UNDP y la Alianza Blockchain for Good anunciaron un programa de ciberseguridad de dos años el 19 de octubre. La iniciativa plantea una pregunta práctica sobre la adopción de blockchain por parte de instituciones públicas: si las personas que operan un servicio pueden prevenir fallos, responder a ellos y restaurar el acceso.
TL;DR- Los sistemas de pago públicos dependen de personas y procesos, así como de software.
- Una transacción de cadena de bloques correcta puede aún originarse desde un flujo de trabajo comprometido.
- Los resultados de la capacitación deben medirse mediante controles operativos y ejercicios de recuperación.
Un libro mayor seguro aún necesita una instrucción de pago segura
El anuncio del programa describe el apoyo en capacitación y asesoría para instituciones públicas, incluyendo trabajos sobre pagos digitales y protección de datos.
Considere un sistema hipotético de subvenciones públicas que registra pagos en una cadena de bloques. El libro mayor puede registrar fielmente una transferencia incluso si un atacante cambió los detalles del beneficiario antes de que un empleado autorizado la aprobara. El consenso sobre la transacción final no puede determinar si la instrucción administrativa original era legítima.
Eso hace que el flujo de trabajo circundante forme parte del límite de seguridad. Un cambio de beneficiario, la aprobación de un pago y el acto de firmar una transacción pueden requerir permisos diferentes. Combinar los tres bajo una sola cuenta puede hacer que una sola vulnerabilidad sea más dañina.
El Marco de Ciberseguridad del NIST proporciona una referencia más amplia para las organizaciones que gestionan el riesgo cibernético. Su relevancia aquí es que la seguridad es una responsabilidad organizacional, no meramente una propiedad de una tecnología adquirida por una institución.
La distinción es visible en la revisión de pagos antes del asentamiento. Las verificaciones realizadas antes de que se mueva el dinero abordan un problema diferente al verificar que la red procesó correctamente el pago.
La recuperación debe funcionar para las personas que usan el servicio
Un servicio público puede mantenerse técnicamente en línea mientras falla a las personas que dependen de él. Credenciales perdidas, personal no disponible o una disputa de cuenta sin resolver pueden impedir que un destinatario legítimo acceda a los fondos, incluso cuando la cadena de bloques subyacente continúa produciendo bloques.
Un ejercicio útil seguiría un incidente real desde la primera advertencia hasta la restauración del servicio. ¿Qué funcionario puede pausar una instrucción de pago? ¿Quién confirma una nueva cuenta de beneficiario? ¿Qué registros establecen qué ocurrió? ¿Cómo obtiene una persona ayuda si el canal digital normal no está disponible?
Estas son preguntas operativas que pueden ser evaluadas. Un programa de capacitación se vuelve más valioso cuando el personal practica las decisiones, en lugar de simplemente aprender el vocabulario de la seguridad de la cadena de bloques.
Arrangements de custodia y control de claves proporcionan un ejemplo financiero de asignar responsabilidades con anticipación. El proceso de mantenimiento de software en la actualización de divulgación de Bitcoin Core proporciona otro: conocer sobre una reparación es diferente a implementarla en los sistemas que las personas utilizan.
El impacto final del programa será más fácil de evaluar a través de ejercicios completados, reglas de aprobación más claras y servicios demostrablemente recuperables que solo mediante totales de asistencia. Para las instituciones que consideran pagos digitales, esta es una forma útil de determinar si el fortalecimiento de capacidades ha cambiado la práctica diaria.
Escrito por el equipo de noticias y editado por Samuel Rae.