Държавен вестник, бр. 101, 2008 г., стр. 9

Б Р О Й  101
Д Ъ Р Ж А В Е Н   В Е С Т Н И К
С Т Р .  9
Чл. 25. (1) За постигане на мрежова и ин-
формационна сигурност ръководителите на ад-
министрациите провеждат собствена полити-
ка, съобразена със спецификата на админист-
ративните процеси в конкретната администра-
ция, като предприемат съответни администра-
тивни и технологични мерки.
(2) Политиките на отделните администра-
тивни органи и предприеманите мерки трябва
да отговарят на общите принципи съгласно
приложение № 1.
Раздел II
Организация на мрежовата и информацион-
ната сигурност
Чл. 26. (1) Ръководителите на администра-
циите отговарят пряко за мрежовата и инфор-
мационната сигурност в администрациите.
(2) Ръководителите на администрациите
разработват и утвърждават вътрешни прави-
ла за мрежовата и информационната сигур-
ност на техните информационни системи и за
видовете информационен обмен, който се из-
вършва между тях.
(3) Вътрешните правила по ал. 2 се изграж-
дат по модела на “Системи за управление на
информационната сигурност”, регламентиран
с изискванията на международния стандарт ISO
27001:2005 и в съответствие с изискванията на
наредбата.
(4) Ръководителите на администрациите
издават заповеди за разпределение на отговор-
ностите на своите служители за гарантиране на
мрежовата и информационната сигурност на
използваните информационни системи.
Чл. 27. (1) Ръководителите на админист-
рациите осигуряват сертификация на вътреш-
ните правила като “Система за управление на
информационната сигурност” по смисъла на
ISO 27001:2005 от оправомощена за това орга-
низация.
(2) Ръководителите на администрациите
организират комплексни проверки за оценява-
не степента на постигнатата мрежова и инфор-
мационна сигурност в използваните от тях ин-
формационни системи в съответствие с клау-
за 7 от ISO 27001:2005.
(3) Резултатите от сертификацията по ал. 1
и от проверките по ал. 2 се предоставят неза-
бавно и на председателя на ДАИТС за целите
на текущия контрол в съответствие с чл. 60 от
Закона за електронното управление.
(4) Предоставянето на информацията по ал. 3
се осъществява като вътрешна електронна ад-
министративна услуга, която председателят на
ДАИТС разработва и вписва в регистъра на
електронните услуги.
Чл. 28. (1) Всеки ръководител на админист-
рация определя служител или административ-
но звено, отговарящо за мрежовата и информа-
ционната сигурност.
(2) Служителят или звеното по ал. 1 са пря-
ко подчинени на ръководителя на администра-
цията.
(3) Функциите на служителя или на звеното
по информационна сигурност са описани в при-
ложение № 2.
(4) Когато администрация към администра-
тивен орган има териториални структури и раз-
пределени информационни системи, служител,
отговарящ за информационната сигурност, се
определя и във всяко териториално звено.
Чл. 29. Ръководителите на администрации-
те осигуряват необходимата инфраструктура за
гарантиране на информационната сигурност на
използваните от тях информационни системи
съгласно вътрешните правила по чл. 26, ал. 2.
Чл. 30. (1) Към председателя на ДАИТС се
създава Съвет за мрежова и информационна
сигурност на информационните системи на ад-
министративните органи като постояннодейс-
тващ консултативен орган за координиране на
дейността за постигане на мрежова и информа-
ционна сигурност на използваните информаци-
онни системи.
(2) Съветът за мрежова и информационна
сигурност на информационните системи на ад-
министративните органи работи въз основа
на правилник, утвърден от председателя на
ДАИТС.
(3) Периодично, но не по-малко от веднъж в
годината Съветът за мрежова и информацион-
на сигурност на информационните системи на
административните органи изготвя доклад за
състоянието на информационната сигурност.
Чл. 31. (1) Ръководителите на администра-
циите задължително включват в утвърждава-
ните от тях вътрешни правила по чл. 26, ал. 2
раздел, осигуряващ оценка и управление на
риска за мрежова и информационна сигурност.
(2) Препоръчителните действия по оценка и
управление на риска трябва да съответстват на
т. 4.2.1 от ISO 27001:2005 и на приложение № 3.
(3) Потенциалните рискови фактори за мре-
жовата и информационната сигурност, форму-
лирани и класифицирани в международния стан-
дарт ISO/IEC TR 13335:2000, са посочени в при-
ложение № 4.
Раздел III
Управление на достъпа и защита срещу
неправомерен достъп
Чл. 32. (1) Вътрешните правила за мрежова
и информационна сигурност регламентират
достъпа до информационните ресурси.
(2) Контролът по упражняване на регламен-
тиран достъп се извършва по правила и проце-
дури, посочени в приложение № 5.
Чл. 33. (1) Ръководителите на администра-
циите вземат мерки за предотвратяване на не-
правомерен достъп от трети лица до ресурсите
на техните информационни системи.