Nueva regla de seguridad cibernética para que hacer negocios en India sea más difícil, dicen los organismos tecnológicos globales

La nueva directiva de la India que exige informes de incidentes cibernéticos en seis horas y almacenar registros de usuarios durante 5 años dificultará que las empresas hagan negocios en el país, 11 organismos internacionales que tienen gigantes tecnológicos como Google, Facebook y HP como los miembros dijeron en un Carta conjunta al gobierno.

La carta conjunta escrita por 11 organizaciones que representan principalmente a las compañías de tecnología con sede en los EE. UU., Europa y Asia fue enviada al Director General del Equipo de Respuesta a Emergencias de la Computación de la India (CERT-In), Sanjay Bahl, el 26 de mayo.

Los organismos internacionales han expresado que la directiva, tal como está escrita, tendrá un impacto perjudicial en la seguridad cibernética para las organizaciones que operan en la India y crean un enfoque desarticulado para la seguridad cibernética entre las jurisdicciones, socavando la postura de seguridad de la India y sus aliados en los Puertos cuádruples, Europa y más allá.

"La naturaleza onerosa de los requisitos también puede dificultar que las empresas hagan negocios en India", dijo la carta.

Los organismos globales que han expresado su preocupación conjuntamente incluyen el Consejo de la Industria de Tecnología de la Información (ITI), la Industria de Valores de Asia y la Asociación de Mercados Financieros (ASIFMA), Bank Policy Institute, BSA-the Software Alliance, Coalition para reducir el riesgo cibernético (CR2), la coalición de seguridad cibernética, Europa digital, Techuk, la Cámara de Comercio de los Estados Unidos, el Consejo de Negocios de la India y el Foro de Asociación Estratégica de la India.

La nueva directiva emitida el 28 de abril exige a las empresas que denuncien cualquier incumplimiento cibernético a CERT-in dentro de las seis horas posteriores a la notificación.

Ofrece a los centros de datos, proveedores de servidores privados virtuales (VPS), proveedores de servicios en la nube y proveedores de servicios de red privada virtual (VPN) para validar nombres de suscriptores y clientes que contratan los servicios, el período de contratación, el patrón de propiedad de los suscriptores, etc. y mantengan los registros por un período de 5 años o más de duración más larga según lo ordenado por la ley.

Según la Directiva, las empresas de TI deben mantener toda la información obtenida como parte de Know-Your-Customer (KYC) y registros de transacciones financieras durante un período de cinco años para garantizar la seguridad cibernética en el área de pagos y mercados financieros para los ciudadanos.

Los organismos internacionales han suscitado preocupación por la línea de tiempo de 6 horas previsto para los informes de incidentes cibernéticos y exigieron que se incrementen a 72 horas.

"Cert-In no ha proporcionado ninguna justificación de por qué la línea de tiempo de 6 horas es necesaria, ni es proporcional o alineada con los estándares globales. Tal línea de tiempo es innecesariamente breve e inyecta una complejidad adicional en un momento en que las entidades se centran más adecuadamente en La difícil tarea de comprender, responder y remediar un incidente cibernético ", dijo la carta.

Dijo que en el caso del mandato de seis horas, las entidades tampoco tendrán suficiente información para tomar una determinación razonable de si se ha producido un incidente cibernético que garantizaría la activación de la notificación.

Los organismos internacionales dijeron que sus compañías miembros operan infraestructuras de seguridad avanzadas con procedimientos de gestión de incidentes internos de alta calidad, que producirán respuestas más eficientes y ágiles que una instrucción dirigida por el gobierno con respecto a un sistema de terceros con el que CERT-In no está familiarizado.

La carta conjunta decía que la definición actual de incidentes reportables, para incluir actividades como el sondeo y el escaneo, es demasiado amplia, dadas las sondas y los escaneos cotidianos.

Dijo que la aclaración proporcionada por Cert-In a la Directiva menciona que los registros no deben almacenarse en India, pero la directiva no lo menciona.

"Incluso si se realiza este cambio, sin embargo, tenemos preocupaciones sobre algunos de los tipos de datos de registro que el gobierno indio requiere ser proporcionado a pedido, ya que algunos de ellos son sensibles y, si se accede, podría crear un nuevo riesgo de seguridad al proporcionar Perspection de la postura de seguridad de una organización ", dijo la carta.

La carta conjunta dijo que los proveedores de servicios de Internet comúnmente recopilan información del cliente, pero extender estas obligaciones a los proveedores de VSP, CSP y VPN es oneroso y oneroso.

"Un proveedor de centros de datos no asigna direcciones IP. Será una tarea onerosa para el proveedor de centros de datos recopilar y registrar todas las direcciones IP asignadas a sus clientes por ISP. Esta podría ser una tarea casi imposible cuando las direcciones IP se asignen dinámicamente, "Dijo Carta.

Los organismos globales dijeron que almacenar los datos localmente para el ciclo de vida del cliente y, a partir de entonces, durante cinco años requerirá recursos de almacenamiento y seguridad para los cuales los costos deben transmitirse al cliente, quien notablemente no ha pedido que estos datos se almacenen. Después de su terminación de servicio.

"Compartimos el objetivo del gobierno de mejorar la seguridad cibernética. Sin embargo, seguimos preocupados por la directiva certificada, a pesar del lanzamiento del reciente documento de las preguntas frecuentes destinadas a aclarar la directiva,