§ 2

Нивата на защита на информационната система от нерегламентиран достъп, регламентирани в чл. 34 от наредбата, се характеризират със следните основни мерки:

1. 1. Ниво “0” или “D” обхваща открита и общодостъпна информация (например публикувана на интернет страниците на администрациите). То предполага анонимно ползване на информацията и липса на средства за конфиденциалност.
2. 2. Ниво “1” или “С” изисква: а) достъпът до точно определени обекти да бъде разрешаван на точно определени ползватели; б) ползвателите да се идентифицират, преди да изпълняват каквито и да са действия, контролирани от системата за достъп. За установяване на идентичността трябва да се използва защитен механизъм от типа идентификатор/парола. Няма изисквания за доказателство за идентичността при регистрация; в) идентифициращата информация трябва да бъде защитена от нерегламентиран достъп; г) доверителната изчислителна система, т.е. функционалността на информационната система, която управлява достъпа до ресурсите й, трябва да поддържа област за собственото изпълнение, защитена от външни въздействия и от опити да се следи ходът на работата; д) информационната система трябва да разполага с технически и/или програмни средства, позволяващи периодично да се проверява коректността на компонентите на доверителната изчислителна система; е) защитните механизми трябва да са преминали тест, който да потвърди, че неоторизиран ползвател няма очевидна възможност да получи достъп до доверителната изчислителна система.
3. 3. Ниво “2” или “В” изисква в допълнение към изискванията към предишното ниво: а) като механизъм за проверка на идентичността да се използва удостоверение за електронен подпис, независимо дали е издадено за вътрешноведомствени нужди в рамките на вътрешна инфраструктура на публичния ключ, или е издадено от външен доставчик на удостоверителни услуги; б) при издаване на удостоверението издаващият орган проверява съществените данни за личността на ползвателя, без да е необходимо личното му присъствие; в) доверителната изчислителна система трябва да осигури реализация на принудително управление на достъпа до всички обекти; г) доверителната изчислителна система трябва да осигури взаимна изолация на процесите чрез разделяне на адресните им пространства.
4. 4. Ниво “3” или “А” изисква в допълнение към изискванията към предишното ниво: а) като механизъм за идентификация да се използва единствено удостоверение за универсален електронен подпис; б) при издаване на удостоверението да е гарантирана физическата идентичност на лицето; в) доверителната изчислителна система трябва да бъде с проверена устойчивост към опити за проникване; г) комуникацията между потребителя и системата да се осъществява единствено чрез протокол Transport Layer Security (TLS) или Secure Sockets Layer (SSL), като минималната дължина на симетричния ключ трябва да е 128 бита; д) доверителната изчислителна система да има механизъм за регистрация на опити за нарушаване политиката за сигурност.