Държавен вестник, бр. 101, 2008 г., стр. 28

С Т Р .  28
Д Ъ Р Ж А В Е Н   В Е С Т Н И К
Б Р О Й  101
а) всички функции на клиента, приложението
и базите данни;
б) административните средства за достъп и
настройка;
в) схеми на базите данни с подробно описание
на таблиците и връзките;
г) контролите при въвеждане и обмен на
данни;
д) контролите при обработката и резултатите
от обработката;
е) приложението с всички модули, “use cases”,
UML схеми и интерфейси.
5. Инсталирането и настройката на нови соф-
туерни и хардуерни продукти да се планира и всич-
ки лица, използващи засегнатите ресурси, да се
уведомяват не по малко от 3 дни преди извършва-
не на инсталацията или настройката.
6. Преди извършване на инсталация да се нап-
равят резервни копия на софтуера, файловете  и
базите данни, като се разработи и “roll back” план.
7. Инсталирането, настройката и поддръжката
на нови софтуерни и хардуерни продукти да се из-
вършват в периоди с минимално натоварване на
съответните ресурси.
8. Преди инсталиране в оперативно действащи-
те системи на нови софтуерни и хардуерни продук-
ти те да се тестват в тестова среда максимално
близка до реалните работни условия.
9. Служителите в администрациите носят ма-
териална отговорност за мобилните устройства,
които са им предоставени за ползване. Мобилните
устройства се получават от служителите, които ги
използват, срещу подпис върху документ, съдър-
жащ пълното описание на мобилното устройство
и инсталирания софтуер.
10. Услугите по активен анализ на защитеност-
та на системата (активни скенери на защитеност-
та) позволяват да се открият и отстранят недоста-
тъци в системата за защита на информационните
активи, преди от тях да са се възползвали злонаме-
рени лица.
Приложение № 7
към чл. 37
Управление на експлоатационните процеси
1. Като основно средство за управление на екс-
плоатационните процеси в информационните сис-
теми на администрациите за осигуряване на ин-
формационна сигурност се препоръчва създаване
на зони на сигурност в информационната система,
произтичащи от международния стандарт ISO/IEC
15408-2 “Common Criteria”.
2. Зоните на сигурност са области от софтуер-
ната архитектура на системата, в които е опреде-
лен специфичен комплекс от мерки, осигуряващи
конкретно ниво на сигурност. Зоните са адекватно
разделени една от друга, като преносите на данни
от една зона в друга са строго регламентирани и се
осъществяват през контролни обекти, като защит-
ни стени, прокси-сървъри и др.
3. При изграждане на сигурността следва да се
поддържа “демилитаризирана зона (DMZ)”—мре-
жова област, разположена между публичната не-
контролируема част на мрежата (обичайно свър-
зана с интернет) и вътрешната защитена част на
системата. Демилитаризираната зона трябва да
организира информационни услуги към двете час-
ти на мрежата, като защитава вътрешната част от
нерегламентиран достъп.
4. Мерките за сигурност при управление на
експлоатационните процеси в информационни
системи на администрациите трябва да включват:
а) при проектиране на информационни систе-
ми да се отдава предпочитание на системи с мно-
гослойна архитектура, в които клиентът, прило-
жението и данните са логически и физически раз-
делени;
б) да се изготви и утвърди Инструкция за резер-
виране и архивиране на данни и файлове;
в) да се осигури редовно изготвяне на резервни
копия на базите данни и файловете във файловите
сървъри; графиците за резервиране се определят в
зависимост от характера на дейността на всяка
администрация; препоръчително е ежедневно ре-
зервиране;
г) да се осигури съхраняване на резервните
копия в специално отделно помещение/място/ог-
неупорна каса;
д) да се осигури редовно обновяване на носите-
лите, върху които се записват резервни копия (на
период около 2/3 от срока им на годност);
е) да се осигури редовно изготвяне на архивни
копия на базите данни и файловете във файловите
сървъри; графиците за резервиране се определят в
зависимост от характера на дейността на всяка
администрация; препоръчително е ежемесечно
резервиране;
ж) да се осигури редовно обновяване на носите-
лите, върху които се записват архивни копия (на
период около 2/3 от срока им на годност);
з) архивните копия да се съхраняват в друга
сграда в огнеупорна каса;
и) достъпът до резервни и архивни копия се
извършва под контрола на служителя по информа-
ционна сигурност.
Приложение № 8
към чл. 37
Управление на електронните съобщения
1. Управлението на електронните съобщения в
администрациите се извършва съгласно Препоръ-
ка Х.700 на Международния съюз по телекомуни-
кации (ITU—International Telecommunication
Union) и се осъществява чрез:
а) мониторинг на компонентите;
б) контрол (т.е. изработване и реализация на
управляващи въздействия);
в) координация на работата на компонентите
на системата.
2. Системите за управление трябва:
а) да дават възможност на администраторите
да планират, организират, контролират и отчитат
използването на процесите, свързани с осигурява-
не на мрежова и информационна сигурност;
б) да позволяват нагаждане на системата към
изменения на изискванията за сигурност;
в) да осигуряват предсказуемо поведение на
системата при различни обстоятелства.