Cómo funciona CISPA

La Ley de Protección e Intercambio de Inteligencia Cibernética ( CISPA ) es un proyecto de ley de seguridad cibernética propuesto que fue aprobado por la Cámara de Representantes de EE. UU. el 26 de abril de 2012 como HR 3523, pero se estancó en el Senado ese mismo año. Regresó a la lista del Congreso en 2013 como HR 624. CISPA enmendaría el Título XI de la Ley de Seguridad Nacional de 1947 agregando una nueva sección al final llamada "Compartir información e inteligencia sobre amenazas cibernéticas, Sec. 1104".

El objetivo de la nueva sección es permitir y alentar a las agencias del gobierno federal , las empresas del sector privado y las empresas de servicios públicos a compartir inteligencia sobre amenazas cibernéticas entre sí de manera oportuna para evitar interrupciones o daños a la infraestructura vital debido a ataques a la computadora. sistemas y redes de estas entidades. Pero el alcance y el lenguaje del proyecto de ley han resultado bastante controvertidos.

Para los partidarios, la legislación propuesta es un medio para permitir mejor el intercambio de información para contrarrestar rápidamente los ataques cibernéticos antes de que interrumpan los servicios críticos o dañen la economía o la seguridad nacional, y para permitir que las empresas compartan información y tomen medidas defensivas sin riesgo de demandas por sus acciones. . Para los opositores, es una legislación demasiado amplia y vaga que permite compartir información personal sin supervisión judicial, daña los derechos de privacidad individuales al eludir las leyes de privacidad existentes y podría invitar a abusos como la vigilancia gubernamental de las actividades de Internet.

Todo el mundo está de acuerdo en que somos vulnerables a los ataques cibernéticos, posiblemente de potencias extranjeras, terroristas , delincuentes u otros con malas intenciones, y que estos ataques tienen el potencial de interrumpir los servicios esenciales. Los desacuerdos radican en si este proyecto de ley realmente resuelve el problema y si podría hacer más daño que bien.

Siga leyendo para obtener más información sobre los tipos de amenazas que CISPA pretende abordar y el proyecto de ley en sí.

1. ¿Contra qué tipo de amenazas debe proteger CISPA?
2. Historia del proyecto de ley
3. Disposiciones clave de CISPA
4. ¿Por qué CISPA es tan controversial?
5. Lenguaje más problemático
6. Esfuerzos realizados en apoyo y oposición a CISPA
7. Alternativas a CISPA
8. El estado actual de las cosas

La infraestructura vital que CISPA pretende proteger incluye servicios como energía, agua y alcantarillado, transporte, comunicaciones, redes financieras y agencias gubernamentales. Prácticamente todas las empresas y todas las empresas de servicios públicos, así como el propio gobierno, están al menos parcialmente en línea en estos días, y cualquier cosa conectada a Internet, desde una computadora solitaria hasta una red enorme, es vulnerable a un ataque debilitante.

El proyecto de ley no entra en detalles sobre los tipos de ataques, pero hay algunos comunes: ataques de denegación de servicio distribuido (DDOS), en los que se envía una gran cantidad de solicitudes a los servidores de una empresa, lo que provoca la interrupción del servicio a los usuarios legítimos. ; ataques man-in-the-middle, en los que las comunicaciones de un servidor a otro se interceptan y se ejecutan a través del servidor de un atacante para espiar o realizar cambios dañinos; y amenazas persistentes avanzadas (APT), que son ataques dirigidos a largo plazo contra ciertas empresas u otras entidades. Los atacantes pueden tener como objetivo instalar virus, gusanos, spyware, troyanos y otro malware (software malicioso) en las computadoras de destino para causar estragos u obtener acceso no autorizado.

Hay intentos abiertos de intrusión por parte de piratas informáticos, al estilo de la película "Juegos de guerra", donde el protagonista marcó directamente los sistemas informáticos de la empresa y del gobierno. Los usuarios y administradores de sistemas tienen formas de protegerse contra ataques directos, como firewalls de software o hardware], software antivirus y antispyware y métodos de inicio de sesión mejorados que incluyen cosas como contraseñas complicadas o autenticación de múltiples factores.

Desafortunadamente, muchos sistemas son violados por atacantes que utilizan métodos de ingeniería social que engañan a personas involuntarias para que proporcionen información de inicio de sesión o instalen malware en sus propias máquinas. El phishing es un método común de ingeniería social en el que se envían correos electrónicos con archivos adjuntos que contienen malware, enlaces a sitios web que parecen legítimos pero no lo son o solicitudes de información personal. Hay una versión más específica de esta estafa llamada spearphishing , donde los atacantes saben algo acerca de sus víctimas y pueden usar eso para hacer que el correo electrónico suene legítimo.

Incluso el software que un usuario busca por sí mismo puede incluir malware, como sucedió en un caso reciente en el que los empleados de Apple, Facebook y Microsoft (y presumiblemente otras empresas) cayeron presa cuando descargaron software infectado de sitios de desarrolladores populares que habían sido pirateados.

El software malicioso puede infectar una computadora o posiblemente una red completa de computadoras y permitir el espionaje, la interrupción u otras travesuras nefastas. Una computadora puede ser secuestrada instalando algo llamado bot, un software que ejecuta ciertas tareas automáticamente y puede permitir que un usuario externo controle la computadora sin que el propietario lo sepa. Éstos a veces se denominan ordenadores zombis . Hay redes de estas máquinas secuestradas llamadas botnets que pueden usarse para lanzar ataques contra otros.

Ha habido otros ataques notables en las noticias últimamente. Según una investigación realizada por una empresa de seguridad cibernética llamada Mandiant, piratas informáticos en China irrumpieron en la red del New York Times, aparentemente para espiar el correo electrónico de ciertos reporteros que escribían sobre un funcionario chino de alto rango. Se hizo un intento similar contra Bloomberg News. Los ataques contra otras empresas también se han rastreado hasta China, según Mandiant [fuente: Bodeen ].

Saudi Aramco, el mayor productor de petróleo del mundo, fue atacado con un virus que reemplazó los datos de unas 30.000 computadoras de la empresa con una imagen de una bandera estadounidense en llamas, inutilizando las máquinas. Estos ataques se rastrearon a una computadora que aparentemente no estaba conectada a Internet, lo que llevó a especular que fue un trabajo interno.

Los ataques cibernéticos pueden ser perpetrados por personas que buscan mostrar sus habilidades, delincuentes que buscan robar propiedad intelectual o información financiera, grupos terroristas que buscan causar estragos e incluso gobiernos con fines de espionaje o actividades militares. A veces, también hay infracciones por parte de activistas o personas que desean señalar posibles problemas de seguridad. Los costos de los ataques cibernéticos más mal intencionados pueden ser enormes y pueden incluir la pérdida de secretos comerciales y otros datos, el robo financiero y el costo de limpieza. y reparación de sistemas infectados, entre otras cosas. Y los riesgos también incluyen la interrupción de los servicios de los que todos dependemos.

El CISPA original fue presentado como HR 3523 el 30 de noviembre de 2011 por el republicano Mike Rogers de Michigan, presidente del Comité de Inteligencia de la Cámara, y copatrocinado por el demócrata holandés Ruppersberger de Maryland, miembro de alto rango del mismo comité, así como más que otros 20 representantes, demócratas y republicanos por igual. Contó con el apoyo de muchas empresas, incluidas grandes empresas de telecomunicaciones y tecnología, pero enfrentó mucha oposición de grupos de libertades civiles. El 25 de abril de 2012, la administración del presidente Obama incluso amenazó con vetar el proyecto de ley por no hacer lo suficiente para proteger la infraestructura central de las ciberamenazas y por no proteger la privacidad, la confidencialidad de los datos y las libertades civiles de las personas.

Se propusieron más de 40 enmiendas. El Comité de Reglas de la Cámara rechazó varias enmiendas a favor de la privacidad el 25 de abril. El 26 de abril se retiró una enmienda para permitir que la Agencia de Seguridad Nacional (NSA) o el Departamento de Seguridad Nacional (DHS) tuvieran autoridad de vigilancia adicional . Se aprobaron algunas enmiendas , aumentando la factura original de 11 páginas a 27 páginas. Estos incluyeron lo siguiente:

La versión enmendada de HR 3523 fue aprobada en la Cámara de Representantes de los EE. UU. el 26 de abril de 2012 por 248 a 168 votos, pero nunca llegó a votación en el Senado de los EE. UU.

Los senadores Rogers y Ruppersberger reintrodujeron la CISPA en la Cámara en febrero de 2013 con un número de proyecto de ley diferente, HR 624. Es prácticamente idéntica a la versión de HR 3523 que aprobó la Cámara en 2012.

CISPA se concentra por completo en compartir información relacionada con amenazas cibernéticas entre el gobierno y entidades privadas, y entre entidades privadas y otras entidades privadas. Establece disposiciones para que las agencias gubernamentales compartan información clasificada y no clasificada con empresas privadas y empresas de servicios públicos. Para información clasificada, especifica que las entidades o personas que reciben la información deben estar certificadas o tener autorización de seguridad, y establece disposiciones para otorgar autorización de seguridad temporal o permanente a personas dentro de estas entidades.

También permite el intercambio de información entre entidades privadas y otras entidades privadas, incluidas las empresas de ciberseguridad contratadas por esas empresas para protegerlas. Y establece disposiciones para que las entidades privadas compartan información sobre amenazas cibernéticas con el gobierno federal, y especifica que cualquier agencia que reciba dicha información debe enviarla al Centro Nacional de Integración de Comunicaciones y Ciberseguridad del DHS.

CISPA exime a la información compartida de la divulgación bajo la Ley de Libertad de Información y cualquier ley similar promulgada por los gobiernos estatales, locales y tribales. identificar u obtener información sobre amenazas cibernéticas o para cualquier decisión que tomen con base en la información sobre amenazas cibernéticas, siempre que actúen "de buena fe". Sin embargo, una agencia gubernamental puede ser demandada si "viola intencionalmente o deliberadamente" las reglas de uso y divulgación de información detalladas en el proyecto de ley, con un estatuto de limitaciones de dos años a partir de la fecha de la violación.

El proyecto de ley incluye límites sobre cómo el gobierno federal puede usar la información compartida con él. Los cinco usos legítimos señalados son: fines de ciberseguridad; investigación y persecución de delitos de ciberseguridad; protección de las personas contra la muerte o lesiones corporales graves; protección de menores contra la pornografía infantil, la explotación sexual y otros delitos relacionados; y protección de la seguridad nacional. El gobierno tiene restricciones para buscar afirmativamente la información para cualquier propósito que no sea la investigación y el enjuiciamiento de delitos de seguridad cibernética, y tiene restricciones para retener o usar la información para cualquier propósito que no sean los enumerados en la oración anterior. CISPA también restringe específicamente que el gobierno use la bibliotecaregistros de circulación, listas de usuarios de bibliotecas, registros de ventas de libros, listas de clientes de libros, registros de ventas de armas de fuego, registros de declaraciones de impuestos, registros educativos y registros médicos.

El proyecto de ley establece que si se comparte información con el gobierno federal que determina que no está relacionada con amenazas cibernéticas, el gobierno debe notificar a la entidad que proporcionó la información.

CISPA también dicta procedimientos e informes que deben ser desarrollados y publicados por ciertas entidades gubernamentales. Hace que todo el intercambio de información de entidades privadas sea voluntario, sin sanciones por optar por no participar, y declara que el proyecto de ley no es un intento de dar ningún elemento de la comunidad de inteligencia el derecho a dictar los esfuerzos de seguridad cibernética de cualquier agencia privada o gubernamental.

Los propósitos de seguridad cibernética, tal como se definen en el proyecto de ley, incluyen: esfuerzos para proteger contra vulnerabilidades; amenazas a la integridad, confidencialidad o disponibilidad; esfuerzos para denegar el acceso, degradar, perturbar o destruir; y esfuerzos para obtener acceso no autorizado a sistemas y redes, así como a cualquier información almacenada, procesada o que se mueva a través de ellos. Esto incluye explícitamente el acceso no autorizado para exfiltrar (o eliminar) información, pero excluye el acceso no autorizado que solo involucre violaciones de los términos de servicio del consumidor o acuerdos de licencia. Las definiciones de sistemas de seguridad cibernética e inteligencia de amenazas cibernéticas contienen un lenguaje similar.

CISPA ha recibido muchas críticas por varias razones, incluidas las preocupaciones sobre la privacidad , la transparencia, la falta de supervisión judicial y la posibilidad de que se utilice para vigilar las actividades de Internet de los ciudadanos bajo el pretexto de la seguridad cibernética, la seguridad nacional y otros términos vagamente definidos.

Un problema es que utiliza términos generales como "inteligencia de amenazas cibernéticas" en lugar de definir estrictamente los tipos de datos que se pueden compartir, lo que podría permitir a las empresas obtener y compartir cualquier tipo de información, incluida la información de identificación personal (PII), información privada. comunicaciones y similares. CISPA permite que las entidades privadas insistan en que el gobierno anonimice, minimice o restrinja de otro modo los datos que comparten, pero no exige que las empresas establezcan tales restricciones.

En la subsección sobre el uso que hace el gobierno federal de la información compartida, hay un párrafo que aborda la privacidad y las libertades civiles, pero dice: "El gobierno federal puede, en consonancia con la necesidad de proteger los sistemas federales y la infraestructura de información crítica de las amenazas a la seguridad cibernética y para mitigar tales amenazas, realizar esfuerzos razonables para limitar el impacto en la privacidad y las libertades civiles del intercambio de información sobre amenazas cibernéticas con el Gobierno Federal de conformidad con esta subsección". El uso de la palabra "puede" hace que suene voluntario, y no hay una definición más detallada de lo que podrían implicar estos esfuerzos. En el apartado relativo a la creación de un informe anual sobre el uso gubernamental de la información, el proyecto de ley dicta incluir "métricas para determinar el impacto,

El proyecto de ley brinda inmunidad legal a las empresas que comparten información, incluso si resulta que lo hicieron de manera inapropiada, siempre que hayan actuado de "buena fe". También permite la inmunidad "para decisiones tomadas con base en información sobre amenazas cibernéticas", pero no define "decisiones tomadas". Desde el punto de vista de las empresas, esto les permite compartir libremente información sobre ciberamenazas y actuar sobre esa información sin preocuparse por juicios costosos , pero podría restringir por completo el derecho de una persona o entidad a demandar por cualquier daño causado, ya que es difícil probar que alguien no actuó de buena fe. Se ha argumentado que esta inmunidad también podría permitir a las empresas hacer cosas como piratear en represalia a un presunto intruso para obtener información o interrumpir sus sistemas.

Otro aspecto controvertido de la redacción de CISPA es el potencial que tiene para reemplazar una serie de leyes de privacidad.

CISPA potencialmente elude la supervisión judicial a través del término "sin perjuicio de cualquier otra disposición de la ley", que anula muchas leyes de privacidad existentes, incluida la Ley de escuchas telefónicas, la Ley de comunicaciones por cable, la Ley de protección de privacidad de video, la Ley de comunicaciones almacenadas y la Ley de privacidad de comunicaciones electrónicas. actos que proporcionan reglas y supervisión con respecto al intercambio de información personal. En el caso de CISPA, no se requiere orden judicial para que el gobierno obtenga información personal.

A pesar de que las personas pueden demandar al gobierno si hace mal uso deliberado de su información, podría ser muy difícil descubrir que tal cosa sucedió alguna vez. Incluso si se envía al gobierno información que no es sobre amenazas cibernéticas, el gobierno solo está obligado a notificar a la entidad emisora, y nadie está obligado a informar a la persona cuyos datos se compartieron. Y la información compartida está exenta de divulgación bajo la Ley de Libertad de Información y otras leyes de divulgación similares. Tendría que haber algún daño obvio que señalara el intercambio, y tendría que ser evidente dentro de los dos años posteriores al momento en que el gobierno federal hizo un mal uso de los datos debido al estatuto de limitaciones.

CISPA también está bajo ataque por no definir o limitar a qué entidades gubernamentales se puede entregar la información, además de la estipulación de que las agencias receptoras la entreguen al Centro Nacional de Integración de Comunicaciones y Ciberseguridad del DHS, que puede compartirla con otras agencias. La información podría entregarse legalmente a cualquier agencia del gobierno federal, incluidas las agencias de inteligencia. La forma en que el gobierno puede usar la información también se define ampliamente, incluso "para fines de seguridad cibernética", que se define de manera un tanto vaga en el proyecto de ley, y "para proteger la seguridad nacional de los Estados Unidos", que se define de manera bastante amplia en el proyecto de ley. Ley de Seguridad Nacional.

Hay una notable escasez de términos relacionados con la tecnología en el proyecto de ley. La palabra "computadora" solo se usa dentro de la definición de "delito de ciberseguridad" para incluir los delitos informáticos en la lista de posibles violaciones. De lo contrario, HR 624 se refiere a las cosas que se protegen como "sistemas y redes", lo cual es algo ambiguo. Las palabras y frases "en línea", " Internet ", "Web", "digital", "tecnología de la información" e incluso "tecnología" nunca se utilizan.

La versión original del proyecto de ley incluía el robo de propiedad intelectual como uno de los propósitos de ciberseguridad. Esto se eliminó de la última versión de CISPA y se agregó texto para especificar que la información sobre amenazas cibernéticas no incluye esfuerzos para obtener acceso que involucren violaciones de los términos de servicio del consumidor o acuerdos de licencia. Sin embargo, algunos grupos aún temen que pueda usarse para perseguir cosas como la infracción de derechos de autor.

CISPA no proporciona los medios legales para que el gobierno controle directamente las actividades en línea y los datos digitales de las personas, pero sí permite que las empresas brinden voluntariamente tipos y cantidades indefinidos de información que consideran información sobre amenazas cibernéticas al gobierno federal, y el gobierno puede conservar y usar estos datos por razones de seguridad cibernética, seguridad nacional e investigación de algunos otros delitos. Esto y el hecho de que se pueda entregar a cualquier agencia están causando consternación, ya que esto podría permitir a las agencias de inteligencia una especie de acceso lateral a la información personal.

Nadie está discutiendo que compartir información sobre amenazas emergentes no sea importante en la lucha para proteger los sistemas informáticos y las redes de la amenaza cada vez mayor de ataques, pero se están presentando argumentos para imponer limitaciones en los tipos de información compartida y con qué entidades. se puede compartir Los partidarios de CISPA responden que el proyecto de ley no está destinado a la vigilancia y que las inmunidades son necesarias para alentar a las empresas a compartir información sin temor a juicios. Los opositores argumentan que los riesgos para la privacidad y las libertades civiles son demasiado grandes en el proyecto de ley tal como está redactado actualmente.

Varias empresas privadas y asociaciones comerciales han expresado su apoyo a CISPA. Muchos de ellos enviaron cartas de apoyo a la Cámara de Representantes de EE. UU. para HR 3423, HR 624 o ambos, incluidos AT&T, Verizon, US Telecom, Comcast, Time Warner Cable, National Cable & Telecommunications Association, Edison Electric Institute, Financial Joint Trades, Financial Services Roundtable, Boeing, Lockheed Martin, IBM, Intel, Oracle, Symantec, Microsoft, Facebook, TechAmerica, Internet Security Alliance, Juniper Networks, la Asociación Nacional de Cable y Telecomunicaciones y la Cámara de Comercio. Facebook y Microsoft retrocedieron un poco después de las protestas y declararon o dieron a entender que apoyarían cambios en la legislación final que abordara las preocupaciones de privacidad.

Las cartas de apoyo incluyen elogios por derribar las barreras existentes para el intercambio oportuno de inteligencia sobre amenazas cibernéticas con entidades privadas, no imponer cargas regulatorias a las empresas privadas y protegerlas de demandas frívolas e inseguridad jurídica con respecto al intercambio de información, entre otras cosas.

Pero algunas empresas y organizaciones preocupadas por la privacidad y las libertades civiles se han pronunciado enérgicamente en contra de CISPA, incluidas Electronic Frontier Foundation, American Civil Liberties Union, Access Now, American Library Association, Society of American Archivists, Cato Institute, Center para la Democracia y la Tecnología, la Asociación de Consumidores de Entretenimiento, la Fundación Sunlight, Reporteros sin Fronteras, la Sociedad de Periodistas Profesionales, el Instituto Rutherford, el Republican Liberty Caucus, Mozilla y Tech Freedom, entre otros. Las personas notables que han expresado preocupaciones incluyen al exrepresentante y candidato presidencial Ron Paul, quien llamó al proyecto de ley "Gran Hermano en grande", y Tim Berners-Lee, el inventor de la World Wide Web .. Y, por supuesto, estaba la amenaza de veto del presidente.

La EFF y algunos otros grupos opositores organizaron una "Semana de acción" a mediados de abril de 2012 para protestar contra CISPA, durante la cual llevaron a cabo una campaña de base pidiendo a la gente que firmara peticiones, escribiera, llamara y tuiteara a los congresistas y expresara su oposición al proyecto de ley. Casi un millón de personas lo hicieron en la primera ronda, pero a pesar de esta actividad, CISPA pasó en la Cámara, aunque con algunos cambios.

A principios de la primavera de 2013, se están realizando esfuerzos similares para protestar contra el proyecto de ley nuevamente. Aproximadamente un día después de que CISPA se reintrodujera en la Cámara, se recopilaron y entregaron cientos de miles de firmas en línea al Comité de Inteligencia de la Cámara de Representantes de EE. UU. Es probable que no hayamos escuchado el final de los argumentos vigorosos en ambos lados del problema.

Se han presentado algunas alternativas notables a CISPA, incluidos dos proyectos de ley presentados en el Senado y una Orden Ejecutiva emitida por el presidente Obama.

Uno de los proyectos de ley del Senado es la Ley de Seguridad Cibernética (S. 3414) presentada por los Senadores Joe Lieberman (I-CT), Susan Collins (R-ME) y otros tres senadores. Es un proyecto de ley mucho más largo (más de 200 páginas) y más detallado que CISPA que abre caminos para que las entidades privadas y el gobierno federal compartan información relacionada con amenazas cibernéticas, pone la supervisión de compartir en el ámbito del DHS y también permite establecer lineamientos de ciberseguridad a seguir de forma voluntaria, pero con incentivos para su cumplimiento por parte de entidades privadas. Crea el Consejo Nacional de Ciberseguridad (NCC) que estará compuesto por representantes de múltiples agencias (tanto civiles como militares) para coordinar con el sector privado para evaluar las vulnerabilidades del sistema informático y elaborar las pautas.

La Ley de Ciberseguridad se enmendó para incluir más protecciones a la privacidad y las libertades civiles, incluida la garantía de que solo las organizaciones civiles (no militares) tengan acceso a la información compartida sobre amenazas cibernéticas y una exención de las actividades protegidas por la primera enmienda de ser identificadas como categorías de amenazas cibernéticas críticas. infraestructura _ Tampoco incluye la seguridad nacional como uno de los posibles usos de la información de seguridad cibernética compartida, pero permite que el gobierno federal use la información por las otras tres razones permitidas por CISPA.

Un proyecto de ley rival presentado por el Senador John McCain (R-AZ) y varios senadores copatrocinadores se denomina Ley de Fortalecimiento y Mejora de la Seguridad Cibernética mediante el Uso de la Investigación, Educación, Información y Tecnología (Ley SECURE IT, S. 3342). También es un proyecto de ley más pesado que CISPA, con más de 100 páginas. Facilitaría el intercambio de información entre múltiples agencias gubernamentales y entidades privadas sobre amenazas cibernéticas, fortalecería las sanciones penales relacionadas con los delitos cibernéticos, fomentaría la investigación y el desarrollo de redes y tecnología de la información y el intercambio de investigaciones, y permitiría que el Departamento de Comercio, el Departamento de Seguridad Nacional y el Agencia de Seguridad Nacional (NSA) para coordinar las políticas relacionadas con los esfuerzos de seguridad cibernética. Ha enfrentado muchas de las mismas críticas que CISPA, incluyendo que tiene una definición demasiado amplia de información sobre amenazas cibernéticas, establece pocos límites sobre los tipos de información que se pueden compartir y cómo se pueden usar (incluidos los fines de seguridad cibernética, los fines de seguridad nacional y una gran cantidad de fines de prevención, investigación y enjuiciamiento delictivos) , lenguaje similar "sin perjuicio de cualquier otra disposición de la ley" y cuestiones de supervisión, como la eliminación de la responsabilidad legal de las empresas y la exención de la información compartida de la Ley de Libertad de Información. También es criticado por poner a una entidad no civil (la NSA) a cargo del intercambio de información. fines de investigación y enjuiciamiento), lenguaje similar "sin perjuicio de cualquier otra disposición de la ley" y cuestiones de supervisión, como la eliminación de la responsabilidad judicial de las empresas y la exención de la información compartida de la Ley de Libertad de Información. También es criticado por poner a una entidad no civil (la NSA) a cargo del intercambio de información. fines de investigación y enjuiciamiento), lenguaje similar "sin perjuicio de cualquier otra disposición de la ley" y cuestiones de supervisión, como la eliminación de la responsabilidad judicial de las empresas y la exención de la información compartida de la Ley de Libertad de Información. También es criticado por poner a una entidad no civil (la NSA) a cargo del intercambio de información.

As of early 2013, neither Senate bill passed, but in the wake of CISPA's resurrection in the House, President Obama issued an Executive Order (EO) that covers some of the ground of the proposed cybersecurity bills, including timely sharing of information on cyberthreats from the federal government to critical infrastructure entities and companies that provide cybersecurity services. It does not enable any new sharing of information in the other direction (from private companies to public entities). It takes an existing Defense Industrial Base (DIB) information sharing program called the Enhanced Cybersecurity Services program, which was put in place to allow the Department of Defense (DoD) and the DHS to share non-classified cybersecurity information with defense contractors and the like, and expands it by allowing it to cover the other government agencies and critical infrastructure sectors. Like CISPA, the EO addresses creating an avenue for critical infrastructure personnel to gain security clearance for the sharing of classified information. It charges the National Institute of Standards and Technology (NIST) and others to work collaboratively with industry experts to create a cybersecurity practices framework to help reduce cyberthreat risks to infrastructure, and calls on the DHS to develop incentives to promote adoption of the framework.

The EO also calls for the Chief Privacy Officer and Officer for Civil Rights and Civil Liberties of the DHS to assess privacy and civil liberties risks and make recommendations on how to minimize and mitigate those risks. They are to use the Fair Information Practice Principles (FIPP) and other related policies to evaluate cybersecurity activities to this end, and their assessments are to be made available to the public.

Since CISPA is under consideration once more, no rival cybersecurity bills have passed yet and cyberthreats appear to be on the rise, the debate on how best to handle cybersecurity, especially sharing of information from private industry to government, is far from over. But perhaps all the rousing debates and calls to action will help whatever laws are ultimately passed to best straddle the line between too much and too little sharing while providing real protections.

Author's Note: How CISPA Works

Being an IT worker, a writer and a heavy Internet user, I'm concerned about the security of our computers and networks. Lord knows I don't want my data stolen, or a cyberattack to take down the Internet or cut the power. How would I watch an entire season of "Downton Abbey" on Netflix while simultaneously writing an essay, checking e-mail and surfing the net for Grumpy Cat pictures?

But I'm equally concerned about privacy. The less of my data flowing out to people I never intended to look at it, the better. There is no telling how the NSA would interpret one of my short stories.

Reading through these bills and thinking about what could possibly go wrong due to wording issues was pretty fascinating. I'm sure that the drafters of all such legislation are by and large well-meaning people trying to proactively snuff out security threats. But "well-meaning" means about as much as "good faith" in legal terms. Not everyone on the planet has good intentions, as we are reminded daily by the news, and anything that can be used for ill or even just misguided purposes probably will be at some point. So I hope that whatever bill passes is extremely well-thought-out and vetted by industry, civil liberty and legal experts alike. Keep the Internet safe for Grumpy Cat.

Related Articles

Sources