Държавен вестник, бр. 46, 2003 г., стр. 26

С Т Р .  26
Д Ъ Р Ж А В Е Н   В Е С Т Н И К
Б Р О Й  46
(2) В екипа по ал. 1 могат да се привличат и
представители на проектантите.
(3) За сложни АИС или мрежи при възмож-
ност се използват автоматизирани средства за
оценка на риска.
Чл. 34. (1) Възможните резултати от анали-
за на всеки конкретен риск са:
1. елиминиране на риска—целта е цялостно
елиминиране на реална или потенциална уяз-
вимост на АИС или мрежата чрез пълно прила-
гане на мерки за сигурност;
2. предотвратяване загубата на физически и
информационни ресурси—целта е прилагане на
мерки за предотвратяване на загубите, докол-
кото това е възможно, отчитайки, че някои
рискове не могат да бъдат елиминирани пора-
ди технологични или други причини;
3. ограничаване загубата на физически и
информационни ресурси—целта е прилагане на
мерки за сигурност, ограничаващи загубите до
приемливо ниво;
4. приемане на риска от загуба на физически
и информационни ресурси—когато загубата не
е голяма, вероятността за загуба е малка или
цената на необходимите мерки за предотвратя-
ване на загубите е много голяма.
(2) Резултатите от анализа на риска се офор-
мят в документа по чл. 38, т. 2.
Чл. 35. За условия на експлоатация на АИС
или мрежа, които не са свързани с конкретна
глобална среда за сигурност (например мобил-
ни, полеви и други условия), при анализа на
риска се оценяват и рисковете, свързани със
средата, в която АИС или мрежата ще бъде
ползвана.
Раздел III
Специфични изисквания за сигурност
Чл. 36. (1) За всяка АИС или мрежа, в която
се създава, обработва, съхранява и пренася кла-
сифицирана информация, се изготвят специфич-
ни изисквания за сигурност (СИС) съгласно
чл. 90, ал. 2 ЗЗКИ.
(2) Специфичните изисквания за сигурност
се формулират по време на най-ранния стадий
от проектирането на системата и се детайлизи-
рат и развиват в процеса на разработване и из-
пълнение на проекта на АИС или мрежата. Сте-
пента на детайлизация зависи от сложността на
системата или мрежата, от режима на сигурност,
в който се експлоатира, и от нивото на класифи-
кация на обработваната информация.
(3) В своя завършен вид СИС определят как
се постига, управлява и контролира сигурност-
та на АИС или мрежата.
Чл. 37. В отделните етапи на разработка и
експлоатация на АИС или мрежата СИС из-
пълняват различни функции:
1. в етапа на планиране СИС представляват
схематично описание на глобалната и локална-
та среда за сигурност, в които ще се експлоати-
ра системата, с постепенна детайлизация на
изискванията за сигурност;
2. в етапа на разработка или доставка се
детайлизират техническите аспекти на СИС,
което спомага за правилната спецификация на
системата или мрежата;
3. преди комплексната оценка СИС са в за-
вършен вид и са основа за формулиране на про-
цедурите за сигурност;
4. в етапа на експлоатация СИС определят
границите на отговорност на ОРЕ и на остана-
лия състав, действащ в локалната и глобалната
среда за сигурност;
5. в етапа на прекратяване на експлоатаци-
ята СИС се ползват за определяне на действи-
ята, които трябва да се предприемат с цел за-
пазване сигурността на информацията.
Чл. 38. Специфичните изисквания за сигур-
ност в завършен вид съдържат:
1. подробно описание на АИС или мрежата
по отношение на формата на представяне и
нивото на класификация на информацията; гру-
пите потребители според нивото на достъп и
начина на взаимодействие със системата; фи-
зическата среда за работа; функционалните
елементи, включително архитектура, интерфей-
си и външни връзки;
2. описание на специфичните заплахи, уяз-
вимостите на АИС или мрежата, режима за
сигурност при експлоатация на системата,
изискванията към физическата и техническа-
та среда;
3. описание на глобалната, локалната и
електронната среда за сигурност на АИС или
мрежата;
4. подробно описание на мерките за сигур-
ност относно:
а) контрола на достъпа, включително физи-
ческия, и определяне автентичността на потре-
бителите;
б) отчетността на действията на отделните
потребители и възможностите за проверка на
валидността на тези действия;
в) предотвратяване на възможността за не-
регламентиран достъп до информация, вклю-
чително при повторно използване обектите на
системата;
г) съхраняване интегритета на информа-
цията;
д) осигуряване достъпност на информацията;
е) пренасянето на информацията;
ж) други специфични рискове;
5. управление на сигурността, включително
при прилагане на разработените процедури по
сигурността, конфигурационния контрол, под-
дръжката, разработването на документи по
сигурността, обучението, случаите, в които се
налага допълнително акредитиране;
6. описание на мерките за сигурност при
критични ситуации;
7. описание на мерките за сигурност при
прекратяване на експлоатацията на АИС или
мрежата.
Чл. 39. При необходимост от по-детайлно
разработване на отделни аспекти на сигурност-
та по чл. 1, ал. 2, т. 3, букви “г”—“ж” ОАС може
да изисква допълнителни СИС за тези аспекти.