Държавен вестник, бр. 101, 2008 г., стр. 24

С Т Р .  24
Д Ъ Р Ж А В Е Н   В Е С Т Н И К
Б Р О Й  101
Приложение № 2
към чл. 28, ал. 3
Функции на служителя (звеното) по информа-
ционна сигурност
1. Ръководи дейностите, свързани с постигане
на мрежова и информационна сигурност на адми-
нистрацията, в която работи, в съответствие с
нормативната уредба и политиките и целите за
мрежова и информационна сигурност на организа-
цията във взаимодействие със звената за инфор-
мационно осигуряване и за вътрешен одит.
2. Следи за прилагането на стандартите, поли-
тиките и правилата за информационна сигурност
и управление на риска в администрацията.
3. Консултира ръководството на администра-
цията във връзка с информационната сигурност.
4. Ръководи периодичните оценки на рискове-
те за информационната сигурност и спазването на
приетите политики и процедури.
5. Периодично (не по-малко от два пъти годиш-
но) изготвя доклади за състоянието на информа-
ционната сигурност в административното звено и
ги представя на ръководителя.
6. Координира обучението на ръководителите
и служителите в административното звено във
връзка с информационната сигурност.
7. Участва в организирането, тренировките и
анализа на резултатите от тренировките за дейст-
вия при настъпване на инциденти.
8. Отговаря за защитата на интелектуалната
собственост и материалните активи на админист-
ративното звено в областта на информационните
и комуникационните технологии.
9. Участва в изготвянето на политиките, цели-
те, процедурите и метриката за оценка на инфор-
мационната сигурност.
10. Поддържа връзки с други администрации,
организации и експерти, работещи в областта на
информационната сигурност.
11. Разследва и анализира инцидентите в об-
ластта на мрежовата и информационната сигур-
ност в административното звено, реакциите при
инциденти и предлага действия за подобряване на
мрежовата и информационната сигурност.
12. Предлага санкции за служителите от адми-
нистрацията при нарушаване на правилата за си-
гурност.
13. Разработва и предлага за утвърждаване от
ръководителя на съответната администрация ин-
струкциите, произтичащи от наредбата, както и
всички други необходими указания и процедури.
14. Следи за изпълнението на утвърдените от
ръководителя на администрацията инструкции и
процедури, свързани с информационната сигурност.
15. Актуализира списъка от заплахи и потенци-
ални рискове за съответната администрация.
16. Координира оценяването на финансовите и
други загуби при настъпване на идентифицирана
заплаха.
17. Изготвя доклади и анализи за настъпили
инциденти, засягащи мрежовата и информацион-
ната сигурност, и предлага действия за компенси-
ране на последствията и предотвратяване на други
подобни инциденти.
18. Следи новостите за заплахи за сигурност-
та, отчитайки наличния в съответната админис-
трация софтуер и хардуер, и организира своевре-
менното инсталиране на коригиращ софтуер
(patches).
19. При възникване на какъвто и да е инцидент,
свързан с информационната сигурност, го докумен-
тира и информира незабавно ръководителя на съ-
ответната администрация и Националния център
за действие при инциденти по отношение на ин-
формационната сигурност в информационните
системи на административните органи.
20. Разработва и предлага иновативни решения
и архитектури за подобряване на информационна-
та сигурност на съответната администрация.
21. Следи за появата на нови вируси и зловре-
ден код, спам, атаки и взема адекватни мерки.
22. Организира тестове за проникване, раз-
крива слабите места в мрежата на съответното
административно звено и предлага мерки за по-
добряване на мрежовата и информационната си-
гурност.
Приложение № 3
към чл. 31, ал. 2
Действия по оценка и управление на риска
1. Всички административни органи са длъжни
да оценяват рисковете за сигурността съгласно
международния стандарт ISO/IEC TR 13335-3:1998
и ISO/IEC TR 13335-4:2000 (в процес на преработ-
ване в ISO/IEC 27005).
2. По смисъла на това приложение рискът за
сигурността е фактическо състояние, което създа-
ва заплахи за уязвяване на един или няколко ин-
формационни актива, което да предизвика тяхно-
то повреждане или унищожаване.
3. Оценката на риска се определя чрез изчисле-
ние на вероятността за уязвяване въз основа на
ефективността на съществуващите или планира-
ните мерки за сигурност.
4. Заплахите за мрежовата и информационната
сигурност се класифицират по следните критерии:
а) по елементите на информационната сигур-
ност (достъпност, цялостност, конфиденциалност),
към които са насочени;
б) по компонентите на информационната сис-
тема (апаратура, софтуер, данни, поддържаща ин-
фраструктура), към които са насочени;
в) по начина на осъществяване (случайни/пред-
намерени действия, от природен/технологичен
характер и др.);
г) по разположението на източника (вътре във/
извън информационната система).
5. Действията по управление на риска трябва
да обхващат оценка на неговия размер, изработва-
не на ефективни и икономични мерки за неговото
снижаване и оценка дали резултативният риск е в
приемливи граници. Управлението на риска след-
ва да се извършва чрез последователно прилагане
на два типа циклично повтарящи се действия:
а) оценка (преоценка) на риска;
б) избор на ефективни и икономични средства
за неговата неутрализация.
6. При идентифициране на риск трябва да се
предприеме едно от следните действия: