Държавен вестник, бр. 101, 2008 г., стр. 22

С Т Р .  22
Д Ъ Р Ж А В Е Н   В Е С Т Н И К
Б Р О Й  101
д) лесна откриваемост и използваемост без
особени действия от страна на нейния до-
ставчик.
9. “Отворена мрежа” е мрежа, свободна от
ограничения за вида на оборудването, което
може да бъде присъединено, както и за начини-
те на комуникация, които не ограничават съ-
държанието, сайтовете или платформите.
10. “Профил на достъп” е описание на ин-
формационните активи на системата, които
могат да бъдат ползвани от група потребители
с аналогични права на достъп.
§ 2. Нивата на защита на информационната
система от нерегламентиран достъп, регламен-
тирани в чл. 34 от наредбата, се характеризират
със следните основни мерки:
1. Ниво “0” или “D” обхваща открита и об-
щодостъпна информация (например публику-
вана на интернет страниците на администраци-
ите). То предполага анонимно ползване на ин-
формацията и липса на средства за конфиден-
циалност.
2. Ниво “1” или “С” изисква:
а) достъпът до точно определени обекти да
бъде разрешаван на точно определени полз-
ватели;
б) ползвателите да се идентифицират, преди
да изпълняват каквито и да са действия, конт-
ролирани от системата за достъп. За установя-
ване на идентичността трябва да се използва
защитен механизъм от типа идентификатор/
парола. Няма изисквания за доказателство за
идентичността при регистрация;
в) идентифициращата информация трябва да
бъде защитена от нерегламентиран достъп;
г) доверителната изчислителна система, т.е.
функционалността на информационната систе-
ма, която управлява достъпа до ресурсите є,
трябва да поддържа област за собственото из-
пълнение, защитена от външни въздействия и
от опити да се следи ходът на работата;
д) информационната система трябва да раз-
полага с технически и/или програмни средства,
позволяващи периодично да се проверява ко-
ректността на компонентите на доверителната
изчислителна система;
е) защитните механизми трябва да са пре-
минали тест, който да потвърди, че неоторизи-
ран ползвател няма очевидна възможност да
получи достъп до доверителната изчислителна
система.
3. Ниво “2” или “В” изисква в допълнение
към изискванията към предишното ниво:
а) като механизъм за проверка на идентич-
ността да се използва удостоверение за елект-
ронен подпис, независимо дали е издадено за
вътрешноведомствени нужди в рамките на вът-
решна инфраструктура на публичния ключ, или
е издадено от външен доставчик на удостовери-
телни услуги;
б) при издаване на удостоверението издава-
щият орган проверява съществените данни за
личността на ползвателя, без да е необходимо
личното му присъствие;
в) доверителната изчислителна система тряб-
ва да осигури реализация на принудително уп-
равление на достъпа до всички обекти;
г) доверителната изчислителна система тряб-
ва да осигури взаимна изолация на процесите
чрез разделяне на адресните им пространства.
4. Ниво “3” или “А” изисква в допълнение
към изискванията към предишното ниво:
а) като механизъм за идентификация да се
използва единствено удостоверение за универ-
сален електронен подпис;
б) при издаване на удостоверението да е
гарантирана физическата идентичност на ли-
цето;
в) доверителната изчислителна система тряб-
ва да бъде с проверена устойчивост към опити
за проникване;
г) комуникацията между потребителя и сис-
темата да се осъществява единствено чрез про-
токол Transport Layer Security (TLS) или Secure
Sockets Layer (SSL), като минималната дължи-
на на симетричния ключ трябва да е  128 бита;
д) доверителната изчислителна система да
има механизъм за регистрация на опити за на-
рушаване политиката за сигурност.
ПРЕХОДНИ И ЗАКЛЮЧИТЕЛНИ
РАЗПОРЕДБИ
§ 3. Председателят на ДАИТС осигурява
първоначалното въвеждане на данни в регис-
търа на стандартите в срок 3 месеца от обна-
родването на наредбата в “Държавен вестник”.
§ 4. (1) В срок 12 месеца от влизането в
сила на наредбата ръководителите на адми-
нистрациите организират разработването на
вътрешни правила съгласно чл. 26 и извърш-
ват сертификацията им като Система за уп-
равление на информационната сигурност по
ISO 27001:2005.
(2) В срок 24 месеца от влизането в сила на
наредбата ръководителите на отделните адми-
нистрации организират провеждането на одит
от оторизирана независима организация за при-
знаване на съответствие между разработените
вътрешноведомствени правила “Системи за
управление на информационната сигурност” и
международния стандарт ISO 27001:2005.
§ 5. В срок 6 месеца от влизането в сила на
наредбата председателят на ДАИТС утвържда-
ва Методика за планов и текущ контрол на
оперативната съвместимост и мрежовата и
информационната сигурност в информационни-
те системи на административните органи.
§ 6. В срок 12 месеца от влизането в сила на
наредбата председателят на ДАИТС създава
Съвет за мрежова и информационна сигурност