ПРООН и Альянс «Блокчейн ради добра» объявили о двухлетней программе по кибербезопасности 19 октября. Инициатива ставит практический вопрос при внедрении блокчейна государственными учреждениями: могут ли люди, управляющие сервисом, предотвращать сбои, реагировать на них и восстанавливать доступ.
Кратко- Публичные платежные системы зависят от людей и процессов, а также программного обеспечения.
- Корректная транзакция в блокчейне может всё ещё исходить из скомпрометированного рабочего процесса.
- Результаты обучения должны оцениваться с помощью рабочих контрольных мер и восстановительных упражнений.
Надежный реестр все еще требует безопасной инструкции по оплате
Анонс программы описывает учебную и консультационную поддержку для государственных учреждений, включая работу над цифровыми платежами и защитой данных.
Рассмотрим гипотетическую систему публичных грантов, которая фиксирует платежи в блокчейне. Реестр может точно записать перевод, даже если злоумышленник изменил данные получателя до того, как уполномоченный сотрудник одобрил его. Консенсус по итоговой транзакции не может определить, был ли первоначальный административный запрос легитимным.
Это делает окружающий рабочий процесс частью границы безопасности. Изменение бенефициара, одобрение платежа и подписание транзакции могут требовать разных разрешений. Объединение всех трех действий в одном аккаунте может сделать один компрометирующий инцидент более опасным.
Кибербезопасностная рамка NIST предоставляет более широкую основу для организаций, управляющих киберрисками. Ее актуальность здесь заключается в том, что безопасность — это организационная ответственность, а не просто свойство одной технологии, приобретенной учреждением.
Различие видно в проверке платежей до их зачисления. Проверки, выполняемые до перевода средств, решают другую задачу, чем подтверждение корректной обработки платежа сетью.
Восстановление должно работать для пользователей сервиса
Общественная служба может оставаться технически доступной, пока не справляется с потребностями людей, от которых она зависит. Потерянные учетные данные, недоступный персонал или неразрешенный спор по аккаунту могут помешать законному получателю получить доступ к средствам, даже если базовый блокчейн продолжает генерировать блоки.
Полезным упражнением было бы проследить реальный инцидент от первого предупреждения до восстановления сервиса. Какой официальный лицо может приостановить платежное поручение? Кто подтверждает новый аккаунт получателя? Какие записи фиксируют, что произошло? Как человек может получить помощь, если обычный цифровой канал недоступен?
Это операционные вопросы, которые можно протестировать. Обучающая программа становится более ценной, когда сотрудники отрабатывают решения, а не просто изучают терминологию блокчейн-безопасности.
Схемы хранения и управления ключами предоставляют один финансовый пример распределения обязанностей заранее. Процесс технического обслуживания программного обеспечения в обновлении уведомлений Bitcoin Core предоставляет другой пример: знать о ремонте — это не то же самое, что внедрить его в системы, которые используют люди.
Окончательное влияние программы будет легче оценить по завершенным упражнениям, более четким правилам одобрения и реально восстанавливаемым сервисам, чем только по общему числу участников. Для учреждений, рассматривающих цифровые платежи, это полезный способ определить, изменила ли работа по укреплению потенциала повседневную практику.
Написано редакцией новостей и отредактировано Сэмюэлем Реем.