CISPA Nasıl Çalışır?

Siber İstihbarat Paylaşımı ve Koruması Yasası ( CISPA ) HR 3523 olarak 26 Nisan 2012 tarihinde ABD Temsilciler Evi geçti önerilen bir siber güvenlik faturası, ama bu yıl sonra senatoda durdu. 2013'te HR 624 olarak Kongre kadrosuna geri döndü. CISPA, sona "Siber Tehdit İstihbaratı ve Bilgi Paylaşımı, Bölüm 1104" adlı yeni bir bölüm ekleyerek 1947 Ulusal Güvenlik Yasası'nın Başlık XI'ini değiştirecekti.

Yeni bölümün amacı , bilgisayara yapılan saldırılar nedeniyle hayati altyapının aksamasını veya zarar görmesini önlemek için federal hükümet , özel sektör şirketleri ve kamu kuruluşlarının siber tehdit istihbaratını birbirleriyle zamanında paylaşmalarına izin vermek ve teşvik etmektir. bu varlıkların sistemleri ve ağları. Ancak tasarının kapsamı ve dili oldukça tartışmalı oldu.

Destekçiler için önerilen mevzuat, kritik hizmetleri kesintiye uğratmadan veya ekonomiye veya ulusal güvenliğe zarar vermeden önce siber saldırılara hızlı bir şekilde karşı koymak için bilgi paylaşımını daha iyi etkinleştirmenin ve şirketlerin eylemleri için dava riski olmaksızın hem bilgi paylaşmalarına hem de savunma önlemleri almalarına olanak tanıyan bir araçtır. . Rakipler için, kişisel bilgilerin herhangi bir yargı denetimi olmaksızın paylaşılmasına izin veren, mevcut gizlilik yasalarından kaçınarak kişisel gizlilik haklarına zarar veren ve İnternet faaliyetlerinin hükümetin gözetimi gibi suistimallere davetiye çıkaran aşırı kapsamlı ve belirsiz bir mevzuat parçasıdır.

Herkes, potansiyel olarak yabancı güçlerden, teröristlerden , suçlulardan veya kötü niyetli diğerlerinden gelen siber saldırılara karşı savunmasız olduğumuzu ve bu saldırıların temel hizmetleri kesintiye uğratma potansiyeline sahip olduğunu kabul ediyor. Anlaşmazlıklar, bu tasarının sorunu gerçekten çözüp çözmediğinde ve iyiden çok zarar verip veremeyeceğinde yatıyor.

CISPA'nın ele alması gereken tehdit türleri ve faturanın kendisi hakkında daha fazla bilgi edinmek için okumaya devam edin.

1. CISPA'nın ne tür tehditlere karşı korunması amaçlanmaktadır?
2. Tasarının Tarihi
3. CISPA'nın Temel Hükümleri
4. CISPA neden bu kadar tartışmalı?
5. Daha Sorunlu Dil
6. CISPA'ya Karşı Destek ve Muhalefet Konusunda Yapılan Çalışmalar
7. CISPA'ya Alternatifler
8. Mevcut Durum

CISPA'nın korumayı amaçladığı hayati altyapı, elektrik, su ve kanalizasyon, ulaşım, iletişim, finansal ağlar ve devlet kurumları gibi hizmetleri içerir. Hemen hemen her şirket ve her yardımcı program ve hükümetin kendisi bugünlerde en azından kısmen çevrimiçidir ve yalnız bir bilgisayardan devasa bir ağa kadar İnternet'e bağlanan her şey, zayıflatıcı bir saldırıya karşı savunmasızdır.

Tasarı saldırı türleri hakkında ayrıntıya girmiyor, ancak birkaç yaygın olanı var: dağıtılmış hizmet reddi (DDOS) saldırıları, bir şirketin sunucularına çok sayıda istek gönderilerek meşru kullanıcılara hizmet kesintisine neden oluyor. ; bir sunucudan diğerine iletişimin kesildiği ve casusluk yapmak veya zararlı değişiklikler yapmak için bir saldırganın sunucusu üzerinden çalıştırıldığı ortadaki adam saldırıları; ve belirli şirketlere veya diğer kuruluşlara uzun vadeli hedefli saldırılar olan gelişmiş kalıcı tehditler (APT). Saldırganlar, hasara yol açmak veya yetkisiz erişim elde etmek için hedef bilgisayarlara virüsler, solucanlar, casus yazılımlar, truva atları ve diğer kötü amaçlı yazılımlar (kötü amaçlı yazılımlar) yüklemeyi hedefleyebilir.

Korsanlardan, kahramanın doğrudan şirket ve hükümet bilgisayar sistemlerini çevirdiği "Savaş Oyunları" filmi gibi açık saldırı girişimleri var. Kullanıcılar ve sistem yöneticileri, yazılım veya donanım güvenlik duvarları gibi doğrudan saldırılara karşı koruma yöntemlerine, virüsten koruma ve casus yazılımdan koruma yazılımlarına ve karmaşık parolalar veya çok faktörlü kimlik doğrulama gibi şeyleri içeren gelişmiş oturum açma yöntemlerine sahiptir.

Ne yazık ki pek çok sistem, farkında olmayan kişileri oturum açma bilgilerini sağlamaya veya kendi makinelerine kötü amaçlı yazılım yüklemeye kandıran sosyal mühendislik yöntemlerini kullanan saldırganlar tarafından ihlal ediliyor. Kimlik avı , e-postaların kötü amaçlı yazılım içeren dosya ekleriyle, yasal görünen ancak olmayan ancak kişisel bilgi talep etmeyen Web sitelerine bağlantılarla gönderildiği yaygın bir sosyal mühendislik yöntemidir. Bu dolandırıcılığın , saldırganların hedeflenen kurbanları hakkında bir şeyler bildiği ve bunu e-postanın meşru görünmesini sağlamak için kullanabildiği, hedefli kimlik avı adı verilen daha hedefli bir sürümü var .

Apple, Facebook ve Microsoft'taki (ve muhtemelen diğer şirketlerdeki) çalışanların, saldırıya uğramış popüler geliştirici sitelerinden virüslü yazılım indirdiklerinde avlandığı son vakada olduğu gibi, bir kullanıcının kendisinin aradığı yazılım bile kötü amaçlı yazılım içerebilir.

Kötü amaçlı yazılımlar bir bilgisayara veya muhtemelen tüm bir bilgisayar ağına bulaşabilir ve casusluk, kesinti veya diğer hain maskaralıklara izin verebilir. Bir bilgisayar, bot adı verilen bir şey yükleyerek ele geçirilebilir - belirli görevleri otomatik olarak çalıştıran ve dışarıdan bir kullanıcının, sahibinin haberi olmadan bilgisayarı kontrol etmesine izin veren bir yazılım. Bunlara bazen zombi bilgisayarlar denir . Başkalarına karşı saldırılar başlatmak için kullanılabilecek bu ele geçirilmiş makinelerin botnet adı verilen ağları var.

Son haberlerde kayda değer başka saldırılar da oldu. Mandiant adlı bir siber güvenlik şirketinin yaptığı bir araştırmaya göre, Çin'deki bilgisayar korsanları, belli başlı gazetecilerin yüksek rütbeli bir Çinli yetkili hakkında yazan e-postalarını gözetlemek için New York Times ağına girdiler. Bloomberg News'e karşı da benzer bir girişimde bulunuldu. Mandiant'a [kaynak: Bodeen ] göre diğer şirketlere yönelik saldırılar da Çin'e kadar izlendi .

Dünyanın en büyük petrol üreticisi Saudi Aramco, şirketteki yaklaşık 30.000 bilgisayardaki verileri yanan bir ABD bayrağı resmiyle değiştirerek makineleri işe yaramaz hale getiren bir virüsle saldırıya uğradı. Bu saldırılar, internete bağlı olmadığı anlaşılan bir bilgisayara izlendi ve bunun bir içeriden iş olduğu yönünde spekülasyonlara yol açtı.

Siber saldırılar, becerilerini göstermek isteyen kişiler, fikri mülkiyet veya finansal bilgileri çalmak isteyen suçlular, ortalığı kasıp kavuran terörist gruplar ve hatta casusluk veya askeri faaliyetler için hükümetler tarafından gerçekleştirilebilir. Bazen potansiyel güvenlik sorunlarına işaret etmek isteyen aktivistler veya kişiler tarafından yapılan ihlaller de olabilir. Daha kötü niyetli siber saldırıların maliyeti çok büyük olabilir ve ticari sırların ve diğer verilerin kaybını, finansal hırsızlığı ve temizlik maliyetini içerebilir ve diğer şeylerin yanı sıra enfekte sistemlerin onarımı. Riskler ayrıca hepimizin bağlı olduğu hizmetlerin aksamasını da içerir.

Orijinal CISPA, 30 Kasım 2011 tarihinde, House Intelligence Committee'nin başkanı olan Michigan'lı Cumhuriyetçi Mike Rogers tarafından HR 3523 olarak tanıtıldı ve aynı komitenin en değerli üyesi olan Maryland'den Demokrat Dutch Ruppersberger ve daha fazlasının ortak sponsorluğunda yapıldı. Demokrat ve Cumhuriyetçi 20'den fazla temsilci. Büyük telekomünikasyon ve teknoloji şirketleri de dahil olmak üzere birçok şirketin desteğine sahipti , ancak sivil özgürlük gruplarının birçok muhalefetiyle karşı karşıya kaldı. 25 Nisan 2012'de Başkan Obama'nın yönetimi, çekirdek altyapıyı siber tehditlerden korumaya yetmediği ve kişilerin mahremiyetini, veri gizliliğini ve sivil özgürlüklerini koruyamadığı için tasarıyı veto edeceği tehdidinde bulundu.

40'tan fazla değişiklik önerildi. Mahremiyet yanlısı birçok değişiklik 25 Nisan'da İç Tüzük Komitesi tarafından reddedildi. Ulusal Güvenlik Ajansı (NSA) veya İç Güvenlik Bakanlığı'na (DHS) ek gözetim yetkisine izin veren bir değişiklik 26 Nisan'da geri çekildi. Birkaç değişiklik kabul edildi. , orijinal fatura 11 sayfadan 27 sayfaya çıkarıldı. Bunlar aşağıdakileri içeriyordu:

HR 3523'ün değiştirilmiş versiyonu 26 Nisan 2012'de ABD Temsilciler Meclisi'nde 248'e 168 oyla kabul edildi, ancak ABD Senatosunda hiçbir zaman oylanamadı.

CISPA, Şubat 2013'te Senatörler Rogers ve Ruppersberger tarafından farklı bir fatura numarası olan HR 624 ile evde yeniden tanıtıldı. 2012'de Meclis'ten geçen HR 3523 sürümüyle neredeyse aynı.

CISPA, tamamen hükümet ve özel kuruluşlar arasında ve özel kuruluşlar ile diğer özel kuruluşlar arasında siber tehditle ilgili bilgilerin paylaşılmasına odaklanır. Devlet kurumlarının hem sınıflandırılmamış hem de sınıflandırılmamış bilgileri özel şirketler ve kamu hizmetleri ile paylaşması için hükümler koyar. Gizli bilgiler için, bilgi alan kuruluşların veya kişilerin sertifikalı olması veya güvenlik iznine sahip olması gerektiğini belirtir ve bu kuruluşlar içindeki kişilere geçici veya kalıcı güvenlik izni verilmesi için hükümler koyar.

Ayrıca, onları korumak için bu şirketler tarafından işe alınan siber güvenlik firmaları da dahil olmak üzere, özel varlıklar ve diğer özel varlıklar arasında bilgi paylaşımına izin verir. Ve özel kuruluşların siber tehditler hakkındaki bilgileri federal hükümetle paylaşması için hükümler koyar ve bu tür bilgileri alan herhangi bir kurumun bunu DHS'nin Ulusal Siber Güvenlik ve İletişim Entegrasyon Merkezi'ne göndermesi gerektiğini belirtir.

CISPA, Bilgi Edinme Özgürlüğü Yasası ve eyalet, yerel ve kabile hükümetleri tarafından çıkarılan benzer yasalar uyarınca paylaşılan bilgileri ifşa etmekten muaf tutar. "iyi niyetle" hareket etmeleri koşuluyla, siber tehdit bilgilerini veya siber tehdit bilgilerine dayanarak aldıkları herhangi bir karar için tanımlama veya elde etme. Bununla birlikte, bir devlet kurumu , yasa tasarısında belirtilen bilgi ifşa ve kullanım kurallarını "kasten veya isteyerek" ihlal ederse, ihlal tarihinden itibaren iki yıllık bir zaman aşımı süresiyle dava edilebilir.

Tasarı, federal hükümetin kendisiyle paylaşılan bilgileri nasıl kullanabileceğine dair sınırlar içeriyor. Verilen beş meşru kullanım şunlardır: siber güvenlik amaçları; siber güvenlik suçlarının soruşturulması ve kovuşturulması; bireylerin ölümden veya ciddi bedensel zararlardan korunması; küçüklerin çocuk pornografisinden, cinsel istismardan ve diğer ilgili suçlardan korunması; ve ulusal güvenliğin korunması. Hükümetin, siber güvenlik suçlarının soruşturulması ve kovuşturulması dışında herhangi bir amaçla bilgileri olumlu olarak araştırması ve bilgileri bir önceki cümlede belirtilenler dışında herhangi bir amaçla saklaması veya kullanması kısıtlanmıştır. CISPA ayrıca hükümetin kütüphaneyi kullanmasını özellikle kısıtlar dolaşım kayıtları, kütüphane kullanıcı listeleri, kitap satış kayıtları, müşteri listeleri, ateşli silah satış kayıtları, vergi iadesi kayıtları, eğitim kayıtları ve tıbbi kayıtlar.

Tasarıda, federal hükümetle siber tehditlerle ilgili olmadığını belirlediği bilgiler paylaşılırsa, hükümetin bilgiyi sağlayan kuruluşu bilgilendirmesi gerektiği belirtiliyor.

CISPA ayrıca belirli devlet kurumları tarafından geliştirilmesi ve yayınlanması gereken prosedürleri ve raporları da belirler.Özel kuruluşlardan gelen tüm bilgi paylaşımını, katılmamayı seçmenin cezası olmaksızın gönüllü hale getirir ve tasarının herhangi bir ödeme yapma girişimi olmadığını beyan eder. İstihbarat topluluğunun unsuru, herhangi bir özel veya devlet kurumunun siber güvenlik çabalarını dikte etme hakkı.

Tasarıda tanımlanan siber güvenlik amaçları şunları içerir: güvenlik açıklarına karşı koruma çabaları; bütünlük, gizlilik veya kullanılabilirliğe yönelik tehditler; erişimi reddetme, bozma, bozma veya yok etme çabaları; ve sistemlere ve ağlara ve bunlarda depolanan, işlenen veya bunlar üzerinden geçen her türlü bilgiye yetkisiz erişim elde etme çabaları. Bu, bilgi sızdırma (veya kaldırma) için yetkisiz erişimi açıkça içerir, ancak yalnızca tüketici hizmet şartlarının veya lisans sözleşmelerinin ihlalini içeren yetkisiz erişimi hariç tutar. Siber güvenlik sistemlerinin ve siber tehdit istihbaratının tanımları benzer bir dil içerir.

CISPA, gizlilik , şeffaflık, yargı denetimi eksikliği ve siber güvenlik kisvesi altında vatandaşların İnternet faaliyetlerinin gözetimi için kullanılması olasılığı, ulusal güvenlik ve diğer belirsiz tanımlanmış terimler dahil olmak üzere çeşitli nedenlerden ötürü çok fazla boşa çıkmıştır .

Sorunlardan biri, paylaşılabilecek veri türlerini katı bir şekilde tanımlamak yerine "siber tehdit istihbaratı" gibi genel terimleri kullanmasıdır; bu, şirketlerin kişisel olarak tanımlayıcı bilgiler (PII), özel bilgiler de dahil olmak üzere her türlü bilgiyi elde etmesine ve paylaşmasına potansiyel olarak izin verebilir. iletişim ve benzerleri. CISPA, özel kuruluşların, hükümetin paylaştıkları verileri anonimleştirmesi, küçültmesi veya başka şekilde kısıtlaması konusunda ısrar etmesine izin verir, ancak şirketlerin bu tür kısıtlamalar yapmasını gerektirmez.

Federal hükümetin paylaşılan bilgileri kullanmasıyla ilgili alt bölümde, mahremiyet ve sivil özgürlükleri ele alan bir paragraf var, ancak şöyle diyor: "Federal Hükümet, Federal sistemleri ve kritik bilgi altyapısını siber güvenlik tehditlerinden koruma ihtiyacıyla tutarlı olabilir ve Bu tür tehditleri azaltmak için, siber tehdit bilgilerinin bu alt bölüm uyarınca Federal Hükümet ile paylaşılmasının mahremiyet ve sivil özgürlükler üzerindeki etkisini sınırlamak için makul çabayı gösterin. " "Olabilir" kelimesinin kullanılması, kulağa gönüllü geliyor ve bu çabaların neyi gerektirebileceğine dair başka bir tanım yok. Bilginin hükümetin kullanımına ilişkin yıllık bir raporun oluşturulmasıyla ilgili bölümde, yasa tasarısı "etkiyi belirlemeye yönelik ölçütler,mahremiyet ve varsa sivil özgürlükler hakkında "ancak bu bilginin nasıl kullanılacağına dair hiçbir söz yoktur.

Tasarı, "iyi niyetle" hareket etmeleri koşuluyla, bilgileri uygunsuz bir şekilde yaptıkları ortaya çıksa bile, bilgi paylaşan şirketlere yasal dokunulmazlık sağlıyor. Ayrıca "siber tehdit bilgilerine dayalı olarak alınan kararlar için" dokunulmazlığa izin verir, ancak "alınan kararları" tanımlamaz. Şirketlerin bakış açısına göre bu, siber tehdit bilgilerini özgürce paylaşmalarına ve maliyetli davalar konusunda endişelenmeden bu bilgilere göre hareket etmelerine olanak tanır , ancak bir bireyin veya kuruluşun herhangi bir zarar için dava açma hakkını tamamen kısıtlayabilir, çünkü zordur. birisinin iyi niyetle hareket etmediğini kanıtlamak için. Bu bağışıklığın, şirketlerin bilgi toplamak veya sistemlerini bozmak için şüpheli bir saldırganın misilleme yoluyla hacklenmesi gibi şeyler yapmasına da izin verebileceği tartışılmıştır.

CISPA'nın ifadelerinin bir başka tartışmalı yönü, bir dizi gizlilik yasasının yerine geçmesi gereken potansiyeldir.

CISPA, Telefon Dinleme Yasası, Kablolu İletişim Yasası, Video Gizliliği Koruma Yasası, Saklanan İletişim Yasası ve Elektronik İletişim Gizliliği Yasası dahil olmak üzere birçok mevcut gizlilik yasasını geçersiz kılan "başka herhangi bir yasa hükmüne bakılmaksızın" terimi aracılığıyla yargı denetiminden potansiyel olarak kaçınıyor - kişisel bilgilerin paylaşımına ilişkin kurallar ve gözetim sağlayan eylemler. CISPA durumunda, hükümetin kişisel bilgileri elde etmesi için herhangi bir garanti gerekli değildir.

Bireyler, bilgilerini isteyerek kötüye kullanırlarsa hükümete dava açabilecek olsalar bile, böyle bir şeyin gerçekleştiğini bulmak çok zor olabilir. Hükümete siber tehdit içermeyen bilgiler gönderilse bile, hükümetin yalnızca gönderen kuruluşu bilgilendirmesi gerekir ve hiç kimsenin verileri paylaşılan kişiyi bilgilendirmesi gerekmez. Ve paylaşılan bilgiler, Bilgi Edinme Özgürlüğü Yasası ve diğer benzer ifşa yasaları kapsamında ifşa edilmekten muaftır. Paylaşıma işaret eden bazı bariz zararlar olmalı ve federal hükümetin zaman aşımı nedeniyle verileri kötüye kullandığı tarihten sonraki iki yıl içinde ortaya çıkması gerekecekti.

CISPA, alıcı kurumların bilgileri diğer kurumlarla paylaşabilecek olan DHS'nin Ulusal Siber Güvenlik ve İletişim Entegrasyon Merkezi'ne vermesi şartının yanı sıra, bilgilerin hangi devlet kurumlarına teslim edilebileceğini tanımlamaması veya sınırlamaması nedeniyle de saldırı altındadır. Bilgi, istihbarat teşkilatları da dahil olmak üzere federal hükümetin herhangi bir dairesine yasal olarak verilebilir. Tasarıda belirsiz bir şekilde tanımlanan "siber güvenlik amaçları için" ve "Amerika Birleşik Devletleri'nin ulusal güvenliğini korumak için" dahil olmak üzere hükümetin bilgileri nasıl kullanabileceği de geniş bir şekilde tanımlanmıştır. Ulusal Güvenlik Yasası.

Tasarıda teknolojiyle ilgili terimlerde dikkate değer bir eksiklik var. "Bilgisayar" kelimesi, yalnızca "siber güvenlik suçu" tanımında, bilgisayar suçlarını olası ihlaller listesine dahil etmek için kullanılır. Aksi takdirde, HR 624, biraz belirsiz olan "sistemler ve ağlar" olarak korunan şeylere atıfta bulunur. "Çevrimiçi", " İnternet ", "Web", "dijital", "bilgi teknolojisi" ve hatta "teknoloji" sözcükleri ve deyimleri asla kullanılmamaktadır.

Tasarının orijinal versiyonu, siber güvenlik amaçlarından biri olarak fikri mülkiyet hırsızlığını içeriyordu. Bu, CISPA'nın en son sürümünden kaldırılmıştır ve siber tehdit bilgilerinin, tüketici hizmet şartlarının veya lisans anlaşmalarının ihlallerini içeren erişim elde etme çabalarını içermediğini belirten bir dil eklenmiştir. Bununla birlikte, bazı gruplar hala telif hakkı ihlali gibi şeylerin peşinde koşmak için kullanılabileceğinden korkuyor .

CISPA, hükümetin insanların çevrimiçi faaliyetlerini ve dijital verilerini doğrudan izlemesi için yasal araçlar sağlamaz, ancak şirketlerin siber tehdit bilgileri olarak gördükleri tanımlanmamış tür ve miktarları gönüllü olarak federal hükümete vermesine izin verir ve hükümetin tutabileceği ve bu verileri siber güvenlik, ulusal güvenlik ve diğer birkaç suçun soruşturulması için kullanın. Bu ve herhangi bir kuruma verilebileceği gerçeği şaşkınlığa neden oluyor çünkü bu, istihbarat kurumlarının kişisel bilgilere bir tür yandan erişime izin verebilir.

Gelişmekte olan tehditler hakkında bilgi paylaşımının, bilgisayar sistemlerini ve ağları sürekli büyüyen saldırı tehdidinden koruma mücadelesinde önemli olmadığını, ancak paylaşılan bilgi türlerine ve hangi varlıklarla sınırlamalar getirmeye yönelik tartışmalar yapılıyor. paylaşılabilir. CISPA destekçileri, tasarının gözetim amaçlı olmadığını ve şirketleri dava korkusu olmadan bilgi paylaşmaya teşvik etmek için dokunulmazlıkların gerekli olduğunu söylüyorlar. Muhalifler, şu anda yazıldığı gibi, özel hayatın gizliliği ve sivil özgürlüklere yönelik risklerin çok büyük olduğunu savunuyorlar.

Bazı özel şirketler ve ticaret birlikleri CISPA'yı desteklediklerini ifade ettiler. Birçoğu, AT&T, Verizon, US Telecom, Comcast, Time Warner Cable, National Cable & Telecommunications Association, Edison Electric Institute, Financial Joint dahil olmak üzere HR 3423, HR 624 veya her ikisi için ABD Temsilciler Meclisine destek mektupları gönderdi. Ticaret, Finansal Hizmetler Yuvarlak Masası, Boeing, Lockheed Martin, IBM, Intel, Oracle, Symantec, Microsoft, Facebook, TechAmerica, Internet Security Alliance, Juniper Networks, Ulusal Kablo ve Telekomünikasyon Derneği ve Ticaret Odası. Facebook ve Microsoft, protestolardan sonra biraz geri adım attılar ve gizlilikle ilgili endişeleri ele alan nihai yasadaki değişiklikleri destekleyeceklerini belirtti veya ima etti.

Destek mektupları, siber tehdit istihbaratının özel kuruluşlarla zamanında paylaşılmasının önündeki mevcut engelleri ortadan kaldırdığı , özel şirketlere düzenleyici yükler getirmediği ve onları anlamsız davalardan ve bilgi paylaşımına ilişkin yasal belirsizlikten koruduğu için övgü içerir .

Ancak, Electronic Frontier Foundation, American Civil Liberties Union, Access Now, American Library Association, Society of American Archivists, the Society of American Archivists, Cato Institute, Center dahil olmak üzere gizlilik ve sivil özgürlüklerle ilgilenen bazı şirketler ve kuruluşlar CISPA aleyhine şiddetle konuştular. Demokrasi ve Teknoloji için, Eğlence Tüketicileri Derneği, Güneş Işığı Vakfı, Sınır Tanımayan Gazeteciler, Profesyonel Gazeteciler Derneği, Rutherford Enstitüsü, Cumhuriyet Özgürlük Grubu, Mozilla ve Teknoloji Özgürlüğü vb. Endişelerini dile getiren kayda değer kişiler arasında, tasarıyı "Büyük Kardeş büyük yazar" olarak nitelendiren eski Temsilci ve Başkan adayı Ron Paul ve World Wide Web'in mucidi Tim Berners-Lee bulunmaktadır.. Ve tabii ki, Başkan'ın veto tehdidi vardı.

EFF ve diğer bazı muhalif gruplar, CISPA'yı protesto etmek için 2012 yılının Nisan ayı ortasında bir "Eylem Haftası" düzenlediler ve bu sırada insanlardan dilekçeleri imzalamalarını, Kongre üyelerine çağrı yapmalarını ve tweet atmalarını ve aksi takdirde tasarıyı muhalefet etmelerini isteyen bir taban kampanyası düzenlediler. İlk turda yaklaşık bir milyon kişi bunu yaptı, ancak bu etkinliğe rağmen, CISPA birkaç değişiklikle de olsa Mecliste geçti.

2013 ilkbaharının başlarından itibaren, tasarıyı yeniden protesto etmek için benzer baskılar yapılıyor. CISPA'nın Meclise yeniden tanıtılmasından sonraki bir gün içinde, yüz binlerce çevrimiçi imzanın toplandığı ve ABD Temsilciler Meclisi İstihbarat Komitesine teslim edildiği bildirildi. Konunun her iki tarafındaki güçlü tartışmaların sonunu muhtemelen duymadık.

Senato'da sunulan iki yasa tasarısı ve Başkan Obama tarafından yayınlanan bir Yönetici Kararı da dahil olmak üzere CISPA'ya bazı önemli alternatifler ortaya kondu .

Senato kanunlarından biri, Senatörler Joe Lieberman (I-CT), Susan Collins (R-ME) ve diğer üç senatör tarafından sunulan Siber Güvenlik Yasasıdır (S. 3414). CISPA'dan çok daha uzun (200 sayfadan fazla) ve daha detaylı bir fatura, özel kuruluşlara ve federal hükümete siber tehditlerle ilgili bilgileri paylaşmanın yollarını açan, DHS'nin kapsamına paylaşımın gözetimini koyan ve aynı zamanda Gönüllülük temelinde izlenecek, ancak özel kuruluşlar tarafından uyumluluk için teşviklerle siber güvenlik yönergeleri oluşturmak. Bilgisayar sistemindeki güvenlik açıklarını değerlendirmek ve yönergeleri ortaya çıkarmak için özel sektörle koordinasyon sağlamak üzere birden fazla kurumdan (hem sivil hem de askeri) temsilcilerden oluşan Ulusal Siber Güvenlik Konseyi'ni (NCC) oluşturur.

Siber Güvenlik Yasası, yalnızca sivil (askeri olmayan) kuruluşların paylaşılan siber tehdit bilgilerine erişiminin sağlanması ve ilk değişiklik korumalı faaliyetlerin kritik siber kategoriler olarak tanımlanmasının engellenmesi dahil olmak üzere, mahremiyet ve sivil özgürlüklere daha fazla koruma içerecek şekilde değiştirildi. altyapı . Ayrıca, paylaşılan siber güvenlik bilgilerinin olası kullanımlarından biri olarak ulusal güvenliği içermez, ancak federal hükümetin CISPA kapsamında izin verilen diğer üç nedenden dolayı bilgileri kullanmasına izin verir.

Senatör John McCain (R-AZ) ve sponsorluk yapan birkaç senatör tarafından sunulan rakip yasa tasarısı Araştırma, Eğitim, Bilgi ve Teknolojiyi Kullanarak Siber Güvenliği Güçlendirme ve Geliştirme Yasası (SECURE IT Act, S. 3342) olarak adlandırılıyor. Ayrıca CISPA'dan daha ağır bir fatura ve 100'den fazla sayfadan oluşuyor. Siber tehditler konusunda birden çok devlet kurumu ve özel kuruluş arasında bilgi paylaşımını kolaylaştıracak, siber suçlarla ilgili cezai cezaları güçlendirecek, ağ oluşturma ve bilgi teknolojisi araştırma ve geliştirme ve araştırma paylaşımını teşvik edecek ve Ticaret Bakanlığı, İç Güvenlik Bakanlığı ve Ulusal Güvenlik Ajansı (NSA) siber güvenlik çabalarıyla ilgili politikaları koordine edecek. CISPA ile aynı eleştirilerin çoğuyla karşı karşıya kaldı,Siber tehdit bilgilerinin aşırı geniş bir tanımına sahip olması da dahil olmak üzere, paylaşılabilecek bilgi türlerine ve bunların nasıl kullanılabileceğine (siber güvenlik amaçları, ulusal güvenlik amaçları ve bir dizi cezai önleme, soruşturma ve kovuşturma amaçları dahil) birkaç sınırlama koymaktadır. , şirketlerden dava yükümlülüğünün kaldırılması ve paylaşılan bilgilerin Bilgi Edinme Özgürlüğü Yasası'ndan muaf olması gibi benzer "başka herhangi bir kanun hükmüne bakılmaksızın" dil ve gözetim konuları. Sivil olmayan bir kuruluşu (NSA) bilgi paylaşımından sorumlu tuttuğu için de eleştiriliyor.soruşturma ve kovuşturma amaçları), şirketlerden dava yükümlülüğünün kaldırılması ve paylaşılan bilgilerin Bilgi Edinme Özgürlüğü Yasası'ndan muaf tutulması gibi benzer "herhangi bir kanun hükmüne bakılmaksızın" dil ve gözetim konuları. Sivil olmayan bir kuruluşu (NSA) bilgi paylaşımından sorumlu tuttuğu için de eleştiriliyor.soruşturma ve kovuşturma amaçları), şirketlerden dava yükümlülüğünün kaldırılması ve paylaşılan bilgilerin Bilgi Edinme Özgürlüğü Yasası'ndan muaf tutulması gibi benzer "herhangi bir kanun hükmüne bakılmaksızın" dil ve gözetim konuları. Sivil olmayan bir kuruluşu (NSA) bilgi paylaşımından sorumlu tuttuğu için de eleştiriliyor.

2013'ün başlarında, Senato yasa tasarısı kabul edilmedi, ancak CISPA'nın Mecliste dirilişinin ardından, Başkan Obama, siber tehditlerle ilgili bilgilerin zamanında paylaşılması da dahil olmak üzere önerilen siber güvenlik yasalarının bazı temellerini kapsayan bir Yönetici Kararı (EO) yayınladı. federal hükümetten siber güvenlik hizmetleri sağlayan kritik altyapı kuruluşlarına ve şirketlere. Diğer yönde (özel şirketlerden kamu kuruluşlarına) yeni bilgi paylaşımına izin vermez. Savunma Bakanlığı (DoD) ve DHS'nin gizli olmayan siber güvenlik bilgilerini savunma müteahhitleri ve benzerleriyle paylaşmasına izin vermek için uygulamaya konulan Gelişmiş Siber Güvenlik Hizmetleri programı adı verilen mevcut bir Savunma Sanayi Üssü (DIB) bilgi paylaşım programını gerektirir. ,ve diğer devlet kurumlarını ve kritik altyapı sektörlerini kapsamasına izin vererek genişletiyor. CISPA gibi, EO da kritik altyapı personelinin gizli bilgilerin paylaşımı için güvenlik izni alması için bir yol oluşturuyor. Ulusal Standartlar ve Teknoloji Enstitüsü'nü (NIST) ve diğerlerini, altyapıya yönelik siber tehdit risklerini azaltmaya yardımcı olacak bir siber güvenlik uygulamaları çerçevesi oluşturmak için endüstri uzmanlarıyla işbirliği içinde çalışmakla görevlendirir ve DHS'yi çerçevenin benimsenmesini teşvik etmek için teşvikler geliştirmeye çağırır.Ulusal Standartlar ve Teknoloji Enstitüsü'nü (NIST) ve diğerlerini, altyapıya yönelik siber tehdit risklerini azaltmaya yardımcı olacak bir siber güvenlik uygulamaları çerçevesi oluşturmak için endüstri uzmanlarıyla işbirliği içinde çalışmakla görevlendirir ve DHS'yi çerçevenin benimsenmesini teşvik etmek için teşvikler geliştirmeye çağırır.Ulusal Standartlar ve Teknoloji Enstitüsü'nü (NIST) ve diğerlerini, altyapıya yönelik siber tehdit risklerini azaltmaya yardımcı olacak bir siber güvenlik uygulamaları çerçevesi oluşturmak için endüstri uzmanlarıyla işbirliği içinde çalışmakla görevlendirir ve DHS'yi çerçevenin benimsenmesini teşvik etmek için teşvikler geliştirmeye çağırır.

EO da Sivil Haklar ve Sivil Özgürlükler Baş Gizlilik Görevlisi ve Memur çağrısı DHS gizlilik ve sivil özgürlükler riskleri değerlendirmek ve en aza indirmek ve bu riskleri azaltmak için nasıl önerilerde bulunmak. Bu amaçla siber güvenlik faaliyetlerini değerlendirmek için Adil Bilgi Uygulama Prensiplerini (FIPP) ve diğer ilgili politikaları kullanacaklar ve değerlendirmeleri kamuya açıklanacak.

CISPA bir kez daha değerlendirmeye alındığından, henüz rakip siber güvenlik faturaları geçmediğinden ve siber tehditler yükselişte göründüğünden, siber güvenliğin en iyi nasıl ele alınacağına, özellikle de özel sektörden hükümete bilgi paylaşımına ilişkin tartışmalar sona ermiş değil. Ancak belki de tüm heyecan verici tartışmalar ve harekete geçirme çağrıları, gerçek korumalar sağlarken çok fazla ve çok az paylaşım arasındaki çizgiyi en iyi şekilde aşmak için nihayetinde geçirilen yasalar ne olursa olsun yardımcı olacaktır.

Yazarın Notu: CISPA Nasıl Çalışır?

Bir BT çalışanı, bir yazar ve yoğun bir İnternet kullanıcısı olarak, bilgisayarlarımızın ve ağlarımızın güvenliği konusunda endişeliyim. Tanrım, verilerimin çalınmasını veya bir siber saldırının interneti veya elektriği kesmesini istemediğimi biliyor. Bir makale yazarken, e-postayı kontrol ederken ve Huysuz Kedi resimleri için internette gezinirken, Netflix'te bütün bir "Downton Abbey" sezonunu nasıl izlerim?

Ama mahremiyet konusunda da aynı derecede endişeliyim. Verilerim ne kadar az ona bakmayı düşünmediğim insanlara akarsa, o kadar iyidir. NSA'nın benim kısa öykülerimden birini nasıl yorumlayacağına dair hiçbir şey yok.

Bu faturaları okumak ve ifade sorunları nedeniyle neyin yanlış gidebileceğini düşünmek oldukça büyüleyiciydi. Eminim ki tüm bu tür yasaları hazırlayanlar, güvenlik tehditlerini proaktif olarak ortadan kaldırmaya çalışan iyi niyetli insanlardır. Ancak "iyi niyetli", yasal açıdan "iyi niyet" kadar anlamına gelir. Her gün haberlerde hatırlatıldığı gibi, gezegendeki herkesin iyi niyeti yoktur ve kötü ya da sadece yanlış amaçlarla kullanılabilecek herhangi bir şey muhtemelen bir noktada olacaktır. Bu yüzden, umarım yasa tasarısı ne olursa olsun, son derece iyi düşünülmüş ve endüstri, sivil özgürlük ve hukuk uzmanları tarafından incelenmiştir. Huysuz Kedi için interneti güvende tutun.

İlgili Makaleler

Kaynaklar