O PNUD e a Blockchain for Good Alliance anunciaram um programa de cibersegurança de dois anos em 19 de outubro. A iniciativa levanta uma questão prática para a adoção de blockchain por instituições públicas: se as pessoas que operam um serviço podem prevenir falhas, respondê-las e restaurar o acesso.
TL;DR- Sistemas de pagamento públicos dependem de pessoas e processos, além de software.
- Uma transação de blockchain correta ainda pode originar-se de um fluxo de trabalho comprometido.
- Os resultados do treinamento devem ser medidos por meio de controles operacionais e exercícios de recuperação.
Um livro-razão seguro ainda precisa de uma instrução de pagamento segura
O anúncio do programa descreve treinamento e suporte consultivo para instituições públicas, incluindo trabalho sobre pagamentos digitais e proteção de dados.
Considere um sistema hipotético de subsídios públicos que registra pagamentos em uma blockchain. O livro-razão pode registrar fielmente uma transferência mesmo se um atacante tiver alterado os detalhes do beneficiário antes que um funcionário autorizado a aprovasse. O consenso sobre a transação final não pode determinar se a instrução administrativa original era legítima.
Isso torna o fluxo de trabalho circundante parte do limite de segurança. Uma alteração de beneficiário, uma aprovação de pagamento e o ato de assinar uma transação podem exigir permissões diferentes. Combinar os três sob uma única conta pode tornar uma única violação mais danosa.
NIST’s Cybersecurity Framework fornece uma referência mais ampla para organizações que gerenciam riscos cibernéticos. Sua relevância aqui é que a segurança é uma responsabilidade organizacional, não meramente uma propriedade de uma tecnologia adquirida por uma instituição.
A distinção é visível em verificação de pagamento antes do liquidação. Verificações realizadas antes da transferência de dinheiro resolvem um problema diferente da verificação de que a rede processou o pagamento corretamente.
A recuperação precisa funcionar para as pessoas que utilizam o serviço
Um serviço público pode permanecer tecnicamente online enquanto falha as pessoas que dele dependem. Credenciais perdidas, equipe indisponível ou uma disputa de conta não resolvida podem impedir um destinatário legítimo de acessar fundos, mesmo quando a blockchain subjacente continua produzindo blocos.
Um exercício útil seguiria um incidente realista, desde o primeiro aviso até a restauração do serviço. Qual funcionário pode pausar uma instrução de pagamento? Quem confirma uma nova conta de beneficiário? Quais registros estabelecem o que aconteceu? Como uma pessoa obtém ajuda se o canal digital normal não estiver disponível?
Essas são perguntas operacionais que podem ser testadas. Um programa de treinamento torna-se mais valioso quando os funcionários praticam as decisões, em vez de simplesmente aprender o vocabulário da blockchain.
Arranjos de custódia e controle de chaves fornecem um exemplo financeiro de atribuição de responsabilidades com antecedência. O processo de manutenção de software em Bitcoin Core’s disclosure update fornece outro: saber sobre uma correção é diferente de implantá-la nos sistemas que as pessoas utilizam.
O impacto final do programa será mais fácil de avaliar por meio de exercícios concluídos, regras de aprovação mais claras e serviços demonstravelmente recuperáveis do que apenas por meio de totais de participação. Para instituições que consideram pagamentos digitais, essa é uma maneira útil de avaliar se o fortalecimento de capacidades alterou a prática cotidiana.
Escrito pela Redação e editado por Samuel Rae.