Det är integritet mot cybersäkerhet när CISPA-propositionen kommer in i senaten

Uppdatering: På torsdagen rapporterade amerikanska nyheter att CISPA "kommer nästan säkert att bli hylla", med hänvisning till kommentarer från en icke-namngiven representant för den amerikanska senatskommittén för handel, vetenskap och transport. US News citerade också Michelle Richardson, lagstiftningsråd med ACLU, som sa, "Jag tror att den är död för tillfället. CISPA är för kontroversiell, det är för expansivt, det är inte samma typ av program som senat förra året tänkte." Richardson uppskattar att det kan ta flera månader för ny lagstiftning att komma till omröstning.

Cybersäkerhet och privatlivets fred är två kritiska intressen som verkar vara avsett att aldrig komma överens. Visst, du vill ha skadliga hackare, spammare och andra Internet lowlifes till rätta, men du vill också skydda dina online-data.

En stor del av cyberkriminalbekämpning kräver dock att man samlar en höstacks värde av aggregerade online-data och skannar den för en svåraktig nål av misstänkt aktivitet. Din online-data kan svepas in i en av dessa staplar och skannas. Vad som händer med det på vägen är någons gissning.

[Vidare läsning: Så här tar du bort skadlig kod från din Windows-dator] Det första steget i att förstå hur cybersecurity fungerar är att acceptera att dina online-data ska skannas och finns redan skannad.

Därför vill du hålla koll på Cyber ​​Intelligence Sharing and Protection Act (CISPA), som passerade USA: s representanthus förra veckan och nu behandlas av senaten, där den för närvarande är i utskottet. CISPA syftar till att lösgöra begränsningar som för närvarande reglerar utbyte av data bland utredare av cybersecurity. Det kan låta rimligt nog, men kontroversen uppstår över hur data hanteras specifikt, hur den delas och hur personligt identifierbar information (PII) minimeras.

Dessutom skapar räkningen en hög grad av immunitet från rättegångar för regeringen och privata företag som delar data. Detta är inte exakt tröst när de delar din data.

När, om inte, dina data skannas och delas

Det första steget i att förstå hur cybersecurity fungerar är att acceptera att dina online-data redan är skannade. Regering, brottsbekämpning och privata företag är alla på utkik efter misstänksam Internetaktivitet. Spammare, botnät och skadliga hack till webbplatser som Twitter faller i en bred kategori av cyberbrottslighet. Av ännu större oro är försök att attackera "kritisk infrastruktur" (t.ex. kraft- och vattenverktyg och kommunikationsnät) eller civila.

CISPA skulle låta privata företag dela data som anses vara "information om cyberhot".

CISPA skulle låta privata företag dela uppgifter med brottsbekämpande tjänstemän och myndigheter om uppgifterna kvalificerar sig som vad som kallas "cyber threat information" som kan hjälpa till att lösa ett brott. Den här terminens vaghet är en stor del av integritetsproblemet, säger Jeramie Scott, nationell säkerhetsmedlem vid informationscentret för elektronisk integritet. "Det använder termer som" sårbarhet för ett nätverk "och" hot mot nätets integritet "i sin definition som lämnas till den privata sektorn för att tolka", säger Scott.

Definitioner som täcker data är vaga nog för att bjuda in överskridande

CISPAs vaghet ger privata företag mycket utrymme för överskridande information. "Säg att en social nätverkssida lider av en anfallstjänstattack," säger Scott. "Webbplatsen kan bara erbjuda de mer relevanta diagnostiska detaljerna till regeringen, men det kan också ge personliga uppgifter om alla profiler som berörs, inklusive till exempel vem du är ansluten till och profil bio detaljer så länge som socialt nätverk ansåg informationsdelen av informationen om "cyber threat". ""

Enligt lagstiftare Michelle Richardson från American Civil Liberties Union kan varje dum spam du får från Nigeria göra ditt data rättvist spel för vidare utredning. "Det här är vardagliga händelser som är cybersäkerhetshändelser under räkningen", säger Richardson. Rainey Reitman, aktivismdirektör vid Electronic Frontier Foundation, säger att en tjänst skulle kunna dela med sig av data som den ansåg "information om cyberhot" och kunde göra det "utan rättslig process, så länge det var i" god tro "och för en" cybersecurity-syfte. ""

Datadelning blir enklare eller automatiskt

ACLU: s Richardson tillägger att CISPA underlättar datadeltningen och blir mjuk. I stället för att gå igenom en process där regeringen specifikt begär information, "de talar om någon form av process som automatiskt kommer att vidarebefordra saker till regeringen", säger Richardson.

Om data kommer att dirigeras automatiskt, när och hur PII blir avskuren från data blir en större fråga. Tyvärr pratar ingen om att göra användaridentiteter helt anonyma. Nej, människorna bakom CISPA är nöjda med enbart "minimering" -tillverkning en rimlig insats för att ta bort PII. Här är där definitionen av "information om cyberhot" återigen spelar in spel, säger EPIC: s Scott: "CISPA kräver inte [ett privat företag] att ta bort eller på annat sätt begränsa informationen till regeringen så länge den faller under det breda paraplyet av information om cyberhot. "

Säkerhetsexperter letar efter trender, förekomsten av vissa beteenden och förökningsmönster för skadlig kod - inte i personuppgifter. -David LeDuc, SIIA Även om det verkar vara meningsfullt för det försörjande företaget att ta bort PII från de data de delar, under CISPA faller uppgiften till regeringen. David LeDuc är senior chef för offentlig policy för Software & Information Industry Association, en stor handelsgrupp som representerar programutvecklare och digitala innehållsföretag, som stöder CISPA. LeDuc downplays betydelsen av PII i cybersecurity, säger att det inte är vad intressenter som arbetar med att bekämpa cyberbrottslighet. "Säkerhetsexperter letar efter trender", säger han, "förekomsten av vissa beteenden och förökningsmönster för skadlig kod - inte i personliga uppgifter."

LeDuc påpekar också att CISPA har ändrats från att göra statlig baserad minimering valfri att göra det är obligatoriskt. "Den federala regeringen måste minimera informationen som den mottar från den privata sektorn för att ta fram information om specifika personer som inte är nödvändiga för att svara på ett cyberhot", säger han.

Detta ändringsförslag tar dock inte upp frågan om vad som händer med data som delas mellan privata företag. Eftersom endast regeringen har jobbet för att minimera PII under CISPA kan privata företag dela relativt PII-rika data mellan sig utan att göra något för att minimera. När man talade innan parlamentet röstade om CISPA, visade representant Adam Schiff (D-Kalifornien) sitt misslyckande. "Privata enheter kan dela information med varandra utan att någonsin gå igenom regeringen," sa han. "Hur kan regeringen underminera vad det aldrig innehar? Såminskning på regeringssidan ensamma, vilket är all denna räkning innehåller, räcker inte. "

Kongressmedlem Schiff hade infört ett ändringsförslag för att ta itu med detta smuthål, men han klagar på att CISPAs sponsorer aldrig lade fram det inför kammaren för omröstning.

Vilka privata företag bryr sig om: rättegångar

Under hela denna prata om att dela och minimera, vad CISPA verkligen verkar handla om skyddar de företag som lämnar uppgifterna från att bli stämda för att göra det. När du frågade vad som var det viktigaste för konsumenterna att veta om CISPA, sa SIIAs LeDuc att ansvarsrisker stod mot cybersäkerhetsinsatserna. "Enligt den nuvarande rättsliga ramen står företag eller privata enheter riskerade för lagar eller rättsliga åtgärder för att dela information som de tror kan vara värdefulla för att förhindra eller mildra ett hot mot cybersäkerhet eller händelse", säger han.

De flesta av oss har ingen aning om huruvida våra data används eller missbrukas, såvida det inte kommer att bita oss.

Utsikterna till tvister är lite pittoreska. När allt kommer omkring med dessa enorma datasökningsansträngningar kommer de flesta av oss inte att ana om våra data används eller missbrukas, om det inte kommer tillbaka till att bita oss. Om det skulle hända, skulle det dock vara trevligt att få en rättslig process. Här igen gör CISPAs vaga språk privatlivet svårare att skydda. ACLU: s Richardson säger, "Det är inte bara vad du kan dela, men alla beslut som du fattar baserat på informationen delas också immuniseras. De använder faktiskt den termen "beslut som fattas", vilket är oerhört brett. "

" God tro "täcker mycket välvillig skada

Men SIIAs LeDuc insisterar på att det finns en process. "Enskilda medborgare förlorar inte sin förmåga att stämma eller utnyttja domstolarna för rättegång", säger han. "Varje fall där ett företag har befunnits inte agera i" tro "skulle de troligen vara ansvariga för en enskild skada."

Reitman från EFF säger att omslaget "god tro" lätt skulle kunna gå för långt. Skyddad från ansvar kan företagen dela mer data mer fritt. Till exempel, säger Reitman, "kunde Netflix ge regeringen en lista över namn, kreditkortsnummer, hemadresser och kontoaktivitet för alla som tittade på filmen Hackers under de tre veckorna som ledde fram till Netflix lider en mild DDOS-attack. "CISPA tillhandahåller för närvarande civilt övervakning av datadelning via hembygdsavdelningen och andra enheter, men om data sedan skickas över till en militär enhet, avslutas övervakningen."

"" Vi skulle aldrig vet vad de gjorde med de uppgifterna, säger Reitman. "Vi tror inte att det skulle vara i god tro, men det skulle vara svårt för kunderna att upptäcka och senare bevisa." CISPA kanske inte kommer långt

Detta är CISPA: s andra försök att vinna senat godkännande, och Dess framgång är långt ifrån vissa, särskilt med tanke på presidentens tydliga avsikt att veto CISPA i sin nuvarande form. Trots att ingen lagstiftning är perfekt, pekar motståndare på CISPAs vaghet och smutthål som spelproppar. ACLU: s Richardson säger, "Folk pratar om att Kina bryter in och stjäl intellektuell egendom. Om de hade skrivit en proposition om det hade vi färre klagomål. CISPA är bred och suger upp en hel del vardagliga aktiviteter. "

CISPA visar det komplicerade dragkampet mellan online-privatliv och cybersäkerhetsinsats.

Senatorer förbereder också alternativ lagstiftning om cybersäkerhet - men det fungerade inte förra året, antingen. Senator John D. (Jay) Rockefeller (D-West Virginia) sponsrar Cybersecurity och American Cyber ​​Competitiveness Act of 2013 (som han gjorde en liknande insats för 2012 som stalled). I ett pressmeddelande som lagts fram efter omröstningen om CISPA, sa senator Rockefeller: "Dagens åtgärder i kammaren är viktiga, även om CISPA: s integritetsskydd är otillräckligt. Vi behöver åtgärder på alla de faktorer som kommer att stärka vår cybersäkerhet, inte bara en, och det är vad senaten kommer att uppnå. "Senare i veckan sa senator Dianne Feinstein (D-Kalifornien), en medsponsor för samma proposition, "Vi håller på att utarbeta en tvåsidig informationsdelningslista och kommer att fortsätta så fort vi kommer överens om ett avtal."

Räkningen som den visar visar det komplicerade krigssystemet mellan onlinesäkerhet och cyberförsörjning. ACLU: s Richardson anser att CISPA kommer att inspirera senaten att hitta en bättre lösning. "Alla andra i detta spel tittar på något mer riktade och strategiska och skyddade av privatlivet." Det ofullkomliga svaret är där ute någonstans, förhoppningsvis med lika mycket skydd för den lilla killen som det verkar vara för stora data.