Коллеги, привет! При создании системы защиты персональных данных (ПДн) и критической информационной инфраструктуры (КИИ) медицинская организация обязана разработать модель угроз – документ, в котором перечислены все актуальные угрозы безопасности информации, которые могут привести к утечке, модификации или блокированию данных. Но откуда брать список угроз? Их нельзя придумать самостоятельно – нужно использовать официальный источник: Банк данных угроз безопасности информации (БнД УБИ) ФСТЭК России. В этой статье разберём, что это за реестр, какие угрозы в нём содержатся и как медорганизации применять его на практике.
Что такое БнД УБИ и зачем он нужен
Банк данных угроз безопасности информации (БнД УБИ) – это единый классифицированный перечень угроз, ведущийся ФСТЭК России. Он доступен на сайте bdu.fstec.ru в разделе «Угрозы безопасности информации». Всего в реестре (на основе актуальной выгрузки) содержится 227 угроз, каждая из которых имеет:
- Уникальный идентификатор;
- Наименование и подробное описание;
- Источник угрозы (внешний/внутренний нарушитель с указанием потенциала: низкий, средний, высокий);
- Объект воздействия (системное ПО, сетевое оборудование, аппаратные средства, базы данных и т.д.);
- Последствия (нарушение конфиденциальности, целостности, доступности);
- Статус (опубликована, архивная).
Для чего это медорганизации?
В соответствии с Приказом ФСТЭК России № 21 (требования к защите ПДн) и требованиями по защите КИИ, вы обязаны:
- На основе БнД УБИ определить актуальные угрозы для вашей информационной системы (ИСПДн, ГИС, АСУ ТП).
- Составить модель угроз – перечень выбранных угроз с обоснованием.
- Внедрить организационные и технические меры, нейтрализующие эти угрозы.
Без ссылки на БнД УБИ ваша модель угроз будет нелегитимной – контролирующие органы (ФСТЭК, прокуратура) не примут её.
Общая характеристика реестра угроз (227 записей)
Проанализировав выгрузку БнД УБИ, можно выделить следующие категории угроз (для удобства сгруппируем их):
| Категория угроз | Примеры (номера из реестра) | Характерные последствия |
|---|---|---|
| Вредоносное ПО (вирусы, черви, трояны) | №6, №167, №172, №186, №190, №191, №196 | Нарушение целостности, конфиденциальности, доступности |
| Угрозы сетевого взаимодействия (перехват, подмена, DoS) | №19, №34, №41, №42, №69, №116, №128, №140, №153 | Утечка данных, отказ в обслуживании |
| Угрозы для систем виртуализации и облаков | №1, №10, №20, №43, №44, №48, №52, №55, №58, №76, №77, №78, №79, №80, №84, №85, №101, №119, №120, №137, №138, №141, №164 | Компрометация гипервизора, нарушение изоляции |
| Угрозы для BIOS/UEFI и аппаратного обеспечения | №4, №5, №9, №13, №18, №24, №32, №35, №39, №45, №53, №72, №87, №92, №123, №129, №144, №150, №154 | Несанкционированный доступ, модификация прошивки |
| Угрозы, связанные с учётными данными и аутентификацией | №8, №30, №31, №74, №86, №90, №100, №152, №168, №181, №197, №198, №201, №207, №213 | Кража паролей, повышение привилегий |
| Угрозы для хранилищ больших данных и суперкомпьютеров | №38, №50, №57, №60, №97, №105, №106, №136, №148, №161 | Потеря данных, отказ в обслуживании |
| Угрозы для медицинского оборудования (АСУ ТП, ЧПУ) | №107, №112, №180, №183, №204, №206 | Нарушение технологического процесса, поломка оборудования |
| Угрозы социальной инженерии и фишинг | №127, №174, №175 | Обман пользователя, утечка данных |
| Угрозы мобильных устройств | №184, №194, №196, №199, №200, №202 | Утечка ПДн, несанкционированное управление |
| Угрозы, связанные с контейнеризацией (Docker) | №223–227 (новые, 2025 год) | Нарушение изоляции, подмена образов |
Важно: не все 227 угроз актуальны для типовой медицинской организации. Например, угрозы для грид-систем (№1, №2, №47, №81, №110, №147) или для суперкомпьютеров касаются только специализированных учреждений. Вам нужно выбрать те, которые соответствуют вашей архитектуре ИС.
Как медицинской организации применить БнД УБИ: пошаговая инструкция
Шаг 1. Определить состав информационной системы
Прежде чем выбирать угрозы, опишите свою ИС (ИСПДн, ГИС, АСУ ТП). Укажите:
- Какие объекты воздействия присутствуют (серверы, рабочие станции, сетевое оборудование, медицинские приборы с ПО, базы данных, съёмные носители).
- Какие каналы связи используются (ЛВС, Wi-Fi, интернет, внешние каналы для телемедицины).
- Какие категории нарушителей могут действовать (внешние – хакеры, внутренние – сотрудники, техперсонал).
Шаг 2. Выбрать из БнД УБИ угрозы, соответствующие вашей ИС
Просмотрите реестр и отметьте те угрозы, которые могут реализоваться в ваших условиях. Для большинства медицинских организаций обязательно включайте:
- Угрозы внедрения вредоносного кода (№6, №167, №172, №186, №190, №191).
- Угрозы перехвата сетевого трафика (№34, №69, №116).
- Угрозы несанкционированного доступа к аутентификационной информации (№8, №30, №74, №86).
- Угрозы отказа в обслуживании (DoS) – №140, №153, №155.
- Угрозы утраты носителей информации (№156, №160).
- Угрозы социальной инженерии (№127, №174, №175).
- Угрозы некорректного использования функционала ПО (№63, №68).
Если у вас есть медицинское оборудование с программным управлением (томографы, анализаторы, ИВЛ с удалённым доступом) – добавьте угрозы для АСУ ТП: №183 (перехват управления), №204 (изменение параметров контроллеров), №107 (отключение датчиков).
Шаг 3. Оценить потенциал нарушителя
Для каждой угрозы в БнД УБИ указан источник: «Внешний нарушитель со средним потенциалом», «Внутренний нарушитель с низким потенциалом» и т.д. Вы должны подтвердить, что в вашей организации реально существование таких нарушителей. Например:
- Внешний нарушитель с низким потенциалом – может использовать общедоступные эксплойты, сканеры уязвимостей. Для медицинской организации это актуально, если есть выход в интернет.
- Внутренний нарушитель с низким потенциалом – рядовой сотрудник (врач, медсестра), который может случайно или намеренно нарушить правила (оставить флешку, переслать данные по почте). Это всегда актуально.
Если в вашей штатной структуре нет администраторов с высокими привилегиями, угрозы от «внутреннего нарушителя с высоким потенциалом» можно не рассматривать (но обычно такие лица есть – это системные администраторы).
Шаг 4. Составить модель угроз (документ)
На основе выбранных угроз оформите модель угроз. Документ должен содержать:
- Описание информационной системы.
- Перечень актуальных угроз (с указанием идентификатора из БнД УБИ, наименования, описания, источника, объекта воздействия).
- Оценку вероятности реализации и опасности последствий (можно добавить свою шкалу).
- Вывод о требуемом уровне защищённости.
Образец таблицы для модели угроз (фрагмент):
| № п/п | Идентификатор УБИ | Наименование угрозы | Источник | Объект воздействия | Последствия (К, Ц, Д) |
|---|---|---|---|---|---|
| 1 | 6 | Угроза внедрения вредоносного кода | Внешний нарушитель с низким потенциалом | Системное ПО, прикладное ПО | К, Ц, Д |
| 2 | 8 | Угроза восстановления и повторного использования аутентификационной информации | Внутренний нарушитель с низким потенциалом | Учётные данные пользователя | К |
| 3 | 140 | Угроза приведения системы в состояние «отказ в обслуживании» | Внешний нарушитель с низким потенциалом | Сетевой узел, сетевое ПО | Д |
| … | … | … | … | … | … |
Шаг 5. Выбрать и внедрить меры защиты
Для каждой включённой в модель угрозы необходимо предусмотреть организационные и технические меры. Примеры:
- Против угрозы №6 – антивирусная защита, контроль запуска программ, ограничение прав пользователей.
- Против угрозы №8 – политика сложных паролей, двухфакторная аутентификация, блокировка после нескольких неудачных попыток.
- Против угрозы №140 – межсетевой экран, системы обнаружения вторжений (IDS), резервирование каналов.
Совет: Не пытайтесь защититься от всех угроз сразу – оцените риски и выберите минимально достаточный набор мер. Для ИСПДн до 3 класса включительно многие угрозы нейтрализуются стандартными средствами (сертифицированный антивирус, МСЭ, контроль доступа).
Пример: модель угроз для ИСПДн регистратуры поликлиники
Допустим, у вас есть информационная система персональных данных (ИСПДн) с 2 классом защищённости, включающая сервер базы данных, 10 рабочих станций регистраторов, подключение к интернету через межсетевой экран. Какие угрозы из БнД УБИ будут актуальны?
| Идентификатор | Наименование | Почему актуально |
|---|---|---|
| 6 | Внедрение вредоносного кода | Регистраторы могут открыть вредоносное письмо, принести заражённую флешку. |
| 15 | Доступ к защищаемым файлам с использованием обходного пути | Ошибки в настройках веб-интерфейса регистратуры. |
| 30 | Использование информации идентификации/аутентификации, заданной по умолчанию | Заводские пароли на сетевом оборудовании, сервере БД. |
| 67 | Неправомерное ознакомление с защищаемой информацией | Медсёстры могут подсмотреть данные на экране. |
| 74 | Несанкционированный доступ к аутентификационной информации | Хранение паролей в открытом виде, перехват трафика. |
| 88 | Несанкционированное копирование защищаемой информации | Копирование базы данных на флешку. |
| 116 | Перехват данных, передаваемых по вычислительной сети | Сниффинг в незащищённой Wi-Fi сети. |
| 140 | Отказ в обслуживании | DDoS-атака на публичный портал записи к врачу. |
| 156 | Утрата носителей информации | Потеря ноутбука с ПДн. |
| 175 | Фишинг | Письма от имени главного врача с просьбой переслать пароли. |
Вы включили эти угрозы в модель – значит, обязаны принять меры: шифрование дисков, антивирус, МСЭ, политику паролей, обучение персонала, контроль съёмных носителей.
Что делать, если в БнД УБИ нет конкретной угрозы?
Реестр ФСТЭК не является закрытым списком – вы можете добавить собственную угрозу, если она не описана, но характерна для вашей системы. Однако лучше использовать методику оценки угроз из приказа ФСТЭК № 21 (для ПДн) или требования к КИИ. В любом случае, в модели угроз следует ссылаться на БнД УБИ как на основной источник, а дополнительные угрозы обосновывать отдельно.
Частые ошибки медорганизаций при работе с БнД УБИ
- Копирование всего реестра – включают все 227 угроз без анализа. Это делает модель нечитаемой и невыполнимой. Контролёры это увидят и выпишут предписание.
- Игнорирование источника угрозы – например, записывают угрозу от внешнего нарушителя с высоким потенциалом, но при этом система вообще не имеет выхода в интернет. Это ошибка.
- Не учитывают внутренних нарушителей – думают, что главная опасность только снаружи. Но по статистике более 70% утечек происходит по вине сотрудников. Обязательно включайте угрозы от внутренних нарушителей с низким и средним потенциалом.
- Используют старую версию БнД УБИ – реестр постоянно обновляется (добавлены угрозы для Docker-контейнеров №223–227, угрозы для систем ИИ сейчас переведены в архив). Следите за версией на bdu.fstec.ru.
Заключение
Банк данных угроз ФСТЭК – это фундамент для построения любой системы защиты информации. Не пытайтесь «изобретать велосипед»: берите готовые описания угроз, выбирайте те, что релевантны вашей медицинской организации, и на их основе разрабатывайте модель угроз. Это ускорит прохождение проверок и поможет действительно защитить персональные данные пациентов.
Прямая ссылка на БнД УБИ: https://bdu.fstec.ru/threat – там можно скачать актуальный перечень в формате XML, а также ознакомиться с методическими рекомендациями по оценке угроз.
Если нужна помощь в составлении конкретной модели угроз для вашей ИС или в выборе мер защиты – пишите, подготовим подробную инструкцию.