Обязательна ли модель угроз безопасности персональных данных

Обязанность определить актуальные угрозы установлена частью 2 статьи 19 152-ФЗ и не отменяется. Меняется форма: пункт 7 проекта приказа ФСТЭК от 24.07.2026 отдает решение о разработке модели оператору, а проверять будут обоснованность мер, а не наличие файла. На 26.08.2026 приказ остается проектом, действует № 21.

Можно ли скачать готовую модель угроз и подставить свое название

Нет. По методике ФСТЭК от 05.02.2021 угроза актуальна, только если сходятся нарушитель, объект воздействия, способ реализации и негативные последствия, а все четыре элемента у каждой организации свои. Готовые базовые и типовые модели годятся как источник перечня угроз, не как итоговый документ.

Кто разрабатывает модель угроз в компании

По пункту 2.7 методики оценку проводит подразделение по защите информации оператора с участием ИТ-специалистов и профильных подразделений, пункт 2.8 рекомендует собирать экспертную группу. Услуги по обеспечению безопасности по пункту 6 проекта приказа вправе оказывать только организация с лицензией ФСТЭК на ТЗКИ.

Чем модель угроз отличается от уровня защищенности

Уровень защищенности от 1 до 4 определяется по постановлению № 1119 из категории данных, числа субъектов и типа актуальных угроз, он задает базовые требования. Модель угроз отвечает на другой вопрос: от чего конкретно защищаемся в этой системе. Уровень нужен, чтобы взять базовый набор мер, модель, чтобы адаптировать его под свою архитектуру.

Как учесть в модели угроз работу с нейросетями

Внешняя модель добавляет объект воздействия: канал, по которому текст уходит за периметр. Перечислите сценарии отправки, определите, какие данные в них попадают, опишите меры. Маскирование дает снижение риска, а не снятие: на размеченной выборке часть сущностей всегда остается пропущенной, и больше всего пропусков приходится на имена и адреса. Рядом нужна вторая мера: запрет на отправку отдельных типов данных или локальная модель.