Държавен вестник, бр. 59, 2019 г., стр. 16

СТР.  16	
Д Ъ Р Ж А В Е Н  В Е С Т Н И К 	
БРОЙ  59
средата по ал. 1, потоците на тази информа­
ция трябва да са защитени чрез механизми 
за удостоверяване и криптиране.
Управление на достъпите
Чл. 19. Субектът е длъжен да дава достъп 
до информационните и комуникационните 
си системи на потребител или автоматизи­
ран процес само когато този достъп е строго 
необходим на потребителя, за да изпълни 
задълженията си, или на автоматизирания 
процес да извърши необходимите техниче­
ски операции. За да гарантира, че достъп до 
информационните и комуникационните му 
системи имат само оторизирани потребители, 
устройства (включително други информаци­
онни системи) и автоматизирани процеси, 
Субектът:
1. във вътрешните си правила по смисъла 
на чл. 5, ал. 1, т. 6 определя:
а) правата на достъп до конкретни ин­
формационни активи на служителите според 
длъжността им;
б) реда за заявяване, промяна и прекра­
тяване на достъп;
2. прилага задължителни мерки за автен­
тикация, оторизация и одит на компютърните 
мрежи и системи, които включват и изисква­
ния за определена сложност на данните за 
автентикация; ако се използват пароли:
а) те следва да съдържат малки и големи 
букви, цифри и специални символи; 
б) дължината им трябва да е не по-малко 
от 8 символа за потребителските и 12 символа 
за администраторските профили;
в) паролите на потребителските акаунти 
трябва да се сменят регулярно на период не 
по-голям от шест месеца;
3. гарантира, че потребителските профили 
са индивидуални; в ежедневната работа трябва 
да се използват профили с най-ниското ниво 
на достъп, което дава възможност за изпъл­
нение на служебните задължения;
4. гарантира, че лицата, имащи право да 
заявяват даване, променяне и спиране на 
достъп, определени във вътрешните правила 
по т. 1, буква „б“, правят редовни прегледи на 
достъпите, но не по-рядко от веднъж в годи­
ната; при тези прегледи се установява дали 
всички, на които е даден достъп до мрежата, 
до отделните системи и/или приложения, 
имат право на него в съответствие със слу­
жебните им задължения, дали външни лица 
имат достъп и какъв е той (бивши служители, 
представители на трети страни); за целите на 
прегледите администраторите на съответните 
информационни и комуникационни системи 
предоставят на оправомощените във вътреш­
ните правила по т. 1, буква „б“ лица списък 
на всички, които имат достъп до системата и 
нивото на достъпа, а оправомощените лица 
документирано потвърждават или дават ука­
зания за промяна;
5. ограничава даването на привилегирован 
достъп (по-високо ниво на достъп или достъп 
до система, до която лицето не трябва да има 
достъп в съответствие с вътрешните правила 
по ал. 1); привилегированият достъп трябва 
да се дава само за определен период и да се 
контролират действията с него;
6. гарантира, че достъпът до споделени 
файлове и принтери е разрешен само от мре­
жата, контролирана от Субекта.
Защита при отдалечен достъп/работа от 
разстояние
Чл. 20. При необходимост от достъп до 
информационни активи извън мрежата, кон­
тролирана от Субекта, се спазват изискванията 
на чл. 19, включително:
1. се използва най-малко двуфакторна 
автентикация;
2. се използват само канали с висока степен 
на защита като Virtual Private Network (VPN);
3. не се използват File Transfer Protocol 
(FTP) и Remote Desktop Connection.
Защита на хардуерни устройства
Чл. 21. (1) За намаляване на риска от 
инциденти, предизвикани от технически по­
вреди, Субектът:
1. осигурява климатико-механичните ус­
ловия, указани от производителя;
2. осъществява наблюдение на параметрите 
на условията по т. 1;
3. провежда планирана регулярна техничес­
ка профилактика на устройствата в съответ­
ствие с политиката му за жизнения им цикъл.
(2) За намаляване на риска от неоторизи­
ран достъп Субектът е длъжен да разполага 
устройствата в зони, които са физически и 
логически защитени в съответствие с класи­
фикацията на информацията, с която работят.
Защита на софтуер и фърмуер
Чл. 22. (1) Субектът инсталира и поддър­
жа само версии на използвания в системите 
му софтуер и фърмуер, които се поддържат 
от техните доставчици или производители и 
са актуални от гледна точка на сигурността.
(2) Административният орган, съответно 
ръководителят на субекта по чл. 1, ал. 1, 
т. 2 – 5, одобрява софтуера, който се използ­
ва в информационните и комуникационните 
системи.
(3) Субектът поддържа библиотека с дистри­
бутиви на използвания софтуер и фърмуер с 
цел намаляване на времето за възстановяване 
на дадена система след срив.
(4) Субектът предприема мерки за:
1. недопускане на инсталирането и използ­
ването на неодобрен софтуер и фърмуер;
2. контрол върху използвания софтуер и 
фърмуер, включително неговата актуалност.
(5) Субектът приема вътрешни правила и 
инструкции за регламентиране на действията по: