Criptomoedas como Bitcoin e Ripple mudaram o mundo de maneiras mais do que imagináveis. Embora tragam inúmeros benefícios para a economia das finanças, eles atraem muita atenção dos cibercriminosos. Depois de tudo, são moedas virtuais, e podem ser perdidos ou roubados como qualquer moeda armazenada digitalmente.

E uma vez que são muito mais jovens do que suas contrapartes tradicionais (moedas como o dólar dos Estados Unidos e o euro), eles são mais vulneráveis ​​a vários ataques. Além disso, as organizações que lidam com criptomoedas são muito jovens, com algumas empresas de dois a três anos, como a Binance - uma das principais bolsas de criptomoedas do planeta - foi fundada em 2017.

Então, dificilmente existem padrões comprovados e recomendados pela indústria para proteger criptomoedas, ao contrário das moedas tradicionais. Por exemplo, há PCI DSS (padrão de segurança de dados da indústria de cartões de pagamento) para organizações que solicitam, em processamento, ou armazenamento de informações de cartão de crédito. Pode-se dizer que o PCI DSS é um padrão de segurança para organizações que trabalham com moedas tradicionais.

Contudo, tudo mudou com a introdução do Cryptocurrency Security Standard (CCSS). Assim, qual é esse padrão, e como isso ajuda as organizações?

O que é o padrão de segurança de criptomoeda?

Criptomoeda Security Standard (CCSS) é “um conjunto de requisitos para todos os sistemas de informação que fazem uso de criptomoedas, incluindo trocas, Aplicativos da web, e soluções de armazenamento de criptomoedas. Ao padronizar as técnicas e metodologias usadas por sistemas em todo o mundo, os usuários finais poderão facilmente tomar decisões informadas sobre quais produtos e serviços usar e com quais empresas desejam se alinhar, ”De acordo com o CryptoCurrency Certification Consortium (C4) - a organização que define esses padrões.

Criptomoeda Security Standard (CCSS) - como outras regulamentações federais e padrões do setor, como General Data Protection Regulation (GDPR) e Payment Card Industry Data Security Standard (PCI DSS) - ajuda a proteger os sistemas de informação e realizar avaliações de risco de segurança cibernética, permitindo que as organizações confirmem que seus próprios dados e os dos clientes estão seguros. CCSS é uma descoberta muito necessária no mundo do blockchain e criptomoedas.

O motivo é criptomoedas, graças à popularidade e preços crescentes, tornaram-se alvos lucrativos para os cibercriminosos. Aquilo é, empresas que trabalham com tecnologia de blockchain e / ou criptomoedas correm alto risco de serem atacadas. É por isso que o CCSS é essencial para essas organizações.

Por exemplo, 2019 testemunhou a maioria dos hacks de criptomoeda.

Como CCSS ajuda a proteger organizações de blockchain e criptomoeda?

Criptomoeda Security Standard (CCSS) estabelece as metodologias e técnicas usadas para a segurança da informação por organizações de blockchain e criptomoeda, como a maioria dos padrões de dados. Ele foi criado para complementar os padrões de segurança da informação existentes, como ISO 27001:2013, apresentando as melhores práticas de segurança para criptomoedas como Bitcoin e Ethereum.

Isso significa que as empresas estão pedindo, armazenamento, ou trabalhar com criptomoedas de qualquer maneira deve seguir os padrões comprovados da indústria, em seguida, siga o CCSS também.

O CCSS compila uma lista de 10 aspectos da proteção de sistemas de informação que trabalham com criptomoedas. Esses aspectos de segurança são técnicas exclusivas para obter uma parte de um sistema de informações. Entre esses dez aspectos, seu valor mínimo define o valor geral do sistema de informação de acordo com este padrão. O CCSS define três níveis de segurança - Nível I, Nível II, e Nível III - com o Nível I tendo a segurança mais baixa entre todos os três níveis, e Nível III com a melhor e mais abrangente proteção de acordo com o Padrão de Segurança de Criptomoeda.

O padrão de segurança de criptomoeda organiza esses aspectos em dois domínios:gerenciamento de ativos criptográficos e operações de criptomoeda. No segundo domínio, pede auditorias de segurança, o que significa que as organizações devem passar por avaliações de risco de segurança cibernética e análises de terceiros de seus controles de segurança, sistemas, políticas, e processos.

Essas avaliações de risco ajudam as equipes de segurança a validar se os controles de segurança instalados estão funcionando corretamente como esperado, uma vez que essas avaliações incluem testes de penetração e vulnerabilidade para descobrir áreas de ataque em potencial. Por exemplo, A Crypto.com - uma das bolsas estabelecidas - ganhou CCSS Nível III e concluiu uma avaliação detalhada de risco cibernético em dezembro de 2019 para validar sua infraestrutura de segurança.

Contudo, O CCSS afirma claramente que seu escopo se mantém dentro dos limites da criptomoeda dos sistemas de informação. Aquilo é, não cobre o comum, práticas e padrões de segurança conhecidos para melhorar a segurança cibernética. É por isso que o CCSS deve ser implementado de forma complementar após seguir os padrões da indústria conhecidos para segurança cibernética como ISO 27001, PCI DSS, HIPAA, FINRA, e GDPR.

CCSS Nível I

Um sistema de informação com CCSS Nível I mostrou durante a auditoria que eles protegem seus ativos de informação com altos níveis de segurança. Aquilo é, o sistema de informação foi capaz de abordar a maioria dos riscos introduzidos em seus ativos de informação, graças aos seus controles de segurança que atendem aos padrões da indústria. E embora seja o nível mais baixo do padrão de segurança de criptomoeda, ainda afirma que o sistema oferece forte segurança para ativos de criptomoeda.

CCSS Nível II

Um sistema de informação que alcançou CCSS Nível II mostrou que eles protegem seus ativos de informação com fortes níveis de segurança junto com controles aprimorados. Eles tratam da maioria dos riscos em seus ativos de informação, e, além disso, ele utiliza tecnologias de segurança descentralizadas, como assinaturas múltiplas, excedendo a maioria dos padrões da indústria. Além disso, eles fornecem segurança redundante se qualquer chave ou pessoa ficar comprometida ou indisponível, proporcionando assim uma segurança reforçada.

CCSS Nível III

Um sistema de informação etiquetado com CCSS Nível III provou com sucesso durante a auditoria que emprega os níveis mais fortes de segurança para proteger seus ativos de informação. Eles excedem os controles aprimorados com políticas e procedimentos padrão aplicados em cada etapa de seus processos de negócios. Além disso, eles exigem vários atores para aprovar todas as ações críticas, implementar medidas de autenticação avançadas para verificar a autenticidade dos dados, distribuir seus ativos geograficamente e organizacionalmente para mitigar o risco de comprometer uma pessoa ou organização durante um ataque, proporcionando assim a mais alta segurança.

Este artigo foi publicado pela primeira vez em: 23 de julho 2020