Държавен вестник, бр. 46, 2003 г., стр. 25

Б Р О Й  46
Д Ъ Р Ж А В Е Н   В Е С Т Н И К
С Т Р .  25
3. регистрационните номера на документи-
те по сигурността, представени при акредити-
рането и при допълнителните акредитирания;
4. регистрационните номера на сертифика-
ционния отчет по чл. 20 и допълнителните от-
чети по чл. 28, ал. 1, т. 3;
5. регистрационните номера на документи-
те, съдържащи изменения на специфичните
изисквания за сигурност и процедурите за си-
гурност, утвърдени от ОАС.
(2) Данни от регистъра се предоставят в срок
до 15 работни дни по писмено искане на ДКСИ,
Национална служба “Сигурност” на Министер-
ството на вътрешните работи или служба “Си-
гурност—военна полиция и военно контрара-
зузнаване” към министъра на отбраната с цел
изпълнение на правомощията им по осъщест-
вяване на контрол по защита на класифицира-
ната информация.
Раздел II
Условия и ред за допълнително акредитиране
Чл. 25. (1) При необходимост от промени по
чл. 20, ал. 2, т. 4 в АИС или мрежата съответна-
та организационна единица подава до ОАС за-
явление за допълнително акредитиране.
(2) Заявлението по ал. 1 се изготвя от ОРЕ и
се съгласува със служителя по сигурността на
информацията.
(3) В заявлението по ал. 1 се посочват:
1. общо описание на промените, които нала-
гат допълнителното акредитиране;
2. очаквано влияние на промените върху
сигурността на АИС или мрежата;
3. етапите и сроковете за извършване на
промените.
Чл. 26. (1) В срок до 15 работни дни ОАС
взема решение за откриване на процедура за
допълнително акредитиране и уведомява пис-
мено заявителя.
(2) В уведомлението по ал. 1 се посочват усло-
вията и етапите за допълнително акредитиране.
Чл. 27. В съответствие с етапите за допъл-
нително акредитиране за извършване на оцен-
ка на промените и влиянието им върху сигур-
ността на АИС или мрежата заявителят предс-
тавя на ОАС:
1. измененията в специфичните изисквания
за сигурност и процедурите за сигурност на АИС
или мрежата;
2. сертификати за сигурност на отделни сред-
ства и подсистеми, свързани с промените, ако
има такива;
3. при поискване—документи по сигурност-
та, утвърдени от ОАС.
Чл. 28. (1) Органът по акредитиране на си-
гурността:
1. утвърждава промените в специфичните изис-
квания за сигурност и процедурите за сигурност;
2. при необходимост прави проверка на из-
пълнението на определените мерки за сигурност;
3. изготвя отчет за допълнителното акреди-
тиране.
(2) Отчетът по ал. 1, т. 3 съдържа:
1. общо описание на промените;
2. основни изводи от оценката на сигурност-
та и проверката на изпълнението на мерките за
сигурност в АИС или мрежата;
3. изменения в условията за допълнително
акредитиране, ако има такива.
Г л а в а  ч е т в ъ р т а
ДОКУМЕНТИ ПО СИГУРНОСТТА,
НЕОБХОДИМИ ЗА АКРЕДИТИРАНЕ
Раздел I
Видове документи
Чл. 29. (1) Задължителните документи по
сигурността, необходими за извършване на ак-
редитирането, са:
1. анализът на риска за сигурността на АИС
или мрежата;
2. специфичните изисквания за сигурност на
АИС или мрежата в организационната единица;
3. процедурите за сигурност, изготвени на
основата на СИС.
(2) Документите по сигурността по ал. 1 се
класифицират с ниво на класификация, съот-
ветстващо на най-високото ниво на класифика-
ция на информацията, която се обработва в АИС
или мрежата.
(3) За АИС или мрежи, с които се обработва
информация с ниво на класификация за сигур-
ност до “Поверително” (включително), анализ
на риска не се изисква.
Раздел II
Анализ на риска
Чл. 30. Анализът на риска за сигурността на
АИС или мрежата е процес, при който се уста-
новяват заплахите и уязвимите места на АИС
или мрежата, вероятността за осъществяване
на заплахите при конкретните ресурси и работ-
на среда и се оценяват последствията при тях-
ното реализиране.
Чл. 31. Анализът на риска цели:
1. определяне на необходимите мерки за
сигурност;
2. ефективно комбиниране на видовете мер-
ки за сигурност;
3. правилна оценка на остатъчния риск.
Чл. 32. Анализът на риска се извършва пе-
риодично с оглед отчитането на:
1. новопоявили се уязвимости и/или заплахи
към АИС или мрежата;
2. промени в ресурсите на АИС или мрежата
и/или в нивото на класификация за сигурност
на информацията.
Чл. 33. (1) За анализ на риска и определяне
на адекватни мерки за противодействие в орга-
низационната единица се сформира екип от
специалисти по физическа, персонална, доку-
ментална, компютърна, комуникационна и
криптографска сигурност и по защита от елек-
тромагнитни излъчвания.