Държавен вестник, бр. 18, 2020 г., стр. 20

СТР.  20	
Д Ъ Р Ж А В Е Н  В Е С Т Н И К 	
БРОЙ  18
(3) Остатъчен риск е рискът, който оста-
ва след прилагане на мерките за сигурност, 
отчитайки, че не всички рискове могат да 
бъдат елиминирани.
(4) Управлението на риска е непрекъснат 
процес на извършване на анализ на риска през 
целия жизнен цикъл с цел осигуряване на 
конфиденциалност, достъпност и интегритет 
на информацията в КИС.
Чл. 36. Анализ на риска се извършва от 
екип от специалисти по видовете сигурност по 
чл. 1, ал. 2, т. 3, като могат да се привличат 
и представители на проектантите.
Чл. 37. Възможните резултати от анализа 
на всеки конкретен риск са:
1. елиминиране на риска – цялостно елими-
ниране на реална или потенциална уязвимост 
на конкретната КИС чрез пълно прилагане 
на мерки за сигурност;
2. предотвратяване загубата на физически 
и/или информационни ресурси – прилагане 
на мерки за предотвратяване на загубите, 
доколкото това е възможно, отчитайки, че 
някои рискове не могат да бъдат елиминира-
ни поради технологични или други причини;
3. ограничаване загубата на физически и/
или информационни ресурси – прилагане на 
мерки за сигурност, ограничаващи загубите 
до приемливо ниво;
4. приемане на риска от загуба на физичес- 
ки и/или информационни ресурси – когато 
загубата не е голяма, вероятността за загуба 
е малка или цената на необходимите мерки за 
предотвратяване на загубите е много голяма.
Чл. 38. (1) Документирането на анализа 
на риска се извършва в документа по чл. 32, 
ал. 1, т. 1.
(2) Степента на детайлизация на докумен-
тирането по ал. 1 се уточнява съгласно чл. 33, 
ал. 3 и включва минимум:
1. описание на приложената методология 
за извършване на анализа на риска;
2. оценката и резултатите от анализа на 
всеки идентифициран риск.
Чл. 39. Във всички етапи на жизнения 
цикъл на КИС СИС следва да се изготвят и 
изменят на основата на извършения анализ 
на риска.
Раздел III
Процедури за сигурност на КИС
Чл. 40. Процедурите за сигурност са под-
робно описание на реда и отговорностите за 
изпълнение на дейностите при прилагането 
на мерките за сигурност от СИС.
Чл. 41. (1) Процедурите за сигурност съ-
държат следните раздели:
1. организация на сигурността;
2. персонална сигурност;
3. физическа сигурност;
4. документална сигурност;
5. компютърна сигурност (включително 
при осигуряване със средства на КИС и уп-
равление на конфигурацията);
6. комуникационна сигурност;
7. контрамерки по TEMPEST;
8. действия при критични по отношение 
на сигурността ситуации.
(2) При междусистемна връзка процедурите 
за сигурност на всяка КИС трябва да определят 
ред и отговорност за обмена на информация, 
свързана с инцидент със сигурността на КИС.
(3) Конкретните параметри на информаци-
ята по ал. 2 и формата на обмен се определят 
в споразумението или в заповедта по чл. 25.
Г л а в а  п е т а
ОБЩИ ИЗИСКВАНИЯ ЗА СИГУРНОСТ 
НА КИС
Раздел I
Сигурност на КИС
Чл. 42. (1) Сигурността на КИС включва 
прилагане на балансирана система от мерки 
за сигурност в областите по чл. 1, ал. 2, т. 3.
(2) С прилагането на системата от мерки 
за сигурност се цели осигуряване на конфи-
денциалност, интегритет и достъпност на 
информацията в КИС.
Раздел II
Физическа сигурност
Чл. 43. (1) Зоните, в които се разполагат 
ресурсите на КИС, предназначени за класи-
фицирана информация с ниво „Поверително“ 
и по-високо, трябва да са определени като 
зони за сигурност съгласно наредбата по 
чл. 78 от ЗЗКИ.
(2) Зоните, в които се разполагат ресурсите 
на КИС, предназначени за класифицирана ин-
формация с ниво само „За служебно ползване“, 
с изключение на случаите по ал. 3, трябва 
да са определени като зони за сигурност или 
административни зони съгласно наредбата по 
чл. 78 от ЗЗКИ.
(3) Зоните, в които се разполага критично 
от гледна точка на сигурността оборудване 
на КИС, трябва да са определени като зони 
за сигурност съгласно наредбата по чл. 78 
от ЗЗКИ.
(4) Зоните по ал. 1 и 2 се защитават със 
съответни на най-високото ниво на класи-
фикация на информацията в КИС мерки, 
способи и средства за физическа сигурност, 
определени в наредбата по чл. 78 от ЗЗКИ, с 
цел недопускане на нерегламентиран достъп.
Чл. 44. За критичните от гледна точка на 
сигурността места, определени от анализа 
на риска, се вземат допълнителни мерки за 
защита, като:
1. контрол на достъпа, включително с 
технически средства;
2. системи за наблюдение;