The Coverage Gap: Chile's Cyber Disclosure Framework versus the USA, EU and UK
Dieses Papier identifiziert eine kritische „Abdeckungslücke“ im Cybersicherheitsrahmen Chiles, die aufzeigt, dass nur 1,7 % seiner 915 ausgewiesenen Betreiber kritischer Infrastrukturen nachverifizierbare Kanäle zur Offenlegung von Schwachstellen veröffentlichen – ein krasser Gegensatz zur nahezu universellen Compliance in den USA und der EU – und schlägt eine vierstufige Roadmap sowie ein Open-Source-Tool vor, um diesen mehrjährigen regulatorischen Rückstand zu überbrücken.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Das große Ganze: Die „Abdeckungslücke“ (The Covered Gap)
Stellen Sie sich vor, Chile hat gerade eine massive, hochtechnologische Festung gebaut, um seine wichtigsten Gebäude (Krankenhäuser, Banken, Kraftwerke, Wasserversorgungssysteme) zu schützen. Es gibt ein neues Gesetz (Ley 21.663) und eine neue Sicherheitsbehörde (ANCI), die darüber wachen sollen.
Dieses Papier stellt jedoch eine einfache Frage: Wenn jemand ein Loch in der Mauer dieser Festung findet, weiß er dann, wen er anrufen muss, um die Besitzer darüber zu informieren?
Die Autoren nennen dies die „Abdeckungslücke“ (Coverage Gap). Es ist die Distanz zwischen der Sichtbarkeit dieser Gebäude für die Öffentlichkeit und der Frage, ob sie über ein funktionierendes „Bitte nicht stören“-Schild verfügen, auf dem steht: „Wenn Sie ein Problem sehen, schreiben Sie uns hier eine Nachricht.“
Das Hauptergebnis: Eine stille Festung
Die Forscher untersuchten 915 dieser kritischen Organisationen (die „OIVs“). Sie nutzten eine Methode, die so aussieht, als würde man die Straße entlanggehen und sich die Haustüren und Fenster ansehen, ohne jemals zu versuchen, einzubrechen oder an die Tür zu klopfen.
Das haben sie herausgefunden:
- Das Klingelhorn ist kaputt: Nur 16 von 915 (etwa 1,7 %) der Organisationen haben ein funktionierendes, öffentliches „Bitte nicht stören“-Schild (eine spezifische digitale Datei namens
security.txt), das Forschern mitteilt, wie sie einen Fehler melden können. - Die großen Akteure schweigen: Keines der vier großen Banken Chiles und keines der zwei größten Telefonunternehmen hat dieses Schild.
- Das Ergebnis: Wenn ein freundlicher Forscher eine Sicherheitslücke in 98,3 % dieser kritischen Systeme findet, hat er keinen Ort, an dem er diese melden kann. Er wird vielleicht einfach weggehen, oder schlimmer noch, die Information wird an Kriminelle verkauft.
Das „E-Mail“-Problem: Der unverschlossene Briefkasten
Das Papier prüfte auch, ob diese Organisationen ihre E-Mail-Adressen schützen. Stellen Sie sich vor, die E-Mail-Adresse einer Bank stünde auf einem Stück Papier, das jeder ganz leicht fälschen könnte.
- Die Statistik: 84 % dieser Organisationen haben ihre E-Mail-Sicherheit „fehlkonfiguriert“.
- Die Analogie: Es ist, als würde eine Bank Briefe mit einer Absenderadresse verschicken, die jeder kopieren und einfügen kann. Dies macht es sehr einfach für Betrüger, sich als die Bank auszugeben und Menschen zu täuschen.
- Der Vergleich: In den USA, Großbritannien und den Niederlanden haben fast 100 % der Regierungs- und kritischen Systeme dies bereits behoben. Chile ist in Bezug auf diese spezifische Korrektur etwa 8 Jahre hinterher.
Das „Veraltete Software“-Problem: Das rostige Tor
Die Forscher warfen auch einen Blick auf die Software, die diese Organisationen verwenden.
- Die Statistik: Etwa 23 % von ihnen verwenden Software, die am „End of Life“ (Lebensende) ist (wie ein Automodell, für das der Hersteller vor 10 Jahren aufgehört hat, Ersatzteile herzustellen).
- Das Risiko: Wenn ein Hacker einen Weg findet, diese alte Software zu knacken, können die Besitzer keinen „Patch“ (eine Reparatur) erhalten, um sie zu flicken, weil der Hersteller sie nicht mehr unterstützt.
Wie sich Chile im Vergleich zur Welt schlägt
Die Autoren verglichen Chile mit fünf anderen Ländern (USA, Großbritannien, EU, Niederlande, Dänemark).
- Die Lücke: In diesen Ländern erließ die Regierung eine strikte Anordnung (ein „Mandat“), die besagte: „Ihr müsst eure E-Mail-Sicherheit beheben und eine Adresse zur Fehlermeldung veröffentlichen.“ Innerhalb eines Jahres oder zwei hatten fast alle dies behoben.
- Chiles Situation: Chile hat das Gesetz auf dem Papier, hat aber noch keine spezifische Anordnung zur Behebung dieser technischen Details erlassen. Die Autoren sagen, dass Chile in der E-Mail-Sicherheit etwa 8 Jahre und in anderen Bereichen etwa 3 Jahre hinterherhinkt.
Der vorgeschlagene Lösungsweg: Ein einfacher Fahrplan
Das Papier schlägt nicht vor, ein neues, teures Super-System zu bauen. Stattdessen schlägt es vier einfache Schritte vor, die Chile sofort unternehmen kann, ähnlich wie andere Länder es bereits getan haben:
- Die „Reparatur-Anordnung“: Die Sicherheitsbehörde (ANCI) sollte eine einfache Regel erlassen, die besagt: „Bis zum nächsten Jahr muss jede kritische Organisation ihre E-Mail-Sicherheit korrigiert und eine Adresse zur Fehlermeldung veröffentlicht haben.“ (Dies ist das, was die USA 2017 taten).
- Das Telefonbuch: Erstellen Sie eine öffentliche Liste, in der jeder die richtige E-Mail-Adresse nachschlagen kann, um einen Fehler für eine der 915 Organisationen zu melden.
- Der Hilfsdienst: Die Regierung sollte ein kostenloses Tool anbieten, das Organisationen dabei hilft, ihre E-Mail-Einstellungen zu überprüfen, damit sie keine teuren Experten dafür engagieren müssen.
- Der Jahresbericht: Veröffentlichen Sie jedes Jahr einen Bericht, der zeigt, wer seine Sicherheit verbessert hat und wer nicht. Wenn Sie es nicht beheben, müssen Sie dies öffentlich erklären.
Das Fazcheit
Das Papier kommt zu dem Schluss, dass Chile zwar die Gesetze und die Regulierungsbehörden hat, aber es an den operativen Werkzeugen mangelt, um diese wirksam zu machen.
Im Moment gibt es, wenn ein freundlicher Hacker eine Schwachstelle in einem chilenischen Krankenhaus oder einer Bank findet, wahrscheinlich keine Möglichkeit, die Besitzer zu informieren. Die „Abdeckungslücke“ ist riesig. Die gute Nachricht ist, dass die Lösung günstig und einfach ist und sich in anderen Ländern bereits bewährt hat. Die Autoren argumentieren, dass Chile aufhören sollte zu warten und stat also sofort mit der Behebung dieser Lücken zu beginnen, da der nächste große Cyberangriff wahrscheinlich genau in dieser Lücke stattfinden wird.
Was das Papier nicht sagt
- Es sagt nicht, dass diese Organisationen kürzlich gehackt wurden. Es sagt nur, dass sie derzeit „unerreichbar“ für Meldungen von Problemen sind.
- Es nennt in dem Bericht keine spezifischen Banken oder Krankenhäuser, um sie vor böswilligen Akteuren zu schützen.
- Es behauptet nicht, dass Chile im Allgemeinen „unsicher“ sei, sondern dass das System zur Meldung von Problemen defekt ist.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.