Что такое модель угроз и зачем её согласовывать
Модель угроз безопасности информации — это документ, описывающий актуальные для организации угрозы, источники угроз и уязвимости, которые могут привести к нарушению конфиденциальности, целостности или доступности информации. Разработка модели угроз является обязательным этапом при защите:
- государственных информационных систем (ГИС);
- объектов критической информационной инфраструктуры (КИИ);
- автоматизированных систем управления производственными и технологическими процессами (АСУ ТП);
- информационных систем персональных данных (ИСПДн);
- систем, содержащих сведения, составляющие государственную тайну.
Если в системе обрабатываются сведения ограниченного доступа, в т.ч. гостайна, либо планируется применение средств криптографической защиты информации (СКЗИ), модель угроз подлежит согласованию с ФСБ России — в частности, с 8-м центром ФСБ России (Центр защиты информации и специальной связи).
Чем занимается 8-й центр ФСБ России
8-й центр ФСБ России — структурное подразделение, отвечающее за:
- лицензирование деятельности по разработке, производству и распространению шифровальных (криптографических) средств;
- контроль за применением СКЗИ;
- защиту информации, составляющей государственную тайну;
- согласование документации по защите информации, включая модели угроз и модели нарушителя;
- аттестацию объектов информатизации по требованиям безопасности информации.
Когда требуется согласование именно с ФСБ
Обращаться в 8-й центр ФСБ России (или его территориальные подразделения) необходимо в следующих случаях:
- В системе обрабатываются сведения, составляющие государственную тайну.
- Для защиты информации применяются или планируются к применению средства криптографической защиты (СКЗИ).
- Проводится аттестация объекта информатизации по требованиям безопасности информации в части, относящейся к компетенции ФСБ.
- Организация является оператором КИИ и в системе используются СКЗИ.
Если речь идёт только о персональных данных или ГИС без гостайны и без СКЗИ, модель угроз обычно согласовывается с ФСТЭК России, а не с ФСБ.
Куда обращаться и куда звонить
Единого публичного «горячего» телефона 8-го центра для свободных консультаций не существует — подразделение работает в закрытом режиме. Порядок обращения следующий:
Официальный сайт ФСБ России
Актуальные контакты приёмных и пресс-службы публикуются на официальном сайте www.fsb.ru в разделе «Контакты». Там же есть форма для электронных обращений граждан и организаций.
Приёмная ФСБ России
Телефон приёмной ФСБ России в Москве: +7 (495) -24— (номер частично скрыт; актуальный номер уточняйте на официальном сайте). Через приёмную можно уточнить порядок направления документов в профильное подразделение.
Территориальные органы ФСБ
Для организаций из регионов первичным контактом являются управления ФСБ по субъектам РФ — именно через них чаще всего организуется взаимодействие по вопросам защиты информации и СКЗИ. Контакты территориальных управлений также размещены на сайте ФСБ.
Почтовое обращение
Документы (модель угроз, сопроводительное письмо на бланке организации) направляются официальной корреспонденцией на адрес: 107031, г. Москва, ул. Большая Лубянка, д. ** (точный адрес и реквизиты адресата уточняйте через приёмную или территориальное управление).
Порядок согласования модели угроз: пошагово
- Разработка модели угроз. Документ готовится самостоятельно или с привлечением лицензированной организации (лицензия ФСБ на деятельность по ТЗКИ и/или СКЗИ).
- Внутреннее утверждение. Модель угроз утверждается руководителем организации.
- Подготовка пакета документов: сопроводительное письмо, модель угроз, сведения о системе, лицензии (при наличии), схема системы.
- Направление документов в территориальный орган ФСБ или непосредственно в 8-й центр (по согласованию).
- Рассмотрение. Специалисты проверяют полноту и корректность модели, при необходимости направляют замечания.
- Доработка и повторная подача (при наличии замечаний).
- Получение согласования, отметка/письмо о согласовании, необходимое для дальнейшей аттестации объекта.
Практические рекомендации
- Заранее уточните в территориальном управлении ФСБ актуальные требования к оформлению — они могут отличаться в деталях.
- Используйте методические документы ФСТЭК (например, «Методика оценки угроз безопасности информации») как основу, но учитывайте специфику требований ФСБ к системам с СКЗИ и гостайной.
- Привлекайте организации, имеющие лицензии ФСБ, — это существенно ускоряет согласование.
- Не направляйте документы, содержащие гостайну, по открытым каналам связи, только через специальную связь или нарочным по установленному порядку.
Согласование модели угроз с 8-м центром ФСБ России — формализованная процедура, требующая аккуратной подготовки документов и взаимодействия через официальные каналы: приёмную ФСБ, территориальные управления и официальный сайт ведомства. Прямого публичного телефона центра нет, поэтому начинать следует с обращения в приёмную ФСБ России или региональное управление, где подскажут точный порядок действий и актуальные контакты профильных специалистов.