Държавен вестник, бр. 59, 2019 г., стр. 17

БРОЙ  59	
Д Ъ Р Ж А В Е Н  В Е С Т Н И К 	
СТР.  17  
1. поддържане на библиотеката с дистри­
бутиви на използвания софтуер и фърмуер в 
актуално състояние;
2. управлението на достъпа до нея;
3. проследяване за новооткрити уязвимости 
в сигурността на използвания в системите 
му софтуер и фърмуер и за техни актуализа­
ции (нови версии, ъпдейти и пачове), които 
отстраняват тези уязвимости, или мерки за 
смекчаването им, публикувани от произво­
дителите или доставчиците;
4. придобиване и проверка на произхода 
и целостта на актуализацията преди инста­
лирането є;
5. прилагането на актуализациите и препо­
ръчаните мерки, които трябва да се извършват 
съобразно разпоредбите на чл. 11.
(6) Субектът гарантира, че устройствата и 
системите са конфигурирани в съответствие с 
препоръките за сигурност на съответния им 
доставчик или производител, като се приложат 
и изискванията на приложение № 4.
(7) Субектът съхранява off-line копие от 
актуалните конфигурационни файлове и/или 
описание на настройките, като достъпът до 
тях трябва да е контролиран. Копията трябва 
да се проверяват регулярно относно качество 
и годност.
(8) Субектът регулярно прави проверка на 
конфигурационните файлове и настройките 
на системи и устройства за нерегламентирани 
изменения.
Защита от зловреден софтуер
Чл. 23. (1) Субектът прилага в информаци­
онната и комуникационната си инфраструктура 
подходящи мерки за защита от проникване и 
мерки за откриване и справяне със зловреден 
софтуер.
(2) Мерките за защита от зловреден соф­
туер трябва:
1. да са приложени към всички компоненти 
на информационните и комуникационните 
системи, където това е възможно;
2. да се поддържат в актуално състояние, 
за да имат способността да защитават от 
новооткрити заплахи.
(3) Мерките за защита от зловреден софтуер 
трябва да позволяват:
1. извършване на пълна проверка за на­
личие на зловреден софтуер поне веднъж в 
седмицата, където е приложимо;
2. проверка на електронната поща и фай­
лове, свалени от интернет, както и прено­
сими записващи устройства, преди да бъдат 
отворени.
(4) Субектът извършва регулярно оценка 
на ефективността на мерките за защита от 
зловреден софтуер и при констатирани сла­
бости предприема действия за подобряване 
на защитата.
Защита на уеб сървъри
Чл. 24. (1) Субектът предприема следните 
мерки за защита на уеб сървърите:
1. инсталира сертификат на уеб сървърите 
си, издаден от доверена система за сертифи­
циране (trusted certification authority system); 
сертификатът трябва:
а) да е издаден за съответния уеб сайт 
(website) или група сайтове и да е уникален;
б) да използва алгоритъм за криптиране 
поне SHA2;
в) да е актуален, като сертификатите с 
изтекъл срок се анулират;
2. за защита на интегритета на информа­
цията, обменяна с потребителите, уеб сай­
тът (website) трябва да е достъпен само по 
протокол Hypertext Transfer Protocol Secure 
(HTTPS), като се използват само криптограф­
ски транспортни протоколи TLS (Transport 
Layer Security) версия 1.2, дефиниран в RFC 
5246 на IETF (The Internet Engineering Task 
Force – Специализирана работна група за 
интернет инженеринг) през 2008 г., версия 1.3, 
дефиниран в RFC 8446 на IETF през 2018 г., 
или следващи по-нови версии;
3. за криптиране на информацията, обме­
няна между уеб сървъра и потребителите му, 
се прилагат изискванията на чл. 16 и като се 
вземат предвид публикуваните в RFC на IETF 
забрани за използване на методи за шифриране 
в криптографските транспортни протоколи;
4. да се приложи подходящ Web Application 
Firewall (WAP), който наблюдава и филтрира 
трафика от и към съответното приложение с 
цел защита на уеб приложенията от киберата­
ки от типа Cross-Site Request Forgery (CSRF), 
Cross-site Scripting (XSS), file inclusion, SQL 
injection и др.;
5. да не се позволява вмъкване на данни от 
страна на потребителя, освен на определените 
за това места;
6. всички входни данни, постъпващи от 
клиента, включително съдържанието, пре­
доставено от потребителя и съдържанието 
на браузъра, като headеrs на препращащия 
и потребителски агент, трябва да бъдат ва­
лидирани; 
7. приложния софтуер да не позволява 
въвеждане на специални символи, особено 
такива, които се използват в SQL заявките;
8. всички данни, изпращани от клиента 
и показвани в уеб страница, трябва да бъдат 
кодирани с HTML, за да се гарантира, че съ­
държанието се изобразява като текст вместо 
HTML елемент или JavaScript;
9. за защита от атаки от типа отказ от 
услуги (DoS):
а) да се наложи ограничение на заявките и 
по-специално по максимална дължина на съ­
държанието, максимална дължина на заявката 
и максимална дължина на заявката по Url;