Articolul 10

a) normele de securitate se vor supune managementului de risc;

b) normele de securitate vor fi elaborate în conformitate cu Legea nr. 182/2002 privind protecția informațiilor clasificate, Legea nr. 676/2001 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul telecomunicatiilor, cu modificările ulterioare, Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date și cu Legea nr. 544/2001 privind liberul acces la informațiile de interes public;

c) normele de securitate vor trebui sa acopere întreaga sfera de manipulare a informațiilor;

d) normele de securitate cuprind asigurarea unei structuri de securitate proprii specializate pentru Sistemul informatic integrat;

e) normele de securitate cuprind existenta unui audit intern și acreditare de securitate din partea unui organism independent;

f) rapoartele de securitate semestriale vor fi aduse la cunoștința structurilor de securitate ce răspund de protecția informațiilor stocate în cadrul sistemelor de prelucrare automată a datelor (INFOSEC) din instituțiile participante;

g) depășirea unei bariere de securitate trebuie să declanseze o alarma și contramasuri înainte de a se aduce prejudicii;

h) informațiile vor avea etichete privind nivelul de protecție necesar și vor conține date privind drepturile de acces;

i) revizuirea nivelurilor de acces al diferiților participanți la un anumit interval de timp, în funcție de tipul informatiei pe care aceștia îl solicita sau au dreptul sa îl solicite, cat și din punct de vedere al caracteristicilor informațiilor pe care aceștia le incarca în sistem, norma similară cu prevederile documentului CM 49(2002) al Organizației Tratatului Atlanticului de Nord;

j) sistemul trebuie să ofere suport tehnic pentru controlul accesului, trasabilitatea informațiilor și a activităților;

k) normele și procedurile de securitate vor trebui să ofere suport pentru procedurile administrative, pentru îndeplinirea politicii de securitate pe toată durata de viața a sistemului și a suporturilor informatiei;

l) accesul va fi permis exclusiv persoanelor acreditate de la terminale acreditate; accesul unor persoane la baza de date comuna de la alte terminale decât cele desemnate va fi permis numai în baza unor aprobări temporare speciale;

m) sistemul de securitate va face o delimitare clara între informațiile publice (cu acces liber) și informațiile pentru care trebuie păstrată confidențialitatea (se vor pune în practica prevederile Legii nr. 544/2001 și Legii nr. 677/2001 );

n) pentru evaluarea sistemelor de securitate se va pleca de la Criteriile comune adoptate și folosite în țările integrate în structurile euroatlantice, iar acreditarea acestora va trebui facuta de O.R.N.I.S.S. în conformitate cu prevederile Hotărârii Guvernului nr. 353/2002 pentru aprobarea Normelor privind protecția informațiilor clasificate ale Organizației Tratatului Atlanticului de Nord în România și ale Ordonanței de urgenta a Guvernului nr. 153/2002 privind organizarea și funcționarea Oficiului Registrului Național al Informațiilor Secrete de Stat, aprobată prin Legea nr. 101/2003 ;

o) drepturile de acces în Centrul de management al Sistemului informatic integrat vor fi acordate în funcție de evaluarile independente de securitate obținute de fiecare locatie conectata la Centrul de management și de rețeaua de conectare aferentă. Centrul de Management va tine evidenta tuturor statiilor conectate în sistem.

a) disponibilitatea informatiei fiecărui beneficiar în momentul în care acesta are nevoie de ea;

b) confidențialitatea, prin păstrarea secretului tranzacțiilor și al conținutului informațiilor față de un intrus sau față de un utilizator neautorizat;

c) integritatea, prin păstrarea informațiilor cu conținutul și forma date de autor;

d) autenticitatea, astfel încât informația introdusă sau furnizată de Sistemul informatic integrat trebuie păstrată în legătură cu informația de autor;

e) nerepudierea; sistemul va trebui să asigure mecanismul prin care atât autorul, cat și utilizatorul informatiei sa nu poată sa conteste faptul ca a initiat informația sau ca a utilizat-o.

a) protecția fizica a ariilor de lucru, a echipamentelor, a suporturilor de memorie, a canalelor de comunicație etc. se va realiza prin barierele fizice de separare a ariilor de protecție, cu delimitarea clara a tuturor punctelor de acces, metodele de control al accesului și politica de acces în ariile protejate și la echipamente;

b) protecția personalului va stabili criteriile de verificare, va urmări acreditarea personalului de deservire, întreținere și dezvoltare a Sistemului informatic integrat și va defini categoriile de personal ce au acces la echipamente pentru operare sau întreținere, nivelurile de verificare și drepturile de acces în sistem, la informații și aplicații. Protocoalele de acces vor stabili modul de schimbare a informațiilor între Sistemul informatic integrat și parteneri privind drepturile de acces convenite;

c) protecția împotriva scurgerii de informații prin emisii electromagnetice parazite (TEMPEST), care va include evaluări de susceptanta și compatibilitate electromagnetica, iar în sistemele care vor prelucra sau tranzita informații clasificate se vor face și măsurători și evaluări TEMPEST;

d) protecția administrativă va urmări integrarea sarcinilor de securitate ce deriva din politica de securitate și documentele aferente în proceduri operationale de securitate și în fișele de post pentru toți lucrătorii;

e) protecția comunicațiilor (COMSEC) care dezvolta politica de protecție a mesajelor transmise prin rețele de comunicații împotriva interceptarii, incluzând toate măsurile de protecție a transmisiilor, canalelor și echipamentelor ce deservesc comunicațiile;

f) protecția informațiilor în format electronic (INFOSEC), care va dezvolta politica de protecție a echipamentelor de calcul și a suporturilor de memorie, instituie mecanismul de securitate independent de administratorul de sistem, reglementează subordonarea administratorului de sistem și a administratorului de securitate (ofițerul de securitate al sistemului) și stabilește atribuțiile specifice fiecăruia;

g) protecția criptografica, care va face managementul și urmărirea materialelor criptografice (echipamente de criptare, generare și distribuție de chei de criptare), va stabili regulile de utilizare a echipamentelor criptografice în conformitate cu politica generală de securitate.