El gobierno finalmente publicó su tan esperada respuesta a su revisión de la Ley de uso indebido de computadoras (CMA) de 1990 y abrió una nueva consulta sobre los cambios legislativos propuestos, pero ha decepcionado a los activistas que quieren ver reformada la ley para proteger a los profesionales de la seguridad cibernética de enjuiciamiento potencial.
La CMA se introdujo antes del desarrollo de la industria de la seguridad cibernética y, tal como está, tipifica como delito el acto de acceso no autorizado a una computadora, que los ciberprofesionales temen que los ponga en riesgo de infringir la ley simplemente por hacer su trabajo.
En su respuesta, el gobierno dijo que este problema fue uno de los principales temas planteados durante la revisión de la CMA, y que si bien había “considerado cuidadosamente” propuestas para introducir defensas legales para varias prácticas de piratería, se requiere más trabajo para considerar opciones, y los riesgos y beneficios asociados con hacerlo.
El portavoz de la campaña de CyberUp, Ollie Whitehouse, dijo: “Han pasado más de 21 meses desde que el gobierno anunció su revisión de la Ley de Uso Indebido de Computadoras, esta es una respuesta que es ligera. El delito cibernético es endémico en todo el Reino Unido. Necesitamos urgencia y ritmo, no que estos problemas se desplacen a la hierba alta.
“Acogemos con beneplácito que el gobierno haya reconocido que existe un problema con la actividad legítima de seguridad cibernética que está restringida por las leyes cibernéticas obsoletas del Reino Unido; El 66% de los que respondieron a su consulta estuvieron de acuerdo en este punto. Y todavía [the] El anuncio carece de acciones concretas, lo que deja al Reino Unido muy por detrás de otras naciones”.
Whitehouse dijo que los activistas entendieron la complejidad del tema y acordaron que las reformas necesitan una consideración cuidadosa, pero lamentó la falta de progreso desde que el gobierno puso el tema sobre la mesa hace casi dos años.
“Simplemente no podemos esperar otros dos años para la reforma; es demasiado importante para la protección mejorada del Reino Unido en el ciberespacio, sin mencionar su futura prosperidad”, dijo.
“Es esencial que el gobierno establezca un cronograma y un plan claros para los próximos pasos, para garantizar que no haya más demoras. CyberUp, con nuestra coalición de partidarios parlamentarios y de la industria, ha sido una parte importante del debate durante los últimos cuatro años, y continuaremos trabajando con el gobierno para hacerlo bien”.
Los temas que el gobierno quiere considerar más a fondo antes de introducir reformas a la ley incluyen salvaguardar la capacidad del Reino Unido para actuar contra los ciberdelincuentes y otros actores de amenazas, y garantizar que las defensas no proporcionen cobertura para acciones ofensivas.
También quiere más tiempo para considerar los beneficios que podría proporcionar la introducción de defensas, reconociendo que un ecosistema de seguridad cibernética fuerte es importante para la resiliencia general del Reino Unido.
El gobierno ahora quiere considerar si y qué defensas, incluidas las soluciones potencialmente no legislativas, deben introducirse en el contexto de cómo se pueden apoyar y desarrollar los ciberprofesionales, considerando qué actividad que puede entrar en conflicto con la CMA es legítima para emprender por los ciberprofesionales. , y qué estándares y capacitación deben implementarse para garantizar que estén calificados para hacerlo. Este trabajo se llevará adelante como parte del trabajo más amplio de Westminster para mejorar la postura de seguridad cibernética nacional del Reino Unido.
Consulta más amplia
La consulta más amplia, que se extenderá hasta abril de 2023, buscará opiniones sobre una serie de cambios legislativos propuestos a la CMA que el gobierno cree que puede ser apropiado realizar.
El primero de estos cambios haría que las agencias de aplicación de la ley del Reino Unido recibieran poderes para eliminar e incautar los nombres de dominio y las direcciones IP que utilizan los ciberdelincuentes y los actores de amenazas, algo que hoy en día hacen de forma voluntaria grupos como Action Fraud y National. Centro de Seguridad Cibernética (NCSC).
El gobierno cree que la formalización de estos acuerdos pondría a las agencias del Reino Unido en una posición más equitativa con los socios internacionales y permitiría una mejor cooperación con agencias extranjeras como el FBI en los EE. UU.
El segundo cambio propuesto es otorgar a los organismos encargados de hacer cumplir la ley del Reino Unido, así como a la Agencia Tributaria y de Aduanas de Su Majestad (HMRC), el poder de exigir la conservación de los datos existentes por parte del propietario de los datos para evitar que se eliminen.
Actualmente, las agencias del Reino Unido solo pueden solicitar que los datos se conserven de forma voluntaria, un arreglo que funciona bastante bien en la mayoría de las circunstancias, pero el gobierno dice que ve beneficios en formalizar esto, particularmente dado el creciente número de casos legales que requieren evidencia electrónica.
Los nuevos poderes no le darían a las fuerzas del orden la capacidad de incautar datos, sino que le permitirían evaluar si los datos son relevantes para una investigación. También cubrirían solicitudes de agencias en el extranjero.
El tercer y último cambio propuesto es crear un nuevo delito de posesión o uso de datos obtenidos ilegalmente. La CMA cubre el acceso no autorizado a los datos, pero no su eliminación o copia, y la creación de un nuevo delito cerraría una laguna que dificultaría tomar medidas contra alguien que posea o use datos obtenidos a través de un delito de la CMA, por ejemplo, cuando la persona que ahora posee los datos en realidad no cometió el delito de CMA.
Al gobierno le preocupa que no sea posible acusar a esa persona de robo o manejo de propiedad robada porque el robo se define como “privar permanentemente” al propietario original de su propiedad, mientras que la mayoría de los casos de robo de datos implican copiarlos.
La consulta también considerará otras dos áreas donde la CMA puede ser reformada de manera útil. La primera de estas áreas es la consideración de consolidar disposiciones extraterritoriales en la CMA para establecer una jurisdicción más clara cuando los delitos no necesariamente se cometen en Inglaterra y Gales.
El gobierno espera que esto pueda eliminar algunas áreas grises, así como potencialmente dar al sistema de justicia la capacidad de enjuiciar todos los aspectos de la actividad delictiva cibernética en el Reino Unido en lugar de restringir el enjuiciamiento a la actividad en la que se puede probar un “vínculo significativo”. Esto podría ser importante cuando un individuo se encuentra en una jurisdicción, como Rusia, que no investigará ni enjuiciará.
La otra área que se está considerando es la posibilidad de revisar las pautas de sentencia para la actividad delictiva cibernética, ya que algunas partes interesadas sugirieron que las penas máximas existentes (hasta 12 meses de prisión en una condena sumaria, dos años en una acusación, o una multa o ambas) bajo la CMA no fue necesariamente un gran elemento de disuasión, y los tribunales actualmente no están emitiendo sentencias máximas.
El gobierno también quiere abordar cuestiones como distinguir la criminalidad genuina de los niños del guión que juegan, y la frecuente aparición de delincuentes neurodiversos, lo que introduce cuestiones de vulnerabilidad y protección, y sentencias proporcionales.
“El delito cibernético amenaza a nuestros ciudadanos, empresas y gobierno. Los actores estatales y los delincuentes, en todos los niveles de complejidad y con diversas intenciones, están atacando hogares y negocios en todo el Reino Unido”, escribió el ministro de seguridad, Tom Tugendhat, en el prólogo del anuncio de la consulta.
“Estos son problemas complejos y, por lo tanto, el Ministerio del Interior liderará un programa para reunir a las partes interesadas para identificar cómo se deben abordar estos problemas para garantizar que la seguridad cibernética del Reino Unido pueda contrarrestar los riesgos que plantean las amenazas estatales y los delincuentes”.