Обязательное формирование цифровой информационной модели при подготовке проектной документации изменило состав защищаемых активов: носителем проектных решений стал машиночитаемый набор данных, который многократно передаётся между организациями-участниками проектирования. Отраслевые описания угроз сосредоточены на сетевом доступе к среде общих данных, тогда как выбор приоритетного способа реализации до сих пор опирался на общие соображения, а не на проверяемый перечень зарегистрированных уязвимостей. Цель работы состояла в построении модели угроз безопасности информации для этапа проектирования объекта капитального строительства на первичном материале. Материалом послужили 542 записи национальной базы данных уязвимостей NVD, относящиеся к 31 программному продукту среды информационного моделирования четырёх поставщиков и включённые в базу с 18 января 2021 года по 6 августа 2026 года. Каждая запись с базовой оценкой CVSS версии 3.1 кодировалась по классу программного средства, способу реализации, категории формата-носителя, классу дефекта и составу нарушаемых свойств информации; выполнены ручная сверка подвыборки, сопоставление двух независимых правил кодирования и погодовой пересчёт долей. Способ реализации, требующий обработки недоверенного файла проектных данных участником проектирования, охватывает 98,7% записей, тогда как сетевое воздействие без участия проектировщика зафиксировано в 5 записях. В 61,4% записей носителем воздействия служит формат, внешний по отношению к собственному формату среды проектирования. Нарушения работы с памятью при разборе структуры формата составляют 94,8% записей, одновременное нарушение конфиденциальности, целостности и доступности – 86,7%. Полученное распределение переносит центр модели угроз с сетевого периметра на процедуру приёма и разбора файлов, поступающих от смежных организаций, и задаёт ранжированный перечень из шести сценариев, порядок которых сохраняется при трёх проверках.
Mandatory creation of a digital information model for design documentation has changed the composition of protected assets: design decisions now exist as a machine-readable dataset handed over repeatedly between design organisations. Industry descriptions of threats concentrate on network access to the common data environment, whereas the priority realisation path has been chosen from general reasoning rather than from a verifiable list of recorded vulnerabilities. The study builds an information security threat model for the design stage of a capital construction facility from primary material. The material comprises 542 National Vulnerability Database records on 31 building information modelling products of four vendors, added between 18 January 2021 and 6 August 2026. Every record carrying a CVSS version 3.1 base score was coded by software class, realisation path, carrier format category, defect class and violated information properties. A subsample was checked by hand, two coding rules were compared and shares were recomputed year by year. The path requiring a designer to process an untrusted project file covers 98.7% of the records, whereas network impact appears in 5 records only. In 61.4% of the records the carrier is a format external to the design environment. Memory faults during parsing account for 94.8% of the records and loss of all three information properties for 86.7%. The distribution moves the threat model from the network perimeter towards the handling of files supplied by partner organisations, and yields six ranked scenarios of verified order.