ITI unveils Policy Principles for Cybersecurity Certification for Global Policymakers

Komunikat prasowy Wrzesień 1, 2020

WASHINGTON - Dziś światowe stowarzyszenie technologiczne ITI opublikowało pierwszy w swoim rodzaju przewodnik opracowany przez branżę, aby pokierować decydentami politycznymi i innymi zainteresowanymi stronami, rozważając wykorzystanie certyfikacji jako środka do wykazania bezpieczeństwa cybernetycznego. Nowy ITI Zasady polityki certyfikacji bezpieczeństwa cybernetycznego szczegółowo określić granice podejść do certyfikacji i decydentów w celu uniknięcia postrzegania certyfikacji cyberbezpieczeństwa jako kompleksowego, jednoznacznego rozwiązania. Jeśli rządy zdecydują się na ustanowienie systemów certyfikacji nawet po uznaniu ich ograniczeń, ITI oferuje zalecenia i wskazówki krok po kroku, aby pomóc w osiągnięciu celów certyfikacji bez szkody dla innowacji.

"Przemysł technologiczny uznaje, że utrzymanie odporności cyberbezpieczeństwa jest wspólną odpowiedzialnością między rządami, dostawcami, konsumentami i innymi zaangażowanymi stronami", John Miller, wiceprezes ds. polityki i starszy doradca ITI"Jako że kraje na całym świecie rozważają systemy certyfikacji cyberbezpieczeństwa dla produktów, usług lub procesów przedsiębiorstw, w pierwszej kolejności ważne jest, aby zrozumiały one ograniczenia certyfikacji, a także by wykorzystywały wiedzę fachową sektora prywatnego, odniesienia do międzynarodowych standardów, uznawały certyfikację sprzedawców i unikały badań specyficznych dla danego kraju, jeżeli uznają certyfikację za właściwe rozwiązanie. Pierwszy przewodnik ITI-its-kind pomoże kształtować systemy certyfikacji cybernetycznej obecnie na różnych etapach rozwoju w kilku krajach".

ITI wzywa decydentów do uznania, że certyfikacja nie jest kompleksowym rozwiązaniem dla bezpieczeństwa cybernetycznego. Jeżeli rządy zdecydują się na ustanowienie przepisów regulujących systemy certyfikacji, ITI zaleca uwzględnienie sześciu kluczowych punktów:

Wzmocnienie wiedzy fachowej podmiotów publicznych i prywatnych oraz zapewnienie przejrzystości. Wszelkie rządowe systemy certyfikacji powinny być proponowane i przyjmowane w drodze otwartego i przejrzystego procesu, który pozwala na wkład zainteresowanych stron i publiczne komentarze.
Przyjmij podejście oparte na ryzyku i wyraźnie określić zakres systemów certyfikacji. Wszelkie systemy certyfikacji powinny opierać się na odpowiednich czynnikach ryzyka, z priorytetem dla systemów certyfikacji wymagających wysokiego poziomu bezpieczeństwa.
Reference International Standards and Best Practices as the Technical Basis to Avoid Technical Trade Barriers. Systemy certyfikacji bezpieczeństwa cybernetycznego powinny opierać się na międzynarodowych, opartych na przemyśle, dobrowolnych standardach konsensusu i najlepszych praktykach.
Rozważyć alternatywy certyfikacji, takie jak deklaracje zgodności dostawcy lub pełnomocnictwa dostawcy. Alternatywy certyfikacji są powszechnie akceptowane na rynku w celu wykazania zgodności, a przemysł ma bogate doświadczenie z takimi mechanizmami.
Rozpoznaj Dostawca / Vendor Assessments, Unikaj zlokalizowanych testów, i systemów wzajemnego uznawania dźwigni. Rządy powinny przyjmować oceny dostawców / sprzedawców i uznawać właściwe laboratoria badawcze będące własnością dostawców / sprzedawców. Jeżeli konieczne jest przeprowadzenie ocen przez strony trzecie, należy unikać lokalizowanych badań i stosować systemy wzajemnego / wielostronnego uznawania.
Zaakceptuj sprawiedliwe egzekwowanie prawa. Zapewnienie zharmonizowanego egzekwowania przepisów i wytycznych regulacyjnych, w tym odpowiedniego nadzoru rynku, w celu przyspieszenia przyjmowania systemów przez przemysł.

Oprócz zasad polityki ITI stworzyła również grafikę schemat z etapowymi wytycznymi dla decydentów przy przyjmowaniu systemów certyfikacji w celu uniknięcia tłumienia innowacji lub innych szkodliwych praktyk handlowych.