Държавен вестник, бр. 59, 2019 г., стр. 18

СТР.  18	
Д Ъ Р Ж А В Е Н  В Е С Т Н И К 	
БРОЙ  59
б) да се конфигурират типът и размерът 
на headers, които уеб сървърът ще приеме;
в) да се ограничат времетраенето на връз­
ката (connection Timeout), времето, за което 
сървърът изчаква всички headers на заявката, 
преди да я прекъсне, и минималният брой 
байтове в секунда при изпращане на отговор 
на заявка, за да се минимизира въздействието 
и на slow HTTP атаки;
10. за защита от brute force атаки да се 
въведе ограничение на броя неуспешни опити 
за влизане в системата;
11. да не се извежда списък на уеб дирек­
ториите;
12. бисквитките (cookies) трябва да имат:
а) флаг за защита (security flag) – този 
флаг инструктира браузъра, че „бисквитката“ 
може да бъде достъпна само чрез защитени 
SSL канали;
б) флаг HTTP only – инструктира браузъра, 
че „бисквитката“ може да бъде достъпна само 
от сървъра, а не от скриптовете, от страна 
на клиента;
13. headers на отговорите на заявки, които 
трябва да гарантират защита както на клиента, 
така и на уеб сайтa (website), като съдържат 
опции, посочени в приложение № 5;
14. в главната директория на уеб сайта 
(website) да се сложи файл robot.txt, който 
дава указания на уеб роботите (ботове/паяци) 
колко често да обхождат сайта, както и кои 
части от него да обхождат и да индексират; 
ако този файл не съществува, уеб роботите 
обхождат целия сайт – всяка една негова 
страница, подстраница, статия, линк и т.н., 
което крие риск за конфиденциалността на 
информацията;
15. при използване на Система за управле­
ние на съдържанието (CMS) да се промени 
наименованието по подразбиране на папката 
за достъп до администраторския панел. 
Защита на Domain Name System (DNS)
Чл. 25. Субектът трябва да предприеме 
следните мерки за защита на DNS:
1. при използване на повече от един DNS 
сървър, всеки от тях да е разположен в раз­
лична мрежа/подмрежа;
2. да прилага DNSSEC (Domain Name System 
Security Extensions); 
3. да минимизира DNS заявките съгласно 
RFC 7816 на IETF от 2016 г.; 
4. да забрани zone-transfers – злонамерени 
лица могат бързо да определят всички хостове 
в определена зона чрез трансфери на DNS зони, 
да събират информация за домейна, да избират 
цели за атаки, да откриват неизползвани IP 
адреси и да заобикалят мрежовия контрол на 
достъпа, за да крадат информация;
5. в конфигурационния файл да сложи:
а) dmarc (Domain-based Message Authentication, 
Reporting and Conformance) запис;
б) SPF (Sender Policy Framework) запис.
Физическа сигурност
Чл. 26. (1) Субектът осигурява физическа 
защита на информационните си активи чрез 
прилагане на адекватни и пропорционални 
мерки срещу заплахи от неоторизиран фи­
зически достъп до тях. Мерките трябва да 
гарантират наличността, интегритета и кон­
фиденциалността на информационните активи.
(2) Субектът осигурява защита на инфор­
мационните си активи от пожар, наводнение, 
химическа и физическа промяна на въздуха 
чрез подходящи мерки в съответствие с нор­
мативните актове.
(3) За да гарантира ефикасността на прило­
жените мерки по ал. 1 и 2, Субектът извършва 
подходящо наблюдение върху тях.
Защита на индустриални системи за контрол
Чл. 27. В случай че Субектът използва 
индустриални системи за контрол, от функ­
ционирането и сигурността на които зависят 
съществените услуги, които предоставя, той 
е задължен да приложи подходящи мерки за 
тяхната защита в съответствие с изискванията 
на наредбата, ако са приложими. 
Наблюдение
Чл. 28. (1) Субектът използва система/
системи за автоматично откриване на съби­
тия, които могат да повлияят на мрежовата 
и информационната сигурност на важните 
за дейността му системи, чрез анализ на ин­
формационни потоци, протоколи и файлове, 
преминаващи през ключови устройства, пози­
ционирани така, че да могат да анализират 
всички потоци, обменяни между собствените 
им информационни и комуникационни систе­
ми, както и с информационните и комуника­
ционните системи на трети страни. 
(2) Субектът организира чрез вътрешни 
правила и/или инструкции действията за 
наблюдение и реакция на сигналите от тази/
тези система/системи.
Системни записи (logs)
Чл. 29. По отношение на системните записи 
Субектът гарантира, че: 
1. в сървъри за приложения, които поддър­
жат критични дейности, сървъри от систем­
ната инфраструктура, сървъри от мрежовата 
инфраструктура, охранителни съоръжения, 
станции за инженеринг и поддръжка на ин­
дустриални системи, мрежово оборудване и 
работни места на администратори се регис­
трират автоматично всички събития, които 
са свързани най-малко с автентикация на 
потребителите, управление на профилите, 
правата на достъп, промени в правилата за 
сигурност и функциониране на информаци­
онните и комуникационните системи;