внешний + средний потенциал, внутренний с легитимным + низкий потенциал. Уровень защищённости УЗ-1..УЗ-4 по ПП-1119. Объём 30-60 страниц. Цикл разработки 1-2 недели.

Для ГИС (государственные системы)

Применяется Приказ ФСТЭК №117 (с 01.03.2026 заменил №17). Класс защищённости по показателю КЗИ (16 критериев). Модель нарушителя расширенная: внешний + высокий потенциал (включая APT), привилегированный пользователь + средний потенциал. Объём 60-100 страниц. Цикл разработки 2-4 недели.

Для значимых объектов КИИ (К1, К2)

Применяется Приказ ФСТЭК №239 + 187-ФЗ. Модель нарушителя включает иностранные спецслужбы и крупные киберпреступные группировки. Учитываются supply chain атаки и APT. Объём 80-150 страниц. Цикл разработки 4-6 недель.

Для АСУ ТП промышленных предприятий

Применяется Приказ ФСТЭК №31. Учитывается специфика OT-сегмента: ПЛК, SCADA, HMI. Модель нарушителя: внешний + средний-высокий, внутренний с легитимным + средний. Объём 50-100 страниц.

Запустите конструктор Кибероснова — за 30-60 минут получите базовую модель угроз бесплатно. Для аттестации или сложных систем — оставьте заявку на КП по индивидуальной разработке: оценим архитектуру, согласуем сроки и стоимость. Подбор партнёра-лицензиата ФСТЭК для аттестации К1/К2 включаем в проект.