UNDP và Liên minh Blockchain vì Lợi ích Công cộng đã công bố chương trình an ninh mạng hai năm vào ngày 19 tháng 10. Sáng kiến này đặt ra một câu hỏi thực tế về việc áp dụng blockchain bởi các tổ chức công: liệu những người vận hành dịch vụ có thể ngăn ngừa sự cố, phản ứng với chúng và khôi phục quyền truy cập hay không.
TL;DR- Các hệ thống thanh toán công cộng phụ thuộc vào con người, quy trình cũng như phần mềm.
- Một giao dịch blockchain chính xác vẫn có thể xuất phát từ một quy trình bị xâm phạm.
- Các kết quả đào tạo nên được đo lường thông qua các biện pháp kiểm soát và bài tập phục hồi.
Một sổ cái an toàn vẫn cần một hướng dẫn thanh toán an toàn
Thông báo chương trình mô tả hỗ trợ đào tạo và tư vấn cho các tổ chức công, bao gồm các công việc về thanh toán kỹ thuật số và bảo vệ dữ liệu.
Xem xét một hệ thống trợ cấp công cộng giả định ghi lại các khoản thanh toán trên blockchain. Sổ cái có thể ghi lại chính xác một khoản chuyển ngay cả khi một kẻ tấn công đã thay đổi chi tiết người nhận trước khi nhân viên được ủy quyền phê duyệt. Sự đồng thuận về giao dịch cuối cùng không thể xác định được liệu chỉ thị hành chính ban đầu có hợp lệ hay không.
Điều đó làm cho các quy trình xung quanh trở thành một phần của ranh giới bảo mật. Việc thay đổi người thụ hưởng, phê duyệt thanh toán và hành động ký giao dịch có thể yêu cầu các quyền khác nhau. Gộp cả ba thao tác này vào một tài khoản duy nhất có thể làm cho một sự xâm phạm đơn lẻ trở nên nghiêm trọng hơn.
NIST’s Cybersecurity Framework cung cấp một khuôn khổ tham chiếu rộng hơn cho các tổ chức quản lý rủi ro mạng. Tính liên quan của nó ở đây là an ninh là trách nhiệm của tổ chức, không chỉ đơn thuần là thuộc tính của một công nghệ mà một tổ chức mua về.
Sự khác biệt này có thể thấy rõ trong kiểm tra thanh toán trước khi thanh toán. Các kiểm tra được thực hiện trước khi tiền được chuyển giải quyết một vấn đề khác với việc xác minh rằng mạng lưới đã xử lý thanh toán chính xác.
Việc khôi phục phải hoạt động đối với những người sử dụng dịch vụ
Một dịch vụ công cộng có thể vẫn hoạt động về mặt kỹ thuật trong khi không đáp ứng được những người phụ thuộc vào nó. Việc mất thông tin đăng nhập, nhân viên không sẵn sàng hoặc tranh chấp tài khoản chưa được giải quyết có thể ngăn người nhận hợp lệ truy cập vào số tiền, ngay cả khi blockchain nền tảng vẫn tiếp tục tạo các khối.
Một bài tập hữu ích do đó sẽ theo dõi một sự cố thực tế từ cảnh báo đầu tiên đến khi dịch vụ được khôi phục. Cơ quan nào có thể tạm dừng lệnh thanh toán? Ai xác nhận tài khoản người nhận mới? Những hồ sơ nào xác định những gì đã xảy ra? Một người sẽ nhận sự hỗ trợ như thế nào nếu kênh kỹ thuật số thông thường không khả dụng?
Đây là những câu hỏi vận hành có thể được kiểm tra. Một chương trình đào tạo trở nên có giá trị hơn khi nhân viên thực hành các quyết định, thay vì chỉ học từ vựng về blockchain security.
Các sắp xếp về lưu ký và kiểm soát khóa cung cấp một ví dụ tài chính về việc phân bổ trách nhiệm trước. Quy trình bảo trì phần mềm trong bản cập nhật tiết lộ của Bitcoin Core cung cấp một ví dụ khác: việc biết về một bản sửa lỗi là khác với việc triển khai nó vào các hệ thống mà người dùng sử dụng.
Tác động cuối cùng của chương trình sẽ dễ đánh giá hơn thông qua các bài tập đã hoàn thành, các quy tắc phê duyệt rõ ràng hơn và các dịch vụ có thể phục hồi được chứng minh, thay vì chỉ dựa vào tổng số lượng người tham gia. Đối với các tổ chức đang xem xét thanh toán kỹ thuật số, đó là một cách hữu ích để đánh giá liệu việc xây dựng năng lực đã thay đổi thực tiễn hàng ngày hay chưa.
Được viết bởi Ban Biên tập Tin tức và biên tập bởi Samuel Rae.