Държавен вестник, бр. 59, 2019 г., стр. 28

СТР.  28	
Д Ъ Р Ж А В Е Н  В Е С Т Н И К 	
БРОЙ  59
Приложение № 3
към чл. 7, ал. 3
АНАЛИЗ И ОЦЕНКА НА РИСКА ЗА СИ­
ГУРНОСТТА НА ИНФОРМАЦИОННИТЕ И 
КОМУНИКАЦИОННИТЕ СИСТЕМИ
І. ВЪВЕДЕНИЕ
Управлението на риска за сигурността на 
информационните и комуникационните сис­
теми е част от политиката за управлението 
на мрежовата и информационната сигурност. 
По своята същност управлението на риска 
представлява съвкупност от процеси за иден­
тифициране на потенциалните заплахи към 
носителите на информация и активите, участ­
ващи в предоставянето на електронни услуги, 
анализ и оценка на рисковете, породени от 
тези заплахи. 
ІІ. ОПРЕДЕЛЕНИЯ 
Конфиденциалност – свойство на инфор­
мацията да не е предоставена или разкрита на 
неоторизирани лица (т. 2.12 ISO/IEC 27000).
Интегритет – качество на информацията 
за точност и пълнота (т. 2.40 ISO/IEC 27000).
Наличност на информация – качество да 
бъде достъпна и използваема при поискване 
от оторизирано лице (т. 2.9 ISO/IEC 27000).
III. ЦЕЛИ
1. Цел на процеса за управление на риска
Да минимизират загубите от потенциални 
нежелани събития, настъпили в резултат от 
реализиране на заплахи към сигурността на 
мрежите и информационните системи, които 
биха засегнали конфиденциалността, интегри­
тета и достъпността на информацията, създа­
вана, обработвана, предавана и унищожавана 
чрез тях.
2. Цел на методиката за анализ и оценка 
на риска
Методиката има за цел да даде общ подход 
при анализа и оценката на риска за сигур­
ността на информационните и комуникаци­
онните системи, предоставяни от различните 
администрации, с цел получаване на съизме­
рими, относително обективни и повтарящи се 
резултати чрез: 
2.1. регламентиране на дейностите и тяхна­
та последователност при анализа и оценката 
на риска за електронните услуги;
2.2. определяне на критериите;
2.3. определяне на приоритетите на риска.
ПРЕПОРЪЧИТЕЛНА МЕТОДИКА
I. ЕТАПИ НА АНАЛИЗ И ОЦЕНКА НА 
РИСКА
Анализът и оценката на риска са част от 
процеса за управлението му и се обосновават 
на познаване на всички компоненти, имащи 
отношение към целите. 
За целите на управлението на сигурност­
та на мрежите и информационните системи 
трябва:
а) да се познават всички обекти и субекти, 
които участват пряко или косвено в дейности­
те, попадащи в обхвата на тази наредба (ин­
формационни и комуникационни системи с 
прилежащия им хардуер, софтуер и докумен­
тация, поддържащите ги системи (електроза­
хранващи, климатизиращи и др.), оперативни 
процеси/дейности, служители и външни орга­
низации), наричани за краткост „информаци­
онни активи“;
б) да се идентифицират и анализират всич­
ки потенциални нежелани събития с тях, на­
ричани за краткост „заплахи“, които биха до­
вели до загуба на конфиденциалност, интегри­
тет и достъпност на електронните услуги и/
или информацията в тях;
в) да се оцени вероятността от настъпва­
не на тези събития, като се вземат предвид 
слабостите (уязвимости) на информационни­
те активи и мерките, които са предприети за 
справяне с тях;
г) да се оцени въздействието (загуби на 
ресурси (време, хора и пари), неспазване на 
нормативни и регулаторни изисквания, накър­
няване на имидж, неизпълнение на стратеги­
чески и оперативни цели и др.) от евентуално 
настъпване на тези нежелани събития въпре­
ки предприетите мерки;
д) да се оцени рискът за сигурността;
е) да се набележат мерки за смекчаване на 
рисковете с висок приоритет.
При анализ и оценка на риска се използва 
регистър на рисковете (риск-регистър). При­
мерен регистър на рисковете е даден в края на 
това приложение.
1. Идентифициране на информационните 
активи
В риск-регистъра се нанасят всички инфор­
мационни активи, имащи отношение към об­
хвата на тази наредба:
а) информационни системи;
б) хардуерни устройства, с които са реали­
зирани информационните системи;
в) софтуери, с които са реализирани ин­
формационните системи;
г) бази данни, включително лични данни 
по смисъла на GDPR;
д) записи за събитията (логове, журнали) 
на информационните системи;
е) документация на информационните сис­
теми (експлоатационна и потребителска);
ж) комуникационни системи;
з) хардуерни устройства, с които са реали­
зирани комуникационните системи;
и) фърмуерът на тези устройства;
к) софтуери на комуникационните систе­
ми;
л) записи за събитията (логове, журнали);
м) документация (експлоатационна и по­
требителска);
н) поддържащи системи (електрозахранва­
щи, климатични);