Държавен вестник, бр. 59, 2019 г., стр. 15

БРОЙ  59	
Д Ъ Р Ж А В Е Н  В Е С Т Н И К 	
СТР.  15  
Филтриране на трафика
Чл. 14. (1) Субектът гарантира, че трафикът 
между отделните системи и техните подсисте­
ми е контролиран чрез подходящо филтриране 
(по IP адрес, по протокол, по номер на порт 
от Transmission Control Protocol (TCP)/Internet 
Protocol (IP) стека и т. н.) с цел превенция 
на евентуални атаки и ограничаване на раз­
пространението на инциденти. Филтрирането 
на трафика трябва да бъде по предварително 
разписани и одобрени правила, основаващи 
се на функционалността и сигурността, ко­
ито трябва да бъдат редовно проверявани 
за нерегламентирани изменения и да бъдат 
актуализирани с оглед на нововъзникващи 
заплахи.
(2) Ненужните портове по протоколи TCP и 
User Datagram Protocol (UDP) трябва да бъдат 
забранени чрез адекватно конфигуриране на 
използваните софтуерни решения, хардуерни 
устройства и оборудване за защита и контрол 
на трафика.
Неоторизирано използване на устройства
Чл. 15. (1) Субектът приема ясно дефи­
нирани политики относно използването на:
1. лични технически средства в мрежата, 
която контролират; 
2. преносими записващи устройства.
(2) Политиките се отразяват във вътрешните 
правила, като се предприемат подходящи и 
реципрочни на заплахите мерки за реализи­
рането им.
Криптография
Чл. 16. (1) Субектът разработва политика 
и вътрешни правила съгласно чл. 5, ал. 1, т. 6 
за прилагане на криптографски механизми, 
които се използват за гарантиране на конфи­
денциалността и интегритета на чувствител­
ната информация в съответствие с нейната 
класификация.
(2) Криптографските механизми се съ­
образяват с уязвимостта на информацията 
към заплахи за нейните конфиденциалност и 
интегритет и с нормативните и регулаторните 
изисквания към нейното създаване, съхраня­
ване и пренасяне.
Администриране на информационните и кому­
никационните системи
Чл. 17. (1) Субектът прилага следните мерки 
за защита на профилите с административни 
права за информационните и комуникацион­
ните системи и техните компоненти:
1. преди въвеждане в експлоатация задъл­
жително се сменят идентификационните данни 
на администратора, въведени по подразбиране 
или инсталирани от производителя/доставчи­
ка на информационния актив;
2. администраторските профили са пер­
сонални;
3. администраторските профили се използ­
ват само за административни цели;
4. администраторските профили се съз­
дават само на служители, които извършват 
административни операции (инсталиране, 
конфигуриране, управление, поддръжка и т. н.);
5. правата на всеки администраторски 
акаунт са ограничени във възможно най-го­
ляма степен до функционалния и техническия 
периметър на всеки администратор;
6. данните за автентикацията на админи­
страторските акаунти:
а) са различни за всяка система;
б) са с възможно най-голяма сложност, 
позволена от системата или нейния компонент;
в) се съхраняват подходящо физически и 
логически защитени, като достъп до тях има 
само оторизиран представител на Субекта;
7. поддържа списък на администраторските 
профили за информационните и комуникаци­
онните системи и техните компоненти;
8. при невъзможност на администратор да 
изпълнява пълноценно функциите си поради 
обективни причини правата на администра­
тивния му акаунт се спират за съответния 
период;
9. поне веднъж годишно се прави преглед 
на администраторските профили с цел удос­
товеряване на актуалността им. 
(2) Паролите за автентикация на адми­
нистраторските профили се сменят задъл­
жително:
1. периодично – най-малко веднъж в го­
дината;
2. при прекратяването на договорните от­
ношения със служители или трети страни, на 
които тези данни са били известни;
3. при пробив в мрежовата и информаци­
онната сигурност.
(3) Всички операции, процеси и дейности 
в информационните и комуникационните 
системи и техните компоненти, извършени 
с администраторски права, се документират 
по смисъла на чл. 5, ал. 3 и 4 за всеки ад­
министраторски профил и в съответствие с 
изискванията на чл. 29, ал. 2, 4, 5 и 6.
(4) В документацията по ал. 3 не се въвеждат 
и не се съхраняват пароли на административен 
профил под формата на явен текст или хеш.
Среда за администриране
Чл. 18. (1) Субектът използва отделна, 
подходящо защитена среда (мрежа, система, 
софтуер и др.) за целите на администриране на 
информационните и комуникационните систе­
ми и техните компоненти. Тази среда трябва 
да е изолирана от другите информационни 
и комуникационни системи на Субекта и от 
интернет и да не се използва за други цели.
(2) В случай че администрирането на ин­
формационните и комуникационните системи 
и техните компоненти не се осъществява през