Методика оценки угроз безопасности информации ФСТЭК 2021: разбор по разделам в Белгороде

Методика оценки угроз безопасности информации ФСТЭК России, утверждённая 5 февраля 2021 года, — главный рабочий документ для всех, кто составляет модель угроз. По ней строят модели для информационных систем персональных данных, государственных систем, значимых объектов КИИ и промышленных систем управления. Документ небольшой, но плотный: за каждым пунктом стоит конкретное требование к тому, как должна выглядеть оценка.

Мы разберём методику 2021 года по разделам: какой у неё статус, к чему применяется, что именно она отменила, из каких этапов состоит оценка, как определяется актуальность угрозы и чем должна заканчиваться работа. Материал пригодится специалистам по ИБ и руководителям в Белгороде и по всей России: по состоянию на 10.10.2026 новой методики взамен этой в списке документов ФСТЭК нет.

Методика оценки угроз ФСТЭК: статус документа

Официально это «Методический документ. Методика оценки угроз безопасности информации», утверждённый ФСТЭК России 5 февраля 2021 года на основании подпункта 4 пункта 8 Положения о ФСТЭК (Указ № 1085). Опубликован в разделе «Специальные нормативные документы» на сайте ФСТЭК; сведений об отмене на 10.10.2026 нет. Текст доступен по ссылке на fstec.ru.

Юридически методика не нормативный правовой акт, а методический документ. Из этого часто делают ошибочный вывод: «раз не закон, значит, можно не применять». Но приказы ФСТЭК прямо отсылают к методическим документам: приказ № 117 (п. 68) для государственных информационных систем, приказ № 239 (п. 11.1) для значимых объектов КИИ и приказ № 31 (п. 13.3) для АСУ ТП. Получается, что для этих систем методика становится обязательной через соответствующий приказ. Для остальных она остаётся общепринятым ориентиром.

Область применения методики (п. 1.3) и что она не охватывает

Пункт 1.3 перечисляет, где методику применяют:

• государственные и муниципальные информационные системы;
• информационные системы персональных данных;
• значимые объекты критической информационной инфраструктуры;
• информационные системы управления производством организаций оборонно-промышленного комплекса;
• автоматизированные системы управления технологическими процессами на критически важных, потенциально опасных объектах и объектах повышенной опасности.

В остальных случаях решение о применении принимает обладатель информации или оператор. Для коммерческой компании это означает свободу выбора, но разумнее выбирать именно эту методику, потому что другой общепризнанной в России нет.

Есть два ограничения, которые полезно помнить с самого начала. Методика не охватывает угрозы, связанные со средствами криптографической защиты, и технические каналы утечки информации (п. 1.4): там действуют требования ФСБ. Кроме того, она ориентирована на антропогенные угрозы, то есть на действия нарушителей (п. 1.5). Отказы оборудования и стихийные бедствия в неё не входят.

Что отменила методика 2021, а что нет (п. 1.8)

В пункте 1.8 методики названы два документа, которые перестали применяться:

• «Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных» (ФСТЭК, 2008);
• «Методика определения актуальных угроз безопасности информации в ключевых системах информационной инфраструктуры» (ФСТЭК, 2007).

Переходное правило тоже закреплено в этом пункте: модели, утверждённые до 05.02.2021, продолжают действовать, а переделывать их по новой методике нужно при развитии (модернизации) системы. Поэтому в реальных проверках иногда встречаются живые модели 2015–2019 годов, и это допустимо, пока система не менялась существенно.

Особый случай — «Базовая модель угроз безопасности персональных данных при их обработке в ИСПДн» (ФСТЭК, 2008). В п. 1.8 она прямо не названа, поэтому писать «базовая модель отменена приказом» нельзя. Точная формулировка выглядит так: исходными данными служат банк данных угроз ФСТЭК и методика 2021 (п. 2.3), а базовая модель 2008 года как основа для новых документов устарела. Вместе с ней ушёл и расчёт актуальности через коэффициент исходной защищённости и вероятность реализации: теперь актуальность определяется сценарием.

Этапы оценки угроз по методике

Задачи оценки перечислены в п. 2.2: определить негативные последствия, провести инвентаризацию и выявить объекты воздействия, найти источники угроз и оценить возможности нарушителей, определить способы реализации, оценить возможность реализации и актуальность, построить сценарии. А сам порядок работ в п. 2.15 сведён к трём этапам.

Исходные данные собираются из многих мест (п. 2.3): банк данных угроз ФСТЭК (bdu.fstec.ru), модели угроз ФСТЭК, отраслевые и корпоративные модели, каталоги CAPEC и ATT&CK, OWASP, STIX и WASC, техническое задание и документация на систему, договоры с ЦОД или облаком, нормативные акты, описания бизнес-процессов и результаты оценки рисков.

Кто выполняет оценку, сказано в п. 2.7: подразделение (специалисты) по защите информации вместе с ИТ-подразделением и профильными подразделениями. По решению оператора могут привлекаться и сторонние специалисты в соответствии с законодательством. Оценка делается экспертным методом (п. 2.8), рекомендации по формированию экспертной группы даны в приложении 2.

Разбор по разделам: что внутри каждого этапа

Негативные последствия (раздел 3, приложение 4)

Начинать нужно не с вирусов, а с вопроса «что для нас недопустимо». Методика различает три вида ущерба: У1 — ущерб физическому лицу, У2 — риски юридическому лицу или индивидуальному предпринимателю, У3 — ущерб государству. Для каждого вида в приложении 4 даны типовые негативные последствия, из которых выбирают подходящие. Для ГИС негативные последствия определяют по банку данных угроз ФСТЭК (п. 11 приказа № 117).

Объекты воздействия (раздел 4, приложение 5)

Объект воздействия — то, на что нарушитель может повлиять: информация, программное обеспечение, технические средства, каналы связи, учётные записи, интерфейсы. Инвентаризация здесь — основа всего. Если в модели нет схемы системы, групп пользователей, внешних подключений и облака, то угрозы получаются висящими в воздухе.

Источники угроз и нарушители (пп. 5.1, приложения 6–9)

Источниками являются нарушители, и методика требует описать их цели и возможности. Приложение 6 содержит типовые цели, приложение 7 — пример их оценки. Возможности измеряются четырьмя уровнями (п. 5.1.5, приложение 8): Н1 — базовые, Н2 — базовые повышенные, Н3 — средние, Н4 — высокие; для Н4 в качестве примера названы спецслужбы иностранных государств. Для одной системы могут быть актуальны нарушители нескольких уровней. Приложение 9 показывает пример актуальных нарушителей. Не путайте Н1–Н4 с классами СКЗИ ФСБ (КС1–КВ).

Способы реализации (п. 5.2, приложение 10)

Способ — это путь воздействия через доступные интерфейсы: удалённый доступ через интернет, подключение через сеть подрядчика, физический доступ к оборудованию, воздействие через носители и так далее. Приложение 10 приводит пример.

Сценарии и актуальность (п. 5.3, приложение 11)

Здесь сосредоточен главный смысл методики. Угроза описывается формулой: нарушитель (источник), объекты воздействия, способы реализации, негативные последствия (п. 5.3.3). Угроза актуальна, если существует хотя бы один сценарий — последовательность тактик и техник (пп. 5.3.4–5.3.5). При создании системы нужен как минимум один сценарий на каждый способ реализации и каждого актуального нарушителя.

В приложении 11 для каждой тактики приведены типовые техники. Сценарий собирается как цепочка: например, сбор сведений о сотрудниках, фишинговое письмо с вложением, запуск вредоносного кода, повышение привилегий, продвижение по сети, выгрузка данных. Если такую цепочку можно выстроить для вашей системы, угроза актуальна.

Приложения методики: что где искать

Структура модели угроз по приложению 3

Рекомендуемая структура — на титуле стоит «УТВЕРЖДАЮ» руководителя или уполномоченного лица. Далее семь разделов:

• Общие положения: назначение, нормативные акты и методики, оператор, ответственные, привлечённая организация.
• Описание систем и сетей как объектов защиты: класс защищённости, категория значимости или уровень защищённости ПДн, функции, бизнес-процессы, архитектура и интерфейсы, группы пользователей и полномочия, внешние взаимодействия, облако или ЦОД и распределение ответственности.
• Возможные негативные последствия: виды рисков и ущерба.
• Возможные объекты воздействия и виды воздействия.
• Источники угроз: нарушители, их цели, категории и возможности.
• Способы реализации угроз и доступные интерфейсы.
• Актуальные угрозы: перечень, сценарии и выводы об актуальности.

Модель можно делать на одну систему или на совокупность систем, включая угрозы инфраструктуры и интерфейсов со смежными системами; допускается одна модель на несколько однотипных создаваемых систем (п. 2.13).

Облако и ЦОД: отдельное правило

Если система размещена у провайдера, угрозы оцениваются вместе с ним (п. 2.11). Если провайдер не оценил угрозы или не передал результаты, его инфраструктура считается скомпрометированной нарушителем с максимальным уровнем возможностей. В 2026 году, когда облачные CRM и хостинги есть почти у каждой компании, этот пункт нельзя пропускать.

Актуализация модели (п. 2.14)

Модель — не одноразовый отчёт. Методика требует поддерживать её в актуальном состоянии (допускается электронный вид) и называет четыре случая, когда её нужно менять:

• изменились нормативные акты или методические документы ФСТЭК;
• изменились архитектура, условия функционирования, режим обработки или правовой режим информации;
• выявлены новые угрозы или сценарии, в том числе по итогам пентеста, анализа уязвимостей или аудита;
• в банке данных угроз ФСТЭК появились новые угрозы, тактики или техники.

Методический документ ФСТЭК от 12.04.2026 «Состав и содержание мероприятий и мер по защите информации, содержащейся в информационных системах» усиливает этот пункт. Мероприятие 3.1 «Выявление и оценка угроз» проводится и при создании, и при эксплуатации системы, а результаты включаются в модель. В эксплуатации это поиск признаков угроз, приоритизация, оповещение и анализ.

Как применять методику для ИСПДн, ГИС и КИИ

Если в системе используются средства криптографической защиты, класс СКЗИ обосновывается в модели угроз и согласуется с ФСБ в части криптографии: для ГИС это требование приказа ФСБ № 321 от 22.08.2026, заменившего приказ ФСБ № 117 от 2025 года. Не путайте два «приказа № 117»: ФСТЭК (действует) и ФСБ (утратил силу).

Типовые ошибки при работе с методикой

• ✗ Перенесли в модель весь банк данных угроз (227 угроз) → отбирайте угрозы по объектам воздействия и построенным сценариям.
• ✗ Считают актуальность через «коэффициент исходной защищённости» → это методика 2008 года; сейчас угроза актуальна при наличии хотя бы одного сценария.
• ✗ Пишут «Методика 2021 отменила базовую модель 2008» как норму → в п. 1.8 названы только методики 2008 (ИСПДн) и 2007 (КСИИ).
• ✗ В модели нет раздела о негативных последствиях и видах ущерба У1–У3 → это первый этап оценки по п. 2.15.
• ✗ Нарушители без уровня Н1–Н4 или модель без сценариев Т1–Т10 → укажите уровни и постройте цепочки тактик.

Чем поможет МелданаСБ

МелданаСБ сопровождает подготовку модели угроз по Методике 2021 для организаций в Белгороде и по всей России. Формат работы — методическое сопровождение: мы даём шаблон со структурой по приложению 3, указания по каждому разделу, консультации и проверяем готовый документ. Модель готовит и утверждает специалист заказчика, как и предполагает п. 2.7 методики. Для ГИС, значимых объектов КИИ и банков техническую часть ведёт партнёр-лицензиат ФСТЭК, а мы берём на себя организационную рамку.

Частые вопросы

Для практической работы пригодятся модель угроз ИБ, модель угроз ПДн и раздел нормативной базы. Приказ ФСТЭК № 117 опубликован на publication.pravo.gov.ru.