Модель угроз для ГИС государственного учреждения в Сургуте: требования приказа ФСТЭК № 117

Государственное или муниципальное учреждение в Сургуте эксплуатирует региональную либо ведомственную информационную систему. Учредитель просит привести документы по информационной безопасности в соответствие с новым приказом ФСТЭК от 11.04.2025 № 117, который с 01.03.2026 заменил прежний приказ № 17. Старая модель угроз писалась ещё под приказ № 17 и не учитывает ни новых требований к негативным последствиям по базе угроз ФСТЭК, ни актуальных сценариев атак, ни изменений, внесённых приказом ФСТЭК № 137 в 2026 году.

Ниже разберём, обязательна ли модель угроз для ГИС, по какой методике её делать, кто утверждает и согласовывает, какие разделы проверяют чаще всего и как пройти этот этап без лишней нагрузки на ИТ-отдел. Отдельно покажем, чем наше методическое сопровождение отличается от договорной разработки и сколько это стоит для учреждения в Сургуте.

Нужна ли модель угроз: государственное или муниципальное учреждение — оператор ГИС

Если информационная система учреждения в Сургуте включена в реестр государственных информационных систем или создаётся для реализации полномочий органа власти, модель угроз разрабатывать обязательно. Обязанность возникает из двух документов: пп. «г» п. 1(2) постановления Правительства РФ от 06.07.2015 № 676 (порядок создания ГИС) и п. 36 требований, утверждённых приказом ФСТЭК от 11.04.2025 № 117.

С 01.03.2026 вместо приказа ФСТЭК № 17 действует приказ № 117. Он распространяется на ГИС, иные ИС государственных органов, ГУП и государственных учреждений. Для муниципальных ИС — если иное не установлено законом. Если система не является ГИС, решение о разработке модели угроз принимает руководитель оператора (п. 36 приказа № 117), но определять актуальные угрозы всё равно необходимо (мероприятие «а» п. 34).

Какие системы и объекты воздействия учитывать

В модели угроз для ГИС типового учреждения в Сургуте описываются не абстрактные серверы, а конкретные компоненты: инфраструктура, прикладные сервисы, интерфейсы взаимодействия со смежными системами и внешние каналы. Ниже — примеры, как правило, характерные для государственного сектора.

Нарушители и сценарии атак

Методика 2021 года требует определять источники угроз и уровни возможностей нарушителей от Н1 до Н4. Для ГИС государственного учреждения, как правило, актуальны нарушители уровней Н1–Н3: от внешних одиночек до подготовленных групп, действующих по заказу. Уровень Н4 (спецслужбы иностранных государств) включается при обработке сведений, составляющих государственную тайну или при особой значимости системы.

Типовые сценарии, которые обычно отражаются в модели угроз:

• Фишинг на сотрудников — получение учётных данных через электронную почту, далее вход в систему и повышение привилегий (тактики Т1, Т2, Т6).
• Эксплуатация уязвимостей веб-портала — SQL-инъекции, подделка запросов, загрузка вредоносного кода (Т2, Т3).
• Подрядчик с удалённым доступом — компрометация канала VPN, распространение доступа по сегментам (Т2, Т8).
• Инсайдер с легальным доступом — копирование баз данных, модификация записей, сокрытие следов (Т7, Т9, Т10).
• Атака на ЦОД или облачного провайдера — если угрозы поставщика не оценены, его инфраструктура считается скомпрометированной нарушителем максимального уровня (п. 2.11 Методики).

Как разработать модель угроз: этапы по Методике

Приказ № 117 обязывает применять методические документы ФСТЭК. Основная методика — от 05.02.2021. Оператор вправе выполнить оценку собственными силами (п. 2.7 Методики). Мы сопровождаем этот процесс: выдаём адаптированный шаблон, методические указания и проверяем готовый документ с замечаниями. Работу можно вести дистанционно.

Особенности, о которых забывают

• ✓ С 01.03.2026 приказ № 17 утратил силу. Ссылаться в модели на него нельзя — только на приказ № 117 и Методику 2021.
• ✓ Если ГИС обрабатывает персональные данные, дополнительно применяются ПП № 1119 и приказ ФСТЭК № 21; нужно определить тип угроз (1–3) и уровень защищённости ПДн.
• ✓ Аттестация ГИС обязательна до начала обработки информации (п. 65 приказа № 117). Проводит её организация с лицензией ФСТЭК на ТЗКИ.
• ✓ Если в системе используются СКЗИ, модель угроз должна обосновывать класс СКЗИ; криптографическая часть согласовывается с ФСБ (приказ ФСБ № 321 от 22.08.2026).
• ✓ Модель не пишется один раз: её нужно актуализировать при изменении архитектуры, появлении новых угроз в БДУ или после пентеста (п. 2.14 Методики).

Разбор на примере: подведомственное учреждение с региональной ГИС

Что будет без модели угроз

Отдельного штрафа «за отсутствие модели угроз» в КоАП нет. Но эксплуатация ГИС без модели означает нарушение пп. «г» п. 1(2) ПП № 676 и п. 36 приказа № 117. Это может быть квалифицировано по ст. 13.12 ч. 6 КоАП РФ: штраф для юридических лиц — от 50 до 100 тыс. рублей, для должностных лиц — от 10 до 50 тыс. рублей.

Если в ГИС обрабатываются персональные данные и произойдёт утечка, применяются штрафы по ст. 13.11 КоАП: от 3 до 15 млн рублей в зависимости от объёма и категории субъектов, при повторном нарушении — от 1 до 3% выручки. Отсутствие модели угроз и нереализованные меры защиты ухудшат позицию оператора при расследовании.

Чем поможем и сколько это стоит

Мы не разрабатываем модель угроз «под ключ» за оператора — по законодательству договорную разработку для сторонних организаций ведут лицензиаты ФСТЭК. Наша услуга — методическое сопровождение: документ готовит ваш специалист по защите информации, а мы предоставляем все необходимые материалы и проверяем результат.

• Адаптированный шаблон модели угроз по структуре Методики ФСТЭК 2021 для ГИС.
• Методические указания по каждому разделу: негативные последствия, объекты воздействия, нарушители, сценарии.
• Две консультации со специалистом по защите информации (онлайн).
• Проверка готового документа с письменными замечаниями.
• Проект приказа об утверждении модели угроз.
• Для ГИС: рекомендации по согласованию с ФСТЭК и ФСБ, при необходимости подключаем партнёра-лицензиата ФСТЭК.

Цена ниже рыночной за счёт отработанных типовых решений и дистанционного формата: вы не оплачиваете выезд специалиста, а получаете структурированный шаблон и персональные консультации. Документ готовит ваш специалист, поэтому вы сохраняете контроль над содержанием и сроками.

Частые вопросы

Если вам нужна модель угроз для ГИС, начните с описания вашей системы — мы пришлём опросный лист и шаблон. Параллельно можете изучить другие документы по информационной безопасности или нормативную базу, чтобы понять требования к вашей отрасли.