Държавен вестник, бр. 101, 2008 г., стр. 10

С Т Р .  10
Д Ъ Р Ж А В Е Н   В Е С Т Н И К
Б Р О Й  101
(2) Рискът от неправомерен достъп по ал. 1
се анализира в годишните доклади на Съвета за
мрежова и информационна сигурност.
(3) При наличие на неприемливо ниво на
риска, регистриран по  ал. 2, административни-
ят орган планира и провежда необходимите
действия за неговото намаляване.
Чл. 34. Ръководителите на администрации-
те определят в утвърждаваните от тях вътреш-
ни правила по чл. 26, ал. 2 нивото на защита от
неправомерен достъп до всеки информационен
актив съгласно следната класификация:
1. ниво “0” или “D”—ниво на свободен дос-
тъп;
2. ниво “1” или “С”—ниво на произволно
управление на достъпа;
3. ниво “2” или “В”—ниво на принудително
управление на достъпа;
4. ниво “3” или “А”—ниво на проверена си-
гурност.
Чл. 35. Ръководителите на администрации-
те са длъжни да предприемат необходимите
действия за създаване и поддържане на инвен-
тарни списъци на наличните информационни
активи съгласно приложение № 6.
Раздел IV
Управление на експлоатационните процеси
Чл. 36. (1) Към председателя на ДАИТС се
създава Национален център за действие при
инциденти по отношение на информационната
сигурност като административно звено в спе-
циализираната администрация.
(2) Създаването на Националния център за
действие при инциденти по отношение на ин-
формационната сигурност се извършва в съот-
ветствие с методическите указания (WP2006/
5.1(CERT-D1/D2) на Европейската агенция за
мрежова и информационна сигурност (ENISA).
Чл. 37. Ръководителите на администрации-
те осигуряват мерките за сигурност при управ-
ление на експлоатационните процеси в инфор-
мационните системи, посочени в приложение
№ 7, включително сигурността на електронни-
те съобщения съгласно приложение № 8.
Чл. 38. (1) Служителят или звеното по ин-
формационна сигурност следи за неправомер-
но инсталиран софтуер на работните станции
или сървъри и взема мерки за неговото отстра-
няване.
(2) Ръководителите на администрациите
осигуряват необходимите технически и органи-
зационни средства за извършване на контрола
по ал. 1, включително в случаите на територи-
ална отдалеченост.
Чл. 39. (1) Съхранението и достъпът до
данните в информационните системи се осъ-
ществяват чрез системи за управление на бази
данни.
(2) Системите за управление на бази данни
трябва да бъдат сертифицирани в съответствие
с международния стандарт ISO/IEC 15408:2005,
определящ т.нар. “Common Criteria for
Information Technology Security Evaluation (CC)”,
или националните му приложения, като “IT-
Grundschutz Methodology” на BSI (Германия),
или с американския федерален профил  “US
Government Protection Profile for Database
Management System in Basic Robustness
Environments”.
(3) При осигуряване на многопотребителс-
ки достъп до съдържанието на електронни до-
кументи информационните системи трябва да
осигуряват функциите по заключване и отключ-
ване на документи за осигуряване на съвместна
работа с документи.
(4) Минималното ниво на защита на достъ-
па до ресурсите на информационните системи в
администрацията трябва да бъде “1” или “С”.
Раздел V
Защита срещу нежелан софтуер
Чл. 40. Защитата срещу нежелан софтуер в
информационните системи на администрация-
та се организира от служителите или звената,
отговарящи за мрежовата и информационната
сигурност в съответната администрация.
Чл. 41. Мерките за защита срещу нежелан
софтуер са посочени в приложение № 9.
Чл. 42. Националният център за действие при
инциденти по отношение на информационната
сигурност поддържа актуална информация за
всички опити за проникване на нежелан софту-
ер в информационните системи на администра-
тивните органи, както и за предприетите дейс-
твия за защита от тях.
Раздел VI
Мониторинг
Чл. 43. (1) Ръководителите на администра-
циите организират мониторинг на събитията и
инцидентите, настъпили в използваните от тях
информационни системи, като създават указа-
ния за извършването му в утвърждаваните от
тях вътрешни правила.
(2) Мониторингът по ал. 1 се регламентира
във вътрешните правила за мрежовата и ин-
формационната сигурност в съответствие с
т. 4.2.3 от  ISO 27001:2005 и приложение № 10.
Чл. 44. В годишните доклади за състояни-
ето на информационната сигурност на инфор-
мационните системи на администрациите,
приемани от Съвета за мрежова и информа-
ционна сигурност на информационните сис-
теми на административните органи, задъл-
жително се включва информация за монито-
ринга на събитията и инцидентите и за него-
вата ефективност.