Угрозы безопасности информации: виды, источники и как определить актуальные в Самаре

Угроза безопасности информации — это не «хакеры вообще», а вполне конкретная возможность нарушить свойства информации или работу системы: украсть, исказить, заблокировать. Проблема в том, что в интернете под «угрозами» понимают всё подряд, от вируса до землетрясения, а на практике организации нужен короткий и обоснованный перечень, с которым можно работать. Такой перечень называется «актуальные угрозы», и составить его без понимания классификации невозможно.

В статье разберём виды угроз безопасности информации и их источники, объясним, кто такие нарушители Н1–Н4, покажем, что лежит в банке данных угроз ФСТЭК и как по Методике 2021 года определить, какие угрозы актуальны именно для вас. Для компании в Самаре порядок тот же, что и по всей стране: региональных правил здесь нет.

Что такое угроза безопасности информации

В Методике оценки угроз безопасности информации ФСТЭК (утверждена 05.02.2021) угроза описывается четырьмя элементами: кто её реализует (нарушитель или источник), на что воздействует (объекты воздействия), как действует (способы реализации) и чем это грозит (негативные последствия). Запись выглядит так: УБИ = [нарушитель; объекты воздействия; способы реализации; негативные последствия] (п. 5.3.3 Методики).

Эта формула полезна своей конкретностью. «Утечка данных» — не угроза, а результат. Угроза — это, например, «внутренний сотрудник с правами рядового пользователя копирует базу клиентов из CRM на личный носитель, организация получает репутационный и финансовый ущерб». Здесь есть все четыре элемента, и под каждый можно подобрать меры защиты.

Что в Методике не рассматривается: угрозы, связанные со средствами криптографической защиты, и технические каналы утечки (п. 1.4). Кроме того, документ ориентирован на антропогенные угрозы, то есть на действия людей (п. 1.5). Пожары, наводнения и отказы оборудования учитываются в общих планах непрерывности, а не в модели угроз по этой Методике.

Виды угроз безопасности информации: классификации

Единой классификации нет, потому что угрозы можно делить по разным признакам. Практикам достаточно трёх разрезов.

По нарушаемому свойству информации

По источнику угрозы

• Антропогенные — результат действий людей: умышленных (атака, кража, диверсия) и неумышленных (ошибка администратора, потерянный ноутбук). Именно на них ориентирована Методика ФСТЭК.
• Техногенные — отказы техники и инфраструктуры: сбой диска, пропадание питания, авария сети.
• Природные — стихийные явления: пожар, затопление, ураган.

По положению нарушителя

Внешний нарушитель действует снаружи и пытается получить доступ: конкуренты, хакерские группы, вымогатели. Внутренний уже имеет доступ в систему: сотрудники, администраторы, подрядчики с удалённым доступом. Для значимых объектов КИИ в состав анализа прямо включены потенциал и внешних, и внутренних нарушителей (п. 11.1 приказа ФСТЭК № 239). Поэтому в модель всегда включают и тех, кто уже «внутри»: от рядового пользователя до администратора и подрядчика.

Нарушители Н1–Н4: кто может атаковать

Чтобы оценить угрозу, нужно понимать, на что способен тот, кто её реализует. Для этого Методика (п. 5.1.5, приложение 8) вводит четыре уровня возможностей. Для одной системы могут быть актуальны нарушители разных уровней.

Внимание, частая путаница. Обозначения КС1, КС2, КС3, КВ и КА — это классы средств криптографической защиты по требованиям ФСБ. Они выбираются по возможностям источника атак, но уровнями нарушителя не являются. В Требованиях о защите информации в ГИС (приказ ФСТЭК № 117) минимальный уровень нарушителя задаётся классом: К3 — базовый, К2 — повышенный, К1 — высокий (п. 64), а в Методике шкала именно Н1–Н4. Не смешивайте эти обозначения в документах.

Цели нарушителя тоже учитываются: финансовая выгода, хактивизм, шпионаж, месть. От них зависит, какие объекты воздействия ему интересны. Одно дело — вымогатель, которому нужны деньги от любой компании, другое — целевая атака на конкретный завод.

База данных угроз ФСТЭК: что внутри

Банк данных угроз безопасности информации (БДУ) ведёт ФСТЭК на сайте bdu.fstec.ru. Это главный справочник для составления перечня. На 09.10.2026 в нём числится 227 угроз и 97 160 уязвимостей. Разделы на сайте: «Перечень угроз», «Новый раздел угроз», «Угрозы ИИ», «БДУ АСУ ТП» и «Уязвимости в ПО для разработки ИИ».

Раздел об угрозах для систем искусственного интеллекта, по сообщениям отраслевых изданий, появился в конце 2025 года. Он делит угрозы на две части. Для инфраструктуры разработчика это утечка и кража модели, искажение поведения обучаемой модели. Для инфраструктуры оператора — утечки из модели, из хранилищ дополнительных данных, из системного промпта и от агентов. Если у вас такие системы есть, их нужно учитывать в модели как отдельный объект воздействия.

БДУ нужна не для того, чтобы переписать её целиком в документ. Она служит исходными данными (п. 2.3 Методики): вместе с отраслевыми моделями, документацией на систему, договорами с облаком, нормативными актами и описанием бизнес-процессов. Копипаст 227 угроз в модель — самая распространённая ошибка, о ней ниже.

Как определить актуальные угрозы по Методике 2021

Актуальная угроза — та, которую реально можно реализовать в вашей системе. Критерий в Методике один и очень практичный: угроза актуальна, если есть хотя бы один сценарий её реализации, то есть последовательность тактик и техник (пп. 5.3.4–5.3.5). На этапе создания системы нужен хотя бы один сценарий для каждого способа реализации и для каждого актуального нарушителя.

Тактик в приложении 11 Методики десять: сбор информации, первоначальный доступ, внедрение и исполнение, закрепление, управление вредоносным кодом, повышение привилегий, сокрытие, распространение доступа, сбор и вывод информации, НСД и воздействие. Сценарий — это цепочка из этих шагов от начала до результата.

Старый способ — коэффициент исходной защищённости, вероятность реализации, показатель опасности — пришёл из методики 2008 года и после 05.02.2021 применяться как действующий порядок не должен. Методика 2021 прямо заменила методику определения актуальных угроз ПДн (2008) и методику для ключевых систем информационной инфраструктуры (2007). А вот «Базовая модель угроз безопасности ПДн» 2008 года в тексте Методики по названию не отменена. Корректно говорить так: исходными данными служат БДУ и Методика 2021, а базовая модель 2008 как основа устарела. Подробнее — в нашем разделе о модели угроз ИБ.

Угрозы персональным данным: типы и уровни защищённости

Для информационных систем персональных данных действует собственная шкала. Постановление Правительства № 1119 выделяет три типа угроз (п. 6):

• 1-й тип — угрозы, связанные с недокументированными возможностями (НДВ) в системном программном обеспечении;
• 2-й тип — НДВ в прикладном ПО;
• 3-й тип — угрозы, не связанные с НДВ.

Тип угроз определяет сам оператор с учётом оценки вреда и отраслевых актов. Дальше по сочетанию типа, категории данных и числа субъектов определяется уровень защищённости: от УЗ-4 (минимальный) до УЗ-1 (максимальный). Обычная коммерческая компания, работающая с обычными ПДн клиентов и сотрудников, нередко попадает в УЗ-3 или УЗ-4. Отдельно стоят отраслевые перечни актуальных угроз, которые утвердили министерства по ч. 5 ст. 19 152-ФЗ: например, приказ Минздрава № 340н (2023), приказ Минпросвещения № 576 (2022), приказ Минобрнауки № 840 (2021), приказ Минпромторга № 954 (2022). Они становятся обязательными исходными данными для операторов своей отрасли, но модель конкретной системы не заменяют.

Заметьте: слова «модель угроз» в 152-ФЗ нет. Закон требует «определения угроз» (ч. 2 ст. 19). Модель — это просто способ оформить результат, и для ПДн-контура на практике так делают почти все. Более подробно о правовой стороне расскажет раздел о модели угроз ПДн.

Примеры угроз для типовой компании

Для наглядности приведём несколько типовых сценариев офисной организации. Это иллюстрация, а не готовый перечень: актуальность в вашей системе определяется отдельно.

Обратите внимание: у каждой строки есть сценарий — реальная цепочка шагов. Если для вашей системы такой цепочки построить нельзя (например, у системы нет выхода в интернет и нет внешних подрядчиков), угроза в перечень актуальных не попадает.

Что делать дальше: от угроз к модели угроз

Угрозы сами по себе ничего не защищают. Их нужно зафиксировать в документе, из которого вытекает состав мер. Этот документ называется моделью угроз безопасности информации; рекомендуемая структура даётся в приложении 3 Методики. Модель поддерживается в актуальном виде, её меняют при изменении законодательства, архитектуры, появлении новых угроз в БДУ или по итогам пентеста и аудита (п. 2.14).

Где модель обязательна, а где решает руководитель — зависит от типа системы. Для ГИС она нужна по ПП № 676 и приказу ФСТЭК № 117 (действует с 01.03.2026, вместо приказа № 17), причём с согласованием ФСТЭК и ФСБ. Для значимых объектов КИИ — по приказу ФСТЭК № 239. Для обычных информационных систем и ИСПДн коммерческой компании обязательного документа с таким названием закон не требует, но определять угрозы всё равно нужно.

Типовые ошибки

• ✗ Скопировали все 227 угроз из БДУ → отберите угрозы по объектам воздействия и построенным сценариям.
• ✗ Оценили актуальность по коэффициентам методики 2008 года → применяйте Методику 2021: актуальна та угроза, для которой есть хотя бы один сценарий.
• ✗ Нарушители описаны словами «хакеры и конкуренты» → укажите уровень Н1–Н4 и цели; не путайте с классами СКЗИ КС1–КВ.
• ✗ Ссылаются на приказ ФСТЭК № 17 как на действующий для ГИС → с 01.03.2026 действует приказ № 117.
• ✗ Модель написана один раз и забыта → обновляйте её при изменении системы, новых угрозах в БДУ и по итогам аудита.

Чем поможет МелданаСБ

МелданаСБ помогает организациям в Самаре и по всей России с документами по информационной безопасности. Модель угроз мы оформляем как услугу методического сопровождения: даём шаблон по структуре Методики 2021, указания по заполнению и консультации, а затем проверяем готовый документ. Саму модель готовит и утверждает специалист заказчика: так предполагает п. 2.7 Методики, где оценку проводят силы подразделения по защите информации. Работы для ГИС, значимых объектов КИИ и банков ведём вместе с партнёром-лицензиатом ФСТЭК.

Частые вопросы

Если нужна готовая рамка, начните с модели угроз ИБ или комплекта документов по информационной безопасности, а требования найдите в нормативной базе. Текст Методики опубликован на fstec.ru.