Det er personvern mot cybersikkerhet som CISPA-regningen kommer i senatet

Oppdatering: På torsdag rapporterte amerikanske nyheter at CISPA "nesten helt sikkert vil bli hylt", og citerer kommentarer fra en ikke-navngitt representant for US Senate Committee on Commerce, Science and Transportation. US News citerte også Michelle Richardson, lovgivende rådgiver med ACLU, som sa: "Jeg tror det er død for nå. CISPA er for kontroversielt, det er for ekspansivt, det er bare ikke det samme programmet som Senatet forkastet i fjor." Richardson anslår at det kan ta flere måneder for ny lovgivning å komme til en stemme.

Cybersikkerhet og privatlivets fred er to kritiske interesser som synes å være bestemt for aldri å komme sammen. Sikker på at du vil ha ondsinnede hackere, spammere og andre Internett-lowlifes til rettferdighet, men du vil også beskytte dine online-data.

En stor del av nettkampkampene krever imidlertid å samle en høstacks verdi av aggregerte online data og skanner den for en unnvikende nål av mistenkelig aktivitet. Dine online data kan bli feid inn i en av disse haugene og skannet. Hva skjer med det underveis, er det noen som gjetter.

[Videre lesing: Slik fjerner du skadelig programvare fra din Windows-PC] Det første trinnet i å forstå hvordan cybersikkerhet fungerer, er å akseptere at dine online data blir skannet - og er allerede i ferd med å bli scannet.

Derfor vil du holde øye med Cyber ​​Intelligence Sharing and Protection Act (CISPA), som passerte Representanthuset i USA i forrige uke, og blir nå behandlet av senatet, der det for øyeblikket er i komiteen. CISPA har til hensikt å løsne begrensninger som for tiden styrer delingen av data blant undersøkere av cybersikkerhet. Det kan høres rimelig nok, men kontroversen oppstår over hvordan dataene håndteres - spesifikt, hvordan det deles, og hvordan personlig identifiserbar informasjon (PII) minimeres.

I tillegg oppretter regningen et høyt nivå av immunitet fra søksmål for regjeringen og private selskaper som deler data. Dette er ikke akkurat trøstende når de deler dataene dine.

Når ikke, dataene dine blir skannet og delt

Det første trinnet i å forstå hvordan cybersikkerhet fungerer, er å akseptere at dine online data allerede er skannet. Regjeringen, rettshåndhevelse og private selskaper er alle på utkikk etter mistenksom Internettaktivitet. Spammere, botnets og ondsinnede hack på nettsteder som Twitter faller inn i en bred kategori av nettkriminalitet. Av enda større bekymring er forsøk på å angripe "kritisk infrastruktur" (for eksempel kraft- og vannforsyninger og kommunikasjonsnettverk) eller sivile.

CISPA ville la private selskaper dele data som anses å være "informasjon om cybertrussel".

CISPA ville la private selskaper dele data med politimyndigheter og myndigheter hvis dataene kvalifiserer som hva regningen kaller "informasjon om cybertrussel" som kan bidra til å løse en forbrytelse. Denne siktens vaghet er en stor del av personvernproblemet, sier Jeramie Scott, nasjonal sikkerhetsmedlem på Electronic Privacy Information Center. "Det bruker begreper som" sårbarhet for et nettverk "og" trussel mot integriteten til et nettverk "i sin definisjon som er overlatt til privat sektor for å tolke, sier Scott.

Definisjoner som dekker data er vage nok til å invitere oversharing

CISPA's vaghet gir private selskaper mye wiggle room til overshare informasjon. "Si at et sosialt nettverksside lider av detial-of-service-angrep," sier Scott. "Nettstedet kan bare tilby de mer relevante diagnostiske detaljene til regjeringen, men det kan også gi den personlige informasjonen om alle de berørte profilene, inkludert for eksempel hvem du er koblet til, og profil bio detaljer så lenge sosialt nettverk antatt informasjonen delen av "cyber trussel informasjon." "

Ifølge lovgiver Michelle Richardson fra American Civil Liberties Union, kan hver dum spam du mottar fra Nigeria gjøre dataene dine rettferdige for videre etterforskning. "Disse er hverdagslige hendelser som er cybersecurity hendelser under regningen," sier Richardson. Rainey Reitman, aktivitetsdirektør ved Electronic Frontier Foundation, sier at en tjeneste kan dele data som det anser "cyber threat information" og kunne gjøre det "uten rettslig prosess, så lenge det var i" god tro "og for en" cybersecurity formål. '"

Datadeling vil være enklere eller automatisk

ACLUs Richardson legger til at under CISPA vil datadeling bli jevn og veldig jevn. I stedet for å gå gjennom en prosess der regjeringen spesifikt ber om informasjon, "snakker de om en form for prosess som automatisk skal videresende ting til regjeringen," forteller Richardson.

Hvis data skal sendes automatisk, når og hvordan PII blir fjernet fra dataene blir et større problem. Dessverre snakker ingen om å gjøre brukeridentiteter helt anonyme. Nei, folkene bak CISPA er fornøyd med bare "minimering" - gjør en rimelig innsats for å fjerne PII. Her er hvor definisjonen av "cyber threat information" igjen kommer til spill, sier EPICs Scott: "CISPA krever ikke [et privat selskap] å fjerne eller på annen måte begrense informasjonen til regjeringen så lenge den faller under den brede paraplyen av informasjon om cybertrussel. "

Sikkerhetseksperter ser etter trender, utbredelsen av visse oppføringer og forplantningsmønstre for skadelig programvare, ikke ved personlig informasjon. -David LeDuc, SIIA Selv om det ser ut til å være fornuftig for at selskapet skal strippe PII fra dataene de deler, under CISPA faller oppgaven til regjeringen. David LeDuc er senior direktør for offentlig politikk for Software & Information Industry Association, en stor handelsgruppe som representerer programvareutviklere og digitale innholdsvirksomheter, som støtter CISPA. LeDuc downplays betydningen av PII i cybersikkerhet, og sier at det ikke er det som interesserer fagfolk som er engasjert i å bekjempe cyberkriminalitet. "Sikkerhetseksperter ser etter trender," sier han, "utbredelsen av visse atferd, og forplantningsmønstre for malware-ikke ved personlig informasjon."

LeDuc påpeker også at CISPA ble endret fra å gjøre regjeringsbasert minimering valgfri for å gjøre det er obligatorisk. "Den føderale regjeringen må minimere informasjonen den mottar fra den private sektoren for å ta ut informasjon om bestemte personer som ikke er nødvendige for å reagere på en cybertrussel," sier han.

Dette endringen omhandler imidlertid ikke spørsmålet om hva som skjer med data som deles mellom private selskaper. Fordi bare regjeringen har jobben med å minimere PII under CISPA, kan private selskaper dele relativt PII-rike data mellom seg selv uten å gjøre noe for å minimere. Når han snakket før parlamentsvalget stemte om CISPA, avslørte representant Adam Schiff (D-California) sin misbilligelse. "Private enheter kan dele informasjon med hverandre uten å gå gjennom regjeringen," sa han. "Hvordan kan regjeringen minimere hva den aldri har? Så minimering av regjeringens side alene, som er alt dette regningen inneholder, er ikke nok. "

Kongressmedlem Schiff hadde innført et endringsforslag for å ta opp dette smutthullet, men han klager over at CISPAs sponsorer aldri førte det til for en stemme i huset.

Hvilke private selskaper bryr seg om: søksmål

Under hele denne snakket om å dele og minimere, hva CISPA egentlig synes å være om, er å beskytte selskapene som gir dataene fra å bli saksøkt for å gjøre det. Når det ble spurt hva som var det viktigste for forbrukerne å vite om CISPA, sa SIIAs LeDuc at ansvarsrisiko var i strid med sikkerhetsarbeidet. "Uansett, i henhold til gjeldende lovverk, er selskaper eller private enheter utsatt for lovgivningsmessige eller rettslige tiltak for å dele informasjon som de mener kan være verdifulle for å hindre eller begrense en trussel eller hendelse for cybersikkerhet, sier han.

De fleste av oss har ingen anelse om at dataene våre blir brukt eller misbrukt, med mindre det kommer tilbake for å bite oss.

Utsiktene til rettssaker er noe eiendommelig. Tross alt, med disse store dataskanningsarbeidene, vil de fleste av oss ikke ha noen anelse om at dataene våre blir brukt eller misbrukt, med mindre det kommer tilbake til å bite oss. Hvis det skulle skje, ville det imidlertid være fint å ha en prosess for rettssaken. Her igjen gjør CISPAs vage språk privatlivet vanskeligere å beskytte. ACLUs Richardson sier, "Det er ikke bare det du kan dele, men eventuelle beslutninger du gjør basert på informasjonen deles også immunisert. De bruker faktisk det begrepet "beslutninger som er gjort", som er utrolig bredt. "

" God tro "dekker mye godt tilsiktet skade

Men SIIAs LeDuc insisterer på at det er en prosess. "Individuelle borgere mister ikke sin evne til å saksøke eller utnytte domstolene for klage," sier han. "Enhver tilfelle der et selskap har blitt funnet å ikke handle i" god tro ", ville de trolig være ansvarlig for skade for en person."

Reitman fra EFF sier at dekket av "god tro" lett kunne gå også langt. Beskyttet fra ansvar, selskaper kan dele flere data mer fritt. For eksempel, sier Reitman, "Netflix kunne gi regjeringen en liste over navn, kredittkortnummer, hjemmeadresser og kontoaktivitet for alle som så på filmen Hackers i løpet av de tre ukene som førte til Netflix lider et mildt DDOS-angrep. "CISPA sørger for sivil overvåkning av datadeling gjennom Institutt for hjemlandssikkerhet og andre enheter, men hvis dataene blir sendt videre til en militær enhet, avslutter tilsynet.

" Vi ville aldri vet hva de gjorde med dataene, "sier Reitman. "Vi tror ikke det ville være i god tro, men det ville være vanskelig for kundene å oppdage og senere bevise." CISPA kan ikke komme langt

Dette er CISPAs andre forsøk på å vinne senat godkjenning, og suksess er langt fra sikkert - spesielt gitt presidentens klart uttalte intensjon om å veto CISPA i sin nåværende form. Selv om ikke noe lovverk er perfekt, peker motstanderne på CISPAs vaghet og smutthull som spillstoppere. ACLUs Richardson sier, "Folk snakker om Kina som bryter inn og stjeler intellektuell eiendom. Hvis de hadde skrevet en regning om det, hadde vi færre klager. CISPA er bred og feier opp mye hverdagsaktivitet. "

CISPA viser den kompliserte krigslinjen mellom nettbasert privatliv og cybersikkerhetsarbeid.

Senatorer forbereder også alternativ lov om cybersikkerhet, men det virket ikke i fjor, heller ikke. Senator John D. (Jay) Rockefeller (D-Vest Virginia) sponser Cybersecurity og American Cyber ​​Competitiveness Act of 2013 (som han gjorde en lignende innsats i 2012 som stanset). Senator Rockefeller sa i en pressemelding som ble postet etter at Parlamentet stemte om CISPA, "Dagens handling i huset er viktig, selv om CISPAs personvernbeskyttelse er utilstrekkelig. Vi trenger tiltak på alle de elementene som vil styrke vår cybersikkerhet, ikke bare en, og det er det som Senatet vil oppnå. "Senere i denne uken, sa senator Dianne Feinstein (D-California), en medsponsor for samme regning,, "Vi utarbeider for øyeblikket en todelt informasjonsdelingsregning, og vil fortsette så snart vi kommer til en avtale."

Regningen som den viser, viser den kompliserte krigsføringen mellom nettbasert personvern og cybersikkerhetsarbeid. ACLUs Richardson mener at CISPA vil inspirere Senatet til å finne en bedre løsning. "Alle andre i dette spillet ser på noe mer målrettet og strategisk og personvernbeskyttet." Det ufullkomne svaret er der ute et sted, forhåpentligvis med så mye beskyttelse for den lille fyren som det ser ut til å være for store data.