Grupo de presión The Software Alliance (BSA)* Escribió al Gobierno de la India, señalando requisitos poco prácticos, inconsistencias y fallas en las reglas de reporte de información anunciadas recientemente por el país. La organización dice que los problemas solo pueden abordarse a través de extensas consultas y demoras en la implementación.
BSA ya firmó otra carta enviada por once grupos de presión de tecnología y finanzas al gobierno de la India, solicitando cambios en los requisitos, como un registro extenso de las actividades de los usuarios y el informe de incidentes de TI menores dentro de las seis horas posteriores al descubrimiento. Esa carta multipartidista establece que estas reglas dañarán la economía de la nación al desalentar la inversión extranjera.
Alianza documento privado [PDF] Plantea problemas que no se abordan en el MLS, como el argumento de que exigir a los proveedores de la nube que proporcionen registros de las actividades de los clientes es inútil porque las nubes no registran lo que sucede dentro de los recursos que alquilan sus clientes.
El mensaje establece que “los clientes controlan los registros de eventos que generan sus cargas de trabajo en la nube y, por lo tanto, los clientes deben ser el punto de contacto para proporcionar registros de eventos”.
HCL y HP nombradas en la revisión poco halagüeña del sistema de identificación biométrica de la India
Lee mas
La carta también señala que el requisito de que los proveedores de servicios en la nube recopilen los datos de sus clientes es una redundancia innecesaria, ya que muchos clientes pagan con tarjeta de crédito, lo que significa que sus datos personales ya han sido recopilados por los emisores de tarjetas.
El plazo de 60 días de la India para lograr el cumplimiento de sus normas también se ha descrito como inadecuado, dada la complejidad de los requisitos de presentación de informes. El mensaje establece que las reglas requieren que se registren las direcciones IP de todos los usuarios, pero que hacerlo es difícil porque “con personas que trabajan de forma remota, muchos usuarios tienen direcciones IP dinámicas que cambian regularmente”.
Las reglas de India se anunciaron a fines de abril y entraron en vigencia el 27 de junio. La BSA aboga por retrasar los requisitos de informes para las direcciones IP de los usuarios mientras las organizaciones descubren cómo abordar las complejidades involucradas en hacer coincidir las direcciones IP con las de las personas.
Otro tema de preocupación es que, dado que las reglas se están redactando actualmente, no está claro si los proveedores de servicios o las organizaciones de usuarios finales deben informar los incidentes de TIC, o si ambos deben informar el mismo incidente. La BSA quiere claridad sobre este tema para evitar la confusión que puede seguir a los informes duplicados.
Se ha criticado la demanda de India de informar sobre los incidentes de Infosec dentro de las seis horas.
La carta establece que “es probable que las organizaciones tengan poca o ninguna información para compartir después de un período inicial de 6 horas después de que ‘algo sucedió'”. , que recibirá todos los informes exigidos por las reglas, “será objeto de una avalancha de información incompleta que no proporcionará datos procesables o peor aún. , incluirá datos inexactos que están desviando su atención y recursos en medio de la respuesta a incidentes críticos”.
El tono del mensaje es cortés, pero es difícil perder de vista el tema de que las reglas actuales son un desastre que no cumplirá con el objetivo declarado de mejorar la ciberseguridad en India.
La carta incluye varias invitaciones para una consulta más amplia y afirma que BSA está feliz de participar.
CERT-In, el ministro de Tecnologías de la Información de la India, Rajiv Chandrasekhar, y el ministerio que dirige han rechazado hasta ahora las críticas, proporcionando solo preguntas frecuentes aclaratorias que relajan ligeramente algunos de los requisitos de presentación de informes.
Pero BSA enfatiza que las preguntas frecuentes en sí mismas son problemáticas porque no es un documento oficial.
El mensaje de la alianza concluye diciendo que el diálogo sobre las reglas “conducirá a la CTRT a lograr nuestro objetivo compartido de un futuro más seguro, al tiempo que apoya el crecimiento de la economía india”.
El primer ministro indio, Narendra Modi, pasó la mayor parte de 2022 usando la palabra “Techade” para describir sus políticas para desarrollar servicios digitales gubernamentales y hacer crecer la economía de India durante los próximos 10 años atrayendo inversión extranjera a los servicios tecnológicos y las industrias manufactureras del país.
Es probable que la lista de miembros de BSA, que incluye a AWS, Adobe, Microsoft, Cisco, Intel, Salesforce, IBM y SAP, se encuentre entre las entidades extranjeras que invierten en India. Y ahora estos proveedores le están diciendo a India que ha creado un entorno comercial hostil con regulaciones de TI ineficaces. ®
*Software Alliance es la Asociación de software comercial renombrada, y su marca oficial ahora es “BSA | The Software Alliance”. Como, B no significa nada en absoluto. Eso es raro.
“असाध्य समस्या हल गर्ने। अल्कोहलाहोलिक। बेकन विद्वान”
