Модель угроз персональных данных: кому нужна и как понять её без формализма

Для многих компаний выражение «модель угроз» звучит как что-то чужое, тяжёлое и сугубо техническое. Именно поэтому тема обычно идёт по одному из двух плохих сценариев. Первый: бизнес вообще её игнорирует, потому что считает, что это история только для очень крупных или очень “айтишных” организаций. Второй: бизнес покупает или скачивает формальный документ, который никто внутри не понимает, и кладёт его в папку ради спокойствия.

Обе стратегии опасны. Потому что смысл модели угроз не в самом факте существования файла. Смысл в том, чтобы компания реально понимала, откуда может прийти риск для персональных данных, какие сценарии утечки и несанкционированного доступа для неё наиболее вероятны и какие меры защиты действительно связаны с её архитектурой.

Что такое модель угроз простыми словами

Если убрать тяжёлый язык, модель угроз — это попытка ответить на пять базовых вопросов:

• что именно мы защищаем;
• где эти данные находятся;
• кто к ним имеет доступ;
• какие реальные сценарии риска существуют;
• что будет, если один из этих сценариев реализуется.

То есть модель угроз — это не абстрактная таблица про «возможные угрозы вообще», а практическая карта слабых мест вашей конкретной обработки.

Почему тема важна не только для технарей

Очень важная ошибка бизнеса состоит в том, что безопасность ПД часто отдают на откуп одному техническому специалисту или внешнему подрядчику. В результате руководство знает только то, что «защита вроде есть». Но не понимает:

• какие именно системы входят в контур ПД;
• где лежат самые опасные массивы;
• через кого реально может произойти утечка;
• какие сценарии наиболее вероятны: взлом, выгрузка, человеческая ошибка, подрядчик, потеря устройства, слабый доступ, тестовая копия, старый архив.

А без этого понимания невозможно ни адекватно выстроить меры защиты, ни оценить реальную стоимость риска.

Где компании ошибаются чаще всего

1. Делают модель угроз без инвентаризации данных

Это классическая проблема. Пока компания не понимает, какие данные вообще есть, в каких системах они живут и кто с ними работает, модель угроз превращается в абстрактный текст без связи с реальностью.

Поэтому тема модели угроз всегда должна идти рядом с:

• https://152opd.ru/inventarizacziya-personalnyh-dannyh-v-kompanii/
• https://152opd.ru/karta-potokov-personalnyh-dannyh/
• https://152opd.ru/utechki-personalnyh-dannyh-sudebnaya-praktika-i-riski-dlya-biznesa/

2. Путают модель угроз с общей декларацией о безопасности

Фразы вроде «мы принимаем меры защиты» почти ничего не объясняют. Для нормальной модели угроз нужны конкретные сценарии:

• кто и как может получить лишний доступ;
• где есть риск выгрузки базы;
• какие подрядчики могут стать слабым звеном;
• где данные дублируются вне основного контура;
• какие внешние сервисы получают чувствительную информацию.

3. Не учитывают человеческий и организационный фактор

Компании часто думают о риске только как о хакере извне. Но в реальной жизни очень много проблем рождается из обычной операционной хаотичности:

• лишние права доступа;
• выгрузки в таблицы;
• общие учётки;
• бывшие сотрудники с доступами;
• подрядчики, которым дали больше, чем нужно;
• тестовые среды и архивы, про которые забыли.

4. Не связывают угрозы с последствиями для бизнеса

Если модель угроз не показывает, что именно потеряет компания при реализации риска, она остаётся “бумагой для специалистов”. А должна быть понятна и руководителю: где можно получить утечку, где может пострадать клиентский сервис, где будет конфликт с субъектом, где компания словит репутационный удар или проверочный вопрос.

Кому тема особенно важна

Модель угроз особенно важна, если у компании есть хотя бы несколько из этих признаков:

• несколько систем обработки персональных данных;
• удалённые сотрудники или распределённые команды;
• подрядчики и внешние сервисы;
• сайт, CRM, рассылки, helpdesk и HR-контур одновременно;
• повышенная чувствительность данных;
• регулярные выгрузки и обмен данными между отделами.

Именно в таких системах риски редко бывают “чисто техническими”. Обычно они гибридные: немного техника, немного процессы, немного человеческий фактор, немного организационный бардак.

Как подойти к теме без формализма

Шаг 1. Построить карту данных и систем

Нужно понять, где реально живут персональные данные:

• сайт и формы;
• CRM;
• кадровые системы;
• почта и таблицы;
• helpdesk;
• подрядчики;
• архивы и резервные копии.

Шаг 2. Определить ключевые сценарии риска

Не все угрозы одинаково вероятны. Компания должна увидеть не «всё плохое сразу», а те сценарии, которые действительно наиболее реалистичны для её модели работы.

Шаг 3. Сопоставить угрозы с мерами

Здесь и становится ясно, есть ли у бизнеса реальная система защиты или только набор красивых слов. Каждая серьёзная угроза должна находить отражение в конкретных мерах и ограничениях.

Шаг 4. Объяснить модель не только технарям

Если модель угроз непонятна руководителю и владельцу процесса, значит, она уже частично провалилась. Бизнес должен понимать, какие слабые места у него есть и какие из них требуют денег, внимания и приоритета прямо сейчас.

Что модель угроз даёт бизнесу на практике

При нормальном подходе она помогает:

• увидеть слабые места до утечки;
• убрать лишние доступы и хаотичные дубли;
• связать безопасность с реальными маршрутами данных;
• понять, где подрядчики и внешние сервисы опаснее, чем кажутся;
• объяснить руководству, почему защита ПД — это не только “задача ИТ”.

Главный вывод

Модель угроз полезна только тогда, когда она описывает живую реальность компании, а не идеальный мир из красивого документа. Если бизнес не понимает, где его данные, кто с ними работает, через какие точки может прийти риск и какие последствия будут у инцидента, никакая “готовая форма” не спасёт.

Поэтому нормальная модель угроз начинается не с шаблона, а с честной карты процессов, систем, ролей и слабых мест.

Если хотите понять, нужна ли вашей компании реальная модель угроз, а не очередной файл “для папки”

Начинайте с инвентаризации данных, маршрутов и сценариев риска. Именно после этого становится видно, где нужна защита, а где у бизнеса просто самоуспокоение.

Полезные точки входа: https://152opd.ru/consult/ · https://152opd.ru/docs/ · https://152opd.ru/inventarizacziya-personalnyh-dannyh-v-kompanii/