ПРООН та Альянс «Блокчейн на добро» оголосили про дворічну програму з кібербезпеки 19 жовтня. Ініціатива ставить практичне питання щодо впровадження блокчейну державними установами: чи можуть люди, що керують сервісом, запобігати відмовам, реагувати на них та відновлювати доступ.
Коротко- Публічні платіжні системи залежать від людей і процесів, а також програмного забезпечення.
- Правильна транзакція блокчейну все ще може походити з компрометованого робочого процесу.
- Результати навчання слід вимірювати за допомогою робочих контрольних заходів та вправ з відновлення.
Безпечний реєстр все ще потребує безпечного платіжного інструктажу
Оголошення про програму описує навчання та консультативну підтримку для державних установ, включаючи роботу з цифровими платежами та захистом даних.
Розгляньте гіпотетичну систему публічних грантів, яка реєструє платежі у блокчейні. Книга обліку може вірно зареєструвати переказ, навіть якщо атакуючий змінив дані бенефіціара до того, як авторизований працівник схвалив його. Консенсус щодо фінальної транзакції не може визначити, чи був початковий адміністративний інструктаж легітимним.
Це робить сусідній робочий процес частиною межі безпеки. Зміна бенефіціара, схвалення платежу та підписання транзакції можуть вимагати різних дозволів. Об’єднання всіх трьох під одним акаунтом може зробити один компрометування більш шкідливим.
Кібербезпека NIST надає ширший контекст для організацій, що керують кіберризиками. Її актуальність полягає в тому, що безпека — це організаційна відповідальність, а не просто властивість однієї технології, придбаної інституцією.
Відмінність видна в перевірці платежів перед розрахунком. Перевірки, що виконуються до переказу коштів, вирішують іншу проблему, ніж підтвердження правильності обробки платежу мережею.
Відновлення має працювати для людей, які використовують сервіс
Публічна служба може залишатися технічно онлайн, тоді як не виконує своїх обов’язків перед людьми, які на неї покладаються. Втрата облікових даних, недоступність персоналу або нерозв’язаний спір щодо акаунту можуть перешкодити законному отримувачеві отримати кошти, навіть якщо базовий блокчейн продовжує створювати блоки.
Корисною вправою було б прослідкувати реалістичний інцидент від першого попередження до відновлення послуги. Який офіційна особа може призупинити платіжне доручення? Хто підтверджує новий акаунт одержувача? Які записи підтверджують, що сталося? Як особа може отримати допомогу, якщо звичайний цифровий канал недоступний?
Це практичні питання, які можна протестувати. Навчальна програма стає більш цінною, коли працівники практикують прийняття рішень, а не просто вивчають термінологію безпеки блокчейну.
Умови зберігання та контролю ключів надають один фінансовий приклад розподілу відповідальності заздалегідь. Процес підтримки програмного забезпечення в оновленні розкриття інформації Bitcoin Core надає ще один: знати про виправлення — це інше, ніж запускати його в системах, якими користуються люди.
Остаточний вплив програми буде легше оцінити за допомогою завершених вправ, чіткіших правил схвалення та реально відновлюваних послуг, ніж лише за кількістю учасників. Для закладів, які розглядають цифрові платежі, це корисний спосіб визначити, чи змінила підтримка потенціалу повсякденну практику.
Написано редакційною командою та відредаговано Семюелом Реєм.