Asiantuntijat: Intian kyberturvajärjestelmässä puutteita ja vastuuttomuutta

Asiantuntijoiden mukaan Intian kyberturvajärjestelmässä on merkittäviä puutteita, jotka heikentävät maan kykyä suojautua verkkouhilta. Keskeisiä ongelmia ovat vuoden 2013 jälkeen päivittämättä jäänyt kansallinen kyberturvallisuuspolitiikka, vastuuton kansallinen kyberturvallisuusvirasto CERT-In sekä puutteelliset seuraukset tietoturvauhan havainneille ja huonoja järjestelmiä sertifioiville tahoille.

Monet asiantuntijat, mukaan lukien Srikanth L ja Kiran Jonnalagadda, ovat korostaneet CERT-In:n vastuuttomuutta. Heidän mukaansa virastolla ei ole laillisia velvoitteita toimia tietoturvauhkailmoitusten perusteella tai vastata toimistaan. "Kaikki CERT-In:n kanssa on kuin etuoikeutta", Jonnalagadda kuvaili. "Jos he niin haluavat, he tekevät jotain. Jos heitä ei voi pitää vastuussa palvelun toimittamisesta, se ei ole palvelu. Se on etuoikeus."

Kriittinen ongelma on myös tiedonkulun puute. CERT-In kerää raportteja haavoittuvuuksista, mutta ei paljasta, mitä ilmoituksille tapahtuu. Tämä "musta aukko" herättää kysymyksiä siitä, miksi yritysten kannattaisi raportoida löytämistään ongelmista. Esimerkiksi tietoturvatutkija Karan Saini sai vastauksen, jossa väitettiin ratkaistua haavoittuvuutta, vaikka se oli edelleen olemassa.

Ratkaisuksi ehdotetaan lainsäädännön uudistamista, joka tekisi CERT-In:stä tilivelvollisen viranomaisen, samankaltaisen kuin kansalaisoikeuksia koskeva tiedonsaantilaki (RTI). Vaihtoehtoisesti voitaisiin mallintaa Yhdysvaltain CERT Coordination Centerin kaltaista koordinaatiojärjestelmää, joka toimii hallituksen ulkopuolella ja keskittyy haavoittuvuuksien hallintaan ja tiedottamiseen.

Asiantuntijoiden mukaan Intian kyberturvallisuusrakenteen uudistaminen on välttämätöntä maan digitaalisen infrastruktuurin suojelemiseksi ja luottamuksen rakentamiseksi kansalaisten ja yritysten keskuudessa.