Държавен вестник, бр. 59, 2019 г., стр. 29

БРОЙ  59	
Д Ъ Р Ж А В Е Н  В Е С Т Н И К 	
СТР.  29  
о) системи за контрол на физическия дос­
тъп и на околната среда;
п) процеси/дейности, свързани с управле­
нието, експлоатацията и поддръжката на ин­
формационните и комуникационните систе­
ми;
р) документация на тези процеси и дей­
ности;
с) служители, имащи отговорности към 
управлението, експлоатацията и поддръжка­
та на информационните и комуникационните 
системи;
т) външни организации, имащи отноше­
ние към управлението, експлоатацията и под­
дръжката на информационните и комуника­
ционните системи;
у) друго.
2. Идентифициране на заплахите
За всеки от информационните активи в 
риск-регистъра се нанасят заплахите/нежела­
ните събития, които биха довели до наруша­
ване на конфиденциалността, интегритета и 
достъпността на информацията.
Трябва да се разгледат всички потенциални 
заплахи, произтичащи вътре или извън адми­
нистрацията, настъпили случайно или пред­
намерено, като се има предвид уязвимостта 
на информационния актив към съответната 
заплаха. 
Примерни заплахи са посочени в края на 
това приложение.
В риск-регистъра за всяка заплаха се впис­
ва какви мерки са предприети срещу нея.
3. Оценка на въздействието
В риск-регистъра за всяка заплаха се впис­
ва оценката за нейното въздействие – щетите 
(материални и нематериални), които дадена 
заплаха може да причини, ако се реализира.
За оценка на въздействието се използва 
петстепенна скала от 1 до 5, като при 1 ще­
тите са незначителни, а при 5 са най-големи.
4. Оценка на вероятността
Определя се вероятността за възникване 
на дадена заплаха, като се вземат предвид 
предприетите вече мерки. Колкото повече са 
предприетите защитни мерки, толкова по-ни­
ска е вероятността от възникване на запла­
хата. При оценка на вероятността се вземат 
предвид следните фактори: 
а) за реализиране на преднамерени запла­
хи: ниво на необходимите умения, леснота на 
достъпа, стимул и необходим ресурс;
б) за реализиране на случайни заплахи: го­
дина на производство на хардуера и софтуера, 
ниво на поддръжката им, квалификация на 
поддържащия персонал, ресорно обезпечава­
не на експлоатационните процеси, контрол 
върху тях и др.
В риск-регистъра за всяка заплаха се нана­
ся оценката за нейното въздействие.
За оценка на въздействието се използва 
петстепенна скала от 1 до 5 и като се има 
предвид определен период, например една го­
дина:
1 – вероятността от реализирането на за­
плахата е под 10 %;
2 – вероятността от реализиране на запла­
хата е от 10 % до 30 %;
3 – вероятността от реализиране на запла­
хата е от 30 % до 50 %;
4 – вероятността от реализиране на запла­
хата е от 50 % до 70 %;
5 – вероятността от реализиране на запла­
хата е над 70 %.
5. Оценка на риска
За получаване на оценката на риска се из­
ползва следната формула: 
(Оценка на въздействие × Оценка на вероят­
ност) = Оценка на риска
6. Приоритизация на рисковете
С цел прилагане на пропорционални на за­
плахите механизми за защита се прави при­
оритизация на рисковете на база на тяхната 
оценка и следните прагове:
Приоритет на риска
Оценка на риска
1
от 17 до 25
2
от 8 до 17
3
от 1 до 8
7. Смекчаване на рисковете
Приема се, че за рискове с приоритет 3 
не се изисква предприемане на допълнителни 
мерки за смекчаване на заплахите, които ги 
пораждат.
За рисковете с приоритет 2 се прави ана­
лиз на възможните мерки, които биха могли 
да се предприемат за смекчаването им, и се 
преценява дали разходът на ресурси за при­
лагането им е пропорционален на щетите от 
реализиране на заплахата. В случай че щетите 
са повече от разходите, се определят отговор­
но лице и срок за прилагане на тези мерки.
За всички рискове с приоритет 1 се оп­
ределят отговорни лица, планират се мерки, 
които биха намалили риска от реализиране на 
конкретната заплаха, и се определят срокове 
за прилагането им.
II. ПОСЛЕДВАЩИ ДЕЙСТВИЯ
Отговорните лица за съответните риско­
ве организират прилагането на планираните 
мерки за защита и наблюдават  инцидентите 
и щетите, свързани с тях. При необходимост 
инициират нов анализ и оценка на риска за 
тази заплаха.
Ръководството на администрацията орга­
низира периодично, но не по-малко от веднъж 
в годината, анализ и оценка на риска, как­
то и при всяко изменение в информационна­
та и/или комуникационната инфраструктура 
промяна на административната структура и 
функциите.