# Модель угроз безопасности персональных данных: что требует закон

> Источник: https://ftex.pro/blog/model-ugroz-bezopasnosti-pdn/  
> Опубликовано: 08.10.2026  
> Раздел: Персональные данные  
> Описание: Модель угроз безопасности ПДн: что требует ст. 19 и ПП № 1119, как угрозы влияют на уровень и меры, структура документа, лицензия ФСТЭК и методика 2021 года.  
> Издатель: Финансово-технологический институт (ftex.pro), образовательная лицензия Л035-01270-29/05390506

**Коротко: закон требует определять угрозы безопасности персональных данных в информационных системах (п. 1 ч. 2 ст. 19 закона № 152-ФЗ), а документ с названием «модель угроз» по имени не требует ни он, ни постановление № 1119, ни приказ ФСТЭК № 21.** На практике результат оформляют именно моделью угроз. Из неё следует тип актуальных угроз (п. 6–7 постановления № 1119), от типа вместе с категориями данных и числом людей зависит уровень защищённости, а от уровня и угроз зависит набор мер. Освобождения для малого бизнеса в тексте закона и постановления мы не нашли, меняется только объём документа.

 

Для типичной малой системы: сайт, CRM, 1С · только документы · цену называем до договора

 

Модель угроз персональных данных — от 12 900 ₽

 

[Узнать цену для моей системы →](https://ftex.pro/model-ugroz-pdn/)

 

**Главное**

 

- **Обязанность — определить угрозы** (п. 1 ч. 2 ст. 19; п. 7 Требований, постановление № 1119). Форму и название документа закон не задаёт.
- **Тип угроз определяет оператор** с учётом оценки вреда (п. 7). От него зависит уровень защищённости (п. 9–12).
- **Модель угроз связывает всё остальное:** от угроз зависит выбор мер по приказу ФСТЭК № 21 (п. 3, 9).
- **Структура модели угроз — наша рекомендация,** закон её по разделам не задаёт.
- **Методику ФСТЭК 2021 года и банк данных угроз мы не разбираем:** их тексты мы не открывали.

 

## Что закон говорит об угрозах

 

Угрозы безопасности персональных данных закон определяет как совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к данным, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение данных или иные неправомерные действия (ч. 11 ст. 19). Обеспечение безопасности достигается, в частности, определением таких угроз в информационных системах (п. 1 ч. 2 ст. 19). Постановление № 1119 уточняет: система защиты должна нейтрализовать актуальные угрозы (п. 2), а актуальными считаются те, что создают «актуальную опасность» доступа к данным в вашей системе (п. 6).

 

Слов «модель угроз» в ст. 19, в постановлении № 1119 и в приказе ФСТЭК № 21 нет (мы проверили тексты). Не упоминают они и методику оценки угроз. Говорится об определении актуальных угроз и о выборе мер, которые их нейтрализуют. Дополнительно ч. 5 и 6 ст. 19 предусматривают отраслевые акты государственных органов и решения объединений операторов, где угрозы могут быть определены для видов деятельности. Есть ли такой акт для вашей отрасли, проверьте отдельно: в этой статье мы их не разбирали.

 

## Нужна ли модель угроз малому бизнесу и ИП

 

Требование относится к оператору, а не к организациям определённого размера. Исключений для малого бизнеса мы в ст. 19 и постановлении № 1119 не нашли. У типичной малой системы документ получается компактным, у учебного центра с платформой или клиники с картотекой подробнее. Если же данные только на бумаге и информационной системы нет, п. 1 ч. 2 ст. 19 в таком виде не применяется (по нашему прочтению): действует постановление № 687, где для каждой категории данных определяются места хранения носителей и перечень лиц с доступом (п. 13). Что считать ИСПДн, разобрано в статье [об ИСПДн и их классификации](https://ftex.pro/blog/ispdn-chto-eto-i-klassifikaciya/).

 

Отдельной части ст. 13.11 КоАП за отсутствие документа «модель угроз» мы в тексте статьи не нашли. Штрафы там привязаны к другим составам: например, к последствиям при хранении материальных (в частности бумажных) носителей при обработке без средств автоматизации (ч. 6) и к неправомерной передаче данных (ч. 12–18). Нарушение требований о защите информации может подпасть и под ст. 13.12 КоАП (ч. 6: для юрлиц 50–100 тыс. ₽), применяется ли она к операторам ПДн на практике, мы не проверяли. Но по запросу Роскомнадзора оператор обязан представить документы и (или) иным образом подтвердить принятие мер, в числе которых меры по ст. 19 (ч. 4 и п. 3 ч. 1 ст. 18.1). Поэтому, наша рекомендация, результат лучше иметь в виде документа.

 

## Как модель угроз влияет на выбор мер

 

| Шаг | Что происходит | Опора |
|---|---|---|
| 1 | Описывается система, данные, пользователи, внешние связи | Практика |
| 2 | Определяются актуальные угрозы | П. 1 ч. 2 ст. 19; п. 2, 6 ПП № 1119 |
| 3 | Из угроз следует тип: 1-й, 2-й или 3-й (недокументированные возможности в системном или прикладном ПО) | П. 6, 7 ПП № 1119 |
| 4 | Тип угроз, категории данных, число людей и признак «данные только работников» дают уровень защищённости | П. 8–12 ПП № 1119 |
| 5 | Для уровня берётся базовый набор мер, он адаптируется и уточняется так, чтобы нейтрализовать все актуальные угрозы | П. 9 приказа № 21 |
| 6 | Если реализовать меру нельзя, разрабатываются компенсирующие меры с обоснованием | П. 10 приказа № 21 |
| 7 | При новых технологиях и дополнительных угрозах, для которых нет мер, — снова компенсирующие меры | П. 13 приказа № 21 |

 

Именно поэтому модель угроз нельзя просто скопировать: без неё нечем обосновать ни тип угроз, ни то, почему какие-то меры в вашей системе не применяются. Меры разобраны в статье [о приказе ФСТЭК № 21](https://ftex.pro/blog/prikaz-fstek-21-mery-zashchity-pdn/), уровни — в статье [об уровнях защищённости](https://ftex.pro/blog/urovni-zashchishchennosti-pdn/), а запись результата — в статье [об акте определения уровня](https://ftex.pro/blog/akt-opredeleniya-urovnya-zashchishchennosti/).

 

## Из чего состоит модель угроз

 

Структуру ниже мы предлагаем как рекомендацию. Закон не говорит, какие разделы должны быть в документе, поэтому ориентируйтесь на логику цепочки выше.

 

| Раздел | Что в нём |
|---|---|
| 1. Описание системы | Что за система, цель обработки, где размещена, кто имеет доступ, с чем связана (интернет, облако, подрядчики) |
| 2. Данные и субъекты | Категории данных, чьи они, сколько субъектов, не являющихся работниками |
| 3. Источники угроз | Кто и откуда может нарушить безопасность: внешние лица, сотрудники, подрядчики, сбои |
| 4. Возможные угрозы | Перечень угроз для этой системы: несанкционированный доступ, утечка, потеря, изменение, недоступность |
| 5. Оценка актуальности | Какие угрозы актуальны и почему, какие нет |
| 6. Тип угроз | Вывод о типе по п. 6 постановления № 1119 с обоснованием |
| 7. Уровень и меры | Уровень по п. 8–12 и перечень мер, соответствующих уровню |

 

Данные для разделов 1 и 2 удобно брать из [перечня ИСПДн](https://ftex.pro/blog/perechen-ispdn/) и [перечня персональных данных](https://ftex.pro/blog/perechen-personalnyh-dannyh/). Реагирование на инциденты, которые описаны в модели как угрозы, оформляют отдельно, см. [регламент реагирования на инциденты](https://ftex.pro/blog/reglament-reagirovaniya-na-incidenty-pdn/). Модель угроз для объектов критической информационной инфраструктуры — отдельная тема, мы её не берём.

 

## Методика ФСТЭК 2021 и банк данных угроз

 

Во всех разговорах о моделях угроз встречаются два источника: методика оценки угроз безопасности информации ФСТЭК (по нашим сведениям, от 5 февраля 2021 года) и банк данных угроз безопасности информации ФСТЭК. На эту методику мы ориентируемся в своей работе, так сказано и на странице услуги, но её текст для этой статьи не разбирали.

 

Что мы подтверждаем, а что нет. Закон, постановление № 1119 и приказ № 21 на методику и банк данных не ссылаются. Сами тексты методики и банка данных мы для этой статьи не открывали, поэтому порядок оценки угроз по шагам не пересказываем и обязательность методики для вашей системы не утверждаем. Если вам нужна модель угроз по конкретной методике, скажите об этом на разборе до начала работы.

 

## Нужна ли лицензия ФСТЭК на модель угроз

 

Лицензирование деятельности по технической защите конфиденциальной информации определяет постановление № 79. В п. 4 Положения лицензируются: услуги по контролю защищённости информации от утечки по техническим каналам и от несанкционированного доступа, мониторинг информационной безопасности, аттестационные испытания и аттестация, проектирование в защищённом исполнении, установка, монтаж, наладка, испытания и ремонт средств защиты.

 

Подготовка документов — описания системы, определения угроз и уровня — в этом перечне прямо не названа. Прямого разъяснения ФСТЭК именно о модели угроз как документе мы не нашли, поэтому наш вывод — только прочтение: для подготовки документов лицензия, по нашему прочтению, не нужна, а работы из списка выше выполняет лицензиат. Приказ № 21 (п. 2) говорит, что для работ по обеспечению безопасности «могут привлекаться» организации и ИП с такой лицензией, то есть это возможность, а не общее требование. Мы работаем в границах документов и не оказываем лицензируемых услуг: если вашей системе они нужны, скажем об этом до договора. Подробнее в хабе [защита персональных данных](https://ftex.pro/blog/zashchita-personalnyh-dannyh/).

 

## Как мы помогаем

 

Услуга [«Модель угроз персональных данных»](https://ftex.pro/model-ugroz-pdn/) от 12 900 ₽ для типичной малой системы: сайт, CRM, 1С. Цену называем после разбора и до договора. В работу входят:

 

- описание системы: какие информационные системы, какие данные, где хранятся и кто имеет доступ;
- тип угроз и уровень защищённости по постановлению № 1119, оформленные документом;
- модель угроз по методике ФСТЭК 2021 года: актуальные угрозы и нарушители для вашей системы;
- перечень мер защиты, соответствующих уровню: что должно быть, без внедрения. Внедрять можно силами вашего ИТ.

 

От вас нужно немного: список систем (сайт, CRM, 1С, облака, серверы) без технических подробностей, какие данные и о ком вы собираете, сколько сотрудников и у кого доступ, кто отвечает за ИТ. Правки вносим, пока вы не скажете «принимаю». Не берём: аттестацию, установку и настройку средств защиты, мониторинг (на них нужна лицензия ФСТЭК), критическую информационную инфраструктуру, государственные информационные системы и системы с криптографией. Для остальных бумаг есть [документы по 152-ФЗ](https://ftex.pro/dokumenty-po-152-fz/) за 9 900 ₽.

 

Описание системы, тип угроз, модель угроз, перечень мер · внедрения и аттестации нет

 

Определим угрозы и уровень защищённости — от 12 900 ₽

 

[Оставить заявку →](https://ftex.pro/model-ugroz-pdn/)

 

## Нормативные документы

 

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

 

- [Закон № 152-ФЗ, ст. 19 — меры по обеспечению безопасности персональных данных, определение угроз](https://www.consultant.ru/document/cons_doc_LAW_61801/ca9e5658710519f09ab2fdb8196fcb3eb024a051/)
- [Закон № 152-ФЗ, ст. 18.1 — меры оператора, подтверждение мер по запросу](https://www.consultant.ru/document/cons_doc_LAW_61801/eeeebe22bf738fd65bb66b95cc278911ae2525ee/)
- [Постановление Правительства РФ от 01.11.2012 № 1119 — тип угроз (п. 6, 7), уровни защищённости (п. 8–12)](https://base.garant.ru/70252506/)
- [Приказ ФСТЭК России от 18.02.2013 № 21 — выбор и адаптация мер защиты, компенсирующие меры](https://www.consultant.ru/document/cons_doc_LAW_146520/)
- [Постановление Правительства РФ от 03.02.2012 № 79 — лицензирование деятельности по технической защите конфиденциальной информации](https://www.consultant.ru/document/cons_doc_LAW_125798/)
- [Постановление Правительства РФ от 15.09.2008 № 687 — обработка персональных данных без средств автоматизации](https://base.garant.ru/193875/)
- [КоАП РФ, ст. 13.11 — нарушение законодательства в области персональных данных](https://www.consultant.ru/document/cons_doc_LAW_34661/1f421640c6775ff67079ebde06a7d2f6d17b96db/)

## Частые вопросы

### Что такое модель угроз безопасности персональных данных?

Это документ, в котором описаны угрозы для конкретной информационной системы и оценено, какие из них актуальны. Из него следует тип угроз по постановлению № 1119 и, вместе с данными и числом людей, уровень защищённости. Само название «модель угроз» закон не использует.

### Обязательна ли модель угроз для малого бизнеса и ИП?

Определять угрозы безопасности персональных данных в информационных системах обязан оператор (п. 1 ч. 2 ст. 19). Исключений по размеру бизнеса мы не нашли. Объём документа для небольшой системы получается компактным.

### Что говорит закон о модели угроз?

Закон говорит об определении угроз, а не о модели: п. 1 ч. 2 ст. 19 и ч. 11 ст. 19. Постановление № 1119 уточняет тип угроз (п. 6, 7), приказ ФСТЭК № 21 говорит о выборе мер, нейтрализующих актуальные угрозы. Слов «модель угроз» в этих текстах нет.

### Кто составляет модель угроз?

Определение угроз — обязанность оператора. Составить документ можно силами своего ИТ-специалиста или внешней организации. Мы готовим документ для типовой малой системы, лицензируемых работ не выполняем.

### Нужна ли лицензия ФСТЭК, чтобы составить модель угроз?

Перечень лицензируемых видов в п. 4 Положения (постановление № 79) включает аттестацию, мониторинг, контроль защищённости, проектирование, установку средств защиты. Подготовка документов там не названа. Прямого разъяснения ФСТЭК о модели угроз мы не нашли, наш вывод — прочтение.

### Чем модель угроз отличается от акта определения уровня защищённости?

Модель описывает угрозы и обосновывает тип угроз. Акт фиксирует результат: категории, число субъектов, тип угроз и уровень. Подробности в статье об акте.

### Что такое методика ФСТЭК 2021 года и банк данных угроз?

Это источники, на которые обычно опираются при оценке угроз: методика ФСТЭК (по нашим сведениям, от 5 февраля 2021 года) и банк данных угроз безопасности информации. Их тексты мы для этой статьи не открывали, поэтому порядок работы с ними не пересказываем.

### Как часто обновлять модель угроз?

Срок закон не задаёт. По нашему прочтению, модель стоит пересматривать при изменении системы, состава данных, места размещения или способов доступа, например при переходе на удалённую работу.

### Сколько стоит модель угроз персональных данных?

От 12 900 ₽ для типичной малой системы (сайт, CRM, 1С). Цену называем после разбора и до договора. В работу входят описание системы, тип угроз и уровень, модель угроз и перечень мер; внедрение и аттестацию мы не оказываем.