Модель угроз для значимого объекта КИИ в Сергиев Посад: приказ ФСТЭК № 239 и Методика 2021

После того как объект внесён в реестр значимых объектов критической информационной инфраструктуры (КИИ), у владельца возникает закономерный вопрос: с чего начать выстраивать систему безопасности. Первым документом, без которого невозможно корректно выбрать меры защиты и обосновать бюджет на них, становится модель угроз безопасности информации. Именно она определяет, от кого и от чего защищаться, какие сценарии атак считать реальными и какие негативные последствия предотвращать.

В Сергиев Посад, как и в других регионах России, требования к этому документу для значимых объектов КИИ заданы приказом ФСТЭК России от 25.12.2017 № 239, а порядок разработки — Методикой оценки угроз безопасности информации от 5 февраля 2021 г. В статье разберём, обязательна ли модель угроз, что в неё должно входить, кто её утверждает, зачем нужны нарушители уровней Н1–Н4 и как методическое сопровождение «МелданаСБ» помогает оператору подготовить документ за 7 рабочих дней.

Нужна ли модель угроз: владелец значимого объекта КИИ

Для значимого объекта КИИ ответ однозначный: да, модель угроз обязательна. Приказ ФСТЭК России от 25.12.2017 № 239 в пункте 11 прямо относит к мерам по созданию системы безопасности «анализ угроз безопасности информации и разработку модели угроз или её уточнение (при её наличии)». При этом анализ угроз должен включать источники угроз и потенциал нарушителей, уязвимости, способы и сценарии реализации, а также возможные последствия (п. 11.1). Исходными данными служат банк данных угроз ФСТЭК (БДУ) и методические документы ФСТЭК.

Методика оценки угроз безопасности информации, утверждённая ФСТЭК 5 февраля 2021 г., обязательна для применения к значимым объектам КИИ. Это следует из п. 11.1 приказа № 239. Модель, созданная по этой методике, содержит не просто список угроз, а их сценарии, привязанные к архитектуре конкретного объекта и возможностям нарушителей уровней Н1–Н4.

Обратите внимание: модель нужна после того, как объект получил категорию значимости. Категорирование проводится по Правилам, утверждённым постановлением Правительства РФ от 08.02.2018 № 127, и модель угроз для этого процесса не требуется. Более того, разработка модели до категорирования не ускорит внесение в реестр значимых объектов. Ниже — в какой ситуации документ действительно обязателен, а когда достаточно рекомендации.

Какие системы и объекты воздействия учитывать

Модель угроз для значимого объекта КИИ не может ограничиваться одним сервером или одной программой. Методика 2021 требует описать системы и сети как объекты защиты: архитектуру, интерфейсы, группы пользователей, внешние подключения, в том числе к интернету и облачным сервисам. Для промышленных и производственных объектов, которые чаще всего встречаются в Сергиев Посад, в модель, как правило, включают следующие системы.

Нарушители и сценарии атак

Методика 2021 требует определить не просто абстрактного «хакера», а конкретные категории нарушителей с их целями и уровнями возможностей. Для одной системы могут быть актуальны нарушители разных уровней — от Н1 до Н4. Уровень Н1 — базовые возможности, Н2 — базовые повышенные, Н3 — средние, Н4 — высокие (спецслужбы иностранных государств). Для большинства значимых объектов КИИ в промышленности, как правило, актуальны нарушители уровней Н2–Н3: внешние злоумышленники с опытом и внутренние сотрудники с легальным доступом.

На основе БДУ ФСТЭК и отраслевой практики для значимого объекта КИИ обычно рассматривают следующие типовые сценарии:

• Первоначальный доступ через фишинг или уязвимости веб-интерфейсов — тактика Т2, воздействие на АРМ операторов или инженерные станции. Последствия: загрузка вредоносного кода в технологическую сеть.
• Компрометация подрядчика с удалённым доступом — внешний нарушитель уровня Н3 использует легальный VPN-доступ. Последствия: манипуляции с параметрами АСУ ТП.
• Инсайдер с легальным доступом — внутренний нарушитель уровня Н2 повышает привилегии (тактика Т6) и вносит изменения в алгоритмы управления. Последствия: скрытое нарушение технологического режима.
• Атака через смежные системы — из корпоративной сети или облака поставщика (при отсутствии оценки угроз поставщика инфраструктура считается скомпрометированной). Последствия: распространение доступа (Т8) на критичные системы.
• Сбор и вывод информации — тактика Т9, после закрепления (Т4) и управления вредоносным кодом (Т5). Цель: параметры процесса, схемы сети, данные для подготовки повторной атаки.

Для каждой угрозы в модели фиксируется сценарий — последовательность тактик и техник из приложения 11 Методики 2021. Угроза считается актуальной только при наличии хотя бы одного реализуемого сценария (п. 5.3.4). Именно поэтому бессмысленно копировать все 227 записей из БДУ ФСТЭК: актуальными для конкретного объекта становятся лишь те, которые подтверждены сценарием.

Как разработать модель угроз: этапы по Методике

Методика 2021 допускает, что оценку угроз выполняет подразделение по защите информации оператора совместно с ИТ-подразделением и профильными специалистами (п. 2.7). Сторонние организации могут привлекаться по решению оператора, но при договорной разработке исполнитель должен иметь лицензию ФСТЭК на ТЗКИ. Наша услуга построена иначе: документ готовит ваш специалист по нашему шаблону и методическим указаниям, а мы сопровождаем и проверяем результат. Вот как это выглядит по этапам Методики.

Особенности, о которых забывают

• ✓ Модель угроз не нужна для категорирования. Категорирование объекта КИИ проводится по ПП РФ № 127 на основе показателей значимости. Модель разрабатывают уже после присвоения категории, когда создаётся система безопасности. Если вы ещё на этапе определения категории, вам нужна услуга категорирования объектов КИИ.
• ✓ ГосСОПКА. С 01.09.2025 владельцы значимых объектов обязаны обеспечивать непрерывное взаимодействие с ГосСОПКА. Модель угроз должна учитывать сценарии атак, которые могут быть зафиксированы НКЦКИ, и интерфейсы, через которые передаются данные об инцидентах.
• ✓ Доверенные ПАК. На значимых объектах действует требование о преимущественном применении доверенных программно-аппаратных комплексов (ПП РФ № 1912). Это влияет на описание объектов воздействия и на выбор мер, которые должны нейтрализовать угрозы из модели.
• ✓ Переходные положения. Если модель утверждена до 05.02.2021, её можно не переделывать до модернизации системы. Но при изменении архитектуры, появлении новых угроз в БДУ или после пентеста модель нужно актуализировать (п. 2.14 Методики).
• ✓ Кзи и Узи с 01.03.2027. Приказ ФСТЭК № 220 вводит для значимых объектов КИИ расчёт показателя защищённости Кзи раз в 6 месяцев и уровня зрелости Узи раз в 3 года. Модель угроз становится исходными данными для этих оценок, поэтому её качество напрямую повлияет на итоговые показатели.

Разбор на примере: значимый объект III категории — АСУ ТП котельной

Как шла работа:

Что будет без модели угроз

Прямого штрафа именно за отсутствие документа «модель угроз» в КоАП РФ нет. Однако для значимого объекта КИИ невыполнение требований приказа ФСТЭК № 239 может быть квалифицировано как нарушение требований о защите информации по ст. 13.12.1 КоАП РФ. Кроме того, при проверке ФСТЭК отсутствие модели будет зафиксировано как невыполнение обязательных мер, что повлечёт предписание устранить нарушение.

Гораздо серьёзнее косвенные последствия. Без модели угроз невозможно корректно обосновать выбор организационных и технических мер, а значит, систему безопасности нельзя считать адекватной категории значимости. При инциденте или аварии отсутствие актуальной модели ослабит позицию оператора: будет сложно доказать, что принятые меры были достаточными и основывались на оценке рисков. А с 01.03.2027, когда для ЗОКИИ вводится Кзи, без модели угроз вы просто не сможете корректно рассчитать показатель защищённости, так как именно модель содержит перечень актуальных угроз, которые меры должны нейтрализовать.

Чем поможем и сколько это стоит

Мы не берём на себя договорную разработку модели угроз и не подменяем лицензиата ФСТЭК на ТЗКИ. Наша услуга — методическое сопровождение. Вы получаете всё необходимое, чтобы ваш специалист по защите информации подготовил документ самостоятельно: адаптированный под ваш тип системы шаблон по структуре Методики 2021, методические указания по каждому разделу, две консультации с разбором архитектуры и сценариев, а также проверку готовой модели с письменными замечаниями. Документ утверждает руководитель оператора, как и требует Методика 2021.

Если вам нужна разработка модели по договору, для ГИС или значимого объекта КИИ с аттестацией — мы работаем вместе с партнёром-лицензиатом ФСТЭК, который выполняет работы, требующие лицензии ТЗКИ. В этом случае договор заключается с партнёром, а «МелданаСБ» помогает со сбором исходных данных и постановкой задачи.

• Адаптированный шаблон модели угроз по Методике ФСТЭК 2021 для значимого объекта КИИ (в т.ч. АСУ ТП)
• Методические указания по разделам: негативные последствия, объекты воздействия, нарушители Н1–Н4, способы реализации, сценарии
• Две консультации со специалистом по защите информации (разбор архитектуры и отбор угроз из БДУ)
• Проверка готового документа с письменными замечаниями
• Проект приказа об утверждении модели угроз

Цена ниже рыночной, потому что мы не выполняем работу «под ключ» за вас — документ готовит ваш специалист, а мы даём отработанные типовые решения, дистанционный формат и методическую поддержку. Это экономит время и бюджет, но требует участия вашей ИТ-службы. Для компаний в Сергиев Посад формат удобен: не нужно организовывать выезды, а консультации проходят по видеосвязи.

Частые вопросы

Если вы только определяете, является ли ваш объект значимым, начните с категорирования объектов КИИ. Если нужна сама модель угроз — выберите методическое сопровождение модели угроз. А для комплексного набора организационных документов по информационной безопасности обратите внимание на документы по информационной безопасности. Работаем дистанционно по всей России, включая Сергиев Посад.