Държавен вестник, бр. 101, 2008 г., стр. 23

Б Р О Й  101
Д Ъ Р Ж А В Е Н   В Е С Т Н И К
С Т Р .  23
на информационните системи на администра-
тивните органи като консултативен орган, под-
помагащ неговата дейност.
§ 7. В срок 12 месеца от влизането в сила на
наредбата председателят на ДАИТС провеж-
да консултации с представители на Асоциа-
цията на българските застрахователи относ-
но възможността за предоставяне на застра-
хователен продукт “Застраховка на риска по
отношение на мрежовата и информационна-
та сигурност”.
§ 8. Председателят на ДАИТС създава На-
ционален център за действие при инциденти по
отношение на информационната сигурност не
по-късно от 6 месеца от влизането в сила на
наредбата.
§ 9. Наредбата се приема на основание чл. 43,
ал. 2 от Закона за електронното управление.
§ 10. Наредбата влиза в сила от деня на об-
народването є в “Държавен вестник” с изклю-
чение на чл. 7, който влиза в сила след въвеж-
дането в действие на Единната среда за обмен
на електронни документи (ЕСОЕД).
Приложение № 1
към чл. 25, ал. 2
Общи стратегии за информационна сигурност
1. Политиката за информационна сигурност е
набор от нормативни документи, правила и норми
за поведение, които определят как организацията
защищава обработката, съхранението и разпрост-
ранението на информацията.
2. Политиката за сигурност на информацион-
ни системи на административните органи трябва
да бъде съобразена с групата международни стан-
дарти ISO 270ХХ, обединяваща мнозинството от
съществуващи стандарти за управление на инфор-
мационната сигурност—основно със стандарта
ISO 27001:2005, предоставящ модел на система за
управление на информационната сигурност за
адекватен и пропорционален контрол на сигур-
ността за защита на информационните активи и
създаване на доверие в заинтересуваните страни.
3. Решенията относно политиките за мрежова
и информационна сигурност трябва да се изграж-
дат за осигуряване няколко нива на сигурност по
отношение на:
а) мрежа;
б) система;
в) приложения;
г) информация.
4. За всяко от нивата по т. 3 трябва да се осигури
съответният контрол с цел да се обезпечи сигур-
ността на общото програмно приложение за защи-
та. За осигуряване на адекватно ниво на сигурност
трябва да се прилага практиката, наречена “дъл-
бока отбрана”, обезпечаваща многослойна защи-
та, за ограничаване проникването на всякакви
атаки и осигуряване на невъзможност за компро-
метиране на общото програмно приложение за
защита.
5. При създаването на политика за сигурност
трябва да се използват следните принципи:
а) “Минимална привилегия”—концепция, при
която се ограничава достъпът само до ресурси,
които са необходими за изпълняване на одобрени-
те функции. Определен ползвател или процес тряб-
ва да има само такива права, които са необходими
за изпълняване на конкретната задача.
б) “Дълбока отбрана”—концепция, при коя-
то се поверява защитата на повече от един ком-
понент или механизъм, осигуряващ сигурност-
та по такъв начин, че невъзможността на един
компонент или механизъм да ограничи атаката
да не  доведе до компрометиране на общата
защита.
в) “Точка на запушване”—концепция, при коя-
то се принуждават лица, извършващи интервен-
ции, да използват тесен канал за достъп, който
позволява действията да бъдат наблюдавани и
контролирани. Обикновено се прилага на входа и
изхода на т.нар. “Демилитаризирани зони”
(“DMZ”).
г) “Най-слабо звено”—концепция, при която се
наблюдават и елиминират звената с най-слаба ус-
тойчивост на интервенции или  с наличие на въз-
можност за проникване.
д) “Позиция на безопасно спиране”—концеп-
ция, при която системите трябва да преустановя-
ват работа безопасно и да се предотврати възмож-
ността при неочакваното преустановяване на ра-
бота на една система да се осигури достъп на лица-
та, извършващи интервенции до системата.
е) “Универсално участие”—концепция, при
която всички звена на системата следят за сигур-
ността при наличие на разпределение на функци-
ите за това, което ограничава възможността на
лицата, извършващи интервенции, да се възполз-
ват от липсата на защитна активност от конкрет-
но звено.
ж) “Разнообразие на защитата”—концепция,
при която не се разчита само на една система или
приложение за сигурност, независимо от това, кол-
ко надеждни или изчерпателни са те.
з) “Простота”—концепция, при която се осигу-
рява поддържането на опростена обща среда, за
която се осигурява по-лесно защита срещу интер-
венции.
и) “Фрагментиране”—концепция, при която се
осигурява свеждане до минимум на възможните
вредни последици върху една информационна сис-
тема чрез фрагментиране на максимален брой
отделни единици; по този начин се ограничава
възможността за достъп до цялата система в слу-
чай на проникване в изолирана единица.
к) “Защита срещу вътрешни и външни зап-
лахи”—концепция, при която се въвеждат пра-
вила за потребителите за недопускане действия
на служителите, които да осигуряват възмож-
ност за интервенции; такива правила могат да
бъдат правила за управление на съдържанието,
допълнителни нива за идентификация, регист-
рация за достъп до критични информационни
активи и др.