Национална система за защита на класифицираната информация.

Класифицирана информацияпо смисъ­ла на българското законодателство е „информацията, представляваща държавна или служебна тайна, както и чуждестранната класифицирана информация”.  Държавните субекти формулират списък на категориите информация, под­лежащи на класификация като: държавна тайна, служебна тайна, чуждестранна класифицирана информация.

Държавна тайна е информацията, определена в този списък. Нерегламен­тираният достъп до нея би създал опасност за или би увредил интересите на Ре­публика България, свързани с националната сигурност, отбраната, външната политика или защитата на конституционно установения ред.

Служебна тайна е информацията, създавана или съхранявана от държав­ните органи или органите на местното самоуправление, която не е държавна тайна, нерегламентираният достъп до която би се отразил неблагоприятно на интересите на държавата или би увредил друг правозащитен интерес. Информацията, подлежаща на класификация като служебна тайна, се определя със закон. Съответно, ръководителят на организационната единица обявява със запо­вед списъка на категориите информация, подлежащи на класификация като слу­жебна тайна. Редът и начинът за обявяване на списъка се определят в правилника за прилагане на ЗЗКИ.

Чуждестранна класифицирана информация е класифицираната информация, предоставена от друга държава или международна организация по силата на международен договор, по който Републи­ка България е страна.

Класифициране на информацията е дейност, при която се установява;

1) попада ли конкретната информация в списъка на категориите информация съгласно приложение № 1 към чл. 25 на ЗЗКИ или в списъка по чл. 26, ал. 3 на ЗЗКИ;

2) налице ли е заплаха или опасност от увреждане или увреждане на интересите по т. 1 в съответната степен, определена съгласно чл. 28, ал. 2 и чл. 26, ал. 1 във връзка с § 1, т. 15 от допълнителните разпоредби на ЗЗКИ;

 3) дали нерегламентираният достъп до нея би създал опасност за интересите по т. 1. 4) налице ли са обществените интереси, подлежащи на защита съгласно чл. 25 и 26 във връзка с § 1, т. 13 и 14 от допълнителните разпоредби на ЗЗКИ. Информацията се класифицира според собственото й съдържание, а не според класификацията на информацията, на която се базира, или на информацията, за която се отнася.

Нива на класификация за сигурност на информацията

Информацията, класифицирана като държавна тайна, се маркира с гриф за сигурност с няколко нива: „Строго секретно“; „Секретно“; „Поверително“; „За служебно ползване“.

„Строго секретно“- в случаите, когато нерегламентиран достъп би застрашил в изключително висока степен суверенитета, независимостта или териториалната цялост на Република България или нейната външна политика и международни отношения, свързани с националната сигурност, или би могъл ла създаде опасност от възникване на непоправими или изключително големи вреди, или да причини такива вреди в областта на националната сигурност, отбраната, външната политика или защитата на конституционно установения ред.

„Секретно“ – в случаите, когато нерегламентиран достъп би застрашил лъв висока степен суверенитета, независимостта или териториалната цялост на Република България или нейната външна политика и международни отношения, свързани с националната сигурност, или би могъл да създаде опасност от възникване на трудно поправими или големи вреди, или да причини такива вреди в областта на националната сигурност, отбраната, външната политика или защитата на конституционо установения ред.

„Поверително“ – в случаите, когато нерегламентиран достъп би застрашил суверенитета, независимостта или териториалната цялост на Република България или нейната външна политика и международни отношения, свързани с националната сигурност, или би могъл да създаде опасност от възникване на вреди, или да причини такива вреди в областта на националната сигурност, отб­раната, външната политика или защитата на конституционно установения ред.

„За служебно ползване“ – информацията, класифицирана като служебна тайна.

С цел осигуряване на допълнителна защита, когато това се налага от харак­тера на информацията или когато е предвидено в международни договори, по които Република България е страна, ДКСИ по предложение на министъра на вътрешните работи, министъра на отбраната или директорите на службите за сигурност може да определи с решение:

• допълнителни маркировки на материали и документи с по-високо ниво на класификация от „Строго секретно“;
• специален ред за създаване, ползване, размножаване, предоставяне и съхраняване на тези материали и документи;
• кръга на лицата с право на достъп до тези материали и документи.

Приравняването на нивата на класификация за сигурност на получаваната чуждестранна класифицирана информация или на предоставяната от Република България на друга държава или международна организация такава информация в изпълнение на влязъл в сила международен договор за Република България и за съответната чужда държава или международна организация се осъществява в съответствие с разпоредбите на договора.

Ръководителят на съответната организационна единица обявява със заповед списъка на категориите информация, подлежащи на класификация като служебна тайна. Ръководител на държавен орган, управляващ правата на собственост на държавата в организационни единици — търговски дружества с повече от 51 на сто държавно участие, обявява със заповед общия списък на категориите класифицирана информация, съставляваща служебна тайна за от­расъла, подотрасъла или търговската дейност. Този списък съдържа само категории информация, създавана, обработвана и съхранявана в организационната единица, определени като тайна в специални закони. Ръководителят на организационната единица определя със заповед списък на длъжностите или задачите, за които се изисква достъп до класифицирана информация, представляваща служебна тайна. Той изпраща копие на този списък в ДКСИ.

Мерки за защита на класифицираната информация

Защита на информация от определен вид се осъществява при изпълнение на определените законови изисквания (класифицирана информация, лични данни, банкови тайни и т.н.) или по други съображения.

Видовете защита на информацията са: Физическа защита; Персонална сигурност; Документална сигурност; Защита на автоматизирани информационни системи и/или мрежи; Криптографска защита.

Физическа защита на информацията представлява система от технически и организационни мерки за предотвратяване на нерегламентиран достъп до сгради, помещения и съоръжения, в които се обработва информация.

• Основните организационни мерки на физическата защита са:
• Определяне на зоните с контролиран достъп;
• Определяне на помещенията, в които ще се обработват лични данни;
• Определяне на помещенията, в които ще се разполагат елементите на комуникационно-информационните системи за обработване на данни;
• Определяне на организацията на физическия достъп;
• Определяне на режима на посещения;
• Определяне на използваните технически средства за физическа защита;
• Определяне на екип за реагиране при нарушения.

Основните технически средства на физическата защита са: ключалки; шкафове; метални каси; оборудване на зоните с контролиран достъп; устройства за контрол на физическия достъп; охрана и/или система за сигурност; средства за защита на периметъра; пожарогасителни и пожароизвестителни системи; детектори за субстанции (метали, взривни вещества и др.).

Персонална сигурност представлява система от организационни мерки спрямо физическите лица, които обработват информация подлежаща на защита. Основните мерки на персоналната защита са:

•          Познаване на нормативната уредба в предметната област; Познаване на политиката и ръководствата за защита;

•          Знания за опасностите за информацията подлежаща на защита;

•          Споделяне на критична информация между персонала (напри идентификатори, пароли за достъп и т.н.);

•          Съгласие за поемане на задължение за неразпространение на информация; Обучение;

•          Тренировка на персонала за реакция при събития, застрашаващи сигурно на информацията.

Мерките за персонална защита гарантират достъпа до информация подлежаща на защита само на лица, чиито служебни задължения или конкретно възложена задача, налагат такъв достъп, при спазване на принципа „Необходимост да се знае“.

Документална сигурност представлява система от организационни мерки при сработването на лични данни на хартиен носител. Основните мерки на документалната защита са:

•          Определяне на регистрите (информацията), които ще се поддържат на хартиен носител;

•          Определяне на условията за обработване на информацията;

•          Регламентиране на достъпа до регистрите; Контрол на достъпа до регистрите; Определяне на срокове за съхранение;

•          Правила за размножаване и разпространение; е Процедури за унищожаване; Процедури за проверка и контрол на обработването.

Защита на автоматизираните информационни системи и/или мрежи представлява система от технически и организационни мерки за защита, като:

• политика за защита на информацията;
• стандартни операционни процедури;
• управление на регистрите;
• определяне на роли и отговорности;
• идентификация и автентификация; контроли на сесията и външните връзки, отдалечен достъп;
• защита от вируси;
• поддържане и експлоатация, резервни копия за възстановяване, носители на информация;
• обучение и тренировка на персонала за реакция при събития, застрашаващи сигурността на данните;
• процедури за унищожаване/заличаване/изтриване на носители.

Криптографската защита представлява система от технически и организационни мерки, които се прилагат с цел защита на личните данни от нерегламентиран достъп при предаване, разпространяване или предоставяне. Основните мерки на криптографската защита са:

•          стандартните криптографски възможности на операционните системи;

•          стандартните криптографски възможности на системите за управление на бази данни;

•          стандартните криптографски възможности на комуникационно оборудване;

•          други системи за криптиране на информацията;

•          системи за разпределение и управление на криптографските ключове;

•          нормативно определените системи за електронен подпис.

В системата за защита на класифицираната информация има два основни  механизма: – общодържавен  и специализиран.

Общодържавния механизъм за защита на класифицираната информация включва: законодателни дейности (ЗЗКИ, ППЗЗКИ, наредбите по видовете сигурност, задължителните указания на ДКСИ и международните договори) и дейности от наказателно-правен характер в които влизат текстовете от Наказателния кодекс, които третират материята свързана с нарушенията и престъпленията по опазване на класифицираната информация и разпоредбите от глава 8 на ЗЗКИ.

Специализиран механизъм от мерки за защита на класифицирана информация включва всички оперативноиздирвателни дейности на специализираните служби и техни важни функции са:

– превантивна, изразяваща се в долавяне и разкриване на признаци за изтичане на информация и сриване на системата за защита на КИ и предприемане на мерки за предотвратяването;

– издирвателна, състояща се в установяване на неизвестни или известни автори , имащи намерения да извършат посегателство над системата за защита на КИ;

– сигнална, която се осъществява чрез информиране на държавните органи за възникнали заплахи за системата за защита на КИ;

– методическа, оказване на помощ от страна на ДКСИ службите за сигурност към другите държавни органи от системата за защита на КИ;

– координираща, предполагаща извършване на дейности, свързани със съгласуване на задачите и формите за участие на звената от държавния апарат в системата за защита на КИ;

– контролна, изразяваща се в реализиране на различни видове проверки за разкриване на нарушения и слабости в прилагане на нормативните документи по защита на КИ.

Органи по информационната сигурност

Системата от органи за защита на класифицираната информация обхваща:

1. Народното събрание (НС), което приема законите в областта на защитата на класифицираната информация, техните изменения и допълнения.

 2.Министерския съвет (МС), който определя насоките на националната политика за защита на класифицираната информация.

3.Държавната комисия по сигурността на информацията (ДКСИ) е водещият държавен орган, който осъществяващ политиката на Република България за защита на класифицираната информация (чл.4, ал.1 от ЗЗКИ). 

• Тя осъществява общ контрол по  защита на класифицираната информация, съхранявана, обработвана и пренасяна в АИС или мрежи.
• Отговаря за процеса на акредити­ране на АИС или мрежи. Орган по акредитиране на сигурността на АИС или мрежи (ОАС) е Дирекция Защита на средствата за връзка (ДЗСВ) на Министер­ството на вътрешните работи.
• Има правомощия да издава персонални разрешения за достъп до класифицирана информация и  сертификати за достъп до класифицирана информация на ЕС и НАТО, общо ръководство на процедурите по проучване, унищожаване на оригинални документи, разглеждане на жалби, организиране на обучения за работа с класифицирана информация.
• Организира и осигурява функционирането на регистратурите в областта на международните отношения. Води регистри на издадените, отнетите или прекратени разрешения. 
• Осъществява методическо ръководство спрямо служителите по сигурността на информацията.
• Взаимодейства с останалите органи по информационна сигурност на Министерство на отбраната, Министерство на Вътрешните работи, Министерство на Външните работи, Службите за сигурност и обществен ред.

Фиг.27: Взаимодействие на  ДКСИ с останалите органи за информационна сигурност[1]

ДКСИ е колективен орган с  Председател, главен секретар, обща и специализирана администрация, звено за вътрешен одит и финансов контрольор с 298  щатни бройки. За осъществяване на граждански контрол Председателят на ДКСИ представя пред Министерския съвет годишен доклад за състоянието на цялата система за защитата на класифицираната информация, който след това се представя в Народното събрание за приемане с решение. Председателят на ДКСИ предоставя еднаква по обем и съдържание информация на председателя на Народното събрание, президента и министър-председателя на Република България.

4.Службите за сигурност определени с чл.16, ал.2 от ЗПКОНПИ, като Държавна агенция „Национална сигурност” (ДАНС); Национална разузнавателна служба (НРС); Национална служба за охрана (НСО);  Служба „Военна информация” (СВИ); Държавна агенция „Технически операции“ (ДАТО) имат правомощия да провеждатпроучвания  за персонална сигурност,  проучвания по индустриална сигурност, дейности по сигурност на АИС и мрежи, дейности по криптографска сигурност, осъществяват превантивна и контролна дейност. 

5.Държавна агенция “Национална сигурност” (ДАНС) извършва разширеното и специално проучване за надеждност на лицата, на които е необходимо да работят с класифицирана информация, издава, прекратява, отнема или отказва разрешение за достъп до съответното ниво на класификация. Издава потвърждение на чуждестранни физически или юридически лица, въз основа на издадено вече разрешение или удостоверение от съответния компетентен орган на друга държава или международна организация и след извършено проучване в Република България.  Осъществява пряк контрол по защита на класифицираната информация и по спазването на законовите разпоредби в тази област. Осъществява дейностите по криптографската защита на класифицираната информация съгласно Закона за Държавна агенция “Национална сигурност”. Издава сертификат за сигурност на автоматизираните информационни системи или мрежи, използвани за работа с класифицирана информация. Координира и контролира дейността по защита от паразитни електромагнитни излъчвания на техническите средства, обработващи, съхраняващи и пренасящи класифицирана информация. Осъществява и контролира обучението за работа с криптографски методи и средства на лицата, получили разрешение за достъп до класифицирана информация.

6.Орган по акредитиране на сигурността (ОАС) на АИС или мрежи в Република България е специализирана дирекция „Технически операции“ на Държавна агенция „Национална сигурност„.^[2]  В съответствие с приетата процедура за акредитиране се извършва комплексна оценка на АИС или мрежата, преди въвеждането й в експлоатация. При положителна комплексна оценка ОАС издава сертификат за сигурност на АИС или мрежата за работа с класифицирана информация. Контролира дейностите по защита от паразитни електромагнитни излъчвания и осъществява обучението за работа с криптографски методи и средства.

7.Службите  за обществен ред ( чл. 15 -чл. 16 от ЗЗКИ), като Главна дирекция „Национална полиция“,  Главна дирекция „Гранична полиция“, Главна дирекция „Пожарна безопасност и защита на населението“, Областните дирекции на МВР и Служба „Военна полиция“–  МО имат правомощия да правят проучвания  по персонална сигурност на своите служители и на кандидатите за работа, като издават, прекратяват и отнемат разрешенията на тези лица и съдействат на службите за сигурност.

8.Ръководителят на организационната единица ръководи, организира и контролира дейността по защита на класифицираната информация. Той е отговорен за създаването, установяването и поддръжката на политиката (стратегията) за защита на класифицирана информация и в частност, за внедряването на стандартите, ръководствата и процедурите, касаещи цялата организация и обучение на подчинените им служители.

9.Служител по си­гурността на информацията (ССИ) се назначава от ръководителя на организационната единица. Той трябва да е български гражданин, да е преминал обучение и получилразрешение за достъп до класифицирана информация, издадено от ДКСИ. По изключение, в зависимост от нивото и обема на класифицираната информация, ръководителят на организационната единица може да изпълнява функциите на служител по си­гурността на информацията, ако отговаря на описаните в закона изисквания. Служителят по сигурността на информацията е пряко подчинен на ръководите­ля на организационната единица. Той осъществяват дейността по спазване и прилагане на всички    мерки за защита на класифицираната информация в организационната единица и в нейната регистратура. Извършват процедура по проучване за надеждност на служителите в организационната единица и водят регистър на проучените лица.

Фиг. 28: Органи, работещи по информационната сигурност[3]

10.Орган по сигурността на АИС и мрежи се назначава при наличие на системи и мрежи със заповед на ръководителя на организационната единица по предложение на Служителя по сигурността на информацията. Той е отговорен за устано­вяването на политиката за сигурност на АИС или мрежи в организационната единица. Той изготвя процедурите за сигурността на АИС или мрежата и определя изискванията за сигурност, произтичащи от общата политика за сигурност на организационната единица и изработва на тяхна основа експлоатационни документи по сигурността, координира обучението по сигурността на АИС или мрежи, осъществява контрол за спазване на изискванията за сигурност, разследва обстоятелствата, свързани с компрометиране на сигурност­та и докладва за резултатите на служителя по сигурността на информацията в организационната единица, който уведомява ОАС – Органа по администриране на сигурността към ДАНС.

11. Органът по развитие и експлоатация на АИС и мрежи в организационната единица участва в определянето на политиката за сигурност на АИС или мрежи в организационната единица. Изготвя документите по сигурността на АИС или мрежата. Осигурява изпълнението на изискванията за акредитиране на АИС или мрежи и прави заявки за допълнително акредитиране на АИС или мрежата, когато това е необходимо. Участва в определянето на мерките за сигурност и границите на отговорност при осъществяване на връзки с други АИС или мрежи. Прави предложение за възлагане функции на администратор по сигур­ността на АИС или мрежата и осигурява подготовката му. Организира и провежда обучение по сигурността в АИС или мрежи на служителите в ОРЕ и на потребителите на АИС или мрежата. Прилага одобрените мерки за сигурност в АИС или мрежата. Прави преглед на свързаната със сигурността документация периодично или при предложени промени в техническото или програмното осигуря­ване, връзките с други АИС или мрежи, режима за сигурност, нивото на класификация на информацията или при други дейности, които могат да повлияят на сигурността на АИС или мрежата, като за резултатите ин­формира служителя по сигурността на АИС или мрежи. Участва заедно със служителя по сигурността на АИС или мрежи в установяването на обстоятелствата, свързани с компрометиране сигурността на АИС или мрежи.

12. Със заповед на ръководителя на организационната единица, съгласувано със служителя по сигурността на информацията, се възлагатфункции на администратор по сигурността на АИС или мрежата. При необходимост могат да се определят повече от един администратор по сигурността, отговарящи за обособени части, като един от тях се определя за администратор по сигурността на цялата АИС или мрежа. Задълженията на администратора по сигурността на АИС или мрежата и на администратора на АИС или мрежата трябва да са ясно разграничени. Администраторът по сигурността на АИС или мрежата трябва да има раз­решение за достъп до най-високото ниво на класифицирана информация в АИС или мрежата. Когато автоматизираната мрежа обхваща няколко организацион­ни единици, всяка от тях определя администратор по сигурността за нейната част от мрежата. Той следи за спазването на мерките и процедурите за сигурност при инс­талирането, конфигурирането, поддръжката и промените в АИС или мрежата. Управлява, наблюдава и анализира свързаните със сигурността одитни записи на системата и при констатиране или при съмнения за компрометиране на сигурността докладва на ОРЕ и на служителя по сигурността на АИС или мрежи. Осигурява резервиране и съхраняване на одитните записи в опреде­лените срокове. Участва заедно със служителя по сигурността на АИС или мрежи и с ОРЕ в установяването на обстоятелствата, свързани с компрометиране на сигурността на АИС или мрежата. Изпълнява функциите на администратор по криптографска защита на информацията, ако в АИС или мрежата се прилагат криптографски методи и средства.

13. Потребителите на АИС или мрежата също трябва да имат издадено разрешение за достъп до информация за да получат право да работят в АИС или мрежата. Те също трябва да са преминали обучение в областта на сигурността на АИС или мрежа и да са получили права за достъп до ресурсите на АИС или мрежа. Потребителите изпълняват задълженията, посочени в експлоатационните документи и указанията на администратора по сигурността на АИС или мрежа, като незабавно го уведомяват при съмнения за компрометиране сигурността.

ЦЯЛОСТНАТА ЗАЩИТА НА КЛАСИФИЦИРАНАТА ИНФОРМАЦИЯ Е БАЗИРАНА НА ЕДИН ОСНОВЕН ПРИНЦИП

„НЕОБХОДИМОСТ ДА СЕ ЗНАЕ“!!

---

[1]https://www.dksi.bg/media/1665/националнасистемазазащитанакласифициранатаинформация.pdf

^[2] Наредба за АИС или мрежи, Раздел II: Чл. 3. (1) (Изм. – ДВ, бр. 44 от 2008 г.) Орган по акредитиране на сигурността на АИС или мрежи (ОАС) по смисъла на наредбата е специализирана дирекция “Технически операции“ на Държавна агенция „Национална сигурност“.

В първоначално приетите варианти на ЗЗКИ и Наредба за АИС или мрежи, Орган по акредитиране на сигурността на АИС или мрежи в Република България е дирекция Защита на средствата за връзка (ДЗСВ) на Министерството на вътрешните работи, впоследствие преминала към ДАНС.

[3]https://www.dksi.bg/media/1665/националнасистемазазащитанакласифициранатаинформация.pdf