Чл. 43

Чл. 43.(1) Достъп до регистъра на съществените услуги имат упълномощени представители на:

1. Националния екип за реагиране при инциденти с компютърната сигурност по смисъла начл. 19, ал. 1 от Закона за киберсигурностза изпълнение на функциите му почл. 19, ал. 2, т. 1 и 10, като достъпът е до цялата информация и дава право само за четене;
2. секторните екипи за реагиране на инциденти с компютърната сигурност по смисъла начл. 18, ал. 1 от Закона за киберсигурностза изпълнение на функциите му почл. 18, ал. 3 и 7 от Закона за киберсигурност, като достъпът е само до информацията за съответния сектор и дава право само за четене;
3. Националното единно звено за контакт по смисъла начл. 17, ал. 1 от Закона за киберсигурностза изпълнение на функциите му почл. 17, ал. 2, 3, 4 и 7 от Закона за киберсигурност, като достъпът е до цялата информация и дава право само за четене;
4. националните компетентни органи по смисъла начл. 16, ал. 1 от Закона за киберсигурностза изпълнение на функциите им почл. 16, ал. 11 от Закона за киберсигурност, като достъпът е само до информацията за съответния сектор и дава право на четене и редактиране само до полета "лице за контакт" и "контактни точки".

(2) Достъпът до регистъра е индивидуален, като за целта административните органи почл. 38, ал. 1подават списък на упълномощените служители, които изпълняват функции в съответния национален компетентен орган и секторен екип за реагиране при инциденти с компютърната сигурност. (3) (Изм. - ДВ, бр. 47 от 2022 г., в сила от 24.06.2022 г.) При промяна или прекратяване на служебните правоотношения административният орган почл. 38, ал. 1информира писмено в рамките на един работен ден министъра на електронното управление или упълномощено от него лице за настъпилите промени за коригиране на достъпа до регистъра на съществените услуги. (4) (Изм. - ДВ, бр. 47 от 2022 г., в сила от 24.06.2022 г.) Достъп до регистъра се дава след одобрение от министъра на електронното управление или упълномощено от него лице. (5) Служителите почл. 41, които администрират регистъра на съществените услуги, най-малко веднъж в годината инициират преглед на правата за достъп по смисъла начл. 19, т. 4. (6) За достъп до регистъра се използва поне двуфакторна автентикация.

Управление на достъпа до регистъра на съществените услуги Допълнителни разпоредби § 1. Наредбата е съобразена със:

1. Групата стандарти БДС (EN) ISO/IEC 2700х - Информационни технологии - Методи за сигурност - Системи за управление на сигурността на информацията.
2. Други международни стандарти в областта на информационните технологии и сигурността на информацията, посочени вприложение № 1.
3. Препоръките на Групата за сътрудничество по мрежова и информационна сигурност към Европейската комисия от февруари 2018 г. относно мерките за сигурност за операторите на основни услуги.
4. Добри практики в областта на информационните и комуникационните технологии, препоръчани от водещи в областта на мрежовата и информационната сигурност организации.

§ 2. По смисъла на наредбата: 1.DNSSEC (Domain Name System Security Extensions)е набор от разширения към DNS системата, чрез които се добавя начин за верифициране на автентичността на публикуваната DNS информация за даден домейн. Чрез DNSSEC се удостоверява истинността на DNS информацията за даден домейн, като по този начин индиректно се защитава автентичността на всички услуги от този домейн, а също и потребителите на тези услуги. 2.Dmark (Domain-based Message Authentication, Reporting and Conformance)- запис, указващ политиките за валидиране, разпространение и отчетност на електронната поща в рамките на домейна, съгласно RFC 7489 на IETF. 3.SPF (Sender Policy Framework)- запис, указващ метода за удостоверяване на електронна поща, съгласно RFC 7208 на IETF от 2014 г. Записът трябва да бъде във формат DNS TXT (type 16) Resource Record (RR) съгласно RFC 1035 на IETF.

Преходни и Заключителни разпоредби § 3. В срок 4 месеца от влизането в сила на наредбата субектите почл. 1, ал. 1привеждат дейността си в съответствие с глава втора.

§ 4. Наредбата се приема на основаниечл. 3, ал. 2 от Закона за киберсигурност.

ПОСТАНОВЛЕНИЕ № 134 ОТ 20 ЮНИ 2022 Г. ЗА ИЗМЕНЕНИЕ И ДОПЪЛНЕНИЕ НА НОРМАТИВНИ АКТОВЕ НА МИНИСТЕРСКИЯ СЪВЕТ Въведете текст на Долепка 0 Заключителни разпоредбиКЪМ ПОСТАНОВЛЕНИЕ № 134 ОТ 20 ЮНИ 2022 Г. ЗА ИЗМЕНЕНИЕ И ДОПЪЛНЕНИЕ НА НОРМАТИВНИ АКТОВЕ НА МИНИСТЕРСКИЯ СЪВЕТ Заключителни разпоредби (ОБН. - ДВ, БР. 47 ОТ 2022 Г., В СИЛА ОТ 24.06.2022 Г.) § 15.Постановлениетовлиза в сила от деня на обнародването му в "Държавен вестник".

Приложение № 1 къмчл. 2, ал. 4 СПИСЪК НА СТАНДАРТИ В ОБЛАСТТА НА МРЕЖОВАТА И ИНФОРМАЦИОННАТА СИГУРНОСТ Стандарти за управление на сигурността на информацията БДС ЕN ISO/IEC 27000- Информационни технологии - Методи за сигурност -Системи за управление на сигурността на информацията-Общ преглед и речник БДС EN ISO/IEC 27001- Информационни технологии - Методи за сигурност -Системи за управление на сигурността на информацията - Изисквания БДС EN ISO/IEC 27002- Информационни технологии - Методи за сигурност -Кодекс за добра практика за управление на сигурността на информацията БДС ISO/IEC 27003 -Информационни технологии - Методи за сигурност -Указания за внедряване на системи за управление на сигурността на информацията БДС ISO/IEC 27004- Информационни технологии - Методи за сигурност -Управление на сигурността на информацията - Наблюдение, измерване, анализ и оценяване ISO/IEC 27009- Information technology - Security techniques -Sector-specific application of ISO/IEC 27001 - Requirements(Информационни технологии - Техники за сигурност -Специфично за секторите прилагане на ISO/IEC 27001 - Изисквания) БДС ISO/IEC 27013- Информационни технологии - Методи за сигурност -Указания за съвместно внедряване на ISO/IEC 27001 и ISO/IEC 20000-1 ISO/IEC 27014- Information technology - Security techniques -Governance of information security(Информационни технологии - Методи за сигурност -Управление на сигурността на информацията) ISO/IEC 27017- Information technology - Security techniques -Code of practice for information security controls based on ISO/IEC 27002 for cloud services(Информационни технологии - Методи за сигурност -Кодекс за добра практика за контрол на сигурността на информацията за облачни услуги, базиран на ISO/IEC 27002) ISO/IEC 29146- Information technology - Security techniques -A framework for access management(Информационни технологии - Методи за сигурност -Рамка за управление на достъпа) БДС ISO/IEC 27018 -Информационни технологии - Методи за сигурност -Кодекс за добра практика за защита на лични данни (personally identifiable information PII) в обществени облаци, действащи като администратори на PII Стандарти за управление на риска БДС ISO/IEC 27005- Информационни технологии - Методи за сигурност -Управление на риска за сигурността на информацията БДС ISO 31000- Управление на риска -Указания БДС EN 31010 -Управление на риска -Методи за оценяване на риска ETSI TS 102 165-1- CYBER; Methods and protocols; Part 1: Method and pro forma for Threat, Vulnerability, Risk Analysis (TVRA) (КИБЕР;Методи и протоколи;Част 1: Методика и професионална форма на заплаха, уязвимост, анализ на риска (Threat, Vulnerability, Risk Analysis (TVRA) Стандарти за идентификация и автентикация ISO/IEC 11770-1- Information technology - Security techniques -Keymanagement- Part 1: Framework (Информационни технологии - Методи за сигурност -Управление на ключовете- Част 1: Рамка) ISO/IEC 11770-2- Security techniques -Key management- Part 2: Mechanisms using symmetric techniques (Информационни технологии - Методи за сигурност -Управление на ключовете- Част 2: Механизми, използващи симетрични техники) ISO/IEC 11770-3- Information technology - Security techniques -Keymanagement- Part 3: Mechanisms using asymmetric techniques (Информационни технологии - Методи за сигурност -Управление на ключовете- Част 3: Споразумение за невидими Diffie-Hellman ключове) ISO/IEC 11770-4- Information technology - Security techniques -Keymanagement- Part 4: Mechanisms based on weak secrets (Информационни технологии - Методи за сигурност -Управление на ключовете- Част 4: Механизми, основани на слаби тайни) ISO/IEC 11770-5- Information technology - Security techniques -Keymanagement- Part 5: Group key management (Информационни технологии - Методи за сигурност -Управление на ключовете- Част 5: Управление на групови ключове) ISO/IEC 11770-6- Information technology - Security techniques -Keymanagement- Part 6: Key derivation (Информационни технологии - Методи за сигурност -Управление на ключовете- Част 6: Деривация на ключове) ISO/IEC 20889-Privacy enhancing data de-identification terminology and classification of techniques(Технологии за защита на личните данни от де-идентификация, терминология и класификация на техниките) ISO/IEC 24760-1 -Information technology - Security techniques -A framework for identity management- Part 1: Terminology and concepts (Информационни технологии - Методи за сигурност -Рамка за управление на идентичността- Част 1: Терминология и понятия) ISO/IEC 24760-2- Information technology - Security techniques -A framework for identity management- Part 2: Reference architecture and requirements (Информационни технологии - Методи за сигурност -Рамка за управление на идентичността- Част 2: Препоръчителна архитектура и изисквания) ISO/IEC24760-3- Information technology - Security techniques -A framework for identity management- Part 3: Practice (Информационни технологии - Методи за сигурност -Рамка за управление на идентичността- Част 3: Прилагане) ISO/IEC29115- Information technology - Security techniques -Entity authentication assurance framework(Информационни технологии - Методи за сигурност -Рамка за гарантиране на автентичността на субекти) ISO/IEC 29151- Information technology - Security techniques -Code of practice for personally identifiable information protection(Информационни технологии - Техники за сигурност -Кодекс на практики за защита на личната информация) ISO/IEC 29191- Information technology - Security techniques -Requirements for partially anonymous, partially unlinkable authentication(Информационни технологии - Техники за защита -Изисквания за частично анонимно удостоверяване, частична псевдоминизация) ISO/IEC 18370-1- Information technology - Security techniques -Blinddigitalsignatures- Part 1: General (Информационни технологии - Методи за сигурност -Невидими цифрови подписи- Част 1: Общи положения) ISO/IEC 18370-2- Information technology - Security techniques -Blinddigitalsignatures- Part 2: Discrete logarithm based mechanisms (Информационни технологии - Методи за сигурност -Невидими цифрови подписи- Част 2: Механизми, базирани на дискретни логаритми) ISO/IEC 20008-1- Information technology - Security techniques -Anonymous digital signatures- Part 1: General (Информационни технологии - Методи за сигурност -Анонимни цифрови подписи- Част 1: Общи положения) ISO/IEC 20008-2- Information technology - Security techniques -Anonymous digital signatures- Part 2: Mechanisms using a group public key (Информационни технологии – Методи за сигурност -Анонимни цифрови подписи- Част 2: Механизми с използване на групов публичен ключ) ISO/IEC 20009-1 -Information technology - Security techniques -Anonymous entity authentication- Part 1: General (Информационни технологии - Методи за сигурност -Идентификация на анонимни обекти- Част 1: Общи положения) ISO/IEC 20009-2- Information technology - Security techniques -Anonymous entity authentication -Part 2: Mechanisms based on signatures using a group public key (Информационни технологии - Методи за сигурност -Идентификация на анонимни обекти- Част 2: Механизми, основани на подписи с използване на групов публичен ключ) ISO/IEC 20009-4- Information technology - Security techniques -Anonymous entity authentication- Part 4: Mechanisms based on weak secrets (Информационни технологии - Методи за сигурност -Идентификация на анонимни обекти- Част 4: Механизми, основани на слаби тайни) Стандарти за криптиране ISO/IEC 18033-1- Information technology - Security techniques -Encryptionalgorithms-Part 1: General (Информационни технологии - Методи за сигурност -Алгоритми за криптиране -Част 1: Общи положения) ISO/IEC 18033-2- Information technology - Security techniques -Encryptionalgorithms-Part 2: Asymmetric ciphers (Информационна технология - Методи за сигурност -Алгоритми за криптиране- Част 2: Асиметрични шифри) ISO/IEC 18033-4- Information technology - Security techniques -Encryptionalgorithms-Part 3: Block ciphers (Информационни технологии - Методи за сигурност -Алгоритми за криптиране- Част 3: Блокови шифри) ISO/IEC 18033-4- Information technology - Security techniques -Encryptionalgorithms-Part 4: Stream ciphers (Информационни технологии - Методи за сигурност -Алгоритми за криптиране- Част 4: Поточни шифри) ISO/IEC 18033-5- Information technology - Security techniques -Encryptionalgorithms-Part 5: Identity-based ciphers (Информационни технологии - Методи за сигурност -Алгоритми за криптиране- Част 5: Шифри, базирани на идентичност) Стандарти за одити ISO/IEC 27006- Information technology - Security techniques -Requirements for bodies providing audit and certification of information security management systems(Информационни технологии - Методи за сигурност -Изисквания за органите, извършващи одит и сертификация на системи за управление на сигурността на информацията) ISO/IEC 27007- Information technology - Security techniques -Guidelines for information security management systems auditing(Информационни технологии - Методи за сигурност -Указания за одит на системи за управление на сигурността на информацията- допълнение към насоките, съдържащи се в стандарт ISO 19011) БДС EN ISO 19011-Указания за извършване на одит на системи за управление БДС EN ISO/IEC 17020- Оценяване на съответствието -Изисквания за дейността на различни видове органи, извършващи контрол Стандарти за оценка на сигурността ISO/IEC 15408-1- Information technology - Security techniques -Evaluation criteria for IT security- Part 1: Introduction and general model (Информационни технологии - Методи за сигурност -Критерии за оценка на ИТ сигурността- Част 1: Въведение и общ модел) ISO/IEC 15408-2 -Information technology - Security techniques -Evaluation criteria for IT security- Part 2: Security functional components (Информационни технологии - Методи за сигурност -Критерии за оценка на ИТ сигурността- Част 2: Функционални компоненти за сигурност) ISO/IEC15408-3 -Information technology - Security techniques -Evaluation criteria for IT security- Part 3: Security assurance components (Информационни технологии - Методи за сигурност -Критерии за оценка на ИТ сигурността- Част 3: Компоненти за осигуряване на сигурност) ISO/IEC18045- Information technology - Security techniques -Methodology for IT security evaluation(Информационни технологии - Методи за сигурност -Методология за оценка на ИТ сигурността) ISO/IEC TS 19608-Guidance for developing security and privacy functional requirements based on ISO/IEC 15408(Указания за разработване на функционални изисквания за сигурност и неприкосновеност, основани на ISO/IEC 1540) ISO/IEC TR 20004:2015- Information technology - Security techniques -Refining software vulnerability analysis under ISO/IEC 15408 and ISO/IEC18045(Информационни технологии - Методи за сигурност -Усъвършенстване наанализа на софтуерните уязвимости в съответствие с ISO/IEC 15408 и ISO/IEC 18045) ISO/IEC29134- Information technology - Security techniques -Guidelines for privacy impact assessment(Информационни технологии - Методи за сигурност -Указания за оценка на въздействието върху неприкосновеността на личните данни) ISO/IEC29190- Information technology - Security techniques -Privacy capability assessment model(Информационни технологии - Методи за сигурност -Модел за оценка на способността за защита на личните данни) Стандарти за сигурност, които са в етап на разработване през 2019 г. ISO/IEC CD 20009-3- Information techno-logy - Security techniques -Anonymous entity authentication- Part 3: Mechanisms based on blind signatures concepts (Информационни технологии - Методи за сигурност -Идентификация на анонимни обекти- Част 3: Механизми, основани на концепции за скрити подписи) ISO/IEC27551- Information technology - Security techniques -Requirements for attribute-based unlinkable entity authentication(Информационни технологии - техники за сигурност -Изисквания за удостоверяване на субекти на базата на несвързващи атрибути) ISO/IEC PDTR 27550- Information techno- logy - Security techniques -Privacy engineering(Информационни технологии - Техники за сигурност -Инженеринг на лични данни) ISO/IEC DIS 27552- Security techniques -Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management- Requirements and guidelines (Методи за сигурност -Разширяване на ISO/IEC 27001 и ISO/IEC 27002 за управление на личната информация- Изиск- вания и насоки) ISO/IEC27030- Information technology - Security techniques - Guidelines for security and privacy in Internet of Things (IoT) (Информационни технологии - Методи за сигурност -Указания за сигурност и неприкосновеност на личните данни в Интернет на нещата (IoT) ISO/IEC29184 -Information technology -Online privacy notices and consent(Информационни технологии -Съобщения и съгласие за поверителност в интернет) Забележка. Номерата на стандартите са уникални и еднозначно свързани с техните имена. Пред номера на стандарта се изписват абревиатурите на организациите, които са го одобрили. След номера на стандарта се изписва годината, в която той е приет. Общото изписване е от вида ISO/IEC 27001:2013 или БДС ISO/IEC 27001:2018, като в случая става въпрос за един и същ стандарт. Стандартите се преглеждат от съответните организации и при необходимост се актуализират на всеки пет години, като новата версия отменя действието на предишната. За да се постигне относителна устойчивост на тази наредба и независимост от цикъла за преразглеждане на стандартите, в наредбата не се посочват годините на издаване на стандартите.

Приложение № 2 къмчл. 6, ал. 1 и 7 КЛАСИФИКАЦИИ НА ИНФОРМАЦИЯТА С цел да се гарантира достатъчна, адекватна и пропорционална на заплахите защита на информацията, се прави преценка на важността и чувствителността и, както и на нормативните изисквания към нея. Въз основа на тази преценка информацията се разделя в няколко категории. Когато е приложимо, тази класификация се пренася и върху всички ресурси, които участват в създаването, обработването, съхраняването, пренасянето, разпространението и унищожаването на информацията, и към тях се прилагат подходящи мерки за защита, съответстващи на заплахите.

1. TLP (traffic light protocol) - използва се при обмен на информация
2. Препоръчителна класификация на информацията и изисквания към информационните и комуникационните системи за осигуряване на достъп до информацията:

2.1. "Ниво 0"обхваща открита и общодостъпна информация (например публикувана на интернет страниците); предполага анонимно ползване на информацията и липса на средства за защита на конфиденциалността и; отговаря наTLP-WHITE; 2.1.1. оповестяването на информация с класификация"Ниво 0"не е ограничено; 2.1.2. източниците могат да използват класификация"Ниво 0", когато информацията носи минимален или никакъв предвидим риск от злоупотреба, в съответствие с приложимите правила и процедури за публично оповестяване; 2.1.3. при спазване на стандартните правила за авторски права информация с класификация"Ниво 0"може да се разпространява без ограничения. 2.2. "Ниво 1" 2.2.1. споделянето на информация с класификация"Ниво 1"е ограничено само до дадена общност; отговаря наTLP-GREEN; 2.2.2. източниците могат да използват класификация"Ниво 1", когато информацията е полезна за информираността на всички участващи организации, както и за партньори от широката общност или сектор; 2.2.3. получателите могат да споделят информация с класификация"Ниво 1"с партньорски организации в рамките на своя сектор или общност, но не и чрез обществено достъпни канали; информацията в тази категория може да се разпространява широко в дадена общност, но не и извън нея; 2.2.4. изисквания къминформационните и комуникационните системи: 2.2.4.1. достъпът до точно определени обекти да бъде разрешаван на точно определени ползватели; 2.2.4.2. ползвателите да се идентифицират, преди да изпълняват каквито и да са действия, контролирани от системата за достъп; за установяване на идентичността трябва да се използва защитен механизъм от типа идентификатор/парола; няма изисквания за доказателство за идентичността при регистрация; 2.2.4.3.идентифициращатаинформация трябва да бъде защитена от нерегламентиран достъп; 2.2.4.4. доверителната изчислителна система, т. е. функционалността на информационната система, която управлява достъпа до ресурсите, трябва да поддържа област за собственото изпълнение, защитена от външни въздействия и от опити да се следи хода на работата; 2.2.4.5. информационната система трябва да разполага с технически и/или програмни средства, позволяващи периодично да се проверява коректността на компонентите на доверителната изчислителна система; 2.2.4.6. защитните механизми трябва да са преминали тест, който да потвърди, че неоторизиран ползвател няма очевидна възможност да получи достъп до доверителната изчислителна система. 2.3. "Ниво 2" 2.3.1. разпространението на информация с класификация"Ниво 2"е разрешено само в рамките на организациите на участниците, обработващи, съхраняващи или обменящи информацията; отговаря наTLP-AMBERс допълнително уточнение за ограничение на достъпа; 2.3.2. източниците могат да използват класификация"Ниво 2",когато информацията изисква защита, за да бъде ефективно обменена, и носи риск за неприкосновеността на личния живот, репутацията или операциите, ако се споделя извън съответните организации; 2.3.3. получателите могат да споделят информация с класификация"Ниво 2"с членове на собствената си организация и с потребители или клиенти, които трябва да са запознати с нея, за да се защитят или да предотвратят допълнителни щети; източниците имат правото да определят допълнителни планирани граници на споделянето, които трябва да се спазват; 2.3.4. изисквания къминформационните и комуникационнитесистеми- в допълнение към изискванията към предишното ниво: 2.3.4.1. като механизъм за проверка на идентичността да се използва удостоверение за електронен подпис, независимо дали е издадено за вътрешноведомствени нужди в рамките на вътрешна инфраструктура на публичния ключ, или е издадено от външен доставчик на удостоверителни услуги; 2.3.4.2. при издаване на удостоверението издаващият орган проверява съществените данни за личността на ползвателя, без да е необходимо личното му присъствие; 2.3.4.3. доверителната изчислителна система трябва да осигури реализация на принудително управление на достъпа до всички обекти; 2.3.4.4. доверителната изчислителна система трябва да осигури взаимна изолация на процесите чрез разделяне на адресните им пространства. 2.4. "Ниво 3" 2.4.1. информация с класификация"Ниво 3"не е за оповестяване и разпространениетоие ограничено само до участниците, обработващи, съхраняващи или обменящи информацията; отговаря наTLP-RED; 2.4.2. източниците могат да използват класификация"Ниво 3", когато информацията не може да бъде ефективно обменяна с други страни и би могла да доведе до въздействия върху неприкосновеността на личния живот, репутацията или операциите на дадена страна, ако с нея бъде злоупотребено; 2.4.3. получателите не могат да споделят информация, маркирана с"Ниво 3", с която и да е страна извън конкретния обмен, обработка или съхранение; достъпът до информацията с класификация"Ниво 3"е ограничен само до лицата, участващи в обработката и; в повечето случаи информация с класификация"Ниво 3"трябва да се предава лично; 2.4.4. изисквания към ИКТ системите - в допълнение към изискванията към предишното ниво: 2.4.4.1. като механизъм за идентификация да се използва единствено удостоверение за универсален електронен подпис; 2.4.4.2. при издаване на удостоверението да е гарантирана физическата идентичност на лицето; 2.4.4.3. доверителната изчислителна система трябва да бъде с проверена устойчивост към опити за проникване; 2.4.4.4. комуникацията между потребителя и системата да се осъществява по криптирани канали, използващи протокол Transport Layer Security (TLS) поне 1.2, като минималната дължина на криптиращия ключ трябва да е поне 256 бита; 2.4.4.5. доверителната изчислителна система да има механизъм за регистрация на опити за нарушаване политиката за сигурност.

Приложение № 3 къмчл. 7, ал. 3 АНАЛИЗ И ОЦЕНКА НА РИСКА ЗА СИГУРНОСТТА НА ИНФОРМАЦИОННИТЕ И КОМУНИКАЦИОННИТЕ СИСТЕМИ І. ВЪВЕДЕНИЕ Управлението на риска за сигурността на информационните и комуникационните системи е част от политиката за управлението на мрежовата и информационната сигурност. По своята същност управлението на риска представлява съвкупност от процеси за идентифициране на потенциалните заплахи към носителите на информация и активите, участващи в предоставянето на електронни услуги, анализ и оценка на рисковете, породени от тези заплахи. ІІ.ОПРЕДЕЛЕНИЯ Конфиденциалност -свойство на информацията да не е предоставена или разкрита на неоторизирани лица (т. 2.12 ISO/IEC 27000). Интегритет- качество на информацията за точност и пълнота (т. 2.40 ISO/IEC 27000). Наличност на информация- качество да бъде достъпна и използваема при поискване от оторизирано лице (т. 2.9 ISO/IEC 27000). III. ЦЕЛИ

1. Цел на процеса за управление на риска

Да минимизират загубите от потенциални нежелани събития, настъпили в резултат от реализиране на заплахи към сигурността на мрежите и информационните системи, които биха засегнали конфиденциалността, интегритета и достъпността на информацията, създавана, обработвана, предавана и унищожавана чрез тях.

1. Цел на методиката за анализ и оценка на риска

Методиката има за цел да даде общ подход при анализа и оценката на риска за сигурността на информационните и комуникационните системи, предоставяни от различните администрации, с цел получаване на съизмерими, относително обективни и повтарящи се резултати чрез: 2.1. регламентиране на дейностите и тяхната последователност при анализа и оценката на риска за електронните услуги; 2.2. определяне на критериите; 2.3. определяне на приоритетите на риска. ПРЕПОРЪЧИТЕЛНА МЕТОДИКА I. ЕТАПИ НА АНАЛИЗ И ОЦЕНКА НА РИСКА Анализът и оценката на риска са част от процеса за управлението му и се обосновават на познаване на всички компоненти, имащи отношение към целите. За целите на управлението на сигурността на мрежите и информационните системи трябва: а) да се познават всички обекти и субекти, които участват пряко или косвено в дейностите, попадащи в обхвата на тази наредба (информационни и комуникационни системи с прилежащия им хардуер, софтуер и документация, поддържащите ги системи (електрозахранващи, климатизиращи и др.), оперативни процеси/дейности, служители и външни организации), наричани за краткост "информационни активи"; б) да се идентифицират и анализират всички потенциални нежелани събития с тях, наричани за краткост "заплахи", които биха довели до загуба на конфиденциалност, интегритет и достъпност на електронните услуги и/или информацията в тях; в) да се оцени вероятността от настъпване на тези събития, като се вземат предвид слабостите (уязвимости) на информационните активи и мерките, които са предприети за справяне с тях; г) да се оцени въздействието (загуби на ресурси (време, хора и пари), неспазване на нормативни и регулаторни изисквания, накърняване на имидж, неизпълнение на стратегически и оперативни цели и др.) от евентуално настъпване на тези нежелани събития въпреки предприетите мерки; д) да се оцени рискът за сигурността; е) да се набележат мерки за смекчаване на рисковете с висок приоритет. При анализ и оценка на риска се използва регистър на рисковете (риск-регистър). Примерен регистър на рисковете е даден в края на това приложение.

1. Идентифициране на информационните активи

В риск-регистъра се нанасят всички информационни активи, имащи отношение към обхвата на тази наредба: а) информационни системи; б) хардуерни устройства, с които са реализирани информационните системи; в) софтуери, с които са реализирани информационните системи; г) бази данни, включително лични данни по смисъла на GDPR; д) записи за събитията (логове, журнали) на информационните системи; е) документация на информационните системи (експлоатационна и потребителска); ж) комуникационни системи; з) хардуерни устройства, с които са реализирани комуникационните системи; и) фърмуерът на тези устройства; к) софтуери на комуникационните системи; л) записи за събитията (логове, журнали); м) документация (експлоатационна и потребителска); н) поддържащи системи (електрозахранващи, климатични); о) системи за контрол на физическия достъп и наоколната среда; п) процеси/дейности, свързани с управлението, експлоатацията и поддръжката на информационните и комуникационните системи; р) документация на тези процеси и дейности; с) служители, имащи отговорности към управлението, експлоатацията и поддръжката на информационните и комуникационните системи; т) външни организации, имащи отношение към управлението, експлоатацията и поддръжката на информационните и комуникационните системи; у) друго.

1. Идентифициране на заплахите

За всеки от информационните активи в риск-регистъра се нанасят заплахите/нежеланите събития, които биха довели до нарушаване на конфиденциалността, интегритета и достъпността на информацията. Трябва да се разгледат всички потенциални заплахи, произтичащи вътре или извън администрацията, настъпили случайно или преднамерено, като се има предвид уязвимостта на информационния актив към съответната заплаха. Примерни заплахи са посочени в края на това приложение. В риск-регистъра за всяка заплаха се вписва какви мерки са предприети срещу нея.

1. Оценка на въздействието

В риск-регистъра за всяка заплаха се вписва оценката за нейното въздействие - щетите (материални и нематериални), които дадена заплаха може да причини, ако се реализира. За оценка на въздействието се използва петстепенна скала от 1 до 5, като при 1 щетите са незначителни, а при 5 са най-големи.

1. Оценка на вероятността

Определя се вероятността за възникване на дадена заплаха, като се вземат предвид предприетите вече мерки. Колкото повече са предприетите защитни мерки, толкова по-ниска е вероятността от възникване на заплахата. При оценка на вероятността се вземат предвид следните фактори: а) за реализиране на преднамерени заплахи: ниво на необходимите умения, леснота на достъпа, стимул и необходим ресурс; б) за реализиране на случайни заплахи: година на производство на хардуера и софтуера, ниво на поддръжката им, квалификация на поддържащия персонал, ресорно обезпечаване на експлоатационните процеси, контрол върху тях и др. В риск-регистъра за всяка заплаха се нанася оценката за нейното въздействие. За оценка на въздействието се използва петстепенна скала от 1 до 5 и като се има предвид определен период, например една година: 1- вероятността от реализирането на заплахата е под 10 %; 2- вероятността от реализиране на заплахата е от 10 % до 30 %; 3- вероятността от реализиране на заплахата е от 30 % до 50 %; 4- вероятността от реализиране на заплахата е от 50 % до 70 %; 5- вероятността от реализиране на заплахата е над 70 %.

1. Оценка на риска

За получаване на оценката на риска се използва следната формула: (Оценка на въздействие x Оценка на вероятност) = Оценка на риска

1. Приоритизация на рисковете

С цел прилагане на пропорционални на заплахите механизми за защита се прави приоритизация на рисковете на база на тяхната оценка и следните прагове:

1. Смекчаване на рисковете

Приема се, че за рискове с приоритет 3 не се изисква предприемане на допълнителни мерки за смекчаване на заплахите, които ги пораждат. За рисковете с приоритет 2 се прави анализ на възможните мерки, които биха могли да се предприемат за смекчаването им, и се преценява дали разходът на ресурси за прилагането им е пропорционален на щетите от реализиране на заплахата. В случай че щетите са повече от разходите, се определят отговорно лице и срок за прилагане на тези мерки. За всички рискове с приоритет 1 се определят отговорни лица, планират се мерки, които биха намалили риска от реализиране на конкретната заплаха, и се определят срокове за прилагането им. II. ПОСЛЕДВАЩИ ДЕЙСТВИЯ Отговорните лица за съответните рискове организират прилагането на планираните мерки за защита и наблюдават инцидентите и щетите, свързани с тях. При необходимост инициират нов анализ и оценка на риска за тази заплаха. Ръководството на администрацията организира периодично, но не по-малко от веднъж в годината, анализ и оценка на риска, както и при всяко изменение в информационната и/или комуникационната инфраструктура промяна на административната структура и функциите. ПРЕПОРЪЧИТЕЛЕН РЕГИСТЪР НА РИСКОВЕТЕ ВЕРОЯТНИ ЗАПЛАХИ • Влошаване на средствата за съхраняване • Грешка при техническото обслужване • Грешки при предаването • Електромагнитна радиация • Зловреден програмен код • Злоупотреба с ресурси • Използване на неразрешени програми и данни • Кражба • Маскиране на потребителска идентификация (нелегално проникване) • Неоторизиран достъп до компютри, данни, услуги и приложения • Неоторизиран достъп до средствата за съхраняване • Неправилна (погрешна) маршрутизация/пренасочване на съобщения • Отричане (доказуемост) • Повреда на комуникационното оборудване и услугите • Подслушване • Пожар, наводнение • Потребителска грешка • Администраторска грешка • Прекъсване/повреда на захранването (електричество и климатизация) • Претоварване на трафика • Природни бедствия • Кибератака • Софтуерни проблеми • Техническа повреда (мрежа, системен хардуер)

Приложение № 4 къмчл. 22, ал. 6 ИЗИСКВАНИЯ ЗА КОНФИГУРИРАНЕ

1. Да се забрани macros в office пакетите.
2. Да се забрани pop-up в браузерите.
3. Аuto play функцията да се конфигурира винаги да иска потвърждение на потребителя.
4. User Account Control да се конфигурира до най-високо ниво, така че винаги да издава предупреждения.
5. При споделянето на файлове и принтери да не се използва настройка Everyone, а да се указва кои акаунти точно да имат право на достъп до тях.
6. Да се забрани TRACE/TRACK методът.
7. Да се забрани anonymous authentication.
8. Да се използва Unicast Reverse-Path Forwarding (uRPF) за предпазване от използването на фалшиви IP адреси и rate-limiting за ограничаване на броя на заявките по IP адрес.
9. Да се забрани TLS renegotiation в системи, използващи TLS, или да се конфигурира rate-limiter за ограничаване на броя на предоговаряне на сесия.
10. Съобщенията за грешки в системите да не дават излишна информация.
11. Да не се използва AutoComplete.
12. Да се използват приложения (add-ons) към браузърите за блокиране на рекламно съдържание.

Приложение № 5 къмчл. 24, т. 13 ИЗИСКВАНИЯ КЪМ HEADERS НА ОТГОВОРИТЕ НА ЗАЯВКИ ЗА УЕБ САЙТОВЕТЕ

1. Headers на отговорите на заявките да не съдържат информация за платформите и версиите на използвания софтуер.
2. Headers на отговорите на заявките да съдържат следните опции:

а) HTTP Strict Transport Security (HSTS) - политика съгласно RFC 6797 на IETF от 2012 г., която принуждава уеб браузъра на клиента да се свърже директно чрез HTTPS при преразглеждане на уеб сайта; препоръчителна стойност на периода на валидност на кеша на HSTS (max-age) е поне шест месеца; б) X-Content-Type-Options - инструктира потребителския браузър да следва стриктно типа MIME, дефиниран в Content header; единствената валидна стойност за този хедър е "X-Content-Type-Options-nosniff"; в) X-XSS-Protection - настройва конфигурацията за XSS филтъра, вграден в повечето браузъри, което предотвратява някои категории XSS атаки; препоръчителна стойност "X-XSS-Protection: 1; mode=block"; г) X-Frame-Options - дава указания на браузъра да не вкарва уеб страницатa във frame/iframe на други уеб страници; препоръчителна стойност "x-frame-options: SAMEORIGIN"; д) Content-Security-Policy - предотвратява широк спектър от атаки, включително Cross-site scripting и други cross-site injections; е) Referrer-Policy Header - позволява на сайта да контролира колко информация с навигация да се включва в браузъра извън документа; ж) Feature-Policy Header - позволява на сайта да контролира кои функции и приложни програмни интерфейси (API) могат да се използват в браузъра; з) HTTP Public Key Pinning (HPKP) - защитен механизъм, който позволява на HTTPS уеб сайтовете да се противопоставят на имитация от страна на атакуващите, използвайки неправилно издадени или лъжливи сертификати.

Приложение № 6 къмчл. 3, ал. 2, т. 2 ПРЕПОРЪЧИТЕЛНИ ФУНКЦИИ НА СЛУЖИТЕЛЯ/ЗВЕНОТО, ОТГОВАРЯЩ/О ЗА МРЕЖОВАТА И ИНФОРМАЦИОННАТА СИГУРНОСТ

1. Ръководи дейностите, свързани с постигане на високо ниво на мрежова и информационна сигурност, и целите, заложени в политиката на Субекта почл. 4.
2. Участва в изготвянето на политиките и документираната информация.
3. Следи за спазването на вътрешните правила по смисъла начл. 5, ал. 1, т. 6и прилагането на законите, подзаконовите нормативни актове, стандартите, политиките и правилата за мрежовата и информационната сигурност.
4. Консултира ръководството на Субекта във връзка с информационната сигурност.
5. Ръководи периодичните оценки на рисковете за мрежовата и информационната сигурност.
6. Периодично (не по-малко от веднъж в годината) изготвя доклади за състоянието на мрежовата и информационната сигурност в административното звено и ги представя на ръководителя.
7. Координира обученията, свързани с мрежовата и информационната сигурност.
8. Организира проверки за актуалността на плановете за справяне с инцидентите и плановете за действия в случай на аварии, природни бедствия или други форсмажорни обстоятелства. Анализира резултатите от тях и организира изменение на плановете, ако е необходимо.
9. Поддържа връзки с други администрации, организации и експерти, работещи в областта на информационната сигурност.
10. Следи за акуратното водене на регистъра на инцидентите.
11. Уведомява за инциденти съответния секторен екип за реагиране на инциденти с компютърната сигурност в съответствие с изискването начл. 31, ал. 1(уведомяване за инциденти) от тази наредба.
12. Организира анализ на инцидентите с мрежовата и информационната сигурност за откриване на причините за тях и предприемане на мерки за отстраняването им с цел намаляване на еднотипните инциденти и намаляване на загубите от тях.
13. Следи за актуализиране на използвания софтуер и фърмуер.
14. Следи за появата на нови киберзаплахи (вируси, зловреден код, спам, атаки и др.) и предлага адекватни мерки за противодействието им.
15. Организира тестове за откриване на уязвимости в информационните и комуникационните системи и предлага мерки за отстраняването им.
16. Организира и сътрудничи при провеждането на одити, проверки и анкети и при изпращането на резултатите от тях на съответния национален компетентен орган.
17. Предлага санкции за лицата, нарушили мерките за мрежовата и информационната сигурност.

Приложение № 7 къмчл. 31, ал. 2 Забележка.Попълва се допълнителна информация в случай на необходимост.

Приложение № 8 къмчл. 31, ал. 3

Приложение № 9