(Доп. - ДВ, бр. 80 от 2016 г.) За защита на информационната система и мрежи се предприемат следните мерки:
- 1. по отношение на регистрите по чл. 3: а) сървърното оборудване е със система за откриване и корекции на грешки в оперативната памет; б) подсистемите за съхранение на данни са със защита срещу отпадане на някое от изграждащите ги устройства – постоянна памет; в) непрекъсваемите токозахранващи устройства (UPS) са за цялото оборудване, необходимо за правилната работа на регистрите (компютърни конфигурации, сървъри и комуникационни средства);
- 2. мрежовите интерфейси за хардуерна настройка на сървърното и комуникационното оборудване се обособяват в отделен мрежови сегмент;
- 3. сървърите, предназначени да предоставят услуги на потребители през интернет, се обособяват в отделен мрежови сегмент;
- 4. сървърът за електронна поща сканира всички писма с антивирусен софтуер, за който е активирано автоматично обновяване на антивирусните дефиниции;
- 5. връзките между мрежовите сегменти помежду им и с интернет се контролират със специализиран софтуер – защитна стена;
- 6. за всички сървърни и работни компютърни конфигурации се използват операционни системи и приложен софтуер, за които е осигурена поддръжка от производителя с обновления по отношение на сигурността;
- 7. журналните файлове на сървърите в ГД ГРАО се проверяват на всеки седем дни от служител на сектор „Информационна сигурност“;
- 8. на всяка работна компютърна конфигурация се осигурява антивирусен софтуер с включено автоматично обновяване и постоянно сканиране;
- 9. всяка работна компютърна конфигурация включва по възможност предпоследна или последна Desktop операционна система Windows;
- 10. забранено е включването на неслужебни компютърни и комуникационни устройства в компютърните мрежи;
- 11. включването на мобилни компютри в компютърните мрежи се извършва след разрешение от служител на сектор „Информационна сигурност“;
- 12. забранено е използването на лични носители на данни в ГД ГРАО и ТЗ ГРАО;
- 13. за пренос на данни във връзка с изпълнението на конкретни дейности се използват оптични носители;
- 14. използваните оптични носители се унищожават в специализирани машини за унищожаване на документи;
- 15. работните компютърни конфигурации, както и цялата инфраструктура, включително и достъпът до интернет, се използват единствено за служебни цели;
- 16. достъпът до интернет на ТЗ ГРАО се осъществява при следните ограничения: разрешени протоколи навън (от ТЗ ГРАО) – ping, ftp, http (80), https (443), DNS (udp, tcp 53) pop3 (110), smtp (25), pops (995), imap (143), imaps (993), smtps (465), icq (5190);
- 17. в ГД ГРАО и ТЗ ГРАО се провежда редовна профилактика на компютърните и комуникационните устройства от началника на сектор „Информационна сигурност“;
- 18. пренасянето на лични данни през незащитени мрежи (например интернет) се извършва в криптирано състояние;
- 19. пренасянето на лични данни чрез електронна поща се извършва при спазване на правилата за защитено предаване на лични данни по електронен път съгласно приложение № 1;
- 20. използването на работните компютърни конфигурации се извършва след идентификация с потребителско име и парола, изисквани от съответната операционна система;
- 21. паролите за идентификация и достъп до регистрите по чл. 3 се създават, променят и предоставят съгласно утвърдени вътрешни правила на ГД ГРАО;
- 22. паролата за достъп е персонална; в случай на компрометиране на парола тя се подменя с нова; забранява се друго предоставяне и записване на парола;
- 23. поддържането в актуално състояние на личните данни се осъществява чрез пакетна и директна актуализация;
- 24. пакетната актуализация на регистрите по чл. 3 се извършва съгласно утвърдени вътрешни правила на ГД ГРАО;
- 25. директната актуализация на РН – НБД „Население“ се извършва от служителите в ТЗ ГРАО и/или оторизираните длъжностни лица от общинските администрации;
- 26. достъпът и директната актуализация на РН – НБД „Население“ се извършва чрез уеббазиран приложен софтуер през интернет, като достъпът се автентифицира с КЕП и/или потребителско име и парола;
- 27. достъпът и актуализацията на личните данни, поддържани от ТЗ ГРАО, се извършват чрез приложен софтуер (програмен продукт Регионална база данни „Население“) след автентификация с потребителско име и парола;
- 28. промените на личните данни в регистрите по чл. 3, извън актуализациите по т. 23, се записват в дневник на промените и се подписват от началника на сектор „Национална база данни“;
- 29. за целите на оторизация на потребителите от общинските администрации, които въвеждат актуализационни документи, и/или за целите на предоставяне на достъп до регистрите по чл. 3 се поддържа като минимум информация относно идентичността на потребителя и дата на предоставяне и прекратяване на потребителските права в таблицата на потребителите;
- 30. всеки достъп до регистрите по чл. 3 се регистрира автоматизирано в журнал за съответния регистър; в журнала за всеки достъп като минимум се регистрира информация относно: потребителя, време (дата и час) на достъпа и информация, която позволява да се идентифицират данните, до които е осъществен достъп;
- 31. информацията по т. 30 се съхранява най-малко две години;
- 32. правата и ролите на потребителите се определят съобразно преките им задължения и/или съобразно условията на достъпа, регламентирани със споразумение или по ред в друг нормативен акт;
- 33. предоставянето на данни във вид на списъци във връзка с изпълнението на служебни задължения на служителите на ГД ГРАО и ТЗ ГРАО се извършва след попълнена и одобрена писмена заявка съгласно приложение № 2;
- 34. непосредствен достъп до личните данни в регистрите по чл. 3 чрез системни програмни средства е разрешен за служителите на отдел „Електронна обработка на информацията“ и обработващия данни;
- 35. данните в регистрите по чл. 3 се архивират съгласно утвърдени вътрешни правила на ГД ГРАО;
- 36. данните в регистъра на населението, поддържан от ТЗ ГРАО, се архивират всяка седмица от ръководителя на съответното ТЗ ГРАО;
- 37. всеки месец архивно копие на регистъра на населението, поддържан от ТЗ ГРАО, се записва на оптичен носител и се съхранява от ръководителя на ТЗ ГРАО за период от две години;
- 38. данните върху оптичните носители се записват в криптиран вид чрез специализиран софтуер;
- 39. при възникване на нарушения от ГД ГРАО и/или ТЗ ГРАО се сформира екип за действие според ситуацията.