Experten: Indiens Cybersicherheitssystem mangelt es an Politik, Rechenschaftspflicht und Konsequenzen
Experten heben erhebliche Mängel im indischen Cybersicherheitsrahmen hervor, darunter eine veraltete Richtlinie, eine nicht rechenschaftspflichtige Aufsichtsbehörde und fehlende Konsequenzen bei Sicherheitsverletzungen und für Prüfer.
Indiens Cybersicherheits-Ökosystem weist kritische Mängel auf, darunter eine nationale Richtlinie, die seit 2013 unverändert ist, eine nicht rechenschaftspflichtige nationale Cybersicherheitsagentur (CERT-In) und das Fehlen von Konsequenzen für Sicherheitsprüfer und Unternehmen, die Daten nicht adäquat schützen. Diese durch Expertenkonsultationen identifizierten Probleme untergraben die Verteidigungsfähigkeit des Landes gegen Cyberbedrohungen.
Zentrale Bedenken gelten der fehlenden Rechenschaftspflicht von CERT-In. Experten wie Srikanth L und Kiran Jonnalagadda erklären, dass die Agentur keine rechtliche Verpflichtung hat, auf gemeldete Schwachstellen zu reagieren oder für Untätigkeit zur Verantwortung gezogen zu werden. "Alles bei CERT-In ist wie ein Privileg", erklärte Jonnalagadda. "Wenn sie Lust dazu haben, tun sie etwas. Wenn man sie nicht für die Erbringung der Dienstleistung zur Verantwortung ziehen kann, ist es keine Dienstleistung. Es ist ein Privileg."
Das Problem wird durch mangelnde Transparenz verschärft. CERT-In sammelt Berichte über Sicherheitslücken, gibt jedoch keine Auskunft über die Ergebnisse, was ein "schwarzes Loch" schafft, in dem Unternehmen wenig Anreiz haben, Probleme zu melden. Der Sicherheitsforscher Karan Saini berichtete von einer Erfahrung, bei der CERT-In behauptete, eine Schwachstelle behoben zu haben, obwohl diese weiterhin bestand, was den ineffektiven Reaktionsmechanismus der Agentur verdeutlicht.
Zu den vorgeschlagenen Lösungen gehören Gesetzesreformen, um CERT-In gesetzlich zur Rechenschaft zu verpflichten, ähnlich dem indischen Recht auf Information (Right to Information Act). Alternativ könnte die Übernahme eines Modells wie dem US-amerikanischen CVE-System (Common Vulnerabilities and Exposures), das eine vertrauliche Offenlegungsfrist gefolgt von einer zwingenden Veröffentlichung sicherstellt, den Umgang mit Schwachstellen verbessern.
Letztlich argumentieren Experten, dass eine grundlegende Umstrukturierung des indischen Cybersicherheitsansatzes unerlässlich ist, um die digitale Infrastruktur des Landes zu schützen und Vertrauen bei Bürgern und Unternehmen aufzubauen.