Como funciona o CISPA

A Lei de Proteção e Compartilhamento de Inteligência Cibernética ( CISPA ) é uma proposta de lei de segurança cibernética que foi aprovada na Câmara dos Deputados dos EUA em 26 de abril de 2012 como HR 3523, mas parou no Senado no final daquele ano. Ele retornou à lista do Congresso em 2013 como HR 624. A CISPA alteraria o Título XI da Lei de Segurança Nacional de 1947, adicionando uma nova seção ao final chamada "Cyber ​​Threat Intelligence and Information Sharing, Sec. 1104".

O objetivo da nova seção é permitir e incentivar agências do governo federal , empresas do setor privado e concessionárias de serviços públicos a compartilhar inteligência de ameaças cibernéticas entre si em tempo hábil, a fim de evitar interrupções ou danos à infraestrutura vital devido a ataques ao computador sistemas e redes dessas entidades. Mas o escopo e a linguagem do projeto se mostraram bastante controversos.

Para os apoiadores, a legislação proposta é um meio de permitir melhor o compartilhamento de informações para combater rapidamente os ataques cibernéticos antes que eles interrompam serviços críticos ou prejudiquem a economia ou a segurança nacional, e para permitir que as empresas compartilhem informações e tomem medidas defensivas sem risco de ações judiciais por suas ações . Para os opositores, é uma legislação muito ampla e vaga que permite o compartilhamento de informações pessoais sem supervisão judicial, prejudica os direitos de privacidade individual ao contornar as leis de privacidade existentes e pode convidar a abusos, como a vigilância governamental de atividades na Internet.

Todos concordam que somos vulneráveis ​​a ataques cibernéticos, potencialmente de potências estrangeiras, terroristas , criminosos ou outros com más intenções, e que esses ataques têm o potencial de interromper serviços essenciais. As divergências residem em saber se este projeto realmente resolve a questão e se pode fazer mais mal do que bem.

Continue lendo para saber mais sobre os tipos de ameaças que o CISPA deve abordar e o próprio projeto de lei.

1. Contra quais tipos de ameaças a CISPA deve proteger?
2. História da conta
3. Principais Disposições da CISPA
4. Por que a CISPA é tão controversa?
5. Linguagem mais problemática
6. Esforços feitos em apoio e oposição à CISPA
7. Alternativas ao CISPA
8. O estado atual das coisas

A infraestrutura vital que o CISPA visa proteger inclui serviços como energia, água e esgoto, transporte, comunicações, redes financeiras e agências governamentais. Praticamente todas as empresas e todos os serviços públicos, assim como o próprio governo, estão pelo menos parcialmente online nos dias de hoje, e qualquer coisa conectada à Internet, de um computador solitário a uma rede enorme, é vulnerável a um ataque debilitante.

O projeto de lei não entra em detalhes sobre os tipos de ataques, mas existem alguns comuns: ataques distribuídos de negação de serviço (DDOS), em que um grande número de solicitações é enviado aos servidores de uma empresa, causando interrupção do serviço aos usuários legítimos ; ataques man-in-the-middle, em que as comunicações de um servidor para outro são interceptadas e executadas pelo servidor de um invasor para espionar ou fazer alterações prejudiciais; e ameaças persistentes avançadas (APT), que são ataques direcionados de longo prazo a determinadas empresas ou outras entidades. Os invasores podem tentar instalar vírus, worms, spyware, trojans e outros malwares (software malicioso) nos computadores de destino para causar estragos ou obter acesso não autorizado.

Há tentativas de invasão aberta de hackers, como no filme "Jogos de Guerra", onde o protagonista ligou diretamente para os sistemas de computador da empresa e do governo. Os usuários e administradores de sistema têm maneiras de se proteger contra ataques diretos, como firewalls de software ou hardware], software antivírus e antispyware e métodos de login aprimorados que incluem coisas como senhas complicadas ou autenticação multifator.

Infelizmente, muitos sistemas são violados por invasores que usam métodos de engenharia social que induzem indivíduos involuntários a fornecer informações de login ou instalar malware em suas próprias máquinas. Phishing é um método comum de engenharia social em que e-mails são enviados com anexos de arquivos contendo malware, links para sites que parecem legítimos, mas não são ou solicitações de informações pessoais. Há uma versão mais direcionada desse golpe chamada spearphishing , em que os invasores sabem algo sobre as vítimas pretendidas e podem usar isso para fazer com que o e-mail pareça legítimo.

Mesmo o software que um usuário procura pode incluir malware, como aconteceu em um caso recente em que funcionários da Apple, Facebook e Microsoft (e presumivelmente outras empresas) foram vítimas quando baixaram software infectado de sites de desenvolvedores populares que foram invadidos.

O software malicioso pode infectar um computador ou possivelmente uma rede inteira de computadores e permitir espionagem, interrupção ou outras travessuras nefastas. Um computador pode ser invadido pela instalação de algo chamado bot - software que executa determinadas tarefas automaticamente e pode permitir que um usuário externo controle o computador sem o conhecimento do proprietário. Estes são às vezes chamados de computadores zumbis . Existem redes dessas máquinas sequestradas chamadas botnets que podem ser usadas para lançar ataques contra outras pessoas.

Houve outros ataques notáveis ​​nos noticiários ultimamente. De acordo com uma investigação de uma empresa de segurança cibernética chamada Mandiant, hackers na China invadiram a rede do New York Times, aparentemente para espionar o e-mail de certos repórteres escrevendo sobre um alto funcionário chinês. Uma tentativa semelhante foi feita contra a Bloomberg News. Ataques contra outras empresas também foram atribuídos à China, segundo Mandiant [fonte: Bodeen ].

A Saudi Aramco, maior produtora de petróleo do mundo, foi atacada por um vírus que substituiu os dados de cerca de 30.000 computadores da empresa por uma imagem de uma bandeira dos Estados Unidos em chamas, inutilizando as máquinas. Esses ataques foram atribuídos a um computador que aparentemente não estava conectado à Internet, levando à especulação de que era um trabalho interno.

Os ataques cibernéticos podem ser perpetrados por indivíduos que procuram exibir suas habilidades, criminosos que desejam roubar propriedade intelectual ou informações financeiras, grupos terroristas com o objetivo de causar estragos e até governos para fins de espionagem ou atividades militares. Às vezes, também há violações por ativistas ou pessoas que desejam apontar possíveis problemas de segurança. Os custos dos ataques cibernéticos mais mal-intencionados podem ser enormes e podem incluir perda de segredos comerciais e outros dados, roubo financeiro e o custo de limpeza e reparo de sistemas infectados, entre outras coisas. E os riscos também incluem a interrupção dos serviços dos quais todos nós dependemos.

O CISPA original foi introduzido como HR 3523 em 30 de novembro de 2011 pelo republicano Mike Rogers de Michigan, presidente do Comitê de Inteligência da Câmara, e co-patrocinado pelo democrata Dutch Ruppersberger de Maryland, membro do mesmo comitê, bem como mais de 20 outros representantes, tanto democratas quanto republicanos. Teve o apoio de muitas empresas, incluindo grandes empresas de telecomunicações e tecnologia, mas enfrentou muita oposição de grupos de liberdades civis. Em 25 de abril de 2012, o governo do presidente Obama chegou a ameaçar que ele vetaria o projeto de lei por não fazer o suficiente para proteger a infraestrutura central de ameaças cibernéticas e por não proteger a privacidade, a confidencialidade dos dados e as liberdades civis dos indivíduos.

Mais de 40 emendas foram propostas. Várias emendas pró-privacidade foram rejeitadas pelo Comitê de Regras da Câmara em 25 de abril. Uma emenda para permitir que a Agência de Segurança Nacional (NSA) ou o Departamento de Segurança Interna (DHS) autoridade de vigilância adicional foi retirada em 26 de abril. Algumas emendas foram aprovadas , aumentando a fatura original de 11 páginas para 27 páginas. Estes incluíram o seguinte:

A versão alterada do HR 3523 foi aprovada na Câmara dos Representantes dos EUA em 26 de abril de 2012 por 248 a 168 votos, mas nunca chegou a uma votação no Senado dos EUA.

A CISPA foi reintroduzida na casa pelos senadores Rogers e Ruppersberger em fevereiro de 2013 sob um número de lei diferente, HR 624. É praticamente idêntico à versão do HR 3523 que passou pela Câmara em 2012.

A CISPA concentra-se inteiramente no compartilhamento de informações relacionadas a ameaças cibernéticas entre o governo e entidades privadas e entre entidades privadas e outras entidades privadas. Ele prevê que agências governamentais compartilhem informações não classificadas e classificadas com empresas privadas e serviços públicos. Para informações classificadas, especifica que as entidades ou indivíduos que recebem as informações devem ser certificadas ou possuir habilitação de segurança e prevê a concessão de habilitação de segurança temporária ou permanente a indivíduos dessas entidades.

Também permite o compartilhamento de informações entre entidades privadas e outras entidades privadas, incluindo empresas de segurança cibernética contratadas por essas empresas para protegê-las. E prevê que entidades privadas compartilhem informações sobre ameaças cibernéticas com o governo federal e especifica que qualquer agência que receba essas informações deve enviá-las ao Centro Nacional de Integração de Comunicações e Cibersegurança do DHS.

A CISPA isenta a divulgação de informações compartilhadas sob a Lei de Liberdade de Informação e quaisquer leis semelhantes promulgadas por governos estaduais, locais e tribais. identificar ou obter informações sobre ameaças cibernéticas ou para quaisquer decisões que tomem com base nas informações sobre ameaças cibernéticas, desde que estejam agindo "de boa fé". Uma agência do governo , no entanto, pode ser processada se "intencionalmente ou intencionalmente violar" as regras de divulgação e uso de informações descritas no projeto de lei, com um prazo de prescrição de dois anos a partir da data da violação.

The bill includes limits on how the federal government may use the information shared with it. The five legitimate uses given are: cybersecurity purposes; investigation and prosecution of cybersecurity crimes; protection of individuals from death or serious bodily harm; protection of minors from child pornography, sexual exploitation and other related crimes; and protection of national security. The government is restricted from affirmatively searching the information for any purpose other than investigation and prosecution of cybersecurity crimes, and is restricted from retaining or using the information for any purpose other than the ones listed in the previous sentence. CISPA also specifically restricts the government from using library circulation records, library patron lists, book sales records, book customer lists, firearm sales records, tax return records, educational records and medical records.

The bill states that if information is shared with the federal government that it determines is not related to cyberthreats, the government must notify the entity that provided the information.

CISPA also dictates procedures and reports that must be developed and released by certain government entities.It makes all information sharing from private entities voluntary, with no penalties for choosing not to participate, and makes a statement that the bill is not an attempt to give any element of the intelligence community the right to dictate the cybersecurity efforts of any private or government agencies.

Cybersecurity purposes as defined within the bill include: efforts to protect against vulnerabilities; threats to integrity, confidentiality or availability; efforts to deny access, degrade, disrupt or destroy; and efforts to gain unauthorized access to systems and networks, as well as any information stored on, processed on or moving through them. This explicitly includes unauthorized access to exfiltrate (or remove) information, but excludes unauthorized access that only involves violations of consumer terms of service or licensing agreements. The definitions of cybersecurity systems and cyberthreat intelligence contain similar language.

CISPA has taken a lot of flack for various reasons, including concerns about privacy , transparency, lack of judicial oversight and the possibility of it being used for surveillance of citizens' Internet activities under the guise of cybersecurity, national security and other vaguely defined terms.

One issue is that it uses blanket terms like "cyber threat intelligence" rather than strictly defining the types of data that can be shared, which could potentially allow companies to obtain and share any sort of information, including personally identifying information (PII), private communications and the like. CISPA does allow private entities to insist that the government anonymize, minimize or otherwise restrict the data they share, but it doesn't require the companies to make such restrictions.

In the subsection regarding the federal government's use of the shared information, there is a paragraph that addresses privacy and civil liberties, but it says, "The Federal Government may, consistent with the need to protect Federal systems and critical information infrastructure from cybersecurity threats and to mitigate such threats, undertake reasonable efforts to limit the impact on privacy and civil liberties of the sharing of cyberthreat information with the Federal Government pursuant to this subsection." The use of the word "may" makes it sound voluntary, and there is no further definition of what these efforts might entail. In the section regarding the creation of an annual report on government use of the information, the bill dictates including "metrics to determine the impact, on privacy and civil liberties, if any," but there is no mention of how this information will be used.

The bill provides legal immunity to companies sharing information, even if it turns out they did it improperly, provided they acted in "good faith." It also allows immunity "for decisions made based on cyber threat information," but doesn't define "decisions made." From the companies' point of view, this allows them to freely share cyberthreat information and to act on that information without worrying about costly lawsuits , but it could completely curtail right of an individual or entity to sue for any harm done, since it is difficult to prove that someone didn't act in good faith. It has been argued that this immunity could also allow companies to do things like retaliation hacking of a suspected intruder to gain information or disrupt their systems.

Another controversial aspect of CISPA's wording is the potential it has to supersede a number of privacy laws.

CISPA potentially sidesteps judicial oversight through the term "notwithstanding any other provision of law," which overrides a lot of existing privacy laws, including the Wiretap Act, Cable Communications Act, Video Privacy Protection Act, Stored Communications Act and Electronic Communications Privacy Act -- acts that do provide rules and oversight regarding the sharing of personal information. In the case of CISPA, no warrant is required for the government to obtain personal information.

Even though individuals can sue the government if it willfully misuses their information, it could be very difficult to find out such a thing ever happened. Even if non-cyberthreat information is sent to the government, the government is only required to notify the sending entity, and no one is require to inform the person whose data was shared. And information shared is exempt from disclosure under Freedom of Information Act and other similar disclosure laws. There would have to be some obvious harm that pointed to the sharing, and it would have to be evident within two years of the time the federal government misused the data because of the statute of limitations.

A CISPA também está sob ataque por não definir ou limitar a quais entidades governamentais as informações podem ser entregues, além da estipulação de que as agências receptoras as entreguem ao Centro Nacional de Cibersegurança e Integração de Comunicações do DHS, que pode compartilhá-las com outras agências. A informação poderia legalmente ser dada a qualquer agência do governo federal, incluindo agências de inteligência. Como o governo pode usar as informações também é definido amplamente, incluindo "para fins de segurança cibernética", que é definido vagamente no projeto de lei, e "para proteger a segurança nacional dos Estados Unidos", que é definido de maneira bastante ampla no Lei de Segurança Nacional.

Há uma carência notável de termos relacionados à tecnologia no projeto de lei. A palavra "computador" é usada apenas na definição de "crime de segurança cibernética" para incluir crimes de computador na lista de possíveis violações. Caso contrário, o HR 624 refere-se às coisas que estão sendo protegidas como "sistemas e redes", o que é um tanto ambíguo. As palavras e frases "online", " Internet ", "Web", "digital", "tecnologia da informação" e até mesmo "tecnologia" nunca são usadas.

A versão original do projeto de lei incluía o roubo de propriedade intelectual como um dos propósitos de segurança cibernética. Isso foi removido da versão mais recente do CISPA, e uma linguagem foi inserida para especificar que as informações de ameaças cibernéticas não incluem esforços para obter acesso envolvendo violações dos termos de serviço do consumidor ou acordos de licenciamento. No entanto, alguns grupos ainda temem que ele possa ser usado para perseguir coisas como violação de direitos autorais.

A CISPA não fornece os meios legais para o governo monitorar diretamente as atividades online e os dados digitais das pessoas, mas permite que as empresas forneçam voluntariamente tipos e quantidades indefinidas de informações que considerem informações de ameaças cibernéticas ao governo federal, e o governo pode manter e usar esses dados por motivos de segurança cibernética, segurança nacional e investigação de alguns outros crimes. Isso e o fato de poder ser entregue a qualquer agência estão causando consternação, pois isso poderia permitir às agências de inteligência uma espécie de acesso lateral a informações pessoais.

Ninguém está argumentando que compartilhar informações sobre ameaças emergentes não é importante na luta para proteger sistemas e redes de computadores contra a crescente ameaça de ataque, mas argumentos estão sendo feitos para limitar os tipos de informações compartilhadas e com quais entidades ele pode ser compartilhado. Os defensores da CISPA rebatem que o projeto de lei não visa fiscalização, e que as imunidades são necessárias para estimular as empresas a compartilhar informações sem medo de processo judicial. Os opositores argumentam que os riscos à privacidade e às liberdades civis são muito grandes no projeto de lei atualmente escrito.

Várias empresas privadas e associações comerciais manifestaram apoio à CISPA. Muitos deles enviaram cartas de apoio à Câmara dos Representantes dos EUA para HR 3423, HR 624 ou ambos, incluindo AT&T, Verizon, US Telecom, Comcast, Time Warner Cable, National Cable & Telecommunications Association, Edison Electric Institute, Financial Joint Trades, Financial Services Roundtable, Boeing, Lockheed Martin, IBM, Intel, Oracle, Symantec, Microsoft, Facebook, TechAmerica, Internet Security Alliance, Juniper Networks, National Cable & Telecommunications Association e Câmara de Comércio. O Facebook e a Microsoft recuaram um pouco após os protestos e declararam ou sugeriram que apoiariam mudanças na legislação final que abordasse questões de privacidade.

As cartas de apoio incluem elogios por derrubar as barreiras existentes ao compartilhamento oportuno de inteligência de ameaças cibernéticas com entidades privadas, não sobrecarregar as empresas privadas e protegê-las de ações judiciais frívolas e insegurança jurídica em relação ao compartilhamento de informações, entre outras coisas.

Mas algumas empresas e organizações preocupadas com privacidade e liberdades civis se manifestaram vigorosamente contra a CISPA, incluindo a Electronic Frontier Foundation, a American Civil Liberties Union, Access Now, a American Library Association, a Society of American Archivists, o Cato Institute, o Center for Democracy and Technology, a Entertainment Consumers Association, a Sunlight Foundation, Repórteres Sem Fronteiras, a Society of Professional Journalists, o Rutherford Institute, o Republican Liberty Caucus, Mozilla e Tech Freedom, entre outros. Indivíduos notáveis ​​que expressaram preocupações incluem o ex-representante e candidato presidencial Ron Paul, que chamou o projeto de lei de "Big Brother writ large", e Tim Berners-Lee, o inventor da World Wide Web. E, claro, havia a ameaça de veto do presidente.

A EFF e alguns outros grupos opositores organizaram uma "Semana de Ação" em meados de abril de 2012 para protestar contra a CISPA, durante a qual realizaram uma campanha popular pedindo às pessoas que assinassem petições, escrevessem, telefonassem e tuítes para congressistas e expressassem oposição ao projeto de lei. Quase um milhão de pessoas o fizeram na primeira rodada, mas apesar dessa atividade, a CISPA foi aprovada na Câmara – embora com algumas mudanças.

Desde o início da primavera de 2013, esforços semelhantes estão sendo feitos para protestar novamente contra o projeto de lei. Dentro de um ou dois dias da reintrodução da CISPA na Câmara, centenas de milhares de assinaturas online teriam sido coletadas e entregues ao Comitê de Inteligência da Câmara dos EUA. Provavelmente não ouvimos o fim de argumentos vigorosos em ambos os lados da questão.

Algumas alternativas notáveis ​​à CISPA foram apresentadas, incluindo dois projetos de lei apresentados no Senado e uma Ordem Executiva emitida pelo presidente Obama.

Um dos projetos de lei do Senado é a Lei de Segurança Cibernética (S. 3414) apresentada pelos senadores Joe Lieberman (I-CT), Susan Collins (R-ME) e três outros senadores. É um projeto de lei muito mais longo (mais de 200 páginas) e mais detalhado do que a CISPA que abre caminhos para que entidades privadas e o governo federal compartilhem informações relacionadas a ameaças cibernéticas, coloca a supervisão do compartilhamento na alçada do DHS e também permite estabelecimento de diretrizes de cibersegurança a serem seguidas de forma voluntária, mas com incentivos ao cumprimento por parte de entidades privadas. Ele cria o Conselho Nacional de Segurança Cibernética (NCC) a ser composto por representantes de várias agências (civis e militares) para coordenar com o setor privado para avaliar as vulnerabilidades do sistema de computadores e elaborar as diretrizes.

A Lei de Segurança Cibernética foi alterada para incluir mais proteções à privacidade e às liberdades civis, incluindo uma garantia de que apenas organizações civis (não militares) tenham acesso a informações compartilhadas sobre ameaças cibernéticas e uma isenção de atividades protegidas pela primeira alteração de serem identificadas como categorias de ameaças cibernéticas críticas. infraestrutura . Também não inclui a segurança nacional como um dos possíveis usos de informações compartilhadas de segurança cibernética, mas permite que o governo federal use as informações pelos outros três motivos permitidos pela CISPA.

Um projeto de lei rival apresentado pelo senador John McCain (R-AZ) e vários senadores co-patrocinadores é chamado de Lei de Fortalecimento e Aprimoramento da Segurança Cibernética pelo Uso de Pesquisa, Educação, Informação e Tecnologia (Lei SECURE IT, S. 3342). É também um projeto de lei mais pesado que o CISPA, chegando a mais de 100 páginas. Facilitaria o compartilhamento de informações entre várias agências governamentais e entidades privadas sobre ameaças cibernéticas, fortaleceria as penalidades criminais relacionadas a crimes cibernéticos, promoveria a pesquisa e o desenvolvimento de redes e tecnologia da informação e o compartilhamento de pesquisas e permitiria que o Departamento de Comércio, o Departamento de Segurança Interna e o Agência de Segurança Nacional (NSA) para coordenar as políticas relativas aos esforços de segurança cibernética. Enfrentou muitas das mesmas críticas que a CISPA, inclusive que tem uma definição ampla de informações sobre ameaças cibernéticas, impõe poucos limites aos tipos de informações que podem ser compartilhadas e como podem ser usadas (incluindo propósitos de segurança cibernética, propósitos de segurança nacional e toda uma série de propósitos de prevenção, investigação e processo criminal) , linguagem semelhante "não obstante qualquer outra disposição da lei" e questões de supervisão, como a remoção da responsabilidade judicial das empresas e a isenção de informações compartilhadas da Lei de Liberdade de Informação. Também é criticado por colocar uma entidade não civil (a NSA) responsável pelo compartilhamento de informações. para fins de investigação e acusação), semelhante linguagem "não obstante qualquer outra disposição da lei" e questões de supervisão, como a remoção da responsabilidade judicial das empresas e a isenção de informações compartilhadas da Lei de Liberdade de Informação. Também é criticado por colocar uma entidade não civil (a NSA) responsável pelo compartilhamento de informações. para fins de investigação e acusação), semelhante linguagem "não obstante qualquer outra disposição da lei" e questões de supervisão, como a remoção da responsabilidade judicial das empresas e a isenção de informações compartilhadas da Lei de Liberdade de Informação. Também é criticado por colocar uma entidade não civil (a NSA) responsável pelo compartilhamento de informações.

As of early 2013, neither Senate bill passed, but in the wake of CISPA's resurrection in the House, President Obama issued an Executive Order (EO) that covers some of the ground of the proposed cybersecurity bills, including timely sharing of information on cyberthreats from the federal government to critical infrastructure entities and companies that provide cybersecurity services. It does not enable any new sharing of information in the other direction (from private companies to public entities). It takes an existing Defense Industrial Base (DIB) information sharing program called the Enhanced Cybersecurity Services program, which was put in place to allow the Department of Defense (DoD) and the DHS to share non-classified cybersecurity information with defense contractors and the like, and expands it by allowing it to cover the other government agencies and critical infrastructure sectors. Like CISPA, the EO addresses creating an avenue for critical infrastructure personnel to gain security clearance for the sharing of classified information. It charges the National Institute of Standards and Technology (NIST) and others to work collaboratively with industry experts to create a cybersecurity practices framework to help reduce cyberthreat risks to infrastructure, and calls on the DHS to develop incentives to promote adoption of the framework.

The EO also calls for the Chief Privacy Officer and Officer for Civil Rights and Civil Liberties of the DHS to assess privacy and civil liberties risks and make recommendations on how to minimize and mitigate those risks. They are to use the Fair Information Practice Principles (FIPP) and other related policies to evaluate cybersecurity activities to this end, and their assessments are to be made available to the public.

Since CISPA is under consideration once more, no rival cybersecurity bills have passed yet and cyberthreats appear to be on the rise, the debate on how best to handle cybersecurity, especially sharing of information from private industry to government, is far from over. But perhaps all the rousing debates and calls to action will help whatever laws are ultimately passed to best straddle the line between too much and too little sharing while providing real protections.

Author's Note: How CISPA Works

Being an IT worker, a writer and a heavy Internet user, I'm concerned about the security of our computers and networks. Lord knows I don't want my data stolen, or a cyberattack to take down the Internet or cut the power. How would I watch an entire season of "Downton Abbey" on Netflix while simultaneously writing an essay, checking e-mail and surfing the net for Grumpy Cat pictures?

But I'm equally concerned about privacy. The less of my data flowing out to people I never intended to look at it, the better. There is no telling how the NSA would interpret one of my short stories.

Reading through these bills and thinking about what could possibly go wrong due to wording issues was pretty fascinating. I'm sure that the drafters of all such legislation are by and large well-meaning people trying to proactively snuff out security threats. But "well-meaning" means about as much as "good faith" in legal terms. Not everyone on the planet has good intentions, as we are reminded daily by the news, and anything that can be used for ill or even just misguided purposes probably will be at some point. So I hope that whatever bill passes is extremely well-thought-out and vetted by industry, civil liberty and legal experts alike. Keep the Internet safe for Grumpy Cat.

Related Articles

Sources