Comment fonctionne le CISPA

Le Cyber ​​Intelligence Sharing and Protection Act ( CISPA ) est un projet de loi sur la cybersécurité qui a été adopté par la Chambre des représentants des États-Unis le 26 avril 2012 sous le numéro HR 3523, mais bloqué au Sénat plus tard cette année-là. Il est revenu sur la liste du Congrès en 2013 sous le nom de HR 624. Le CISPA modifierait le titre XI de la loi sur la sécurité nationale de 1947 en ajoutant une nouvelle section à la fin intitulée «Cyber ​​Threat Intelligence and Information Sharing, Sec. 1104».

L'objectif de la nouvelle section est de permettre et d'encourager les agences du gouvernement fédéral , les entreprises du secteur privé et les services publics à partager en temps opportun des renseignements sur les cybermenaces afin d'éviter toute perturbation ou tout dommage aux infrastructures vitales en raison d'attaques sur l'ordinateur. systèmes et réseaux de ces entités. Mais la portée et le libellé du projet de loi se sont avérés assez controversés.

Pour les partisans, la législation proposée est un moyen de mieux permettre le partage d'informations pour contrer rapidement les cyberattaques avant qu'elles ne perturbent les services critiques ou ne nuisent à l'économie ou à la sécurité nationale, et pour permettre aux entreprises à la fois de partager des informations et de prendre des mesures défensives sans risque de poursuites judiciaires pour leurs actions. . Pour les opposants, il s'agit d'une législation trop large et vague qui permet le partage d'informations personnelles sans contrôle judiciaire, porte atteinte au droit à la vie privée des individus en contournant les lois existantes sur la protection de la vie privée et pourrait inciter à des abus tels que la surveillance gouvernementale des activités sur Internet.

Tout le monde s'accorde à dire que nous sommes vulnérables aux cyberattaques, potentiellement de la part de puissances étrangères, de terroristes , de criminels ou d'autres mal intentionnés, et que ces attaques ont le potentiel de perturber les services essentiels. Les désaccords portent sur la question de savoir si ce projet de loi résout vraiment le problème et s'il pourrait faire plus de mal que de bien.

Poursuivez votre lecture pour en savoir plus sur les types de menaces que le CISPA est censé traiter et sur le projet de loi lui-même.

1. Contre quels types de menaces CISPA est-il censé se protéger ?
2. Historique du projet de loi
3. Principales dispositions de la CISPA
4. Pourquoi la CISPA est-elle si controversée ?
5. Langage plus problématique
6. Efforts déployés pour soutenir et s'opposer au CISPA
7. Alternatives au CISPA
8. L'état actuel des choses

L'infrastructure vitale que le CISPA vise à protéger comprend des services tels que l'électricité, l'eau et les égouts, les transports, les communications, les réseaux financiers et les agences gouvernementales. Presque toutes les entreprises et tous les services publics, ainsi que le gouvernement lui-même, sont au moins partiellement en ligne ces jours-ci, et tout ce qui est connecté à Internet, d'un ordinateur isolé à un immense réseau, est vulnérable à une attaque débilitante.

Le projet de loi n'entre pas dans les détails sur les types d'attaques, mais il en existe quelques-unes courantes : les attaques par déni de service distribué (DDOS), où un grand nombre de requêtes sont envoyées aux serveurs d'une entreprise, provoquant une interruption du service aux utilisateurs légitimes ; les attaques de type "man-in-the-middle", où les communications d'un serveur à un autre sont interceptées et passent par le serveur d'un attaquant pour espionner ou apporter des modifications nuisibles ; et les menaces persistantes avancées (APT), qui sont des attaques ciblées à long terme sur certaines entreprises ou d'autres entités. Les attaquants peuvent viser à installer des virus, des vers, des logiciels espions, des chevaux de Troie et d'autres logiciels malveillants (logiciels malveillants) sur les ordinateurs cibles pour semer le chaos ou obtenir un accès non autorisé.

Il y a des tentatives d'intrusion manifestes de la part de pirates, comme dans le film "War Games", où le protagoniste s'est connecté directement aux systèmes informatiques de l'entreprise et du gouvernement. Les utilisateurs et les administrateurs système disposent de moyens de protection contre les attaques directes, tels que des pare-feu logiciels ou matériels], des logiciels antivirus et anti-logiciels espions et des méthodes de connexion améliorées qui incluent des éléments tels que des mots de passe compliqués ou une authentification multifacteur.

Malheureusement, de nombreux systèmes sont piratés par des attaquants qui utilisent des méthodes d'ingénierie sociale qui incitent des individus involontaires à fournir des informations de connexion ou à installer des logiciels malveillants sur leurs propres machines. L'hameçonnage est une méthode d'ingénierie sociale courante dans laquelle des e-mails sont envoyés avec des pièces jointes contenant des logiciels malveillants, des liens vers des sites Web qui semblent légitimes mais qui ne le sont pas ou des demandes d'informations personnelles. Il existe une version plus ciblée de cette escroquerie appelée spearphishing , où les attaquants savent quelque chose sur leurs victimes visées et peuvent l'utiliser pour donner l'impression que l'e-mail est légitime.

Même le logiciel qu'un utilisateur recherche lui-même peut inclure des logiciels malveillants, comme cela s'est produit dans un cas récent où des employés d'Apple, Facebook et Microsoft (et probablement d'autres sociétés) ont été la proie lorsqu'ils ont téléchargé des logiciels infectés à partir de sites de développeurs populaires qui avaient été piratés.

Les logiciels malveillants peuvent infecter un ordinateur ou éventuellement un réseau entier d'ordinateurs et permettre l'espionnage, la perturbation ou d'autres manigances néfastes. Un ordinateur peut être piraté en installant quelque chose appelé un bot - un logiciel qui exécute automatiquement certaines tâches et peut permettre à un utilisateur extérieur de contrôler l'ordinateur à l'insu du propriétaire. Ceux-ci sont parfois appelés ordinateurs zombies . Il existe des réseaux de ces machines détournées, appelés botnets, qui peuvent être utilisés pour lancer des attaques contre d'autres.

Il y a eu d'autres attaques notables dans les nouvelles ces derniers temps. Selon une enquête menée par une société de cybersécurité appelée Mandiant, des pirates informatiques en Chine ont fait irruption dans le réseau du New York Times, apparemment pour espionner les e-mails de certains journalistes écrivant sur un haut responsable chinois. Une tentative similaire a été faite contre Bloomberg News. Des attaques contre d'autres entreprises ont également été retracées en Chine, selon Mandiant [source : Bodeen ].

Saudi Aramco, le plus grand producteur de pétrole au monde, a été attaqué par un virus qui a remplacé les données d'environ 30 000 ordinateurs de l'entreprise par l'image d'un drapeau américain en feu, rendant les machines inutilisables. Ces attaques ont été attribuées à un ordinateur qui n'était apparemment pas connecté à Internet, ce qui laisse supposer qu'il s'agissait d'un travail interne.

Les cyberattaques peuvent être perpétrées par des individus cherchant à montrer leurs compétences, des criminels cherchant à voler la propriété intellectuelle ou des informations financières, des groupes terroristes visant à semer le chaos et même des gouvernements à des fins d'espionnage ou d'activités militaires. Il y a aussi parfois des violations par des militants ou des personnes qui souhaitent signaler des problèmes de sécurité potentiels. Les coûts des cyberattaques les plus mal intentionnées peuvent être énormes et peuvent inclure la perte de secrets commerciaux et d'autres données, le vol financier et le coût du nettoyage. et la réparation des systèmes infectés, entre autres. Et les risques incluent également la perturbation des services dont nous dépendons tous.

Le CISPA original a été présenté sous le nom de HR 3523 le 30 novembre 2011 par le républicain Mike Rogers du Michigan, président du House Intelligence Committee, et coparrainé par le démocrate Dutch Ruppersberger du Maryland, membre de rang du même comité, ainsi que plus que 20 autres représentants, démocrates et républicains confondus. Il avait le soutien de nombreuses entreprises, y compris de grandes entreprises de télécommunications et de technologie, mais s'est heurté à une forte opposition de la part de groupes de défense des libertés civiles. Le 25 avril 2012, l'administration du président Obama a même menacé d'opposer son veto au projet de loi pour ne pas avoir fait assez pour protéger l'infrastructure de base contre les cybermenaces et pour avoir omis de protéger la vie privée, la confidentialité des données et les libertés civiles des individus.

Plus de 40 amendements ont été proposés. Plusieurs amendements favorables à la vie privée ont été rejetés par la commission du règlement intérieur le 25 avril. Un amendement visant à accorder à la National Security Agency (NSA) ou au Department of Homeland Security (DHS) une autorité de surveillance supplémentaire a été retiré le 26 avril. Quelques amendements ont été adoptés. , faisant passer la facture originale de 11 pages à 27 pages. Ceux-ci comprenaient les éléments suivants :

La version modifiée de HR 3523 a été adoptée à la Chambre des représentants des États-Unis le 26 avril 2012 par 248 voix contre 168, mais n'a jamais été votée au Sénat américain.

Le CISPA a été réintroduit dans la Chambre par les sénateurs Rogers et Ruppersberger en février 2013 sous un numéro de projet de loi différent, HR 624. Il est pratiquement identique à la version de HR 3523 adoptée par la Chambre en 2012.

Le CISPA se concentre entièrement sur le partage d'informations relatives aux cybermenaces entre le gouvernement et des entités privées, et entre des entités privées et d'autres entités privées. Il prévoit que les agences gouvernementales partagent des informations non classifiées et classifiées avec des entreprises privées et des services publics. Pour les informations classifiées, il précise que les entités ou personnes physiques destinataires des informations doivent être certifiées ou disposer d'une habilitation de sécurité, et prévoit l'octroi d'une habilitation de sécurité temporaire ou permanente aux personnes au sein de ces entités.

Il permet également le partage d'informations entre des entités privées et d'autres entités privées, y compris des entreprises de cybersécurité engagées par ces entreprises pour les protéger. Et il prévoit que des entités privées partagent des informations sur les cybermenaces avec le gouvernement fédéral, et précise que toute agence recevant de telles informations doit les envoyer au Centre national d'intégration de la cybersécurité et des communications du DHS.

La CISPA exempte les informations partagées de la divulgation en vertu de la loi sur la liberté d'information et de toute loi similaire promulguée par les gouvernements étatiques, locaux et tribaux. Le projet de loi exempte les entreprises (et les entreprises de cybersécurité engagées pour protéger leurs systèmes) des poursuites pour partage d'informations, pour l'utilisation de systèmes de cybersécurité pour identifier ou obtenir des informations sur les cybermenaces ou pour toute décision qu'ils prennent sur la base des informations sur les cybermenaces, à condition qu'ils agissent « de bonne foi ». Une agence gouvernementale , cependant, peut être poursuivie si elle "viole intentionnellement ou volontairement" les règles de divulgation et d'utilisation des informations énoncées dans le projet de loi, avec un délai de prescription de deux ans à compter de la date de la violation.

Le projet de loi comprend des limites sur la façon dont le gouvernement fédéral peut utiliser les informations partagées avec lui. Les cinq utilisations légitimes indiquées sont : des fins de cybersécurité ; enquête et poursuite des crimes de cybersécurité ; la protection des personnes contre la mort ou les lésions corporelles graves ; la protection des mineurs contre la pédopornographie, l'exploitation sexuelle et autres délits connexes ; et la protection de la sécurité nationale. Il est interdit au gouvernement de rechercher affirmativement les informations à des fins autres que l'enquête et la poursuite des crimes de cybersécurité, et il est interdit de conserver ou d'utiliser les informations à des fins autres que celles énumérées dans la phrase précédente. CISPA interdit également spécifiquement au gouvernement d'utiliser la bibliothèqueregistres de circulation, listes d'usagers de bibliothèques, registres de ventes de livres, listes de clients de livres, registres de ventes d'armes à feu, registres de déclarations de revenus, dossiers scolaires et dossiers médicaux.

Le projet de loi stipule que si des informations sont partagées avec le gouvernement fédéral et qu'il détermine qu'elles ne sont pas liées à des cybermenaces, le gouvernement doit en informer l'entité qui a fourni les informations.

La CISPA dicte également des procédures et des rapports qui doivent être élaborés et publiés par certaines entités gouvernementales. Elle rend tout partage d'informations d'entités privées volontaire, sans pénalité pour le choix de ne pas participer, et déclare que le projet de loi n'est pas une tentative de donner élément de la communauté du renseignement le droit de dicter les efforts de cybersécurité de toute agence privée ou gouvernementale.

Les objectifs de cybersécurité tels que définis dans le projet de loi comprennent : les efforts de protection contre les vulnérabilités ; les menaces à l'intégrité, à la confidentialité ou à la disponibilité ; efforts pour refuser l'accès, dégrader, perturber ou détruire ; et les efforts pour obtenir un accès non autorisé aux systèmes et réseaux, ainsi qu'à toute information stockée, traitée ou circulant à travers eux. Cela inclut explicitement l'accès non autorisé pour exfiltrer (ou supprimer) des informations, mais exclut l'accès non autorisé qui implique uniquement des violations des conditions d'utilisation ou des accords de licence. Les définitions des systèmes de cybersécurité et du renseignement sur les cybermenaces contiennent un langage similaire.

Le CISPA a fait l'objet de nombreuses critiques pour diverses raisons, notamment des préoccupations concernant la confidentialité , la transparence, le manque de contrôle judiciaire et la possibilité qu'il soit utilisé pour surveiller les activités Internet des citoyens sous le couvert de la cybersécurité, de la sécurité nationale et d'autres termes vaguement définis.

L'un des problèmes est qu'il utilise des termes génériques tels que "renseignements sur les cybermenaces" plutôt que de définir strictement les types de données pouvant être partagées, ce qui pourrait potentiellement permettre aux entreprises d'obtenir et de partager tout type d'informations, y compris des informations d'identification personnelle (PII), des informations privées communication et autres. La CISPA permet aux entités privées d'insister pour que le gouvernement anonymise, minimise ou restreigne les données qu'elles partagent, mais elle n'oblige pas les entreprises à faire de telles restrictions.

Dans la sous-section relative à l'utilisation par le gouvernement fédéral des informations partagées, il y a un paragraphe qui traite de la vie privée et des libertés civiles, mais il est dit : "Le gouvernement fédéral peut, conformément à la nécessité de protéger les systèmes fédéraux et l'infrastructure d'information critique contre les menaces de cybersécurité et pour atténuer ces menaces, entreprendre des efforts raisonnables pour limiter l'impact sur la vie privée et les libertés civiles du partage d'informations sur les cybermenaces avec le gouvernement fédéral conformément à la présente sous-section. » L'utilisation du mot "peut" donne l'impression que c'est volontaire, et il n'y a pas de définition plus précise de ce que ces efforts pourraient impliquer. Dans la section concernant la création d'un rapport annuel sur l'utilisation de l'information par le gouvernement, le projet de loi dicte d'inclure « des mesures pour déterminer l'impact,

Le projet de loi accorde une immunité légale aux entreprises partageant des informations, même s'il s'avère qu'elles l'ont fait de manière inappropriée, à condition qu'elles aient agi de "bonne foi". Il autorise également l'immunité "pour les décisions prises sur la base d'informations sur les cybermenaces", mais ne définit pas les "décisions prises". Du point de vue des entreprises, cela leur permet de partager librement des informations sur les cybermenaces et d'agir sur ces informations sans se soucier de poursuites judiciaires coûteuses , mais cela pourrait complètement restreindre le droit d'un individu ou d'une entité de poursuivre en justice pour tout préjudice causé, car il est difficile prouver que quelqu'un n'a pas agi de bonne foi. Il a été avancé que cette immunité pourrait également permettre aux entreprises de faire des choses comme le piratage de représailles d'un intrus présumé pour obtenir des informations ou perturber leurs systèmes.

Un autre aspect controversé du libellé de la CISPA est le potentiel qu'il a de remplacer un certain nombre de lois sur la protection de la vie privée.

La CISPA contourne potentiellement le contrôle judiciaire par le terme "nonobstant toute autre disposition de la loi", qui prévaut sur de nombreuses lois existantes sur la protection de la vie privée, notamment la loi sur les écoutes téléphoniques, la loi sur les communications par câble, la loi sur la protection de la vie privée vidéo, la loi sur les communications stockées et la loi sur la confidentialité des communications électroniques -- actes qui fournissent des règles et une surveillance concernant le partage des informations personnelles. Dans le cas du CISPA, aucun mandat n'est requis pour que le gouvernement obtienne des renseignements personnels.

Même si les individus peuvent poursuivre le gouvernement s'il abuse délibérément de leurs informations, il pourrait être très difficile de découvrir qu'une telle chose s'est jamais produite. Même si des informations non liées à une cybermenace sont envoyées au gouvernement, celui-ci n'est tenu d'informer que l'entité expéditrice, et personne n'est tenu d'informer la personne dont les données ont été partagées. Et les informations partagées sont exemptées de divulgation en vertu de la loi sur la liberté d'information et d'autres lois de divulgation similaires. Il faudrait qu'il y ait un préjudice évident qui indiquait le partage, et il faudrait qu'il soit évident dans les deux ans suivant le moment où le gouvernement fédéral a abusé des données en raison du délai de prescription.

La CISPA est également attaquée pour ne pas définir ou limiter les entités gouvernementales auxquelles les informations peuvent être transmises, mis à part la stipulation selon laquelle les agences destinataires les transmettent au Centre national d'intégration de la cybersécurité et des communications du DHS, qui peut les partager avec d'autres agences. L'information pourrait légalement être donnée à n'importe quelle agence du gouvernement fédéral, y compris les agences de renseignement. La manière dont le gouvernement peut utiliser les informations est également définie de manière large, y compris « à des fins de cybersécurité », qui est définie de manière quelque peu vague dans le projet de loi, et « pour protéger la sécurité nationale des États-Unis », qui est définie de manière assez large dans le Loi sur la sécurité nationale.

Il y a une pénurie notable de termes liés à la technologie dans le projet de loi. Le mot « informatique » n'est utilisé que dans la définition de « délit de cybersécurité » pour inclure les crimes informatiques dans la liste des violations possibles. Sinon, HR 624 fait référence aux choses protégées en tant que "systèmes et réseaux", ce qui est quelque peu ambigu. Les mots et expressions « en ligne », « Internet », « Web », « numérique », « technologie de l'information » et même « technologie » ne sont jamais utilisés.

La version originale du projet de loi incluait le vol de propriété intellectuelle parmi les objectifs de cybersécurité. Cela a été supprimé de la dernière version de CISPA, et un libellé a été inséré pour spécifier que les informations sur les cybermenaces n'incluent pas les efforts d'accès impliquant des violations des conditions de service ou des accords de licence. Cependant, certains groupes craignent toujours qu'il puisse être utilisé pour poursuivre des choses comme la violation du droit d'auteur.

La CISPA ne fournit pas au gouvernement les moyens légaux de surveiller directement les activités en ligne et les données numériques des personnes, mais elle permet aux entreprises de fournir volontairement des types et des quantités indéfinis d'informations qu'elles considèrent comme des informations sur les cybermenaces au gouvernement fédéral, et le gouvernement peut garder et utiliser ces données pour des raisons de cybersécurité, de sécurité nationale et d'enquête sur quelques autres crimes. Ceci et le fait qu'il puisse être donné à n'importe quelle agence causent la consternation car cela pourrait permettre aux agences de renseignement une sorte d'accès latéral aux informations personnelles.

Personne ne prétend que le partage d'informations sur les menaces émergentes n'est pas important dans la lutte pour sécuriser les systèmes et les réseaux informatiques contre la menace d'attaque sans cesse croissante, mais des arguments sont avancés pour limiter les types d'informations partagées et avec quelles entités il peut être partagé. Les partisans du CISPA rétorquent que le projet de loi n'est pas destiné à la surveillance et que les immunités sont nécessaires pour encourager les entreprises à partager des informations sans crainte de poursuites. Les opposants soutiennent que les risques pour la vie privée et les libertés civiles sont trop importants dans le projet de loi tel qu'il est actuellement rédigé.

Un certain nombre d'entreprises privées et d'associations professionnelles ont exprimé leur soutien au CISPA. Beaucoup d'entre eux ont envoyé des lettres de soutien à la Chambre des représentants des États-Unis pour HR 3423, HR 624 ou les deux, notamment AT&T, Verizon, US Telecom, Comcast, Time Warner Cable, la National Cable & Telecommunications Association, Edison Electric Institute, Financial Joint Trades, Financial Services Roundtable, Boeing, Lockheed Martin, IBM, Intel, Oracle, Symantec, Microsoft, Facebook, TechAmerica, l'Internet Security Alliance, Juniper Networks, la National Cable & Telecommunications Association et la Chambre de commerce. Facebook et Microsoft ont tous deux reculé un peu après les protestations et ont déclaré ou laissé entendre qu'ils soutiendraient les modifications de la législation finale qui traitaient des problèmes de confidentialité.

Les lettres de soutien comprennent des éloges pour avoir éliminé les obstacles existants au partage en temps opportun des renseignements sur les cybermenaces avec des entités privées, pour ne pas imposer de charges réglementaires aux entreprises privées et pour les protéger des poursuites frivoles et de l'incertitude juridique en ce qui concerne le partage d'informations, entre autres.

Mais certaines entreprises et organisations soucieuses de la vie privée et des libertés civiles se sont vigoureusement prononcées contre le CISPA, notamment l'Electronic Frontier Foundation, l'American Civil Liberties Union, Access Now, l'American Library Association, la Society of American Archivists, le Cato Institute, le Center pour la démocratie et la technologie, l'Entertainment Consumers Association, la Sunlight Foundation, Reporters sans frontières, la Society of Professional Journalists, le Rutherford Institute, le Republican Liberty Caucus, Mozilla et Tech Freedom, entre autres. Parmi les personnes notables qui ont exprimé leurs inquiétudes figurent l'ancien représentant et candidat à la présidence Ron Paul, qui a qualifié le projet de loi de "Big Brother en gros", et Tim Berners-Lee, l'inventeur du World Wide Web.. Et bien sûr, il y avait la menace de veto du président.

L'EFF et certains autres groupes d'opposition ont organisé une «semaine d'action» à la mi-avril 2012 pour protester contre le CISPA, au cours de laquelle ils ont mené une campagne populaire demandant aux gens de signer des pétitions, d'écrire, d'appeler et de tweeter des membres du Congrès et d'exprimer autrement leur opposition au projet de loi. Près d'un million de personnes l'ont fait au premier tour, mais malgré cette activité, la CISPA a été adoptée à la Chambre, mais avec quelques changements.

Au début du printemps 2013, des pressions similaires ont été faites pour protester à nouveau contre le projet de loi. Environ un jour après la réintroduction de la CISPA à la Chambre, des centaines de milliers de signatures en ligne auraient été recueillies et transmises au US House Intelligence Committee. Nous n'avons probablement pas entendu la fin des arguments vigoureux des deux côtés de la question.

Certaines alternatives notables au CISPA ont été proposées, notamment deux projets de loi présentés au Sénat et un décret émis par le président Obama.

L'un des projets de loi du Sénat est la loi sur la cybersécurité (S. 3414) présentée par les sénateurs Joe Lieberman (I-CT), Susan Collins (R-ME) et trois autres sénateurs. Il s'agit d'un projet de loi beaucoup plus long (plus de 200 pages) et plus détaillé que le CISPA qui ouvre des moyens aux entités privées et au gouvernement fédéral de partager des informations liées aux cybermenaces, place la surveillance du partage dans le cadre du DHS et permet également mettre en place des lignes directrices en matière de cybersécurité à suivre sur une base volontaire, mais avec des incitations au respect par les entités privées. Il crée le Conseil national de la cybersécurité (NCC) qui sera composé de représentants de plusieurs agences (civiles et militaires) pour coordonner avec le secteur privé afin d'évaluer les vulnérabilités des systèmes informatiques et de proposer des lignes directrices.

La loi sur la cybersécurité a été modifiée pour inclure davantage de protections de la vie privée et des libertés civiles, y compris une garantie que seules les organisations civiles (non militaires) ont accès aux informations partagées sur les cybermenaces et une exemption des activités protégées par le premier amendement d'être identifiées comme des catégories de cybermenaces critiques. infrastructures . Il n'inclut pas non plus la sécurité nationale parmi les utilisations possibles des informations partagées sur la cybersécurité, mais il permet au gouvernement fédéral d'utiliser les informations pour les trois autres raisons autorisées par la CISPA.

Un projet de loi concurrent présenté par le sénateur John McCain (R-AZ) et plusieurs sénateurs coparrains s'appelle la loi sur le renforcement et l'amélioration de la cybersécurité par l'utilisation de la recherche, de l'éducation, de l'information et de la technologie (SECURE IT Act, S. 3342). C'est aussi une facture plus lourde que la CISPA, avec plus de 100 pages. Cela faciliterait le partage d'informations entre plusieurs agences gouvernementales et entités privées sur les cybermenaces, renforcerait les sanctions pénales liées aux cybercrimes, favoriserait la recherche et le développement de réseaux et de technologies de l'information et le partage de la recherche, et permettrait au Département du commerce, au Département de la sécurité intérieure et au Agence de sécurité nationale (NSA) pour coordonner les politiques concernant les efforts de cybersécurité. Il a fait face à bon nombre des mêmes critiques que CISPA, notamment qu'il a une définition trop large des informations sur les cybermenaces, impose peu de limites aux types d'informations qui peuvent être partagées et à la manière dont elles peuvent être utilisées (y compris à des fins de cybersécurité, à des fins de sécurité nationale et à de nombreuses fins de prévention, d'enquête et de poursuites pénales) , des problèmes de langage et de surveillance similaires "nonobstant toute autre disposition de la loi", tels que la suppression de la responsabilité des poursuites judiciaires des entreprises et l'exemption des informations partagées de la loi sur la liberté d'information. Il lui est également reproché d'avoir confié à une entité non civile (la NSA) la responsabilité du partage d'informations. à des fins d'enquête et de poursuites), des questions similaires de langage et de surveillance "nonobstant toute autre disposition de la loi", telles que la suppression de la responsabilité des poursuites judiciaires des entreprises et l'exemption des informations partagées de la loi sur la liberté d'information. Il lui est également reproché d'avoir confié à une entité non civile (la NSA) la responsabilité du partage d'informations. à des fins d'enquête et de poursuites), des questions similaires de langage et de surveillance "nonobstant toute autre disposition de la loi", telles que la suppression de la responsabilité des poursuites judiciaires des entreprises et l'exemption des informations partagées de la loi sur la liberté d'information. Il lui est également reproché d'avoir confié à une entité non civile (la NSA) la responsabilité du partage d'informations.

Au début de 2013, aucun projet de loi du Sénat n'a été adopté, mais à la suite de la résurrection du CISPA à la Chambre, le président Obama a publié un décret exécutif (EO) qui couvre une partie du terrain des projets de loi sur la cybersécurité, y compris le partage en temps opportun d'informations sur les cybermenaces de le gouvernement fédéral aux entités d'infrastructures essentielles et aux entreprises qui fournissent des services de cybersécurité. Il ne permet aucun nouveau partage d'informations dans l'autre sens (des entreprises privées vers les entités publiques). Il faut un programme de partage d'informations de la base industrielle de défense (DIB) existant appelé le programme Enhanced Cybersecurity Services, qui a été mis en place pour permettre au ministère de la Défense (DoD) et au DHS de partager des informations de cybersécurité non classifiées avec des sous-traitants de la défense et autres. , et l'élargit en lui permettant de couvrir les autres agences gouvernementales et les secteurs d'infrastructures critiques. Comme CISPA, l'EO traite de la création d'un moyen pour le personnel des infrastructures critiques d'obtenir une habilitation de sécurité pour le partage d'informations classifiées. Il charge le National Institute of Standards and Technology (NIST) et d'autres de travailler en collaboration avec des experts de l'industrie pour créer un cadre de pratiques de cybersécurité pour aider à réduire les risques de cybermenaces pour l'infrastructure, et appelle le DHS à développer des incitations pour promouvoir l'adoption du cadre.

L'EO demande également au responsable de la protection de la vie privée et au responsable des droits civils et des libertés civiles du DHS d'évaluer les risques pour la vie privée et les libertés civiles et de faire des recommandations sur la manière de minimiser et d'atténuer ces risques. Ils doivent utiliser les principes de pratiques équitables en matière d'information (FIPP) et d'autres politiques connexes pour évaluer les activités de cybersécurité à cette fin, et leurs évaluations doivent être mises à la disposition du public.

Étant donné que la CISPA est à nouveau à l'étude, qu'aucun projet de loi rival sur la cybersécurité n'a encore été adopté et que les cybermenaces semblent être en augmentation, le débat sur la meilleure façon de gérer la cybersécurité, en particulier le partage d'informations de l'industrie privée au gouvernement, est loin d'être terminé. Mais peut-être que tous les débats animés et les appels à l'action aideront toutes les lois finalement adoptées à mieux chevaucher la ligne entre trop et trop peu de partage tout en offrant de réelles protections.

Note de l'auteur : Comment fonctionne CISPA

En tant qu'informaticien, écrivain et grand utilisateur d'Internet, je suis préoccupé par la sécurité de nos ordinateurs et de nos réseaux. Dieu sait que je ne veux pas que mes données soient volées ou qu'une cyberattaque coupe Internet ou coupe le courant. Comment pourrais-je regarder une saison entière de "Downton Abbey" sur Netflix tout en écrivant simultanément un essai, en vérifiant mes e-mails et en surfant sur le net pour des photos de Grumpy Cat ?

Mais je suis également préoccupé par la vie privée. Moins mes données sont transmises à des personnes que je n'avais jamais eu l'intention de consulter, mieux c'est. On ne sait pas comment la NSA interpréterait une de mes nouvelles.

Lire ces projets de loi et réfléchir à ce qui pourrait mal tourner en raison de problèmes de formulation était assez fascinant. Je suis sûr que les rédacteurs de toutes ces lois sont dans l'ensemble des gens bien intentionnés qui tentent d'éliminer de manière proactive les menaces à la sécurité. Mais « bien intentionné » signifie à peu près autant que « bonne foi » en termes juridiques. Tout le monde sur la planète n'a pas de bonnes intentions, comme nous le rappellent quotidiennement les nouvelles, et tout ce qui peut être utilisé à des fins mauvaises ou même simplement malavisées le sera probablement à un moment donné. J'espère donc que tout projet de loi adopté sera extrêmement bien pensé et approuvé par l'industrie, les libertés civiles et les experts juridiques. Protégez Internet pour Grumpy Cat.

Articles Liés

Sources