UNDP dan Aliansi Blockchain for Good mengumumkan program keselamatan siber selama dua tahun pada 19 Oktober. Inisiatif ini membawa soalan praktikal ke dalam pengambilan blok rantai oleh institusi awam: sama ada orang yang mengendalikan perkhidmatan dapat mencegah kegagalan, menanggapinya, dan memulihkan akses.
TL;DR- Sistem pembayaran awam bergantung kepada orang dan proses serta perisian.
- Transaksi blok rantai yang betul masih boleh berasal daripada alur kerja yang telah disusupi.
- Hasil latihan harus diukur melalui kawalan berfungsi dan latihan pemulihan.
Buku catatan yang selamat masih memerlukan arahan pembayaran yang selamat
Pengumuman program menggambarkan latihan dan sokongan nasihat untuk institusi awam, termasuk kerja mengenai pembayaran digital dan perlindungan data.
Pertimbangkan sistem bantuan awam hipotetik yang merekod pembayaran di blok rantai. Buku besar boleh merekod pindah dengan setia walaupun penyerang mengubah butiran penerima sebelum seorang pekerja yang berkuasa mengesahkannya. Konsensus terhadap transaksi akhir tidak boleh menentukan sama ada arahan pentadbiran asal adalah sah.
Itu menjadikan alur kerja sekeliling sebagai sebahagian daripada sempadan keselamatan. Perubahan penerima faedah, persetujuan pembayaran, dan tindakan menandatangani transaksi mungkin memerlukan kebenaran yang berbeza. Menggabungkan ketiga-tiga perkara itu di bawah satu akaun boleh menjadikan satu kompromi lebih merosakkan.
Kerangka Kerja Keselamatan Siber NIST menyediakan rujukan yang lebih luas kepada organisasi yang menguruskan risiko siber. Kerelevannya di sini ialah keselamatan adalah tanggungjawab organisasi, bukan semata-mata sifat satu teknologi yang dibeli oleh sebuah institusi.
Perbezaan ini kelihatan dalam penyaringan pembayaran sebelum penyelesaian. Semakan yang dijalankan sebelum wang dipindahkan menangani masalah yang berbeza daripada mengesahkan bahawa rangkaian memproses pembayaran dengan betul.
Pemulihan mesti berfungsi untuk orang-orang yang menggunakan perkhidmatan tersebut
Perkhidmatan awam boleh kekal secara teknikal dalam talian sambil gagal melayani orang-orang yang bergantung padanya. Kehilangan kredensial, staf yang tidak tersedia atau perselisihan akaun yang tidak diselesaikan boleh menghalang penerima yang sah daripada mengakses dana walaupun blok rantai yang mendasarinya terus menghasilkan blok.
Latihan yang berguna dengan itu akan mengikuti insiden yang realistik dari amaran pertama hingga perkhidmatan dipulihkan. Siapakah pejabat yang boleh menghentikan arahan pembayaran? Siapakah yang mengesahkan akaun penerima baharu? Rekod manakah yang menetapkan apa yang berlaku? Bagaimanakah seseorang boleh mendapatkan bantuan jika saluran digital biasa tidak tersedia?
Ini adalah soalan operasi yang boleh diuji. Program latihan menjadi lebih berharga apabila kakitangan berlatih membuat keputusan, bukan sekadar mempelajari perbendaharaan kata keselamatan blok rantai.
Perjanjian penyimpanan dan pengawalan kunci memberikan satu contoh kewangan dalam menetapkan tanggungjawab terlebih dahulu. Proses pengekalan perisian dalam emas kunci Bitcoin Core memberikan contoh lain: mengetahui tentang pembaikan berbeza daripada melaksanakannya dalam sistem yang digunakan oleh orang ramai.
Kesan akhir program akan lebih mudah dinilai melalui latihan yang selesai, peraturan persetujuan yang lebih jelas, dan perkhidmatan yang boleh dipulihkan secara nyata daripada hanya melalui jumlah kehadiran semata-mata. Bagi institusi yang mempertimbangkan pembayaran digital, ini adalah cara yang berguna untuk menilai sama ada pembinaan kapasiti telah mengubah amalan harian.
Ditulis oleh Meja Berita dan diedit oleh Samuel Rae.