Что такое модель угроз сайта и зачем она оператору
Модель угроз — это документ, в котором описано, какие данные сайта и посетителей нужно защищать, от кого и как им могут навредить и какие меры уже приняты. Простыми словами, это ответ на вопрос: что у нас может пойти не так и что мы с этим делаем.
Нужна она не для галочки. Если случится инцидент или придёт проверка, именно по этому документу видно, оценивали ли вы риски осознанно или просто скопировали чужой файл под свою шапку.
Модель угроз часто путают с политикой обработки персональных данных. Политика — то, что вы обещаете посетителю и публикуете на сайте; модель угроз — внутренний разбор рисков, и те же обещания в ней должны совпадать с фактическим поведением сайта.
Пример модели угроз сайта: разбор по блокам
Возьмите свой сайт и пройдите по блокам — так шаблон превращается в рабочий документ. Ниже типовой каркас, который наполняется вашими данными, а не общими формулировками.
Для небольшого сайта пример выглядит так: собираются имя и телефон через форму обратной связи, подключены веб-аналитика, онлайн-чат и карта. В модели вы фиксируете, какие поля обязательны, где посетитель даёт согласие, какие скрипты запускаются до нажатия кнопки в cookie-баннере и на какие домены уходят запросы.
Каждую строку подкрепляйте фактом — снимком экрана или дословной цитатой из документа. Тогда раздел про уязвимости перестаёт быть списком чужих страшилок.
- Объект защиты: данные из форм, личный кабинет, cookie и идентификаторы аналитики, переписка в чате.
- Источники угроз: внешний злоумышленник, недобросовестный подрядчик, сотрудник с широким доступом, автоматические сканеры.
- Уязвимости: форма без отдельного согласия, cookie-баннер без равнозначного отказа, аналитика, стартующая до согласия, данные, уходящие на внешние домены.
- Сценарии: утечка базы заявок, передача данных посетителя внешнему сервису без основания, доступ к административной части по слабому паролю.
- Меры: настройка категорий cookie, отложенный запуск трекеров, ограничение доступа, резервные копии, порядок реакции на инцидент.
- Оценка: что уже закрыто, что нет и в какой очерёдности исправлять.
Почему готовый шаблон из интернета не равен вашей модели
Шаблон описывает усреднённый сайт, а риски зависят от того, что реально подключено именно у вас. Одна и та же форма с галочкой согласия может быть спокойной точкой на одном сайте и рискованной на другом, если рядом работают чат, карта или вход через внешний сервис.
Поэтому основная работа — не написать текст, а выяснить факты: какие данные собираются, куда уходят и что происходит до согласия. Это можно сделать самому, но нужен навык: открыть сайт в чистой сессии, посмотреть сетевые запросы, сверить формулировки документов с тем, что видит посетитель.
Именно это и делает Dobrolex: проходит по публичным страницам глазами нового посетителя, фиксирует снимки экрана и дословные цитаты и связывает каждый факт с нормой. На выходе — заключение с фактами, серьёзностью эпизодов и очерёдностью исправлений, которое можно положить в основу раздела про уязвимости.
Что исправить первым и как связать модель с документами
Очерёдность удобно строить от последствий: сначала то, что касается данных, уходящих за пределы сайта, и запуска трекеров до согласия, затем тексты и интерфейс. Такой порядок защищает от самых дорогих по последствиям эпизодов раньше, чем от косметических.
Отдельно проверьте комплект документов: политику обработки персональных данных, текст согласия, оферту, реквизиты оператора. Если в модели написано, что согласие собирается отдельно от других условий, а на сайте галочка одна на всё, документ перестаёт соответствовать сайту.
Посмотрите и на трансграничную передачу: если данные посетителей получает иностранный сервис, уведомление регулятору до начала передачи по-прежнему обязательно, и это стоит отразить и в модели, и в документах сайта.
Не обещайте в документе больше, чем настроено на сайте. Расхождение между описанными мерами и фактом — само по себе риск: при разборе инцидента смотрят на реальную конфигурацию, а не на намерения.
Частые ошибки в модели угроз сайта
Большинство проблемных документов отличаются не объёмом, а оторванностью от сайта. Проверьте, нет ли у вас ни одной из этих ошибок.
- Описан идеальный сайт, а не свой: перечислены все возможные угрозы, но нет ни одного факта со своего домена.
- Скопированы чужие сценарии и меры, которые на этом сайте физически не применяются.
- Нет связи с потоками данных: непонятно, какие скрипты и внешние сервисы получают данные посетителя.
- Не отражены cookie-баннер и порядок запуска аналитики — а это первое, что видит новый посетитель.
- Документ составлен один раз и не пересматривается после смены форм, подрядчиков и сервисов.
- Внутренние противоречия: в политике одно, в модели другое, на сайте третье.
Что можно проверить на своём сайте прямо сейчас
- 01Чистая сессия. Откройте сайт в приватном окне и посмотрите, что загружается до нажатия кнопки в cookie-баннере.
- 02Cookie-баннер. Проверьте, есть ли равнозначная кнопка отказа и настройка категорий, а не только «Принять».
- 03Формы и согласия. Пройдите по каждой форме: какие поля обязательны, где чекбокс согласия и ведёт ли он на политику.
- 04Внешние домены. Через инструменты разработчика посмотрите, к каким внешним сервисам уходят запросы и что в них передаётся.
- 05Вход через внешние сервисы. Проверьте, есть ли авторизация через сторонний сервис и какие данные при этом передаются.
- 06Документы и реквизиты. Сверьте политику, согласие, оферту и реквизиты оператора с тем, что реально указано на сайте.
- 07Список эпизодов. Соберите найденное в таблицу: что нашли, где зафиксировано, что исправлять первым.
Что говорит закон
265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточникч. 12–14 ст. 13.11 КоАП РФ
Утечка персональных данных — штраф для юрлиц от 3 до 15 млн ₽ в зависимости от числа субъектов и идентификаторов.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Чем модель угроз отличается от политики обработки персональных данных?
Политика — публичный документ, где вы объясняете посетителю, что делаете с его данными. Модель угроз — внутренний разбор рисков: что защищаем, от кого, какие уязвимости и какие меры приняты. Когда их путают, в политике появляются обещания, которые сайт не выполняет.
Можно ли взять готовый пример модели угроз сайта из интернета и подписать его?
Как каркас — да, как готовый документ — нет. Шаблон не знает, какие сервисы подключены у вас и что происходит до согласия; без этой части документ не отражает реальные риски вашего сайта.
Обязательно ли привлекать специалиста по информационной безопасности?
Зависит от сложности сайта. Часть фактов можно собрать самостоятельно, но техническая проверка требует навыка, а правовые выводы — юридической оценки. Отчёт о проверке даёт факты и очерёдность исправлений, но не заменяет консультацию юриста.
Как понять, какие угрозы актуальны именно для моего сайта?
Идите от данных, а не от списка угроз: какие поля вы собираете, где они хранятся, какие внешние сервисы их получают, что загружается до согласия. Всё, что осталось за пределами этих потоков, для вашего сайта, скорее всего, второстепенно.
Что делать, если данные посетителей уходят за рубеж?
Это повод разобраться, какой сервис получает данные и на каком основании. По закону о трансграничной передаче уведомление регулятору до начала передачи обязательно, а сам сетевой запрос — технический сигнал, а не доказательство нарушения.
Заменит ли отчёт о проверке сайта модель угроз?
Нет. Отчёт описывает то, что видно на публичных страницах: формы, баннеры, документы, внешние запросы. Модель угроз шире — в неё входят серверная часть, доступы сотрудников и внутренние процессы, которые снаружи не проверить.
Что значит «нарушений не найдено»?
Это значит, что на осмотренных публичных страницах признаков нарушений нет. Это не гарантия соответствия закону: закрытые разделы, серверная часть и внутренние процессы в такую проверку не входят.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.