Модель угроз для банка и финансовой организации в Воронеже: требования ЦБ и ФСТЭК

Финансовая организация в Воронеже готовится к очередной проверке Банка России по ГОСТ Р 57580 или аудиту информационной безопасности. В перечне запрашиваемых документов есть модель угроз. Руководитель ИТ-службы и ответственный за ИБ сомневаются: нужен ли отдельный документ по Методике ФСТЭК 2021, если есть отраслевая модель угроз ЦБ? Или достаточно оценки рисков по стандарту? Практика показывает: проверяющих интересует не только наличие документа, но и то, как он связан с реальной архитектурой, какие сценарии атак отработаны и какие меры выбраны на основе именно этих угроз.

Разберём, какие нормативные требования применимы к банкам, МФО, страховым компаниям и другим участникам финансового рынка, как правильно сформировать модель угроз, кто её утверждает, нужно ли согласовывать с регуляторами и как не потратить на это лишние недели. Покажем типовой разбор на примере микрофинансовой компании с онлайн-выдачей займов.

Нужна ли модель угроз: кредитная или некредитная финансовая организация

Финансовый сектор регулируется несколькими параллельными контурами: требования ЦБ к защите информации, закон о персональных данных, требования к критической информационной инфраструктуре (КИИ). Универсального ответа «да, всем нужна» нет — всё зависит от того, какие системы эксплуатирует организация и какой правовой статус у этих систем.

Для кредитных организаций базовый документ — ГОСТ Р 57580.1-2017 и Положение Банка России № 851-П (по имеющимся данным, заменило 683-П). Для некредитных финансовых организаций (МФО, страховщики, НПФ) применяются ГОСТ 57580 и профильные положения ЦБ. Если организация обрабатывает персональные данные клиентов или сотрудников, дополнительно работают 152-ФЗ, ПП № 1119 и приказ ФСТЭК № 21. Если её системы входят в перечень типовых отраслевых объектов КИИ — появляются обязанности по 187-ФЗ и приказу ФСТЭК № 239.

Важно: сама по себе модель угроз не отменяет обязанности выполнять меры защиты, а задаёт их состав. Если проверка ЦБ выявит, что меры не соответствуют заявленным актуальным угрозам, это будет нарушением ГОСТ Р 57580, независимо от наличия документа.

Какие системы и объекты воздействия учитывать

Модель угроз строится не «вообще для организации», а для конкретных систем или их совокупности. В финансовой сфере типовой набор включает автоматизированную банковскую систему (АБС), дистанционное банковское обслуживание (ДБО), процессинг, системы быстрых платежей, личные кабинеты, банкоматы и POS-терминалы. Для каждой системы определяются объекты воздействия и негативные последствия от реализации угроз.

Нарушители и сценарии атак

Методика ФСТЭК 2021 предписывает рассматривать антропогенные угрозы, то есть действия нарушителей. Для финансовой организации актуальны как внешние, так и внутренние нарушители: хакерские группы, мошенники, инсайдеры, привилегированные сотрудники ИТ-подразделений, подрядчики с удалённым доступом. Уровни возможностей нарушителей обозначаются от Н1 (базовые) до Н4 (высокие). Для систем с высокими требованиями к защите, как правило, рассматриваются нарушители уровня Н2–Н3, а при наличии признаков целевой атаки — Н4.

Типовые сценарии, которые стоит отразить в модели:

• Фишинг на сотрудника. Нарушитель отправляет письмо с вредоносным вложением, получает первоначальный доступ к корпоративной сети, затем продвигается к АБС. Используются тактики сбора информации, первоначального доступа, распространения доступа.
• Эксплуатация уязвимости в ДБО. Атака через веб-интерфейс или мобильное приложение, перехват сессии, подмена запросов, попытка вывода средств. Как правило, нарушитель уровня Н2–Н3.
• Компрометация рабочего места операциониста. Вредоносное ПО на АРМе, кейлоггер, снятие паролей. Далее попытка провести платёж от имени сотрудника.
• Атака на банкомат. Физический доступ, подключение к внутренней шине, загрузка вредоносного ПО, подмена прошивки. Нарушитель может иметь средний или высокий уровень возможностей.
• Инсайдер с доступом к ПДн. Сотрудник выгружает базу клиентов, передаёт её третьим лицам или использует в личных целях. Уровень возможностей часто Н1–Н2, но ущерб высокий.
• Компрометация подрядчика. Внешний сервисный инженер или разработчик имеет удалённый доступ, через него проникает нарушитель. Сценарий отрабатывается с учётом тактики первоначального доступа через доверенные каналы.

Каждый сценарий должен быть связан с конкретными тактиками и техниками из банка данных угроз ФСТЭК (БДУ). Сейчас в БДУ 227 актуальных угроз, и на основе сценариев отбираются те, которые действительно применимы к системе.

Как разработать модель угроз: этапы по Методике

Методика ФСТЭК 2021 задаёт логику: сначала определяем негативные последствия, затем объекты воздействия, оцениваем нарушителей и способы реализации угроз, после чего выводим актуальные угрозы через сценарии. Ниже — этапы и наша роль при методическом сопровождении.

Модель угроз не должна быть «бумагой ради бумаги». Она становится исходными данными для выбора мер защиты, обоснования класса СКЗИ и настройки средств защиты информации.

Особенности, о которых забывают

• ✓ Двойное регулирование ЦБ и ФСТЭК. Банк России устанавливает отраслевые требования к защите информации, ФСТЭК — к модели угроз и мерам защиты для ИСПДн, КИИ и ГИС. Модель угроз должна учитывать оба контура, иначе проверка может выявить пробел.
• ✓ Отраслевая модель угроз ЦБ для ПДн. Указание Банка России № 3889-У определяет актуальные угрозы безопасности ПДн при обработке в ИСПДн финансовых организаций. Это обязательные исходные данные для модели угроз, дополняющие БДУ ФСТЭК.
• ✓ КИИ финрынка. Банковская сфера и иные сферы финансового рынка входят в перечень сфер КИИ. Многие АБС, процессинговые системы, ДБО могут быть признаны значимыми объектами. Для них модель угроз обязательна по приказу ФСТЭК № 239 и отличается составом: обязательно модель нарушителя, описание всех актуальных угроз с источниками, уязвимостями, сценариями и последствиями.
• ✓ Облачные сервисы и ЦОД. Если система размещена в облаке или внешнем ЦОД, модель должна учитывать оценку угроз поставщика. Если поставщик не предоставил оценку, его инфраструктура по Методике считается скомпрометированной нарушителем с максимальным уровнем возможностей.
• ✓ Актуализация после изменений. Модель угроз не пишется один раз. Её пересматривают при изменении архитектуры, правового режима информации, появлении новых угроз в БДУ ФСТЭК, после пентеста или аудита.

Разбор на примере: микрофинансовая компания с онлайн-выдачей

Что будет без модели угроз

Прямого штрафа «за отсутствие модели угроз» в КоАП РФ нет. Однако отсутствие документа или его формальность может привести к серьёзным последствиям при проверках и инцидентах.

• Утечка персональных данных. С 2025 года действуют оборотные штрафы по ст. 13.11 КоАП: от 3–5 млн ₽ за утечку 1–10 тыс. субъектов, до 15–20 млн ₽ за специальные категории или биометрию, при повторном нарушении — 1–3% выручки. Отсутствие оценки угроз и мер защиты ухудшает позицию организации при административном расследовании.
• Нарушение требований к защите информации в ГИС. Если финорганизация участвует в государственной информационной системе, за нарушение требований (включая требование о модели угроз) возможна ответственность по ст. 13.12 ч. 6 КоАП: для юрлиц 50–100 тыс. ₽.
• Нарушение требований к значимым объектам КИИ. Для значимого объекта КИИ модель угроз обязательна. Её отсутствие или несоответствие приказу ФСТЭК № 239 может быть квалифицировано по ст. 13.12.1 КоАП (нарушение требований по безопасности КИИ) с более высокими штрафами.
• Предписания и приостановление операций. Банк России вправе выдавать предписания об устранении нарушений ГОСТ Р 57580 и применять иные меры воздействия. Без модели угроз сложно доказать, что меры защиты выбраны обоснованно.

Чем поможем и сколько это стоит

Мы не разрабатываем модель угроз «под ключ» за оператора — по закону это вправе сделать сама организация. Мы предоставляем методическое сопровождение: адаптированный шаблон по Методике ФСТЭК 2021, указания по каждому разделу, консультации и проверку готового документа. Для работ по договору, ГИС и значимых объектов КИИ подключаем партнёра-лицензиата ФСТЭК.

• Опросный лист и помощь в описании системы (архитектура, схема сети, состав информации, пользователи, внешние подключения).
• Разбор применимых требований и ответ, обязательна ли модель для вашей системы.
• Шаблон модели угроз по структуре Методики 2021, адаптированный под ваш тип системы и отрасль.
• Методические указания по каждому разделу: негативные последствия, объекты воздействия, нарушители и уровни Н1–Н4, сценарии по тактикам и техникам БДУ.
• Для ИСПДн — помощь в определении типа угроз и уровня защищённости по ПП № 1119.
• Две консультации со специалистом по защите информации.
• Проверка готового документа с письменными замечаниями.
• Проект приказа об утверждении модели.

Низкая стоимость объясняется отработанными типовыми решениями и дистанционным форматом. Вы не платите за выезд специалиста и не ждёте долгих согласований. Документ готовит ваш специалист по нашему шаблону и указаниям — это законно и соответствует Методике 2021 (п. 2.7). Мы проверяем результат и даём замечания, чтобы документ выдержал проверку ЦБ или ФСТЭК.

Частые вопросы

Если вы только начинаете проект, посмотрите нашу страницу модели угроз безопасности информации. Для объектов КИИ полезно сначала изучить категорирование объектов КИИ, а затем вернуться к модели угроз. Все документы по информационной безопасности собраны в разделе документы, расчёты и декларации.