UNDPとBlockchain for Good Allianceは10月19日、2年間のサイバーセキュリティプログラムを発表しました。この取り組みは、公共機関によるブロックチェーン導入における実践的な疑問を浮き彫りにします。つまり、サービスを運用する人々が障害を防ぎ、対応し、アクセスを復元できるかどうかです。
TL;DR- 公共の支払いシステムは、ソフトウェアだけでなく、人々とプロセスにも依存しています。
- 適切なブロックチェーン取引でも、侵害されたワークフローから発生する可能性があります。
- 訓練の成果は、作業コントロールと回復演習を通じて測定すべきです。
安全な台帳でも、安全な支払い指示が必要です
プログラムの発表は、デジタル決済やデータ保護を含む、公共機関に対するトレーニングおよびアドバイザリーサポートを説明しています。
ブロックチェーンに支払いを記録する仮想的な公共補助金制度を考えましょう。この台帳は、承認された従業員が承認する前に攻撃者が受益者の情報を変更した場合でも、振替を正確に記録できます。最終取引に対する合意では、元の行政指示が正当なものであったかどうかを決定することはできません。
これにより、周囲のワークフローがセキュリティ境界の一部となります。受益者変更、支払い承認、トランザクションの署名の各アクションには、異なる権限が必要となる場合があります。これらすべてを1つの口座に統合すると、1か所の侵害がより深刻な影響を及ぼす可能性があります。
NISTのサイバーセキュリティフレームワークは、サイバーリスクを管理する組織にとってより広範な指針を提供します。ここでの関連性は、セキュリティが単に機関が購入した一つの技術の性質ではなく、組織全体の責任であるということです。
差異は、決済前の支払いスクリーニングに明確に見られます。資金移動前に実施されるチェックは、ネットワークが支払いを正しく処理したかを確認するのとは異なる問題に対処します。
サービスを利用する人々にとって回復が可能でなければなりません
公共サービスは、その下にあるブロックチェーンがブロックを継続して生成しているにもかかわらず、依存する人々に対して機能を果たさないまま技術的にはオンラインのままになる可能性があります。資格情報の喪失、スタッフの不在、または解決されていない口座紛争により、正当な受取人が資金にアクセスできなくなることがあります。
したがって、実際の事例を最初の警告からサービス復旧まで追跡する練習が役立ちます。どの担当者が支払い指示を一時停止できますか？新しい受益者口座は誰が確認しますか？何が起こったかを示す記録はどれですか？通常のデジタルチャネルが利用できない場合、人はどのように支援を受けることができますか？
これらはテスト可能な運用に関する質問です。スタッフがブロックチェーンセキュリティの用語を単に学ぶのではなく、意思決定を実践することで、トレーニングプログラムの価値が高まります。
保管および鍵管理の仕組みは、責任を事前に割り当てるための金融的な一例です。Bitcoin Coreの開示更新におけるソフトウェア保守プロセスはもう一つの例です：修理内容を知っていることと、ユーザーが使用するシステムにそれを適用することは異なります。
プログラムの最終的な影響は、参加者数だけでなく、完了した演習、明確な承認ルール、そして実証可能な回復可能なサービスを通じてより容易に評価できる。デジタル決済を検討している機関にとって、これは能力構築が日常の実務にどのような変化をもたらしたかを判断するための有用な方法である。
ニュースデスクが執筆し、サミュエル・レイが編集しました。