Yttrande: CISPA är inte den onda, integritetsintrångsrättsliga lagstiftningen du tycker är den

En proposition som skulle främja en starkare cybersäkerhet genom att göra det möjligt för myndigheter och privata företag att dela information står inför motstånd från privatlivet och medborgerliga frihetsgrupper. Kontroversen är dock missvisad, och lagstiftningen är ett steg i rätt riktning.

CISPA, eller Cyber ​​Intelligence Sharing and Protection Act, introducerades förra året av de ledande medlemmarna av House Permanent Select Committee on Intelligence-Mike Rogers (R-MI) och nederländska Ruppersberger (D-MD). Lagstiftningens mål är att skapa en ram för statliga och privata företag att dela med sig av känslig information för att identifiera och blockera cyberattacker.

CISPA gjorde det ursprungligen genom senaten, uppbyggd av stöd från ett stort antal high- teknikföretag som AT & T, Comcast, Oracle, Symantec och Microsoft. Det dog senare på vinstocken, men över bekymmer om storebror som spionerar på amerikanska medborgare. Men nu är det igen: Förra månaden uppstod sina kongresssponsorer räkningen som svar på högprofilattacker mot amerikanska mål under det senaste året.

[Läs mer: Så här tar du bort skadlig kod från din Windows-dator]

CISPA är avsedd att stärka cybersäkerheten, inte spionera på amerikanska medborgare.

CISPA-backlashen

Ja, räkningen är tillbaka, men CISPA har inte blivit mer populär sedan förra året. EFF (Electronic Frontier Foundation), ACLU (American Civil Liberties Union) och andra grupper för privatlivsförväntning anpassar sig för att motsätta sig lagstiftningen igen. Dessutom har Facebook, en originaluppfödare av lagstiftningen, helt och hållet återkallat sitt stöd denna vecka.

ACLU delade med mig ett brev som skickades till kongressmedlemmar Rogers och Ruppersberger på uppdrag av en koalition av berörda organisationer. Brevet uttryckte allvarliga förbehåll med CISPA, och påstod att det inte fanns någon civil kontroll över informationsutbytesprogrammet. Underlåtenhet att kräva att privata organisationer slänger personligt identifierbar information från data som delas med regeringen. och misslyckande med att försäkra sig om skydd mot de uppgifter som delas.

Kurt Opsahl, senioransvarig advokat med EFF, förklarade för mig "Mandiant-rapporten visar hur mycket användbar information som skulle kunna delas utan en ny faktura … Problemen [med denna proposition] är grundläggande, och förmodligen för djup för att åtgärda med en kompromiss. "

Men är backlashen berättigad?

Den 16 april 2012 var en ändring av propositionen inriktad på att ta itu med privatlivet. Det fanns frågor om terminologi, så ändringen klargör vad som menas med "information om cyberhot" för att säkerställa en smalare tolkning som inte inkluderar "immateriella rättigheter".

Några uttryckte oro för att räkningen skulle tillåta Internetleverantörer eller tjänsteleverantörer att blockera konton eller ta bort innehåll. Som svar anger det att lagstiftningen är begränsad till att identifiera, erhålla och dela information om hot mot cyber och uttryckligen säger att räkningen inte ger någon behörighet att blockera konton eller radera information.

Ändringen adresserar de viktigaste sekretessbekymmerna. Det förhindrar all information som erhålls från att användas för något annat syfte än den intelligenssamling som den var avsedd för och tillåter den amerikanska regeringen att bli väckt om den erhållna informationen används på sätt som bryter mot de begränsningar som ställs på räkningen. Ändringen ger också den amerikanska advokatinspektionen tillsyn för att övervaka verksamheten under CISPA och säkerställa privac

Microsoft delade med mig sitt officiella uttalande om CISPA, som samtidigt betonar privatlivets oro, men erkänner också att framsteg görs och innebär att Microsofts stöd till de bakomliggande målen för CISPA är:

"Microsoft anser att alla förslag till lagstiftning bör underlätta frivilligt utbyte av information om hotet på Internet på ett sätt som gör det möjligt för oss att respektera de integritets- och säkerhetslöften vi gör för våra kunder. Lagstiftningen som infördes i mitten av februari återspeglar viktiga förändringar som följer av en aktiv och konstruktiv dialog om en tidigare version av propositionen och att dialogen måste fortsätta. Vi ser fram emot att fortsätta arbeta med politiska beslutsfattare och andra för att förbättra säkerheten för konsumenterna samtidigt som vi skyddar konsumenternas integritet. "- Scott Charney, Corporate Vice President, Trustworthy Computing

Varför CISPA?

I slutet av februari vid RSAs säkerhetskonferens, jag satte sig med sponsorerna, Rogers och Ruppersberger. Rogers förklarade motivationen bakom att stödja räkningen igen. "Mängden rikedom som har överförts från Förenta staterna till platser som Kina är fantastisk och farlig", sa han.

Rogers och Ruppersberger tror att om USA: s underrättelsetjänster skulle kunna dela sekretessbelagda uppgifter med den privata sektorn, då säkerhetsindustrin och privata företag kommer att vara bättre beväpnade för att försvara sig. På samma sätt kan intelligenssamhället också dra nytta av privata företag som delar vad de vet om attacker med regeringen.

Tvåvägsutbyte av information är avgörande för att se den stora bild av säkerhetshot och upptäcka och förebygga attacker. Faktum är att informationsdelning efter Operation Aurora-attacker mot Google och andra organisationer ger ett solidt exempel på hur effektiv sådan delning kan vara. Varje företag kan veta att något misstänkt pågår men kanske Se bara en bit av pusslet. Genom att jämföra anteckningar med andra företag och intelligensbyråer kan bitarna vara loc ked tillsammans för en mer fullständig bild av attacken.

Målet är enligt Rogers att ta itu med informationsutbyte på ett sätt som har brett, bipartisiskt stöd och inköp från nyckelaktörer i både regeringen och privat sektor. Kongressens anhängare tror att CISPA är det bästa sättet att ge regeringen och den privata sektorn de nödvändiga verktygen för att upptäcka sofistikerade attacker och skydda mot avancerade, bestående hot.

Varför nu?

Rogers och Ruppersberger skickade in CISPA efter President Obamas unionens unionsadress, där han bad om att skydda nationen mot cyberattacker. Har något ändrats i propositionen som skiljer det från den version som sköts ner? Nej, inget har förändrats.

Ruppersberger förklarade att han och Rogers är båda medlemmar av "Åtta gången", en grupp valda tjänstemän som får tillgång till viktig information om information och som är informerade om nationella säkerhetsfrågor känslig för att delas mer i stort med resten av kongressen. Han sa att han ofta frågas vad som håller honom vaken på natten, och ett av hans högsta svar är "cyberattacker".

Vi måste vidta åtgärder för att stoppa känslig och proprietär data från att bli stulen.

Men varför skicka in samma lagstiftning igen? Ruppersberger sa att hotet landskapet har förändrats sedan förra året, och det finns mer stöd nu för vad de försöker åstadkomma med CISPA. "Vi exponeras, och dessa attacker blir allt mer aggressiva - Washington Post, New York Times, Wall Street Journal, jag menar Treasury Department, och det fortsätter … Aramco, 30 000 datorer slog ut. De blev mycket aggressiva. "

Flytta framåt

En kritik av propositionen handlar om hur mycket information privata företag skulle dela med regeringen. CISPA-motståndare vill att olika typer av data ska avlägsnas eller minimeras innan de skickas till regeringen, men privata företag vill inte ha den extra bördan att försöka sifta data innan de delar den.

Ruppersberger förklarade att NSA redan har verktyg och teknik för att minimera uppgifterna när regeringen tar emot det, och att det här är ett problem han tror kan arbetas igenom. Några av de andra frågorna som är relaterade till CISPA är en behörighetsfråga. Rogers och Ruppersberger tittar på världen genom linsen i House Permanent Select Committee on Intelligence, och de har utformat lagstiftning för att lösa problemen de ser inom ramen för den kommittén.

Så var är vi nu? Lagstiftningen måste nu gå igenom mark-up och komma igenom utskottet innan det ens har möjlighet att bli omröstad. Så det är fortfarande dags att arbeta igenom problem och förhandla kompromisser för att ta itu med eventuella kvarstående problem.

CISPA kräver en hård balanseringshandling, men det är avgörande för USA: s ekonomiska och nationella säkerhetsintressen att vi tar itu med hotet om cyberattacker. Varken regeringen eller den privata industrin kan ta itu med problemet ensamma, så lagstiftning som CISPA är nödvändig för att underlätta den typ av delning och samarbete vi behöver.

Synpunkterna i denna artikel är kolumnistens och inte nödvändigtvis de av PCWorld.