Proyecto de ley Hack Back

La Ley de Certeza de Ciberdefensa Activa (ACDC), también conocida como el proyecto de ley "Hack Back", se presentó por primera vez en la Cámara de Representantes de EE. UU. en 2017. Se ha trabajado en él desde entonces y, de aprobarse, modificaría la Ley de Fraude y Abuso Informático. El proyecto de ley ofrecería protección a las empresas víctimas de fraude si implementan medidas de respuesta más agresivas ante un incidente, en comparación con la estrategia tradicional de "detectar y reportar", ampliamente utilizada en la actualidad.

¿Qué tipos de piratería informática se están debatiendo en este proyecto de ley?

Este proyecto de ley describe tres actividades que definen lo que una empresa puede y debe hacer cuando es atacada. Estas son, específicamente: 

1. Para establecer la atribución de la actividad criminal, que luego se compartiría con las autoridades policiales y otras agencias gubernamentales pertinentes;
2. Para interrumpir la actividad no autorizada continua contra la red del defensor; y
3. Monitorear el comportamiento de un atacante para ayudar en el desarrollo de futuras técnicas de prevención de intrusiones o defensa cibernética.

¿Qué acciones están prohibidas en el proyecto de ley ACDC propuesto?

Hay muchas acciones prohibidas descritas en ACDC, incluidas:

1. destruir los datos de otra persona;
2. causar pérdidas físicas o financieras;
3. creando amenazas a la salud pública; y
4. realizar un reconocimiento innecesario del sistema de piratería, ya que podría no pertenecer al pirata informático sino ser un intermediario, y más.

Desafíos de cualquier legislación sobre piratería informática

Desde la perspectiva de CyberHoot, el principal problema de este proyecto de ley radica en la dificultad de atribuir un ataque a una sola entidad, grupo de hackers o Estado. En el mundo del hacking abundan las operaciones de falsa bandera, lo que provoca errores de atribución . El potencial de escalada de ciberataques debido a atribuciones imperfectas es incluso mayor en línea que en el mundo físico. Esta legislación seguramente seguirá siendo objeto de debate durante mucho tiempo sin una resolución clara.

¿Qué significa esto para las empresas?

Las empresas simplemente deben estar al tanto de este proyecto de ley y de sus posibles implicaciones. Es improbable que se apruebe, por lo que no hay mucha preparación disponible. El mejor consejo que puede seguir una empresa es contar con políticas, programas, capacitación y herramientas adecuadas para proteger sus datos. Existe un alto riesgo, debido al lenguaje ambiguo de la ley ACDC, de que las empresas se "disparen en el pie" al sobrepasar accidentalmente sus límites legales al contraatacar. Sobrepasar sus derechos legales en este caso podría resultar en posibles acusaciones de fraude, demandas y costosos procedimientos judiciales.

La opinión de CyberHoot sobre esta legislación:

Dado que esta legislación ha sido debatida durante muchos años y los argumentos a favor y en contra son numerosos y convincentes, es poco probable que se convierta en ley en un futuro próximo. 

Para obtener más información, vea a Tom Graves (R-GA) discutir el proyecto de ley que propuso:

¿Está haciendo lo suficiente para proteger su negocio?

Regístrate hoy en CyberHoot y duerme mejor sabiendo que tu

¡Los empleados están capacitados en ciberseguridad y en guardia!

¡Suscríbete hoy!