Также: модель угроз, модель угроз и нарушителя, threat modeling
Описание того, что защищают, от кого и какими способами на него могут напасть, и какой ущерб это принесет.
Модель угроз включает объекты защиты, возможных нарушителей (внешних и внутренних) с их возможностями, способы реализации угроз и перечень актуальных угроз. По ней выбирают меры защиты, а не наоборот. Модель не пишут один раз: ее пересматривают при изменении системы, появлении новых угроз и после инцидентов. В России для оценки угроз применяют Методику оценки угроз безопасности информации ФСТЭК России (2021), которая использует банк данных угроз ФСТЭК (БДУ) и тактики и техники нарушителей, близкие к матрице MITRE ATT&CK.
Определение угроз безопасности ПДн при их обработке в ИСПДн – первая из мер, которыми оператор обеспечивает безопасность ПДн (ч. 2 ст. 19 152-ФЗ). Тип актуальных угроз определяет требования к защите по постановлению Правительства № 1119, а выбор и адаптация мер приказа ФСТЭК № 21 опираются на модель угроз.
Уязвимость – слабое место конкретной системы, а модель угроз описывает, кто и как может им воспользоваться и к чему это приведет. Без модели неясно, какие уязвимости важнее.
Аудитор проверяет, что модель угроз есть, утверждена, соответствует текущей архитектуре и учитывает внутренних нарушителей, подрядчиков и удаленный доступ, и сверяет с ней выбранные меры. Типичная ошибка: модель написана при вводе системы для комплекта документов и больше не пересматривалась, поэтому актуальные угрозы не совпадают с реальными.
Примеры применения (3)
- После переноса части ИСПДн в облако в модель угроз добавили угрозы со стороны провайдера и канала передачи
- Для угрозы подбора паролей к веб-интерфейсу выбраны блокировка попыток входа и многофакторная аутентификация
- Подрядчик с удаленным доступом описан как отдельный тип нарушителя с ограниченными правами
Связанные понятия
Источники (3)
- Федеральный закон № 152-ФЗ «О персональных данных»
- Методика оценки угроз безопасности информации, ФСТЭК России, 05.02.2021
- MITRE ATT&CK
Как это проверяют на аудите: курс «Аудитор ИСПДн 2.0» Все термины ИБ
Определение: Школа персональных данных № 1. Обновлено 02.10.2026