Lei Cibernética - Guia Rápido

Ciberespaço

O ciberespaço pode ser definido como um ambiente intrincado que envolve interações entre pessoas, software e serviços. É mantido pela distribuição mundial de dispositivos e redes de tecnologia da informação e comunicação.

Com os benefícios trazidos pelos avanços tecnológicos, o ciberespaço hoje se tornou um pool comum usado por cidadãos, empresas, infraestrutura de informação crítica, militares e governos de uma forma que torna difícil induzir limites claros entre esses diferentes grupos. Prevê-se que o ciberespaço se tornará ainda mais complexo nos próximos anos, com o aumento das redes e dispositivos conectados a ele.

Cíber segurança

A segurança cibernética denota as tecnologias e procedimentos destinados a proteger computadores, redes e dados contra admissão ilegal, fraquezas e ataques transportados pela Internet por delinqüentes cibernéticos.

ISO 27001 (ISO27001) é o padrão internacional de segurança cibernética que fornece um modelo para criar, aplicar, funcionar, monitorar, revisar, preservar e melhorar um Sistema de Gestão de Segurança da Informação.

O Ministério da Comunicação e Tecnologia da Informação sob o governo da Índia fornece um esboço de estratégia chamado Política Nacional de Segurança Cibernética. O objetivo deste órgão governamental é proteger a infraestrutura pública e privada contra ataques cibernéticos.

Política de Cibersegurança

A política de segurança cibernética é uma missão em desenvolvimento que atende a todo o campo de usuários e provedores de Tecnologia da Informação e Comunicação (TIC). Inclui -

  • Usuários domésticos
  • Pequenas, médias e grandes empresas
  • Entidades governamentais e não governamentais

Ele serve como uma estrutura de autoridade que define e orienta as atividades associadas à segurança do ciberespaço. Ele permite que todos os setores e organizações elaborem políticas de segurança cibernética adequadas para atender aos seus requisitos. A política fornece um esboço para proteger com eficácia as informações, os sistemas de informação e as redes.

Dá uma compreensão da abordagem e estratégia do governo para a segurança do espaço cibernético no país. Ele também esboça algumas dicas para permitir o trabalho colaborativo entre os setores público e privado para proteger a informação e os sistemas de informação. Portanto, o objetivo desta política é criar uma estrutura de segurança cibernética, que leve a ações e programas detalhados para aumentar o transporte de segurança do ciberespaço.

Cibercrime

o Information Technology Act 2000 ou qualquer legislação do País não descreve ou menciona o termo Cyber Crime. Pode ser considerado globalmente como a face mais sombria da tecnologia. A única diferença entre um crime tradicional e um cibercrime é que o cibercrime envolve um crime relacionado a computadores. Vamos ver o seguinte exemplo para entendê-lo melhor -

Traditional Theft - Um ladrão invade a casa de Ram e steals um objeto guardado em casa.

Hacking - Um Cibercriminoso / Hacker sentado em sua própria casa, através de seu computador, hackeia o computador de Ram e steals os dados salvos no computador de Ram sem tocar fisicamente no computador ou entrar na casa de Ram.

A Lei de TI de 2000 define os termos -

  • acesso na rede de computadores em section 2(a)

  • computador em section 2(i)

  • rede de computadores em section (2j)

  • dados em section 2(0)

  • informação em section 2(v).

Para entender o conceito de crime cibernético, você deve conhecer essas leis. O objeto da ofensa ou o alvo de um crime cibernético são o computador ou os dados armazenados no computador.

Natureza da Ameaça

Entre os desafios mais sérios do século 21 estão as ameaças existentes e possíveis na esfera da cibersegurança. Ameaças se originam de todos os tipos de fontes e se marcam em atividades perturbadoras que visam indivíduos, empresas, infraestruturas nacionais e governos. Os efeitos dessas ameaças transmitem risco significativo para o seguinte -

  • segurança Pública
  • segurança das nações
  • estabilidade da comunidade internacional globalmente ligada

O uso malicioso de tecnologia da informação pode ser facilmente ocultado. É difícil determinar a origem ou a identidade do criminoso. Mesmo a motivação para a interrupção não é uma tarefa fácil de descobrir. Os criminosos dessas atividades só podem ser descobertos a partir do alvo, do efeito ou de outras evidências circunstanciais. Os atores da ameaça podem operar com considerável liberdade de praticamente qualquer lugar. Os motivos de interrupção podem ser qualquer coisa como -

  • simplesmente demonstrando habilidades técnicas
  • roubo de dinheiro ou informação
  • extensão do conflito estadual, etc.

Criminosos, terroristas e, às vezes, o próprio Estado agem como a fonte dessas ameaças. Criminosos e hackers usam diferentes tipos de ferramentas e abordagens maliciosas. Com as atividades criminosas tomando novos contornos a cada dia, a possibilidade de ações nocivas se propaga.

Habilitando Pessoas

A falta de conscientização sobre a segurança da informação entre os usuários, que podem ser um simples aluno de escola, um administrador de sistema, um desenvolvedor ou até mesmo um CEO de uma empresa, leva a uma variedade de vulnerabilidades cibernéticas. A política de conscientização classifica as seguintes ações e iniciativas para fins de conscientização, educação e treinamento do usuário -

  • Um programa completo de conscientização a ser promovido em nível nacional.

  • Um programa de treinamento abrangente que pode atender às necessidades da segurança da informação nacional (Programas de segurança de TI em escolas, faculdades e universidades).

  • Aumentar a eficácia dos programas de treinamento em segurança da informação vigentes. Planejar programas de treinamento de domínio específico (por exemplo, Polícia, Judiciário, E-Governance, etc.)

  • Endossar o apoio do setor privado para certificações de segurança da informação profissional.

Lei de Tecnologia da Informação

O Governo da Índia promulgou a Lei de Tecnologia da Informação com alguns objetivos principais que são os seguintes -

  • Fornecer reconhecimento legal para transações por meio de intercâmbio eletrônico de dados (EDI) e outros meios de comunicação eletrônica, comumente referido como electronic commerceou E-Commerce. O objetivo era substituir os métodos de comunicação e armazenamento de informações em papel.

  • Para facilitar o arquivamento eletrônico de documentos junto às agências governamentais e, posteriormente, emendar o Código Penal Indiano, a Lei de Provas da Índia, 1872, a Lei de Provas de Livros de Banqueiros de 1891 e a Lei do Banco da Reserva da Índia de 1934 e para questões relacionadas a elas ou incidentais para isso.

A Lei de Tecnologia da Informação de 2000 foi então aprovada como Lei No.21 de 2000. A Lei de TI obteve o consentimento do Presidente em 9 de junho de 2000 e entrou em vigor em 17 de outubro de 2000. Com a adoção desta Legislação Cibernética, a Índia tornou-se a 12ª nação do mundo a adotar um regime de Lei Cibernética.

Programa de Missão e Visão de Segurança Cibernética

Missão

A missão a seguir atende à segurança cibernética -

  • Para salvaguardar a informação e a infraestrutura de informação no ciberespaço.

  • Para construir capacidades para prevenir e responder às ameaças cibernéticas.

  • Para reduzir vulnerabilidades e minimizar danos de incidentes cibernéticos por meio de uma combinação de estruturas institucionais, pessoas, processos, tecnologia e cooperação.

Visão

Para construir um ciberespaço seguro e resiliente para cidadãos, empresas e governo.

As recentes revelações de Edward Snowden sobre o programa de vigilância dos EUA PRISM demonstraram como uma rede de entidade legal e um sistema de computador fora de uma jurisdição específica estão sujeitos à vigilância sem o conhecimento de tais entidades legais. Os casos cibernéticos relacionados à interceptação e espionagem estão aumentando a uma taxa alarmante. Para coibir esses crimes, as leis cibernéticas estão sendo alteradas com bastante regularidade.

Tendências emergentes da lei cibernética

Os relatórios revelam que os próximos anos terão mais ataques cibernéticos. Portanto, as organizações são aconselhadas a fortalecer suas cadeias de suprimento de dados com melhores métodos de inspeção.

Algumas das tendências emergentes da lei cibernética estão listadas abaixo -

  • Regras regulatórias estritas são postas em prática por muitos países para prevenir o acesso não autorizado às redes. Esses atos são declarados como infrações penais.

  • As partes interessadas das empresas de telefonia móvel apelarão aos governos de todo o mundo para reforçar os sistemas e administrações jurídicas cibernéticas para regulamentar as ameaças e crimes emergentes da telefonia móvel.

  • A crescente conscientização sobre privacidade é outra tendência que está por vir. O especialista em internet do Google, Vint Cerf, afirmou que a privacidade pode ser na verdade uma anomalia.

  • Cloud computingé outra grande tendência de crescimento. Com mais avanços na tecnologia, grandes volumes de dados fluirão para a nuvem, que não é completamente imune a crimes cibernéticos.

  • O crescimento de Bitcoinse outras moedas virtuais são outra tendência a se observar. Os crimes de bitcoin provavelmente se multiplicarão em um futuro próximo.

  • A chegada e aceitação da análise de dados, que é outra tendência importante a ser seguida, requer que seja dada atenção adequada às questões relativas Big Data.

Criar consciência

Embora o governo dos Estados Unidos tenha declarado outubro como o mês da Conscientização sobre Segurança Cibernética Nacional, a Índia está seguindo a tendência de implementar um esquema de conscientização rigoroso para o público em geral.

O público em geral está parcialmente ciente dos crimes relacionados a virus transfer. No entanto, eles não têm consciência do panorama geral das ameaças que podem afetar suas vidas cibernéticas. Existe uma grande falta de conhecimento sobre crimes cibernéticos de comércio eletrônico e bancos on-line entre a maioria dos usuários da Internet.

Fique atento e siga as dicas fornecidas abaixo enquanto participa das atividades online -

  • Filtre a visibilidade das informações pessoais em sites sociais.

  • Não mantenha o botão "lembrar senha" ativo para endereços de e-mail e senhas

  • Certifique-se de que sua plataforma de banco online seja segura.

  • Fique atento enquanto faz compras online.

  • Não salve senhas em dispositivos móveis.

  • Proteja os detalhes de login para dispositivos móveis e computadores, etc.

Áreas de Desenvolvimento

As "Tendências da lei cibernética na Índia 2013" e "Desenvolvimentos da lei cibernética na Índia em 2014" são dois trabalhos de pesquisa relacionados à lei cibernética proeminentes e confiáveis ​​fornecidos pela Organização Perry4Law (P4LO) para os anos de 2013 e 2014.

Existem alguns problemas graves relacionados à lei cibernética que merecem consideração imediata por parte do governo da Índia. As questões foram apresentadas pela rodada de legislação cibernética indiana de 2014 fornecida pela P4LO e pelo Centro de Investigação de Crimes Cibernéticos da Índia (CCICI). A seguir estão alguns problemas importantes -

  • Uma lei cibernética melhor e uma estratégia eficaz de prevenção de crimes cibernéticos
  • Requisitos de treinamento para investigação de crimes cibernéticos
  • Formulação de leis de criptografia dedicadas
  • Adoção legal da computação em nuvem
  • Formulação e implementação de política de e-mail
  • Questões jurídicas de pagamentos online
  • Legalidade de jogos de azar online e farmácias online
  • Legalidade de Bitcoins
  • Framework para bloqueio de sites
  • Regulamentação de aplicativos móveis

Com a formação das compulsões da lei cibernética, a obrigação dos bancos por roubos e crimes cibernéticos aumentaria consideravelmente em um futuro próximo. Os bancos indianos devem manter uma equipe dedicada de especialistas em leis cibernéticas ou buscar a ajuda de especialistas externos nesse sentido.

As transações de ciber-seguro devem ser aumentadas pelo setor de seguros indiano como consequência dos crescentes ciberataques e cibercrimes.

Rede Internacional de Cibersegurança

Para criar uma rede internacional de segurança cibernética, uma conferência foi realizada em março de 2014 em Nova Delhi, Índia.

Os objetivos definidos na Conferência Internacional sobre Legislação Cibernética e Crime Cibernético são os seguintes -

  • Reconhecer as tendências em desenvolvimento no Cyberlaw e a legislação que afeta o ciberespaço na situação atual.

  • Gerar melhor conscientização para combater os mais recentes tipos de crimes cibernéticos que afetam todos os investidores na rede digital e móvel.

  • Reconhecer as áreas para as partes interessadas da rede digital e móvel em que o Cyberlaw precisa ser mais desenvolvido.

  • Atuar no sentido de criar uma rede internacional de crimes cibernéticos. As autoridades legais podem então ser uma voz significativa na expansão de crimes cibernéticos e legislações de leis cibernéticas em todo o mundo.

Direitos de propriedade intelectual são os direitos legais que cobrem os privilégios dados a indivíduos que são os proprietários e inventores de uma obra e criaram algo com sua criatividade intelectual. Esses direitos podem ser concedidos a indivíduos relacionados a áreas como literatura, música, invenção, etc., que podem então ser usados ​​nas práticas de negócios por eles.

O criador / inventor obtém direitos exclusivos contra qualquer uso indevido ou uso da obra sem sua informação prévia. No entanto, os direitos são concedidos por um período limitado de tempo para manter o equilíbrio.

A seguinte lista de atividades que são cobertas pelos direitos de propriedade intelectual são estabelecidas pela Organização Mundial de Propriedade Intelectual (WIPO) -

  • Desenhos industriais
  • Descobertas científicas
  • Proteção contra concorrência desleal
  • Obras literárias, artísticas e científicas
  • Invenções em todos os campos da atividade humana
  • Apresentações de artistas, fonogramas e transmissões
  • Marcas registradas, marcas de serviço, nomes comerciais e designações
  • Todos os outros direitos resultantes da atividade intelectual nos campos industrial, científico, literário ou artístico

Tipos de direitos de propriedade intelectual

Os direitos de propriedade intelectual podem ser classificados nas seguintes categorias -

  • Copyright
  • Patent
  • Patent
  • Segredos comerciais, etc.

Vantagens dos direitos de propriedade intelectual

Os direitos de propriedade intelectual são vantajosos das seguintes maneiras -

  • Fornece direitos exclusivos aos criadores ou inventores.

  • Encoraja os indivíduos a distribuir e compartilhar informações e dados em vez de mantê-los confidenciais.

  • Fornece defesa legal e oferece aos criadores o incentivo ao seu trabalho.

  • Auxilia no desenvolvimento social e financeiro.

Direitos de propriedade intelectual na Índia

Para proteger os direitos de propriedade intelectual no território indiano, a Índia definiu a formação de contornos constitucionais, administrativos e jurisdicionais se eles implicam direitos autorais, patentes, marcas registradas, desenhos industriais ou quaisquer outras partes dos direitos de propriedade intelectual.

No ano de 1999, o governo aprovou uma importante legislação baseada em práticas internacionais para salvaguardar os direitos de propriedade intelectual. Vamos dar uma olhada no mesmo -

  • o Patents(Emenda) Lei de 1999, facilita o estabelecimento do sistema de caixa postal para depósito de patentes. Oferece direitos exclusivos de marketing por um período de cinco anos.

  • o Trade Marks Bill, 1999, substituiu o Trade and Merchandise Marks Act, 1958

  • o Copyright (Emenda) Ato de 1999 foi assinado pelo Presidente da Índia.

  • o sui generis a legislação foi aprovada e nomeada como Projeto de Indicações Geográficas de Mercadorias (Registro e Proteção) de 1999.

  • o Industrial Designs Bill, 1999, substituiu o Designs Act de 1911.

  • o Patents (Second Amendment) Projeto de lei, 1999, para emendas adicionais à Lei de Patentes de 1970 em conformidade com o TRIPS.

Propriedade Intelectual no Espaço Cibernético

Cada nova invenção no campo da tecnologia enfrenta uma variedade de ameaças. A Internet é uma dessas ameaças, que conquistou o mercado físico e o converteu em um mercado virtual.

Para salvaguardar o interesse do negócio, é vital criar um mecanismo eficaz de gestão e proteção de propriedade tendo em mente a quantidade considerável de negócios e comércio que ocorrem no Espaço Cibernético.

Hoje, é fundamental para todas as empresas desenvolver um mecanismo de gerenciamento de IP e uma estratégia de proteção eficazes e colaborativos. As ameaças sempre crescentes no mundo cibernético podem, portanto, ser monitoradas e confinadas.

Várias abordagens e legislações foram elaboradas pelos legisladores para aumentar a aposta na entrega de uma configuração segura contra essas ameaças cibernéticas. No entanto, é dever do proprietário dos direitos de propriedade intelectual (DPI) invalidar e reduzir tais atos de má-fé de criminosos, tomando medidas proativas.

Para projetar e implementar um ciberespaço seguro, algumas estratégias rigorosas foram postas em prática. Este capítulo explica as principais estratégias empregadas para garantir a segurança cibernética, que incluem o seguinte -

  • Criação de um ecossistema cibernético seguro
  • Criação de uma estrutura de garantia
  • Incentivando padrões abertos
  • Fortalecimento da Estrutura Regulatória
  • Criação de mecanismos para segurança de TI
  • Protegendo serviços de governança eletrônica
  • Proteção da infraestrutura de informações críticas

Estratégia 1 - Criação de um ecossistema cibernético seguro

O ecossistema cibernético envolve uma ampla gama de entidades variadas, como dispositivos (tecnologias de comunicação e computadores), indivíduos, governos, organizações privadas, etc., que interagem entre si por inúmeras razões.

Esta estratégia explora a ideia de ter um ecossistema cibernético forte e robusto, onde os dispositivos cibernéticos possam trabalhar uns com os outros no futuro para prevenir ataques cibernéticos, reduzir sua eficácia ou encontrar soluções para se recuperar de um ataque cibernético.

Esse ecossistema cibernético teria a capacidade embutida em seus dispositivos cibernéticos para permitir formas seguras de ação a serem organizadas dentro e entre grupos de dispositivos. Este ecossistema cibernético pode ser supervisionado por técnicas de monitoramento atuais, onde produtos de software são usados ​​para detectar e relatar falhas de segurança.

Um forte ecossistema cibernético tem três estruturas simbióticas - Automation, Interoperability, e Authentication.

  • Automation - Facilita a implementação de medidas avançadas de segurança, aumenta a agilidade e otimiza os processos de tomada de decisão.

  • Interoperability- Endurece as ações colaborativas, melhora a consciência e acelera o processo de aprendizagem. Existem três tipos de interoperabilidade -

    • Semântica (ou seja, léxico compartilhado com base no entendimento comum)
    • Technical
    • Política - importante para assimilar diferentes contribuintes em uma estrutura inclusiva de defesa cibernética.
  • Authentication - Melhora as tecnologias de identificação e verificação que funcionam de forma a fornecer -

    • Security
    • Affordability
    • Facilidade de uso e administração
    • Scalability
    • Interoperability

Comparação de Ataques

A tabela a seguir mostra a comparação das categorias de ataque com os recursos desejados do ecossistema cibernético -

Estudo de caso

O diagrama a seguir foi preparado por Guilbert Gates for The New York Times, que mostra como uma planta iraniana foi hackeada pela internet.

Explanation- Um programa foi projetado para operar automaticamente a usina nuclear iraniana. Infelizmente, um funcionário que não estava ciente das ameaças introduziu o programa no controlador. O programa coletou todos os dados relacionados à planta e enviou as informações para as agências de inteligência que desenvolveram e inseriram um worm na planta. Usando o verme, a planta foi controlada por canalhas, o que levou à geração de mais vermes e, como resultado, a planta falhou completamente.

Tipos de Ataques

A tabela a seguir descreve as categorias de ataque -

Categoria de Ataque Descrição do Ataque
Atrito

Métodos usados ​​para danificar redes e sistemas. Inclui o seguinte -

  • ataques distribuídos de negação de serviço
  • prejudicar ou negar acesso a um serviço ou aplicativo
  • ataques de esgotamento de recursos
Malware Qualquer software malicioso usado para interromper a operação normal do computador e danificar ativos de informação sem o consentimento do proprietário. Qualquer execução de um dispositivo removível pode aumentar a ameaça de um malware.
Hacking

Uma tentativa de explorar intencionalmente os pontos fracos para obter acesso antiético, geralmente conduzida remotamente. Pode incluir -

  • ataques de vazamento de dados
  • ataques de injeção e abuso de funcionalidade
  • spoofing
  • ataques de estado de tempo
  • ataques de buffer e estrutura de dados
  • manipulação de recursos
  • uso de credenciais roubadas
  • backdoors
  • ataques de dicionário em senhas
  • exploração de autenticação
Táticas Sociais

Usando táticas sociais como engano e manipulação para adquirir acesso a dados, sistemas ou controles. Inclui -

  • pré-texto (pesquisas forjadas)
  • incitando phishing
  • recuperação de informações por meio de conversas
Uso impróprio (ameaça interna)

Uso indevido de direitos a dados e controles por um indivíduo em uma organização que violaria as políticas da organização. Inclui -

  • instalação de software não autorizado
  • remoção de dados sensíveis
Ação física / perda ou roubo de equipamento

Ataques dirigidos por humanos, como -

  • tokens de identidade e cartões de crédito roubados
  • manipular ou substituir leitores de cartão e terminais de ponto de venda
  • interferindo com sensores
  • roubo de um dispositivo de computação usado pela organização, como um laptop
Multiple Component Técnicas de anexação única que contêm várias técnicas e componentes de ataque avançado.
De outros

Ataques como -

  • ataques à cadeia de abastecimento
  • investigação de rede

Estratégia 2 - Criando uma Estrutura de Garantia

O objetivo desta estratégia é projetar um esboço em conformidade com os padrões globais de segurança por meio de produtos, processos, pessoas e tecnologia tradicionais.

Para atender aos requisitos de segurança nacional, uma estrutura nacional conhecida como Cybersecurity Assurance Frameworkfoi desenvolvido. Ele acomoda organizações de infraestrutura crítica e os governos por meio de ações de "habilitação e endosso".

Enablingas ações são realizadas por entidades governamentais que são órgãos autônomos e isentos de interesses comerciais. A publicação de "Requisitos de conformidade da política de segurança nacional" e as diretrizes e documentos de segurança de TI para permitir a implementação e conformidade da segurança de TI são feitas por essas autoridades.

Endorsing ações estão envolvidas em serviços lucrativos após o cumprimento dos padrões de qualificação obrigatórios e incluem o seguinte -

  • Certificação ISMS ISO 27001 / BS 7799, auditorias de sistema IS, etc., que são essencialmente as certificações de conformidade.

  • Padrão 'Common Criteria' ISO 15408 e padrões de verificação do módulo Crypto, que são a avaliação e certificação do produto de segurança de TI.

  • Serviços para auxiliar os consumidores na implementação de segurança de TI, como treinamento de pessoal de segurança de TI.

Certificação de empresa confiável

As TI / ITES / BPOs indianas precisam cumprir os padrões internacionais e as melhores práticas de segurança e privacidade com o desenvolvimento do mercado de terceirização. ISO 9000, CMM, Six Sigma, Gestão da Qualidade Total, ISO 27001 etc., são algumas das certificações.

Os modelos existentes, como os níveis SEI CMM, destinam-se exclusivamente a processos de desenvolvimento de software e não tratam de questões de segurança. Portanto, vários esforços são feitos para criar um modelo baseado no conceito de autocertificação e nas linhas do Software Capability Maturity Model (SW-CMM) da CMU, EUA.

A estrutura que foi produzida por meio dessa associação entre a indústria e o governo compreende o seguinte -

  • standards
  • guidelines
  • practices

Esses parâmetros ajudam os proprietários e operadores de infraestrutura crítica a gerenciar os riscos relacionados à segurança cibernética.

Estratégia 3 - Encorajando Padrões Abertos

Os padrões desempenham um papel significativo na definição de como abordamos as questões relacionadas à segurança da informação em regiões geográficas e sociedades. Padrões abertos são encorajados a -

  • Aumente a eficiência dos principais processos,
  • Permitir a incorporação de sistemas,
  • Fornece um meio para os usuários avaliarem novos produtos ou serviços,
  • Organize a abordagem para arranjar novas tecnologias ou modelos de negócios,
  • Interpretar ambientes complexos e
  • Apoiar o crescimento econômico.

Normas como a ISO 27001 [3] encorajam a implementação de uma estrutura organizacional padrão, onde os clientes podem entender os processos e reduzir os custos de auditoria.

Estratégia 4 - Fortalecimento do Marco Regulatório

O objetivo dessa estratégia é criar um ecossistema cibernético seguro e fortalecer a estrutura regulatória. Um mecanismo 24X7 foi concebido para lidar com ameaças cibernéticas por meio do National Critical Information Infrastructure Protection Center (NCIIPC). A Computer Emergency Response Team (CERT-In) foi designada para atuar como uma agência nodal para o gerenciamento de crises.

Alguns destaques desta estratégia são os seguintes -

  • Promoção de pesquisa e desenvolvimento em segurança cibernética.

  • Desenvolver recursos humanos por meio de programas de educação e treinamento.

  • Incentivar todas as organizações, sejam públicas ou privadas, a designar uma pessoa para atuar como Diretor de Segurança da Informação (CISO), que será responsável pelas iniciativas de segurança cibernética.

  • As Forças Armadas indianas estão em processo de estabelecer um comando cibernético como parte do fortalecimento da segurança cibernética das redes e instalações de defesa.

  • A implementação efetiva da parceria público-privada está em andamento e irá percorrer um longo caminho na criação de soluções para o cenário de ameaças em constante mudança.

Estratégia 5 - Criação de mecanismos para segurança de TI

Alguns mecanismos básicos que existem para garantir a segurança de TI são - medidas de segurança orientadas a links, medidas de segurança ponta a ponta, medidas orientadas por associação e criptografia de dados. Esses métodos diferem em seus recursos de aplicativos internos e também nos atributos da segurança que fornecem. Vamos discuti-los em breve.

Medidas Orientadas a Link

Ele oferece segurança durante a transferência de dados entre dois nós, independentemente da eventual origem e destino dos dados.

Medidas de ponta a ponta

É um meio para transportar unidades de dados de protocolo (PDUs) de maneira protegida da origem ao destino, de forma que a interrupção de qualquer um de seus links de comunicação não viole a segurança.

Medidas orientadas para a associação

As medidas orientadas para a associação são um conjunto modificado de medidas de ponta a ponta que protegem cada associação individualmente.

Criptografia de Dados

Ele define alguns recursos gerais das cifras convencionais e da classe desenvolvida recentemente de cifras de chave pública. Ele codifica as informações de uma forma que apenas o pessoal autorizado pode descriptografá-las.

Estratégia 6 - Protegendo Serviços de Governança Eletrônica

A governança eletrônica (e-governança) é o instrumento mais precioso do governo para fornecer serviços públicos de maneira responsável. Infelizmente, no cenário atual, não há uma estrutura legal dedicada à governança eletrônica na Índia.

Da mesma forma, não há lei para a entrega eletrônica obrigatória de serviços públicos na Índia. E nada é mais perigoso e problemático do que executar projetos de governança eletrônica sem segurança cibernética suficiente. Conseqüentemente, proteger os serviços de governança eletrônica tornou-se uma tarefa crucial, especialmente quando a nação está fazendo transações diárias por meio de cartões.

Felizmente, o Reserve Bank of India implementou medidas de segurança e mitigação de risco para transações com cartão na Índia, aplicáveis ​​a partir de 1º de outubro de 2013. Ele atribuiu a responsabilidade de garantir as transações com cartão aos bancos e não aos clientes.

"Governo eletrônico" ou governo eletrônico refere-se ao uso de Tecnologias de Informação e Comunicação (TICs) por órgãos governamentais para o seguinte -

  • Entrega eficiente de serviços públicos
  • Refinando a eficiência interna
  • Fácil troca de informações entre cidadãos, organizações e órgãos governamentais
  • Reestruturação de processos administrativos.

Estratégia 7 - Protegendo a infraestrutura crítica de informações

A infraestrutura crítica de informações é a espinha dorsal da segurança nacional e econômica de um país. Inclui usinas de energia, rodovias, pontes, fábricas de produtos químicos, redes, bem como os edifícios onde milhões de pessoas trabalham todos os dias. Isso pode ser garantido com planos de colaboração rigorosos e implementações disciplinadas.

A proteção da infraestrutura crítica contra o desenvolvimento de ameaças cibernéticas requer uma abordagem estruturada. É necessário que o governo colabore agressivamente com os setores público e privado de forma regular para prevenir, responder e coordenar os esforços de mitigação contra as tentativas de interrupção e impactos adversos na infraestrutura crítica do país.

É necessário que o governo trabalhe com proprietários de empresas e operadoras para reforçar seus serviços e grupos, compartilhando informações cibernéticas e outras informações sobre ameaças.

Uma plataforma comum deve ser compartilhada com os usuários para enviar comentários e ideias, que podem ser trabalhados juntos para construir uma base mais sólida para proteger e proteger infraestruturas críticas.

O governo dos EUA aprovou uma ordem executiva "Melhorando a segurança cibernética da infraestrutura crítica" em 2013, que prioriza o gerenciamento do risco de segurança cibernética envolvido na entrega de serviços de infraestrutura crítica. Esta estrutura fornece uma classificação comum e um mecanismo para as organizações -

  • Defina seu rumo de segurança cibernética existente,
  • Defina seus objetivos de segurança cibernética,
  • Categorizar e priorizar as chances de desenvolvimento dentro da estrutura de um processo constante, e
  • Comunique-se com todos os investidores sobre segurança cibernética.

Este capítulo apresenta as várias políticas estabelecidas para minimizar o risco cibernético. Somente com políticas bem definidas é que as ameaças geradas no ciberespaço podem ser reduzidas.

Promoção de P&D em Cibersegurança

Devido à dependência cada vez maior da Internet, o maior desafio que enfrentamos hoje é a segurança das informações de malfeitores. Portanto, é essencial promover a pesquisa e o desenvolvimento em segurança cibernética para que possamos chegar a soluções robustas para mitigar os riscos cibernéticos.

Pesquisa de segurança cibernética

A Pesquisa de Segurança Cibernética é a área que se preocupa em preparar soluções para lidar com os criminosos cibernéticos. Com o aumento da quantidade de ataques na Internet, ameaças persistentes avançadas e phishing, muitas pesquisas e desenvolvimentos tecnológicos são necessários no futuro.

Perspectiva indiana de pesquisa de segurança cibernética

Nos últimos anos, a Índia testemunhou um enorme crescimento em tecnologias cibernéticas. Por isso, exige um investimento nas atividades de pesquisa e desenvolvimento de segurança cibernética. A Índia também viu muitos resultados de pesquisas bem-sucedidos que foram traduzidos em negócios, com o advento de empresas locais de segurança cibernética.

Inteligência de Ameaças

O trabalho de pesquisa para mitigar ameaças cibernéticas já está sendo iniciado na Índia. Existe um mecanismo de resposta proativa para lidar com ameaças cibernéticas. Atividades de pesquisa e desenvolvimento já estão em andamento em várias organizações de pesquisa na Índia para combater ameaças no ciberespaço.

Firewall de última geração

A experiência baseada em múltiplas identidades, como o Next Generation Firewall, que oferece inteligência de segurança para empresas e permite que elas apliquem os controles de segurança mais adequados no perímetro da rede, também estão sendo trabalhados.

Protocolo e Algoritmos Protegidos

A investigação em protocolos e algoritmos é uma fase significativa para a consolidação da cibersegurança a nível técnico. Ele define as regras para compartilhamento e processamento de informações no ciberespaço. Na Índia, a pesquisa em nível de protocolo e algoritmo inclui:

  • Protocolos de roteamento seguro
  • Protocolos de autenticação eficientes
  • Protocolo de roteamento aprimorado para redes sem fio
  • Protocolo de controle de transmissão segura
  • Algoritmo de simulação de ataque, etc.

Técnicas de Autenticação

As técnicas de autenticação, como gerenciamento de chaves, autenticação de dois fatores e gerenciamento automatizado de chaves, oferecem a capacidade de criptografar e descriptografar sem um sistema de gerenciamento de chaves centralizado e proteção de arquivos. Há pesquisas contínuas acontecendo para fortalecer essas técnicas de autenticação.

BYOD, nuvem e segurança móvel

Com a adoção de diversos tipos de dispositivos móveis, as pesquisas sobre as tarefas relacionadas à segurança e privacidade em dispositivos móveis têm aumentado. Testes de segurança móvel, segurança em nuvem e mitigação de riscos BYOD (Traga seu próprio dispositivo) são algumas das áreas em que muitas pesquisas estão sendo feitas.

Cyber ​​Forensics

Cyber ​​Forensics é a aplicação de técnicas de análise para coletar e recuperar dados de um sistema ou meio de armazenamento digital. Algumas das áreas específicas onde a pesquisa está sendo feita na Índia são -

  • Análise de disco
  • Análise forense de rede
  • Análise de dispositivos móveis
  • Perícia da memória
  • Perícia multimídia
  • Perícia da Internet

Reduzindo os riscos da cadeia de suprimentos

Formalmente, o risco da cadeia de abastecimento pode ser definido como -

Qualquer risco de que um oponente possa danificar, escrever alguma função maliciosa nele, desconstruir o projeto, instalação, procedimento ou manutenção de um item de suprimento ou sistema de forma que toda a função possa ser degradada.

Problemas da cadeia de suprimentos

A cadeia de suprimentos é um problema global e há um requisito para descobrir as interdependências entre os clientes e fornecedores. No cenário atual, é importante saber - Quais são os problemas de SCRM? e como resolver os problemas?

Uma abordagem eficaz de SCRM (Supply Chain Risk Management) requer uma forte parceria público-privada. O governo deve ter autoridades fortes para lidar com as questões da cadeia de abastecimento. Mesmo os setores privados podem desempenhar um papel fundamental em várias áreas.

Não podemos fornecer uma resolução de tamanho único para o gerenciamento de riscos da cadeia de suprimentos. Dependendo do produto e do setor, os custos para redução de riscos terão peso diferente. As parcerias público-privadas devem ser incentivadas a resolver os riscos associados à gestão da cadeia de abastecimento.

Mitigar riscos por meio do desenvolvimento de recursos humanos

As políticas de segurança cibernética de uma organização podem ser eficazes, desde que todos os seus funcionários entendam seu valor e demonstrem um forte compromisso em implementá-los. Os diretores de recursos humanos podem desempenhar um papel fundamental em manter as organizações seguras no ciberespaço, aplicando os seguintes pontos.

Assumindo a propriedade do risco de segurança representado pelos funcionários

Como a maioria dos funcionários não leva o fator de risco a sério, os hackers acham fácil mirar nas organizações. Nesse sentido, o RH desempenha um papel fundamental na educação dos funcionários sobre o impacto de suas atitudes e comportamento na segurança da organização.

Garantir que as medidas de segurança sejam práticas e éticas

As políticas de uma empresa devem estar em sincronia com a maneira como os funcionários pensam e se comportam. Por exemplo, salvar senhas em sistemas é uma ameaça, mas o monitoramento contínuo pode evitá-lo. A equipe de RH está em melhor posição para aconselhar se as políticas têm probabilidade de funcionar e se são apropriadas.

Identificação de funcionários que podem apresentar um risco específico

Também acontece que os cibercriminosos recorrem à ajuda de pessoas internas de uma empresa para hackear sua rede. Portanto, é essencial identificar os funcionários que podem apresentar um risco específico e ter políticas de RH rigorosas para eles.

Criando Conscientização sobre Segurança Cibernética

A segurança cibernética na Índia ainda está em seu estágio de evolução. Este é o melhor momento para criar consciência sobre questões relacionadas à segurança cibernética. Seria fácil criar consciência desde as bases, como escolas onde os usuários podem ser informados sobre como a Internet funciona e quais são suas ameaças potenciais.

Cada cyber café, computadores domésticos / pessoais e computadores de escritório devem ser protegidos por firewalls. Os usuários devem ser instruídos por meio de seus provedores de serviços ou gateways a não violar redes não autorizadas. As ameaças devem ser descritas em negrito e os impactos destacados.

Assuntos sobre conscientização sobre segurança cibernética devem ser introduzidos em escolas e faculdades para torná-lo um processo contínuo.

O governo deve formular leis fortes para garantir a segurança cibernética e criar consciência suficiente, transmitindo-as por meio de anúncios na televisão / rádio / internet.

Compartilhamento de informações

Estados Unidos propôs uma lei chamada Cybersecurity Information Sharing Act of 2014 (CISA)para melhorar a segurança cibernética no país por meio do compartilhamento aprimorado de informações sobre ameaças à segurança cibernética. Essas leis são exigidas em todos os países para compartilhar informações sobre ameaças entre os cidadãos.

Violações de segurança cibernética precisam de um mecanismo de relatório obrigatório

O malware recente chamado Uroburos/Snakeé um exemplo de ciberespionagem e ciberguerra crescentes. O roubo de informações confidenciais é a nova tendência. No entanto, é lamentável que as empresas de telecomunicações / provedores de serviços de Internet (ISPs) não estejam compartilhando informações relacionadas a ataques cibernéticos contra suas redes. Como resultado, uma estratégia de segurança cibernética robusta para conter os ataques cibernéticos não pode ser formulada.

Esse problema pode ser resolvido com a formulação de uma boa lei de cibersegurança que possa estabelecer um regime regulatório para notificações de violação de cibersegurança obrigatórias por parte das empresas de telecomunicações / ISPs.

As infraestruturas, como redes de energia automatizadas, usinas térmicas, satélites, etc., são vulneráveis ​​a diversas formas de ataques cibernéticos e, portanto, um programa de notificação de violação alertaria as agências para trabalhar neles.

Implementando uma estrutura de segurança cibernética

Apesar do fato de que as empresas estão gastando em iniciativas de segurança cibernética, as violações de dados continuam a ocorrer. De acordo com o The Wall Street Journal, "os gastos globais com segurança cibernética por setores de infraestrutura crítica deveriam atingir US $ 46 bilhões em 2013, um aumento de 10% em relação ao ano anterior, de acordo com a Allied Business Intelligence Inc." Isso exige a implementação efetiva da estrutura de segurança cibernética.

Componentes da estrutura de segurança cibernética

A estrutura é composta por três componentes principais -

  • O nucleo,
  • Camadas de implementação e
  • Perfis de estrutura.

The Framework Core

O Framework Core é um conjunto de atividades de segurança cibernética e referências aplicáveis ​​que possuem cinco funções simultâneas e constantes - Identificar, Proteger, Detectar, Responder e Recuperar. O núcleo da estrutura tem métodos para garantir o seguinte -

  • Desenvolva e implemente procedimentos para proteger a propriedade intelectual e ativos mais importantes.
  • Tenha recursos disponíveis para identificar qualquer violação de segurança cibernética.
  • Recupere-se de uma violação, se e quando ocorrer.

As camadas de implementação

Os níveis de implementação do Framework definem o nível de sofisticação e consistência que uma organização emprega na aplicação de suas práticas de segurança cibernética. Possui os seguintes quatro níveis.

Tier 1 (Partial)- Neste nível, os perfis de gerenciamento de risco cibernético da organização não são definidos. Há uma consciência parcial do risco de cibersegurança da organização no nível da organização. A metodologia de toda a organização para gerenciar o risco de segurança cibernética não foi reconhecida.

Tier 2 (Risk Informed)- Neste nível, as organizações estabelecem uma política de gestão de risco cibernético que é aprovada diretamente pela alta administração. A alta administração se esforça para estabelecer objetivos de gerenciamento de risco relacionados à segurança cibernética e implementá-los.

Tier 3 (Repeatable)- Neste nível, a organização opera com medidas formais de segurança cibernética, que são atualizadas regularmente com base em requisitos. A organização reconhece suas dependências e parceiros. Também recebe informações deles, o que auxilia na tomada de decisões de gestão baseada em riscos.

Tier 4 (Adaptive)- Neste nível, a organização adapta suas práticas de cibersegurança “em tempo real” derivadas de atividades de cibersegurança anteriores e atuais. Por meio de um processo de desenvolvimento incessante na combinação de tecnologias avançadas de cibersegurança, colaboração em tempo real com parceiros e monitoramento contínuo das atividades em seus sistemas, as práticas de cibersegurança da organização podem responder rapidamente a ameaças sofisticadas.

O Perfil do Framework

O Framework Profile é uma ferramenta que fornece às organizações uma plataforma para armazenar informações sobre seu programa de segurança cibernética. Um perfil permite que as organizações expressem claramente os objetivos de seu programa de segurança cibernética.

Onde você começa com a implementação da estrutura?

A alta administração, incluindo os diretores, deve primeiro se familiarizar com a Estrutura. Depois disso, os diretores devem ter uma discussão detalhada com a gerência sobre os níveis de implementação da organização.

Educar os gerentes e a equipe sobre a Estrutura garantirá que todos entendam sua importância. Este é um passo importante para a implementação bem-sucedida de um programa vigoroso de segurança cibernética. As informações sobre as implementações do Framework existentes podem ajudar as organizações com suas próprias abordagens.

A segurança de rede é a segurança fornecida a uma rede contra acesso não autorizado e riscos. É dever dos administradores de rede adotar medidas preventivas para proteger suas redes de ameaças potenciais à segurança.

As redes de computadores que estão envolvidas em transações regulares e comunicações dentro do governo, indivíduos ou empresas exigem segurança. A maneira mais comum e simples de proteger um recurso de rede é atribuindo a ele um nome exclusivo e uma senha correspondente.

Tipos de dispositivos de segurança de rede

Dispositivos Ativos

Esses dispositivos de segurança bloqueiam o tráfego excedente. Firewalls, dispositivos de varredura antivírus e dispositivos de filtragem de conteúdo são exemplos de tais dispositivos.

Dispositivos Passivos

Esses dispositivos identificam e relatam tráfego indesejado, por exemplo, dispositivos de detecção de intrusão.

Dispositivos Preventivos

Esses dispositivos examinam as redes e identificam possíveis problemas de segurança. Por exemplo, dispositivos de teste de penetração e dispositivos de avaliação de vulnerabilidade.

Gerenciamento unificado de ameaças (UTM)

Esses dispositivos funcionam como dispositivos de segurança multifuncionais. Os exemplos incluem firewalls, filtragem de conteúdo, cache da web, etc.

Firewalls

Um firewall é um sistema de segurança de rede que gerencia e regula o tráfego da rede com base em alguns protocolos. Um firewall estabelece uma barreira entre uma rede interna confiável e a Internet.

Os firewalls existem tanto como software executado em um hardware quanto como dispositivos de hardware. Os firewalls baseados em hardware também fornecem outras funções, como atuar como um servidor DHCP para essa rede.

A maioria dos computadores pessoais usa firewalls baseados em software para proteger dados contra ameaças da Internet. Muitos roteadores que transmitem dados entre redes contêm componentes de firewall e, inversamente, muitos firewalls podem executar funções básicas de roteamento.

Os firewalls são comumente usados ​​em redes privadas ou intranets para impedir o acesso não autorizado da Internet. Cada mensagem que entra ou sai da intranet passa pelo firewall para ser examinada quanto às medidas de segurança.

Uma configuração de firewall ideal consiste em dispositivos baseados em hardware e software. Um firewall também ajuda a fornecer acesso remoto a uma rede privada por meio de certificados de autenticação e logins seguros.

Firewalls de hardware e software

Firewalls de hardware são produtos autônomos. Eles também são encontrados em roteadores de banda larga. A maioria dos firewalls de hardware fornece no mínimo quatro portas de rede para conectar outros computadores. Para redes maiores - por exemplo, para fins comerciais - estão disponíveis soluções de firewall de rede comercial.

Firewalls de software são instalados em seus computadores. Um firewall de software protege seu computador contra ameaças da Internet.

Antivírus

Um antivírus é uma ferramenta usada para detectar e remover software malicioso. Ele foi originalmente projetado para detectar e remover vírus de computadores.

O software antivírus moderno oferece proteção não apenas contra vírus, mas também contra worms, cavalos de Tróia, adwares, spywares, keyloggers, etc. Alguns produtos também oferecem proteção contra URLs maliciosos, spam, ataques de phishing, botnets, ataques DDoS, etc.

Filtragem de Conteúdo

Os dispositivos de filtragem de conteúdo filtram e-mails ou páginas da web desagradáveis ​​e ofensivos. Eles são usados ​​como parte de firewalls em empresas e também em computadores pessoais. Esses dispositivos geram a mensagem "Acesso negado" quando alguém tenta acessar qualquer página da web ou e-mail não autorizado.

O conteúdo é geralmente rastreado para conteúdo pornográfico e também para conteúdo voltado para violência ou ódio. As organizações também excluem conteúdos relacionados a compras e empregos.

A filtragem de conteúdo pode ser dividida nas seguintes categorias -

  • Filtragem da web
  • Triagem de sites ou páginas da Web
  • Filtragem de e-mail
  • Triagem de e-mail para spam
  • Outro conteúdo questionável

Sistemas de detecção de intrusão

Intrusion Detection Systems, também conhecidos como Intrusion Detection and Prevention Systems, são os dispositivos que monitoram atividades maliciosas em uma rede, registram informações sobre tais atividades, tomam medidas para interrompê-las e, finalmente, relatá-las.

Os sistemas de detecção de intrusão ajudam a enviar um alarme contra qualquer atividade maliciosa na rede, descartar os pacotes e redefinir a conexão para salvar o endereço IP de qualquer bloqueio. Os sistemas de detecção de intrusão também podem realizar as seguintes ações -

  • Erros de verificação de redundância cíclica correta (CRC)
  • Evite problemas de sequenciamento de TCP
  • Limpe as opções indesejadas de transporte e camada de rede

Conforme discutido no primeiro capítulo, o Governo da Índia promulgou a Lei de Tecnologia da Informação (TI) com alguns objetivos principais para fornecer e facilitar transações eletrônicas, digitais e online legais e mitigar crimes cibernéticos.

Características proeminentes da lei de TI

As características salientes da Lei de TI são as seguintes -

  • A assinatura digital foi substituída pela assinatura eletrônica para torná-la um ato mais neutro em termos de tecnologia.

  • Elabora sobre ofensas, penalidades e violações.

  • Ele descreve os Sistemas de Dispensação de Justiça para crimes cibernéticos.

  • Ele define em uma nova seção que o cyber café é qualquer instalação a partir da qual o acesso à Internet seja oferecido por qualquer pessoa no curso normal dos negócios ao público .

  • Dispõe sobre a constituição do Comitê Consultivo de Regulamentações Cibernéticas.

  • Baseia-se no Código Penal Indiano, 1860, The Indian Evidence Act, 1872, The Bankers 'Books Evidence Act, 1891, The Reserve Bank of India Act, 1934, etc.

  • Ele adiciona uma disposição à Seção 81, que afirma que as disposições da Lei terão efeito prioritário. A disposição afirma que nada contido na Lei deve restringir qualquer pessoa de exercer qualquer direito conferido pela Lei de Direitos Autorais de 1957 .

Esquema de Lei de TI

Os pontos a seguir definem o esquema da Lei de TI -

  • A Lei de TI contém 13 chapters e 90 sections.

  • As últimas quatro seções, a saber, seções 91 a 94 do IT Act 2000, tratam das emendas ao Código Penal Indiano de 1860, The Indian Evidence Act 1872, The Bankers 'Books Evidence Act 1891 e o Reserve Bank of India Act 1934 foram excluídos.

  • Começa com o aspecto preliminar no Capítulo 1, que trata da abreviatura, título, extensão, início e aplicação da Lei na Seção 1. A Seção 2 fornece a Definição.

  • O Capítulo 2 trata da autenticação de registros eletrônicos, assinaturas digitais, assinaturas eletrônicas, etc.

  • O Capítulo 11 trata de ofensas e penalidades. Uma série de ofensas foi fornecida junto com a punição nesta parte da Lei.

  • Posteriormente, foram apresentadas as disposições sobre a devida diligência, o papel dos intermediários e algumas disposições diversas.

  • O ato está embutido em dois cronogramas. A Primeira Programação trata de Documentos ou Transações aos quais a Lei não se aplica. O Segundo Programa trata da assinatura eletrônica ou técnica e procedimento de autenticação eletrônica. A Terceira e a Quarta Programação são omitidas.

Aplicação da Lei de TI

De acordo com a subcláusula (4) da Seção 1, nada nesta Lei se aplica a documentos ou transações especificadas no Primeiro Anexo . A seguir estão os documentos ou transações aos quais a Lei não se aplica -

  • Negotiable Instrument (Exceto um cheque) conforme definido na seção 13 da Lei de Instrumentos Negociáveis, 1881;

  • UMA power-of-attorney conforme definido na seção 1A do Powers-of-Attorney Act, 1882;

  • UMA trust conforme definido na seção 3 do Indian Trusts Act, 1882;

  • UMA will conforme definido na cláusula (h) da seção 2 da Lei de Sucessão Indiana de 1925, incluindo qualquer outra disposição testamentária;

  • Qualquer contract para a venda ou transmissão de bens imóveis ou qualquer interesse em tais bens;

  • Qualquer classe de documentos ou transações que possam ser notificados pelo Governo Central.

Emendas introduzidas na lei de TI

A Lei de TI trouxe alterações em quatro estatutos, vide seção 91-94. Essas mudanças foram fornecidas no cronograma 1-4.

  • O primeiro quadro contém as alterações do Código Penal. Ampliou o escopo do termo "documento" para trazer para seu âmbito documentos eletrônicos .

  • O segundo cronograma trata das emendas à Lei de Provas da Índia. Diz respeito à inclusão de documento eletrônico na definição de evidência .

  • O terceiro cronograma altera a Lei de Provas de Livros do Banqueiro. Esta alteração acarreta alteração na definição de “livro do banqueiro”. Inclui impressões de dados armazenados em disquete, disco, fita ou qualquer outra forma de dispositivo de armazenamento de dados eletromagnético. Mudança semelhante foi provocada na expressão "Cópia autenticada" para incluir tais impressões em seu alcance .

  • O quarto cronograma altera a Lei do Reserve Bank of India. Diz respeito à regulamentação da transferência de fundos por meio eletrônico entre os bancos ou entre os bancos e outra instituição financeira .

Responsabilidade Intermediária

Intermediário, que lida com quaisquer registros eletrônicos específicos, é uma pessoa que em nome de outra pessoa aceita, armazena ou transmite aquele registro ou fornece qualquer serviço relacionado a esse registro .

De acordo com a definição acima mencionada, inclui o seguinte -

  • Provedores de serviços de telecomunicações
  • Provedores de serviço de rede
  • Provedores de serviço de Internet
  • Provedores de serviços de hospedagem na web
  • Motores de busca
  • Sites de pagamento online
  • Sites de leilão online
  • Mercados online e cyber cafés

Destaques da lei alterada

O ato recém-alterado veio com os seguintes destaques -

  • Ele enfatiza as questões de privacidade e destaca a segurança da informação.
  • Elabora Assinatura Digital.
  • Ele esclarece as práticas racionais de segurança para empresas.
  • Ele se concentra no papel dos intermediários.
  • Novos rostos do Cyber ​​Crime foram adicionados.

Assinatura digital

Uma assinatura digital é uma técnica para validar a legitimidade de uma mensagem digital ou de um documento. Uma assinatura digital válida fornece a garantia ao destinatário de que a mensagem foi gerada por um remetente conhecido, de forma que o remetente não pode negar o envio da mensagem. As assinaturas digitais são usadas principalmente para distribuição de software, transações financeiras e em outros casos em que há risco de falsificação.

Assinatura Eletrônica

Uma assinatura eletrônica ou assinatura eletrônica, indica que uma pessoa que exige ter criado uma mensagem é quem a criou.

Uma assinatura pode ser definida como um script esquemático relacionado a uma pessoa. A assinatura em um documento é um sinal de que a pessoa aceita os propósitos registrados no documento. Em muitas empresas de engenharia, os selos digitais também são necessários para outra camada de autenticação e segurança. Os selos e assinaturas digitais são iguais às assinaturas manuscritas e aos selos carimbados.

Assinatura Digital para Assinatura Eletrônica

Digital Signature foi o termo definido na antiga Lei de TI de 2000. Electronic Signatureé o termo definido pela lei alterada (IT Act, 2008). O conceito de Assinatura Eletrônica é mais amplo do que a Assinatura Digital. A Seção 3 da Lei prevê a verificação de Registros Eletrônicos por meio da aposição de Assinatura Digital.

De acordo com a alteração, a verificação do registro eletrônico por assinatura eletrônica ou técnica de autenticação eletrônica deve ser considerada confiável.

De acordo com United Nations Commission on International Trade Law (UNCITRAL), métodos de autenticação e assinatura eletrônicos podem ser classificados nas seguintes categorias -

  • Aqueles baseados no conhecimento do usuário ou do destinatário, ou seja, senhas, números de identificação pessoal (PINs), etc.

  • Essas se baseiam nas características físicas do usuário, ou seja, a biometria.

  • Aqueles baseados na posse de um objeto pelo usuário, ou seja, códigos ou outras informações armazenadas em um cartão magnético.

  • Tipos de métodos de autenticação e assinatura que, sem se enquadrarem em nenhuma das categorias acima, também podem ser usados ​​para indicar o originador de uma comunicação eletrônica (como um fac-símile de uma assinatura manuscrita ou um nome digitado na parte inferior de uma mensagem eletrônica) .

De acordo com a LEI MODELO UNCITRAL sobre Assinaturas Eletrônicas, as seguintes tecnologias estão atualmente em uso -

  • Assinatura digital em uma infraestrutura de chave pública (PKI)
  • Dispositivo Biométrico
  • PINs
  • Passwords
  • Assinatura manuscrita digitalizada
  • Assinatura por Caneta Digital
  • Caixas de clique clicáveis ​​“OK” ou “Aceito” ou “Concordo”

A conectividade mundial mais rápida desenvolveu vários crimes online e esses crimes crescentes levaram à necessidade de leis de proteção. A fim de acompanhar a mudança de geração, o Parlamento indiano aprovou a Lei de Tecnologia da Informação de 2000, que foi conceituada na Lei Modelo da Comissão das Nações Unidas sobre o Direito do Comércio Internacional (UNCITRAL).

A lei define as infrações de forma detalhada, juntamente com as penas para cada categoria de ofensa.

Ofensas

As ofensas cibernéticas são as ações ilegítimas, realizadas de maneira elegante, em que o computador é a ferramenta, o alvo ou ambos.

O crime cibernético geralmente inclui o seguinte -

  • Acesso não autorizado dos computadores
  • Dados vagando
  • Ataque de vírus / worms
  • Roubo de sistema de computador
  • Hacking
  • Negação de ataques
  • Bombas lógicas
  • Ataques de Trojan
  • Roubo de tempo na Internet
  • Web jacking
  • Bombardeio de email
  • Ataques de salame
  • Danificando fisicamente o sistema do computador.

As infrações incluídas no IT Act 2000 são as seguintes -

  • Adulteração de documentos de origem do computador.
  • Hacking com sistema de computador.
  • Publicação de informações obscenas em formato eletrônico.
  • Poder do controlador para dar instruções.
  • Instruções do controlador para um assinante para estender os recursos para descriptografar informações.
  • Sistema protegido.
  • Penalidade por falsas declarações.
  • Pena por violação de confidencialidade e privacidade.
  • A penalidade por publicar o Certificado de Assinatura Digital é falsa em certos detalhes.
  • Publicação para fins fraudulentos.
  • Lei para solicitar ofensa ou contravenção cometida fora da Índia. Confisco.
  • Penalidades ou confisco para não interferir com outras punições.
  • Poder para investigar ofensas.

Exemplo

Offences Under The It Act 2000

Section 65. Tampering with computer source documents

Quem quer que, consciente ou intencionalmente, oculte, destrua ou altere ou, intencionalmente ou conscientemente, faça com que outra pessoa oculte, destrua ou altere qualquer código-fonte de computador usado para um computador, programa de computador, sistema de computador ou rede de computadores, quando o código-fonte do computador deve ser mantido ou mantida pela lei pelo tempo em vigor, é punível com pena de prisão até três anos, ou com a multa que pode ir até duas lakh rúpias, ou com ambas.

Explicação - Para os fins desta seção, “código-fonte do computador” significa a lista de programas, comandos de computador, design e layout e análise de programa de recursos de computador em qualquer forma.

Object- O objetivo da seção é proteger a “propriedade intelectual” investida no computador. É uma tentativa de proteger os documentos-fonte do computador (códigos) além do que está disponível sob a Lei de Direitos Autorais

Essential ingredients of the section

ocultando consciente ou intencionalmente

destruindo consciente ou intencionalmente

alterar conscientemente ou intencionalmente

consciente ou intencionalmente, fazendo com que outros ocultem

consciente ou intencionalmente, fazendo com que outro destrua

consciente ou intencionalmente fazendo com que outro altere.

Esta seção se estende à Lei de Direitos Autorais e ajuda as empresas a proteger o código-fonte de seus programas.

Penalidades - Artigo 65 é julgado por qualquer magistrado.

Esta é uma ofensa reconhecível e inafiançável.

Penalties - Pena de prisão até 3 anos e / ou

Fine - Duas rúpias lakh.

A tabela a seguir mostra a ofensa e as penalidades contra todas as seções mencionadas da Lei de TI -

Seção Ofensa Punição Disponibilidade e Congizabilidade
65 Adulteração de código-fonte de computador Pena de prisão até 3 anos ou multa até Rs 2 lakhs A ofensa é garantida, reconhecível e julgada pelo Tribunal de JMFC.
66 Ofensas Relacionadas a Computador Pena de prisão até 3 anos ou multa até Rs 5 lakhs A ofensa é fiável, cognoscível e
66-A Envio de mensagens ofensivas através do serviço de Comunicação, etc ... Pena de prisão até 3 anos e multa A ofensa é garantida, reconhecível e julgada pelo Tribunal de JMFC
66-B Recebendo desonestamente recurso de computador ou dispositivo de comunicação roubado Pena de prisão até 3 anos e / ou multa até Rs. 1 lakh A ofensa é garantida, reconhecível e julgada pelo Tribunal de JMFC
66-C Roubo de identidade Pena de prisão até 3 anos e / ou multa até Rs. 1 lakh A ofensa é garantida, reconhecível e julgada pelo Tribunal de JMFC
66-D Trapaceando por Personação usando recursos de computador Pena de prisão até 3 anos e / ou multa até Rs. 1 lakh A ofensa é garantida, reconhecível e julgada pelo Tribunal de JMFC
66-E Violação de privacidade Pena de prisão até 3 anos e / ou multa até Rs. 2 lakh A ofensa é garantida, reconhecível e julgada pelo Tribunal de JMFC
66-F Terrorismo cibernético A prisão se estende à prisão perpétua A ofensa é inafiançável, passível de ser reconhecida e julgada pelo Tribunal de Sessões
67 Publicar ou transmitir material obsceno em formato eletrônico Na primeira condenação, reclusão até 3 anos e / ou multa até Rs. 5 lakh Na condenação subsequente, prisão de até 5 anos e / ou multa de até Rs. 10 lakh A ofensa é garantida, reconhecível e julgada pelo Tribunal de JMFC
67-A Publicação ou transmissão de material contendo ato sexualmente explícito, etc ... em meio eletrônico Na primeira condenação, prisão até 5 anos e / ou multa até Rs. 10 lakh Na condenação subsequente, prisão de até 7 anos e / ou multa de até Rs. 10 lakh A ofensa é inafiançável, passível de ser reconhecida e julgada pelo Tribunal de JMFC
67-B Publicação ou transmissão de material retratando crianças em atos sexualmente explícitos etc., em formato eletrônico Na primeira condenação, prisão de qualquer descrição até 5 anos e / ou multa até Rs. 10 lakh Na prisão por convicção subsequente de qualquer descrição até 7 anos e / ou multa até Rs. 10 lakh A ofensa é inafiançável, cognoscível e passível de julgamento pelo Tribunal de JMFC
67-C Intermediário violando intencionalmente ou conscientemente as instruções sobre preservação e retenção de informações Pena de prisão até 3 anos e multa A ofensa é Bailable, Cognizable.
68 O não cumprimento das instruções dadas pelo Controlador Pena de prisão até 2 anos e / ou multa até Rs. 1 lakh A ofensa está disponível, não pode ser reconhecida.
69 Falha em ajudar a agência referida na subseção (3) em relação à interceptação ou monitoramento ou descriptografia de qualquer informação por meio de qualquer recurso de computador Pena de prisão até 7 anos e multa A ofensa não é fiável, reconhecível.
69-A O não cumprimento, por parte do intermediário, da orientação emitida para o bloqueio do acesso público a qualquer informação através de qualquer recurso informático Pena de prisão até 7 anos e multa A ofensa não é fiável, reconhecível.
69-B Intermediário que intencionalmente ou conscientemente viola as disposições da subseção (2) em relação ao monitoramento e coleta de dados de tráfego ou informações por meio de qualquer recurso de computador para segurança cibernética Pena de prisão até 3 anos e multa A ofensa é Bailable, Cognizable.
70 Qualquer pessoa que protege o acesso ou tenta proteger o acesso ao sistema protegido em violação da cláusula da Seç. 70 Pena de prisão em qualquer das descrições até 10 anos e multa A ofensa não é fiável, reconhecível.
70-B Equipe Indiana de Resposta a Emergências de Computadores para atuar como agência nacional de resposta a incidentes. Qualquer prestador de serviços, intermediários, centros de dados, etc., que não comprovar as informações solicitadas ou não cumprir a orientação emitida pelo ICERT. Pena de prisão até 1 ano e / ou multa até Rs. 1 lakh A ofensa está disponível, não é cognoscível
71 Representação fraudulenta ao controlador para a autoridade de certificação Pena de prisão até 2 anos e / ou multa até Rs. 1 lakh. A ofensa está disponível, não pode ser reconhecida.
72 Quebra de confidencialidade e privacidade Pena de prisão até 2 anos e / ou multa até Rs. 1 lakh. A ofensa está disponível, não pode ser reconhecida.
72-A Divulgação de informações em violação de contrato legal Pena de prisão até 3 anos e / ou multa até Rs. 5 lakh. A ofensa é cognoscível, fiável
73 Publicação de certificado de assinatura eletrônico falso em certos detalhes Pena de prisão até 2 anos e / ou multa até Rs. 1 lakh A ofensa está disponível, não pode ser reconhecida.
74 Publicação para fins fraudulentos Pena de prisão até 2 anos e / ou multa até Rs. 1 lakh A ofensa está disponível, não pode ser reconhecida.

Composição de Ofensas

De acordo com a Seção 77-A da Lei de TI, qualquer Tribunal de jurisdição competente pode compor crimes, exceto crimes para os quais a pena de prisão perpétua ou por um período superior a três anos foi prevista na lei.

Nenhuma ofensa será agravada se -

  • O acusado é, em razão de sua condenação anterior, passível de punição aumentada ou de outra espécie; OU

  • A ofensa afeta as condições socioeconômicas do país; OU

  • O crime foi cometido contra uma criança com menos de 18 anos; OU

  • A ofensa foi cometida contra uma mulher.

A pessoa acusada de um delito nos termos desta Lei pode entrar com um pedido de composição no Tribunal. O delito ficará então pendente para julgamento e as disposições das Seções 265-B e 265-C do Cr. O PC deve ser aplicado.

As leis cibernéticas são o único salvador no combate ao crime cibernético. É somente por meio de leis rigorosas que segurança inquebrável pode ser fornecida às informações do país. A Lei de TI da Índia surgiu como um ato especial para lidar com o problema do crime cibernético. A lei foi aprimorada pela Emenda da Lei de 2008.

O crime cibernético é cometido de vez em quando, mas ainda raramente é relatado. Os casos de crimes cibernéticos que chegam ao Tribunal de Justiça são, portanto, muito poucos. Existem dificuldades práticas em coletar, armazenar e apreciar evidências digitais. Portanto, a lei ainda precisa percorrer quilômetros antes de ser verdadeiramente eficaz.

Neste tutorial, tentamos cobrir todos os tópicos atuais e principais relacionados a Leis Cibernéticas e Segurança de TI. Gostaríamos de citar as palavras de um conhecido especialista em leis cibernéticas e advogado da Suprema Corte, Sr. Pavan Duggal, para concluir este tutorial.

Embora os legisladores devam ser complementados por seu admirável trabalho removendo várias deficiências na lei cibernética indiana e tornando-a tecnologicamente neutra, parece que houve um grande descompasso entre a expectativa da nação e o efeito resultante da legislação alterada. O aspecto mais bizarro e surpreendente das novas emendas é que essas emendas buscam fazer da lei cibernética indiana uma legislação favorável ao crime cibernético; - uma legislação extremamente branda com os cibercriminosos, de coração mole; uma legislação que opta por encorajar os criminosos cibernéticos, diminuindo a quantidade de punição concedida a eles sob a lei existente; .... uma legislação que considera a maioria dos crimes cibernéticos estipulados na Lei de TI como crimes passíveis de legalidade; uma legislação que provavelmente abrirá caminho para que a Índia se torne a potencial capital mundial do crime cibernético.

1. What is Cybercrime?

A.O crime cibernético se refere a todas as atividades realizadas com intenção criminosa no ciberespaço. Devido à natureza anônima da Internet, os canalhas se envolvem em uma variedade de atividades criminosas. O campo do cibercrime está apenas emergindo e novas formas de atividades criminosas no ciberespaço estão surgindo a cada dia que passa.

2. Do we have an exhaustive definition of Cybercrime?

A.Não, infelizmente não temos uma definição completa de cibercrime. No entanto, qualquer atividade online que ofenda basicamente as sensibilidades humanas pode ser considerada um crime cibernético.

3. What are the various categories of Cybercrimes?

A. Os cibercrimes podem ser divididos basicamente em três categorias principais -

  • Cibercrimes contra pessoas,
  • Crimes cibernéticos contra propriedade e
  • Crimes cibernéticos contra o governo.

4. Tell us more about Cybercrimes against persons.

A.Os crimes cibernéticos cometidos contra pessoas incluem vários crimes, como transmissão de pornografia infantil, assédio por e-mail e perseguição cibernética. Publicar e distribuir material obsceno é um dos crimes cibernéticos mais importantes conhecidos hoje.

5. Is Cyber harassment also a Cybercrime?

A.O assédio cibernético é um crime cibernético distinto. Vários tipos de assédio ocorrem no ciberespaço. O assédio pode ser sexual, racial, religioso ou outro. O assédio cibernético como crime também nos leva a outra área relacionada à violação da privacidade de internautas. A violação da privacidade dos cidadãos online é um crime cibernético de natureza grave.

6. What are Cybercrimes against property?

A. Os crimes cibernéticos contra todas as formas de propriedade incluem invasão não autorizada de computador no ciberespaço, vandalismo de computador, transmissão de programas prejudiciais e posse não autorizada de informações computadorizadas.

7. Is hacking a Cybercrime?

A.Hacking está entre os crimes cibernéticos mais graves conhecidos até hoje. É uma sensação terrível saber que um estranho invadiu seu sistema de computador sem seu conhecimento e adulterou dados confidenciais preciosos.

A amarga verdade é que nenhum sistema de computador no mundo é à prova de hackers. É unanimidade que qualquer sistema, por mais seguro que pareça, pode ser hackeado. Os recentes ataques de negação de serviço vistos em sites comerciais populares como E-bay, Yahoo e Amazon são uma nova categoria de crimes cibernéticos que estão lentamente emergindo como extremamente perigosos.

Usar as próprias habilidades de programação para obter acesso não autorizado a um computador ou rede é um crime muito grave. Da mesma forma, a criação e disseminação de programas de computador nocivos que causam danos irreparáveis ​​aos sistemas de computador é outro tipo de crime cibernético.

8. What is Cybercrime against Government?

A.O terrorismo cibernético é um exemplo distinto de crime cibernético contra o governo. O crescimento da Internet tem mostrado que o meio ciberespaço está sendo usado por indivíduos e grupos para ameaçar os governos e também para aterrorizar os cidadãos de um país. Este crime se manifesta em terrorismo quando um indivíduo invade um site do governo ou mantido por militares.

9. Is there any comprehensive law on Cybercrime today?

A.No momento, não temos nenhuma legislação abrangente sobre crimes cibernéticos em nenhum lugar do mundo. Esta é a razão pela qual as agências de investigação como o FBI estão considerando o ciberespaço um terreno extremamente difícil. Os crimes cibernéticos se enquadram nessa área cinzenta da legislação da Internet, que não é nem total nem parcialmente coberta pelas leis existentes. No entanto, os países estão tomando medidas cruciais para estabelecer leis rigorosas sobre o crime cibernético.

10. Is there any recent case which demonstrates the importance of having a cyber law on cybercrime within the national jurisdictions of countries?

A.O caso mais recente do vírus "Eu te amo" demonstra a necessidade de haver leis cibernéticas sobre crimes cibernéticos em diferentes jurisdições nacionais. No momento da publicação deste artigo na web, a Reuters relatou que "As Filipinas ainda não prenderam o suspeito criador do vírus de computador 'Bug do Amor' porque carecem de leis que lidam com crimes de computador, disse um policial sênior". O fato é que não existem leis relacionadas ao crime cibernético nas Filipinas.

11. What is Vishing?

A.Vishing é a prática criminosa de usar influência social sobre o sistema telefônico, na maioria das vezes usando recursos facilitados por Voz sobre IP (VoIP), para obter acesso público a informações confidenciais, como detalhes de cartão de crédito. O termo é uma combinação de "Voz" e phishing.

12. What is Mail Fraud?

A. Fraude postal é um crime sob a lei federal dos Estados Unidos, que inclui qualquer esquema que tente obter ilegalmente dinheiro ou objetos de valor em que o sistema postal seja usado em qualquer ponto na prática de um crime.

13. What is ID Spoofing?

A. É prática usar a rede telefônica para exibir um número no visor de ID do chamador do destinatário que não seja o da estação de origem real.

14. What is Cyber espionage?

A. É o ato ou prática de obter segredos de indivíduos, concorrentes, rivais, grupos, governos e inimigos para obter vantagens militares, políticas ou econômicas usando métodos de exploração ilegal na internet.

15. What is the meaning of Sabotage?

A.Sabotagem significa literalmente dano intencional a qualquer maquinário ou material ou interrupção do trabalho. No contexto do ciberespaço, é uma ameaça à existência de computadores e satélites utilizados por atividades militares

16. Name the democratic country in which The Cyber Defamation law was first introduced.

A. A Coréia do Sul é o primeiro país democrático em que essa lei foi introduzida primeiro.

17. What are Bots?

A.Bots são um dos tipos mais sofisticados de software criminoso que a Internet enfrenta hoje. Os bots ganham seu nome exclusivo ao realizar uma ampla variedade de tarefas automatizadas em nome dos criminosos cibernéticos. Eles desempenham um papel no ataque de "negação de serviço" na Internet.

18. What are Trojans and Spyware?

A. Trojans e spyware são as ferramentas que um cibercriminoso pode usar para obter acesso não autorizado e roubar informações da vítima como parte de um ataque.

19. What are Phishing and Pharming?

A. Phishing e Pharming são as formas mais comuns de roubo de identidade, que é uma forma de crime cibernético em que criminosos usam a Internet para roubar informações pessoais de terceiros.

20. Mention some tips to prevent cyber-crimes.

  • Leia as formas mais recentes de os hackers criarem golpes de phishing para obter acesso às suas informações pessoais.

  • Instale um firewall em seu computador para reduzir ao mínimo as ameaças e ataques indesejados.

  • Tenha cuidado ao abrir e-mails e clicar em links. Você deve ler com atenção ao baixar conteúdo de fontes não verificadas.

  • Crie senhas fortes para qualquer site onde informações pessoais sejam armazenadas.