ITI aumenta la preocupación de que la Directiva de Seguridad Cibernética propuesta por la India podría socavar los objetivos de seguridad
NEW DELHI – Hoy en día, la asociación de comercio de tecnología global ITI delineó preocupaciones a la directiva del Equipo de Respuesta de Emergencia Computadora India (CERT-In) relacionada con Prácticas de seguridad de la información, procedimiento, prevención, respuesta e información sobre incidentes cibernéticos para Internet seguro (se abre en una pestaña nueva)En el carta (se abre en una pestaña nueva) a CERT-In, ITI destacó su apoyo al esfuerzo del gobierno para mejorar la ciberseguridad, pero advirtió que actualmente redactadas disposiciones, específicamente las obligaciones de reporte de incidentes, pueden tener graves consecuencias para empresas y clientes sin resolver las preocupaciones reales de seguridad.
“Como productores y usuarios de productos y servicios de ciberseguridad, los miembros de ITI tienen una amplia experiencia trabajando con gobiernos de todo el mundo para avanzar e implementar políticas de ciberseguridad sólidas y eficaces”, dijo Kumar Deep, jefe de país de ITI, India. “La Directiva tiene el potencial de mejorar la postura de seguridad cibernética de la India si se desarrolla y aplica adecuadamente, sin embargo ciertas disposiciones del proyecto de ley, incluyendo requisitos de denuncia de incidentes contraproducentes, pueden afectar negativamente a las empresas indias y mundiales y socavar la ciberseguridad. Solicitamos que el gobierno permita una consulta más amplia de los interesados con la industria antes de finalizar la directiva. Esperamos una respuesta gubernamental favorable”.
Las preocupaciones específicas de ITI incluyen la presentación obligatoria de incidentes cibernéticos dentro de las 6 horas siguientes a la notificación, el requisito de permitir registros de todos los sistemas de TIC y mantenerlos de forma segura dentro de la jurisdicción india durante un período de rodadura de 180 días, la definición general de incidentes reportables, y el requisito de que las empresas se conecten a los servidores de entidades del gobierno indio. En el carta (se abre en una pestaña nueva), ITI solicita que CERT-In considere lo siguiente:
- Retrasar el período de aplicación de la Directiva declarada (actualmente 60 días después del 28 de abril de 2022) para permitir tiempo para abordar las preocupaciones planteadas;
- Revise the Directive to address the concerning provisions with regard to incident reporting obligations, including related to the reporting timeline, scope of covered incidents and logging data localization requirements; and
- Inicie una consulta más amplia a los interesados para asegurar que la Directiva pueda aplicarse eficazmente en un formato revisado, incluyendo que Cert-In abra una consulta técnica detallada para la respuesta pública.
Lea la carta completa a continuación o Aquí. (se abre en una pestaña nueva).
5 de mayo, 2022
Respetó al Dr. Sanjay Bahl ji,
Saludos de ITI. El Consejo de la Industria de la Información (ITI) es el principal defensor mundial de la tecnología, que representa a las empresas más innovadoras del mundo.[1] Fundada en 1916, ITI es una asociación comercial internacional con un equipo de profesionales en cuatro continentes. Promovemos políticas públicas y estándares industriales que promuevan la competencia y la innovación en todo el mundo. La tecnología de ciberseguridad y ciberseguridad son fundamentales para los miembros de ITI, y nuestros miembros tienen una amplia experiencia trabajando con gobiernos de todo el mundo como productores y usuarios de productos y servicios de ciberseguridad. En consecuencia, el ITI ha sido una voz líder en promover enfoques eficaces de la política de ciberseguridad a nivel mundial.
Le escribimos en relación con las recientes instrucciones emitidas por Cert-In en relación con las prácticas, procedimientos, prevención, respuesta e información sobre incidentes cibernéticos para Internet Seguro " , emitida el 28 de abril de 2022 (la Directiva). Si bien apreciamos que con esta Directiva Cert-In busca mejorar la ciberseguridad, tememos que como está redactado y sin revisiones significativas la Directiva pueda afectar negativamente a las empresas indias y mundiales y en realidad socavar la ciberseguridad en la India. En particular, nos preocupan varias de las obligaciones en materia de presentación de informes sobre incidentes, incluida la obligación de informar sobre incidentes cibernéticos dentro de las 6 horas siguientes a la notificación, el requisito de habilitar registros de todos los sistemas de TIC y mantenerlos en forma segura dentro de la jurisdicción india durante un período de rodadura de 180 días, la definición general de incidentes denunciables y el requisito de que las empresas se conecten con los servidores de las entidades gubernamentales indias. Si no se abordan estas disposiciones pueden tener graves consecuencias para las empresas y sus clientes mundiales sin resolver las preocupaciones reales de seguridad. Más detalles sobre este conjunto no exhaustivo de disposiciones a continuación.
- Plazo de presentación de informes de 6 horas (parte ii). Reconocemos que la notificación de incidentes es una prioridad para la India y otros gobiernos de todo el mundo y hemos elaborado Principios de política de información sobre incidentes globales para ayudar a orientar el desarrollo de regímenes de denuncia de incidentes a nivel mundial que ayudarán a los gobiernos a aumentar la visibilidad en incidentes y ayudar en actividades de respuesta a incidentes.[2] Alentamos a Cert-In a que tenga en cuenta nuestra recomendación de establecer plazos factibles de presentación de informes de incidentes de al menos 72 horas, en consonancia con los niveles de gravedad de incidentes en consonancia con las mejores prácticas mundiales. Hacerlo se asegurará de que las empresas puedan centrarse en responder adecuadamente a un incidente y de que se contextualice cualquier información proporcionada al gobierno.
- Necesidades de registro (parte iv). Para permitir registros de todos los sistemas de TIC de las entidades cubiertas, mantener registros de los sistemas de TIC de las entidades “seguramente por un período de rodadura de 180 días” dentro de la India, y ponerlos a disposición del gobierno indio a solicitud no es una práctica óptima. Haría que esos depósitos de información registrada fueran un objetivo para los agentes mundiales de amenazas, además de exigir recursos significativos (tanto humanos como técnicos) para aplicar.
- Definición de incidentes (anexo I). La definición actual de incidentes reportables para incluir actividades tales como probing y escaneo es demasiado amplia dadas sondas y los escaneos son ocurrencias cotidianas. No sería útil que las empresas o Cert-In pasaran tiempo reuniendo, transmitiendo, recibiendo y almacenando un volumen tan grande de información insignificante que supuestamente no será seguida.
- Conexión a servidores NTP (parte i). El requisito de que “todos los proveedores de servicios, intermediarios, centros de datos, organizaciones corporativas corporales y gubernamentales se conectarán a los servidores NTP [de laboratorios indios y otras entidades] para la sincronización de todos sus relojes de sistemas TIC” es muy preocupante porque podría afectar negativamente las operaciones de seguridad de las empresas, así como la funcionalidad de sus sistemas, redes y aplicaciones, entre otras razones.
Teniendo en cuenta lo anterior, solicitamos que Cert-In:
- Retrasar el período de aplicación de la Directiva declarada (actualmente 60 días después del 28 de abril de 2022) para permitir tiempo para abordar las preocupaciones planteadas;
- Revise the Directive to address the concerning provisions with regard to incident reporting obligations, including related to the reporting timeline, scope of covered incidents and logging data localization requirements; and
- Inicie una consulta más amplia a los interesados para asegurar que la Directiva pueda aplicarse eficazmente en un formato revisado, incluyendo que Cert-In abra una consulta técnica detallada para la respuesta pública.
Esperamos que su respuesta y el diálogo con el Departamento sobre estas cuestiones lo antes posible. Por favor encuentre nuestras coordenadas a continuación para mayor compromiso en la Directiva.
Sinceramente,
Kumar Deep Courtney Lang
Country Manager, India Senior Director of Policy
ITI ITI
###
Related News & Analysis
Por qué un «interruptor de apagado» de IA no es una solución universal
AI es Supercarging Cyber Threats. Los defensores necesitan nuevas herramientas y asociaciones.
