Jak działa CISPA

Cyber Intelligence Sharing i Ochrony Act ( CISPA ) jest proponowana cyberbezpieczeństwa ustawy, który przeszedł Izby Reprezentantów USA w dniu 26 kwietnia 2012 roku jako HR 3523, ale utknęły w Senacie rok później. Wrócił do składu Kongresu w 2013 roku jako HR 624. CISPA zmieni Tytuł XI Ustawy o Bezpieczeństwie Narodowym z 1947 roku, dodając na końcu nową sekcję zatytułowaną „Cyber ​​Threat Intelligence and Information Sharing, Sec. 1104”.

Celem nowej sekcji jest umożliwienie agencjom rządu federalnego , firmom z sektora prywatnego i przedsiębiorstwom użyteczności publicznej wymiany informacji o cyberzagrożeniach w odpowiednim czasie, aby zapobiec zakłóceniom lub uszkodzeniu kluczowej infrastruktury w wyniku ataków na komputer. systemy i sieci tych podmiotów. Ale zakres i język ustawy okazały się dość kontrowersyjne.

Dla zwolenników proponowane przepisy są sposobem na lepsze umożliwienie wymiany informacji w celu szybkiego przeciwdziałania cyberatakom, zanim zakłócą one krytyczne usługi lub zaszkodzą gospodarce lub bezpieczeństwu narodowemu, a także umożliwią firmom zarówno wymianę informacji, jak i podejmowanie środków obronnych bez ryzyka pozwów sądowych za ich działania . Dla przeciwników jest to zbyt szeroki i niejasny akt prawny, który umożliwia udostępnianie danych osobowych bez nadzoru sądowego, szkodzi prawom do prywatności, omijając istniejące przepisy dotyczące prywatności, i może zachęcać do nadużyć, takich jak rządowy nadzór nad działaniami w Internecie.

Wszyscy zgadzają się, że jesteśmy narażeni na cyberataki, potencjalnie ze strony obcych mocarstw, terrorystów , przestępców lub innych osób o złych zamiarach, oraz że ataki te mogą potencjalnie zakłócać podstawowe usługi. Rozbieżności dotyczą tego, czy ta ustawa naprawdę rozwiązuje problem i czy może wyrządzić więcej szkody niż pożytku.

Czytaj dalej, aby dowiedzieć się więcej o rodzajach zagrożeń, którym CISPA ma się zająć, oraz o samym rachunku.

1. Przed jakimi rodzajami zagrożeń ma chronić CISPA?
2. Historia ustawy
3. Kluczowe postanowienia CISPA
4. Dlaczego CISPA jest tak kontrowersyjna?
5. Bardziej problematyczny język
6. Wysiłki podjęte na rzecz wsparcia i sprzeciwu wobec CISPA
7. Alternatywy dla CISPA
8. Obecny stan rzeczy

Ważna infrastruktura, którą CISPA ma chronić, obejmuje usługi takie jak energia, woda i kanalizacja, transport, komunikacja, sieci finansowe i agencje rządowe. Prawie każda firma i każde narzędzie, a także sam rząd, są obecnie przynajmniej częściowo online, a wszystko, co jest podłączone do Internetu, od samotnego komputera po ogromną sieć, jest podatne na wyniszczający atak.

Projekt ustawy nie zawiera szczegółowych informacji na temat rodzajów ataków, ale istnieje kilka typowych: ataki typu rozproszona odmowa usługi (DDOS), w których do serwerów firmy wysyłana jest duża liczba żądań, co powoduje zakłócenia w świadczeniu usług legalnym użytkownikom ; ataki typu man-in-the-middle, w których komunikacja między serwerami jest przechwytywana i przepuszczana przez serwer atakującego w celu szpiegowania lub wprowadzania szkodliwych zmian; oraz zaawansowane trwałe zagrożenia (APT), które są długotrwałymi atakami ukierunkowanymi na określone firmy lub inne podmioty. Atakujący mogą dążyć do zainstalowania wirusów, robaków, programów szpiegujących, trojanów i innego złośliwego oprogramowania (złośliwego oprogramowania) na docelowych komputerach, aby siać spustoszenie lub uzyskać nieautoryzowany dostęp.

Istnieją jawne próby włamań ze strony hakerów, takie jak film „Gry wojenne”, w którym protagonista włączył się w systemy komputerowe firmy i rządu. Użytkownicy i administratorzy systemu mają sposoby na ochronę przed bezpośrednimi atakami, takimi jak zapory programowe lub sprzętowe], oprogramowanie antywirusowe i antyszpiegowskie oraz ulepszone metody logowania, takie jak skomplikowane hasła lub uwierzytelnianie wieloskładnikowe.

Niestety, wiele systemów jest atakowanych przez osoby atakujące, które wykorzystują metody socjotechniki, które nakłaniają nieświadome osoby do podania danych logowania lub zainstalowania złośliwego oprogramowania na własnych komputerach. Wyłudzanie informacji to powszechna metoda socjotechniki polegająca na rozsyłaniu wiadomości e-mail z załącznikami zawierającymi złośliwe oprogramowanie, łączami do witryn sieci Web, które wyglądają na legalne, ale nie są, lub prośbami o podanie danych osobowych. Istnieje bardziej ukierunkowana wersja tego oszustwa zwana spearphishingiem , w której osoby atakujące wiedzą coś o swoich ofiarach i mogą wykorzystać to, aby wiadomość e-mail brzmiała legalnie.

Nawet oprogramowanie, którego szuka użytkownik, może zawierać złośliwe oprogramowanie, jak miało to miejsce w niedawnym przypadku, gdy pracownicy Apple, Facebooka i Microsoftu (i prawdopodobnie innych firm) padli ofiarą, gdy pobrali zainfekowane oprogramowanie z popularnych witryn programistów, które zostały zhakowane.

Złośliwe oprogramowanie może zainfekować komputer lub nawet całą sieć komputerów i umożliwić szpiegowanie, zakłócanie porządku lub inne nikczemne wybryki. Komputer może zostać przejęty przez zainstalowanie czegoś zwanego botem – oprogramowania, które automatycznie uruchamia określone zadania i pozwala użytkownikowi zewnętrznemu na kontrolowanie komputera bez wiedzy właściciela. Są one czasami nazywane komputerami zombie . Istnieją sieci tych przejętych maszyn zwane botnetami, które można wykorzystać do przeprowadzania ataków na inne osoby.

Ostatnio pojawiły się inne godne uwagi ataki. Według dochodzenia przeprowadzonego przez firmę Mandiant zajmującą się cyberbezpieczeństwem, hakerzy z Chin włamali się do sieci New York Times, najwyraźniej po to, by szpiegować e-maile niektórych reporterów piszących o wysokim chińskim urzędniku. Podobną próbę podjęto przeciwko Bloomberg News. Według Mandiant [źródło: Bodeen ], ataki na inne firmy zostały również przypisane do Chin .

Saudi Aramco, największy na świecie producent ropy, został zaatakowany wirusem, który zastąpił dane na około 30 000 komputerów w firmie obrazem płonącej flagi USA, czyniąc maszyny bezużytecznymi. Ataki te zostały przypisane do komputera, który najwyraźniej nie był podłączony do Internetu, co prowadziło do spekulacji, że było to zadanie wewnętrzne.

Cyberataki mogą być dokonywane przez osoby chcące pochwalić się swoimi umiejętnościami, przestępców chcących ukraść własność intelektualną lub informacje finansowe, grupy terrorystyczne, których celem jest sianie spustoszenia, a nawet rządy w celach szpiegowskich lub militarnych. Czasami zdarzają się również naruszenia bezpieczeństwa ze strony aktywistów lub osób, które chcą wskazać potencjalne problemy z bezpieczeństwem. Koszty bardziej niefortunnych cyberataków mogą być ogromne i mogą obejmować utratę tajemnic handlowych i innych danych, kradzieże finansowe oraz koszty oczyszczenia i naprawa zainfekowanych systemów, między innymi. Ryzyko obejmuje również zakłócenia usług, na których wszyscy polegamy.

Oryginalna CISPA została wprowadzona jako HR 3523 30 listopada 2011 r. przez republikanina Mike'a Rogersa z Michigan, przewodniczącego Komisji ds. Wywiadu Izby Reprezentantów i współsponsorowana przez demokratę holenderskiego Ruppersbergera z Maryland, członka tej samej komisji, a także innych niż 20 innych przedstawicieli, zarówno Demokratów, jak i Republikanów. Miał poparcie wielu firm, w tym dużych firm telekomunikacyjnych i technologicznych, ale spotkał się z dużym sprzeciwem grup wolności obywatelskich. 25 kwietnia 2012 r. administracja prezydenta Obamy zagroziła nawet, że zawetuje ustawę za to, że nie robi wystarczająco dużo, aby chronić podstawową infrastrukturę przed cyberzagrożeniami oraz nie chroni prywatności, poufności danych i swobód obywatelskich osób.

Zaproponowano ponad 40 poprawek. Kilka poprawek pro-prywatności zostało odrzuconych przez Komisję Regulaminu Izby Reprezentantów 25 kwietnia. Jedna poprawka umożliwiająca Agencji Bezpieczeństwa Narodowego (NSA) lub Departamentowi Bezpieczeństwa Wewnętrznego (DHS) dodatkowy organ nadzoru została wycofana 26 kwietnia. Kilka poprawek zostało przyjętych , zwiększając pierwotny projekt ustawy z 11 do 27 stron. Należą do nich:

Zmieniona wersja HR 3523 przeszła w Izbie Reprezentantów USA 26 kwietnia 2012 r. od 248 do 168 głosów, ale nigdy nie została przegłosowana w Senacie USA.

CISPA została przywrócona w Izbie przez senatorów Rogersa i Ruppersbergera w lutym 2013 r. pod innym numerem ustawy, HR 624. Jest praktycznie identyczna z wersją HR 3523, która przeszła przez Izbę w 2012 r.

CISPA koncentruje się całkowicie na wymianie informacji związanych z cyberzagrożeniami między rządem a podmiotami prywatnymi oraz między podmiotami prywatnymi a innymi podmiotami prywatnymi. Ustanawia przepisy dotyczące udostępniania przez agencje rządowe zarówno niesklasyfikowanych, jak i niejawnych informacji prywatnym firmom i przedsiębiorstwom użyteczności publicznej. W przypadku informacji niejawnych określa, że ​​podmioty lub osoby otrzymujące informacje muszą być poświadczone lub posiadać poświadczenie bezpieczeństwa oraz zawiera postanowienia dotyczące przyznania osobom w tych podmiotach czasowego lub stałego poświadczenia bezpieczeństwa.

Umożliwia również wymianę informacji między podmiotami prywatnymi i innymi podmiotami prywatnymi, w tym firmami zajmującymi się cyberbezpieczeństwem wynajętymi przez te firmy w celu ich ochrony. Zawiera również przepisy dotyczące udostępniania przez podmioty prywatne informacji o cyberzagrożeniach rządowi federalnemu i określa, że ​​każda agencja otrzymująca takie informacje ma je przesłać do Narodowego Centrum Integracji Cyberbezpieczeństwa i Komunikacji DHS.

CISPA zwalnia udostępniane informacje z ujawniania zgodnie z Ustawą o wolności informacji i innymi podobnymi prawami uchwalonymi przez rządy stanowe, lokalne i plemienne. Ustawa zwalnia firmy (i firmy zajmujące się cyberbezpieczeństwem wynajęte do ochrony ich systemów) z procesów sądowych o udostępnianie informacji za korzystanie z systemów cyberbezpieczeństwa do identyfikować lub uzyskiwać informacje o cyberzagrożeniach lub podejmować jakiekolwiek decyzje na podstawie informacji o cyberzagrożeniu, pod warunkiem, że działają „w dobrej wierze”. Agencji rządowej , jednak może być pozwany, jeśli to „celowo lub umyślnie narusza” orkisz w ustawie zasady ujawniania informacji oraz ich wykorzystywania, o przedawnieniu dwóch lat od daty naruszenia.

Projekt ustawy zawiera ograniczenia dotyczące sposobu, w jaki rząd federalny może wykorzystywać udostępnione mu informacje. Pięć podanych legalnych zastosowań to: cele cyberbezpieczeństwa; dochodzenia i ścigania przestępstw w zakresie cyberbezpieczeństwa; ochrona osób przed śmiercią lub poważnym uszkodzeniem ciała; ochrona nieletnich przed pornografią dziecięcą, wykorzystywaniem seksualnym i innymi powiązanymi przestępstwami; i ochrona bezpieczeństwa narodowego. Rząd nie może przeszukiwać informacji w celach innych niż dochodzenie i ściganie przestępstw cybernetycznych, a także nie może zatrzymywać ani wykorzystywać informacji do celów innych niż te wymienione w poprzednim zdaniu. CISPA również wyraźnie ogranicza rządowi możliwość korzystania z biblioteki księgi obiegowe, listy patronów bibliotecznych, księgi sprzedaży książek, księgi spisy klientów, księgi sprzedaży broni, księgi podatkowe, ewidencje edukacyjne i medyczne.

Projekt ustawy stanowi, że jeśli informacje są udostępniane rządowi federalnemu, które według niego nie są związane z cyberzagrożeniami, rząd musi powiadomić podmiot, który dostarczył informacje.

CISPA dyktuje również procedury i raporty, które muszą być opracowywane i udostępniane przez określone podmioty rządowe. Sprawia, że ​​wszelkie udostępnianie informacji przez podmioty prywatne jest dobrowolne, bez kar za nieuczestniczenie i składa oświadczenie, że projekt ustawy nie jest próbą udzielenia jakichkolwiek element społeczności wywiadowczej prawo do dyktowania wysiłków w zakresie bezpieczeństwa cybernetycznego wszelkich agencji prywatnych lub rządowych.

Cele cyberbezpieczeństwa określone w ustawie obejmują: wysiłki mające na celu ochronę przed lukami; zagrożenia integralności, poufności lub dostępności; próby odmowy dostępu, degradacji, zakłócenia lub zniszczenia; oraz wysiłki zmierzające do uzyskania nieautoryzowanego dostępu do systemów i sieci, a także wszelkich informacji w nich przechowywanych, przetwarzanych lub przemieszczanych przez nie. Obejmuje to wyraźnie nieautoryzowany dostęp w celu wydobycia (lub usunięcia) informacji, ale wyklucza nieautoryzowany dostęp, który obejmuje jedynie naruszenie warunków świadczenia usług konsumenckich lub umów licencyjnych. Podobny język zawierają definicje systemów cyberbezpieczeństwa i wywiadu o cyberzagrożeniach .

CISPA ma wiele problemów z różnych powodów, w tym obaw o prywatność , przejrzystość, brak nadzoru sądowego i możliwość wykorzystania go do nadzoru działań obywateli w Internecie pod przykrywką cyberbezpieczeństwa, bezpieczeństwa narodowego i innych niejasno zdefiniowanych terminów.

Jedną z kwestii jest to, że używa ogólnych terminów, takich jak „wywiad o cyberzagrożeniach”, zamiast ściśle określać typy danych, które mogą być udostępniane, co potencjalnie może pozwolić firmom na uzyskanie i udostępnianie dowolnego rodzaju informacji, w tym informacji umożliwiających identyfikację osób (PII), prywatnych komunikacja i tym podobne. CISPA pozwala podmiotom prywatnym nalegać, aby rząd anonimizował, minimalizował lub w inny sposób ograniczał udostępniane przez siebie dane, ale nie wymaga od firm wprowadzania takich ograniczeń.

W podrozdziale dotyczącym wykorzystania udostępnianych informacji przez rząd federalny znajduje się ustęp, który odnosi się do prywatności i wolności obywatelskich, ale mówi: „Rząd federalny może, zgodnie z potrzebą ochrony systemów federalnych i krytycznej infrastruktury informacyjnej przed zagrożeniami cyberbezpieczeństwa i w celu złagodzenia takich zagrożeń, podejmują uzasadnione starania w celu ograniczenia wpływu wymiany informacji o cyberzagrożeniach z rządem federalnym na prywatność i wolności obywatelskie zgodnie z niniejszym podrozdziałem. Użycie słowa „może” sprawia, że ​​brzmi ono dobrowolnie i nie ma dalszej definicji tego, co te wysiłki mogą pociągać za sobą. W części dotyczącej tworzenia rocznego raportu na temat wykorzystania informacji przez rząd, projekt ustawy dyktuje włączenie „metryk do określenia wpływu,w sprawie prywatności i swobód obywatelskich, jeśli takie istnieją”, ale nie ma wzmianki o sposobie wykorzystania tych informacji.

Ustawa zapewnia immunitet prawny firmom udostępniającym informacje, nawet jeśli okaże się, że zrobiły to niewłaściwie, pod warunkiem, że działały w „dobrej wierze”. Zapewnia również odporność na „decyzje podjęte na podstawie informacji o zagrożeniach cybernetycznych”, ale nie definiuje „podjętych decyzji”. Z punktu widzenia firm pozwala to na swobodne udostępnianie informacji o cyberzagrożeniach i działanie na podstawie tych informacji bez obaw o kosztowne procesy sądowe , ale może to całkowicie ograniczyć prawo osoby lub podmiotu do pozwania za wyrządzone szkody, ponieważ jest to trudne udowodnić, że ktoś nie działał w dobrej wierze. Argumentowano, że ta odporność może również pozwolić firmom na takie działania, jak odwetowe włamanie na podejrzanego intruza w celu zdobycia informacji lub zakłócenia ich systemów.

Innym kontrowersyjnym aspektem sformułowania CISPA jest możliwość zastąpienia szeregu przepisów dotyczących prywatności.

CISPA potencjalnie omija nadzór sądowy, stosując termin „niezależnie od innych przepisów prawa”, który zastępuje wiele istniejących przepisów dotyczących prywatności, w tym Ustawę o przewodach, Ustawę o komunikacji kablowej, Ustawę o ochronie prywatności wideo, Ustawę o przechowywanej komunikacji i Ustawę o prywatności w komunikacji elektronicznej -- akty, które określają zasady i nadzór w zakresie udostępniania danych osobowych. . W przypadku CISPA rząd nie wymaga nakazu uzyskania danych osobowych.

Nawet jeśli osoby fizyczne mogą pozwać rząd, jeśli celowo nadużywa ich informacji, bardzo trudno jest dowiedzieć się, jak coś takiego kiedykolwiek się wydarzyło. Nawet jeśli informacje niebędące cyberzagrożeniami są wysyłane do rządu, rząd jest zobowiązany jedynie do powiadomienia podmiotu wysyłającego, a nikt nie jest zobowiązany do informowania osoby, której dane zostały udostępnione. Udostępniane informacje są zwolnione z ujawniania zgodnie z ustawą o wolności informacji i innymi podobnymi przepisami dotyczącymi ujawniania informacji. . Musiałaby wystąpić jakaś oczywista szkoda wskazująca na udostępnienie i musiałaby być oczywista w ciągu dwóch lat od czasu, gdy rząd federalny wykorzystał dane z powodu przedawnienia.

CISPA jest również atakowana za to, że nie definiuje lub nie ogranicza, jakim podmiotom rządowym informacje mogą być przekazywane, poza zastrzeżeniem, że agencje otrzymujące przekazują je Narodowemu Centrum Integracji Cyberbezpieczeństwa i Komunikacji DHS, które może udostępniać je innym agencjom. Informacje mogły być legalnie przekazane dowolnej agencji rządu federalnego, w tym agencjom wywiadowczym. Sposób, w jaki rząd może wykorzystywać informacje, jest również definiowany szeroko, w tym „do celów cyberbezpieczeństwa”, co jest nieco niejasno zdefiniowane w ustawie, oraz „w celu ochrony bezpieczeństwa narodowego Stanów Zjednoczonych”, co jest dość szeroko zdefiniowane w Ustawa o bezpieczeństwie narodowym.

W ustawie jest zauważalny niedostatek terminów związanych z technologią. Słowo „komputer” jest używane tylko w definicji „przestępstwa cybernetycznego”, aby uwzględnić przestępstwa komputerowe na liście możliwych naruszeń. W przeciwnym razie HR 624 odnosi się do chronionych rzeczy jako „systemów i sieci”, co jest nieco niejednoznaczne. Słowa i wyrażenia „online”, „ internet ”, „sieć”, „cyfrowy”, „technologia informacyjna”, a nawet „technologia” nigdy nie są używane.

Pierwotna wersja ustawy obejmowała kradzież własności intelektualnej jako jeden z celów cyberbezpieczeństwa. Zostało to usunięte z najnowszej wersji CISPA i dodano sformułowanie, aby określić, że informacje o cyberzagrożeniach nie obejmują prób uzyskania dostępu z naruszeniem warunków korzystania z usług konsumenckich lub umów licencyjnych. Jednak niektóre grupy nadal obawiają się, że można go wykorzystać do ścigania takich rzeczy, jak naruszenie praw autorskich.

CISPA nie zapewnia rządowi środków prawnych do bezpośredniego monitorowania działań ludzi w Internecie i danych cyfrowych, ale umożliwia firmom dobrowolne przekazywanie rządowi federalnemu nieokreślonych rodzajów i ilości informacji, które uznają za informacje o cyberzagrożeniu, a rząd może zachować i wykorzystywać te dane do celów bezpieczeństwa cybernetycznego, bezpieczeństwa narodowego i dochodzenia w sprawie kilku innych przestępstw. . To i fakt, że można go przekazać dowolnej agencji, wywołują konsternację, ponieważ może to umożliwić agencjom wywiadowczym rodzaj bocznego dostępu do danych osobowych.

Nikt nie twierdzi, że dzielenie się informacjami o pojawiających się zagrożeniach nie jest ważne w walce o zabezpieczenie systemów i sieci komputerowych przed stale rosnącym zagrożeniem atakiem, ale argumentuje się, aby nałożyć ograniczenia na rodzaje udostępnianych informacji i z jakimi podmiotami można się nim dzielić. Zwolennicy CISPA twierdzą, że projekt ustawy nie jest przeznaczony do inwigilacji, a immunitety są konieczne, aby zachęcić firmy do dzielenia się informacjami bez obawy przed sądem. Przeciwnicy argumentują, że w obecnej ustawie zagrożenia dla prywatności i swobód obywatelskich są zbyt duże.

Szereg prywatnych firm i stowarzyszeń branżowych wyraziło poparcie dla CISPA. Wielu z nich wysłało listy poparcia do Izby Reprezentantów USA dla HR 3423, HR 624 lub obu, w tym AT&T, Verizon, US Telecom, Comcast, Time Warner Cable, National Cable & Telecommunication Association, Edison Electric Institute, Financial Joint Trades, Financial Services Roundtable, Boeing, Lockheed Martin, IBM, Intel, Oracle, Symantec, Microsoft, Facebook, TechAmerica, Internet Security Alliance, Juniper Networks, National Cable & Telecommunication Association oraz Izba Handlowa. Zarówno Facebook, jak i Microsoft wycofały się nieco po protestach i oświadczyły lub sugerowały, że poprą zmiany w ostatecznej legislacji, która rozwiązała problemy związane z prywatnością.

Litery wsparcia obejmują pochwałę za przełamanie istniejących barier do terminowego udostępniania cyberthreat inteligencji z podmiotami prywatnymi, a nie wprowadzanie obciążeń regulacyjnych na przedsiębiorstwa prywatne i chroniąc je od błahych spraw sądowych i niepewności prawnej w odniesieniu do wymiany informacji, między innymi.

Ale niektóre firmy i organizacje zajmujące się prywatnością i wolnościami obywatelskimi energicznie wypowiadały się przeciwko CISPA, w tym Electronic Frontier Foundation, American Civil Liberties Union, Access Now, American Library Association, Society of American Archivists, Cato Institute, the Center for Democracy and Technology, Stowarzyszenie Konsumentów Rozrywki, Fundacja Sunlight, Reporterzy bez Granic, Stowarzyszenie Profesjonalnych Dziennikarzy, Instytut Rutherforda, Republikański Klub Wolności, Mozilla i Wolność Technologiczna. Znani ludzie, którzy wyrazili obawy, to były reprezentant i kandydat na prezydenta Ron Paul, który nazwał ustawę „Wielkim Bratem napisanym na wielką skalę” oraz Tim Berners-Lee, wynalazca World Wide Web. I oczywiście istniała groźba weta prezydenta.

EFF i kilka innych opozycyjnych grup zorganizowało „Tydzień Akcji” w połowie kwietnia 2012 roku, aby zaprotestować przeciwko CISPA, podczas którego prowadzili oddolną kampanię, prosząc ludzi o podpisywanie petycji, pisanie, dzwonienie i tweetowanie do kongresmenów i wyrażanie w inny sposób sprzeciwu wobec projektu ustawy. Prawie milion osób zrobiło to za pierwszym razem, ale pomimo tej działalności, CISPA przeszła w Izbie - choć z kilkoma zmianami.

Od wczesnej wiosny 2013 r. podejmowane są podobne naciski, aby ponownie zaprotestować przeciwko ustawie. W ciągu mniej więcej jednego dnia od ponownego wprowadzenia CISPA w Izbie, podobno zebrano setki tysięcy podpisów online i dostarczono je do Komisji Wywiadu Izby Reprezentantów Stanów Zjednoczonych. Prawdopodobnie nie słyszeliśmy końca energicznych argumentów po obu stronach problemu.

Zaproponowano kilka godnych uwagi alternatyw dla CISPA, w tym dwa projekty ustaw w Senacie i rozporządzenie wykonawcze wydane przez prezydenta Obamę.

Jednym z projektów senackich jest ustawa o cyberbezpieczeństwie (S. 3414) wprowadzona przez senatorów Joe Liebermana (I-CT), Susan Collins (R-ME) i trzech innych senatorów. Jest to znacznie dłuższy (ponad 200 stron) i bardziej szczegółowy projekt niż CISPA, który otwiera drogę podmiotom prywatnym i rządowi federalnemu do dzielenia się informacjami dotyczącymi cyberzagrożeń, zapewnia nadzór nad udostępnianiem w gestii DHS, a także pozwala na ustanowienie wytycznych dotyczących cyberbezpieczeństwa, których należy przestrzegać na zasadzie dobrowolności, ale z zachętami do przestrzegania przez podmioty prywatne. Tworzy Narodową Radę Cyberbezpieczeństwa (NCC), która składa się z przedstawicieli wielu agencji (zarówno cywilnych, jak i wojskowych) w celu koordynacji z sektorem prywatnym w celu oceny podatności systemów komputerowych i opracowania wytycznych.

Ustawa o cyberbezpieczeństwie została zmieniona, aby uwzględnić większą ochronę prywatności i swobód obywatelskich, w tym gwarancję, że tylko organizacje cywilne (niewojskowe) mają dostęp do wspólnych informacji o cyberzagrożeniach oraz wyłączenie działań chronionych na podstawie pierwszej zmiany z identyfikowania ich jako kategorii cyberbezpieczeństwa krytycznego infrastruktura . Nie uwzględnia również bezpieczeństwa narodowego jako jednego z możliwych zastosowań współdzielonych informacji o cyberbezpieczeństwie, ale pozwala rządowi federalnemu na wykorzystanie tych informacji z pozostałych trzech powodów dozwolonych w ramach CISPA.

Konkurencyjny projekt ustawy przedstawiony przez senatora Johna McCaina (R-AZ) i kilku współsponsorujących senatorów nosi nazwę Wzmocnienie i wzmocnienie cyberbezpieczeństwa poprzez korzystanie z badań, edukacji, informacji i technologii (SECURE IT Act, S. 3342). Jest to również cięższy rachunek niż CISPA, liczący ponad 100 stron. Ułatwiłoby to wymianę informacji między wieloma agencjami rządowymi i podmiotami prywatnymi na temat cyberzagrożeń, wzmocniłoby sankcje karne związane z cyberprzestępczością, wspierało badania i rozwój sieci i technologii informacyjnych oraz udostępnianie badań, a także umożliwiłoby Departamentowi Handlu, Departamentowi Bezpieczeństwa Wewnętrznego i Agencja Bezpieczeństwa Narodowego (NSA) ma koordynować politykę dotyczącą działań w zakresie cyberbezpieczeństwa. Stawiała czoła wielu takim samym krytykom jak CISPA,w tym to, że ma ogólną definicję informacji o cyberzagrożeniu, nakłada niewiele ograniczeń na rodzaje informacji, które mogą być udostępniane i sposób ich wykorzystania (w tym do celów cyberbezpieczeństwa, celów bezpieczeństwa narodowego i całego szeregu celów prewencji kryminalnej, prowadzenia dochodzeń i ścigania) , podobne kwestie językowe i nadzorcze „niezależnie od innych przepisów prawa”, takie jak zniesienie odpowiedzialności procesowej od firm oraz wyłączenie udostępnianych informacji z zakresu ustawy o wolności informacji. Krytykuje się go również za powierzenie podmiotowi niecywilnemu (NSA) odpowiedzialnemu za wymianę informacji.celów dochodzenia i ścigania), podobne kwestie językowe i nadzorcze „niezależnie od innych przepisów prawa”, takie jak zniesienie odpowiedzialności procesowej ze spółek i udostępniane informacje są zwolnione z Ustawy o wolności informacji. Krytykuje się go również za powierzenie podmiotowi niecywilnemu (NSA) odpowiedzialnemu za wymianę informacji.celów dochodzenia i ścigania), podobne kwestie językowe i nadzorcze „niezależnie od innych przepisów prawa”, takie jak zniesienie odpowiedzialności procesowej ze spółek i udostępniane informacje są zwolnione z Ustawy o wolności informacji. Krytykuje się go również za powierzenie podmiotowi niecywilnemu (NSA) odpowiedzialnemu za wymianę informacji.

Na początku 2013 r. żadna z ustaw Senatu nie została uchwalona, ​​ale w następstwie zmartwychwstania CISPA w Izbie Reprezentantów prezydent Obama wydał zarządzenie wykonawcze (EO), które obejmuje niektóre z podstaw proponowanych ustaw o cyberbezpieczeństwie, w tym terminowe udostępnianie informacji na temat cyberzagrożeń rząd federalny podmiotom infrastruktury krytycznej i firmom świadczącym usługi cyberbezpieczeństwa. Nie umożliwia nowej wymiany informacji w drugą stronę (od firm prywatnych do podmiotów publicznych). Potrzeba istniejącego programu wymiany informacji Defense Industrial Base (DIB) zwanego programem Enhanced Cybersecurity Services, który został wprowadzony, aby umożliwić Departamentowi Obrony (DoD) i DHS udostępnianie niesklasyfikowanych informacji o cyberbezpieczeństwie z wykonawcami z branży obronnej i tym podobnym. ,i rozszerza ją, umożliwiając jej objęcie innymi agencjami rządowymi i sektorami infrastruktury krytycznej. o Podobnie jak CISPA, adresy EO umożliwiają personelowi infrastruktury krytycznej uzyskanie poświadczenia bezpieczeństwa w celu wymiany informacji niejawnych. Oskarża Narodowy Instytut Standardów i Technologii (NIST) i inne podmioty za współpracę z ekspertami branżowymi w celu stworzenia ram praktyk w zakresie cyberbezpieczeństwa, które pomogą zmniejszyć ryzyko cyberzagrożeń dla infrastruktury, i wzywa DHS do opracowania zachęt do promowania przyjęcia tych ram.Oskarża Narodowy Instytut Standardów i Technologii (NIST) i inne podmioty za współpracę z ekspertami branżowymi w celu stworzenia ram praktyk w zakresie cyberbezpieczeństwa, które pomogą zmniejszyć ryzyko cyberzagrożeń dla infrastruktury, i wzywa DHS do opracowania zachęt do promowania przyjęcia tych ram.Oskarża Narodowy Instytut Standardów i Technologii (NIST) i inne podmioty za współpracę z ekspertami branżowymi w celu stworzenia ram praktyk w zakresie cyberbezpieczeństwa, które pomogą zmniejszyć ryzyko cyberzagrożeń dla infrastruktury, i wzywa DHS do opracowania zachęt do promowania przyjęcia tych ram.

EO wzywa również Głównego Urzędnika ds. Prywatności i Urzędnika ds. Praw Obywatelskich i Swobód Obywatelskich DHS do oceny zagrożeń związanych z prywatnością i wolnościami obywatelskimi oraz do sformułowania zaleceń dotyczących minimalizowania i łagodzenia tych zagrożeń. W tym celu mają stosować zasady uczciwej praktyki informacyjnej (FIPP) i inne powiązane polityki do oceny działań w zakresie cyberbezpieczeństwa, a ich oceny mają być udostępniane opinii publicznej.

Ponieważ CISPA jest ponownie rozważana, nie uchwalono jeszcze żadnych konkurencyjnych ustaw o cyberbezpieczeństwie i wydaje się, że rośnie liczba cyberzagrożeń, debata na temat tego, jak najlepiej radzić sobie z cyberbezpieczeństwem, zwłaszcza wymiany informacji z sektora prywatnego do rządu, jest daleka od zakończenia. Być może jednak wszystkie porywające debaty i wezwania do działania pomogą, niezależnie od uchwalonych przepisów, najlepiej przekroczyć granicę między zbyt dużym a zbyt małym udostępnianiem, zapewniając jednocześnie prawdziwą ochronę.

Uwaga autora: Jak działa CISPAPA

Będąc informatykiem, pisarzem i nałogowym użytkownikiem Internetu, martwię się o bezpieczeństwo naszych komputerów i sieci. Bóg wie, że nie chcę kradzieży moich danych ani cyberataku, który zniszczy Internet lub odetnie zasilanie. Jak mógłbym obejrzeć cały sezon „Downton Abbey” na Netflix, jednocześnie pisząc esej, sprawdzając pocztę e-mail i surfując po sieci w poszukiwaniu zdjęć Grumpy Cat?

Ale równie troszczę się o prywatność. Im mniej moich danych spływa do ludzi, którym nigdy nie zamierzałem na nie patrzeć, tym lepiej. Nie wiadomo, jak NSA zinterpretowałaby jedno z moich opowiadań.

Przeczytanie tych rachunków i zastanowienie się, co może się nie udać z powodu problemów ze sformułowaniami, było dość fascynujące. Jestem pewien, że autorzy wszystkich takich aktów prawnych to w zasadzie ludzie o dobrych intencjach, próbujący proaktywnie eliminować zagrożenia dla bezpieczeństwa. Ale „dobre intencje” oznacza tyle samo, co „dobra wiara” w kategoriach prawnych. Nie wszyscy na tej planecie mają dobre intencje, o czym codziennie przypominają nam wiadomości, a wszystko, co może być wykorzystane do złych lub nawet po prostu błędnych celów, prawdopodobnie kiedyś się wydarzy. Mam więc nadzieję, że uchwalona ustawa jest niezwykle przemyślana i sprawdzona zarówno przez ekspertów z branży, wolności obywatelskiej, jak i prawników. Dbaj o bezpieczeństwo Internetu dla Grumpy Cat.

Powiązane artykuły

Źródła