India quiere cerrar el cerco a los ciberdelincuentes y actuar lo más rápido posible contra los actores de amenazas para prevenir daños mayores.
El Equipo de Respuesta de Emergencias Informáticas, dependiente del Ministerio de Electrónica y Tecnologías de la Información Indio (conocido con las siglas de CERT-In) ha emitido una orden para poder operar con celeridad ante estos incidentes.
Por la misma, a partir de ahora todas las agencias gubernamentales y privadas del país estarán obligadas a reportar los incidentes de violaciones de seguridad en un plazo de seis horas tras descubrirse su existencia.
La nueva circular emitida por CERT-In obliga a todos los proveedores de servicios, intermediarios, centros de datos, así como empresas y organizaciones gubernamentales a habilitar obligatoriamente los registros de todos sus sistemas TIC y mantenerlos durante un periodo renovable de 180 días y el mismo se mantendrá dentro de la jurisdicción india.
Las plataformas de redes sociales tampoco se salvan e igualmente tendrán que comunicar estas vulnerabilidades y estarán sujetas a esta habilitación.
Estas empresas y organizaciones tendrán que proporcionar dicho registro a CERT-In junto con el informe de cualquier incidente o si así se lo requiere el equipo de respuestas a emergencias informáticas.
Dos meses para adaptarse
"CERT-In ha identificado ciertas brechas que obstaculizan el análisis de incidentes. Para abordar las brechas y los problemas identificados a fin de facilitar las medidas de respuesta a incidentes, CERT-In ha emitido instrucciones relacionadas con las prácticas de seguridad de la información, el procedimiento, la prevención, la respuesta y el informe de incidentes cibernéticos según las disposiciones de la subsección (6) de la sección 70B de la Ley de Tecnología de la Información de 2000. Estas instrucciones entrarán en vigencia después de 60 días", señalan en un comunicado.
Las direcciones cubrirían aspectos relacionados con la sincronización de los relojes del sistema TIC; notificación obligatoria de incidentes cibernéticos a CERT-In; mantenimiento de logs de sistemas TIC; detalles de registros de suscriptores/clientes por centros de datos, proveedores de servidores privados virtuales (VPS), proveedores de servicios VPN, proveedores de servicios en la nube; Normas y prácticas de KYC por parte de proveedores de servicios de activos virtuales, proveedores de intercambio de activos virtuales y proveedores de carteras de custodia.
"Estas instrucciones mejorarán la postura general de seguridad cibernética y garantizarán una Internet segura y confiable en el país", afirman desde el organismo.