CISPA法案が上院に到着したときのプライバシーとサイバーセキュリティ

更新：木曜日、US Newsは、米上院商工会議所の非公式代表者のコメントを引用して、CISPAは「ほぼ確実に棚上げされる」と報告した。 CISPAは議論の余地があり、あまりにも広範であり、昨年上院が計画しているのと同じ種類のプログラムではない」と語ったACLUの立法顧問、Michelle Richardson氏は言いました。リチャードソン氏によると、新しい法案が採決されるまで数ヶ月かかることがあると推定されています。

サイバーセキュリティとオンラインプライバシーは、決して進まない運命の2つの重要な利益です。確かに、悪意のあるハッカー、スパム発信者、その他のインターネットローリーが正義に遭うことを望んでいるが、オンラインデータを保護したいと考えている。それをスキャンして、疑わしい活動の難しい針を探します。あなたのオンラインデータは、これらのファイルの1つに掃引してスキャンすることができます。

[その他の情報：Windows PCからマルウェアを削除する方法]サイバーセキュリティの仕組みを理解するための第一歩は、オンラインデータがスキャンされることを受け入れることです。そのため、先週米国下院を通過し、現在上院議員が検討中のサイバー・インテリジェンス・シェアリング・アンド・プロテクション法（CISPA）に注目したいと考えている。 CISPAは現在、サイバーセキュリティ調査者間のデータ共有を管理する制限を緩和することを目指しています。それは十分に妥当と思われるかもしれませんが、データの扱い方、具体的な内容、個人の識別可能な情報（PII）の最小限度について議論が起こります。また、法案は訴訟データを共有する政府および民間企業のためのものです。

データがスキャンされて共有される場合ではない場合

サイバーセキュリティの仕組みを理解するための第一歩は、オンラインデータが既にスキャンされていることを承認することです。政府、法執行機関、民間企業はすべて疑わしいインターネット活動を目にしています。 Twitterなどのサイトへのスパマー、ボットネット、悪意のあるハッキングは、広範なサイバー犯罪のカテゴリに分類されます。

CISPAは、「サイバー脅威情報」と見なされるデータを民間企業に共有させる。

CISPAは、「サイバー脅威情報」と見なされるデータを共有できるようにする。 CISPAは、犯罪を解決するのに役立つ「サイバー脅威情報」と呼ばれるものとしてデータが適格であれば、民間企業が法執行官や政府機関とデータを共有できるようにする。電子プライバシー情報センターの国家安全保障担当者であるJeramie Scott氏は、この用語の曖昧さはプライバシーの問題の大きな部分であると述べています。 「ネットワークに脆弱なものやネットワークの完全性への脅威などの用語を、民間セクターに解釈させるために民間部門に委ねられている定義で使用している」とスコット氏は指摘する。データを扱う定義はあいまいである

CISPAの曖昧さは、民間企業に情報を過剰に見せるための多くの揺れの余地を与えます。 Scott氏は、「ソーシャルネットワーキングサイトにサービス拒否攻撃があるとします。 「このサイトは、政府にもっと関連性の高い診断情報を提供するだけかもしれないが、影響を受けるすべてのプロファイル（例えば、あなたが接続している人物、プロフィールの詳細など）に関する個人情報を提供することもできる。ソーシャルネットワークは「サイバー脅威情報」の情報部分とみなされていました。 "

アメリカ市民自由連合（American Civil Liberties Union）の法律顧問Michelle Richardsonによれば、あなたがナイジェリアから受け取ったすべての愚かな迷惑メールは、さらなる調査のためにあなたのデータを公正なゲームにすることができます。 「これは法案の下でのサイバーセキュリティイベントである毎日の出来事です」とRichardson氏は言います。 Electronic Frontier Foundationの活動主義ディレクター、Rainey Reitmanによると、サービスは「サイバー脅威情報」とみなされ、「誠意を持っていれば」、

ACLUのリチャードソン氏は、CISPAの下では、データ共有が円滑で滑らかなものになると付け加えています。リチャードソン氏は、政府が具体的に情報を要求するプロセスを進めるのではなく、「政府に自動的に情報を転送する何らかのプロセスについて話している」と述べている。

データが自動的にルーティングされる場合、 PIIがデータから取り除かれる時期と方法がより大きな問題になります。残念ながら、ユーザーIDを完全に匿名にするという話はありません。いいえ、CISPAの背後にいる人々は、PIIを取り除くために妥当な努力を払うだけの「最小化」に満足しています。 EPICのスコット氏は、「サイバー脅威情報」の定義が再び出てくるところは次のとおりです。「CISPAは、広範な傘下にある限り、政府に提供される情報を削除するか、サイバー脅威情報の重要性を認識しています」。セキュリティ専門家は、個人情報ではなく傾向、特定の行動の蔓延、マルウェアの伝播パターンを探します。 -David LeDuc、SIIA

提供している会社がPIIを共有しているデータから削除するのは理にかなっているようですが、CISPAの下ではその作業は政府に委ねられます。 David LeDucは、CISPAをサポートするソフトウェア開発者およびデジタルコンテンツビジネスを代表する主要な貿易グループであるソフトウェア&情報産業協会の公共政策のシニアディレクターです。 LeDucは、サイバー犯罪との戦いに専門家が関与していることではなく、サイバーセキュリティにおけるPIIの重要性を軽視している。 「セキュリティ専門家は、個人情報ではなくマルウェアの伝播パターンや特定の行為の流行」を指摘しています。LeDucは、CISPAは、政府ベースの最小化をオプションにすることからそれは必須です。 「連邦政府は、サイバー脅威に対応する必要のない特定の人々に関する情報を取り出すために、民間部門から受け取る情報を最小限に抑えなければならない」と述べている[

]。しかし、この改正は、民間企業間で共有されるデータ。政府だけがCISPAの下でPIIを最小限に抑えるという仕事をしているので、民間企業は最小化に努力することなくPIIに富んだデータを共有することができる。 CISPAの下院議員が投票する前に、議長のアダム・シフ（D-California）は彼の不満を明らかにした。 「民間企業は、政府を通らずに情報を共有することができる」と同氏は語った。 "そのような状況では、政府はそれが決して持っていないものをどのように最小限に抑えることができますか？この法案全体である政府サイドの最小化だけでは十分ではない」と述べた。シフ議員は、この抜け穴に対処するための改正案を発表したが、CISPAのスポンサーは、

民間企業が気にかけていること：訴訟

CISPAが本当に目にしていることは、データを提供する企業を訴訟から守ることです。 SIIAのLeDuc氏は、消費者がCISPAについて最も知っていることが何だったかを聞かれたとき、責任リスクはサイバーセキュリティの努力を妨げていると言いました。 「残念ながら、現在の法的枠組みの下で、企業や民間企業は、サイバーセキュリティの脅威や事件の防止や緩和に有益と思われる情報を共有するための規制や法的措置のリスクに直面しています。私たちの大半は、データが使用されているか誤用されているかどうかはわかりませんが、私たちを噛んで戻ってこない限りはわかりません。

訴訟の見通しは幾分異例です。結局のところ、これらの巨大なデータスキャンの努力で、私たちの咬傷に戻らない限り、私たちのほとんどはデータが使用されているのか誤用されているのか分かりません。しかし、それが起こるならば、法的手段のためのプロセスを持つことはいいことでしょう。ここでもまた、CISPAの曖昧な言葉はプライバシーをより守るのをより困難にします。 ACLUのリチャードソン氏は、「あなたが共有できるだけでなく、共有された情報に基づいて決定を下すことで予防接種を受けることもできます。彼らは実際には、「意思決定」という言葉を実際に使用していますが、それは信じられないほど広いです」。

「善意」は多くの善意の被害をカバーしています。

しかし、SIIAのLeDucはプロセスがあると主張します。 「個々の市民は、裁判所を訴訟や訴訟の能力を失うことはありません。 「会社が「善意」で行動しないことが判明した場合は、個人への害に対して責任を負う可能性が高い」EFFのライトマンは、「善意」の表明は容易に過ぎ去る可能性があると述べている遠い責任から保護され、企業はより多くのデータをより自由に共有することができます。たとえば、Reitmanは次のように述べています。「Netflixにつながる3週間のうちに映画を見たすべての人の名前、クレジットカード番号、自宅の住所、アカウントの活動のリストを政府に与えることができますCISPAは現在、国土安全保障省などの機関による民間のデータ共有の監視を提供しているが、データが軍事機関に渡された場合、監督は終了する。

彼らがそのデータを使って何をしたかを知ってください」とReitman氏は言います。 「これは誠実だとは思わないが、顧客が発見して後で証明することは難しいだろう」。

CISPAは遠くに行かないかもしれない

これはCISPAの上院承認の第2の試みである。 CISPAを現在の形で拒否する意向が明確に表明されていることを考えると、その成功ははるかに程遠です。立法は完璧ではありませんが、対戦相手はCISPAの曖昧さと抜け穴をゲームストッパーとして指摘します。 ACLUのリチャードソン氏は、「人々は知的財産を侵害して盗んでいる中国について話している。彼らがそれについて法案を書いたならば、私たちは苦情を少なくするでしょう。

CISPAは、オンラインプライバシーとサイバーセキュリティの取り組みの複雑な戦争を示しています。

上院議員はサイバーセキュリティの代替法を準備中ですが、これは昨年は機能しませんでした。ロックフェラー（D-West Virginia）のジョンD.（ジェイ）上院議員は、2013年のサイバーセキュリティと米国のサイバー競争力法を後援しています（同様の2012年の取り組みが停滞したため）。ロックフェラー上院議員は、CISPAの下院議員投票後に掲載されたプレスリリースで、「CISPAのプライバシー保護が不十分であっても、今日の下院での行動は重要だ」と述べた。私たちは、サイバーセキュリティを強化するすべての要素に対処する必要があるだけでなく、それが上院の目標だ」と述べた。同法案の共同スポンサーであるDianne Feinstein（D-California）上院議員は、 「私たちは現在、超党派の情報共有法案を起草しており、合意に至るとすぐに進める」と述べた。法案は、オンラインプライバシーとサイバーセキュリティの取り組みの複雑な戦争を示している。 ACLUのリチャードソンは、CISPAが上院により良い解決策を見出すよう促すと考えている。 「このゲームの誰もが、よりターゲットを絞った戦略的かつプライバシー保護されたものを探している」と述べている。不完全な答えはどこかにある。大きなデータがあるように、