The Coverage Gap: Chile's Cyber Disclosure Framework versus the USA, EU and UK
Dit artikel identificeert een kritieke "dekkingskloof" in het cyberbeveiligingskader van Chili, waarbij wordt onthuld dat slechts 1,7% van de 915 aangewezen exploitanten van vitale infrastructuur verifieerbare kanalen voor het melden van kwetsbaarheden publiceert — een schril contrast met de bijna universele naleving in de VS en de EU — en stelt een vierfasenroutekaart voor naast een open-source tool om deze meerjarige regelgevende achterstand te overbruggen.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
Het Grote Plaatje: De "Gedekte Kloof"
Stel je voor dat Chili zojuist een massaal, hypermodern fort heeft gebouwd om zijn belangrijkste gebouwen (ziekenhuizen, banken, elektriciteitscentrales, watersystemen) te beschermen. Ze hebben een nieuwe wet (Ley 21.663) en een nieuwe beveiligingsinstantie (ANCI) om erover te waken.
Echter, dit artikel stelt een simpele vraag: Als iemand een gat in de muur van dit fort vindt, weten ze dan wie ze moeten bellen om de eigenaren ervan op de hoogte te stellen?
De auteurs noemen dit de "Coverage Gap" (de gedekte kloof). Het is de afstand tussen hoe zichtbaar deze gebouwen zijn voor het publiek en of ze een werkend "Niet Storen"-bordje hebben met de tekst: "Als je een probleem ziet, stuur ons hier een berichtje."
De Belangrijkste Bevinding: Een Stille Vesting
De onderzoekers keken naar 915 van deze kritieke organisaties (de "OIV's"). Ze gebruikten een methode die vergelijkbaar is met het langs de straat lopen en naar de voordeuren en ramen kijken, zonder ooit te proberen in te breken of aan te kloppen.
Dit is wat ze vonden:
- De Deurbel is Kapot: Slechts 16 van de 915 (ongeveer 1,7%) organisaties hebben een werkend, publiek "Niet Storen"-bordje (een specifiek digitaal bestand genaamd
security.txt) dat onderzoekers vertelt hoe ze een fout kunnen melden. - De Grote Spelers zijn Stil: Geen van de vier grote banken van Chili en geen van de twee grootste telecombedrijven heeft dit bordje.
- Het Resultaat: Als een vriendelijke onderzoeker een beveiligingslek vindt in 98,3% van deze kritieke systemen, heeft hij geen plek om het te melden. Hij kan er gewoon naast lopen, of erger nog, de informatie kan worden verkocht aan criminelen.
Het "E-mail" Probleem: De Openstaande Brievenbus
Het artikel controleerde ook of deze organisaties hun e-mailadressen beschermden. Stel je voor dat het e-mailadres van een bank op een papiertje staat dat iedereen heel gemakkelijk kan kopiëren.
- De Statistiek: 84% van deze organisaties heeft hun e-mailbeveiliging "misgeconfigureerd".
- De Analogie: Het is alsof een bank brieven verstuurt met een afzender die iedereen gemakkelijk kan kopiëren en plakken. Dit maakt het heel makkelijk voor oplichters om zich voor te doen als de bank en mensen te bedriegen.
- De Vergelijking: In de VS, het VK en Nederland heeft bijna 100% van de overheid en kritieke systemen dit al opgelost. Chili loopt op dit specifieke punt ongeveer 8 jaar achter op hen.
Het "Oude Software" Probleem: Het Roestige Hek
De onderzoekers hebben ook even in de software gekeken die deze organisaties gebruiken.
- De Statistiek: Ongeveer 23% van hen gebruikt software die "End of Life" is (zoals een automodel waar de fabrikant 10 jaar geleden al mee is gestopt en waarvoor geen onderdelen meer worden gemaakt).
- Het Risico: Als een hacker een manier vindt om die oude software te breken, kunnen de eigenaren geen "patch" (reparatie) krijgen om het te herstellen, omdat de fabrikant de ondersteuning heeft stopgezet.
Hoe Chili zich Verhoudt tot de Wereld
De auteurs vergeleken Chili met vijf andere landen (VS, VK, EU, Nederland, Denemarken).
- De Kloof: In die landen vaardigde de overheid een strikt bevel uit (een "mandaat") met de tekst: "Je moet je e-mailbeveiliging herstellen en een adres voor het melden van bugs plaatsen." Binnen een jaar of twee had bijna iedereen dit opgelost.
- Chili's Situatie: Chili heeft de wet op papier, maar heeft nog geen specifiek bevel uitgevaardigd om deze technische details te herstellen. De auteurs zeggen dat Chili ongeveer 8 jaar achterloopt op de koplopers wat betreft e-mailbeveiliging en 3 jaar achterloopt op andere gebieden.
De Voorgestelde Oplossing: Een Simpel Stappenplan
Het artikel suggereert niet om een nieuw, duur supercomplex te bouwen. In plaats daarvan stellen ze vier simpele stappen voor die Chili onmiddellijk kan nemen, vergelijkbaar met wat andere landen al hebben gedaan:
- Het "Herstel"-bevel: De beveiligingsinstantie (ANCI) moet een simpele regel uitgeven die zegt: "Tegen volgend jaar moet elke kritieke organisatie zijn e-mailbeveiliging hebben hersteld en een adres voor het melden van bugs plaatsen." (Dit is wat de VS deed in 2017).
- De Telefoonboeken: Maak een openbare lijst waar iedereen het juiste e-mailadres kan opzoeken om een bug te melden voor een van de 915 organisaties.
- De Helpende Dienst: De overheid moet een gratis tool aanbieden om organisaties te helpen hun e-mailinstellingen te controleren, zodat ze geen dure experts hoeven in te huren.
- Het Jaarlijkse Verslag: Publiceer elk jaar een rapport waarin staat wie de beveiliging heeft hersteld en wie niet. Als je het niet herstelt, moet je dat publiekelijk verklaren.
De Conclusie
Het artikel concludeert dat Chili de wetten en de toezichthouders heeft, maar de operationele instrumenten mist om ze te laten werken.
Op dit moment heeft een vriendelijke hacker die een kwetsbaarheid vindt in een Chileens ziekenhuis of een bank, waarschijnlijk geen manier om de eigenaren te informeren. De "Coverage Gap" is enorm. Het goede nieuws is dat de oplossing goedkoop en eenvoudig is, en al bewezen heeft te werken in andere landen. De auteurs betogen dat Chili moet stoppen met wachten en direct deze gaten moet dichten, want de volgende grote cyberaanval zal waarschijnlijk in die kloof plaatsvinden.
Wat het Artikel Niet Zegt
- Het zegt niet dat deze organisaties onlangs zijn gehackt. Het zegt alleen dat ze momenteel "onbereikbaar" zijn voor het melden van problemen.
- Het noemt specifieke banken of ziekenhuizen niet in het rapport om hen te beschermen tegen gerichte aanvallen door kwaadwillenden.
- Het beweert niet dat Chili in algemene zin "onveilig" is, maar dat het systeem voor het melden van problemen kapot is.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.