Computer >> Hướng Dẫn Máy Tính >  >> Kết Nối Mạng >> An Ninh Mạng

Luật liên bang Mỹ xử lý tội phạm mạng / an ninh mạng

Luật liên bang chính điều chỉnh tội phạm mạng tại Mỹ

1. Computer Fraud and Abuse Act (CFAA) - 18 U.S.C. § 1030 (QUAN TRỌNG NHẤT)

  • Được ban hành: 1986 (sửa đổi 1988, 1989, 1990, 1994, 1996, 2001 USA PATRIOT Act, 2008 Identity Theft Enforcement Act).
  • Phạm vi: Luật chính dùng để truy tố truy cập máy tính trái phép, vượt quyền truy cập, gây hại, lừa đảo, đe dọa, mật khẩu,勒索 phần mềm, спам, botnet.
  • Các điều khoản cốt lõi (§1030(a)):
    • (a)(1): Truy cập trái phép máy tính liên bang / an ninh quốc gia.
    • (a)(2): Truy cập trái phép để lấy thông tin (tài chính, chính phủ, protected computer).
    • (a)(3): Truy cập trái phép máy tính chính phủ (non-public).
    • (a)(4): Truy cập trái phép để lừa đảo, lấy giá trị (> $5,000).
    • (a)(5): Gây hại cố ý (Malware, Ransomware, DDoS, Wiper) - dùng nhiều nhất cho tấn công phá hoại.
    • (a)(6): Trafficking mật khẩu / thông tin xác thực.
    • (a)(7): Đe dọa gây hại máy tính /勒索.
  • "Protected Computer": Định nghĩa rộng - bất kỳ máy tính nào dùng trong/ảnh hưởng đến thương mại liên bang hoặc ngoại giao (gần như mọi máy tính kết nối Internet).
  • Xử phạt: Tù từ 1-20 năm (tùy điều khoản, reoffense, thiệt hại >$5k, đe dọa an ninh quốc gia, gây hại thể chất). Phạt tiền theo Title 18.

2. Electronic Communications Privacy Act (ECPA) - 18 U.S.C. §§ 2510-2522, 2701-2712, 3121-3127

  • Title I - Wiretap Act (§2510-2522): Cấm nghe lén, ghi chép, tiết lộ komunikasi điện tử/điện thoại/kết nối truyền thông đang diễn ra (Real-time interception). Yêu cầu Court Order (Title III) cho Straford.
  • Title II - Stored Communications Act (SCA) (§2701-2712): Bảo vệ email, tin nhắn, dữ liệu lưu trữ trên server (ISP, Cloud, Email Provider). Cấm truy cập trái phép. LE cần Warrant (nội dung <180 ngày) hoặc Subpoena/Court Order (metadata, >180 ngày).
  • Title III - Pen Register/Trap & Trace (§3121-3127): Thu thập metadata (số gọi, IP, routing - KHÔNG nội dung). Court Order dễ hơn Wiretap.

3. Identity Theft and Assumption Deterrence Act (1998) - 18 U.S.C. § 1028

  • Tội danh tính (Identity Theft) thành tội liên bang riêng. Sử dụng ID người khác trái phép để lừa đảo.
  • Phát triển: Aggravated Identity Theft (18 U.S.C. § 1028A) - +2 năm tù bắt buộc thêm cho felony khác (fraud, immigration, terrorism).

4. CAN-SPAM Act (2003) - 15 U.S.C. §§ 7701-7713

  • Điều chỉnh email thương mại: Header thật, Subject không gạt, Opt-out rõ ràng, Address vật lý. Phạt lên đến $50,120/email vi phạm.

5. Digital Millennium Copyright Act (DMCA) (1998) - 17 U.S.C. § 1201

  • Anti-circumvention: Cấm phá vỡ biện pháp bảo vệ kỹ thuật (DRM). Cấm phân phối tool phá DRM.
  • Safe Harbor cho ISP/OCP (Online Service Provider) tuân thủ Notice-and-Takedown.

6. Cybersecurity Information Sharing Act (CISA) (2015)

  • Khuyến khích chia sẻ Cyber Threat Indicator (CTI) giữa Private Sector ↔ Federal Gov (DHS/CISA) với miễn trừ trách nhiệm pháp lý.
  • Tự động chia sẻ real-time qua AIS (Automated Indicator Sharing).

7. Federal Information Security Modernization Act (FISMA) (2002/2014) - 44 U.S.C. § 3551 et seq.

  • Yêu cầu Federal Agencies triển khai Information Security Program (NIST SP 800-53, RMF).
  • OMB giám sát, Congress báo cáo hàng năm. Mở rộng ra Contractor (NIST SP 800-171, CMMC).

8. Health Insurance Portability and Accountability Act (HIPAA) (1996) - Security Rule

  • Bảo vệ ePHI (Electronic Protected Health Information). Administrative, Physical, Technical Safeguards (Encryption, Access Control, Audit Control, Integrity, Transmission Security).

9. Gramm-Leach-Bliley Act (GLBA) (1999) - Safeguards Rule

  • Tài chính (Bank, Insurance, Investment) phải bảo vệ thông tin khách hàng (Nonpublic Personal Information). Risk Assessment, Safeguards, Oversight.

10. Sarbanes-Oxley Act (SOX) (2002) - Section 404

  • Công ty niêm yết: Internal Control over Financial Reporting (ICFR). IT General Controls (ITGC) quan trọng: Access Control, Change Mgmt, Segregation of Duties.

Luật liên bang đầu tiên cấm truy cập máy tính trái phép

Counterfeit Access Device and Computer Fraud and Abuse Act of 1984 (Public Law 98-473, Title II) - Tiền thân của CFAA 1986. Chỉ áp dụng cho máy tính chính phủ & tài chính liên bang, phạm vi hẹp. CFAA 1986 mở rộng ra "Protected Computer" (gần như mọi máy tính online).

Ai điều tra & truy tố?

  • FBI (Cyber Division): Cơ quan điều tra chính (InfraGard, IC3.gov - Internet Crime Complaint Center).
  • DOJ (Computer Crime & Intellectual Property Section - CCIPS): Truy tố liên bang.
  • Secret Service: Tài chính, thanh toán, tham nhũng, bảo vệ hạ tầng quan trọng.
  • CISA (DHS): Phòng thủ, chia sẻ thông tin, hỗ trợ incident response (không truy tố).
  • NSA / US Cyber Command: An ninh quốc gia, quân sự, APT nation-state.

5 Luật an ninh mạng (Schneier's "Five Laws of Cybersecurity" - tham khảo)

  1. Nếu có lỗ hổng, nó SẼ bị khai thác.
  2. Mọi thứ đều có lỗ hổng dưới góc độ nào đó.
  3. Con người tin tưởng ngay cả khi không nên (Social Engineering).
  4. Sự đổi mới mang lại cơ hội khai thác mới.
  5. Khi băn khoăn, tham khảo Luật 1.

Kết luận

CFAA (18 U.S.C. § 1030) là "Luật cha" của tội phạm máy tính liên bang Mỹ, được dùng trong绝大多 số vụ truy tố hacking, ransomware, data theft, insider threat, botnet. Bổ sung bởi ECPA (Wiretap/SCA) cho komunikasi/lưu trữ, DMCA cho bản quyền/kỹ thuật, FISMA/GLBA/HIPAA/SOX cho ngành cụ thể. CISA thúc đẩy chia sẻ threat intel. Hiểu CFAA là bắt buộc cho pháp lý, compliance, IR, threat intel tại Mỹ.