CISPA ทำงานอย่างไร

Sharing ข่าวกรอง Cyber และพระราชบัญญัติคุ้มครอง ( CISPA ) คือการเรียกเก็บเงินทางโลกไซเบอร์เสนอว่าผ่านสภาผู้แทนราษฎรแห่งสหรัฐอเมริกาวันที่ 26 เมษายน 2012 เป็น HR 3523 แต่จนตรอกในวุฒิสภาในปีต่อมา มันกลับเข้าสู่บัญชีรายชื่อรัฐสภาในปี 2013 ในชื่อ HR 624 CISPA จะแก้ไข Title XI ของพระราชบัญญัติความมั่นคงแห่งชาติปี 1947 โดยเพิ่มส่วนใหม่ต่อท้ายชื่อ "Cyber ​​Threat Intelligence and Information Sharing, Sec. 1104"

จุดมุ่งหมายของส่วนใหม่นี้คือการอนุญาตและสนับสนุนให้หน่วยงานของรัฐบาลกลางบริษัท ภาคเอกชนและระบบสาธารณูปโภคแบ่งปันข้อมูลข่าวกรองภัยคุกคามทางไซเบอร์ซึ่งกันและกันในเวลาที่เหมาะสมเพื่อป้องกันการหยุดชะงักหรือเป็นอันตรายต่อโครงสร้างพื้นฐานที่สำคัญอันเนื่องมาจากการโจมตีคอมพิวเตอร์ ระบบและเครือข่ายของหน่วยงานเหล่านี้ แต่ขอบเขตและภาษาของใบเรียกเก็บเงินได้พิสูจน์แล้วว่าค่อนข้างขัดแย้ง

สำหรับผู้สนับสนุนการออกกฎหมายที่เสนอนี้เป็นวิธีที่ช่วยให้สามารถแบ่งปันข้อมูลเพื่อตอบโต้การโจมตีทางอินเทอร์เน็ตได้อย่างรวดเร็วก่อนที่จะขัดขวางบริการที่สำคัญหรือสร้างความเสียหายต่อเศรษฐกิจหรือความมั่นคงของประเทศและเพื่อให้ บริษัท ต่างๆสามารถแบ่งปันข้อมูลและใช้มาตรการป้องกันโดยไม่เสี่ยงต่อการถูกฟ้องร้องจากการกระทำของตน . สำหรับฝ่ายตรงข้ามมันเป็นการออกกฎหมายที่กว้างขวางและคลุมเครือซึ่งอนุญาตให้แบ่งปันข้อมูลส่วนบุคคลโดยไม่มีการกำกับดูแลของศาลทำร้ายสิทธิความเป็นส่วนตัวของแต่ละบุคคลโดยการหลีกเลี่ยงกฎหมายความเป็นส่วนตัวที่มีอยู่และอาจเชิญชวนให้เกิดการละเมิดเช่นการเฝ้าระวังกิจกรรมทางอินเทอร์เน็ตของรัฐบาล

ทุกคนยอมรับว่าเราเสี่ยงต่อการโจมตีทางไซเบอร์อาจเกิดจากอำนาจจากต่างประเทศผู้ก่อการร้ายอาชญากรหรือคนอื่น ๆ ที่มีเจตนาร้ายและการโจมตีเหล่านี้อาจรบกวนบริการที่จำเป็น ความขัดแย้งอยู่ที่ว่าร่างกฎหมายนี้แก้ปัญหาได้จริงหรือไม่และอาจก่อให้เกิดผลเสียมากกว่าผลดี

อ่านต่อเพื่อเรียนรู้เพิ่มเติมเกี่ยวกับภัยคุกคามประเภทต่างๆที่ CISPA มีไว้เพื่อจัดการและเรียกเก็บเงินเอง

1. CISPA มีไว้เพื่อป้องกันภัยคุกคามประเภทใด?
2. ประวัติบิล
3. ข้อกำหนดสำคัญของ CISPA
4. ทำไม CISPA จึงขัดแย้งกัน?
5. ภาษาที่มีปัญหามากขึ้น
6. ความพยายามในการสนับสนุนและคัดค้าน CISPA
7. รายการทางเลือกสำหรับ CISPA
8. สถานการณ์ปัจจุบัน

โครงสร้างพื้นฐานที่สำคัญ CISPA มีวัตถุประสงค์เพื่อปกป้องรวมถึงบริการต่างๆเช่นพลังงานน้ำและสิ่งปฏิกูลการขนส่งการสื่อสารเครือข่ายทางการเงินและหน่วยงานของรัฐ เกือบทุก บริษัท และทุกยูทิลิตี้รวมถึงรัฐบาลเองในทุกวันนี้อย่างน้อยก็ออนไลน์บางส่วนและทุกอย่างที่เชื่อมต่อกับอินเทอร์เน็ตตั้งแต่คอมพิวเตอร์เครื่องเดียวไปจนถึงเครือข่ายขนาดใหญ่มีความเสี่ยงต่อการโจมตีที่บั่นทอน

การเรียกเก็บเงินไม่ได้ลงรายละเอียดเกี่ยวกับประเภทของการโจมตี แต่มีบางอย่างที่พบบ่อย ได้แก่ การโจมตีแบบปฏิเสธการให้บริการ (DDOS) แบบกระจายซึ่งมีการส่งคำขอจำนวนมากไปยังเซิร์ฟเวอร์ของ บริษัท ซึ่งทำให้บริการหยุดชะงักไปยังผู้ใช้ที่ถูกต้องตามกฎหมาย ; การโจมตีแบบคนกลางซึ่งการสื่อสารจากเซิร์ฟเวอร์หนึ่งไปยังอีกเซิร์ฟเวอร์หนึ่งจะถูกดักฟังและดำเนินการผ่านเซิร์ฟเวอร์ของผู้โจมตีเพื่อสอดแนมหรือทำการเปลี่ยนแปลงที่เป็นอันตราย และภัยคุกคามต่อเนื่องขั้นสูง (APT) ซึ่งเป็นการโจมตีเป้าหมายระยะยาวในบาง บริษัท หรือหน่วยงานอื่น ๆ ผู้โจมตีอาจตั้งเป้าที่จะติดตั้งไวรัสเวิร์มสปายแวร์โทรจันและมัลแวร์อื่น ๆ(ซอฟต์แวร์ที่เป็นอันตราย) บนคอมพิวเตอร์เป้าหมายเพื่อสร้างความเสียหายหรือเข้าถึงโดยไม่ได้รับอนุญาต

มีการพยายามบุกรุกอย่างเปิดเผยจากแฮกเกอร์ซึ่งเป็นภาพยนตร์ "War Games" ที่ตัวเอกโทรเข้ามาในระบบคอมพิวเตอร์ของ บริษัท และของรัฐบาล ผู้ใช้และผู้ดูแลระบบมีวิธีป้องกันการโจมตีโดยตรงเช่นซอฟต์แวร์หรือไฟร์วอลล์ฮาร์ดแวร์] ซอฟต์แวร์ป้องกันไวรัสและป้องกันสปายแวร์และวิธีการเข้าสู่ระบบที่ได้รับการปรับปรุงซึ่งรวมถึงสิ่งต่างๆเช่นรหัสผ่านที่ซับซ้อนหรือการตรวจสอบสิทธิ์แบบหลายปัจจัย

น่าเสียดายที่ระบบจำนวนมากถูกละเมิดโดยผู้โจมตีที่ใช้วิธีการทางวิศวกรรมสังคมที่หลอกลวงบุคคลโดยไม่เจตนาให้ให้ข้อมูลการเข้าสู่ระบบหรือติดตั้งมัลแวร์ลงในเครื่องของตนเองฟิชชิงเป็นวิธีวิศวกรรมสังคมทั่วไปที่อีเมลจะถูกส่งออกไปพร้อมไฟล์แนบที่มีมัลแวร์ลิงก์ไปยังเว็บไซต์ที่ดูถูกต้อง แต่ไม่ใช่หรือขอข้อมูลส่วนบุคคล มีการหลอกลวงในรูปแบบที่ตรงเป้าหมายมากขึ้นที่เรียกว่าสเปียร์ฟิชชิ่งซึ่งผู้โจมตีรู้บางอย่างเกี่ยวกับเหยื่อที่ตั้งใจไว้และสามารถใช้สิ่งนั้นเพื่อทำให้อีเมลถูกต้องตามกฎหมาย

แม้แต่ซอฟต์แวร์ที่ผู้ใช้ค้นหาเองก็อาจมีมัลแวร์เช่นที่เกิดขึ้นในกรณีล่าสุดที่พนักงานของ Apple, Facebook และ Microsoft (และ บริษัท อื่น ๆ ) ตกเป็นเหยื่อเมื่อพวกเขาดาวน์โหลดซอฟต์แวร์ที่ติดไวรัสจากไซต์นักพัฒนายอดนิยมที่ถูกแฮ็ก

ซอฟต์แวร์ที่เป็นอันตรายสามารถติดคอมพิวเตอร์หรืออาจเป็นไปได้ว่าเครือข่ายคอมพิวเตอร์ทั้งหมดและอนุญาตให้มีการสอดแนมการหยุดชะงักหรือการทำลายล้างที่ชั่วร้ายอื่น ๆ คอมพิวเตอร์อาจถูกแย่งชิงโดยการติดตั้งสิ่งที่เรียกว่าบอทซึ่งเป็นซอฟต์แวร์ที่เรียกใช้งานบางอย่างโดยอัตโนมัติและสามารถอนุญาตให้ผู้ใช้ภายนอกควบคุมคอมพิวเตอร์โดยที่เจ้าของไม่รู้จัก เหล่านี้บางครั้งเรียกว่าคอมพิวเตอร์ผีดิบ มีเครือข่ายของเครื่องที่ถูกแย่งชิงเหล่านี้เรียกว่าบ็อตเน็ตที่สามารถใช้เพื่อโจมตีผู้อื่นได้

มีการโจมตีที่น่าทึ่งอื่น ๆ ในข่าวช่วงปลายปี จากการสอบสวนของ บริษัท รักษาความปลอดภัยทางไซเบอร์ที่ชื่อว่า Mandiant แฮกเกอร์ในประเทศจีนได้บุกเข้าไปในเครือข่ายของ New York Times ดูเหมือนจะสอดแนมอีเมลของผู้สื่อข่าวบางคนที่เขียนเกี่ยวกับเจ้าหน้าที่ระดับสูงของจีน มีความพยายามในทำนองเดียวกันกับ Bloomberg News การโจมตี บริษัท อื่น ๆ ยังถูกโยงไปถึงจีนด้วยอ้างอิงจาก Mandiant [ที่มา: Bodeen ]

Saudi Aramco ซึ่งเป็นผู้ผลิตน้ำมันรายใหญ่ที่สุดของโลกถูกโจมตีด้วยไวรัสที่เข้ามาแทนที่ข้อมูลบนคอมพิวเตอร์ราว 30,000 เครื่องใน บริษัท ด้วยภาพธงชาติสหรัฐที่ลุกไหม้ทำให้เครื่องจักรไร้ประโยชน์ การโจมตีเหล่านี้ถูกโยงไปยังคอมพิวเตอร์ที่ดูเหมือนว่าไม่ได้เชื่อมต่อกับอินเทอร์เน็ตซึ่งนำไปสู่การคาดเดาว่าเป็นงานภายใน

Cyberattacks can be perpetrated by individuals seeking to show off their skills, criminals looking to steal intellectual property or financial information, terrorist groups aiming to wreak havoc and even governments for purposes of espionage or military activities. There are also sometimes breaches by activists or people who wish to point out potential security issues.The costs of the more ill-intentioned cyberattacks can be enormous and can include loss of trade secrets and other data, financial theft and the cost of clean-up and repair of infected systems, among other things. And the risks also include disruption of services that we all depend upon.

The original CISPA was introduced as H.R. 3523 on Nov. 30, 2011 by Republican Mike Rogers of Michigan, chairman of the House Intelligence Committee, and co-sponsored by Democrat Dutch Ruppersberger of Maryland, ranking member of the same committee, as well as more than 20 other representatives, Democrat and Republican alike. It had the support of a lot of companies, including large telecommunications and tech companies, but faced a lot of opposition from civil liberties groups. On April 25, 2012, President Obama's administration even threatened that he would veto the bill for not doing enough to protect core infrastructure from cyberthreats and failing to protect the privacy, data confidentiality and civil liberties of individuals.

More than 40 amendments were proposed. Several pro-privacy amendments were rejected by the House Rules Committee on April 25. One amendment to allow the National Security Agency (NSA) or the Department of Homeland Security (DHS) additional surveillance authority was withdrawn on April 26. A few amendments were passed, increasing the original bill from 11 pages to 27 pages. These included the following:

The amended version of H.R. 3523 passed in the U.S. House of Representatives on April 26, 2012 by 248 to 168 votes, but never reached a vote in the U.S. Senate.

CISPA was reintroduced in the house by Senators Rogers and Ruppersberger in February 2013 under a different bill number, H.R. 624. It is virtually identical to the version of H.R. 3523 that passed the House in 2012.

CISPA concentrates entirely on sharing cyberthreat-related information between the government and private entities, and between private entities and other private entities. It makes provisions for government agencies to share both unclassified and classified information with private companies and utilities. For classified information, it specifies that the entities or individuals receiving information must be certified or have security clearance, and makes provisions for granting temporary or permanent security clearance to individuals within these entities.

It also allows for information sharing between private entities and other private entities, including cybersecurity firms hired by those companies to protect them. And it makes provisions for private entities to share information about cyberthreats with the federal government, and specifies that any agency receiving such information is to send it to National Cybersecurity and Communications Integration Center of the DHS.

CISPA exempts shared information from disclosure under the Freedom of Information Act and any similar laws enacted by state, local and tribal governments.The bill exempts companies (and cybersecurity firms hired to protect their systems) from lawsuits for sharing information, for using cybersecurity systems to identify or obtain cyberthreat information or for any decisions they make based on the cyberthreat information, provided they are acting "in good faith." A government agency , however, can be sued if it "intentionally or willfully violates" the information disclosure and use rules spelled out in the bill, with a statute of limitations of two years from the date of violation.

The bill includes limits on how the federal government may use the information shared with it. The five legitimate uses given are: cybersecurity purposes; investigation and prosecution of cybersecurity crimes; protection of individuals from death or serious bodily harm; protection of minors from child pornography, sexual exploitation and other related crimes; and protection of national security. The government is restricted from affirmatively searching the information for any purpose other than investigation and prosecution of cybersecurity crimes, and is restricted from retaining or using the information for any purpose other than the ones listed in the previous sentence. CISPA also specifically restricts the government from using library circulation records, library patron lists, book sales records, book customer lists, firearm sales records, tax return records, educational records and medical records.

The bill states that if information is shared with the federal government that it determines is not related to cyberthreats, the government must notify the entity that provided the information.

CISPA also dictates procedures and reports that must be developed and released by certain government entities.It makes all information sharing from private entities voluntary, with no penalties for choosing not to participate, and makes a statement that the bill is not an attempt to give any element of the intelligence community the right to dictate the cybersecurity efforts of any private or government agencies.

Cybersecurity purposes as defined within the bill include: efforts to protect against vulnerabilities; threats to integrity, confidentiality or availability; efforts to deny access, degrade, disrupt or destroy; and efforts to gain unauthorized access to systems and networks, as well as any information stored on, processed on or moving through them. This explicitly includes unauthorized access to exfiltrate (or remove) information, but excludes unauthorized access that only involves violations of consumer terms of service or licensing agreements. The definitions of cybersecurity systems and cyberthreat intelligence contain similar language.

CISPA has taken a lot of flack for various reasons, including concerns about privacy , transparency, lack of judicial oversight and the possibility of it being used for surveillance of citizens' Internet activities under the guise of cybersecurity, national security and other vaguely defined terms.

One issue is that it uses blanket terms like "cyber threat intelligence" rather than strictly defining the types of data that can be shared, which could potentially allow companies to obtain and share any sort of information, including personally identifying information (PII), private communications and the like. CISPA does allow private entities to insist that the government anonymize, minimize or otherwise restrict the data they share, but it doesn't require the companies to make such restrictions.

In the subsection regarding the federal government's use of the shared information, there is a paragraph that addresses privacy and civil liberties, but it says, "The Federal Government may, consistent with the need to protect Federal systems and critical information infrastructure from cybersecurity threats and to mitigate such threats, undertake reasonable efforts to limit the impact on privacy and civil liberties of the sharing of cyberthreat information with the Federal Government pursuant to this subsection." The use of the word "may" makes it sound voluntary, and there is no further definition of what these efforts might entail. In the section regarding the creation of an annual report on government use of the information, the bill dictates including "metrics to determine the impact, on privacy and civil liberties, if any," but there is no mention of how this information will be used.

The bill provides legal immunity to companies sharing information, even if it turns out they did it improperly, provided they acted in "good faith." It also allows immunity "for decisions made based on cyber threat information," but doesn't define "decisions made." From the companies' point of view, this allows them to freely share cyberthreat information and to act on that information without worrying about costly lawsuits , but it could completely curtail right of an individual or entity to sue for any harm done, since it is difficult to prove that someone didn't act in good faith. It has been argued that this immunity could also allow companies to do things like retaliation hacking of a suspected intruder to gain information or disrupt their systems.

Another controversial aspect of CISPA's wording is the potential it has to supersede a number of privacy laws.

CISPA potentially sidesteps judicial oversight through the term "notwithstanding any other provision of law," which overrides a lot of existing privacy laws, including the Wiretap Act, Cable Communications Act, Video Privacy Protection Act, Stored Communications Act and Electronic Communications Privacy Act -- acts that do provide rules and oversight regarding the sharing of personal information. In the case of CISPA, no warrant is required for the government to obtain personal information.

Even though individuals can sue the government if it willfully misuses their information, it could be very difficult to find out such a thing ever happened. Even if non-cyberthreat information is sent to the government, the government is only required to notify the sending entity, and no one is require to inform the person whose data was shared. And information shared is exempt from disclosure under Freedom of Information Act and other similar disclosure laws. There would have to be some obvious harm that pointed to the sharing, and it would have to be evident within two years of the time the federal government misused the data because of the statute of limitations.

CISPA is also under attack for not defining or limiting what government entities the information can be handed over to, aside from the stipulation that receiving agencies give it to the National Cybersecurity and Communications Integration Center of the DHS, which can share it with other agencies. The information could legally be given to any agency of the federal government, including intelligence agencies. How the government can use the information is defined broadly, as well, including "for cybersecurity purposes," which is somewhat vaguely defined in the bill, and "to protect the national security of the United States," which is fairly broadly defined in the National Security Act.

There is a notable dearth of terms related to technology in the bill. The word "computer" is only used within the definition of "cybersecurity crime" to include computer crimes in the list of possible violations. Otherwise, H.R. 624 refers to the things being protected as "systems and networks," which is somewhat ambiguous. The words and phrases "online," "Internet ," "Web," "digital," "information technology" and even "technology" are never used.

The original version of the bill included theft of intellectual property as one of the cybersecurity purposes. This has been removed from the latest version of CISPA, and language was inserted to specify that cyberthreat information does not include efforts to gain access involving violations of consumer terms of service or licensing agreements. However, some groups still fear that it can be used to pursue things like copyright infringement.

CISPA doesn't provide the legal means for the government to directly monitor people's online activities and digital data, but it does allow companies to voluntarily give undefined types and amounts of information that they deem cyberthreat information to the federal government, and the government can keep and use this data for reasons of cybersecurity, national security and investigation of a few other crimes. This and the fact that it can be given to any agency are causing consternation since this could allow intelligence agencies a sort of sideways access to personal information.

No one is arguing that sharing information on emerging threats isn't important in the fight to secure computer systems and networks from the ever-growing threat of attack, but arguments are being made to place limitations on the types of information shared and with what entities it can be shared. The supporters of CISPA counter that the bill is not intended for surveillance, and that the immunities are necessary to encourage companies to share information without fear of lawsuit. The opponents argue that the risks to privacy and civil liberties are too great in the bill as currently written.

A number of private companies and trade associations have expressed support for CISPA. Many of them sent letters of support to the U.S. House of Representatives for either H.R. 3423, H.R. 624 or both, including AT&T, Verizon, US Telecom, Comcast, Time Warner Cable, the National Cable & Telecommunications Association, Edison Electric Institute, Financial Joint Trades, Financial Services Roundtable, Boeing, Lockheed Martin, IBM, Intel, Oracle, Symantec, Microsoft, Facebook, TechAmerica, the Internet Security Alliance, Juniper Networks, the National Cable & Telecommunications Association and the Chamber of Commerce. Facebook and Microsoft both backed away a little after protests and stated or implied that they would support changes to the final legislation that addressed privacy concerns.

The letters of support include praise for breaking down existing barriers to the timely sharing of cyberthreat intelligence with private entities, not placing regulatory burdens on private companies and protecting them from frivolous lawsuits and legal uncertainty with regards to sharing information, among other things.

But some companies and organizations concerned with privacy and civil liberties have vigorously spoken out against CISPA, including the Electronic Frontier Foundation, the American Civil Liberties Union, Access Now, the American Library Association, the Society of American Archivists, the Cato Institute, the Center for Democracy and Technology, the Entertainment Consumers Association, the Sunlight Foundation, Reporters Without Borders, the Society of Professional Journalists, the Rutherford Institute, the Republican Liberty Caucus, Mozilla and Tech Freedom, among others. Notable individuals who have expressed concerns include former Representative and Presidential candidate Ron Paul, who called the bill "Big Brother writ large," and Tim Berners-Lee, the inventor of the World Wide Web . And of course, there was the President's veto threat.

The EFF and some other opposing groups organized a "Week of Action" in mid-April 2012 to protest CISPA, during which they waged a grassroots campaign asking people to sign petitions, write, call and tweet Congressmen and otherwise express opposition to the bill. Nearly a million people did so the first go round, but despite this activity, CISPA did pass in the House -- albeit with a few changes.

As of early spring of 2013, similar pushes are being made to protest the bill anew. Within a day or so of CISPA being reintroduced in the House, hundreds of thousands of online signatures were reportedly collected and delivered to the U.S. House Intelligence Committee. We likely haven't heard the end of vigorous arguments on both sides of the issue.

Some notable alternatives to CISPA have been put forth, including two bills introduced in the Senate and an Executive Order issued by President Obama.

One of the Senate bills is the Cybersecurity Act (S. 3414) introduced by Senators Joe Lieberman (I-CT), Susan Collins (R-ME) and three other senators. It is a much longer (in excess of 200 pages) and more detailed bill than CISPA that opens up ways for private entities and the federal government to share information related to cyberthreats, puts oversight of sharing in the purview of the DHS and also allows for setting up cybersecurity guidelines to be followed on a voluntary basis, but with incentives for compliance by private entities. It creates the National Cybersecurity Council (NCC) to be made up of representatives from multiple agencies (both civilian and military) to coordinate with the private sector to assess computer system vulnerabilities and come up with the guidelines.

The Cybersecurity Act was amended to include more protections to privacy and civil liberties, including a guarantee that only civilian (non-military) organizations have access to shared cyberthreat information and an exemption of first-amendment protected activities from being identified as categories of critical cyber infrastructure . It also doesn't include national security as one of the possible uses of shared cybersecurity information, but it does let the federal government use the information for the other three reasons allowed under CISPA.

A rival bill introduced by Senator John McCain (R-AZ) and several co-sponsoring senators is called the Strengthening and Enhancing Cybersecurity by Using Research, Education, Information, and Technology Act (SECURE IT Act, S. 3342). It is also a heftier bill than CISPA, coming in at more than 100 pages. It would facilitate information sharing between multiple government agencies and private entities on cyberthreats, strengthen criminal penalties related to cybercrimes, foster networking and information technology research and development and sharing of research, and would allow the Department of Commerce, Department of Homeland Security, and the National Security Agency (NSA) to coordinate on policies regarding cybersecurity efforts. It has faced many of the same criticisms as CISPA, including that it has an overbroad definition of cyberthreat information, places few limits on the types of information that can be shared and how it can be used (including cybersecurity purposes, national security purposes and a whole host of criminal prevention, investigation and prosecution purposes), similar "notwithstanding any other provision of law" language and oversight issues, such as the removal of lawsuit liability from companies and the shared information being exempt from the Freedom of Information Act. It is also criticized for putting a non-civilian entity (the NSA) in charge of information sharing.

As of early 2013, neither Senate bill passed, but in the wake of CISPA's resurrection in the House, President Obama issued an Executive Order (EO) that covers some of the ground of the proposed cybersecurity bills, including timely sharing of information on cyberthreats from the federal government to critical infrastructure entities and companies that provide cybersecurity services. It does not enable any new sharing of information in the other direction (from private companies to public entities). It takes an existing Defense Industrial Base (DIB) information sharing program called the Enhanced Cybersecurity Services program, which was put in place to allow the Department of Defense (DoD) and the DHS to share non-classified cybersecurity information with defense contractors and the like, and expands it by allowing it to cover the other government agencies and critical infrastructure sectors. Like CISPA, the EO addresses creating an avenue for critical infrastructure personnel to gain security clearance for the sharing of classified information. It charges the National Institute of Standards and Technology (NIST) and others to work collaboratively with industry experts to create a cybersecurity practices framework to help reduce cyberthreat risks to infrastructure, and calls on the DHS to develop incentives to promote adoption of the framework.

The EO also calls for the Chief Privacy Officer and Officer for Civil Rights and Civil Liberties of the DHS to assess privacy and civil liberties risks and make recommendations on how to minimize and mitigate those risks. They are to use the Fair Information Practice Principles (FIPP) and other related policies to evaluate cybersecurity activities to this end, and their assessments are to be made available to the public.

Since CISPA is under consideration once more, no rival cybersecurity bills have passed yet and cyberthreats appear to be on the rise, the debate on how best to handle cybersecurity, especially sharing of information from private industry to government, is far from over. But perhaps all the rousing debates and calls to action will help whatever laws are ultimately passed to best straddle the line between too much and too little sharing while providing real protections.

Author's Note: How CISPA Works

Being an IT worker, a writer and a heavy Internet user, I'm concerned about the security of our computers and networks. Lord knows I don't want my data stolen, or a cyberattack to take down the Internet or cut the power. How would I watch an entire season of "Downton Abbey" on Netflix while simultaneously writing an essay, checking e-mail and surfing the net for Grumpy Cat pictures?

But I'm equally concerned about privacy. The less of my data flowing out to people I never intended to look at it, the better. There is no telling how the NSA would interpret one of my short stories.

Reading through these bills and thinking about what could possibly go wrong due to wording issues was pretty fascinating. I'm sure that the drafters of all such legislation are by and large well-meaning people trying to proactively snuff out security threats. But "well-meaning" means about as much as "good faith" in legal terms. Not everyone on the planet has good intentions, as we are reminded daily by the news, and anything that can be used for ill or even just misguided purposes probably will be at some point. So I hope that whatever bill passes is extremely well-thought-out and vetted by industry, civil liberty and legal experts alike. Keep the Internet safe for Grumpy Cat.

Related Articles

Sources