Как работает CISPA

Закон о совместном использовании и защите киберразведки ( CISPA ) - это предлагаемый законопроект о кибербезопасности, который был принят Палатой представителей США 26 апреля 2012 года как HR 3523, но в том же году приостановлен в Сенате. Он вернулся в список Конгресса в 2013 году как HR 624. CISPA внесет поправки в Раздел XI Закона о национальной безопасности 1947 года, добавив новый раздел в конце под названием «Разведка киберугроз и обмен информацией, раздел 1104».

Цель нового раздела - позволить и побудить органы федерального правительства , компании частного сектора и коммунальные службы своевременно делиться друг с другом разведывательной информацией о киберугрозах, чтобы предотвратить нарушение или повреждение жизненно важной инфраструктуры из-за атак на компьютер. системы и сети этих объектов. Но объем и формулировка законопроекта оказались весьма противоречивыми.

Для сторонников предлагаемый закон является средством улучшения обмена информацией для быстрого противодействия кибератакам до того, как они нарушат работу важнейших служб или нанесут ущерб экономике или национальной безопасности, а также позволяет компаниям как обмениваться информацией, так и принимать защитные меры без риска судебных исков за их действия. . Для оппонентов это слишком обширный и расплывчатый законодательный акт, который позволяет обмениваться личной информацией без судебного надзора, ущемляет права личности на неприкосновенность частной жизни, обходя существующие законы о конфиденциальности, и может привести к злоупотреблениям, таким как государственный надзор за деятельностью в Интернете.

Все согласны с тем, что мы уязвимы для кибератак, потенциально со стороны иностранных держав, террористов , преступников или других лиц с недобрыми намерениями, и что эти атаки могут нарушить работу основных служб. Разногласия заключаются в том, действительно ли этот закон решает проблему и может ли он принести больше вреда, чем пользы.

Читайте дальше, чтобы узнать больше о видах угроз, которые призван устранить CISPA, и о самом законопроекте.

1. От каких видов угроз предназначена защита CISPA?
2. История законопроекта
3. Основные положения CISPA
4. Почему CISPA вызывает такие споры?
5. Более проблемный язык
6. Усилия, предпринимаемые в поддержку и противодействие CISPA
7. Альтернативы CISPA
8. Текущее состояние дел

Жизненно важная инфраструктура, которую стремится защитить CISPA, включает в себя такие услуги, как электроэнергия, водоснабжение и канализация, транспорт, связь, финансовые сети и государственные учреждения. Практически каждая компания и каждая коммунальная служба, а также само правительство в наши дни хотя бы частично подключены к сети, и все, что подключено к Интернету, от одиночного компьютера до огромной сети, уязвимо для изнурительной атаки.

В законопроекте не подробно описаны типы атак, но есть несколько наиболее распространенных: атаки распределенного отказа в обслуживании (DDOS), при которых на серверы компании отправляется большое количество запросов, что приводит к нарушению обслуживания законных пользователей. ; атаки типа «человек посередине», при которых обмен данными от одного сервера к другому перехватывается и проходит через сервер злоумышленника для отслеживания или внесения вредоносных изменений; и продвинутые постоянные угрозы (APT), которые представляют собой долгосрочные целевые атаки на определенные компании или другие организации. Злоумышленники могут стремиться установить вирусы, черви, шпионское ПО, трояны и другое вредоносное ПО (вредоносное ПО) на целевые компьютеры, чтобы нанести ущерб или получить несанкционированный доступ.

Есть явные попытки вторжения со стороны хакеров, как в фильме «Военные игры», где главный герой набирает номер прямо в компьютерные системы компании и правительства. У пользователей и системных администраторов есть способы защиты от прямых атак, такие как программные или аппаратные брандмауэры], антивирусное и антишпионское ПО, а также улучшенные методы входа в систему, которые включают такие вещи, как сложные пароли или многофакторная аутентификация.

К сожалению, многие системы взламываются злоумышленниками, которые используют методы социальной инженерии, которые обманом заставляют ничего не подозревающих лиц предоставить данные для входа или установить вредоносное ПО на свои машины. Фишинг - это распространенный метод социальной инженерии, при котором электронные письма рассылаются с вложенными файлами, содержащими вредоносное ПО, ссылками на веб-сайты, которые выглядят законными, но не соответствуют действительности, или с запросами личной информации. Существует более адресная версия этой аферы, называемая целевым фишингом , когда злоумышленники знают что-то о своих предполагаемых жертвах и могут использовать это, чтобы сообщение электронной почты выглядело легитимным.

Даже программное обеспечение, которое пользователь ищет сам, может включать вредоносное ПО, как это произошло в недавнем случае, когда сотрудники Apple, Facebook и Microsoft (и, предположительно, других компаний) стали жертвами, загрузив зараженное программное обеспечение с популярных сайтов разработчиков, которые были взломаны.

Вредоносное программное обеспечение может заразить компьютер или, возможно, целую компьютерную сеть и сделать возможным слежку, нарушение работы или другие гнусные махинации. Компьютер может быть взломан путем установки так называемого бота - программного обеспечения, которое автоматически выполняет определенные задачи и может позволить внешнему пользователю управлять компьютером без ведома владельца. Иногда их называют зомби-компьютерами . Существуют сети этих захваченных машин, называемые ботнетами, которые можно использовать для атак против других.

В последнее время в новостях были и другие заметные нападения. Согласно расследованию, проведенному компанией по кибербезопасности под названием Mandiant, хакеры в Китае взломали сеть New York Times, очевидно, чтобы шпионить за электронной почтой некоторых репортеров, писавших о высокопоставленном китайском чиновнике. Аналогичная попытка была предпринята против Bloomberg News. Согласно Mandiant [источник: Bodeen ], атаки на другие компании также были отслежены в Китае .

Компания Saudi Aramco, крупнейший производитель нефти в мире, была атакована вирусом, который заменил данные примерно на 30 000 компьютеров компании изображением горящего флага США, сделав машины бесполезными. Эти атаки были связаны с компьютером, который, по-видимому, не был подключен к Интернету, что привело к предположению, что это была внутренняя работа.

Кибератаки могут совершаться лицами, стремящимися продемонстрировать свои навыки, преступниками, стремящимися украсть интеллектуальную собственность или финансовую информацию, террористическими группами, стремящимися нанести ущерб, и даже правительствами в целях шпионажа или военной деятельности. Также иногда случаются нарушения со стороны активистов или людей, которые хотят указать на потенциальные проблемы с безопасностью. Стоимость злонамеренных кибератак может быть огромной и может включать в себя потерю коммерческой тайны и других данных, финансовые кражи и стоимость очистки. и ремонт зараженных систем, среди прочего. И риски также включают нарушение услуг, от которых мы все зависим.

Первоначальный CISPA был представлен как HR 3523 30 ноября 2011 года республиканцем Майком Роджерсом из Мичигана, председателем комитета по разведке Палаты представителей, при поддержке демократа Датча Рупперсбергера из Мэриленда, члена того же комитета, а также других лиц. чем 20 других представителей, как демократов, так и республиканцев. Он пользовался поддержкой многих компаний, в том числе крупных телекоммуникационных и технологических компаний, но столкнулся с серьезным сопротивлением со стороны групп за гражданские свободы. 25 апреля 2012 года администрация президента Обамы даже пригрозила, что он наложит вето на законопроект за недостаточные меры для защиты базовой инфраструктуры от киберугроз и неспособность защитить частную жизнь, конфиденциальность данных и гражданские свободы людей.

Было предложено более 40 поправок. Несколько поправок, направленных на защиту конфиденциальности, были отклонены Комитетом по внутренним правилам 25 апреля. Одна поправка, разрешающая Агентству национальной безопасности (АНБ) или Министерству внутренней безопасности (DHS) дополнительные полномочия по наблюдению, была отозвана 26 апреля. Несколько поправок были приняты. , увеличивая исходный счет с 11 до 27 страниц. К ним относятся следующие:

Измененная версия HR 3523 прошла в Палате представителей США 26 апреля 2012 года 248 голосами против 168, но так и не дошла до голосования в Сенате США.

CISPA была повторно представлена ​​в доме сенаторами Роджерсом и Рупперсбергером в феврале 2013 года под другим номером счета, HR 624. Он практически идентичен версии HR 3523, принятой Палатой представителей в 2012 году.

CISPA полностью концентрируется на обмене информацией о киберугрозах между государством и частными организациями, а также между частными организациями и другими частными организациями. Он предусматривает, что государственные органы могут делиться как несекретной, так и секретной информацией с частными компаниями и коммунальными предприятиями. В отношении секретной информации в нем указывается, что организации или лица, получающие информацию, должны быть сертифицированы или иметь допуски безопасности, а также предусматривается предоставление временных или постоянных разрешений безопасности физическим лицам в этих организациях.

Это также позволяет обмениваться информацией между частными организациями и другими частными организациями, включая фирмы по кибербезопасности, нанятые этими компаниями для их защиты. Кроме того, он предусматривает, что частные организации могут обмениваться информацией о киберугрозах с федеральным правительством, и указывает, что любое агентство, получающее такую ​​информацию, должно отправлять ее в Национальный центр интеграции кибербезопасности и коммуникаций DHS.

CISPA освобождает передаваемую информацию от раскрытия в соответствии с Законом о свободе информации и любыми аналогичными законами, принятыми правительствами штатов, местными и племенными органами власти. Закон освобождает компании (и фирмы, занимающиеся кибербезопасностью, нанятые для защиты своих систем) от судебных исков за обмен информацией, за использование систем кибербезопасности для выявлять или получать информацию о киберугрозах или о любых решениях, которые они принимают на основе информации о киберугрозах, при условии, что они действуют «добросовестно». Однако государственное учреждение может быть привлечено к ответственности, если оно «намеренно или умышленно нарушает» правила раскрытия и использования информации, изложенные в законопроекте, со сроком давности в два года с даты нарушения.

Законопроект включает ограничения на то, как федеральное правительство может использовать предоставленную ему информацию. Приведены пять законных способов использования: в целях кибербезопасности; расследование и судебное преследование преступлений кибербезопасности; защита людей от смерти или тяжких телесных повреждений; защита несовершеннолетних от детской порнографии, сексуальной эксплуатации и других связанных преступлений; и защита национальной безопасности. Правительству запрещается осуществлять поиск информации для любых целей, кроме расследования и судебного преследования преступлений в области кибербезопасности, а также запрещается сохранять или использовать информацию для любых целей, кроме тех, которые перечислены в предыдущем предложении. CISPA также специально ограничивает правительство от использования библиотеки. записи об обращении, списки посетителей библиотеки, записи о продажах книг, списки клиентов книг, записи о продажах огнестрельного оружия, записи налоговых деклараций, документы об образовании и медицинские записи.

В законопроекте говорится, что если информация передается федеральному правительству, которое, по его мнению, не имеет отношения к киберугрозам, правительство должно уведомить организацию, предоставившую информацию.

CISPA также предписывает процедуры и отчеты, которые должны разрабатываться и публиковаться определенными государственными организациями. Он делает любой обмен информацией от частных организаций добровольным, без штрафных санкций за отказ от участия, и заявляет, что законопроект не является попыткой дать какие-либо элемент разведывательного сообщества имеет право диктовать меры кибербезопасности любых частных или государственных агентств.

Цели кибербезопасности, определенные в законопроекте, включают: усилия по защите от уязвимостей; угрозы целостности, конфиденциальности или доступности; попытки отказать в доступе, ухудшить, нарушить или уничтожить; и усилия по получению несанкционированного доступа к системам и сетям, а также к любой информации, хранящейся, обрабатываемой или проходящей через них. Это явно включает несанкционированный доступ для извлечения (или удаления) информации, но исключает несанкционированный доступ, который включает только нарушения условий обслуживания или лицензионных соглашений с потребителями. Определения систем кибербезопасности и разведки киберугроз содержат аналогичный язык.

CISPA подвергся серьезной критике по разным причинам, в том числе из-за опасений по поводу конфиденциальности , прозрачности, отсутствия судебного надзора и возможности его использования для наблюдения за деятельностью граждан в Интернете под прикрытием кибербезопасности, национальной безопасности и других нечетко определенных терминов.

Одна из проблем заключается в том, что он использует общие термины, такие как «разведка киберугроз», а не строго определяет типы данных, которыми можно делиться, что потенциально может позволить компаниям получать и передавать любую информацию, включая личную информацию (PII), частную коммуникации и тому подобное. CISPA действительно позволяет частным организациям настаивать на том, чтобы правительство анонимизировало, минимизировало или иным образом ограничивало данные, которыми они делятся, но не требует, чтобы компании вводили такие ограничения.

В подразделе, касающемся использования совместно используемой информации федеральным правительством, есть параграф, который касается неприкосновенности частной жизни и гражданских свобод, но в нем говорится: «Федеральное правительство может в соответствии с необходимостью защитить федеральные системы и критически важную информационную инфраструктуру от угроз кибербезопасности и для смягчения таких угроз предпринять разумные усилия по ограничению воздействия на неприкосновенность частной жизни и гражданские свободы обмена информацией о киберугрозах с федеральным правительством в соответствии с настоящим подразделом ». Использование слова «может» делает его добровольным, и нет дальнейшего определения того, что эти усилия могут повлечь за собой. В разделе, касающемся создания годового отчета об использовании информации правительством, законопроект требует включения «показателей для определения воздействия,о неприкосновенности частной жизни и гражданских свободах, если таковые имеются », но не упоминается, как эта информация будет использоваться.

Законопроект предоставляет юридический иммунитет компаниям, обменивающимся информацией, даже если окажется, что они сделали это ненадлежащим образом, при условии, что они действовали «добросовестно». Он также обеспечивает иммунитет «для решений, принятых на основе информации о киберугрозах», но не определяет «принятые решения». С точки зрения компаний, это позволяет им свободно обмениваться информацией о киберугрозах и действовать в соответствии с этой информацией, не беспокоясь о дорогостоящих судебных исках , но это может полностью ограничить право физического или юридического лица предъявлять иск за любой причиненный вред, поскольку это сложно. чтобы доказать, что кто-то действовал недобросовестно. Утверждалось, что этот иммунитет также может позволить компаниям делать такие вещи, как взлом в ответ на подозреваемого злоумышленника, чтобы получить информацию или нарушить работу их систем.

Еще одним спорным аспектом формулировки CISPA является потенциальная возможность отмены ряда законов о конфиденциальности.

CISPA потенциально обходит судебный надзор с помощью термина «несмотря на любые другие положения закона», который отменяет многие существующие законы о конфиденциальности, включая Закон о прослушивании телефонных разговоров, Закон о кабельной связи, Закон о защите конфиденциальности видео, Закон о хранимых коммуникациях и Закон о конфиденциальности электронных коммуникаций действия, которые действительно устанавливают правила и надзор за обменом личной информацией. В случае CISPA правительству не требуется никакого ордера на получение личной информации.

Даже несмотря на то, что люди могут подать в суд на правительство, если оно умышленно злоупотребляет их информацией, бывает очень сложно выяснить, что такое когда-либо происходило. Даже если информация, не относящаяся к киберугрозам, отправляется правительству, от правительства требуется только уведомить отправляющую организацию, и никто не обязан информировать лицо, чьи данные были переданы. А передаваемая информация не подлежит разглашению в соответствии с Законом о свободе информации и другими аналогичными законами о раскрытии информации. Должен быть очевидный вред, указывающий на совместное использование, и он должен стать очевидным в течение двух лет после того, как федеральное правительство неправильно использовало данные из-за срока давности.

CISPA также подвергается нападкам за то, что не определяет и не ограничивает, каким государственным организациям может быть передана информация, за исключением того, что принимающие агентства передают ее Национальному центру интеграции кибербезопасности и коммуникаций DHS, который может делиться ею с другими агентствами. Информация может быть передана в любое агентство федерального правительства, включая спецслужбы. То, как правительство может использовать информацию, также определяется широко, в том числе «в целях кибербезопасности», что несколько расплывчато определено в законопроекте, и «для защиты национальной безопасности Соединенных Штатов», что довольно широко определено в Закон о национальной безопасности.

В законопроекте заметно не хватает терминов, связанных с технологиями. Слово «компьютер» используется только в определении «преступления в области кибербезопасности» для включения компьютерных преступлений в список возможных нарушений. В противном случае HR 624 называет защищаемые объекты «системами и сетями», что несколько двусмысленно. Слова и фразы «онлайн», « Интернет », «Интернет», «цифровой», «информационные технологии» и даже «технологии» никогда не используются.

Первоначальная версия законопроекта включала кражу интеллектуальной собственности в качестве одной из целей кибербезопасности. Это было удалено из последней версии CISPA, и была добавлена ​​формулировка, указывающая, что информация о киберугрозах не включает попытки получить доступ, связанные с нарушением условий обслуживания или лицензионных соглашений с потребителями. Однако некоторые группы по-прежнему опасаются, что его можно использовать для преследования таких вещей, как нарушение авторских прав.

CISPA не предоставляет правительству законных средств для прямого мониторинга действий людей в Интернете и цифровых данных, но позволяет компаниям добровольно предоставлять федеральному правительству информацию неопределенного типа и объемы информации, которую они считают киберугрозой, и правительство может хранить ее. и использовать эти данные в целях кибербезопасности, национальной безопасности и расследования нескольких других преступлений. Это, а также тот факт, что его можно передать любому агентству, вызывают ужас, поскольку это может позволить спецслужбам своего рода боковой доступ к личной информации.

Никто не утверждает, что обмен информацией о возникающих угрозах не важен в борьбе за защиту компьютерных систем и сетей от постоянно растущей угрозы атак, но приводятся аргументы, чтобы установить ограничения на типы передаваемой информации и с какими организациями им можно поделиться. Сторонники CISPA возражают, что законопроект не предназначен для слежки и что иммунитеты необходимы, чтобы побудить компании делиться информацией, не опасаясь судебного процесса. Противники утверждают, что риски для частной жизни и гражданских свобод слишком велики в законопроекте в его нынешнем виде.

Ряд частных компаний и торговых ассоциаций выразили поддержку CISPA. Многие из них направили письма поддержки в Палату представителей США для HR 3423, HR 624 или обоих, включая AT&T, Verizon, US Telecom, Comcast, Time Warner Cable, Национальную кабельную и телекоммуникационную ассоциацию, Edison Electric Institute, Financial Joint. Сделки, Круглый стол по финансовым услугам, Boeing, Lockheed Martin, IBM, Intel, Oracle, Symantec, Microsoft, Facebook, TechAmerica, Internet Security Alliance, Juniper Networks, Национальная ассоциация кабельного телевидения и телекоммуникаций и Торговая палата. Facebook и Microsoft немного отступили после протестов и заявили или намекнули, что они поддержат изменения в окончательном законодательстве, которые касаются вопросов конфиденциальности.

Письма поддержки включают в себя похвалу за устранение существующих препятствий для своевременного обмена разведданными о киберугрозах с частными организациями, за то, что они не возлагают нормативное бремя на частные компании и защищают их, среди прочего, от необоснованных судебных исков и правовой неопределенности в отношении обмена информацией.

Но некоторые компании и организации, занимающиеся вопросами неприкосновенности частной жизни и гражданских свобод, решительно выступили против CISPA, в том числе Electronic Frontier Foundation, Американский союз гражданских свобод, Access Now, Американская библиотечная ассоциация, Общество американских архивистов, Институт Катона, Центр за демократию и технологии, Ассоциацию потребителей развлечений, Фонд «Солнечный свет», «Репортеры без границ», Общество профессиональных журналистов, Институт Резерфорда, Республиканскую фракцию свободы, Mozilla и Tech Freedom и другие. Известные люди, выразившие озабоченность, включают бывшего представителя и кандидата в президенты Рона Пола, который назвал законопроект «Большой брат по большому счету», и Тим Бернерс-Ли, изобретатель Всемирной паутины.. И, конечно же, была угроза вето президента.

EFF и некоторые другие противостоящие группы организовали «Неделю действий» в середине апреля 2012 года в знак протеста против CISPA, в ходе которой они развернули массовую кампанию, призывая людей подписывать петиции, писать, звонить и твитнуть конгрессменам и иным образом выражать несогласие с законопроектом. Почти миллион человек сделали это в первый раз, но, несмотря на эту деятельность, CISPA прошла в Палате представителей, хотя и с некоторыми изменениями.

По состоянию на начало весны 2013 г. предпринимаются аналогичные попытки снова опротестовать закон. Как сообщается, в течение дня или около того после того, как CISPA была вновь представлена ​​в Палате представителей, сотни тысяч онлайн-подписей были собраны и доставлены в Комитет по разведке Палаты представителей США. Скорее всего, мы еще не услышали конца энергичных споров с обеих сторон вопроса.

Некоторые известные альтернативы CISPA были выдвинуты, в том числе двух законопроектов , вносимых в Сенат и Распоряжения , выданного президентом Обамой.

Одним из законопроектов Сената является Закон о кибербезопасности (S. 3414), внесенный сенаторами Джо Либерманом (I-CT), Сьюзен Коллинз (R-ME) и тремя другими сенаторами. Это гораздо более длинный (более 200 страниц) и более подробный законопроект, чем CISPA, который открывает способы для частных лиц и федерального правительства обмениваться информацией, связанной с киберугрозами, ставит надзор за обменом в компетенцию DHS, а также позволяет установление руководящих принципов кибербезопасности, которые должны соблюдаться на добровольной основе, но со стимулами для соблюдения частными организациями. Он создает Национальный совет по кибербезопасности (NCC), который состоит из представителей нескольких агентств (как гражданских, так и военных) для координации с частным сектором для оценки уязвимостей компьютерных систем и разработки руководящих принципов.

В Закон о кибербезопасности были внесены поправки с целью включения дополнительных мер защиты частной жизни и гражданских свобод, включая гарантию того, что только гражданские (невоенные) организации имеют доступ к общей информации о киберугрозах, и исключение действий, защищенных первой поправкой, от определения категорий критически важных киберугроз. инфраструктура . Он также не включает национальную безопасность в качестве одного из возможных способов использования общей информации о кибербезопасности, но позволяет федеральному правительству использовать эту информацию по трем другим причинам, разрешенным в соответствии с CISPA.

Конкурирующий закон, представленный сенатором Джоном Маккейном (R-AZ) и несколькими сенаторами-соавторами, называется Законом об усилении и усилении кибербезопасности с помощью исследований, образования, информации и технологий (SECURE IT Act, S. 3342). Кроме того, это более крупный законопроект, чем CISPA, он занимает более 100 страниц. Это будет способствовать обмену информацией о киберугрозах между несколькими государственными учреждениями и частными организациями, ужесточит уголовные наказания за киберпреступления, будет способствовать исследованиям и разработкам сетей и информационных технологий, а также обмену результатами исследований, а также позволит Министерству торговли, Министерству внутренней безопасности и Агентство национальной безопасности (АНБ) для координации политики в отношении усилий по кибербезопасности. Он столкнулся с той же критикой, что и CISPA,в том числе то, что он имеет слишком широкое определение информации о киберугрозах, налагает несколько ограничений на типы информации, которой можно делиться, и на то, как она может быть использована (включая цели кибербезопасности, цели национальной безопасности и целый ряд целей предотвращения преступности, расследования и преследования) , аналогичные формулировки «вопреки любым другим положениям закона» и вопросы надзора, такие как снятие с компаний ответственности по судебным искам и освобождение совместной информации от действия Закона о свободе информации. Его также критикуют за то, что он возложил ответственность за обмен информацией на негражданскую организацию (АНБ).в целях расследования и судебного преследования), аналогичные формулировки «вопреки любым другим положениям закона» и вопросы надзора, такие как снятие с компаний ответственности по судебным искам и освобождение совместной информации от действия Закона о свободе информации. Его также критикуют за то, что он возложил ответственность за обмен информацией на негражданскую организацию (АНБ).в целях расследования и судебного преследования), аналогичные формулировки «вопреки любым другим положениям закона» и вопросы надзора, такие как снятие с компаний ответственности по судебным искам и освобождение совместной информации от действия Закона о свободе информации. Его также критикуют за то, что он возложил ответственность за обмен информацией на негражданскую организацию (АНБ).

По состоянию на начало 2013 года ни один законопроект Сената не был принят, но после возрождения CISPA в Палате представителей президент Обама издал исполнительный указ (EO), который охватывает некоторые из основ предложенных законопроектов о кибербезопасности, включая своевременный обмен информацией о киберугрозах со стороны от федерального правительства к объектам критической инфраструктуры и компаниям, предоставляющим услуги кибербезопасности. Это не дает возможности для нового обмена информацией в обратном направлении (от частных компаний к государственным организациям). Требуется существующая программа обмена информацией на базе оборонной промышленной базы (DIB), называемая программой расширенных услуг кибербезопасности, которая была введена в действие, чтобы позволить Министерству обороны (DoD) и DHS делиться несекретной информацией о кибербезопасности с оборонными подрядчиками и т.п. ,и расширяет его, позволяя охватить другие государственные учреждения и критически важные секторы инфраструктуры. Как и CISPA, EO направлен на создание возможности для персонала критически важной инфраструктуры получить доступ к секретной информации. Он поручает Национальному институту стандартов и технологий (NIST) и другим организациям работать вместе с отраслевыми экспертами над созданием основы практики кибербезопасности, которая поможет снизить риски киберугроз для инфраструктуры, и призывает DHS разработать стимулы для содействия принятию этой основы.Он поручает Национальному институту стандартов и технологий (NIST) и другим организациям работать вместе с отраслевыми экспертами над созданием основы практики кибербезопасности, которая поможет снизить риски киберугроз для инфраструктуры, и призывает DHS разработать стимулы для содействия принятию этой основы.Он поручает Национальному институту стандартов и технологий (NIST) и другим организациям работать вместе с отраслевыми экспертами над созданием основы практики кибербезопасности, которая поможет снизить риски киберугроз для инфраструктуры, и призывает DHS разработать стимулы для содействия принятию этой основы.

ОР также призывает главного сотрудника по вопросам конфиденциальности и сотрудника по гражданским правам и свободам DHS оценить риски, связанные с конфиденциальностью и гражданскими свободами, и дать рекомендации о том, как минимизировать и смягчить эти риски. Они должны использовать Принципы честной информационной практики (FIPP) и другие соответствующие политики для оценки деятельности в области кибербезопасности с этой целью, и их оценки должны быть доступны для общественности.

Поскольку CISPA снова рассматривается, конкурирующие законопроекты о кибербезопасности еще не приняты, а киберугрозы, похоже, растут, дебаты о том, как лучше всего справиться с кибербезопасностью, особенно обмен информацией от частного сектора к правительству, далеко не завершены. Но, возможно, все оживленные дискуссии и призывы к действию помогут любым законам, которые в конечном итоге будут приняты, преодолеть грань между слишком большим и слишком низким обменом, обеспечивая при этом реальную защиту.

Примечание автора: как работает CISPA

Как ИТ-работник, писатель и активный пользователь Интернета, я беспокоюсь о безопасности наших компьютеров и сетей. Господь знает, что я не хочу, чтобы мои данные были украдены, или чтобы кибератака отключила Интернет или отключило электричество. Как мне посмотреть весь сезон «Аббатства Даунтон» на Netflix, одновременно написав эссе, проверяя электронную почту и просматривая Интернет в поисках фотографий Grumpy Cat?

Но в равной степени меня беспокоит конфиденциальность. Чем меньше моих данных будет передаваться людям, которым я никогда не собирался их рассматривать, тем лучше. Невозможно сказать, как АНБ интерпретировало бы один из моих рассказов.

Читать эти счета и думать о том, что может пойти не так из-за проблем с формулировками, было довольно увлекательно. Я уверен, что составители всех таких законов - в основном люди из лучших побуждений, которые пытаются активно подавлять угрозы безопасности. Но «из лучших побуждений» с юридической точки зрения означает примерно столько же, сколько и «добросовестность». Не у всех на планете есть добрые намерения, о чем нам ежедневно напоминают новости, и все, что можно использовать в плохих или даже просто неверных целях, вероятно, когда-нибудь появится. Так что я надеюсь, что любой законопроект будет чрезвычайно хорошо продуман и одобрен как отраслью, так и экспертами по гражданским свободам и юристам. Сделайте Интернет безопасным для Grumpy Cat.

Статьи по Теме

Источники