Държавен вестник, бр. 101, 2008 г., стр. 26

С Т Р .  26
Д Ъ Р Ж А В Е Н   В Е С Т Н И К
Б Р О Й  101
17. Липса на потвърждаване може да застраши
интегритета на данните. Предпазните мерки за
предотвратяване на непотвърждаването трябва да
се прилагат в случаите, когато е важно да се полу-
чи доказателство за това, че дадено съобщение е
изпратено и е/не е получено, както и за това, че
мрежата е пренесла съобщението.
18. Интервенции срещу интегритета на данни-
те могат да доведат до тяхното сериозно уврежда-
не и до невъзможност от по-нататъшното им из-
ползване.
19. Аварии в комуникационното оборудване и
услуги могат да увредят достъпността на данните,
предавана чрез тези услуги.
20. Външни въздействия с огън, вода, химика-
ли и др. могат да доведат до увреждане или унищо-
жаване на информационното оборудване.
21. Злоупотреба с ресурси може да доведе до
недостъпност до данни или услуги.
22. Природни бедствия могат да доведат до
унищожаване на данни и информационни сис-
теми.
23. Претоварване на комуникационния трафик
може да доведе до нарушаване на достъпността до
обменяни данни.
Приложение № 5
към чл. 32, ал. 2
Средства за управление на достъпа на участни-
ците в електронния обмен
1. Защитата на системните ресурси на инфор-
мационни системи на административните органи
е процес, при който използването на системните
ресурси се регулира в съответствие с политиката в
областта на мрежовата и информационна сигур-
ност и е позволено само за упълномощени лица
чрез използваните от тях информационни систе-
ми. Това включва предотвратяването на нeрегла-
ментиран достъп до ресурсите, включително пре-
дотвратявяне на достъп до ресурсите по нерегла-
ментиран начин.
2. Управлението на защитата от нерегламен-
тиран достъп се категоризира на няколко степени
в зависимост от оценките на потенциалните пос-
ледствия за администрацията при нарушаване на
конфиденциалността, интегритета и/или достъп-
ността, както следва:
а) ограничено, когато организацията продъл-
жава да изпълнява функциите си, но с понижена
ефективност, на информационните активи са при-
чинени незначителни вреди и финансовите загуби
са незначителни;
б) умерено, когато ефективността на основни-
те функции на администрацията е съществено
понижена, на информационните активи са причи-
нени значителни вреди и финансовите загуби са
значителни;
в) високо, когато загубата на кофиденциалност,
интегритет и/или достъпност оказва тежко или
непоправимо въздействие на администрацията, при
която тя загубва способност да изпълнява основ-
ните си функции, на информационните активи са
причинени тежки вреди и финансовите загуби са
много големи.
3. Средствата за управление на достъпа поз-
воляват да се определят и контролират действи-
ята, които различни ползватели на информаци-
онните системи и процеси в тях могат да извър-
шват по отношение на информационни ресурси.
Логическото управление на достъпа трябва да
позволява да се определят множество допусти-
ми операции за всеки ползвател или процес и да
се контролира изпълнението на установените
правила.
4. Средствата за управление на достъпа на участ-
ниците в електронния обмен трябва да включват
три категории функции:
а) административни функции—създаване и съп-
ровождане на атрибути за управление на достъпа;
б) спомагателни функции—обслужване на про-
цесите на достъп на ползвателите;
в) информационни функции—събиране на ин-
формация за процесите на достъп с оглед подобря-
ване на взаимодействието.
5. Всяко самостоятелно звено на администра-
цията управлява идентификаторите на позватели-
те на информационните системи чрез:
а) уникална идентификация на всеки ползва-
тел;
б) верификация на идентификатора на всеки
ползвател;
в) регламентиране на административните про-
цедури за разпространение, заместване на загубе-
ни, компрометирани или повредени идентифика-
тори;
г) прекратяване действието на идентификато-
ра след определен период на липса на активност;
д) архивиране на идентификаторите.
6.  Информационните системи на администра-
тивните органи трябва да скриват ехо изображе-
нието на идентифициращата информация в проце-
са на проверка на идентичността с цел да я защи-
тят от възможно използване от страна на неопра-
вомощени лица.
7.  При проверка на идентичността чрез крип-
тографски модули информационната система тряб-
ва да прилага методи, отговарящи на стандартите,
вписани в раздел “Информационна сигурност” от
регистъра на стандартите.
8. За изграждане на вътрешни правила за мре-
жовата и информационната сигурност в админис-
трациите се препоръчва следното съдържание на
раздела, свързан с управлението на достъпа на
участниците в електронния обмен:
а) документирана политика по управление на
достъпа, включваща цели, обхват, задължения,
координация на организационните структури;
б) документирани процедури по присвояване на
привилегии, акаунти и други права в съответствие
с политиката;
в) определяне на ограничения на количеството
несполучливи опити на ползвателя за вход в систе-
ма за определен интервал от време, след което
акаунтът му се заключва;
г) определяне на предупреждаващите съобще-
ния, информиращи потребителя преди предоста-
вяне на достъп, относно:
—общите ограничения, налагани от системата;