El organismo global de la industria tecnológica busca revisión en la directiva de la India sobre la presentación de informes de violación de seguridad cibernética

El organismo de la industria de la tecnología con sede en los Estados Unidos, ITI, que tiene firmas tecnológicas globales como Google, Facebook, IBM y Cisco como miembros, ha buscado una revisión en la directiva del gobierno indio al informar los incidentes de violación de seguridad cibernética. ITI dijo que las disposiciones bajo el nuevo mandato pueden afectar negativamente a las organizaciones y socavar la seguridad cibernética en el país.

El gerente de país de ITI para India Kumar Deep, en una carta al jefe certificado Sanjay Bahl de fechado el 5 de mayo, solicitó una consulta más amplia de partes interesadas con la industria antes de finalizar la directiva.

"La Directiva tiene el potencial de mejorar la postura de seguridad cibernética de la India si se desarrolla e implementa adecuadamente, sin embargo, ciertas disposiciones en el proyecto de ley, incluidos los requisitos de informes de incidentes contraproducentes, pueden afectar negativamente las empresas indias y globales y socavar la seguridad cibernética", dijo Deep.

El 28 de abril de la India Computer Respuesta al 28 de abril emitió una directiva que solicitó a todas las agencias gubernamentales y privadas, incluidos proveedores de servicios de Internet, plataformas de redes sociales y centros de datos, que informen obligatoriamente incidentes de violación de seguridad cibernética dentro de las seis horas posteriores a la notificación.

La nueva circular emitida por el cert-in exige a todos los proveedores de servicios, intermediarios, centros de datos, empresas y organizaciones gubernamentales para permitir obligatoriamente los registros de todos sus sistemas de TIC (tecnología de información y comunicación) y mantenerlos de forma segura durante un período de 180 días y 180 días y Lo mismo se mantendrá dentro de la jurisdicción india.

ITI ha planteado preocupaciones sobre los informes obligatorios de incidentes de incumplimiento dentro de las seis horas posteriores a la notificación, para permitir registros de todos los sistemas de TIC y mantenerlos dentro de la jurisdicción india durante 180 días, la definición excesiva de incidentes reportables y el requisito de que las empresas se conecten a los servidores de los servidores de Entidades del gobierno indio.

Deep, en la carta, dijo que las organizaciones deben recibir 72 horas para informar un incidente en línea con las mejores prácticas globales y no solo seis horas.

ITI dijo que el mandato del gobierno de permitir registros de todos los sistemas de tecnología de información y comunicaciones de todas las entidades cubiertas, mantener registros de segura "de forma segura durante un período de rodaje de 180 días" dentro de la India y ponerlos a disposición del gobierno indio a pedido no es una mejor práctica.

"Haría que tales repositorios de información registrada sean un objetivo para los actores de amenaza global, además de requerir recursos significativos (tanto humanos como técnicos) para implementar", dijo Deep.

ITI también planteó la preocupación por el requisito de que "todos los proveedores de servicios, intermediarios, centros de datos, organizaciones corporativas y gubernamentales corporativas se conectarán con los servidores NTP de los laboratorios indios y otras entidades para la sincronización de todos sus relojes de sistemas de TIC".

El organismo global dijo que las disposiciones podrían afectar negativamente las operaciones de seguridad de las empresas, así como la funcionalidad de sus sistemas, redes y aplicaciones.

ITI dijo que la definición actual del gobierno de incidentes reportables para incluir actividades como el sondeo y el escaneo es demasiado amplia dadas las sondas y los escaneos son ocurrencias cotidianas.

"No sería útil para las empresas o el certificado pasar tiempo recopilando, transmitiendo, recibiendo y almacenando un volumen tan grande de información insignificante que posiblemente no sea seguida", dijo Deep.

ITI ha pedido al gobierno que aplazara la línea de tiempo para la implementación de la nueva directiva y lance una consulta más amplia con todos los interesados para su implementación efectiva.

ITI exigió CERT-In para "revisar la directiva para abordar las disposiciones preocupantes con respecto a las obligaciones de informes de incidentes, incluida la línea de tiempo de los informes, el alcance de los incidentes cubiertos y los requisitos de localización de datos de registro".