Когда модель угроз обязательна для сайта
Модель угроз безопасности персональных данных — документ, который описывает возможные угрозы для данных в конкретной информационной системе и меры защиты от этих угроз. Обязанность разработать модель угроз может возникнуть у оператора персональных данных в зависимости от того, какие данные он обрабатывает и как устроена система.
Если сайт только публикует информацию и не собирает данные посетителей — модель угроз, скорее всего, не понадобится. Если появляются веб-формы, аналитика с идентификацией пользователей, личный кабинет или подписка на рассылку — сайт обрабатывает персональные данные, и это может создать основание для разработки модели.
Модель угроз — документ для внутреннего обоснования выбора мер защиты. Нужен ли он вам и в каком объёме, зависит от того, какие данные обрабатывает сайт и как устроена система; универсального ответа, одинакового для всех сайтов, нет.
Что входит в модель угроз
Модель угроз описывает, как устроена информационная система, какие персональные данные в ней обрабатываются, где они хранятся и передаются, кто имеет к ним доступ. Документ содержит перечень актуальных угроз безопасности — от несанкционированного доступа до утечки данных — и обоснование выбора мер защиты.
Содержание модели зависит от того, как устроена система и какие данные в ней обрабатываются. Для сайта это означает: нужно зафиксировать, какие данные собираются через формы и cookie, куда они передаются (в том числе внешним сервисам), как хранятся, кто из сотрудников и подрядчиков имеет доступ.
Модель угроз не имеет универсального шаблона: документ составляется под конкретную систему. Два сайта с одинаковым дизайном, но разной аналитикой и разными серверами потребуют разных моделей.
Как проверить, какие данные собирает сайт
Чтобы понять, нужна ли модель угроз, начните с проверки фактической обработки данных на сайте. Посмотрите, какие формы принимают данные посетителей, запускается ли аналитика и cookie до получения согласия, используются ли внешние сервисы для авторизации или обработки платежей.
Многие сайты передают данные посетителей иностранным сервисам — метрикам, рекламным системам, виджетам чатов — ещё до того, как человек дал согласие. Эти передачи тоже должны быть учтены в модели угроз, а для передачи за рубеж требуется уведомление Роскомнадзора и соблюдение дополнительных требований.
Проверка показывает, какие данные собираются, куда уходят и в какой момент. Эти сведения — основа для разработки модели угроз и для исправления рисков, которые могут привести к штрафам.
Связь модели угроз с уведомлением и политикой обработки
Модель угроз, уведомление Роскомнадзора и политика обработки персональных данных — три разных документа с разными задачами. Уведомление сообщает регулятору, что компания намерена обрабатывать персональные данные. Политика публикуется на сайте и объясняет посетителям, как обрабатываются их данные.
Модель угроз разрабатывается для внутреннего использования и служит обоснованием выбора организационных и технических мер защиты. Она не публикуется на сайте и адресована не посетителям, а самой компании.
Все три документа должны быть согласованы между собой: если в политике указано, что данные не передаются третьим лицам, а модель угроз фиксирует передачу данных аналитическим сервисам — это несоответствие создаёт правовой риск.
Как подготовить модель угроз без лишних затрат
Разработка модели угроз начинается со сбора информации о системе: архитектура сайта, перечень обрабатываемых данных, список внешних сервисов, описание инфраструктуры и процессов доступа. Чем полнее эти сведения, тем меньше времени уйдёт на согласования.
Перед заказом модели угроз имеет смысл проверить, какие данные сайт собирает на самом деле, — это снизит объём работы и исключит лишние процедуры.
Если окажется, что сайт не обрабатывает персональные данные или обрабатывает их без нарушений — возможно, модель угроз вообще не потребуется, либо её объём будет минимальным.
Проверьте свой сайт
- 01Есть ли на сайте формы, собирающие персональные данные. Формы обратной связи, подписки, регистрации, заказа — любой ввод имени, телефона или почты означает обработку персональных данных.
- 02Запускается ли аналитика до получения согласия посетителя. Откройте сайт в режиме инкогнито и проверьте, загружаются ли счётчики метрик и рекламные скрипты до клика на кнопку «Принять» в cookie-баннере.
- 03Передаются ли данные иностранным сервисам. Проверьте, какие внешние сервисы получают данные: метрики, виджеты, платёжные системы, авторизация через соцсети. Передача за рубеж требует уведомления регулятора.
- 04Опубликована ли на сайте политика обработки персональных данных. Проверьте, есть ли на сайте политика обработки персональных данных: за её отсутствие предусмотрена отдельная ответственность. Ссылку на неё обычно ставят в подвале и рядом с формами, где собираются данные.
- 05Подано ли уведомление в Роскомнадзор. Если сайт собирает персональные данные, проверьте, подано ли уведомление регулятору. Отсутствие или несвоевременная подача создают риск административной ответственности.
Что говорит закон
ч. 10 ст. 13.11 КоАП РФ
Не подано или подано с нарушением сроков уведомление Роскомнадзора о намерении обрабатывать персональные данные — штраф для юрлиц от 100 000 до 300 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Нужна ли модель угроз, если сайт простой и данных мало
Обязанность разработать модель угроз зависит не от объёма данных, а от факта их обработки в информационной системе. Формы и аналитика означают, что данные посетителей обрабатываются, но состав документов у каждого сайта свой: однозначного правила «есть формы — нужна модель» нет.
Можно ли использовать типовую модель угроз из интернета
Модель угроз составляется под конкретную информационную систему с учётом её архитектуры, процессов обработки и внешних интеграций. Типовой шаблон может служить основой, но потребует адаптации под ваш сайт.
Что будет, если модель угроз не разработана
Модель угроз — внутренний документ оператора. Заранее предсказать, потребуется ли он при проверке и какие последствия возникнут в случае его отсутствия, нельзя. Если у вас есть сомнения, начните с проверки фактов: какие данные собирает сайт и как они обрабатываются.
Как часто нужно обновлять модель угроз
Модель угроз отражает текущее состояние системы, поэтому её имеет смысл пересматривать, когда на сайте что-то меняется: появляются новые формы или сервисы, меняется инфраструктура или меры защиты. Единой периодичности пересмотра мы назвать не можем — ориентируйтесь на изменения в вашей системе.
Нужна ли модель угроз безопасности персональных данных для интернет-магазина
Однозначного ответа «да» или «нет» для всех магазинов нет: он зависит от того, какие данные собирает магазин и как устроена обработка. Если интернет-магазин собирает данные покупателей — имя, адрес, телефон, почту — стоит проверить, какие документы и уведомления нужны, и учесть в них взаимодействие с платёжными системами и службами доставки.
Связана ли модель угроз с хранением данных в России
Модель угроз описывает меры защиты, в том числе место хранения данных. Если данные граждан России хранятся за рубежом без соблюдения требований закона — это создаёт риск ответственности, который должен быть отражён в модели.
Можно ли проверить готовность сайта к разработке модели угроз
Да. Проверка покажет, какие данные сайт собирает, куда их передаёт и какие риски существуют. Эти сведения — основа для разработки модели угроз и для исправления нарушений до проверки регулятора.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.