natgillin/translations-raw huggingface dataset:
Проект Top 10 2010 на OWASP (Open Web Application Security Project) предоставя преглед на най-критичните рискове за сигурността на уебприложения, както и инструменти за справяне с тези рискове; ето защо техническите спецификации се основават на констатациите от този проект.
The Open Web Application Security Project’s (OWASP) Top 10 2010 project provides an overview of the most critical web application security risks as well as tools for addressing these risks; the technical specifications therefore draw upon the findings of this project.
Прилагането от страна на организаторите на техническите спецификации следва да гарантира удостоверяването на системите за събиране на изявления за подкрепа онлайн от страна на органите на държавите-членки и да допринася за гарантиране на прилагането на подходящите технически и организационни мерки, необходими за изпълнението на задълженията, наложени от Директива 95/46/ЕО на Европейския парламент и на Съвета [2] за сигурността на дейностите по обработването на данни, както при разработването на системата за обработка на данни, така и по време на самата обработка, с цел да се запази сигурността и по този начин да се предотврати неразрешена обработка и да се защитят личните данни срещу случайно или неправомерно унищожаване или случайна загуба, промяна, неразрешено разкриване или достъп.
Implementation by the organisers of the technical specifications should guarantee certification of the online collection systems by the Member States’ authorities, and contribute to ensure the implementation of the appropriate technical and organisational measures required to comply with the obligations imposed by Directive 95/46/EC of the European Parliament and of the Council [2] on the security of the processing activities, both at the time of the design of the processing system and at the time of the processing itself, in order to maintain security and thereby to prevent any unauthorised processing and protect personal data against accidental or unlawful destruction or accidental loss, alteration, unauthorised disclosure or access.
Процесът на удостоверяване следва да се улесни, като организаторите използват софтуера, предоставен от Комисията в съответствие с член 6, параграф 2 от Регламент (ЕС) № 211/2011.
The process of certification should be facilitated by the use by the organisers of the software provided by the Commission in accordance with Article 6(2) of Regulation (EU) No 211/2011.
Организаторите на граждански инициативи, като администратори на данни, следва, когато събират изявления за подкрепа онлайн, да прилагат техническите спецификации, определени в настоящия регламент, с цел гарантиране на защитата на личните данни, които се обработват.
Organisers of citizens’ initiatives, as data controllers, should, when collecting statements of support online, implement the technical specifications set out in this Regulation in order to ensure the protection of personal data processed.
Когато обработката се извършва от подизпълнител, организаторите следва да гарантират, че подизпълнителят действа единствено според указанията на организаторите и че изпълнява техническите спецификации, определени в настоящия регламент.
Where the processing is carried out by a processor, the organisers should ensure that the processor acts only on instructions from the organisers and that he implements the technical specifications set out in this Regulation.
Мерките, предвидени в настоящия регламент, са в съответствие със становището на комитета, учреден съгласно член 20 от Регламент (ЕС) № 211/2011,
The measures provided for in this Regulation are in accordance with the opinion of the Committee established under Article 20 of Regulation (EU) No 211/2011,
Техническите спецификации, посочени в член 6, параграф 5 от Регламент (ЕС) № 211/2011, са определени в приложението.
The technical specifications referred to in Article 6(5) of Regulation (EU) No 211/2011 are set out in the Annex.
Съставено в Брюксел на 17 ноември 2011 година.
Done at Brussels, 17 November 2011.
ОВ L 65, 11.3.2011 г., стр. 1.
OJ L 65, 11.3.2011, p. 1.
ТЕХНИЧЕСКИ СПЕЦИФИКАЦИИ, НАСОЧЕНИ КЪМ ПРИЛАГАНЕ НА ЧЛЕН 6, ПАРАГРАФ 4, БУКВА а) ОТ РЕГЛАМЕНТ (ЕС) № 211/2011
TECHNICAL SPECIFICATIONS AIMING AT IMPLEMENTING ARTICLE 6(4)(a) OF REGULATION (EU) No 211/2011
С цел да се предотврати автоматизирано внасяне на изявление за подкрепа посредством системата, поддръжникът преминава адекватен процес на проверка в съответствие с настоящата практика преди внасянето на изявление за подкрепа.
In order to prevent automated submission of a statement of support using the system, the signatory goes through an adequate verification process in line with current practice before submission of a statement of support.
Възможен процес на проверка може да бъде използването на сложни „captcha“.
One possible verification process is the use of strong ‘captcha’.
ТЕХНИЧЕСКИ СПЕЦИФИКАЦИИ, НАСОЧЕНИ КЪМ ПРИЛАГАНЕ НА ЧЛЕН 6, ПАРАГРАФ 4, БУКВА б) ОТ РЕГЛАМЕНТ (ЕС) № 211/2011
TECHNICAL SPECIFICATIONS AIMING AT IMPLEMENTING ARTICLE 6(4)(b) OF REGULATION (EU) No 211/2011
Стандарти за осигуреност на информацията
Information assurance standards
Организаторите предоставят документи, доказващи, че те отговарят на изискванията на стандарт ISO/IEC 27001, без да се налага да бъдат сертифицирани.
Organisers provide documentation showing that they fulfil the requirements of standard ISO/IEC 27001, short of adoption.
За целта те:
For that purpose, they have:
са извършили пълна оценка на риска, с която се определя обхватът на системата, изтъква се отражението върху бизнеса в случай на различни нарушения по отношение на осигуреността на информацията, изброяват се заплахите и уязвимостта на информационната система, изготвя се документ за анализ на риска, в който се съдържа също така списък с мерки за противодействие, за да се избегнат такива заплахи, както и решения, които ще бъдат приложени, ако се появи заплаха, и накрая се изготвя списък с приоритизиране на подобренията;
performed a full risk assessment, which identifies the scope of the system, highlights business impact in case of various breaches in information assurance, enumerates the threats and vulnerabilities of the information system, produces a risk analysis document that also list countermeasures to avoid such threats and remedies that will be taken if a threat occurs, and finally draws up a prioritised list of improvements;
са разработили и въвели мерки за справяне с рисковете по отношение на защитата на личните данни и защитата на семейния и личния живот и мерки, които да се предприемат в случай на риск;
designed and implemented measures for treating risks with regard to the protection of personal data and the protection of family and private life and measures that will be taken in the case risk occurs;
са идентифицирали остатъчните рискове в писмен вид;
identified the residual risks in writing;
са предвидили от организационна гледна точка начини за получаване на обратна информация за нови заплахи и подобрения на сигурността.
provided the organisational means to receive feedback on new threats and security improvements.
Въз основа на анализа на риска, посочен в точка 2.1, буква а), организаторите подбират проверки на сигурността измежду следните стандарти:
Organisers choose security controls based on the risk analysis in 2.1(a) from the following standards:
ISO/IEC 27002; или
ISO/IEC 27002; or
„стандарта за добра практика“ на форума на информационната сигурност,
the Information Security Forum’s ‘Standard of Good Practice’
за да обърнат внимание на следните въпроси:
to address the following issues:
оценки на риска (препоръчват се ISO/IEC 27005 или друга специфична и подходяща методология за оценка на риска);
risk assessments (ISO/IEC 27005 or another specific and suitable risk assessment methodology are recommended);
физическа сигурност и сигурност на средата;
physical and environmental security;
сигурност на човешките ресурси;
human resources security;
управление на комуникациите и операциите;
communications and operations management;
стандартни мерки за контрол на достъпа, в допълнение към тези, посочени в настоящия регламент за изпълнение;
standard access control measures, in addition to those set forth in this Regulation;
придобиване, разработване и поддръжка на информационни системи;
information systems acquisition, development and maintenance;
управление на инцидентите, свързани със сигурността на информацията;
information security incident management;
мерки за разрешаване и намаляване на пропуски в информационните системи, които биха довели до унищожаване или случайна загуба, промяна, неразрешено разкриване или достъп до обработвани лични данни;
measures to remedy and mitigate breaches in information systems which would result in the destruction or accidental loss, alteration, unauthorised disclosure or access of personal data processed;
спазване на стандарти;
compliance;
сигурност на компютърната мрежа (препоръчват се ISO/IEC 27033 или SoGP).
computer network security (ISO/IEC 27033 or the SoGP are recommended).
Прилагането на тези стандарти може да бъде ограничено до тези части на организацията, които са от значение за системата за събиране на изявления за подкрепа онлайн.
Application of these standards can be limited to the parts of the organisation that are relevant for the online collection system.
Например сигурността, свързана с човешките ресурси, може да бъде ограничена до персонала, който има физически достъп или мрежови достъп до системата за събиране на изявления за подкрепа онлайн, а физическата сигурност и сигурността на средата могат да бъдат ограничени до сградата/-ите, в която/-ито се помещава системата.
For instance, human resources security can be limited to any staff that has physical or networking access to the online collection system, and physical/environmental security can be limited to the building(s) hosting the system.
Системата за събиране на изявления за подкрепа онлайн се състои от уеб-базирана програма, създадена за целите на събирането на изявления за подкрепа за една единствена гражданска инициатива.
The online collection system consists of a web-based application instance set up for the purpose of collecting statements of support for a single citizens’ initiative.
Ако управлението на системата изисква различни роли, тогава се създават различни нива на контрол на достъпа съгласно принципа на най-малко привилегии.
If administering the system requires different roles, then different levels of access control are established according to the principle of least privilege.
Обществено достъпните елементи са ясно отделени от елементите, предназначени за административни цели.
The publicly accessed features are clearly separated from the features destined for administration purposes.
Нито един от типовете контрол на достъпа не затруднява четенето на наличната информация в публично достъпната част на системата, включително информацията за инициативата и електронния формуляр за изявление за подкрепа.
No access control hinders reading of the information available in the public area of the system, including information on the initiative and the electronic statement of support form.
Участието в инициативата е възможно само чрез тази публично достъпна зона на системата.
Signing up for an initiative is possible only via this public area.
Системата открива и предотвратява подаването на дублирани изявления за подкрепа.
The system detects and prevents submission of duplicate statements of support.
Сигурност на етапа на програмата
Application level security
Системата е защитена по подходящ начин срещу известни слаби места и атаки от вид exploits.
The system is suitably protected against known vulnerabilities and exploits.
За тази цел системата удовлетворява, inter alia, следните изисквания:
For this purpose it satisfies, inter alia, the following requirements:
Системата предпазва срещу вливане на информация като заявки чрез Structured Query Language (SQL) („език за структурирани запитвания“), заявки чрез Lightweight Directory Access Protocol (LDAP) (мрежови протокол, проектиран да работи с ТСР/IP, за извличане на информация от йерархична директория), заявки чрез XML Path Language (XPath) (XML език за адресиране на елементите на един XML документ чрез задаване на пътека посредством структурата на документа), команди или програмни аргументи на операционната система.
The system guards against injection flaws such as structured query language (SQL) queries, lightweight directory access protocol (LDAP) queries, XML path language (XPath) queries, operating system (OS) commands or program arguments.
За тази цел е необходимо удовлетворяването на най-малко следните изисквания:
For this purpose, it requires at least that:
валидиране на цялата входна информация на потребителя;
all user input is validated;
валидирането се извършва поне по логиката от страната на сървъра;
validation is performed at least by the server-side logic;
всяко използване на интерпретатори ясно разделя ненадеждни данни от командата или заявката.
all use of interpreters clearly separates untrusted data from the command or query.
За инструкции SQL това означава използване на обвързани променливи (bind variables) във всички изготвени изявления и съхранени процедури, както и избягване на динамични заявки.
For SQL calls, this means using bind variables in all prepared statements and stored procedures, and avoiding dynamic queries.
Системата предпазва срещу Cross-Site Scripting (XSS) (писане на скриптове между различни сайтове).
The system guards against cross-site scripting (XSS).
сигурността на цялата предоставена потребителска входна информация, изпратена обратно към браузъра, е потвърдена (чрез валидиране на входната информация);
all user supplied input sent back to the browser is verified to be safe (via input validation);
цялата входна информация на потребителя е предмет на правилна операция escapе, преди да бъде включена в страницата с изходна информация;
all user input is properly escaped before it is included in the output page;
правилното кодиране на изходната информация гарантира, че изходната информация е обработена като текст в браузъра.
proper output encoding ensures that such input is always treated as text in the browser.
Не се използва никакво активно съдържание.
No active content is used.
Системата има прецизно управление на автентикацията и сесията, за което е необходимо удовлетворяването на най-малко следните изисквания:
The system has strong authentication and session management, which requires at least that:
удостоверението за самоличността е винаги защитено, когато се съхранява чрез използване на хеширане или криптиране.
credentials are always protected when stored using hashing or encryption.
Намаляване на риска от това някой да удостовери самоличността си като използва атака от вида „pass-the-hash“;
The risk that someone authenticates using ‘pass-the-hash’ is mitigated;
удостоверението за самоличността не може да бъде отгатнато или написано повторно чрез слаби функции за управление на акаунта (например създаване на акаунт, промяна на парола, възстановяване на парола, слаби идентификатори на сесията (IDs);
credentials cannot be guessed or overwritten through weak account management functions (e.g. account creation, change password, recover password, weak session identifiers (IDs));
идентификаторите на сесията и данните за сесията не са посочени в унифицирания локатор на ресурс (Uniform Resource Locator (URL);
session IDs and session data are not exposed in the uniform resource locator (URL);
идентификаторите на сесията не са уязвими спрямо атаки за фиксиране на сесията;
session IDs are not vulnerable to session fixation attacks;
наличие на таймаут на идентификаторите на сесията, с което се гарантира, че потребителите напускат програмата;
session IDs timeout, which ensures that users log out;
идентификаторите на сесията не могат да бъдат повторно генерирани след успешно включване в програмата;
session IDs are not rotated after successful login;
пароли, идентификатори на сесия и други удостоверения за самоличността се изпращат единствено чрез Transport Layer Security (TLS) (стандартен протокол за осигуряване на сигурни уеб комуникации);
passwords, session IDs, and other credentials are sent only over transport layer security (TLS);
административната част на системата е защитена.
the administration part of the system is protected.
Ако тя е защитена чрез автентикация с един фактор, тогава паролата се състои от минимум 10 знака, включително най-малко една буква, една цифра и един специален знак.
If it is protected by single-factor authentication, then the password is composed of a minimum of 10 characters, including at least one letter, one number and one special character.
Другата възможност е да бъде използвана автентикация с два фактора.
Alternatively two-factor authentication may be used.
Когато се използва единствено автентикация с един фактор, това включва двустепенен механизъм за проверка за достъп до административната част на системата чрез интернет, в който единственият фактор се подсилва с други средства за автентикация като еднократна тайна фраза/еднократен код, изпратени чрез SMS съобщения, или асиметрично криптирана случайна поредица от данни за получаване на достъп, която се разкодира чрез непознат за системата частен ключ на организаторите/администраторите.
Where only single-factor authentication is used, it includes a two-step verification mechanism for accessing the administration part of the system via the Internet, in which the single factor is augmented by another means of authentication, such as a one-time pass-phrase/code via SMS or an asymmetrically encrypted random challenge string to be decrypted using the organisers’/administrators’ private key unknown to the system.
Системата няма незащитени директни препратки към даден обект.
The system does not have insecure direct object references.
за директни препратки към защитени ресурси, програмата проверява дали потребителят има разрешен достъп за точно този ресурс;
for direct references to restricted resources, the application verifies that the user is authorised to access the exact resource requested;
ако препратката е косвена, асоциирането с пряка препратка е ограничено до стойности, разрешени за съответния потребител.
if the reference is an indirect reference, the mapping to the direct reference is limited to values authorised for the current user.
Системата е защитена срещу подправяне на искане между различни сайтове.
The system guards against cross-site request forgery flaw.
Наличие на правилна конфигурация за сигурността, за което е необходимо удовлетворяването на най-малко следните изисквания:
Proper security configuration is in place, which requires, at least, that:
всички софтуерни компоненти да бъдат актуални, включително оперативната система, уеб сървъра, приложния сървър, системата за управление на бази данни (Data Base Management System (DBMS), програмите и всички библиотеки с кодове;
all software components are up to date, including the OS, web/application server, database management system (DBMS), applications, and all code libraries;
ненужните услуги на оперативната система, уеб сървъра и приложния сървър са деактивирани, отстранени или не са инсталирани;
OS and web/application server unnecessary services are disabled, removed, or not installed;
подразбиращите се пароли за акаунт са променени или деактивирани;
default account passwords are changed or disabled;
въведена е система за обработка на грешки за предотвратяване на изтичането на чувствителна информация поради следи от стек и други прекалено информативни съобщения за грешка;
error handling is set up to prevent stack traces and other overly informative error messages from leaking;
настройките за сигурност в рамките за разработка и библиотеките са конфигурирани в съответствие с най-добрите практики, като например насоките на Open Web Application Security Project (OWASP).
security settings in the development frameworks and libraries are configured in accordance with best practices, such as the guidelines of OWASP.
В системата е предвидено криптиране на данни, както следва:
The system provides for encryption of data as follows:
личните данни в електронен формат се криптират при съхраняване или прехвърляне до компетентните органи на държавите-членки в съответствие с член 8, параграф 1 от Регламент (ЕС) № 211/2011, като ключовете се управляват и архивират отделно;
personal data in electronic format is encrypted when stored or transferred to the competent authorities of the Member States in accordance with Article 8(1) of Regulation (EU) No 211/2011, the keys being managed and backed up separately;
използват се сложни стандартни алгоритми и сложни ключове в съответствие с международните стандарти.
strong standard algorithms and strong keys are used in line with international standards.
Налице е управление на ключовете;
Key management is in place;
паролите са хеширани със сложен стандартен алгоритъм и се използва подходяща инициализация;
passwords are hashed with a strong standard algorithm and an appropriate ‘salt’ is used;
всички ключове и пароли са защитени срещу неразрешен достъп.
all keys and passwords are protected from unauthorised access.
Системата ограничава достъпа до URL съобразно нивата за достъп и разрешителните на потребителя.
The system restricts URL access based on the user access levels and permissions.
ако се използват външни механизми за сигурност за проверки на самоличността и на разрешителните за достъп до интернет страници, те трябва да бъдат правилно конфигурирани за всяка страница;
if external security mechanisms are used to provide authentication and authorisation checks for page access, they need to be properly configured for every page;
ако се използва защита на равнище на кода, такава защита трябва да има за всяка поискана страница.
if code level protection is used, code level protection needs to be in place for every required page.
Системата използва достатъчно Transport Layer Protection.
The system uses sufficient transport layer protection.
За тази цел са налице всички от следните мерки или други мерки, които имат поне равностойна сила:
For this purpose, all of the following measures or measures of at least equal strength are in place:
системата изисква най-новата версия на Hypertext Transfer Protocol Secure (HTTPS) за достъп до всякакви чувствителни ресурси посредством сертификати, които са валидни, не са с изтекъл срок на валидност, не са отменени и съответстват на всички домейни, използвани от сайта;
the system requires the most current version of the hypertext transfer protocol secure (HTTPS) to access any sensitive resource using certificates that are valid, not expired, not revoked, and match all domains used by the site;
системата определя „сигурен“ флаг („secure“ flag) за всички блокове с чувствителни данни (cookies);
the system sets the ‘secure’ flag on all sensitive cookies;
сървърът конфигурира протокола TLS, за да го използва само за поддръжка на алгоритми за криптиране в съответствие с най-добрите практики.
the server configures the TLS provider to only support encryption algorithms in line with best practices.
Потребителите са информирани за това, че трябва да активират помощния TLS в техния браузър.
The users are informed that they must enable TLS support in their browser.
Системата е защитена срещу невалидирано пренасочване и препращане.
The system guards against invalidated redirects and forwards.
Сигурност на базата данни и цялост на данните
Database security and data integrity
Когато системите за събиране на изявления за подкрепа онлайн за различни граждански инициативи делят хардуерни ресурси и оперативни системи, те не споделят никакви данни, нито удостоверения за самоличност за достъп/криптиране.
Where online collection systems used for different citizens’ initiatives share hardware and operating system resources, they do not share any data, including access/encryption credentials.
В допълнение, това е отразено в оценката на риска и на прилаганите мерки за противодействие.
In addition, this is reflected in the risk assessment and in the implemented countermeasures.
Намален е рискът от това някой да удостовери самоличността си в базата данни, като използва атака от вид „pass-the-hash“.
The risk that someone authenticates on the database using ‘pass-the-hash’ is mitigated.