natgillin/translations-raw huggingface dataset:
При поискване от други служби на Комисията, генерална дирекция „Човешки ресурси и сигурност“ може да направи преглед на техните политики за информационна сигурност или друга документация, свързана с информационната сигурност, за да осигури съответствието им с политиката за информационна сигурност на Комисията.
Upon request by other Commission departments, the Directorate-General for Human Resources and Security may review their IT security policies or other IT security documentation to ensure their consistency with the Commission's information security policy.
Началникът на съответната служба на Комисията е длъжен да гарантира, че всички несъответствия са отстранени.
The head of the Commission department concerned shall ensure that any inconsistencies are addressed.
В рамките на задълженията си в областта на сигурността на информацията генерална дирекция „Човешки ресурси и сигурност“ си сътрудничи с генерална дирекция „Информатика“, за да гарантира, че процесите на информационна сигурност отчитат в пълна степен класификацията и принципите на сигурността, установени в Решение (ЕС, Евратом) 2015/443, и по-специално членове 3 и 9 от него.
Under its responsibility for the security of information, the Directorate-General for Human Resources and Security shall cooperate with the Directorate-General for Informatics to ensure that the IT security processes take full account of the classification and principles of security laid down in Decision (EU, Euratom) 2015/443, in particular Articles 3 and 9.
ПРОЦЕСИ НА ИНФОРМАЦИОННАТА СИГУРНОСТ
IT SECURITY PROCESSES
Криптографски технологии
Encrypting technologies
Използването на криптографски технологии за защита на класифицираната информация на Европейския съюз (КИЕС) трябва да е в съответствие с Решение (ЕС, Евратом) 2015/444.
The use of encrypting technologies for the protection of EU classified information (EUCI) shall comply with Decision (EU, Euratom) 2015/444.
Решенията относно използването на криптографски технологии за защитата на некласифицирана информация се вземат от собственика на всяка КИС, като се вземат предвид както рисковете, които трябва да бъдат смекчени чрез криптирането, така и рисковете, които то поражда.
The decisions on the use of encrypting technologies for the protection of non-EUCI data shall be taken by the system owner of each CIS, taking into account both the risks that are intended to be mitigated through encryption and the risks that it introduces.
Предварително одобрение от Органа за криптографско одобрение (ОКО) се изисква за всяка употреба на криптографски технологии, освен ако криптирането се използва само за да се защити поверителността на некласифицираната информация при нейното предаване и се използват стандартни мрежови съобщителни протоколи.
Prior approval from the CAA is required for all uses of encrypting technologies, unless the encryption is used only to protect the confidentiality of non-EUCI data in transit and uses standard network communications protocols.
С изключението, посочено в параграф 3 от настоящия член, Службите на Комисията осигуряват доверително съхранение (ескроу) на резервни копия от ключовете за декриптиране за целите на възстановяването на съхраняваните данни, в случай че ключовете за декриптиране не са достъпни.
With the exception noted in paragraph 3 of this Article, Commission departments shall ensure that back-ups of any decryption keys are stored in key escrow for the purpose of recovering stored data in the event that the decryption key is not available.
Възстановяването на криптирани данни посредством резервни копия на ключовете за декриптиране се извършва само с разрешение, предоставено в съответствие със стандарта, определен от ОКО.
The recovery of encrypted data using back-ups of decryption keys shall be carried out only when authorised in line with the standard defined by the CAA.
Исканията за одобрение за използването на криптографски технологии се документират официално и в тях се включва подробна информация за КИС и информацията, които следва да бъдат защитени, технологиите, които се използват, и свързаните с тях оперативни процедури за сигурност.
Requests for approval for the use of encrypting technologies shall be formally documented and shall include details of the CIS and data to be protected, the technologies to be used and the related security operating procedures.
Тези искания за одобрение се подписват от собственика на системата.
These requests for approval shall be signed by the system owner.
Исканията за одобрение за използването на криптографски технологии се оценяват от ОКО в съответствие с публикуваните стандарти и изисквания.
Requests for approval for the use of encrypting technologies shall be evaluated by the CAA in line with the published standards and requirements.
Проверки на информационната сигурност
IT security inspections
Генерална дирекция „Човешки ресурси и сигурност“ извършва проверки на информационната сигурност, за да провери дали мерките за информационна сигурност са в съответствие с политиките на Комисията в тази област и да провери интегритета на тези мерки за контрол.
The Directorate-General for Human Resources and Security shall undertake IT security inspections in order to verify whether IT security measures comply with the Commission's IT security policies and to check the integrity of these control measures.
Генерална дирекция „Човешки ресурси и сигурност“ може да извърши проверка на информационната сигурност:
The Directorate-General for Human Resources and Security may perform an IT security inspection:
по искане на Управителния съвет за информационна сигурност (УСИС);
on request from the Information Security Steering Board (ISSB);
по искане, получено от собственик на система;
on a request received from a system owner;
вследствие на инцидент, свързан със сигурността; или
further to a security incident; or
след установяването на висока степен на риск за дадена система.
further to the identification of a high risk to a particular system.
Собствениците на данни могат да поискат проверка на информационната сигурност, преди да съхранят своята информация в КИС.
Data owners may request an IT security inspection before storing their information in a CIS.
Резултатите от проверката трябва да бъдат документирани в официален доклад, предназначен за собственика на системата, с копие до ЛСИС, в който се съдържат констатации и препоръки за подобряване на съответствието на КИС с политиката за информационна сигурност.
The results of an inspection shall be documented in a formal report to the system owner, and copied to the LISO, that includes findings and recommendations for improving the CIS's compliance with the IT security policy.
Генерална дирекция „Човешки ресурси и сигурност“ докладва за значителни проблеми и препоръки на Управителния съвет по информационна сигурност (УСИС).
The Directorate-General for Human Resources and Security shall report significant issues and recommendations to the ISSB.
Генерална дирекция „Човешки ресурси и сигурност“ следи изпълнението на препоръките.
The Directorate-General for Human Resources and Security shall monitor the implementation of the recommendations.
Когато е целесъобразно, проверките на информационната сигурност включват инспектирането на услуги, помещения и оборудване, предоставени на собственика на системата, като това може да са вътрешни или външни доставчици на услуги.
Where appropriate, IT security inspections shall include the inspection of services, premises and equipment provided to the system owner, including both internal and external service providers.
Достъп от външни мрежи
Access from external networks
Генерална дирекция „Човешки ресурси и сигурност“ определя правилата за разрешаване на достъп между КИС на Комисията и външни мрежи под формата на стандарт.
The Directorate-General for Human Resources and Security shall lay down the rules in a standard on authorising access between Commission CISs and external networks.
В правилата трябва да се прави разлика между различните видове външни мрежови връзки и да се установят подходящи правила за сигурност за всеки вид връзка, включително дали се изисква предварително разрешение за връзка от съответния орган, както е посочено в параграф 4 от настоящия член.
The rules shall distinguish different types of external network connections and lay down appropriate security rules for each type of connection, including whether a prior authorisation for the connection is required from the relevant authority as noted in paragraph 4 of this Article.
Ако се изисква разрешение, то се издава въз основа на официален процес за искане и получаване на одобрение.
If required, authorisation shall be granted on the basis of a formal request and approval process.
Одобрението е валидно за определен срок и се получава преди активирането на връзката.
The approval shall be valid for a specified duration and shall be obtained before the connection is activated.
Генерална дирекция „Човешки ресурси и сигурност“ носи общата отговорност за одобряването на исканията, но може по своя преценка да делегира отговорността за одобряването на някои видове връзки в съответствие с член 17, параграф 3 от Решение (ЕС, Евратом) 2015/443 и при спазване на условията, определени съгласно параграф 8 от настоящия член.
The Directorate-General for Human Resources and Security shall have the overall responsibility for authorising requests, but may delegate the responsibility for authorising some types of connection at its own discretion in line with Article 17(3) of Decision (EU, Euratom) 2015/443 and subject to the conditions laid down under (8).
Одобряващият орган може да наложи допълнителни изисквания за сигурност като предварително условие за получаването на одобрение, за да се защитят КИС и мрежите на Комисията от рисковете, свързани с неразрешен достъп или други нарушения на сигурността.
The authorising entity may impose additional security requirements as a prerequisite for approval, in order to protect the Commission's CIS and networks from the risks of unauthorised access or other security breaches.
Генерална дирекция „Информатика“ е стандартният доставчик на мрежови услуги за Комисията.
The Directorate-General for Informatics is the standard provider of network services for the Commission.
Всяка друга служба на Комисията, експлоатираща мрежа, която не е предоставена от генерална дирекция „Информатика“, трябва първо да получи съгласието на УСИС.
Any other Commission department operating a network that is not provided by the Directorate-General for Informatics shall first obtain the agreement of the ISSB.
Службата на Комисията следва да документира оперативната обосновка за искането и да демонстрира, че контролът на мрежата е достатъчен, за да отговори на изискванията за контрол на входящите и изходящи потоци от информация.
The Commission department shall document the business justification for the request and demonstrate that the network controls are sufficient to meet the requirements for controlling incoming and outgoing flows of information.
Собственикът на КИС определя изискванията за сигурност за външен достъп до тази КИС и с подкрепата на ЛСИС гарантира прилагането на подходящи мерки за защита на нейната сигурност.
The system owner of a CIS shall determine the security requirements for external access to that CIS and shall ensure the implementation of appropriate measures to protect its security, with the support of the LISO.
Мерките за сигурност, които се прилагат за външни мрежови връзки, се основават на принципите „необходимост да се знае“ и „най-малко привилегии“, които гарантират, че лицата получават само информацията и правата на достъп, които са им нужни, за да изпълняват служебните си задължения към Комисията.
The security measures implemented for external network connections shall be based on the principles of need-to-know and least privilege, which ensure that individuals only receive the information and access rights that they need to perform their official duties for the Commission.
Всички външни мрежови връзки се филтрират и наблюдават с цел откриване на евентуални пробиви в сигурността.
All external network connections shall be filtered and monitored to detect potential security breaches.
Когато връзките са създават, за да се даде възможност дадена КИС да бъде възложена на външни изпълнители, разрешението ще зависи от успешното приключване на процедурата, описана в член 8.
Where connections are established to allow the outsourcing of a CIS, the authorisation shall be conditional on the successful completion of the procedure described in Article 8.
Възлагане на КИС на външни изпълнители
Outsourcing of CISs
За целите на настоящото решение за дадена КИС се счита, че е възложена на външен изпълнител, когато тя се предоставя въз основа на договор с трета страна изпълнител, съгласно който КИС се намира в помещения, които са извън Комисията.
For the purposes of this Decision, a CIS is considered to be outsourced when it is provided on the basis of a contract with a third party contractor, under which the CIS is housed on non-Commission premises.
Това включва възлагането на външен изпълнител на една или няколко КИС или други информационни услуги, центрове за електронно обработване на данни в помещения извън Комисията, и обработката на масиви от данни на Комисията от външни изпълнители.
This includes the outsourcing of individual or multiple CISs or other IT services, data centres on non-Commission premises, and the handling of Commission data sets by external services.
Възлагането на външни изпълнители на дадена КИС отчита чувствителността или класификацията на обработваната информация, както следва:
The outsourcing of a CIS shall take into account the sensitivity or classification of the information handled as follows:
КИС, които работят с КИЕС, се акредитират в съответствие с Решение (ЕС, Евратом) 2015/444, като предварително трябва да се извърши консултация с органа по акредитиране на сигурността на Комисията (ОАС).
CISs handling EUCI shall be accredited in accordance with Decision (EU, Euratom) 2015/444, and the Commission Security Accreditation Authority (SAA) shall be consulted in advance.
Системите, обработващи КИЕС, не се възлагат на външни изпълнители.
Systems handling EUCI shall not be outsourced.
Собственикът на КИС, която обработва некласифицирана информация, въвежда пропорционални мерки за посрещане на свързаните със сигурността нужди в съответствие с приложимите правни задължения или чувствителността на информацията, като взима предвид рисковете, свързани с възлагането на дейности на външни доставчици.
The system owner of a CIS handling non-EUCI information shall implement proportionate measures to address the security needs in line with the relevant legal obligations or the sensitivity of the information, taking into account the risks of outsourcing.
Генерална дирекция „Човешки ресурси и сигурност“ може да наложи допълнителни изисквания.
The Directorate-General for Human Resources and Security may impose additional requirements.
При възложените на външни изпълнители проекти за разработка се взема предвид чувствителността на разработения код и всички данни от изпитванията, използвани по време на разработката.
Outsourced development projects shall take into account the sensitivity of the developed code and any test data used during development.
Следните принципи се прилагат за възложените на външни изпълнители КИС в допълнение към тези, посочени в член 3 от Решение (ЕС, Евратом) 2017/46:
The following principles shall apply to outsourced CIS in addition to those laid down in Article 3 of Decision (EU, Euratom) 2017/46:
договореностите за възлагане на изпълнението се изготвят така, че да се избегне зависимост от определени доставчици;
outsourcing arrangements shall be designed to avoid dependency on specific suppliers;
възлагането на външни изпълнители на дейности, свързани със сигурността, се извършва по начин, свеждащ до минимум възможностите за персонала на трети страни да разполага с достъп до информация на Комисията или да извършва промени в нея;
outsourcing security arrangements shall minimise the possibilities for third party staff to access or modify Commission information;
персоналът на трети страни, който има достъп до възложени на външни изпълнители КИС, подписва споразумения за поверителност;
third party staff that have access to an outsourced CIS shall provide confidentiality agreements;
възлагането на външни изпълнители на дадена КИС се посочва в инвентарния опис на комуникационните и информационни системи.
the outsourcing of a CIS shall be indicated in the inventory of CISs.
С участието на собственика на данните собственикът на системата:
The system owner with the participation of the data owner shall:
оценява и документира рисковете, свързани с възлагането на външен изпълнител;
assess and document the risks relating to outsourcing;
определя съответните изисквания за сигурност;
lay down relevant security requirements;
консултира се със собствениците на всички други свързани КИС, за да гарантира, че са включени и техните изисквания за сигурност;
consult with the system owners of all other connected CISs to ensure that their security requirements are included;
гарантира въвеждането в договора за възлагане на външен изпълнител на подходящи права и изисквания за сигурност;
ensure that appropriate security requirements and rights are included in the outsourcing contract;
изпълнява всички други изисквания, определени в подробната процедура, посочена в параграф 8 от настоящия член.
fulfil any other requirements laid down in the detailed procedure as noted in paragraph 8 of this Article.
Тези действия трябва да бъдат завършени преди подписването на договора или друго споразумение за възлагане на външни изпълнители на една или повече КИС.
These actions shall be completed before the contract or other agreement is signed for the outsourcing of one or more CISs.
Собствениците на системи управляват рисковете, свързани с възлагането на дейности на външни изпълнители, през целия жизнен цикъл на КИС, за да отговорят на установените изисквания за сигурност.
System owners shall manage the risks relating to outsourcing during the lifetime of the CIS in order to meet the defined security requirements.
Собствениците на системи гарантират, че третите страни — изпълнители, са задължени да информират незабавно Комисията за всички инциденти, свързани с информационната сигурност, които засягат КИС на Комисията, възложена на външен изпълнител.
System owners shall ensure that third party contractors are obliged to immediately notify the Commission of all IT security incidents affecting an outsourced Commission CIS.
Собственикът на система отговаря за осигуряване на съответствието на КИС, договора за възлагане на външен изпълнител и договореностите за сигурност с правилата на Комисията по отношение на информационната сигурност и сигурността на информационните системи.
The system owner is responsible for ensuring the compliance of the CIS, the outsourcing contract and the security arrangements with the Commission's rules on information security and IT security.
В съответствие с член 10 по-долу генерална дирекция „Човешки ресурси и сигурност“ установява подробен стандарт, свързан с отговорностите и дейностите, посочени в точки 1 — 7.
The Directorate-General for Human Resources and Security shall lay down the detailed standard related to the responsibilities and activities set out in points (1) to (7) in accordance with Article 10 below.
Настоящото решение се довежда до вниманието на служителите на Комисията и на всички лица, за които то се прилага, и се публикува в Официален вестник на Европейския съюз.
This Decision shall be brought to the attention of Commission staff and to all individuals to whom it applies, and published in the Official Journal of the European Union.
Разпоредбите на настоящото решение при необходимост се доразвиват в стандарти и/или насоки, които се приемат в съответствие с Решение (ЕС, Евратом) 2017/46 и с Решение C(2017) 7428.
The provisions of this Decision shall, where necessary, be further detailed in standards and/or guidelines to be adopted in line with Decision (EU, Euratom) 2017/46 and with Decision C(2017) 7428.
Стандартите и насоките за информационна сигурност предоставят допълнителни подробности относно тези правила за прилагане и Решение (ЕС, Евратом) 2017/46 за специфични области на сигурност съгласно стандарт ISO 27001:2013, приложение А.
IT security standards and guidelines shall provide further details on these implementing rules and Decision (EU, Euratom) 2017/46 for specific security domains according to ISO 27001:2013 Annex A. These standards and guidelines are based on industry best practices and are selected to suit the Commission's IT environment.
Тези стандарти и насоки се основават на най-добрите практики в отрасъла и са подбрани така, че да отговарят на информационната среда на Комисията.
Standards shall, where necessary, be developed according to ISO 27001:2013 Annex A in the following domains:
При необходимост стандартите се разработват в съответствие със стандарт ISO 27001:2013, приложение А, в следните области:
organisation of information security;
организация на информационната сигурност;
human resources security;
сигурност на човешките ресурси;
asset management;
управление на активи;
access control;
контрол на достъпа;
cryptography;
криптография;
physical and environmental security;
физическа сигурност и сигурност на средата;
operational security;
оперативна сигурност;
communications security;
сигурност на комуникациите;
system acquisition, development and maintenance;
придобиване, разработка и поддръжка на системи;
supplier relationships;
отношения с доставчиците;
information security incident management;
управление на инцидентите, свързани със сигурността на информацията;
information security aspects of business continuity management;
аспекти на информационната сигурност при управлението на непрекъснатостта на дейностите;
compliance.
съответствие.
The ISSB shall approve the standards mentioned under paragraph 1 and 2 of this Article before their adoption.
УСИС одобрява стандартите, упоменати в параграфи 1 и 2 от настоящия член, преди те да бъдат приети.
The implementing rules to Decision C(2006) 3602 related to the scope of this Decision are hereby repealed.
Правилата за прилагане на Решение C(2006) 3602, свързани с приложното поле на настоящото решение, се отменят.
The standards and guidelines adopted under Decision C(2006) 3602 of 16 August 2006 shall remain in effect, insofar as they do not conflict with these implementing rules, until they are repealed or replaced by standards or guidelines to be adopted under Article 13 of Decision (EU, Euratom) 2017/46.
Стандартите и насоките, приети съгласно Решение C(2006) 3602 от 16 август 2006 г., остават в сила, доколкото не противоречат на настоящите правила за прилагане, докато не бъдат отменени или заменени със стандарти или насоки, които да бъдат приети съгласно член 13 от Решение (ЕС, Евратом) 2017/46.
Article 11
Настоящото решение влиза в сила на двадесетия ден след деня на публикуването му в Официален вестник на Европейския съюз.
Done at Brussels, 6 April 2018.
Съставено в Брюксел на 6 април 2018 година.
For the Commission,
Член на Комисията
OJ L 6, 11.1.2017, p. 40.
ОВ L 6, 11.1.2017 г., стр. 40.
Commission Decision C(2017) 7428 final of 8 November 2017 granting an empowerment to adopt implementing rules, standards and guidelines relating to the security of communication and information systems in the European Commission.
Решение C(2017)7428 на Комисията от 8 ноември 2017 г. за предоставяне на правомощия за приемането на правила за прилагане, стандарти и насоки по отношение на сигурността на комуникационните и информационните системи в Европейската комисия.
Commission Decision (EU, Euratom) 2015/444 of 13 March 2015 on the security rules for protecting EU classified information (OJ L 72, 17.3.2015, p. 53).
Решение (ЕС, Евратом) 2015/444 на Комисията от 13 март 2015 година относно правилата за сигурност за защита на класифицираната информация на EC (ОВ L 72, 17.3.2015 г., стр. 53).
Commission Decision (EU, Euratom) 2015/443 of 13 March 2015 on Security in the Commission (OJ L 72, 17.3.2015, p. 41).
Решение (ЕС, Евратом) 2015/443 на Комисията от 13 март 2015 година относно сигурността в Комисията (ОВ L 72, 17.3.2015 г., стр. 41).
ANNEX
ПРИЛОЖЕНИЕ
ROLES AND RESPONSIBILITIES (RASCI)