Модель угроз для образовательной организации в Херсоне: школы, колледжи, вузы

Школа, колледж или вуз в Херсоне ежедневно обрабатывает сотни и тысячи записей с персональными данными: от электронного журнала и личных дел до медицинских справок и данных бухгалтерии. Учредитель или региональный орган управления образованием требует модель угроз безопасности информации — а у ответственного за ИБ или ИТ-директора нет ясности, обязателен ли этот документ именно для их систем и с чего начать.

Разберём главное: когда для образовательной организации модель угроз действительно обязательна по нормам 152-ФЗ, приказов ФСТЭК и отраслевых актов Минпросвещения и Минобрнауки, а когда она остаётся решением руководителя. Покажем, как её подготовить по Методике ФСТЭК 2021 года, какие системы учесть в Херсоне и сколько стоит методическое сопровождение, при котором документ готовит ваш специалист, а не «подрядчик без лицензии».

Нужна ли модель угроз: образовательная организация

Ответ зависит от того, о какой системе идёт речь. Всего для образовательной организации в Херсоне применимы как минимум три уровня требований: персональные данные (152-ФЗ, ПП 1119, приказ ФСТЭК № 21, отраслевые перечни угроз), обязательные требования для ГИС и ИС госучреждений (приказ ФСТЭК № 117, ПП 676) и договорные или добровольные меры для корпоративных систем, не подпадающих под ГИС.

152-ФЗ ст. 19 ч. 2 п. 1: безопасность персональных данных достигается, в частности, «определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных». Словосочетания «модель угроз» в законе нет, но определение угроз — обязательное требование, а модель угроз по Методике ФСТЭК 2021 — способ это определение зафиксировать.

Ключевая развилка для школ и колледжей: обязательность модели не в том, что образовательная организация «госучреждение вообще», а в том, какие конкретные системы она эксплуатирует. Своя база ПДн учеников и сотрудников — определение угроз обязательно. Региональная ГИС — модель на стороне оператора ГИС, а не на стороне школы. Это не значит, что школе ничего не нужно: угрозы подключения к ГИС и обработки данных на её стороне входят в её собственную модель ИСПДн, как минимум на уровне описания внешних интерфейсов.

Какие системы и объекты воздействия учитывать

Для образовательной организации в Херсоне типовой набор систем шире, чем кажется. Модель угроз не сводится к «электронному журналу»: каждую систему нужно разобрать по объектам воздействия, которые в неё входят, и по последствиям, которые реализуются при нарушении конфиденциальности, целостности или доступности.

Отдельное внимание — внешним интерфейсам. Электронный журнал интегрирован с региональной ГИС; бухгалтерия обменивается данными с казначейством или банком; сайт размещён на хостинге; подрядчик обслуживает систему дистанционно. Каждый такой интерфейс в Методике 2021 — возможный способ реализации угрозы, поэтому модель не ограничивается «самой системой», а описывает и смежные системы, и распределение ответственности с поставщиком облака или ЦОД.

Нарушители и сценарии атак

Методика ФСТЭК 2021 оперирует четырьмя уровнями возможностей нарушителей: Н1 — базовые, Н2 — базовые повышенные, Н3 — средние, Н4 — высокие (например, спецслужбы иностранных государств). Для образовательной организации в Херсоне практический минимум — учесть нарушителей Н1 и Н2, а при наличии веских оснований — Н3 для систем, доступных из интернета или критичных для процессов ГИА. Завышать уровень «на всякий случай» не стоит: от этого зависят меры защиты и бюджет, а обосновать высокую сложность атаки перед проверкой придётся.

Типовые сценарии для школ, колледжей и вузов:

Для каждой такой последовательности в модели строится сценарий по тактикам Методики (сбор информации → первоначальный доступ → продвижение → сбор и вывод информации) и привязываются объекты воздействия. Именно наличие хотя бы одного сценария для нарушителя и способа реализации делает угрозу актуальной — механический перенос всего перечня БДУ ФСТЭК из 227 угроз без разбора архитектуры не соответствует логике Методики 2021.

Как разработать модель угроз: этапы по Методике

Порядок разработки задан Методическим документом ФСТЭК от 05.02.2021. Модель делает сам оператор — у образовательной организации есть право разработать и утвердить её своими силами, привлекая по решению руководителя сторонних специалистов. Наша услуга — методическое сопровождение: вы получаете шаблон по структуре Методики, указания по каждому разделу и проверку готового документа с замечаниями.

Важно: договорную разработку модели угроз для ГИС, значимых объектов КИИ и там, где учредитель прямо требует привлечённую организацию, выполняет партнёр-лицензиат ФСТЭК. Наша роль в таких проектах — подготовительная: собрать данные, проработать сценарии и передать партнёру материалы в удобном виде. Это прямое следствие позиции ФСТЭК: сторонний исполнитель по договору, направленному на получение прибыли от работ по технической защите информации, должен иметь лицензию ТЗКИ.

Особенности, о которых забывают

• ✓ ПДн детей — это «иные» персональные данные по типам ПП 1119, но это не повод упрощать оценку. Утечка ПДн несовершеннолетних чувствительна сама по себе; медицинские сведения (справки, группа здоровья) — специальная категория, и на неё распространяются повышенные требования.
• ✓ Оператор ГИС «Электронный дневник» — как правило, региональный орган управления образованием, а не школа. Проверьте, кто закреплён оператором в региональном акте: именно он разрабатывает и утверждает модель ГИС, согласует её с ФСТЭК и ФСБ по ПП 676. Школа в свою модель включает угрозы интерфейса подключения к этой ГИС.
• ✓ Типовая модель от региона или пример из сети — не замена своей модели. Их полезно использовать как источник сценариев и последствий, но актуальность каждой угрозы вы обязаны подтвердить для своей архитектуры. Копирование без разбора — одна из самых частых ошибок.
• ✓ Вузы и научные системы. Образование как сфера не входит в перечень сфер КИИ по 187-ФЗ, но наука входит. Если вуз ведёт научные работы с собственными АСУ, стендами или системами НИОКР, такие объекты могут быть типовыми объектами КИИ по перечню 360-р — тогда модель угроз и другие требования 239-го приказа рассматриваются отдельно.
• ✓ Подрядчик по внедрению или обслуживанию систем. Если подрядчик получает удалённый доступ к вашей системе, его точка доступа — самостоятельный источник угроз. Модель должна описывать, как подрядчик подключается, какие интерфейсы ему доступны и какие сценарии реализуются при компрометации этой точки.

Разбор на примере: городская школа с электронным журналом

Условный пример для наглядности — не реальный заказчик

Как шла работа:

Что будет без модели угроз

Специального состава «отсутствие модели угроз» в КоАП нет, и это стоит понимать честно. Ответственность наступает не за сам факт отсутствия документа, а за невыполнение требований о защите информации или за последствия, которые наступили либо могли наступить. Для образовательной организации в Херсоне это выглядит так:

• По 152-ФЗ оператор обязан «определять угрозы безопасности ПДн» — это прямое требование. Если его не выполнить, а затем произойдёт утечка, наступает ответственность по ст. 13.11 КоАП чч. 12–18: для юрлиц от 3 млн до 20 млн ₽ в зависимости от объёма и категории данных; при повторном нарушении — оборотный штраф 1–3% выручки.
• Для ГИС и иных ИС госучреждений нарушение требований приказа ФСТЭК 117 может квалифицироваться по ст. 13.12 ч. 6 КоАП: штраф для юрлиц от 50 тыс. до 100 тыс. ₽. Модель угроз для ГИС — обязательный элемент, и её отсутствие — прямое нарушение.
• Отсутствие оценки угроз ухудшает позицию организации при любой проверке или инциденте: невозможно показать, что меры защиты были обоснованы и достаточны. Модель угроз — исходное обоснование для выбора мер из приказа ФСТЭК 21 или 117.

Проверять образовательные организации могут Роскомнадзор (в части обработки ПДн), ФСТЭК (контроль ГИС, а также госконтроль КИИ, если у вуза есть значимые объекты), ФСБ (криптография, ГосСОПКА). Для коммерческих ИСПДн контроль технических мер ст. 19 152-ФЗ закреплён за ФСБ и ФСТЭК только для ГИС ПДн и ИСПДн госорганов; Роскомнадзор контролирует общую законность обработки ПДн. При этом запросить модель угроз или политику ИБ как подтверждение выполненной оценки рисков может любой проверяющий в рамках своих полномочий.

Чем поможем и сколько это стоит

Наша услуга для образовательных организаций — методическое сопровождение разработки модели угроз. Документ готовит ваш специалист по защите информации или ИТ-сотрудник, а мы предоставляем адаптированный шаблон по Методике ФСТЭК 2021, методические указания по каждому разделу, консультации с ИТ-службой и проверку готовой модели с письменными замечаниями. Такой формат полностью соответствует п. 2.7 Методики: оценка угроз проводится силами оператора, а сторонние специалисты привлекаются по его решению.

• Разбор применимых требований: ИСПДн, ГИС, иная ИС госучреждения, корпоративная система — и ответ, обязательна ли модель угроз для вашего случая.
• Шаблон модели угроз по структуре приложения 3 Методики ФСТЭК 2021, адаптированный под образовательную систему.
• Методические указания по каждому разделу: негативные последствия, объекты воздействия, нарушители и уровни Н1–Н4, сценарии по тактикам и техникам, обоснование актуальности.
• Для ИСПДн — помощь в определении типа угроз и уровня защищённости по ПП 1119 с учётом отраслевых перечней Минпросвещения (приказ 576) или Минобрнауки (приказ 840).
• Две консультации со специалистом по защите информации; проверка готового документа с письменными замечаниями; проект приказа об утверждении.
• Для ГИС, значимых объектов КИИ и договорной разработки — работаем вместе с партнёром-лицензиатом ФСТЭК.

Цена ниже рыночной разработки «под ключ», потому что мы не берём на себя функции лицензиата ТЗКИ и не готовим документ «за вас»: типовые шаблоны уже отработаны для образовательных систем, работа идёт дистанционно, а полезную работу с архитектурой и сценариями выполняет ваш специалист — мы усиливаем его методически. Для ГИС и значимых объектов КИИ, где требуется договорная разработка или аттестация, подключается партнёр-лицензиат ФСТЭК, и стоимость определяется по его расчёту.

Частые вопросы

Если образовательная организация в Херсоне готовит модель угроз впервые или переделывает документ после перехода на Методику 2021, начните с разбора своих систем: что является ИСПДн, что относится к ГИС, а что — корпоративная система. Подробнее об услуге методического сопровождения — на странице модели угроз информационной безопасности. Если система обрабатывает ПДн, вам также будет полезна отдельная страница модели угроз безопасности ПДн. Для подготовки комплекта организационных документов по ИБ смотрите раздел документов по информационной безопасности.