Модель угроз ФСТЭК: как разработать по методике оценки угроз 2021 года

Модель угроз безопасности информации разрабатывается за шесть логических шагов, которые прямо задаёт методика ФСТЭК от 05.02.2021: сначала определяются возможные негативные последствия (какой ущерб грозит системе), затем — объекты воздействия (что именно может быть атаковано), источники угроз и нарушители с оценкой их возможностей, способы реализации угроз, оценка актуальности каждой угрозы и, для самых значимых из них, — сценарии атаки.

Всё это делается не «из головы», а на основе банка данных угроз ФСТЭК (БДУ) — методика требует опираться на него, а не изобретать перечень угроз заново.

С точки зрения методики ФСТЭК модель угроз — это формализованное описание угроз безопасности информации, актуальных для конкретной информационной или автоматизированной системы, сети либо инфраструктуры. Документ строится по фиксированной последовательности этапов методики 2021 года и служит входными данными для проектирования системы защиты: из модели угроз следует, какой набор мер и какого класса средств защиты нужен конкретной системе.

Обязанность иметь модель угроз возникает не у всех информационных систем подряд, а у тех, что подпадают под один из трёх приказов ФСТЭК:

↔ таблицу можно прокрутить вбок

Без модели угроз нельзя обоснованно адаптировать базовый набор мер защиты под конкретную систему — приказы №117, №21 и №239 прямо требуют учитывать модель угроз при выборе мер, — и нельзя пройти аттестацию ГИС или значимого объекта КИИ. В случае инцидента модель угроз — один из документов, который спросят регулятор и правоохранительные органы.

«Методический документ. Методика оценки угроз безопасности информации» утверждён ФСТЭК России 5 февраля 2021 года. Это единый порядок оценки угроз, применимый сразу к нескольким типам систем: государственным и муниципальным информационным системам, информационным системам персональных данных, значимым объектам критической информационной инфраструктуры, АСУ ТП критически важных и потенциально опасных объектов и объектов оборонно-промышленного комплекса, а также информационно-телекоммуникационным сетям, инфраструктуре ЦОД и облачным инфраструктурам.

Методика ориентирована на оценку антропогенных угроз — то есть действий нарушителей. Она не рассматривает угрозы нарушения безопасности криптографических средств защиты и угрозы утечки по техническим каналам — по этим направлениям действуют отдельные, в том числе закрытые методические документы. Для этих тем модель угроз, построенная по методике 2021 года, не заменяет специализированную оценку.

С момента утверждения методики 2021 года прежние документы 2007 и 2008 годов не применяются. На июль 2026 года методика от 05.02.2021 остаётся действующим основным методическим документом для оценки угроз — в открытых источниках, включая fstec.ru, её отмена или замена не зафиксирована.

Методика описывает оценку угроз как последовательность этапов. Логика простая: сначала понять, чего вы боитесь (последствия), затем — что можно атаковать (объекты), кто и как это может сделать (нарушители и способы), а в конце — какие из этих угроз реальны именно для вашей архитектуры (актуальность) и как именно может выглядеть атака (сценарий).

Нарушители в модели угроз классифицируются по уровню возможностей — потенциалу:

• Н1 — базовые возможности;
• Н2 — базовые повышенные возможности;
• Н3 — средние возможности;
• Н4 — высокие возможности по реализации угроз безопасности информации.

Методика также перечисляет виды нарушителей, которые подлежат оценке: специальные службы иностранных государств, террористические и экстремистские группировки, преступные группы, отдельные физические лица, конкурирующие организации, разработчики программного обеспечения и аппаратно-программных средств, поставщики услуг связи и вычислительных услуг, лица, привлекаемые для установки и пусконаладочных работ, авторизованные пользователи, системные администраторы и администраторы безопасности, бывшие сотрудники.

Все они делятся на две группы — внешних (без прав легального доступа) и внутренних (с правами доступа к ресурсам системы).

Оценка угроз проводится на разных стадиях жизненного цикла системы: при создании — на основе проектной архитектуры, при эксплуатации — на основе реальной архитектуры, в том числе с использованием результатов тестирования на проникновение.

Банк данных угроз безопасности информации (БДУ) — официальный ресурс ФСТЭК России по адресу bdu.fstec.ru, который содержит перечень и описания угроз безопасности информации, а также сведения об уязвимостях программного и аппаратного обеспечения. Его цель — повысить осведомлённость заказчиков, операторов, разработчиков информационных систем и средств защиты, испытательных лабораторий и органов по сертификации о существующих угрозах.

Угрозы в БДУ не образуют иерархическую систему классификации — это обобщённый перечень, который регулярно пополняется; информация в базе общедоступна и может свободно распространяться со ссылкой на источник.

Методика 2021 года предписывает применять её совместно с БДУ: при разработке модели угроз перечень угроз и характеристик нарушителей формируется на основе банка данных, а не только исходя из абстрактных рассуждений о том, «что теоретически может случиться». Практически это значит, что каждую угрозу в итоговом документе нужно либо взять из БДУ и обосновать её актуальность для своей архитектуры, либо явно показать, почему конкретная запись банка данных не применима.

По сути БДУ — библиотека типовых угроз и характеристик нарушителей, из которой оператор выбирает записи, применимые к своей архитектуре, и обосновывает каждую из них отдельно. Инструменты класса управления уязвимостями сопоставляют активы компании с записями БДУ и внешними базами уязвимостей, что ускоряет инвентаризацию на шагах 2 и 4 методики — подробнее о таком классе средств см. каталог систем управления уязвимостями (VM).

Порядок действий на практике почти всегда повторяет структуру методики, но добавляет организационные шаги — определить, кто отвечает за документ, и утвердить его.

1. Определить объект и применимый приказ — ГИС (№117), ИСПДн (№21) или значимый объект КИИ (№239).
2. Описать негативные последствия — какой ущерб причинит реализация угроз именно для вашей системы.
3. Провести инвентаризацию объектов воздействия — серверы, СУБД, каналы связи, АРМ, внешние интеграции.
4. Определить нарушителей и их потенциал — от Н1 до Н4, отдельно для внешних и внутренних.
5. Сформировать перечень угроз по БДУ и определить способы их реализации применительно к архитектуре.
6. Оценить актуальность каждой угрозы — с учётом уже принятых мер защиты.
7. Построить сценарии для наиболее значимых актуальных угроз.
8. Утвердить документ у руководителя оператора и запланировать пересмотр — при изменении архитектуры, появлении новых угроз в БДУ, инцидентах или по итогам аттестации.

Запросы вида «модель угроз пример» или «модель угроз шаблон» на практике распадаются на три разных сценария со своими нюансами:

Результаты модели угроз определяют состав технических мер защиты — часть из них закрывается типовыми классами средств защиты информации:

• Абстрактные угрозы без опоры на БДУ. Перечень составляется «на глаз», без сопоставления с банком данных угроз ФСТЭК, — методика требует обратного: перечень и характеристики нарушителей формируются на основе БДУ.
• Использование методики 2008 года. Часть материалов в интернете и старых шаблонов до сих пор построена по методике определения актуальных угроз ПДн 2008 года — она не применяется с момента утверждения методики от 05.02.2021.
• Копирование чужой модели угроз без адаптации. Готовый документ другой организации переносится почти без изменений — без собственной инвентаризации объектов и без обоснования актуальности каждой угрозы для своей архитектуры, как того требует методика.
• Модель угроз как разовая бумага для аттестации. Документ готовится один раз и не пересматривается — при изменении архитектуры, появлении новых угроз в БДУ или после инцидента модель угроз нужно актуализировать, а не хранить как формальность.