Experter: Indiens cybersäkerhetssystem lider av brister och bristande ansvarsskyldighet

Experter identifierar betydande brister i Indiens cybersäkerhetsinfrastruktur, vilket underminerar landets förmåga att skydda sig mot nätattacker. Bland de centrala problemen finns en nationell cybersäkerhetspolicy som inte uppdaterats sedan 2013, den nationella cybersäkerhetsmyndigheten CERT-In som saknar ansvarsskyldighet, samt otillräckliga konsekvenser för både de som rapporterar säkerhetsbrister och de som certifierar undermåliga system.

Flera experter, inklusive Srikanth L och Kiran Jonnalagadda, har betonat CERT-In:s brist på ansvar. Enligt dem saknar myndigheten lagliga skyldigheter att agera på rapporter om säkerhetshot eller att stå till svars för sina handlingar. "Allt med CERT-In är som ett privilegium", beskrev Jonnalagadda. "Om de känner för det, gör de något. Om man inte kan hålla dem ansvariga för att leverera tjänsten, är det inte en tjänst. Det är ett privilegium."

Ett kritiskt problem är också bristen på transparens. CERT-In samlar in rapporter om sårbarheter men avslöjar inte vad som händer med dem. Detta "svarta hål" väcker frågor om varför företag ens ska rapportera sina fynd. Säkerhetsforskaren Karan Saini fick till exempel ett svar som påstod att en identifierad sårbarhet hade åtgärdats, trots att den fortfarande var aktiv.

Som lösning föreslås lagstiftningsreformer som skulle göra CERT-In till ett ansvarsutkrävande organ, liknande Indiens lag om rätt till information (RTI). Alternativt skulle man kunna modellera ett samordningssystem som liknar USA:s CERT Coordination Center, som verkar utanför regeringen och fokuserar på hantering och kommunikation av sårbarheter.

Experterna menar att en reform av Indiens cybersäkerhetsarkitektur är nödvändig för att skydda landets digitala infrastruktur och bygga förtroende hos medborgare och företag.