Държавен вестник, бр. 46, 2003 г., стр. 29

Б Р О Й  46
Д Ъ Р Ж А В Е Н   В Е С Т Н И К
С Т Р .  29
3. непрекъснат запис на събития, свързани
със сигурността на АИС или мрежата (одитни
записи); записват се всички действия, свързани
с контрола на достъпа, включително неуспеш-
ни опити за достъп, създаване или разрушаване
на обекти или действия на оторизирани субек-
ти, влияещи на сигурността на информацион-
ната система;
4. възможност за изучаване на одитните за-
писи и установяване на свързаните със сигур-
ността действия на отделните субекти на АИС
или мрежа;
5. обработка на обекти на АИС или мрежата
така, че при следващото им разпределяне към
субект на АИС или мрежата той да не може да
установи предишното им съдържание или да
получи права за достъп на използвалите ги преди
това субекти;
6. защита от вредни програмни средства.
(2) За осигуряване на минималните изисква-
ния за сигурност се реализират програмни и
технически механизми, спрямо които трябва да
се осъществява конфигурационен контрол и
които трябва да са защитени от нерегламенти-
ран достъп.
Раздел VII
Режими за сигурност
Чл. 63. Автоматизираните информационни
системи или мрежи, в които се създава, обра-
ботва, съхранява и/или пренася класифицирана
информация, се експлоатират в един или ня-
колко от следните режими за сигурност:
1. “С общ достъп”;
2. “С общо ниво”;
3. “С много нива”.
Чл. 64. (1) При работа на АИС или мрежа в
режим за сигурност “С общ достъп”:
1. всички потребители имат разрешение за
достъп до най-високото ниво на класификация
на информацията, която се създава, обработва,
съхранява или пренася в АИС или мрежата;
2. всички потребители са упълномощени да
работят с цялата класифицирана информация.
(2) Компютърната сигурност за АИС или
мрежа по ал. 1 се осигурява с минималните
изисквания за компютърна сигурност, като
правата за достъп до обектите се предоставят
само от администратора по сигурността на АИС
или мрежата.
(3) При работа на АИС или мрежа в режим
за сигурност “С общ достъп” цялата информа-
ция, създавана, обработвана, съхранявана или
пренасяна в АИС или мрежата, се защитава като
информация с най-високо ниво на класифика-
ция, освен ако e налице гарантиран механизъм
за разпознаване нивото на класификация на
информацията.
Чл. 65. (1) При работа на АИС или мрежа в
режим за сигурност “С общо ниво”:
1. всички потребители имат разрешение за
достъп до най-високото ниво на класификация
на информацията, създавана, обработвана, съх-
ранявана или пренасяна в АИС или мрежата;
2. достъпът на потребителите до класифи-
цирана информация, за която те имат разреше-
ние, се осъществява съгласно принципа “необ-
ходимост да се знае”.
(2) Компютърната сигурност за АИС или
мрежа по ал. 1 се осигурява с минималните
изисквания за компютърна сигурност.
(3) При работа на АИС или мрежа в режим
за сигурност “С общо ниво” цялата информа-
ция, която се създава, обработва, съхранява или
пренася в АИС или мрежата, се защитава като
информация с най-високо ниво на класифика-
ция, освен ако e налице гарантиран механизъм
за разпознаване нивото на класификация на
информацията.
Чл. 66. (1) При работа на АИС или мрежа в
режим за сигурност “С много нива”:
1. не всички потребители имат разрешение
за достъп до класифицирана информация с най-
високо ниво на класификация;
2. достъпът на потребителите до класифи-
цирана информация, за която те имат разреше-
ние, се осъществява съгласно принципа “необ-
ходимост да се знае”.
(2) Компютърната сигурност за АИС или
мрежа по ал. 1 се осигурява с минималните
изисквания за компютърна сигурност и прила-
гане на задължителен контрол на достъп на
субектите до обектите на АИС или мрежата.
(3) Задължителният контрол на достъпа по
ал. 2 трябва да осигурява:
1. присвояване на атрибут за сигурност на
всеки субект и обект на АИС или мрежата; срав-
няването на атрибутите за сигурност на субек-
тите с атрибутите за сигурност на обектите е
основа за решения при осигуряване на достъпа;
2. изключително упълномощаване на адми-
нистратора по сигурността на АИС или мрежа-
та за присвояване и изменение на атрибутите за
сигурност на субектите на АИС или мрежата по
реда, установен в документите по сигурността
на АИС или мрежата;
3. упълномощаване на определени потреби-
тели да присвояват атрибути за сигурност на
входящи обекти, ако те не са притежавали та-
кива атрибути;
4. способност да се обозначи класифика-
ционното ниво на изходящия от АИС или мре-
жата обект на базата на неговия атрибут за
сигурност;
5. разпределяне на предварително дефини-
рани стойности на атрибутите за сигурност на
новосъздадени обекти и съхраняване на атри-
бутите за сигурност при копиране на обекти;
6. защита на интегритета на атрибутите за
сигурност.