Държавен вестник, бр. 101, 2008 г., стр. 25

Б Р О Й  101
Д Ъ Р Ж А В Е Н   В Е С Т Н И К
С Т Р .  25
а) ликвидиране на риска (например чрез от-
страняване на причиняващите го обстоятелства);
б) намаляване на риска (например чрез изпол-
зване на допълнителни защитни средства);
в) приемане на риска и разработване на план за
действия в обстановка на риск;
г) преадресиране на риска (например чрез
сключване на съответната застраховка).
7. Процесът на управление на риска трябва да
включва следните етапи:
а) избор на анализируемите обекти и нивото на
детайлизация на анализа;
б) избор на методология за оценка на риска;
в) идентификация на информационните ак-
тиви;
г) анализ на заплахите и последствията от тях,
откриване на уязвимите места в защитата;
д) оценка на рисковете;
е) избор на защитни мерки;
ж) реализация и проверка на избраните мерки;
з) оценка на остатъчния риск.
8. Процесът на управление на риска трябва да
бъде цикличен процес. Последният етап се явява
начало на нов цикъл на оценка. Новият цикъл се
провежда:
а) ако остатъчният риск не удовлетворява ръ-
ководството на администрацията;
б) след изтичане на определен срок, определен
във вътрешните правила за мрежовата и инфор-
мационната сигурност на администрацията.
Приложение № 4
към чл. 31, ал. 3
Заплахи срещу мрежовата и информационната
сигурност, формулирани в международния
стандарт ISO/IEC TR 13335:2000
Видовете заплахи, които могат да застрашат
конфиденциалността, интегритета и достъпност-
та, са следните:
1. Подслушване, изразяващо се в достъп до слу-
жебна информация чрез прихващане на електрон-
ни съобщения независимо от използваната техно-
логия.
2. Електромагнитно излъчване, изразяващо се
в действия на трето лице, целящо да получи зна-
ние за обменяни данни посредством информаци-
онна система.
3. Нежелан код, който може да доведе до загуба
на конфиденциалността чрез записването и раз-
криването на пароли и до нарушаване на интегри-
тета при интервенции от трети лица, осъществили
нерегламентиран достъп с помощта на такъв код.
Нежелан код може да се използва, за да се заоби-
коли проверка за достоверност, както и всички
защитни функции, свързани с нея. В резултат ко-
дът може да доведе до загуба на достъпността,
когато данните или файловете са разрушени от
лицето, получило нерегламентиран достъп с по-
мощта на нежелан код.
4. Маскиране на потребителската идентичност
може да доведе до заобикаляне на проверката за
достоверност и всички услуги и защитни функции,
свързани с нея.
5. Погрешно насочване или пренасочване на
съобщенията може да доведе до загуба на конфи-
денциалност, ако се осъществи нерегламентиран
достъп от трети лица. Погрешното насочване или
пренасочване на съобщенията може да доведе и до
нарушаване на интегритета, ако погрешно насоче-
ните съобщения са променени и след това насоче-
ни към първоначалния адресат. Погрешното на-
сочване на съобщения води до загуба на достъп-
ността до тези съобщения.
6. Софтуерни грешки могат да застрашат кон-
фиденциалността, ако софтуерът е създаден с кон-
трол на достъпа или за криптиране или ако грешка
в софтуера осигури възможност за нежелан дос-
тъп в информационна система.
7. Кражбата на информационни активи може
да доведе до разкриване на информация, която
представлява служебна или друга защитена от за-
кона тайна. Кражбата може да застраши достъп-
ността до данните или информационното оборуд-
ване.
8. Нерегламентиран достъп до компютри, ин-
формационни ресурси, услуги и приложения може
да доведе до разкриване на поверителни данни и
до нарушаване интегритета на тези данни, ако
нерегламентираната им промяна е възможна. Не-
регламентираният достъп до компютри, данни,
услуги и приложения може да наруши достъпност-
та до данните, ако тяхното изтриване или залича-
ване е възможно.
9. Нерегламентиран достъп до носител на дан-
ни може да застраши съхраняваните върху него
данни.
10. Повреждане на носител на информация може
да наруши интегритета и достъпността до данни-
те, които се съхраняват на този носител.
11. Грешка при поддръжката. Неизвършването
на редовна поддръжка на информационните сис-
теми или допускане на грешки по време на проце-
са по поддръжка може да доведе до нарушаване на
достъпността до данни.
12. Аварии в електрозахранване и климатични
инсталации могат да доведат до нарушаване на
интегритета и достъпността до данни, ако вслед-
ствие на настъпването на авариите са увредени
информационни системи или носители на данни.
13. Технически аварии (например аварии в мре-
жите) могат да нарушат интегритета и достъпност-
та до информация, която се съхранява или раз-
пространява чрез тази мрежа.
14. Грешки при предаването на информацията
могат да доведат до нарушаване на нейната цялост
и достъпност.
15. Употреба на нерегламентирани програми и
информация могат да нарушат интегритета и дос-
тъпността до данните, съхранявани и разпростра-
нявани чрез информационната система, в която е
настъпило такова събитие, и програмите и инфор-
мацията се използват, за да се изменят съществу-
ващи програми и данни по неразрешен начин или
ако те съдържат нежелан код.
16. Потребителски грешки могат да нарушат
интегритета и достъпността до данни чрез неумиш-
лено или умишлено действие.