Класифицирането е дейност, при която се установява: попада ли информацията в списъка на категориите информация, съгласно приложение № 1 към чл. 25 от ЗЗКИ или в списъка по чл. 26, ал. 3 от ЗЗКИ; налице ли е заплаха или опасност от увреждане на интересите в съответната степен; дали нерегламентираният достъп би създал опасност за интересите по т. 1; налице ли са обществени интереси, подлежащи на защита.
Срокове за защита на класифицираната информация:
- 30 години за информация, маркирана с гриф за сигурност “Строго секретно”;
- 15 години за информация, маркирана с гриф за сигурност “Секретно”;
- 5 години за информация, маркирана с гриф за сигурност “Поверително”;
- 6 месеца за информация, маркирана с гриф за сигурност “За служебно ползване”.
Нивото на класификация се премахва:
- След изтичане на съответния срок, съгласно чл. 34 от ЗЗКИ;
- След изтичане на указания срок в грифа за сигурност;
- При отпадане на основанията за защита на класифицираната информация.
Нивото на класификация се променя:
- При промяна в основанията за определяне на нивото на класификация за сигурност;
- При неправилно определяне на нивото на класификация. При това положение се уведомява лицето, подписало
документа или неговия ръководител, ДКСИ и всички получатели при промяна или премахване на нивото на класификация. Получателите извършват преквалифициране на документа.
Маркиране на класифицирана информация
Всяка класифицирана информация, представляваща държавна или служебна тайна, се маркира, като върху материала се поставя съответен гриф за сигурност. Обстоятелството, че класифицираната информация е маркирана означава, че е създаден материал, съдържащ класифицирана информация и материалът е обект на съответните мерки за защита според нивото, а достъпът до него се се дава при спазване на принципа “необходимост да се знае”. Грифът на документа може да се изменя само със съгласието на лицето подписало материала или на неговия висшестоящ ръководител.
Уникалният регистрационният номер на класифицирания документ се състои от: уникален идентификационен номер на регистратурата; номенклатурния номер на регистъра от Номенклатурния списък на регистрите; поредния номер на материала за текущата година по регистъра и датата на регистриране. Това се изписва по следния начин:
Номер на регистратурата / Номер на регистъра – пореден номер на материала в регистъра / ДД.ММ.ГГГГ
Върху документа могат да се поставят указания регламентиращи работата с него, като: “Даването на информация, съдържаща се в документа без писмено съгласие на лицето, подписало документа е забранено”; “Размножаването без писменото съгласие на лицето, подписало документа е забранено”; “Преписването без писменото съгласие на лицето, подписало документа е забранено”; “Правенето на извадки без писменото съгласие на лицето, подписало документа е забранено”.
Документите с класифицирана информация се съхраняват в щатно обособени структури наречени Регистратури за класифицирана информация. Завеждащият регистратурата и служителите в регистратурите отговарят за наличността, правилното отчитане, приемане, използване, разпределяне, раздаване, събиране и съхраняване на материалите. Съхраняват списъците на служителите, получили разрешение за достъп. Следят сроковете за защита. Организират предаване в архив на материалите с премахнато ниво на класификация и предлагат на Служителя по сигурност на информацията конкретни мерки за отстраняване на евентуални слабости или нарушения.
В регистратурите се водят отчетни документи, най-основни от които са: регистрите за регистриране на материалите, съдържащи класифицирана информация; регистри за регистриране на отчетни документи и сборове от документи; номенклатурен списък на видовете регистри; тетрадки за отразяване на движението на материалите в рамките на организационната единица; контролни листове за отразяване на запознаването с документите; картон-заместители за работа със сборове от документи; описи за предаване и получаване на материали. Служителят по сигурността на информацията определя кои от останалите отчетни документи да се завеждат в регистъра допълнително и утвърждава номенклатурен списък на регистрите за регистриране на материалите и на сборовете от документи.
Отчетните документи могат да се водят в електронен вид в Автоматизирана информационна система (АИС), когато е налице техническа възможност, а именно: да е сертифицирана от Специализирана дирекция “Технически операции” – ДАНС; да осигурява поддържане и отпечатване на данните и изход на данни във формат, установен от ДКСИ.
Материали, съдържащи класифицирана информация могат да се изпращат на други организационни единици, като се изготвят най-малко в два екземпляра. Предаването на класифицираните материали се извършва чрез специална куриерска служба, куриер от организационната единица или чрез автоматизирани информационни системи (АИС) или мрежи, а при обявено военно положение чрез военна пощенска свръзка.
Размножаване или правене на извадки може да се извършва ако няма изрично разпореждане, забраняващо размножаването на документи. При документи с ниво на класификация “Строго секретно” само след писмено разрешение на организационната единица, от която произхожда документа, което се прилага към оригинала, а на останалите нива след разрешение на ръководителя на организационната единица. Размножаването на създаден в организационната единица документ, съдържащ класифицирана информация, се извършва след разрешение на лицето, подписало документа. Върху документа, от който се правят копия се отбелязват датата на тяхното изготвяне; броят на копията; причината за размножаването; името на лицето, дало разрешение за размножаване; името и подписа на лицето, което е направило копията. На първата страница на всяко копие, горе вляво, се поставя пореден номер на копието.
Лицата получили достъп до класифицираните документи отговарят за тяхното опазване, като в края на работата с тях лично ги предават в регистратурата срещу подпис. При загубване незабавно трябва да уведомят завеждащия регистратурата и служителя по сигурността на информацията. Нямат право да разгласяват класифицирана информация и да изнасят, извън организационната единица. Нямат право да записват класифицирана информация на нерегистрирани предварително на отчет магнитни носители. Извадки от класифицирани документи се правят само на работни тетрадки, регистрирани в регистратурата. Нямат право да използват материали, съдържащи класифицирана информация, за явни публикации, дипломни работи, дисертации, доклади и др.
Служителят по сигурността на информацията осъществява контрол върху цялостната дейност и състоянието на класифицираната информация. Контролът бива текущ и периодичен, чрез годишни и ежемесечни вътрешни проверки.
Класификация на чувствителната информация
С цел да се гарантира достатъчна, адекватна и пропорционална на заплахите защита на информацията, се прави преценка на важността и чувствителността й, както и на нормативните изисквания към нея. Въз основа на тази преценка чувствителната информация се разделя в няколко категории. Когато е приложимо, тази класификация се пренася и върху всички ресурси, които участват в създаването, обработването, съхраняването, пренасянето, разпространението и унищожаването на информацията, и към тях се прилагат подходящи мерки за защита, съответстващи на заплахите.
1. TLP (traffic light protocol) – използва се при обмен на информация.
[TLP-RED] – Само за определени получатели: в контекста на една среща например информацията се ограничава до присъстващите на срещата.
[TLP-AMBER] е ограничено разпространение: получателят може да споделя тази информация с други хора от организацията, но само ако е спазен принципът „необходимост да се знае“.
[TLP-GREEN] е за широка общност: информацията в тази категория може да бъде разпространявана широко в рамките на дадена общност. Въпреки това информацията не може да бъде публикувана или поствана в интернет, както и изнасяна извън общността.
[TLP-WHITE] – неограничено: предмет на стандартните правила за авторско право; тази информация може да се разпространява свободно, без ограничения.
2. Препоръчителна класификация на чувствителната информация и изисквания към информационните и комуникационните системи за осигуряване на достъп до информацията:
„Ниво 0“ обхваща открита и общодостъпна информация (например публикувана на интернет страниците); предполага анонимно ползване на информацията и липса на средства за защита на конфиденциалността й; отговаря на TLP WHITE.
„Ниво 1“ е ограничено само до дадена общност; отговаря на TLP GREEN; получателите могат да споделят информация с класификация „Ниво 1“ с партньорски организации в рамките на своя сектор или общност, но не и чрез обществено достъпни канали. Това изисква ползвателите да се идентифицират, преди да изпълняват каквито и да са действия, контролирани от системата за достъп; за установяване на идентичността трябва да се използва защитен механизъм от типа идентификатор/парола.
„Ниво 2“ е разрешено само в рамките на организациите на участниците, обработващи, съхраняващи или обменящи информацията. Отговаря на TLP-AMBER с допълнително уточнение за ограничение на достъпа. Получателите могат да споделят информация с класификация „Ниво 2“ с членове на собствената си организация и с потребители или клиенти, които трябва да са запознати с нея, за да се защитят или да предотвратят допълнителни щети; източниците имат правото да определят допълнителни планирани граници на споделянето, които трябва да се спазват. Изисквания към информационните и комуникационните системи – в допълнение към изискванията към предишното ниво: като механизъм за проверка на идентичността да се използва удостоверение за електронен подпис, независимо дали е издадено за вътрешноведомствени нужди в рамките на вътрешна инфраструктура на публичния ключ, или е издадено от външен доставчик на удостоверителни услуги; при издаване на удостоверението издаващият орган проверява съществените данни за личността на ползвателя, без да е необходимо личното му присъствие; доверителната изчислителна система трябва да осигури реализация на принудително управление на достъпа до всички обекти; доверителната изчислителна система трябва да осигури взаимна изолация на процесите чрез разделяне на адресните им пространства.
„Ниво 3“ 2 е ограничено само до участниците, обработващи, съхраняващи или обменящи информацията; отговаря на TLP-RED. Източниците могат да използват класификация „Ниво 3“,когато информацията не може да бъде ефективно обменяна с други страни и би могла да доведе до въздействия върху неприкосновеността на личния живот, репутацията или операциите на дадена страна, ако с нея бъде злоупотребено. Получателите не могат да споделят информация, маркирана с „Ниво 3“, с която и да е страна извън конкретния обмен, обработка или съхранение. Изисквания към ИКТ системите – в допълнение към изискванията към предишното ниво: като механизъм за идентификация да се използва единствено удостоверение за универсален електронен подпис. При издаване на удостоверението да е гарантирана физическата идентичност на лицето. Доверителната изчислителна система трябва да бъде с проверена устойчивост към опити за проникване. Комуникацията между потребителя и системата да се осъществява по криптирани канали, използващи протокол Transport Layer Security (TLS), като минималната дължина на криптиращия ключ трябва да е поне 256 бита. Доверителната изчислителна система да има механизъм за регистрация на опити за нарушаване.