Cryptocurrency Security Standard (CCSS) – Um protocolo de segurança essencial para as criptocorretoras

Um dos maiores desafios dos criptomercados é a confiança. Pessoas e organizações estão preocupadas com o autenticação, autorização e/ou limitações de confidencialidade das transações de cryptomoedas. Tais limitações são atualmente a maior dificuldade para adoção das criptos. Padronizando as técnicas e metodologias de segurança usadas por sistemas de criptográficos em todo o mundo, os usuários finais poderão tomar decisões mais facilmente sobre quais produtos e serviços a serem usados ​​e com quais empresas eles desejam se alinhar. Por outro lado, os padronizar os itens de segurança nos criptomercados é um desafio imenso e por isso há tantos gargalos de segurança em curso. Haja visto os recentes casos de hackeamento de exchanges, em particular na Ásia, por hackers norte-coreanos, como já divulgamos aqui nesse portal. Os sistemas de pagamento e transações on line via criptomoedas sob risco O sucesso dos pagamentos on-line usando moedas tradicionais ou fiduciárias pode ser parcialmente atribuído ao PCI DSS (Padrão de segurança de dados do setor de cartões). Este padrão foi liderado pelas principais operadoras de cartão de crédito: American Express, Discover Financial Services, JCB International, MasterCard , Visa Inc. e a gigante asiática, Union Pay. O PCI DSS tornou-se o padrão de fato para organizações que lidam com ou armazenam detalhes de cartão de crédito. O não cumprimento deste padrão significa que uma organização não poderá realizar pagamentos on-line por meio do uso de cartões de crédito. No Brasil a única exchange a ter esse selo é a Bitcointrade. Algo algo raro, quando na verdade deveria ser a regra. Nem a famosa Xdex, recém lançada e de propriedade de um grande grupo financeiro, como XP Investimentos/Itaú está certificada. O que não quer dizer que esta e todas as outras exchanges não sigam algum padrão próprio de segurança. A questão em discussão é justamente esses “padrões próprios”. CCSS Um padrão de segurança específico para o criptomercado, comumente chamado de CCSS (Cryptocurrency Security Standard), foi introduzido em 2014 para fornecer orientações específicas para o gerenciamento seguro de criptos. Este protocolo de segurança é atualmente o padrão para qualquer sistema de informação que manipule e gerencie criptocarteiras. O CCSS é um padrão aberto que se concentra sobre o armazenamento e uso de criptomoedas dentro de uma organização. O protocolo CCSS foi projetado para aumentar a segurança da informação padrão, práticas e para complementar os padrões (ISO 27001, PCI, etc.), não substituí-los. O padrão CCSS não pode ser comparado ao PCI DSS como equivalente, eles são concomitantes. Considerando que o padrão PCI DSS aplica-se a todo o fluxo de transação (ou seja, a partir da tecnologia usada para adquirir transações através de como a informação na transação é tratada em todo etapas de processamento), o padrão CCSS não fornece a mesma cobertura e centra-se apenas na gestão segura das criptocarteiras. CCSS é dividido em três níveis • Nível I de segurança apresenta procedimentos para proteção de carteiras criptografadas com fortes níveis de segurança. • Nível II se traduz em níveis aprimorados de segurança com políticas e procedimentos formalizados que são aplicados em todas as etapas dos respectivos processos de negócios. • Nível III vários agentes são necessários para as ações críticas, autenticação avançada são empregadas e mecanismos para garantir a autenticidade dos dados, e os ativos são distribuídos geograficamente e com forte protocolos de segurança. Juntos, esses requisitos tornam as carteiras de criptografadas mais resilientes ao comprometimento. Para garantir que o padrão permaneça neutro e atualizado com as melhores práticas do setor, o CCSS é mantido pelo Comitê Diretivo do CCSS, composto por especialistas em matéria em criptomercados, tais como: Vitalik Buterin e Andreas Antonopoulos. Além desse comitê, também se encontra o Consórcio de Certificação de Criptomoeda (C4). Esse grupo estabelece padrões que ajudam a garantir um equilíbrio de abertura e privacidade, segurança e usabilidade, bem como confiança e descentralização. C4 também fornece certificações para que os profissionais possam afirmar seus conhecimentos em criptomoedas da mesma forma que eles são capazes de afirmar outras habilidades. Antes do C4, não havia como contratar gerentes e/ou empresas de colocação para validar o conhecimento do Bitcoin em seus candidatos como poderiam fazer com outros conhecimento, como redes, segurança e contabilidade. O próximo passo é ter uma abordagem mais generalizada das certificações de conhecimentos técnicos sobre as criptomoedas e potencialmente uma certificação para avaliadores de conformidade do CCSS. Embora esse padrão esteja presente desde 2014, poucas organizações reivindicam adesão ao CCSS. De fato, percebe-se que um número considerável de empresas neste espaço, principalmente startups, não seguem melhores práticas de segurança e suas operações não atendem a padrões mínimos de segurança. Um exemplo disso foi o ataque a Taylor, startup brasileira que teve todos os seus fundos roubados. Normalmente, as start-ups não investem a quantidade adequada de tempo e recursos nas melhores práticas de segurança. Elas não têm segurança formal padrões de verificação e não fazem testes regulares de penetração em seus sistemas. Tais características tornam essas organizações mais atraentes e vulneráveis ​​às violações cibernéticas. Ao analisar as violações atuais, parece que todos os sistemas que sofreram violações de alto nível foram considerados não compatíveis com o CCSS Nível 1. Em contraste, os sistemas que são compatíveis com o CCSS Nível 2 ou Nível 3 são mais prováveis que suportem ataques cibernéticos. Do ponto de vista da auditoria de TI, o teste de conformidade com CCSS fornecerá um grau razoável de garantia de que os riscos relacionados às carteiras criptografadas estão sendo minimizados e mitigados. A segurança é invariavelmente uma consideração importante, especialmente quando se trata de transações financeiras. Dinheiro roubado de carteiras de criptomoedas geralmente são irrecuperáveis. Haja visto o caso de roubo que sofrera Alex Ferreira, conhecido como o Barão do Bitcoin, leia mais aqui. Um outro exemplo de instituição que não seguia nenhum padrão e protocolo de segurança para uso interno do gerenciamento das cryptocarteiras foi a QuadrigaCX. Seu fundador Gerald Cotten morreu e ninguém mais tem acesso às carteiras, leia mais aqui. Cerca de US$190 milhões estão perdidos.