Ответственность за отсутствие модели угроз: штрафы и проверки в Челябинске

Руководителю компании или ИТ-директору перед проверкой важно понимать, чем реально грозит отсутствие модели угроз безопасности информации. Часто возникает путаница: прямого штрафа «за саму бумагу» в КоАП нет, но без модели невозможно подтвердить выполнение обязательных требований по защите информации, а при утечке или предписании регулятора её отсутствие становится отягчающим обстоятельством. В Челябинске это актуально и для коммерческих операторов персональных данных, и для госучреждений с ГИС, и для субъектов КИИ.

В этой статье разберём по порядку: какие контролирующие органы и на каком основании запрашивают модель угроз, какие статьи КоАП применяются, что показывает практика проверок и как подготовиться к визиту инспектора. Отдельно остановимся на типовых ошибках, из-за которых модель признают формальной, и объясним, чем здесь может помочь специалист по защите информации.

Кто и что проверяет

Контроль наличия и качества модели угроз напрямую зависит от типа информационной системы и категории оператора. Модель могут запросить в рамках плановой или внеплановой проверки, а также при расследовании инцидента.

Роскомнадзор. Ведёт госконтроль за обработкой персональных данных. Согласно ч. 8 ст. 19 152-ФЗ (в редакции 233-ФЗ), контроль технических мер ст. 19 закреплён за ФСБ и ФСТЭК только для ГИС ПДн и ИСПДн госорганов, поэтому у коммерческих операторов РКН обычно проверяет законность обработки, согласия, политику, уведомления. Но при проверке выполнения требований ст. 19 152-ФЗ инспектор вправе запросить документы, подтверждающие определение угроз безопасности ПДн (ч. 2 п. 1 ст. 19). Модель угроз — наиболее распространённый способ зафиксировать это определение, поэтому её наличие существенно упрощает диалог с Роскомнадзором.

ФСТЭК. Контролирует государственные информационные системы (ГИС) в соответствии с приказом № 117 (заменил приказ № 17 с 01.03.2026) и значимые объекты КИИ по 187-ФЗ. Для ГИС модель угроз разрабатывается в случаях, установленных ПП № 676, и согласуется с ФСТЭК и ФСБ. Для значимых объектов КИИ модель угроз обязательна при создании или модернизации системы безопасности (приказ № 239, п. 11 «а»). ФСТЭК также проверяет лицензиатов ТЗКИ и выполнение требований в рамках госконтроля.

ФСБ. Участвует в согласовании модели угроз для ГИС в части криптографической защиты (приказ № 321, заменил приказ ФСБ № 117/2025), контролирует выполнение требований по ГосСОПКА, а также технические меры защиты в ГИС ПДн и ИСПДн госорганов (ч. 8 ст. 19 152-ФЗ). Для коммерческих систем с использованием СКЗИ модель угроз должна обосновывать класс криптосредств.

Банк России. Для финансовых организаций требования к защите информации установлены ГОСТ Р 57580.1-2017, Положением № 851-П (заменило 683-П с 29.03.2025), указаниями об определении угроз ПДн (№ 3889-У, а для биометрии — № 7362-У). ЦБ проверяет выполнение этих требований и может запрашивать модель угроз как часть документации по информационной безопасности.

Штрафы

Ниже — основные статьи КоАП, которые применяются при отсутствии или неактуальности модели угроз, а также при реализованных инцидентах. Суммы указаны для юридических лиц.

Специального состава «отсутствие модели угроз» в КоАП нет. Штраф налагается за нарушение требований о защите информации либо за последствия, наступившие из-за невыполнения этих требований. Поэтому модель угроз рассматривается как обязательный документ, подтверждающий, что оператор определил угрозы и построил систему защиты на их основе.

Что бывает на практике

По сложившейся практике контролирующих органов в Челябинске и в других регионах запрос модели угроз — стандартный элемент проверки систем, где её наличие обязательно или где требуется определение угроз.

Для коммерческих ИСПДн Роскомнадзор запрашивает в первую очередь правовые документы (согласия, политику, приказы о назначении ответственного). Однако если инспектор углубляется в выполнение ст. 19 152-ФЗ, он просит показать, как именно оператор определил угрозы безопасности ПДн. Отсутствие модели угроз или любого другого документа с перечнем актуальных угроз расценивается как невыполнение обязательного требования, что влечёт предписание об устранении нарушения. При повторной проверке возможен штраф по ст. 19.7 КоАП за неисполнение предписания.

При утечке ПДн следственные и надзорные органы обязательно анализируют, была ли у оператора модель угроз и насколько меры защиты соответствовали зафиксированным угрозам. Если модель отсутствовала или была формальной (например, скопирован весь перечень БДУ без отбора), это становится аргументом в пользу того, что оператор не принял достаточных мер защиты, и, как правило, приводит к максимальному размеру штрафа по соответствующей части ст. 13.11. Кроме того, суды учитывают отсутствие модели угроз как доказательство вины в гражданских исках пострадавших субъектов ПДн.

Для ГИС и значимых объектов КИИ отсутствие модели угроз — прямое нарушение отраслевых требований. ФСТЭК выносит предписание, а при неустранении нарушения применяет административную ответственность (для ГИС — ст. 13.12 ч. 6, для КИИ — ст. 13.12.1). В отдельных случаях работа системы может быть приостановлена до устранения замечаний.

В финансовых организациях ЦБ проверяет соответствие ГОСТ Р 57580.1 и внутренним документам, где модель угроз используется для обоснования выбранных мер. Отсутствие документа часто квалифицируется как невыполнение требований стандарта, что может повлечь предписания и ограничения.

Как подготовиться к проверке

Чтобы уверенно пройти проверку, важно не просто «иметь папку с моделью угроз», а привести её в соответствие с фактической архитектурой системы и актуальной методикой. Вот пошаговый план подготовки.

Перед проверкой проведите внутренний аудит: запросите у ответственного за ИБ модель угроз, проверьте, насколько она соответствует требованиям, и при необходимости организуйте её доработку. Для ГИС или значимых объектов КИИ работы по договору должны выполняться только организацией с лицензией ФСТЭК на ТЗКИ.

Типовые ошибки

• ✗ Копируют весь перечень БДУ. Берут все 227 угроз из БДУ ФСТЭК без отбора по объектам воздействия и сценариям. Как правильно: отбирать только те угрозы, для которых есть сценарий реализации (п. 5.3.3–5.3.5 Методики).
• ✗ Используют методику 2008 года. Рассчитывают актуальность через коэффициенты исходной защищённости Y1/Y2 и вероятность. Как правильно: применять Методику ФСТЭК 2021, где актуальность определяется наличием сценария атаки.
• ✗ Не указывают уровни нарушителей Н1–Н4. Оставляют просто «нарушитель» без возможностей. Как правильно: определить уровни возможностей Н1–Н4 и соотнести их с классом защищённости системы (для ГИС п. 64 приказа 117).
• ✗ Делают модель «для галочки». Нет привязки к реальной архитектуре: отсутствуют схема сети, интерфейсы, группы пользователей, облачные сервисы. Как правильно: описать систему как есть, включая внешние взаимодействия и распределение ответственности с провайдером.
• ✗ Не актуализируют модель. Утвердили один раз и не пересматривали после модернизации, новых угроз в БДУ или выхода новых нормативных актов. Как правильно: поддерживать модель в актуальном состоянии и пересматривать в четырёх случаях (п. 2.14 Методики 2021).

Чем поможет МелданаСБ

МелданаСБ работает по модели методического сопровождения, которая полностью соответствует правилам: документ разрабатывает и утверждает сам оператор, а мы помогаем сделать это правильно и быстро. Наши специалисты по защите информации предоставляют адаптированный шаблон модели угроз по Методике ФСТЭК 2021, методические указания по каждому разделу, проводят консультации с ИТ-службой заказчика и проверяют готовый документ с письменными замечаниями. Для ГИС и значимых объектов КИИ, где по договору требуется лицензиат ТЗКИ, мы подключаем партнёра с лицензией ФСТЭК.

Что входит в сопровождение:

• разбор применимых требований и ответ, обязательна ли модель угроз именно для вашей системы (ИСПДн, ГИС, значимый объект КИИ, АСУ ТП, корпоративная система);
• адаптированный шаблон модели угроз по структуре Методики ФСТЭК 2021 с пояснениями по разделам;
• методические указания: негативные последствия, объекты воздействия, нарушители и уровни Н1–Н4, сценарии по тактикам Т1–Т10, обоснование актуальности;
• для ИСПДн — помощь в определении типа угроз и уровня защищённости по ПП № 1119;
• две консультации со специалистом по вашей системе;
• проверка готового документа с письменными замечаниями;
• проект приказа об утверждении модели угроз.

Частые вопросы

Модель угроз — это не формальность, а рабочий инструмент, который связывает требования регуляторов с реальной системой защиты. Если у вас остались вопросы по обязательности модели для вашей системы, посмотрите услугу «Модель угроз безопасности информации» или изучите раздел «Документы, расчёты и декларации». Для понимания нормативной базы полезен обзор действующих актов в нормативной базе. Специалист МелданаСБ поможет разобрать вашу систему и подготовить модель угроз, которую утвердит руководитель.