---
title: "\"Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных\""
issuer: "Федеральная служба по техническому и экспортному контролю"
status: действует
canonical: "https://bukva.ai/docs/metodika-opredeleniya-aktualnyh-ugroz"
---

## "Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных"

# "Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных"

(утв. ФСТЭК РФ 14.02.2008)

> [!WARNING]
> Документ не применяется для оценки угроз безопасности информации в связи с изданием "Методического [документа](https://bukva.ai/docs/metodicheskiy-dokument-metodika-otsenki-ugroz#p100016). Методика оценки угроз безопасности информации", утв. ФСТЭК России 05.02.2021.
> При применении документа следует учитывать, что Постановлением Правительства РФ от 01.11.2012 N 1119 утверждены новые [Требования](https://bukva.ai/docs/postanovlenie-1119-2012#p100009) к защите персональных данных при их обработке в информационных системах персональных данных.


<div align="right">

<a id="p100001"></a>Утверждена<br>
Заместителем директора<br>
ФСТЭК России<br>
14 февраля 2008 г.

</div>


<a id="p100002"></a>**МЕТОДИКА**
**ОПРЕДЕЛЕНИЯ АКТУАЛЬНЫХ УГРОЗ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ**
**ДАННЫХ ПРИ ИХ ОБРАБОТКЕ В ИНФОРМАЦИОННЫХ СИСТЕМАХ**

<div align="center">

**ПЕРСОНАЛЬНЫХ ДАННЫХ**

</div>



## <a id="p100003"></a>Введение


<a id="p100004"></a>Методика определения актуальных угроз безопасности персональных данных (ПДн) при их обработке в информационных системах персональных данных (ИСПДн) разработана ФСТЭК России на основании Федерального [закона](https://bukva.ai/docs/zakon-152-fz-2006/statya-1#p100145) от 27 июля 2006 г. N 152-ФЗ "О персональных данных" и "[Положения](https://bukva.ai/docs/postanovlenie-781-2007#p100015) об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных", утвержденного Постановлением Правительства Российской Федерации от 17 ноября 2007 г. N 781, с учетом действующих нормативных документов ФСТЭК России по защите информации. Методика предназначена для использования при проведении работ по обеспечению безопасности персональных данных при их обработке в следующих автоматизированных информационных системах персональных данных:
<a id="p100005"></a>государственных или муниципальных ИСПДн;
<a id="p100006"></a>ИСПДн, создаваемых и (или) эксплуатируемых предприятиями, организациями и учреждениями (далее - организациями) независимо от форм собственности, необходимых для выполнения функций этих организаций в соответствии с их назначением;
<a id="p100007"></a>ИСПДн, создаваемых и используемых физическими лицами, за исключением случаев, когда последние используют указанные системы исключительно для личных и семейных нужд.
<a id="p100008"></a>Документ предназначен для специалистов по обеспечению безопасности информации, руководителей организаций и предприятий, организующих и проводящих работы по обработке ПДн в ИСПДн.


## 1. <a id="p100009"></a>Общие положения


<a id="p100010"></a>Под угрозами безопасности ПДн при их обработке в ИСПДн понимается совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных действий при их обработке в информационной системе персональных данных.
<a id="p100011"></a>В соответствии со [статьей 19](https://bukva.ai/docs/zakon-152-fz-2006/statya-1#p100145) Федерального закона N 152-ФЗ от 27 июля 2006 г. "О персональных данных" ПДн должны быть защищены от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий. Угрозы безопасности ПДн при их обработке в ИСПДн могут быть связаны как с непреднамеренными действиями персонала ИСПДн и(или) потребителей, пользующихся услугами, предоставляемыми ИСПДн в соответствии с ее назначением, так и со специально осуществляемыми неправомерными действиями иностранных государств, криминальных сообществ, отдельных организаций и граждан, а также иными источниками угроз.
<a id="p100012"></a>Угрозы безопасности ПДн могут быть реализованы за счет утечки ПДн по техническим каналам (технические каналы утечки информации, обрабатываемой в технических средствах ИСПДн, технические каналы перехвата информации при ее передаче по каналам связи, технические каналы утечки акустической (речевой) информации) либо за счет несанкционированного доступа с использованием соответствующего программного обеспечения.
<a id="p100013"></a>Детальное описание угроз, связанных с утечкой ПДн по техническим каналам, приведено в "Базовой модели угроз безопасности персональных данных при их обработке в информационных системах персональных данных". Выявление технических каналов утечки ПДн осуществляется на основе нормативных и методических документов ФСТЭК России.
<a id="p100014"></a>Источниками угроз, реализуемых за счет несанкционированного доступа к базам данных с использованием штатного или специально разработанного программного обеспечения, являются субъекты, действия которых нарушают регламентируемые в ИСПДн правила разграничения доступа к информации. Этими субъектами могут быть:
<a id="p100015"></a>нарушитель;
<a id="p100016"></a>носитель вредоносной программы;
<a id="p100017"></a>аппаратная закладка.
<a id="p100018"></a>Под нарушителем здесь и далее понимается физическое лицо (лица), случайно или преднамеренно совершающее действия, следствием которых является нарушение безопасности ПДн при их обработке техническими средствами в информационных системах. С точки зрения наличия права легального доступа в помещения, в которых размещены аппаратные средства, обеспечивающие доступ к ресурсам ИСПДн, нарушители подразделяются на два типа:
<a id="p100019"></a>нарушители, не имеющие доступа к ИСПДн, реализующие угрозы из внешних сетей связи общего пользования и (или) сетей международного информационного обмена, - внешние нарушители;
<a id="p100020"></a>нарушители, имеющие доступ к ИСПДн, включая пользователей ИСПДн, реализующие угрозы непосредственно в ИСПДн, - внутренние нарушители.
<a id="p100021"></a>Для ИСПДн, предоставляющих информационные услуги удаленным пользователям, внешними нарушителями могут являться лица, имеющие возможность осуществлять несанкционированный доступ к информации с использованием специальных программных воздействий, алгоритмических или программных закладок через автоматизированные рабочие места, терминальные устройства ИСПДн, подключенные к сетям общего пользования.
<a id="p100022"></a>Возможности внутреннего нарушителя существенным образом зависят от установленного порядка допуска физических лиц к информационным ресурсам ИСПДн и мер по контролю порядка проведения работ.
<a id="p100023"></a>Угрозы несанкционированного доступа от внешних нарушителей реализуются с использованием протоколов межсетевого взаимодействия.
<a id="p100024"></a>Детальное описание угроз, связанных с несанкционированным доступом в ИСПДн персональных данных, приведено в "Базовой модели угроз безопасности персональных данных при их обработке в информационных системах персональных данных".
<a id="p100025"></a>Выявление угроз НСД к ПДн, реализуемых с применением программных и программно-аппаратных средств, осуществляется на основе экспертного метода, в том числе путем опроса специалистов, персонала ИСПДн, должностных лиц, при этом могут использоваться специальные инструментальные средства (сетевые сканеры) для подтверждения наличия и выявления уязвимостей программного и аппаратного обеспечения ИСПДн. Для проведения опроса составляются специальные опросные листы.
<a id="p100026"></a>Наличие источника угрозы и уязвимого звена, которое может быть использовано для реализации угрозы, свидетельствует о наличии данной угрозы. Формируя на основе опроса перечень источников угроз ПДн, на основе опроса и сетевого сканирования перечень уязвимых звеньев ИСПДн, а также по данным обследования ИСПДн - перечень технических каналов утечки информации, определяются условия существования в ИСПДн угроз безопасности информации и составляется их полный перечень. На основании этого перечня в соответствии с описанным ниже порядком формируется перечень актуальных угроз безопасности ПДн.


## 2. <a id="p100027"></a>Порядок определения актуальных угроз безопасности персональных данных в информационных системах персональных данных


<a id="p100028"></a>Актуальной считается угроза, которая может быть реализована в ИСПДн и представляет опасность для ПДн. Подход к составлению перечня актуальных угроз состоит в следующем.
<a id="p100029"></a>Для оценки возможности реализации угрозы применяются два показателя: уровень исходной защищенности ИСПДн и частота (вероятность) реализации рассматриваемой угрозы.
<a id="p100030"></a>Под уровнем исходной защищенности ИСПДн понимается обобщенный показатель, зависящий от технических и эксплуатационных характеристик ИСПДн, приведенных в таблице 1.

<div align="right">

<a id="p100031"></a>Таблица 1

</div>


<div align="center">

<a id="p100032"></a>Показатели исходной защищенности ИСПДн

</div>



<table>
<colgroup><col width="45%"><col width="19%"><col width="18%"><col width="19%"></colgroup>
<tr><td rowspan="2">Технические и эксплуатационные характеристики ИСПДн</td><td colspan="3">Уровень защищенности</td></tr>
<tr><td>высокий</td><td>средний</td><td>низкий</td></tr>
<tr><td>1. По территориальному размещению:</td><td></td><td></td><td></td></tr>
<tr><td>распределенная ИСПДн, которая охватывает несколько областей, краев, округов или государство в целом; городская ИСПДн, охватывающая не более одного населенного пункта (города, поселка); корпоративная распределенная</td><td>- - -</td><td>- - +</td><td>+ + -</td></tr>
<tr><td>ИСПДн, охватывающая многие подразделения одной организации; локальная (кампусная) ИСПДн, развернутая в пределах нескольких близко расположенных зданий; локальная ИСПДн, развернутая в пределах одного здания</td><td>- +</td><td>+ -</td><td>- -</td></tr>
<tr><td>2. По наличию соединения с сетями общего пользования:</td><td></td><td></td><td></td></tr>
<tr><td>ИСПДн, имеющая многоточечный выход в сеть общего пользования;</td><td>-</td><td>-</td><td>+</td></tr>
<tr><td>ИСПДн, имеющая одноточечный выход в сеть общего пользования;</td><td>-</td><td>+</td><td>-</td></tr>
<tr><td>ИСПДн, физически отделенная от сети общего пользования</td><td>+</td><td>-</td><td>-</td></tr>
<tr><td>3. По встроенным (легальным) операциям с записями баз персональных данных: чтение, поиск; запись, удаление, сортировка; модификация, передача</td><td>+ - -</td><td>- + -</td><td>- - +</td></tr>
<tr><td>4. По разграничению доступа к персональным данным:</td><td></td><td></td><td></td></tr>
<tr><td>ИСПДн, к которой имеют доступ определенные перечнем сотрудники организации, являющейся владельцем ИСПДн, либо субъект ПДн;</td><td>-</td><td>+</td><td>-</td></tr>
<tr><td>ИСПДн, к которой имеют доступ все сотрудники организации, являющейся владельцем ИСПДн;</td><td>-</td><td>-</td><td>+</td></tr>
<tr><td>ИСПДн с открытым доступом</td><td>-</td><td>-</td><td>+</td></tr>
<tr><td>5. По наличию соединений с другими базами ПДн иных ИСПДн:</td><td></td><td></td><td></td></tr>
<tr><td>интегрированная ИСПДн</td><td>-</td><td>-</td><td>+</td></tr>
<tr><td>(организация использует несколько баз ПДн ИСПДн, при этом организация не является владельцем всех используемых баз ПДн);</td><td></td><td></td><td></td></tr>
<tr><td>ИСПДн, в которой используется одна база ПДн, принадлежащая организации - владельцу данной</td><td>+</td><td>-</td><td>-</td></tr>
<tr><td>ИСПДн</td><td></td><td></td><td></td></tr>
<tr><td>6. По уровню обобщения</td><td></td><td></td><td></td></tr>
<tr><td>(обезличивания) ПДн:</td><td></td><td></td><td></td></tr>
<tr><td>ИСПДн, в которой предоставляемые пользователю данные являются обезличенными</td><td>+</td><td>-</td><td>-</td></tr>
<tr><td>(на уровне организации, отрасли, области, региона и т.д.);</td><td></td><td></td><td></td></tr>
<tr><td>ИСПДн, в которой данные обезличиваются только при передаче в другие организации и не обезличены при предоставлении пользователю в организации;</td><td>-</td><td>+</td><td>-</td></tr>
<tr><td>ИСПДн, в которой предоставляемые пользователю данные не являются обезличенными (т.е. присутствует информация, позволяющая идентифицировать субъекта ПДн)</td><td>-</td><td>-</td><td>+</td></tr>
<tr><td>7. По объему ПДн, которые предоставляются сторонним пользователям ИСПДн без предварительной обработки:</td><td></td><td></td><td></td></tr>
<tr><td>ИСПДн, предоставляющая всю базу данных с ПДн;</td><td>-</td><td>-</td><td>+</td></tr>
<tr><td>ИСПДн, предоставляющая часть</td><td>-</td><td>+</td><td>-</td></tr>
<tr><td>ПДн;</td><td></td><td></td><td></td></tr>
<tr><td>ИСПДн, не предоставляющая никакой информации</td><td>+</td><td>-</td><td>-</td></tr>
</table>


<a id="p100041"></a>Исходная степень защищенности определяется следующим образом.
1. <a id="p100042"></a>ИСПДн имеет высокий уровень исходной защищенности, если не менее 70% характеристик ИСПДн соответствуют уровню "высокий" (суммируются положительные решения по первому столбцу, соответствующему высокому уровню защищенности), а остальные - среднему уровню защищенности (положительные решения по второму столбцу).
2. <a id="p100043"></a>ИСПДн имеет средний уровень исходной защищенности, если не выполняются условия по [пункту 1](#p100042) и не менее 70% характеристик ИСПДн соответствуют уровню не ниже "средний" (берется отношение суммы положительные решений по второму столбцу, соответствующему среднему уровню защищенности, к общему количеству решений), а остальные - низкому уровню защищенности.
3. <a id="p100044"></a>ИСПДн имеет низкую степень исходной защищенности, если не выполняются условия по [пунктам 1](#p100042) и [2](#p100043).
<a id="p100045"></a>    При  составлении  перечня  актуальных  угроз  безопасности  ПДн  каждой
степени  исходной защищенности ставится в соответствие числовой коэффициент
Y , а именно:
 1
<a id="p100046"></a>0 - для высокой степени исходной защищенности;
<a id="p100047"></a>5 - для средней степени исходной защищенности;
<a id="p100048"></a>10 - для низкой степени исходной защищенности.
<a id="p100049"></a>Под частотой (вероятностью) реализации угрозы понимается определяемый экспертным путем показатель, характеризующий, насколько вероятным является реализация конкретной угрозы безопасности ПДн для данной ИСПДн в складывающихся условиях обстановки. Вводятся четыре вербальных градации этого показателя:
<a id="p100050"></a>маловероятно - отсутствуют объективные предпосылки для осуществления угрозы (например, угроза хищения носителей информации лицами, не имеющими легального доступа в помещение, где последние хранятся);
<a id="p100051"></a>низкая вероятность - объективные предпосылки для реализации угрозы существуют, но принятые меры существенно затрудняют ее реализацию (например, использованы соответствующие средства защиты информации);
<a id="p100052"></a>средняя вероятность - объективные предпосылки для реализации угрозы существуют, но принятые меры обеспечения безопасности ПДн недостаточны;
<a id="p100053"></a>высокая вероятность - объективные предпосылки для реализации угрозы существуют и меры по обеспечению безопасности ПДн не приняты.
<a id="p100054"></a>    При  составлении  перечня  актуальных  угроз  безопасности  ПДн  каждой
градации  вероятности возникновения угрозы ставится в соответствие числовой
коэффициент Y , а именно:
             2
<a id="p100055"></a>0 - для маловероятной угрозы;
<a id="p100056"></a>2 - для низкой вероятности угрозы;
<a id="p100057"></a>5 - для средней вероятности угрозы;
<a id="p100058"></a>10 - для высокой вероятности угрозы.
<a id="p100059"></a>С учетом изложенного коэффициент реализуемости угрозы Y будет определяться соотношением

<a id="p100060"></a>                             Y = (Y + Y ) / 20
                                   1   2

<a id="p100061"></a>По значению коэффициента реализуемости угрозы Y формируется вербальная интерпретация реализуемости угрозы следующим образом:
<a id="p100062"></a>если 0 </= Y </= 0,3, то возможность реализации угрозы признается низкой;
<a id="p100063"></a>если 0,3 < Y </= 0,6, то возможность реализации угрозы признается средней;
<a id="p100064"></a>если 0,6 < Y </= 0,8, то возможность реализации угрозы признается высокой;
<a id="p100065"></a>если Y > 0,8, то возможность реализации угрозы признается очень высокой.
<a id="p100066"></a>Далее оценивается опасность каждой угрозы. При оценке опасности на основе опроса экспертов (специалистов в области защиты информации) определяется вербальный показатель опасности для рассматриваемой ИСПДн. Этот показатель имеет три значения:
<a id="p100067"></a>низкая опасность - если реализация угрозы может привести к незначительным негативным последствиям для субъектов персональных данных;
<a id="p100068"></a>средняя опасность - если реализация угрозы может привести к негативным последствиям для субъектов персональных данных;
<a id="p100069"></a>высокая опасность - если реализация угрозы может привести к значительным негативным последствиям для субъектов персональных данных.
<a id="p100070"></a>Затем осуществляется выбор из общего (предварительного) перечня угроз безопасности тех, которые относятся к актуальным для данной ИСПДн, в соответствии с правилами, приведенными в таблице 2.

<div align="right">

<a id="p100071"></a>Таблица 2

</div>


<div align="center">

<a id="p100072"></a>Правила отнесения угрозы безопасности ПДн к актуальной

</div>



<table>
<colgroup><col width="20%"><col width="27%"><col width="28%"><col width="24%"></colgroup>
<tr><td>Возможность реализации</td><td colspan="3">Показатель опасности угрозы</td></tr>
<tr><td>угрозы</td><td>низкая</td><td>средняя</td><td>высокая</td></tr>
<tr><td>Низкая</td><td>неактуальная</td><td>неактуальная</td><td>актуальная</td></tr>
<tr><td>Средняя</td><td>неактуальная</td><td>актуальная</td><td>актуальная</td></tr>
<tr><td>Высокая</td><td>актуальная</td><td>актуальная</td><td>актуальная</td></tr>
<tr><td>Очень высокая</td><td>актуальная</td><td>актуальная</td><td>актуальная</td></tr>
</table>


<a id="p100078"></a>С использованием данных о классе ИСПДн и составленного перечня актуальных угроз, на основе "Рекомендаций по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных" и "Основных мероприятий по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных" формулируются конкретные организационно-технические требования по защите ИСПДн от утечки информации по техническим каналам, от несанкционированного доступа и осуществляется выбор программных и технических средств защиты информации, которые могут быть использованы при создании и дальнейшей эксплуатации ИСПДн.



<a id="p100079"></a>

---