Закон о неправомерном использовании компьютеров 1990 г. (гл. 18) — это акт парламента Соединенного Королевства , принятый отчасти в ответ на решение по делу R v Gold & Schifreen (1988) 1 AC 1063. Критики законопроекта [ кто? ] жаловались, что он был принят поспешно, был плохо продуман и что намерение часто было трудно доказать, поскольку законопроект недостаточно отличал «увлекающихся» хакеров, таких как Gold и Schifreen, от серьезных компьютерных преступников. Тем не менее, этот акт стал моделью, из которой несколько других стран, включая Канаду и Республику Ирландия , черпали вдохновение при последующей разработке собственных законов об информационной безопасности , поскольку он рассматривается «как надежный и гибкий законодательный акт с точки зрения борьбы с киберпреступностью». [1] Было принято несколько поправок, чтобы акт оставался актуальным.
Роберт Шифрин и Стивен Голд , используя обычные домашние компьютеры и модемы в конце 1984 и начале 1985 года, получили несанкционированный доступ к интерактивной службе просмотра данных Prestel компании British Telecom . Находясь на торговой выставке, Шифрин, сделав то, что позже стало известно как «серфинг через плечо », узнал пароль инженера Prestel. [ необходима цитата ] Имя пользователя инженера было 22222222, а используемый пароль — 1234. [2] [3] Это позже породило обвинения в том, что British Telecom (BT) не отнеслась к безопасности серьезно. Вооружившись этой информацией, пара исследовала систему и даже получила доступ к личному ящику для сообщений принца Филиппа .
Prestel установил мониторы на подозрительных счетах и передал полученную таким образом информацию в полицию. Пара была обвинена в соответствии с разделом 1 Закона о подделке и фальсификации 1981 года в мошенничестве с BT путем изготовления «фальшивого инструмента», а именно внутреннего состояния оборудования BT после обработки им подслушанного пароля Gold. На суде Southwark Crown Court они были осуждены по типовым обвинениям (пять против Schifreen, четыре против Gold) и оштрафованы соответственно на £750 и £600.
Хотя наложенные штрафы были скромными, они решили подать апелляцию в Уголовное отделение Апелляционного суда . Их адвокат сослался на отсутствие доказательств, показывающих, что эти двое пытались получить материальную выгоду от своих подвигов, и заявил, что Закон о подделке и фальшивомонетничестве был неправильно применен к их поведению. Они были оправданы лордом-судьей Лейном, но обвинение подало апелляцию в Палату лордов . В 1988 году лорды поддержали оправдательный приговор. [4] Лорд-судья Брэндон сказал:
Соответственно, мы пришли к выводу, что формулировка Акта не предназначалась для применения к ситуации, которая, как было показано, существует в этом деле. Представления в конце обвинения должны были быть успешными. Это вывод, к которому мы приходим без сожаления. Прокрустова попытка [5] втиснуть эти факты в формулировку Акта, не предназначенного для их соответствия, создала серьезные трудности как для судьи, так и для присяжных, которые мы не хотели бы видеть повторными. Поведение апеллянтов по сути, как уже было сказано, сводилось к нечестному получению доступа к соответствующему банку данных Prestel с помощью трюка. Это не является уголовным преступлением. Если считается желательным сделать это так, то это дело законодательного органа, а не судов.
Постановление Палаты лордов привело многих ученых-юристов к убеждению, что хакерство не было незаконным в соответствии с тогдашним законодательством. Комиссия по английскому праву и ее коллега в Шотландии рассматривали этот вопрос. Комиссия по шотландскому праву пришла к выводу, что вторжение в достаточной степени охватывается в Шотландии общим правом, связанным с обманом, но Комиссия по английскому праву посчитала, что необходим новый закон.
После этого дела оба ответчика много писали о вопросах ИТ. Голд, который подробно описал все дело в The Hacker's Handbook , выступал на конференциях вместе с офицерами, производившими арест по этому делу. [6]
На основе рекомендаций ELC депутат -консерватор Майкл Колвин внес частный законопроект . Законопроект, поддержанный правительством, вступил в силу в 1990 году. Разделы 1-3 Акта ввели три уголовных преступления: [7] [ полная цитата необходима ]
(О других правонарушениях см. § Поправки ниже)
Правонарушения, предусмотренные в разделах 2 и 3, призваны удержать более серьезных преступников от использования компьютера для содействия совершению уголовного преступления или от ухудшения или воспрепятствования доступу к данным, хранящимся на компьютере. Основное правонарушение, предусмотренное в разделе 1, заключается в попытке или получении доступа к компьютеру или хранящимся на нем данным путем побуждения компьютера к выполнению любой функции с намерением обеспечить доступ. Хакеры, программирующие свои компьютеры на поиск путем перестановок паролей, несут ответственность, даже если их попытки войти в систему отклоняются целевым компьютером. Единственным предварительным условием для ответственности является то, что хакер должен знать, что попытка доступа является несанкционированной. Таким образом, использование имени пользователя или идентификатора (ID) и пароля другого лица без надлежащих полномочий для доступа к данным или программе, или для изменения, удаления, копирования или перемещения программы или данных, или просто для вывода программы или данных на экран или принтер, или для выдачи себя за другое лицо с помощью электронной почты , онлайн-чата , веб-сайта или других служб, является правонарушением. Даже если первоначальный доступ был разрешен, последующее исследование, если в системе существует иерархия привилегий, может привести к проникновению в те части системы, для которых отсутствуют требуемые привилегии, и правонарушение будет совершено. Подглядывание через плечо пользователя или использование сложного электронного оборудования для контроля электромагнитного излучения , испускаемого дисплеями («электронное подслушивание»), выходит за рамки этого правонарушения.
Преступления §§2–3 являются тяжкими преступлениями, требующими конкретного намерения совершить другое преступление (для этих целей другие преступления должны быть арестовываемыми , и поэтому включают все основные преступления общего права и статутные преступления мошенничества и нечестности ). Таким образом, хакер, который получает доступ к системе, намереваясь перевести деньги или акции, намеревается совершить кражу или получить конфиденциальную информацию для шантажа или вымогательства . Таким образом, преступление §1 совершается, как только предпринимается попытка несанкционированного доступа, а преступление §2 налагает ответственность, как только осуществляется конкретный доступ с преступной целью. Преступление §3 специально нацелено на тех, кто пишет и распространяет компьютерный вирус или червя , будь то в локальной сети или по сетям . Аналогично, использование фишинговых методов или троянского коня для получения идентификационных данных или для получения любых других данных из несанкционированного источника, или изменение файлов операционной системы или некоторых аспектов функций компьютера для вмешательства в его работу или предотвращения доступа к любым данным, включая уничтожение файлов, или преднамеренное создание кода для полного сбоя системы, все это является преступными «модификациями». В 2004 году Джон Торнли признал себя виновным в четырех преступлениях по §3, [11] [12] совершив атаку на конкурирующий сайт и внедрив троянского коня для его неоднократного отключения, но было признано, что формулировку преступления необходимо прояснить, чтобы подтвердить, что включены все формы атак типа «отказ в обслуживании» . [ необходима цитата ]
Хотя Закон якобы нацелен на тех, кто хочет получить несанкционированный доступ к компьютерным системам для различных целей, его последствия для ранее относительно широко распространенных или известных отраслевых практик, таких как «блокировка по времени» программного обеспечения, были описаны в различных публикациях компьютерной отрасли. Блокировка по времени — это практика отключения функциональности или целых программ, чтобы гарантировать, что программное обеспечение, потенциально поставляемое при условии дальнейшей оплаты, «истечет» и, таким образом, больше не будет функционировать. В одном из представленных случаев «разработчик заказных систем в Мидлендсе» активировал блокировку по времени на части программного обеспечения из-за спора с клиентом о неоплаченном счете. Клиент сообщил об этом в полицию, которая предъявила программисту обвинение в соответствии с разделом 3 Закона, результатом чего стало осуждение мировым судом с условным освобождением, вынесенным мировым судьей, что означает, что никакое наказание не будет применено при условии, что программист не совершит повторное правонарушение. [13]
Приложение 1, Часть II Закона об уголовном правосудии (терроризм и сговор) 1998 года («Сговор») внесло поправки в Раздел 8 (значимость внешнего права), Раздел 9(2)(b) (британское гражданство не имеет значения: сговор) и Раздел 16 (применение к Северной Ирландии). [14]
В 2004 году Всепартийная интернет-группа опубликовала свой обзор закона и выделила области для развития. Их рекомендации привели к разработке законопроекта о компьютерных злоупотреблениях 1990 года (поправка), который стремился внести поправки в CMA для соответствия Европейской конвенции о киберпреступности. [15] Согласно его положениям, максимальный срок тюремного заключения за нарушение закона был изменен с шести месяцев до двух лет. Он также стремился явно криминализировать атаки типа «отказ в обслуживании» и другие преступления, связанные с отказом в обслуживании. Законопроект не получил королевского одобрения, поскольку парламент был отложен .
Разделы 35–38 Закона о полиции и правосудии 2006 года содержат поправки к Закону о неправомерном использовании компьютеров 1990 года.
Раздел 37 («Изготовление, поставка или получение предметов для использования в преступлениях, связанных с неправомерным использованием компьютеров») вводит новый раздел 3А в Закон 1990 года и вызвал значительную критику со стороны ИТ-специалистов, поскольку многие из их инструментов могут использоваться преступниками в дополнение к их законным целям и, таким образом, подпадают под действие раздела 3А.
После скандала с телефонным взломом News International в 2011 году обсуждались поправки к закону, определяющие «умные» телефоны (т. е. телефоны с интернет-браузерами и другими функциями подключения) как компьютеры в соответствии с Законом. [ необходима цитата ] Такая поправка может также ввести новое правонарушение «предоставления информации с намерением», т. е. публичное раскрытие пароля к чьему-либо телефону или компьютеру, чтобы другие могли получить к нему незаконный доступ. [16] [ не удалось проверить ]
В 2015 году в Закон были внесены дополнительные поправки в соответствии с разделами 41–44 Части 2 (и другими) Закона о тяжких преступлениях 2015 года . [17]
Поправки к Закону о неправомерном использовании компьютеров 1990 года, внесенные Частью 5 Закона о полиции и правосудии 2006 года [18] ,
Поправки к Закону о неправомерном использовании компьютеров 1990 года, внесенные Частью 2 Закона о тяжких преступлениях 2015 года. [ 17]
В апреле 2020 года Мэтт Хэнкок издал распоряжения, предоставляющие GCHQ временные полномочия в отношении информационных систем Национальной службы здравоохранения до конца 2020 года в целях соблюдения Закона для поддержки и поддержания безопасности любой сети и информационной системы, которая напрямую или косвенно поддерживает предоставление услуг NHS или услуг общественного здравоохранения, предназначенных для борьбы с COVID-19 . [31]
В мае 2021 года министр внутренних дел Великобритании Прити Патель объявила об официальном пересмотре Закона о неправомерном использовании компьютеров. [32] Она также инициировала призыв к предоставлению информации об этом Законе, в котором запрашиваются мнения о том, существует ли деятельность, наносящая вред в области, охватываемой Законом, которая не охватывается надлежащим образом преступлениями, включая вопрос о том, пригодно ли законодательство для использования с учетом технологических достижений с момента введения CMA, а также любые другие предложения о том, как можно усилить законодательный ответ на киберпреступность. [33]
Пересмотр Закона последовал за растущими в последний год призывами к полному пересмотру правительством Закона о неправомерном использовании компьютерных технологий с целью проведения новых реформ.
В ноябре 2019 года генеральный директор Национального агентства по борьбе с преступностью (NCA) дама Линн Оуэнс предупредила, что «Закон о неправомерном использовании компьютеров был принят парламентом в то время, когда киберпространство не было тем инструментом, которым оно является сейчас, чтобы способствовать совершению всех видов преступлений, таких как мошенничество», и рассказала о планах по проведению реформ, чтобы убедиться, что закон «соответствует целям современной эпохи». [ необходима ссылка ]
В январе 2020 года сеть «Реформа уголовного права сейчас» (CLRNN) опубликовала всеобъемлющий отчет, в котором подчеркиваются недостатки Закона и даются подробные рекомендации по его реформированию. [34]
В том же месяце была создана кампания CyberUp с целью лоббирования правительства Великобритании с целью «обновления и модернизации» Закона. Запуск кампании был освещен в The Guardian в статье, в которой повторялся призыв к «срочной реформе». [35] Кампания CyberUp состоит из широкой коалиции поддерживающих органов из индустрии кибербезопасности, включая крупные киберконсалтинговые компании NCC Group и F-Secure , а также торговую организацию кибериндустрии TechUK . В ноябре 2020 года кампания получила поддержку Конфедерации британской промышленности .
Коалиция была сформирована на основе общего мнения о том, что обновление законодательства Великобритании о киберпреступности необходимо для защиты национальной безопасности и повышения экономического роста индустрии кибербезопасности Великобритании. Кампания ссылается на раздел 1 Закона, «запрещающий несанкционированный доступ к компьютерам», заявляя, что он непреднамеренно криминализирует большой объем исследований и расследований в области кибербезопасности и разведки угроз, которые часто проводятся специалистами по кибербезопасности Великобритании.
Кампания призвала к двум ключевым поправкам:
29 июня 2020 года, чтобы отпраздновать 30-летие Акта, кампания CyberUp написала открытое письмо премьер-министру от имени ряда деятелей индустрии кибербезопасности, чтобы подчеркнуть устаревшую актуальность Акта в эпоху быстрого цифрового прогресса. Это было опубликовано в The Daily Telegraph под заголовком «Эксперты по кибербезопасности говорят, что им мешают остановить компьютерное мошенничество». [36] [ требуется проверка ]
В июле 2020 года Комитет по разведке и безопасности парламента , отвечающий за надзор за разведывательными службами Великобритании, опубликовал отчет Комитета по разведке и безопасности в России и рекомендовал «обновить Закон о неправомерном использовании компьютеров, чтобы отразить современное использование персональных электронных устройств». В то время как в ответе правительства на отчет говорилось, что Закон регулярно пересматривается для определения преимуществ законодательных изменений, теневой министр иностранных дел Лиза Нэнди подчеркнула в январе 2021 года, что никакого прогресса в реализации рекомендации достигнуто не было.
В ноябре 2020 года кампания CyberUp и TechUK опубликовали новый отчет [37] [ ненадежный источник? ] о Законе о неправомерном использовании компьютеров, который стал первой работой по количественной оценке и анализу мнений более широкого сообщества по безопасности Великобритании. В отчете было обнаружено, что 80 процентов специалистов по кибербезопасности беспокоятся о нарушении закона при исследовании уязвимостей или расследовании действий субъектов киберугроз. Кроме того, 91 процент предприятий, ответивших на опрос в отчете, предположили, что Закон поставил их в невыгодное положение по сравнению с конкурентами, и что реформа позволит их организациям получить значительные улучшения производительности, роста и устойчивости. В отчете правительству рекомендуется рассмотреть возможность внедрения двух вышеуказанных поправок.
