Определение угроз безопасности информации требуется согласно части 2 статьи 19 закона № 152-ФЗ «О персональных данных», п.2 постановления Правительства РФ от 1 ноября 2012 г. N 1119, а также п. 4 приказа ФСТЭК России от 18 февраля 2013 г. № 21. В рамках защиты объектов критической информационной инфраструктуры, государственных ИС и ИС компаний финансового сектора наличие документа “Модель угроз безопасности информации” является обязательным и определено Приказами ФСТЭК и Банка России соответственно.