美國《主動網(wǎng)絡(luò)防御確定法案》（全譯文） |
| 來源：聚銘網(wǎng)絡(luò) 發(fā)布時間：2018-01-14 瀏覽次數(shù)： |
信息來源：secdoctor
2017年12月18日，美國公布了總統(tǒng)特朗普任內(nèi)首份《國家安全戰(zhàn)略》(National Security Strategy of the United States of America 2017)，戰(zhàn)略強(qiáng)化美國優(yōu)先，認(rèn)為跨國威脅“主動”損害美國利益，將威脅的主動識別和信息共享作為提升美國能力的優(yōu)先行動領(lǐng)域之一。該戰(zhàn)略是對此前通過的《2018財年國防授權(quán)法案》(National Defense Authorization Act for Fiscal Year 2018, H.R.2810)中如何制定有關(guān)網(wǎng)絡(luò)空間，網(wǎng)絡(luò)安全和網(wǎng)絡(luò)戰(zhàn)爭的美國國家政策(SEC.1633)的直接回應(yīng)。 主動防御在管理和法律層面的爭議已經(jīng)持續(xù)多年，特別是啟動后將引發(fā)的不可預(yù)測性的內(nèi)外部后果，長期以來限制了其在立法層面的“主動”討論。公安部第三研究所網(wǎng)絡(luò)安全法律研究中心翻譯了美國2017年10月進(jìn)入立法程序的《主動網(wǎng)絡(luò)防御確定法案》(Active Cyber Defense Certainty Act)，該法案尚未正式通過，但有助于探究美國立法層面主動防御構(gòu)想的多重場景，了解主動防御理念在美國執(zhí)法層面的嘗試。 法案全文 第一條 簡稱 本法援引為《主動網(wǎng)絡(luò)防御確定法案》。 第二條 國會決議 國會決議如下： (1) 網(wǎng)絡(luò)欺詐和相關(guān)網(wǎng)絡(luò)犯罪對美國國家安全和經(jīng)濟(jì)活力構(gòu)成嚴(yán)重威脅。 (2)由于網(wǎng)絡(luò)犯罪的特性，執(zhí)法部門及時響應(yīng)和起訴網(wǎng)絡(luò)犯罪十分困難，導(dǎo)致現(xiàn)行法律威懾力低下，網(wǎng)絡(luò)犯罪威脅快速增加。2015年，司法部只起訴了153起計算機(jī)詐騙案。國會認(rèn)為這種現(xiàn)狀不可接受，如果放任不管，網(wǎng)絡(luò)犯罪的趨勢只會繼續(xù)惡化。 (3) 網(wǎng)絡(luò)犯罪分子已經(jīng)研發(fā)出了新的策略，以實(shí)現(xiàn)其犯罪所得貨幣化。如果不對現(xiàn)行法律進(jìn)行改革，從而為防御者提供新的網(wǎng)絡(luò)工具和威懾方法，犯罪活動將被進(jìn)一步激發(fā)。 (4) 當(dāng)美國公民或企業(yè)成為此類罪行的受害者時，首先應(yīng)將這一犯罪行為報告執(zhí)法機(jī)構(gòu)，并尋求改進(jìn)防御措施。 (5) 國會同時認(rèn)為，通過改進(jìn)網(wǎng)絡(luò)防御措施，包括加強(qiáng)培訓(xùn)、強(qiáng)密碼以及對計算機(jī)系統(tǒng)進(jìn)行定期更新和修補(bǔ)，可以預(yù)防諸多網(wǎng)絡(luò)攻擊。 (6) 國會認(rèn)為，適當(dāng)運(yùn)用主動網(wǎng)絡(luò)防御技術(shù)，也有助于改善防御能力，遏制網(wǎng)絡(luò)犯罪。 (7) 國會亦認(rèn)為，許多私營實(shí)體愈發(fā)關(guān)注關(guān)于遏制暗網(wǎng)發(fā)展導(dǎo)致的網(wǎng)絡(luò)犯罪的增長問題。司法部應(yīng)嘗試為暗網(wǎng)中實(shí)施主動防御措施的實(shí)體明確合理的行為規(guī)則，以便該防御者能退回過失獲取的私人財產(chǎn)，例如知識產(chǎn)權(quán)和財務(wù)記錄。 (8) 國會還認(rèn)為，由于許多網(wǎng)絡(luò)犯罪報告未獲得及時回應(yīng)，導(dǎo)致許多企業(yè)和個人對該犯罪行為處理措施的嚴(yán)重不確定性。盡管聯(lián)邦機(jī)構(gòu)需要優(yōu)先處理具有國家級重要性的網(wǎng)絡(luò)事件，但通過更積極地回應(yīng)以各種報告機(jī)制報告的犯罪行為，協(xié)助私營機(jī)構(gòu)也是潛在趨勢。 (9) 計算機(jī)防御者也應(yīng)該格外小心，以避免違反攻擊者計算機(jī)所在國的法律。 (10) 國會認(rèn)為，主動網(wǎng)絡(luò)防御技術(shù)只能由合格的防御者使用，該防御者在使用歸因技術(shù)時應(yīng)當(dāng)高度保密，并且應(yīng)該極其謹(jǐn)慎，以避免對中間計算機(jī)(intermediary computer)造成影響或?qū)е戮W(wǎng)絡(luò)活動的升級。 (11) 本法旨在通過闡明防御者可以使用的超越自身計算機(jī)網(wǎng)絡(luò)界限的工具和技術(shù)類型，以提供法律的確定性。 第三條 使用歸因技術(shù)(attributional technology)的豁免 美國法典第18篇第1030條，新增以下內(nèi)容： “(k)使用歸因技術(shù)的豁免—— (1) 本條不適用于防御者為響應(yīng)網(wǎng)絡(luò)入侵的特定目的使用程序、代碼或命令，通過返回信號、位置或特定數(shù)據(jù)，以識別信號源的歸因技術(shù)的情況，如果： (A) 該程序、代碼或命令來自防御者的計算機(jī)，但被經(jīng)未授權(quán)用戶復(fù)制或移除，以及； (B) 該程序、代碼或命令不會破壞攻擊者計算機(jī)系統(tǒng)中的數(shù)據(jù)或損害該計算機(jī)系統(tǒng)的基本操作功能，或故意創(chuàng)建后門以侵入該計算機(jī)系統(tǒng)。 (2) 定義——“屬性數(shù)據(jù)”是指各種數(shù)字信息，如日志文件、文本字符串、時間戳、惡意軟件樣本、標(biāo)識符(包括用戶名稱、IP地址等)、元數(shù)據(jù)以及其他通過取證分析技術(shù)收集的數(shù)字文件。 第四條 對已采取主動網(wǎng)絡(luò)防御措施的特定計算機(jī)犯罪行為免于起訴 美國法典第18篇第1030條，新增以下內(nèi)容： “(1)主動網(wǎng)絡(luò)防御措施不違反—— (1)一般規(guī)定。若某一行為屬于本條規(guī)定的主動網(wǎng)絡(luò)防御措施，則可構(gòu)成針對刑事檢控的抗辯。 (2)不適用于民事訴訟——對本條所規(guī)定的檢控行為的抗辯并不妨礙主動防御措施所針對的美國個人或?qū)嶓w尋求民事救濟(jì)的權(quán)利，包括依照(g)款提出補(bǔ)償性賠償或禁令救濟(jì)。 (3) 定義——本款中： (A)防御者，指某個人或?qū)嶓w，該個人或?qū)嶓w是計算機(jī)被持續(xù)、未經(jīng)授權(quán)侵入的受害者； (B)主動網(wǎng)絡(luò)防御措施 (i) 指以下任一措施： (I)由防御者實(shí)施或在其指示下實(shí)施；且 (II) 為以下目的，未經(jīng)授權(quán)訪問向防御者網(wǎng)絡(luò)實(shí)施攻擊的攻擊者的計算機(jī)以收集信息： (aa) 確定犯罪活動性質(zhì)，以與負(fù)責(zé)網(wǎng)絡(luò)安全的執(zhí)法機(jī)構(gòu)及其他美國政府機(jī)構(gòu)共享； (bb) 阻斷針對防御者網(wǎng)絡(luò)的、持續(xù)的、未經(jīng)授權(quán)的訪問行為；或者 (cc) 監(jiān)視攻擊者行為，以為將來研發(fā)入侵防御或網(wǎng)絡(luò)防御技術(shù)提供協(xié)助； (ii) 但不包括以下行為： (I)故意破壞或?qū)е麓鎯υ谄渌麄€人或?qū)嶓w計算機(jī)上的，不屬于該受害者的信息不可用； (II)過失(recklessly )導(dǎo)致(c)(4)款所述的人身傷害或經(jīng)濟(jì)損失； (III)對公眾健康或安全構(gòu)成威脅； (IV) 故意超出在該中間計算機(jī)(intermediary computer)上執(zhí)行偵察所需的行為限度，以允許對該網(wǎng)絡(luò)進(jìn)行持續(xù)性的入侵。 (V) 故意侵入或遠(yuǎn)程訪問中間計算機(jī)； (VI) 故意對個人或?qū)嶓w的網(wǎng)絡(luò)連接實(shí)施持續(xù)破壞，導(dǎo)致(c)(4)款所定義的損害；或者 (VII)影響(a)(1)款規(guī)定的訪問國家安全信息的計算機(jī)、(a)(3)款規(guī)定的政府計算機(jī)，或(c)(4)(A)(i)(V)規(guī)定的為或由政府實(shí)體用于管理司法、國防或國家安全的計算機(jī)系統(tǒng)。 (C) 攻擊者，是指未經(jīng)授權(quán)持續(xù)侵入受害者計算機(jī)的個人或?qū)嶓w； (D) 中間計算機(jī)，是指不屬于攻擊者所有，也不在其主要控制下的，但被用來發(fā)起或掩蓋持續(xù)性網(wǎng)絡(luò)攻擊根源的個人或?qū)嶓w的計算機(jī)。 第五條 關(guān)于實(shí)施網(wǎng)絡(luò)防御措施的通知要求 美國法典第18篇第1030條，新增以下內(nèi)容： “(m) 有關(guān)實(shí)施網(wǎng)絡(luò)防護(hù)措施的通知要求： (1) 一般規(guī)定。根據(jù)前條實(shí)施主動網(wǎng)絡(luò)防御措施的防御者必須事先通知聯(lián)邦調(diào)查局國家網(wǎng)絡(luò)調(diào)查聯(lián)合工作組( FBI National Cyber Investigative Joint Task Force)，并收到聯(lián)邦調(diào)查局確認(rèn)收到前述通知的答復(fù)。 (2)必需信息。通知必須包括：導(dǎo)致個人或?qū)嶓w成為受害者的網(wǎng)絡(luò)違法行為類型，主動網(wǎng)絡(luò)防御措施的預(yù)期目標(biāo)，防御者為保存攻擊者網(wǎng)絡(luò)入侵犯罪行為的證據(jù)而計劃采取的措施，以及為防止造成不屬于攻擊者所有的中間計算機(jī)的損害而計劃采取的措施，以及FBI要求協(xié)助監(jiān)督的其他信息。 第六條 主動防御措施的自愿性前置審查 (a)試行方案。FBI應(yīng)與其他聯(lián)邦機(jī)構(gòu)協(xié)調(diào)，制定一項(xiàng)試行方案，在本法施行后試行兩年，以允許針對主動防御措施進(jìn)行自愿的事先審查。 (b) 事先審查。計劃根據(jù)第4條實(shí)施主動防御措施的防御者，可事先通知FBI國家網(wǎng)絡(luò)調(diào)查聯(lián)合工作組，以便FBI及其他機(jī)構(gòu)可以對該通知進(jìn)行審查，并就如何修改提出的主動防御措施以更好符合聯(lián)邦法律和第4條，以及改進(jìn)措施的技術(shù)操作進(jìn)行評估。 (c) 優(yōu)先請求。FBI可根據(jù)資源的可用性決定如何向防御者發(fā)布此類指導(dǎo)的優(yōu)先性。 第七條 關(guān)于聯(lián)邦政府遏制網(wǎng)絡(luò)詐騙和網(wǎng)絡(luò)犯罪進(jìn)展的年度報告 司法部經(jīng)與國土安全部和其他相關(guān)聯(lián)邦機(jī)構(gòu)協(xié)商后，應(yīng)在每年的3月31日之前向國會提交一份年度報告。該報告應(yīng)詳細(xì)列出上一年度有關(guān)遏制網(wǎng)絡(luò)犯罪的執(zhí)法行為結(jié)果。 該報告應(yīng)當(dāng)包括： (1) 美國公民和企業(yè)向FBI各地機(jī)構(gòu)、特勤局電子犯罪工作隊(duì)、互聯(lián)網(wǎng)犯罪投訴中心(IC3)網(wǎng)站和其他聯(lián)邦執(zhí)法機(jī)構(gòu)報告的計算機(jī)欺詐案件數(shù)量； (2) 公開報告的計算機(jī)欺詐罪行的調(diào)查數(shù)量，以及獨(dú)立于報告的任何具體罪行的調(diào)查數(shù)量； (3) 根據(jù)美國法典第18篇第1030條和涉及網(wǎng)絡(luò)犯罪的其他相關(guān)法規(guī)起訴的網(wǎng)絡(luò)欺詐案件數(shù)量，包括案件結(jié)果； (4) 查明由美國嫌疑人實(shí)施的計算機(jī)詐騙罪的數(shù)量和由外國嫌疑人實(shí)施的詐騙罪的數(shù)量以及外國嫌疑人的國籍詳情； (5) 被執(zhí)法活動禁止的暗網(wǎng)網(wǎng)絡(luò)犯罪市場和犯罪網(wǎng)絡(luò)的數(shù)量； (6) 評估美國公民和企業(yè)因勒索軟件和其他欺詐性網(wǎng)絡(luò)攻擊而遭受的總體財務(wù)損失； (7) 分配調(diào)查和起訴網(wǎng)絡(luò)犯罪的執(zhí)法人員的數(shù)量；以及 (8) 按照本法要求提交的主動網(wǎng)絡(luò)防御通知的數(shù)量，以及對通知程序和自愿前置審查試行方案的全面評估。 第八條 要求司法部更新網(wǎng)絡(luò)犯罪起訴指南 (a) 司法部應(yīng)根據(jù)本法的修改，更新《計算機(jī)犯罪起訴手冊》。 (b) 鼓勵司法部尋求更多機(jī)會向公眾闡明手冊和其他指南，以反映不斷發(fā)展的防御技術(shù)和網(wǎng)絡(luò)技術(shù)。這些技術(shù)的使用不應(yīng)違反美國法典第18篇第1030條，及其他聯(lián)邦法律和國際條約。 第九條 有效期 本法規(guī)定的免予起訴的時效自本法生效之日起兩年后屆滿。
以下是英文原文 
|
