ITI wirft Bedenken auf, dass Indiens vorgeschlagene Cybersicherheitsrichtlinie die Sicherheitsziele untergraben könnte
NEW DELHI – Heute hat der globale Technologie-Handelsverband ITI Bedenken hinsichtlich der Richtlinie des indischen Computer Emergency Response Teams (CERT-In) in Bezug auf Informationssicherheitspraktiken, Verfahren, Prävention, Reaktion und Meldung von Cybervorfällen für Safe & Trusted Internet (öffnet in einem neuen Tab)In der Schreiben (öffnet in einem neuen Tab) Zu CERT-In betonte ITI seine Unterstützung der Bemühungen der Regierung, die Cybersicherheit zu verbessern, warnte jedoch, dass die derzeit ausgearbeiteten Bestimmungen, insbesondere die Berichtspflichten für Vorfälle, schwerwiegende Folgen für Unternehmen und Kunden haben könnten, ohne die echten Sicherheitsbedenken zu lösen.
"Als Hersteller und Nutzer von Cybersicherheitsprodukten und -diensten verfügen die Mitglieder von ITI über umfangreiche Erfahrung in der Zusammenarbeit mit Regierungen auf der ganzen Welt, um robuste und effektive Cybersicherheitsrichtlinien voranzutreiben und umzusetzen." sagte Kumar Deep, Country Manager von ITI, Indien. "Die Richtlinie hat das Potenzial, Indiens Cybersicherheitsposition zu verbessern, wenn sie angemessen entwickelt und umgesetzt wird, jedoch können bestimmte Bestimmungen in der Gesetzesvorlage, einschließlich kontraproduktiver Berichtspflichten für Vorfälle, sich negativ auf indische und globale Unternehmen auswirken und die Cybersicherheit untergraben." Wir fordern, dass die Regierung eine breitere Konsultation der Interessenvertreter mit der Industrie zulässt, bevor sie die Richtlinie finalisiert. Wir hoffen auf eine positive Reaktion der Regierung.
Zu den spezifischen Anliegen von ITI gehören die obligatorische Meldung von Cyber-Vorfällen innerhalb von 6 Stunden nach Bekanntgabe, die Anforderung, Protokolle aller IKT-Systeme zu aktivieren und sie während eines rollierenden Zeitraums von 180 Tagen sicher in der indischen Gerichtsbarkeit zu pflegen, die übertriebene Definition meldepflichtiger Vorfälle und die Anforderung, dass Unternehmen sich mit den Servern indischer Regierungsstellen verbinden müssen. In der Schreiben (öffnet in einem neuen Tab)ITI fordert, dass CERT-In Folgendes berücksichtigt:
- Verzögern Sie die Frist für die Umsetzung der genannten Richtlinie (derzeit 60 Tage nach dem 28. April 2022), um Zeit zu haben, um die aufgeworfenen Bedenken auszuräumen;
- Überarbeitung der Richtlinie im Hinblick auf die einschlägigen Bestimmungen in Bezug auf die Meldepflichten für Vorfälle, einschließlich in Bezug auf den Meldezeitraum, den Umfang der abgedeckten Vorfälle und die Anforderungen an die Lokalisierung von Protokolldaten; und
- Einleitung einer umfassenderen Konsultation der Interessenträger, um sicherzustellen, dass die Richtlinie in einem überarbeiteten Format wirksam umgesetzt werden kann, einschließlich der Eröffnung einer ausführlichen technischen Konsultation zur öffentlichen Beantwortung durch Cert-In.
Lesen Sie den vollständigen Brief unten oder Hier (öffnet in einem neuen Tab).
5. Mai 2022
Angesehener Dr. Sanjay Bahl ji,
Grüße von ITI. Der Information Technology Industry Council (ITI) ist der führende globale Verfechter von Technologie und repräsentiert die innovativsten Unternehmen der Welt.[1] 1916 gegründet, ist ITI ein internationaler Handelsverband mit einem Team von Fachleuten auf vier Kontinenten. Wir fördern öffentliche Richtlinien und Industriestandards, die Wettbewerb und Innovation weltweit fördern. Cybersicherheits- und Cybersicherheitstechnologie sind für ITI-Mitglieder von entscheidender Bedeutung, und unsere Mitglieder verfügen über umfangreiche Erfahrung in der Zusammenarbeit mit Regierungen auf der ganzen Welt, sowohl als Hersteller als auch als Nutzer von Cybersicherheitsprodukten und -diensten. Folglich war ITI eine führende Stimme bei der Förderung effektiver Ansätze für die Cybersicherheitspolitik weltweit.
Wir schreiben Ihnen über die jüngsten Anweisungen von Cert-In in Bezug auf Informationssicherheitspraktiken, Verfahren, Prävention, Reaktion und Meldung von Cyber-Vorfällen für Safe & Trusted Internet vom 28. April 2022 (die Richtlinie). Während wir anerkennen, dass Cert-In mit dieser Richtlinie versucht, die Cybersicherheit zu verbessern, befürchten wir, dass sich die Richtlinie in ihrer jetzigen Fassung und ohne wesentliche Überarbeitungen negativ auf indische und globale Unternehmen auswirken und die Cybersicherheit in Indien tatsächlich untergraben könnte. Insbesondere haben wir Bedenken hinsichtlich mehrerer Verpflichtungen zur Meldung von Vorfällen, einschließlich der obligatorischen Meldung von Cyber-Vorfällen innerhalb von 6 Stunden nach der Meldung, der Anforderung, Protokolle aller IKT-Systeme zu aktivieren und sie während eines rollenden Zeitraums von 180 Tagen sicher in der indischen Gerichtsbarkeit zu pflegen, der übertriebenen Definition meldepflichtiger Vorfälle und der Anforderung, dass Unternehmen sich mit den Servern indischer Regierungsstellen verbinden müssen. Wenn diese Bestimmungen nicht angesprochen werden, können sie schwerwiegende Folgen für Unternehmen und ihre globalen Kunden haben, ohne die echten Sicherheitsbedenken zu lösen. Wir nähern uns diesem nicht erschöpfenden Satz von Bestimmungen unten an.
- 6-Stunden-Berichtszeitplan (Teil ii). Wir erkennen an, dass die Meldung von Vorfällen eine Priorität für Indien und andere Regierungen auf der ganzen Welt ist, und haben globale Grundsätze für die Meldung von Vorfällen entwickelt, um die Entwicklung von Systemen zur Meldung von Vorfällen weltweit zu unterstützen, die den Regierungen helfen werden, Einblick in Vorfälle zu gewinnen und bei Aktivitäten zur Reaktion auf Vorfälle zu helfen. Wir empfehlen Cert-In, unsere Empfehlung zu berücksichtigen, einen Zeitraum von mindestens 72 Stunden für die Berichterstattung über Vorfälle festzulegen, der dem Schweregrad der Vorfälle in Übereinstimmung mit globalen Best Practices entspricht. Dadurch wird sichergestellt, dass sich Unternehmen darauf konzentrieren können, angemessen auf einen Vorfall zu reagieren, und dass alle Informationen, die der Regierung zur Verfügung gestellt werden, kontextualisiert werden.
- Anforderungen an die Protokollierung (Teil iv). Protokolle aller ICT-Systeme aller betroffenen Unternehmen zu ermöglichen, Protokolle der ICT-Systeme von Unternehmen „sicher für einen rollenden Zeitraum von 180 Tagen in Indien zu pflegen und sie der indischen Regierung auf Anfrage zur Verfügung zu stellen, ist keine bewährte Praxis. Es würde solche Repositorien von protokollierten Informationen zu einem Ziel für globale Bedrohungsakteure machen, zusätzlich zu erheblichen Ressourcen (sowohl menschliche als auch technische) zu implementieren.
- Definition des Vorfalls (Anhang I). Die derzeitige Definition von meldepflichtigen Vorfällen, die Aktivitäten wie Sondieren und Scannen einschließt, ist viel zu weit gefasst, da Sonden und Scans alltägliche Ereignisse sind. Es wäre nicht nützlich für Unternehmen oder Cert-In, Zeit damit zu verbringen, eine so große Menge an unbedeutenden Informationen zu sammeln, zu senden, zu empfangen und zu speichern, dass sie wohl nicht weiterverfolgt werden.
- Verbindung zu NTP-Servern (Teil i). Die Anforderung, dass „alle Dienstleister, Vermittler, Rechenzentren, Körperschaften und Regierungsorganisationen sich mit den NTP-Servern [von indischen Labors und anderen Einrichtungen] zur Synchronisierung aller ihrer ICT-Systemuhren verbinden müssen, ist sehr besorgniserregend, da dies unter anderem die Sicherheitsoperationen von Unternehmen sowie die Funktionalität ihrer Systeme, Netzwerke und Anwendungen beeinträchtigen könnte.
Mit dem oben genannten im Hinterkopf bitten wir, dass Cert-In:
- Verzögern Sie die Frist für die Umsetzung der genannten Richtlinie (derzeit 60 Tage nach dem 28. April 2022), um Zeit zu haben, um die aufgeworfenen Bedenken auszuräumen;
- Überarbeitung der Richtlinie im Hinblick auf die einschlägigen Bestimmungen in Bezug auf die Meldepflichten für Vorfälle, einschließlich in Bezug auf den Meldezeitraum, den Umfang der abgedeckten Vorfälle und die Anforderungen an die Lokalisierung von Protokolldaten; und
- Einleitung einer umfassenderen Konsultation der Interessenträger, um sicherzustellen, dass die Richtlinie in einem überarbeiteten Format wirksam umgesetzt werden kann, einschließlich der Eröffnung einer ausführlichen technischen Konsultation zur öffentlichen Beantwortung durch Cert-In.
Wir freuen uns auf Ihre Antwort und haben einen Dialog mit der Abteilung zu diesen Fragen zum frühestmöglichen Zeitpunkt. Bitte finden Sie unsere Koordinaten unten für weitere Engagement auf die Richtlinie.
Ehrlich gesagt,
Kumar Deep Courtney Lang
Country Manager, Indien Senior Director of Policy
ITI ITI
###
Related News & Analysis
Warum ein KI-„Notausschalter“ keine Universallösung ist
AI ist Supercharging Cyber Threats. Verteidiger brauchen neue Werkzeuge und Partnerschaften.
