L'ITI suscite des inquiétudes quant au fait que le projet de directive sur la cybersécurité de l'Inde pourrait sous-estimer les objectifs de sécurité
NEW DELHI – Aujourd'hui, l'association internationale de la technologie ITI a exposé ses préoccupations à la directive de l'équipe indienne d'intervention en cas d'urgence informatique (CERT-In) relative à Pratiques de sécurité de l'information, procédures, prévention, intervention et signalement des cyberincidents pour Internet sécurisé et fiable (s’ouvre dans un nouvel onglet). Dans le Lettre (s’ouvre dans un nouvel onglet) à CERT-In, ITI a souligné son soutien aux efforts du gouvernement pour améliorer la cybersécurité, mais a averti que les dispositions actuellement rédigées, en particulier les obligations de déclaration des incidents, peuvent avoir de graves conséquences pour les entreprises et les clients sans résoudre les véritables problèmes de sécurité.
En tant que producteurs et utilisateurs de produits et services de cybersécurité, les membres de l'ITI ont une vaste expérience de travail avec les gouvernements du monde entier pour faire avancer et mettre en œuvre des politiques de cybersécurité robustes et efficaces, Kumar Deep, directeur de pays d'ITI, Inde. La directive a le potentiel d'améliorer la position de l'Inde en matière de cybersécurité si elle est développée et mise en œuvre de façon appropriée, mais certaines dispositions du projet de loi, y compris les exigences de déclaration des incidents contreproductifs, peuvent avoir des répercussions négatives sur les entreprises indiennes et mondiales et saper la cybersécurité. Nous demandons que le gouvernement autorise une consultation plus large des intervenants avec l'industrie avant de finaliser la directive. Nous espérons une réponse favorable du gouvernement.
Les préoccupations spécifiques de l'ITI comprennent la déclaration obligatoire des cyberincidents dans les 6 heures suivant la notification, l'exigence de permettre l'enregistrement de tous les systèmes de TIC et de les maintenir en sécurité dans la juridiction indienne pendant une période de 180 jours, la définition trop large des incidents à déclarer et l'exigence selon laquelle les entreprises se connectent aux serveurs des entités gouvernementales indiennes. Dans Lettre (s’ouvre dans un nouvel onglet), ITI demande au CERT-In d'examiner ce qui suit :
- Retarder la période de mise en œuvre de la directive énoncée (actuellement 60 jours après le 28 avril 2022) pour donner le temps de répondre aux préoccupations soulevées;
- Réviser la directive pour tenir compte des dispositions concernant les obligations en matière de déclaration des incidents, y compris en ce qui concerne le calendrier de déclaration, la portée des incidents couverts et les exigences de localisation des données d'enregistrement;
- Lancer une consultation plus large des parties prenantes afin que la directive puisse être effectivement mise en œuvre dans un format révisé, y compris que le Cert-In ouvre une consultation technique détaillée pour répondre au public.
Lire la lettre complète ci-dessous ou Ici. (s’ouvre dans un nouvel onglet).
5 mai 2022
Respecté Dr Sanjay Bahl ji,
Salutations de l'ITI. Le Conseil de l'industrie des technologies de l'information (ITI) est le premier défenseur mondial de la technologie, représentant les entreprises les plus innovantes du monde[1]. Fondée en 1916, ITI est une association commerciale internationale avec une équipe de professionnels sur quatre continents. Nous encourageons les politiques publiques et les normes industrielles qui favorisent la concurrence et l'innovation dans le monde entier. La cybersécurité et la technologie de cybersécurité sont essentielles pour les membres de l'ITI, et nos membres ont une vaste expérience de travail avec les gouvernements du monde entier en tant que producteurs et utilisateurs de produits et de services de cybersécurité. Par conséquent, l'ITI a joué un rôle de premier plan dans la promotion d'approches efficaces de la politique de cybersécurité à l'échelle mondiale.
Nous vous écrivons au sujet des dernières instructions émises par Cert-In concernant les pratiques, procédures, prévention, intervention et signalement des cyberincidents pour Internet sécurisé et fiable émises le 28 avril 2022 (la directive). Bien que nous sachions qu'avec cette directive Cert-In vise à améliorer la cybersécurité, nous craignons que la directive, telle qu'elle a été rédigée et sans révisions importantes, n'ait des répercussions négatives sur les entreprises indiennes et mondiales et ne porte atteinte à la cybersécurité en Inde. En particulier, nous sommes préoccupés par plusieurs des obligations en matière de déclaration des incidents, y compris la déclaration obligatoire des incidents cybernétiques dans les 6 heures suivant la notification, l'exigence de permettre l'enregistrement de tous les systèmes de TIC et de les maintenir en sécurité dans la juridiction indienne pendant une période de 180 jours, la définition trop large des incidents à déclarer et l'exigence selon laquelle les entreprises se connectent aux serveurs des entités gouvernementales indiennes. Si elles ne sont pas traitées, ces dispositions peuvent avoir de graves conséquences pour les entreprises et leurs clients mondiaux sans résoudre les véritables problèmes de sécurité. Nous exposons en outre cette série non exhaustive de dispositions ci-après.
- Délai de déclaration de 6 heures (partie ii). Nous reconnaissons que la notification d'incidents est une priorité pour l'Inde et d'autres gouvernements du monde entier et nous avons élaboré des principes de politique générale en matière de déclaration d'incidents pour aider à orienter l'élaboration de régimes de déclaration d'incidents à l'échelle mondiale qui aideront les gouvernements à se faire une idée des incidents et de l'aide qu'ils apportent aux activités d'intervention en cas d'incident[2]. Nous encourageons Cert-In à tenir compte de notre recommandation d'établir des délais de déclaration des incidents réalisables d'au moins 72 heures, en fonction des niveaux de gravité des incidents, conformément aux meilleures pratiques mondiales. Ce faisant, les entreprises seront en mesure de se concentrer sur la réponse appropriée à un incident et toute information fournie au gouvernement sera mise en contexte.
- Exigences relatives à l'exploitation forestière (partie iv). Pour permettre des registres de toutes les entités couvertes des systèmes TIC, tenir des registres d'entités des systèmes TIC en toute sécurité pour une période de roulement de 180 jours en Inde, et les mettre à la disposition du gouvernement indien sur demande n'est pas une bonne pratique. Il ferait de ces dépôts d ' informations enregistrées une cible pour les acteurs de la menace mondiale, en plus d ' exiger d ' importantes ressources (humaines et techniques) à mettre en œuvre.
- Définition de l'incident (annexe I). La définition actuelle de l'incident à signaler pour inclure des activités telles que l'exploration et le balayage est beaucoup trop large et les balayages sont des événements quotidiens. Il ne serait pas utile pour les entreprises ou le Cert-In de passer du temps à recueillir, transmettre, recevoir et stocker un volume si important d'informations insignifiantes que, sans doute, il ne sera pas suivi.
- Connexion aux serveurs NTP (partie i). L'exigence selon laquelle tous les fournisseurs de services, intermédiaires, centres de données, entreprises et organisations gouvernementales doivent se connecter aux serveurs NTP [des laboratoires indiens et d'autres entités] pour la synchronisation de tous leurs systèmes TIC horloges est très préoccupante parce qu'elle pourrait affecter négativement les opérations de sécurité des entreprises ainsi que la fonctionnalité de leurs systèmes, réseaux et applications, entre autres raisons.
Compte tenu de ce qui précède, nous demandons à Cert-In :
- Retarder la période de mise en œuvre de la directive énoncée (actuellement 60 jours après le 28 avril 2022) pour donner le temps de répondre aux préoccupations soulevées;
- Réviser la directive pour tenir compte des dispositions concernant les obligations en matière de déclaration des incidents, y compris en ce qui concerne le calendrier de déclaration, la portée des incidents couverts et les exigences de localisation des données d'enregistrement;
- Lancer une consultation plus large des parties prenantes afin que la directive puisse être effectivement mise en œuvre dans un format révisé, y compris que le Cert-In ouvre une consultation technique détaillée pour répondre au public.
Nous attendons avec intérêt votre réponse et un dialogue avec le Ministère sur ces questions dès que possible. Veuillez trouver nos coordonnées ci-dessous pour de plus amples informations sur la directive.
Sincèrement,
Kumar Deep Courtney Lang
Directeur de pays, Inde Directeur principal des politiques
ITI ITI
- Oui.
Related News & Analysis
Pourquoi un « interrupteur d’arrêt d’urgence » de l’IA n’est pas une solution universelle
L'IA est une menace cybernétique. Les défenseurs ont besoin de nouveaux outils et partenariats.
