Модель угроз - обязательный документ, который описывает возможные угрозы безопасности персональных данных в конкретной информационной системе и служит основанием для выбора мер защиты. Составляется по методике ФСТЭК России по оценке угроз безопасности информации: сначала определяют перечень актуальных угроз - утечка через каналы связи, несанкционированный доступ, ошибки или злой умысел персонала, - затем для каждой оценивают вероятность и возможный ущерб.
Набор актуальных угроз и мер защиты напрямую зависит от уровня защищенности информационной системы, который определяют по постановлению правительства N 1119 - он, в свою очередь, зависит от категории обрабатываемых данных и их объема. Для типового сайта-визитки с формой обратной связи модель угроз получится компактной, а для системы с медицинскими или биометрическими данными - объемной и с более строгими мерами.
Мы на сайте занимаемся аудитом, политикой и согласиями, а не аттестацией информационных систем - составление модели угроз по методике ФСТЭК и подбор технических средств защиты лучше доверить специалисту по защите информации или лицензиату ФСТЭК, особенно если система обрабатывает данные выше базового уровня защищенности. Юридически подкованный, но не технический специалист рискует занизить угрозы и получить формальный документ, который не выдержит реальной проверки.