НАРЕДБА ЗА МИНИМАЛНИТЕ ИЗИСКВАНИЯ ЗА МРЕЖОВА И ИНФОРМАЦИОННА СИГУРНОСТ

Разпределение на роли и отговорности

Чл. 3. (1) Административният орган, съответно ръководителят на Субекта по чл. 1, ал. 1, т. 2 - 5:

1. носи пряка отговорност за мрежовата и информационната сигурност в обхвата на наредбата, дори и когато дейността е възложена за изпълнение на трети страни;

2. създава условия за прилагане на комплексна система от мерки за управление на тази сигурност по смисъла на международен стандарт БДС ISO/IEC 27001; системата обхваща всички области на сигурност, които засягат мрежовата и информационната сигурност на Субекта, включително физическата сигурност на информационните и комуникационните системи;

3. осигурява необходимите ресурси за прилагане на пропорционални и адекватни на рисковете организационни, технически и технологични мерки, гарантиращи високо ниво на мрежова и информационна сигурност в обхвата на наредбата;

4. упражнява контрол върху нивото на мрежовата и информационната сигурност чрез:

а) организиране на одити по смисъла на чл. 35, ал. 1, т. 1 и 3 за доказване на съответствието на предприетите мерки с изискванията на нормативните актове и приетите стандарти;

б) провеждане минимум веднъж в годината на периодичен преглед на мрежовата и информационната сигурност и на адекватността на предприетите мерки;

5. определя, документира и налага отговорности по изпълнението, контрола и информираността за всички процеси и дейности, свързани с развитието, поддръжката и експлоатацията на информационните и комуникационните системи, като се спазва принципът, че едно лице не може да контролира собствената си дейност.

(2) Лицето по ал. 1 определя служител или административно звено, отговарящо за мрежовата и информационната сигурност, като:

1. служителят или звеното, отговарящо за мрежовата и информационната сигурност, е на пряко подчинение на административния орган, съответно на ръководителя на Субекта, по чл. 1, ал. 1, т. 2 - 5 с цел пряко информиране за състоянието и проблемите в мрежовата и информационната сигурност;

2. препоръчителни функции на служителя или на звеното, отговарящо за мрежовата и информационната сигурност, са описани в приложение № 6.

(3) Когато субектът има териториални структури и разпределени информационни системи, за всяка от тези структури се определя служител, отговарящ за мрежовата и информационната сигурност.

Политика за сигурност

Чл. 4. (1) Субектите разработват и приемат собствена политика за мрежова и информационна сигурност, която се преразглежда редовно, но не по-рядко от веднъж годишно, и при необходимост се актуализира.

(2) Политиката съдържа стратегическите цели на Субекта за мрежовата и информационната сигурност и подхода за постигането им в съответствие с общите му стратегически и оперативни цели, нормативните актове и договорите, текущите и потенциалните вътрешни и външни заплахи за постигането на тези цели и за сигурността на информацията.

(3) Политиката има отношение към или включва всички съответни специфични политики за сигурност на информационните и комуникационните системи, като обмен на информация, използване на мобилни устройства, работа от разстояние, използване на криптографски механизми, управление на достъпите и автентикацията, разработване на нови системи, управление на инциденти, взаимоотношение с трети страни, повишаване на квалификацията на служителите и на осведомеността по отношение на мрежовата и информационната сигурност и др.

Документирана информация

Чл. 5. (1) За намаляване на загубите от инциденти чрез намаляване на времето за реагиране и разрешаването им, както и за намаляване на вероятността от възникване на инциденти, породени от човешки грешки, Субектът поддържа следната документация:

1. опис на информационните активи;

2. физическа схема на свързаност;

3. логическа схема на информационните потоци;

4. документация на структурната кабелна система;

5. техническа, експлоатационна и потребителска документация на информационните и комуникационните системи и техните компоненти;

6. инструкции/вътрешни правила за всяка дейност, свързана с администрирането, експлоатацията и поддръжката на хардуер и софтуер;

7. вътрешни правила за служителите, указващи правата и задълженията им като потребители на услугите, предоставяни чрез информационните и комуникационните системи, като използване на персонални компютри, достъп до ресурсите на корпоративната мрежа, генериране и съхранение на паролите, достъп до интернет, работа с електронна поща, системи за документооборот и други вътрешноведомствени системи, принтиране, факс, използване на сменяеми носители на информация в електронен вид, използване на преносими записващи устройства и т. н.

(2) Документацията по ал. 1 трябва да е:

1. еднозначно идентифицирана като заглавие, версия, дата, автор, номер и/или др.;

2. поддържана в актуално състояние, като се преразглежда и при необходимост се обновява поне веднъж годишно;

3. одобрена от административен орган, съответно от ръководителя на Субекта по чл. 1, ал. 1, т. 2 - 5 или от упълномощено от него лице;

4. класифицирана по смисъла на чл. 6;

5. достъпна само до тези лица, които е необходимо да я ползват при изпълнение на служебните си задължения.

(3) Субектът поддържа информация, доказваща по неоспорим начин изпълнението на изискванията на тази наредба.

(4) Информацията по ал. 3:

1. се поддържа в актуално състояние;

2. е достъпна само за:

а) тези лица, които е необходимо да я ползват при изпълнение на служебните си задължения по силата на трудови, служебни или договорни отношения;

б) представители на съответните национални компетентни органи съгласно чл. 16, ал. 5 от Закона за киберсигурност;

в) други организации, оправомощени с нормативен акт или договорни отношения.

Класификация на информацията

Чл. 6. (1) Субектът приема вътрешни правила по смисъла на чл. 5, ал. 1, т. 6 и 7 за класификация на информацията, които указват как да се маркира, използва, обработва, обменя, съхранява и унищожава информацията, с която разполага организацията. Препоръчителна класификация е дадена в приложение № 2.

(2) Правилата по ал. 1 гарантират достатъчна, адекватна и пропорционална на заплахите защита на информацията с оглед на нейната важност, чувствителност и на нормативните изисквания към нея.

(3) Класификацията по ал. 1 се прилага и върху всички ресурси, които участват в създаването, обработването, съхраняването, пренасянето и унищожаването на информацията, като към тях трябва да се прилагат подходящи механизми за защита, съответстващи на идентифицираните от Субекта заплахи.

(4) Нивото на класификацията трябва да е подходящо нанесено върху документираната информация.

(5) За класификацията по ал. 1 не се допуска използването на нивата на класификация за сигурност на информацията от обхвата на Закона за защита на класифицираната информация, както и техният гриф.

(6) Информацията без класификация е достъпна за общо ползване при спазване на стандартните правила за авторски права и към нея не се прилагат механизми за защита.

(7) При обмен на информация се използва класификация TLP (traffic light protocol) съгласно приложение № 2.

Управление на риска

Чл. 7. (1) Субектът извършва анализ и оценка на риска за мрежовата и информационната сигурност регулярно, но не по-рядко от веднъж годишно, или когато се налагат съществени изменения в целите, вътрешните и външните условия на работа, информационната и комуникационната инфраструктура, дейностите или процесите, влизащи в обхвата на тази наредба.

(2) Анализът и оценката на риска са документиран процес по смисъла на чл. 5, ал. 1, т. 6, в който са регламентирани нивата на неприемливия риск и отговорностите на лицата, участващи в отделните етапи на процеса.

(3) Анализът и оценката на риска се извършват по методика, гарантираща съизмерими, относително обективни и повтарящи се резултати. Методиката се одобрява от административния орган, съответно от ръководителя на субекта по чл. 1, ал. 1, т. 2 - 5, и е достъпна за лицата, на които е възложено да участват в процеса. Може да се прилага препоръчителна методика съгласно приложение № 3.

(4) На основание на анализа и оценката на риска Субектът изготвя план за намаляване на неприемливите рискове, който да включва минимум:

1. подходящи и пропорционални мерки за смекчаване на неприемливите рискове;

2. необходими ресурси за изпълнение на тези мерки;

3. срок за прилагане на мерките;

4. отговорни лица.

Управление на информационните активи

Чл. 8. (1) Субектът приема вътрешни правила по смисъла на чл. 5, ал. 1, т. 6, регламентиращи процеса на управление на жизнения цикъл на информационните и комуникационните системи и техните компоненти. Вътрешните правила трябва еднозначно да указват условията, начина и реда за придобиване, въвеждане в експлоатация, поддръжка, преместване/изнасяне, извеждане от експлоатация и унищожаване на информационни и комуникационни системи и техните компоненти.

(2) Описът на информационните активи по смисъла на чл. 5, ал. 1, т. 1 съдържа информация, необходима за разрешаването на инциденти, анализ и оценка на риска, управление на уязвимости и управление на измененията, като:

1. еднозначна идентификация, като инвентарен, сериен номер или др.;

2. основни характеристики;

3. услуги, процеси и дейности, в които участва;

4. местоположение;

5. година на производство, където е приложимо;

6. дата на въвеждане в експлоатация, където е приложимо;

7. версия, където е приложимо;

8. местонахождение на свързаната с него документация (техническа, експлоатационна, потребителска и др.);

9. отговорно лице.

Сигурност на човешките ресурси

Чл. 9. (1) За намаляване на риска от инциденти, умишлено или неумишлено предизвикани от служители, Субектът гарантира чрез вътрешни правила и инструкции, че служителите, имащи отношение към процесите и дейностите в обхвата на наредбата, имат подходящата квалификация, знания и умения за изпълнение на отговорностите си.

(2) Вътрешните правила по ал. 1 регламентират:

1. процеса за наемане на работа в съответствие с приложимите закони и подзаконови нормативни актове, професионалната етика и съобразно изискванията, свързани с дейността им - класификацията на информацията, до която имат достъп, и предполагаемите рискове;

2. отговорностите и задълженията по отношение на сигурността на информацията при прекратяване или промяна на служебните/договорните отношения;

3. дисциплинарен процес за лицата по ал. 1, които са извършили нарушение по отношение на политиката и вътрешните правила за мрежова и информационна сигурност.

(3) Отговорностите на лицата по ал. 1 по отношение на сигурността на информацията се документират с ясно определени срокове и задължения.

(4) Субектът обезпечава нивото на мрежова и информационна сигурност посредством:

1. подходящо професионално обучение за повишаване на квалификацията на служителите в съответствие с използваната техника и технологии;

2. периодично инструктиране на служителите за повишаване на вниманието им по отношение на мрежовата и информационната сигурност; инструктажът се прави по утвърден график и се документира по начин, гарантиращ проследяемост.

Управление на взаимодействията с трети страни

Чл. 10. (1) При установяване на взаимоотношения с доставчици на стоки и услуги, наречени "трети страни", Субектът трябва да договори изисквания за мрежова и информационна сигурност, включително:

1. за сигурност на информацията, свързани с достъпа на представители на трети страни до информация и активи на Субекта;

2. за доказване, че третата страна също прилага адекватни мерки за мрежова и информационна сигурност, включително клаузи за доказването на прилагането на тези мерки чрез документи и/или провеждане на одити;

3. за прозрачност на веригата на доставките; третата страна трябва да е способна да докаже произхода на предлагания ресурс/услуга и неговата сигурност;

4. последици при неспазване на изискванията за сигурност на информацията;

5. отговорност при неспазване на договорените срокове, количество и/или качество на услугата, което може да създаде риск за постигане на целите на мрежовата и информационната сигурност;

6. за взаимодействие в случай на възникване на инцидент, който най-малко включва: контактни точки, начин за докладване, време за реакция, време за възстановяване на работата, условия за затваряне на инцидент.

(2) Субектът определя служител/служители, отговарящ/отговарящи за спазване на изискванията по ал. 1 и параметрите на нивото на обслужване.

(3) Субектът изготвя план за действие в случай на неспазване на уговорените дейности и клаузи с третата страна.

Управление на измененията в информационните активи

Чл. 11. (1) Субектът приема вътрешни правила за управление на измененията във важните за дейността му информационни активи в съответствие с изискването на чл. 5, ал. 1, т. 6 с цел намаляване на риска от инциденти, настъпили в резултат на изменения във важните за дейността му информационни активи, и по-точно в информационните и комуникационните системи и обслужващата ги инфраструктура, в процесите и дейностите, в конфигурациите, в софтуера или във фърмуера.

(2) Преди да се извърши изменението, Субектът трябва да направи анализ и оценка на риска в съответствие с чл. 7.

(3) Измененията се:

1. планират, като се определят срокове и отговорности за всяка дейност, която ще бъде извършена преди, по време на и след изменението;

2. съгласуват предварително с всички страни, имащи отговорности към процесите и дейностите в обхвата на наредбата;

3. одобряват от административния орган, съответно от ръководителя на субекта по чл. 1, ал. 1, т. 2 - 5, или от упълномощено от него лице;

4. оповестяват по подходящ начин на всички страни, които са заинтересовани; информирането на заинтересованите страни трябва да е поне 3 дни преди да се направи изменението;

5. проверяват в тестова среда.

(4) Субектът разработва план за връщане на системите в предишното им състояние, за да се намали продължителността на потенциален инцидент, настъпил в резултат на изменението.

Сигурност при разработване и придобиване на информационни и комуникационни системи

Чл. 12. (1) При разработване на проекти и технически задания Субектът включва адекватни и комплексни изисквания за мрежова и информационна сигурност, основани на анализ и оценка на риска, с цел да се гарантира, че изискваното ниво на сигурност на информацията, мрежите и информационните системи е заложено още в етапа на разработка и внедряване.

(2) Субектът въвежда в експлоатация нови информационни и комуникационни системи планирано и след успешно проведени и документирани тестове, доказващи защитата на информацията от загуба на достъпност, интегритет и конфиденциалност.

Сегрегация

Чл. 13. (1) Субектът поддържа информационна и комуникационна инфраструктура, която гарантира, че информационните и комуникационните системи, изпълняващи различни функции, са разделени и изолирани помежду си физически и/или логически, както и че са разделени и изолирани от информационните и комуникационните системи на трети страни, с цел да се ограничи разпространението на инциденти с мрежовата и информационната сигурност.

(2) В случай че дадена система е съставена от подсистеми, разделянето им трябва да се осъществи на последно физическо или логическо ниво, като уеб сървърът, сървърът с приложния софтуер и сървърът с базата данни на една информационна система трябва да са разположени на различни машини и в различни мрежи.

Филтриране на трафика

Чл. 14. (1) Субектът гарантира, че трафикът между отделните системи и техните подсистеми е контролиран чрез подходящо филтриране (по IP адрес, по протокол, по номер на порт от Transmission Control Protocol (TCP)/Internet Protocol (IP) стека и т. н.) с цел превенция на евентуални атаки и ограничаване на разпространението на инциденти. Филтрирането на трафика трябва да бъде по предварително разписани и одобрени правила, основаващи се на функционалността и сигурността, които трябва да бъдат редовно проверявани за нерегламентирани изменения и да бъдат актуализирани с оглед на нововъзникващи заплахи.

(2) Ненужните портове по протоколи TCP и User Datagram Protocol (UDP) трябва да бъдат забранени чрез адекватно конфигуриране на използваните софтуерни решения, хардуерни устройства и оборудване за защита и контрол на трафика.

Неоторизирано използване на устройства

Чл. 15. (1) Субектът приема ясно дефинирани политики относно използването на:

1. лични технически средства в мрежата, която контролират;

2. преносими записващи устройства.

(2) Политиките се отразяват във вътрешните правила, като се предприемат подходящи и реципрочни на заплахите мерки за реализирането им.

Криптография

Чл. 16. (1) Субектът разработва политика и вътрешни правила съгласно чл. 5, ал. 1, т. 6 за прилагане на криптографски механизми, които се използват за гарантиране на конфиденциалността и интегритета на чувствителната информация в съответствие с нейната класификация.

(2) Криптографските механизми се съобразяват с уязвимостта на информацията към заплахи за нейните конфиденциалност и интегритет и с нормативните и регулаторните изисквания към нейното създаване, съхраняване и пренасяне.

Администриране на информационните и комуникационните системи

Чл. 17. (1) Субектът прилага следните мерки за защита на профилите с административни права за информационните и комуникационните системи и техните компоненти:

1. преди въвеждане в експлоатация задължително се сменят идентификационните данни на администратора, въведени по подразбиране или инсталирани от производителя/доставчика на информационния актив;

2. администраторските профили са персонални;

3. администраторските профили се използват само за административни цели;

4. администраторските профили се създават само на служители, които извършват административни операции (инсталиране, конфигуриране, управление, поддръжка и т. н.);

5. правата на всеки администраторски акаунт са ограничени във възможно най-голяма степен до функционалния и техническия периметър на всеки администратор;

6. данните за автентикацията на администраторските акаунти:

а) са различни за всяка система;

б) са с възможно най-голяма сложност, позволена от системата или нейния компонент;

в) се съхраняват подходящо физически и логически защитени, като достъп до тях има само оторизиран представител на Субекта;

7. поддържа списък на администраторските профили за информационните и комуникационните системи и техните компоненти;

8. при невъзможност на администратор да изпълнява пълноценно функциите си поради обективни причини правата на административния му акаунт се спират за съответния период;

9. поне веднъж годишно се прави преглед на администраторските профили с цел удостоверяване на актуалността им.

(2) Паролите за автентикация на администраторските профили се сменят задължително:

1. периодично - най-малко веднъж в годината;

2. при прекратяването на договорните отношения със служители или трети страни, на които тези данни са били известни;

3. при пробив в мрежовата и информационната сигурност.

(3) Всички операции, процеси и дейности в информационните и комуникационните системи и техните компоненти, извършени с администраторски права, се документират по смисъла на чл. 5, ал. 3 и 4 за всеки администраторски профил и в съответствие с изискванията на чл. 29, ал. 2, 4, 5 и 6.

(4) В документацията по ал. 3 не се въвеждат и не се съхраняват пароли на административен профил под формата на явен текст или хеш.

Среда за администриране

Чл. 18. (1) Субектът използва отделна, подходящо защитена среда (мрежа, система, софтуер и др.) за целите на администриране на информационните и комуникационните системи и техните компоненти. Тази среда трябва да е изолирана от другите информационни и комуникационни системи на Субекта и от интернет и да не се използва за други цели.

(2) В случай че администрирането на информационните и комуникационните системи и техните компоненти не се осъществява през средата по ал. 1, потоците на тази информация трябва да са защитени чрез механизми за удостоверяване и криптиране.

Управление на достъпите

Чл. 19. Субектът е длъжен да дава достъп до информационните и комуникационните си системи на потребител или автоматизиран процес само когато този достъп е строго необходим на потребителя, за да изпълни задълженията си, или на автоматизирания процес да извърши необходимите технически операции. За да гарантира, че достъп до информационните и комуникационните му системи имат само оторизирани потребители, устройства (включително други информационни системи) и автоматизирани процеси, Субектът:

1. във вътрешните си правила по смисъла на чл. 5, ал. 1, т. 6 определя:

а) правата на достъп до конкретни информационни активи на служителите според длъжността им;

б) реда за заявяване, промяна и прекратяване на достъп;

2. прилага задължителни мерки за автентикация, оторизация и одит на компютърните мрежи и системи, които включват и изисквания за определена сложност на данните за автентикация; ако се използват пароли:

а) те следва да съдържат малки и големи букви, цифри и специални символи;

б) дължината им трябва да е не по-малко от 8 символа за потребителските и 12 символа за администраторските профили;

в) паролите на потребителските акаунти трябва да се сменят регулярно на период не по-голям от шест месеца;

3. гарантира, че потребителските профили са индивидуални; в ежедневната работа трябва да се използват профили с най-ниското ниво на достъп, което дава възможност за изпълнение на служебните задължения;

4. гарантира, че лицата, имащи право да заявяват даване, променяне и спиране на достъп, определени във вътрешните правила по т. 1, буква "б", правят редовни прегледи на достъпите, но не по-рядко от веднъж в годината; при тези прегледи се установява дали всички, на които е даден достъп до мрежата, до отделните системи и/или приложения, имат право на него в съответствие със служебните им задължения, дали външни лица имат достъп и какъв е той (бивши служители, представители на трети страни); за целите на прегледите администраторите на съответните информационни и комуникационни системи предоставят на оправомощените във вътрешните правила по т. 1, буква "б" лица списък на всички, които имат достъп до системата и нивото на достъпа, а оправомощените лица документирано потвърждават или дават указания за промяна;

5. ограничава даването на привилегирован достъп (по-високо ниво на достъп или достъп до система, до която лицето не трябва да има достъп в съответствие с вътрешните правила по ал. 1); привилегированият достъп трябва да се дава само за определен период и да се контролират действията с него;

6. гарантира, че достъпът до споделени файлове и принтери е разрешен само от мрежата, контролирана от Субекта.

Защита при отдалечен достъп/работа от разстояние

Чл. 20. При необходимост от достъп до информационни активи извън мрежата, контролирана от Субекта, се спазват изискванията на чл. 19, включително:

1. се използва най-малко двуфакторна автентикация;

2. се използват само канали с висока степен на защита като Virtual Private Network (VPN);

3. не се използват File Transfer Protocol (FTP) и Remote Desktop Connection.

Защита на хардуерни устройства

Чл. 21. (1) За намаляване на риска от инциденти, предизвикани от технически повреди, Субектът:

1. осигурява климатико-механичните условия, указани от производителя;

2. осъществява наблюдение на параметрите на условията по т. 1;

3. провежда планирана регулярна техническа профилактика на устройствата в съответствие с политиката му за жизнения им цикъл.

(2) За намаляване на риска от неоторизиран достъп Субектът е длъжен да разполага устройствата в зони, които са физически и логически защитени в съответствие с класификацията на информацията, с която работят.

Защита на софтуер и фърмуер

Чл. 22. (1) Субектът инсталира и поддържа само версии на използвания в системите му софтуер и фърмуер, които се поддържат от техните доставчици или производители и са актуални от гледна точка на сигурността.

(2) Административният орган, съответно ръководителят на субекта по чл. 1, ал. 1, т. 2 - 5, одобрява софтуера, който се използва в информационните и комуникационните системи.

(3) Субектът поддържа библиотека с дистрибутиви на използвания софтуер и фърмуер с цел намаляване на времето за възстановяване на дадена система след срив.

(4) Субектът предприема мерки за:

1. недопускане на инсталирането и използването на неодобрен софтуер и фърмуер;

2. контрол върху използвания софтуер и фърмуер, включително неговата актуалност.

(5) Субектът приема вътрешни правила и инструкции за регламентиране на действията по:

1. поддържане на библиотеката с дистрибутиви на използвания софтуер и фърмуер в актуално състояние;

2. управлението на достъпа до нея;

3. проследяване за новооткрити уязвимости в сигурността на използвания в системите му софтуер и фърмуер и за техни актуализации (нови версии, ъпдейти и пачове), които отстраняват тези уязвимости, или мерки за смекчаването им, публикувани от производителите или доставчиците;

4. придобиване и проверка на произхода и целостта на актуализацията преди инсталирането ѝ;

5. прилагането на актуализациите и препоръчаните мерки, които трябва да се извършват съобразно разпоредбите на чл. 11.

(6) Субектът гарантира, че устройствата и системите са конфигурирани в съответствие с препоръките за сигурност на съответния им доставчик или производител, като се приложат и изискванията на приложение № 4.

(7) Субектът съхранява off-line копие от актуалните конфигурационни файлове и/или описание на настройките, като достъпът до тях трябва да е контролиран. Копията трябва да се проверяват регулярно относно качество и годност.

(8) Субектът регулярно прави проверка на конфигурационните файлове и настройките на системи и устройства за нерегламентирани изменения.

Защита от зловреден софтуер

Чл. 23. (1) Субектът прилага в информационната и комуникационната си инфраструктура подходящи мерки за защита от проникване и мерки за откриване и справяне със зловреден софтуер.

(2) Мерките за защита от зловреден софтуер трябва:

1. да са приложени към всички компоненти на информационните и комуникационните системи, където това е възможно;

2. да се поддържат в актуално състояние, за да имат способността да защитават от новооткрити заплахи.

(3) Мерките за защита от зловреден софтуер трябва да позволяват:

1. извършване на пълна проверка за наличие на зловреден софтуер поне веднъж в седмицата, където е приложимо;

2. проверка на електронната поща и файлове, свалени от интернет, както и преносими записващи устройства, преди да бъдат отворени.

(4) Субектът извършва регулярно оценка на ефективността на мерките за защита от зловреден софтуер и при констатирани слабости предприема действия за подобряване на защитата.

Защита на уеб сървъри

Чл. 24. (1) Субектът предприема следните мерки за защита на уеб сървърите:

1. инсталира сертификат на уеб сървърите си, издаден от доверена система за сертифициране (trusted certification authority system); сертификатът трябва:

а) да е издаден за съответния уеб сайт (website) или група сайтове и да е уникален;

б) да използва алгоритъм за криптиране поне SHA2;

в) да е актуален, като сертификатите с изтекъл срок се анулират;

2. за защита на интегритета на информацията, обменяна с потребителите, уеб сайтът (website) трябва да е достъпен само по протокол Hypertext Transfer Protocol Secure (HTTPS), като се използват само криптографски транспортни протоколи TLS (Transport Layer Security) версия 1.2, дефиниран в RFC 5246 на IETF (The Internet Engineering Task Force - Специализирана работна група за интернет инженеринг) през 2008 г., версия 1.3, дефиниран в RFC 8446 на IETF през 2018 г., или следващи по-нови версии;

3. за криптиране на информацията, обменяна между уеб сървъра и потребителите му, се прилагат изискванията на чл. 16 и като се вземат предвид публикуваните в RFC на IETF забрани за използване на методи за шифриране в криптографските транспортни протоколи;

4. да се приложи подходящ Web Application Firewall (WAP), който наблюдава и филтрира трафика от и към съответното приложение с цел защита на уеб приложенията от кибератаки от типа Cross-Site Request Forgery (CSRF), Cross-site Scripting (XSS), file inclusion, SQL injection и др.;

5. да не се позволява вмъкване на данни от страна на потребителя, освен на определените за това места;

6. всички входни данни, постъпващи от клиента, включително съдържанието, предоставено от потребителя и съдържанието на браузъра, като headеrs на препращащия и потребителски агент, трябва да бъдат валидирани;

7. приложния софтуер да не позволява въвеждане на специални символи, особено такива, които се използват в SQL заявките;

8. всички данни, изпращани от клиента и показвани в уеб страница, трябва да бъдат кодирани с HTML, за да се гарантира, че съдържанието се изобразява като текст вместо HTML елемент или JavaScript;

9. за защита от атаки от типа отказ от услуги (DoS):

а) да се наложи ограничение на заявките и по-специално по максимална дължина на съдържанието, максимална дължина на заявката и максимална дължина на заявката по Url;

б) да се конфигурират типът и размерът на headers, които уеб сървърът ще приеме;

в) да се ограничат времетраенето на връзката (connection Timeout), времето, за което сървърът изчаква всички headers на заявката, преди да я прекъсне, и минималният брой байтове в секунда при изпращане на отговор на заявка, за да се минимизира въздействието и на slow HTTP атаки;

10. за защита от brute force атаки да се въведе ограничение на броя неуспешни опити за влизане в системата;

11. да не се извежда списък на уеб директориите;

12. бисквитките (cookies) трябва да имат:

а) флаг за защита (security flag) - този флаг инструктира браузъра, че "бисквитката" може да бъде достъпна само чрез защитени SSL канали;

б) флаг HTTP only - инструктира браузъра, че "бисквитката" може да бъде достъпна само от сървъра, а не от скриптовете, от страна на клиента;

13. headers на отговорите на заявки, които трябва да гарантират защита както на клиента, така и на уеб сайта (website), като съдържат опции, посочени в приложение № 5;

14. в главната директория на уеб сайта (website) да се сложи файл robot.txt, който дава указания на уеб роботите (ботове/паяци) колко често да обхождат сайта, както и кои части от него да обхождат и да индексират; ако този файл не съществува, уеб роботите обхождат целия сайт - всяка една негова страница, подстраница, статия, линк и т.н., което крие риск за конфиденциалността на информацията;

15. при използване на Система за управление на съдържанието (CMS) да се промени наименованието по подразбиране на папката за достъп до администраторския панел.

Защита на Domain Name System (DNS)

Чл. 25. Субектът трябва да предприеме следните мерки за защита на DNS:

1. при използване на повече от един DNS сървър, всеки от тях да е разположен в различна мрежа/подмрежа;

2. да прилага DNSSEC (Domain Name System Security Extensions);

3. да минимизира DNS заявките съгласно RFC 7816 на IETF от 2016 г.;

4. да забрани zone-transfers - злонамерени лица могат бързо да определят всички хостове в определена зона чрез трансфери на DNS зони, да събират информация за домейна, да избират цели за атаки, да откриват неизползвани IP адреси и да заобикалят мрежовия контрол на достъпа, за да крадат информация;

5. в конфигурационния файл да сложи:

а) dmarc (Domain-based Message Authentication, Reporting and Conformance) запис;

б) SPF (Sender Policy Framework) запис.

Физическа сигурност

Чл. 26. (1) Субектът осигурява физическа защита на информационните си активи чрез прилагане на адекватни и пропорционални мерки срещу заплахи от неоторизиран физически достъп до тях. Мерките трябва да гарантират наличността, интегритета и конфиденциалността на информационните активи.

(2) Субектът осигурява защита на информационните си активи от пожар, наводнение, химическа и физическа промяна на въздуха чрез подходящи мерки в съответствие с нормативните актове.

(3) За да гарантира ефикасността на приложените мерки по ал. 1 и 2, Субектът извършва подходящо наблюдение върху тях.

Защита на индустриални системи за контрол

Чл. 27. В случай че Субектът използва индустриални системи за контрол, от функционирането и сигурността на които зависят съществените услуги, които предоставя, той е задължен да приложи подходящи мерки за тяхната защита в съответствие с изискванията на наредбата, ако са приложими.

Наблюдение

Чл. 28. (1) Субектът използва система/системи за автоматично откриване на събития, които могат да повлияят на мрежовата и информационната сигурност на важните за дейността му системи, чрез анализ на информационни потоци, протоколи и файлове, преминаващи през ключови устройства, позиционирани така, че да могат да анализират всички потоци, обменяни между собствените им информационни и комуникационни системи, както и с информационните и комуникационните системи на трети страни.

(2) Субектът организира чрез вътрешни правила и/или инструкции действията за наблюдение и реакция на сигналите от тази/тези система/системи.

Системни записи (logs)

Чл. 29. По отношение на системните записи Субектът гарантира, че:

1. в сървъри за приложения, които поддържат критични дейности, сървъри от системната инфраструктура, сървъри от мрежовата инфраструктура, охранителни съоръжения, станции за инженеринг и поддръжка на индустриални системи, мрежово оборудване и работни места на администратори се регистрират автоматично всички събития, които са свързани най-малко с автентикация на потребителите, управление на профилите, правата на достъп, промени в правилата за сигурност и функциониране на информационните и комуникационните системи;

2. в записите за всяко от тези събития е отбелязано астрономическото време, когато е настъпило събитието;

3. всички компоненти на системите поддържат единно време в съответствие с изискванията на:

а) стандарти БДС ISO 8601-1 "Дата и време. Представяния за обмен на информация. Част 1: Основни правила" и БДС ISO 8601-2 "Дата и време. Представяния за обмен на информация. Част 2: Разширения"; времето за настъпването на събития с правно или техническо значение се отчита с точност до година, дата, час, минута и секунда, а при технологична необходимост се допуска и отчитане до милисекунда;

б) за синхронизация на часовниците на компоненти на информационните и комуникационните системи трябва да се използва протокол NTP V4 (Network Time Protocol, версия 4.0 и следващи), основан на RFC 5905 на IETF от 2010 г., като се осигурява хронометрична детерминация с времевата скала на UTC (Coordinated Universal Time), или аналогичен;

4. достъпът до информацията по ал. 1 е ограничен само до лица, имащи задължения за наблюдението по смисъла на чл. 30, за разрешаването на инциденти с мрежовата и информационната сигурност, за разкриването и разследването на тежки престъпления и престъпления по чл. 319а - 319е от Наказателния кодекс в съответствие с чл. 14, ал. 4, т. 2 и чл. 15, ал. 3, т. 3 от Закона за киберсигурност; достъпът до тази информация трябва да е само за четене;

5. информацията по ал. 1 се архивира и се съхранява за период не по-малък от дванадесет месеца при спазване на изискванията на чл. 32;

6. Субектът трябва да е в състояние да извършва корелация на информацията по ал. 1 от различните източници и да правят анализ, за да открият събития, които засягат мрежовата и информационната сигурност.

Управление на инциденти с мрежовата и информационната сигурност

Чл. 30. (1) Във вътрешните правила по смисъла на чл. 5, ал. 1, т. 6 се регламентират всички дейности при обработката на сигнали и реакция при инциденти.

(2) Вътрешните правила по ал. 1 съдържат:

1. реда за подаване на сигнали за настъпили или потенциални събития, оказващи негативно влияние върху мрежовата и информационната сигурност;

2. информация за лицата, отговорни за регистъра на инцидентите;

3. реда за регистриране на сигнала, проверката на неговата достоверност, класифицирането му, приоритизирането му и последващото уведомяване за това на подателя;

4. реда за уведомяване за инцидента (функционална и йерархична ескалация);

5. реда за подаване на информация за начина за разрешаване на инцидента;

6. реда за приключване на инцидента;

7. процеса за събиране, съхраняване и предаване на доказателства, когато инцидентът предполага извършването на процесуални действия срещу лице или организация, включително необходимите за това записи;

8. правата на достъп до регистъра на инцидентите.

(3) Субектът разработва, проверява и поддържа в актуално състояние планове за справяне с инцидентите, които биха имали най-сериозно въздействие върху мрежовата и информационната сигурност. Плановете съдържат информация за:

1. отговорника за организацията при настъпване на инцидент;

2. реда за информиране;

3. мерките, които следва да се предприемат и отговорното за това лице;

4. реда за консултиране;

5. реда за следене на параметрите по време на инцидента;

6. лицето, което ще събира и съхранява необходимата информация, и др.

(4) Субектът разработва стратегия за комуникация, която определя реда за споделяне на информацията за инцидента със служители, партньори, доставчици, клиенти, медии, държавни органи.

Уведомяване за инциденти

Чл. 31. (1) При инцидент с мрежовата и информационната сигурност служителят или административното звено, отговарящо за мрежовата и информационната сигурност по смисъла на чл. 3, ал. 2, уведомяват съответния секторен екип за реагиране при инциденти с компютърната сигурност за инцидентите в сроковете, посочени в чл. 21, ал. 4 и 5 и чл. 22 от Закона за киберсигурност.

(2) За уведомяването по ал. 1 и по чл. 17, ал. 7 от Закона за киберсигурност се използва формата, посочена в приложение № 7.

(3) При изпълняване на изискването на чл. 17, ал. 8 от Закона за киберсигурност секторните екипи за реагиране при инциденти с компютърната сигурност изпращат обобщената статистическа информация за инциденти към националния екип за реагиране при инциденти с компютърната сигурност, като използват формата, посочена в приложение № 8.

(4) В случай че информацията по ал. 2 и 3 се изпраща по електронна поща, тя трябва да е подходящо защитена от неоторизиран достъп и да е класифицирана съгласно чл. 6, ал. 7.

Резервиране и архивиране на информация

Чл. 32. (1) Вътрешните правила/инструкции по смисъла на чл. 5, ал. 1, т. 6 се разработват в съответствие с целите и стратегическите насоки, определени в политиката за мрежова и информационна сигурност относно защита на интегритета на информацията в случай на инцидент, засягащ нейната достъпност.

(2) Вътрешните правила/инструкции по ал. 1 регламентират процесите, свързаните с тях дейности и отговорностите по резервиране и архивиране на информация, като в съдържанието им се включва най-малко:

1. информацията (бази данни, конфигурационни файлове, имиджи на системи и др.), която ще се резервира и/или архивира;

2. технологията, която ще се използва за архивиране и резервиране;

3. типът на резервиране (частично, пълно и др.);

4. периодът на извършване на архивирането и резервирането;

5. броят на копията, които ще се правят;

6. времето за съхраняване на всяко копие съгласно изискванията на нормативните актове и оценката на риска;

7. мястото на съхраняване на всяко копие;

8. начинът на защита от неправомерен достъп (физическа и логическа);

9. случаите на използване;

10. лицето, което дава разрешение за използването.

(3) Всички изисквания по ал. 2 се определят от собственика на информацията или с неговото одобрение и трябва да бъдат съобразени с времето, за което тя трябва да се възстанови, за да се гарантира необходимото ниво на наличност на услугата.

(4) При резервирането и/или архивирането на информацията се спазват следните изисквания:

1. да се правят регулярни копия съобразно риска от загуба на информация и динамиката на изменението ѝ;

2. копията на информация да са етикетирани по начин, указващ еднозначно поне каква е информацията, за коя система, какъв метод е използван за създаване на копието, дата и час;

3. копията на чувствителна информация да са в криптиран вид или поне защитени с парола;

4. копията на информацията да се съхраняват на отделна машина и по възможност в друга защитена мрежа;

5. едно от копията на критична за дейността информация се съхранява off-line и по възможност в друга сграда или на отдалечено място;

6. да се прави регулярна проверка на годността на резервните копия, дали те изпълняват целите, за които са създадени, и постига ли се необходимото време за възстановяване.

Резервиране на компоненти на инфраструктурата

Чл. 33. Субектът предприема подходящи и в съответствие с рисковете мерки за гарантиране на нивото на услугите и дейностите, които са в обхвата на наредбата, като:

1. резервиране на системи;

2. резервиране на устройства;

3. балансиране на натоварването на критични устройства или системи;

4. резервиране на центрове за данни.

Планове за непрекъсваемост

Чл. 34. (1) Субектът разработва планове за действия в случай на аварии, природни бедствия или други непредвидени обстоятелства, които биха причинили прекъсване на предоставяната от него услуга в съответствие с изискванията на чл. 5, ал. 1, т. 6.

(2) Плановете по ал. 1 съдържат:

1. обстоятелствата, за които се отнасят;

2. праговете, при които се задействат;

3. лицето, което дава разрешение за задействането им;

4. реда за възстановяване на услугите и дейностите до определено ниво.

(3) Плановете по ал. 1:

1. се проиграват периодично, но не по-рядко от веднъж в годината, с цел да се провери тяхната актуалност и да се тренират лицата, които имат отговорности за изпълнението им;

2. се поддържат в актуално състояние;

3. са достъпни само за лицата, които имат отговорности за тяхното изпълнение;

4. се съхраняват най-малко на две места, едно от които е извън сградата, в която се намират системите, за които се отнасят.