ITI budzi obawy, że proponowana przez Indie dyrektywa w sprawie bezpieczeństwa cybernetycznego może służyć osiągnięciu celów bezpieczeństwa
NOWOŚĆ DELHI - Dziś globalne stowarzyszenie technologiczne ITI przedstawiło obawy dotyczące dyrektywy indyjskiego zespołu reagowania na incydenty komputerowe (CERT- In) dotyczącej Praktyki w zakresie bezpieczeństwa informacji, procedury, zapobieganie, reagowanie i zgłaszanie incydentów cybernetycznych dla bezpiecznego i zaufanego Internetu (otwiera się w nowej karcie)W list (otwiera się w nowej karcie) do CERT-In, ITI podkreślił swoje poparcie dla wysiłków rządu na rzecz poprawy bezpieczeństwa cybernetycznego, ale ostrzegł, że obecnie opracowywane przepisy, zwłaszcza obowiązki zgłaszania incydentów, mogą mieć poważne konsekwencje dla przedsiębiorstw i klientów bez rozwiązywania rzeczywistych problemów bezpieczeństwa.
"Jako że zarówno producenci, jak i użytkownicy produktów i usług z zakresu bezpieczeństwa cybernetycznego, członkowie ITI mają bogate doświadczenie w współpracy z rządami na całym świecie w celu wspierania i wdrażania solidnej i skutecznej polityki bezpieczeństwa cybernetycznego", powiedział Kumar Deep, ITI 's Country Manager, Indie. - Dyrektywa ma potencjał poprawy pozycji Indii w zakresie bezpieczeństwa cybernetycznego, jeżeli zostanie odpowiednio opracowana i wdrożona, jednakże niektóre przepisy ustawy, w tym wymogi w zakresie zgłaszania incydentów przeciwnych do zamierzonych, mogą mieć negatywny wpływ na indyjskie i światowe przedsiębiorstwa oraz osłabić bezpieczeństwo cybernetyczne. Prosimy rząd o umożliwienie szerszych konsultacji z przedstawicielami przemysłu przed sfinalizowaniem dyrektywy. Mamy nadzieję na korzystną reakcję rządu ".
Konkretne obawy ITI obejmują obowiązkowe zgłaszanie incydentów cybernetycznych w ciągu 6 godzin od odnotowania, wymóg umożliwienia dzienników wszystkich systemów ICT i ich bezpiecznego utrzymywania w ramach jurysdykcji Indii przez okres 180 dni, ogólne określenie incydentów podlegających zgłoszeniu oraz wymóg podłączenia przedsiębiorstw do serwerów indyjskich podmiotów rządowych. W list (otwiera się w nowej karcie), ITI wnioskuje, aby CERT- W rozważeniu:
- opóźnić okres wdrażania wspomnianej dyrektywy (obecnie 60 dni po dniu 28 kwietnia 2022 r.), aby dać czas na rozwiązanie podniesionych obaw;
- dokonać przeglądu dyrektywy w celu uwzględnienia przepisów dotyczących obowiązków sprawozdawczych w odniesieniu do incydentów, w tym związanych z harmonogramem sprawozdawczym, zakresem objętych nimi incydentów i wymogami dotyczącymi lokalizacji danych dotyczących logowania; oraz
- Rozpoczęcie szerszych konsultacji z zainteresowanymi stronami w celu zapewnienia skutecznego wdrożenia dyrektywy w zrewidowanym formacie, w tym w odniesieniu do Cert- Otwierając szczegółowe konsultacje techniczne w celu udzielenia odpowiedzi publicznej.
Przeczytaj pełną literę poniżej lub Tutaj (otwiera się w nowej karcie).
5 maja 2022
Szanowny dr Sanjay Bahl ji,
Pozdrowienia od ITI. Rada Przemysłu Technologii Informacyjnych (ITI) jest głównym światowym zwolennikiem technologii, reprezentującym najbardziej innowacyjne przedsiębiorstwa na świecie [1]. Założona w 1916 roku, ITI jest międzynarodowym stowarzyszeniem handlowym z zespołem specjalistów na czterech kontynentach. Promujemy politykę publiczną i standardy przemysłowe, które sprzyjają konkurencji i innowacjom na całym świecie. Bezpieczeństwo cybernetyczne i technologie bezpieczeństwa cybernetycznego mają kluczowe znaczenie dla członków ITI, a nasi członkowie mają bogate doświadczenie w pracy z rządami na całym świecie jako producenci i użytkownicy produktów i usług bezpieczeństwa cybernetycznego. W związku z tym ITI jest wiodącym głosem w propagowaniu skutecznego podejścia do polityki bezpieczeństwa cybernetycznego na całym świecie.
Piszemy do Państwa w sprawie ostatnich wskazówek wydanych przez Cert- W odniesieniu do praktyk w zakresie bezpieczeństwa informacji, procedury, zapobiegania, reagowania i zgłaszania incydentów cybernetycznych w odniesieniu do bezpiecznego i zaufanego Internetu wydanych w dniu 28 kwietnia 2022 r. (dyrektywa). Chociaż doceniamy, że przedmiotowa dyrektywa Cert- In dąży do poprawy bezpieczeństwa cybernetycznego, obawiamy się, że w formie opracowanej i bez istotnych zmian dyrektywa może mieć negatywny wpływ na przedsiębiorstwa indyjskie i światowe oraz faktycznie osłabić bezpieczeństwo cybernetyczne w Indiach. W szczególności mamy obawy co do szeregu obowiązków w zakresie zgłaszania incydentów, w tym obowiązku zgłaszania incydentów cybernetycznych w ciągu 6 godzin od zauważenia, wymogu umożliwienia rejestrów wszystkich systemów TIK i ich bezpiecznego utrzymywania w ramach jurysdykcji Indii przez okres 180 dni, ogólnej definicji zdarzeń podlegających zgłoszeniu oraz wymogu podłączenia przedsiębiorstw do serwerów indyjskich podmiotów rządowych. Jeżeli przepisy te nie zostaną uwzględnione, mogą mieć poważne konsekwencje dla przedsiębiorstw i ich globalnych klientów bez rozwiązywania rzeczywistych problemów związanych z bezpieczeństwem. Rozwijamy dalej ten niewyczerpujący zestaw przepisów poniżej.
- 6-godzinna oś czasu (część ii). Uznajemy, że zgłoszenie incydentów jest priorytetem dla Indii i innych rządów na całym świecie i opracowaliśmy globalne zasady sprawozdawczości w zakresie incydentów, aby pomóc w opracowaniu globalnych systemów zgłaszania incydentów, które pomogą rządom uzyskać widoczność na incydenty i pomoc w działaniach w zakresie reagowania na incydenty [2]. Zachęcamy Cert- In do uwzględnienia naszej rekomendacji do ustanowienia realistycznych terminów zgłaszania incydentów wynoszących co najmniej 72 godziny, współmiernych do poziomów dotkliwości incydentów w zgodzie z najlepszymi praktykami na świecie. W ten sposób przedsiębiorstwa będą mogły skupić się na odpowiednim reagowaniu na dany incydent oraz na tym, że wszelkie informacje przekazywane rządowi są w kontekście.
- Wymogi dotyczące logowania (część iv). Aby umożliwić rejestry systemów TIK wszystkich objętych nimi podmiotów, prowadzenie rejestrów systemów TIK podmiotów "bezpiecznie przez okres 180 dni" w Indiach oraz udostępnianie ich rządowi Indii na żądanie nie jest najlepszą praktyką. Dzięki temu tego rodzaju repozytoria zarejestrowanych informacji stałyby się celem dla podmiotów globalnych, oprócz konieczności wdrożenia znacznych zasobów (zarówno ludzkich, jak i technicznych).
- Definicja incydentu (Annexure I). Obecna definicja incydentu sprawozdawczego obejmująca działania takie jak sondy i skanowanie jest zbyt szeroka, biorąc pod uwagę sondy i skanowanie są codziennymi zdarzeniami. Dla firm lub Cert- W spędzać czas gromadzenia, transmisji, odbierania i przechowywania tak dużej ilości nieistotnych informacji, że prawdopodobnie nie będą kontynuowane.
- Podłączenie do serwerów NTP (część i). Wymóg, zgodnie z którym "wszyscy dostawcy usług, pośrednicy, centra danych, organizacje korporacyjne i rządowe organów podłączają się do serwerów NTP [laboratoriów indyjskich i innych podmiotów] w celu synchronizacji wszystkich ich zegarów systemów ICT", jest bardzo niepokojący, ponieważ może mieć negatywny wpływ na operacje bezpieczeństwa przedsiębiorstw, jak również na funkcjonalność ich systemów, sieci i aplikacji, między innymi.
Mając na uwadze powyższe, prosimy o Cert- In:
- opóźnić okres wdrażania wspomnianej dyrektywy (obecnie 60 dni po dniu 28 kwietnia 2022 r.), aby dać czas na rozwiązanie podniesionych obaw;
- dokonać przeglądu dyrektywy w celu uwzględnienia przepisów dotyczących obowiązków sprawozdawczych w odniesieniu do incydentów, w tym związanych z harmonogramem sprawozdawczym, zakresem objętych nimi incydentów i wymogami dotyczącymi lokalizacji danych dotyczących logowania; oraz
- Rozpoczęcie szerszych konsultacji z zainteresowanymi stronami w celu zapewnienia skutecznego wdrożenia dyrektywy w zrewidowanym formacie, w tym w odniesieniu do Cert- Otwierając szczegółowe konsultacje techniczne w celu udzielenia odpowiedzi publicznej.
Oczekujemy pańskiej odpowiedzi i prowadzenia dialogu z Departamentem w tej sprawie przy najbliższej okazji. Proszę znaleźć nasze współrzędne dla dalszego zaangażowania w dyrektywę.
Z poważaniem,
Kumar Deep Courtney Lang
Country Manager, Indie Starszy Dyrektor ds. Polityki
ITI ITI
-
Related News & Analysis
Dlaczego „wyłącznik awaryjny” AI nie jest rozwiązaniem uniwersalnym
AI doładowuje zagrożenia cybernetyczne. Obrońcy potrzebują nowych narzędzi i partnerstw.
