In der gestrigen Beitrag habe ich bedeckte die erste Hälfte des Cybersecurity Act of 2009. Hier ist das Schreiben auf der zweiten Hälfte der Rechnung bezahlen.

§ 13: Cybersecurity Wettbewerb und Herausforderung

Wie der Name schon sagt, legt dieser die Mittel für eine Reihe von Wettbewerben für die Ermittlung der besten und hellsten Köpfe.

(A) in der General-Der Direktor des National Institute of Standards and Technology, direkt oder durch entsprechende Bundes-Einheiten, so Cyber-Wettbewerbe und Herausforderungen mit Geldpreisen zu schaffen, um-

(1) zu gewinnen, zu identifizieren, zu bewerten und zu rekrutieren talentierte Mitarbeiter für die Bundesrepublik Informationstechnologie beschäftigt, und

(2) stimulieren Innovation in Grundlagen-und angewandte Cyber-Forschung, technologische Entwicklung und Demonstration Prototyp, die das Potenzial für die Anwendung auf die Bundesrepublik Informationstechnologie-Aktivitäten der Bundesregierung haben.

Keine roten Fahnen hier. Preise können nicht mehr als $ 1M ohne checks and balances kicking in. Lassen Sie sich nicht Ihre Hoffnungen. Das ist für eine ganze Ereignis, nicht einen bestimmten Preis.

§ 14: Public-Private-Clearingstelle

Dieser Abschnitt scheint ziemlich gutartig, bis du es gelesen eng. Hier ist die Eröffnung Abschnitt:

(A) die Benennung-The Department of Commerce gilt als Clearingstelle der Cyber-Bedrohungen und Schwachstellen Informationen der Bundesregierung und des privaten Sektors im Besitz kritischer Infrastrukturen Informationssystemen und Netzwerken dienen.

Gähn. Ich sehe das als etwas, das man nicht Mandat kann. Wenn Sie nützliche Informationen liefern können, werden die Nutzer suchen, was Sie zu sagen haben. Wenn Sie Nachdruck nur, was bereits als Open Source freigegeben wurde, dann ist mein Google News-Feed wird wahrscheinlich mir die info schneller und mit einer besseren Oberfläche. Es ist leicht, diesen Abschnitt auf dieser Eröffnungsrede Basis zu ignorieren, aber lesen Sie bitte noch etwas weiter:

(B) FUNKTIONEN-The Secretary of Commerce-

(1) hat Zugriff auf alle relevanten Daten über solche Netze ohne Rücksicht auf eventuelle Bereitstellung von Gesetzen, Vorschriften, Regeln oder Richtlinien Beschränkung eines solchen Zugangs;

Was?? Dies ist für mich die ultimative Macht zu greifen. So ein Netzwerk oder System, das als "kritische Infrastruktur" werden kann, hat, damit das Commerce Department haben ungehinderten Zugang zu ihrem Netzwerk. Dieser Zugang ist ohne Rücksicht auf ein faires Verfahren oder der Rechtsstaatlichkeit. "Relevant" ist ein sehr subjektiver Begriff, der alles angewendet werden kann.

So kommt es zurück, dass "kritische Infrastrukturen" Beschreibung, die wir bereits erwähnt ist das Urteil Berufung ein einzelnes Individuum. Vielleicht Microsoft-Netzwerk sollte kritischer Infrastrukturen angesehen werden, da sie die Regierung Der primäre Desktop Anbieter sind. Vielleicht Linux-Entwicklung Server sollten ebenfalls als "kritisch" als Server, Appliances und Embedded-Technologie ist auf dieser Plattform basieren. Was ist mit Anti-Virus-und Firewall-Anbieter, die Produkte zu liefern, um die Regierung? Internet Service Provider Service-Government-Netzwerke? Telco ist Service Regierungsangestellte? Universitäten finanziert, um Cyber-Schutz Techniken zu entwickeln? Dies kann eine extrem rutschige Piste werden.

Für mich ist dies wahrscheinlich die gefährlichste Teil der Rechnung.

Abschnitt 15: Cybersecurity Risikomanagementbericht

Kurz gesagt, muss dieser Abschnitt des Präsidenten, um einen Bericht innerhalb eines Jahres, die identifiziert zu produzieren:

(1) Schaffung eines Marktes für Cyber-Risiko-Management, einschließlich der Schaffung eines Systems der zivilrechtlichen Haftung und Versicherung (einschließlich staatlicher Rückversicherung), und

(2) erfordern Cybersecurity zu einem Faktor in allen Ratings werden.

Dieser Artikel könnte in verschiedene Richtungen genommen werden. Wenn sie klug sind, werden sie an die Machbarkeit der Blasenentleerung Endnutzervereinbarungen, so dass Software-Anbieter müssen Haftung für die Sicherheit andernfalls in ihr Produkt zu akzeptieren aussehen. Ohne Haftung haben die Hersteller wenig Motivation, Architekt in ein Sicherheits-Framework von Produkt Gründung. Es ist viel einfacher und billiger zu kleben es auf nach zahlende Kunden haben bereits auf Probleme stoßen.

§ 16: Rechtliche Rahmenbedingungen und Bericht

Dieser Abschnitt fordert das Büro des Präsidenten zu bestehenden Cyber-Gesetze in Bezug auf Kritik:

der Bundesrepublik gesetzlichen und rechtlichen Rahmenbedingungen für Cyber-Aktivitäten in den Vereinigten Staaten

Kurz gesagt, ist dies ein Beitrag zu sehen, ob die Gesetze noch gelten oder aktualisiert werden müssen.

§ 17: Authentifizierung und bürgerlichen Freiheiten Bericht

Hier ist die gesamte Strecke:

Innerhalb 1 Jahres nach dem Zeitpunkt des Inkrafttretens dieses Gesetzes, so der Präsident oder die Präsidentin des Beauftragten, prüfen und Bericht an den Kongress, über die Durchführbarkeit eines Identity Management und Authentisierung Programm, mit dem entsprechenden Bürgerrechte und Schutz der Privatsphäre, für die Regierung und kritischen Infrastrukturen Informationssystemen und Netzwerken.

Ich bin mir nicht sicher, was ich in diesem Abschnitt zu machen. Es liest sich wie sie zu einer Single-Sign-On-Lösung für Behörden-Netzwerke finden wollen. Wenn das der Fall ist, verstehe ich nicht "geeignete bürgerlichen Freiheiten und Schutz der Privatsphäre"-Anweisung. Dies impliziert eine Anwendung, die mehr ausgerichtet ist auf die breite Öffentlichkeit. Jury ist noch heraus auf diesem Abschnitt, wie ich keine andere Meinungen zu gesehen haben.

§ 18: Cybersecurity Verantwortung und Autorität

Hier ist der Abschnitt, jeder ist ausgeflippt über. Der Klappentext:

Der Präsident-

(2) dürfen deklarieren Sie eine Cyber-Notfall-und damit die Beschränkung oder Abschaltung des Internet-Verkehrs zu und von jedem kompromittiert Bundesregierung oder United States kritischer Infrastrukturen Informationssystem oder im Netzwerk;

Klingt schlimm, aber denken Sie an es auf diese Weise. Wenn Flugzeuge wurden in den Bau der Präsident Absturz ordnete die Erdung aller kommerziellen Flügen. Ich bezweifle, gab es ein spezielles Gesetz gibt ihm die besondere Autorität, aber angesichts war es eine Notsituation niemand argumentierte der Punkt oder hielt es für einen Missbrauch der Macht.

Ich sehe diese Bestimmung als ähnlich. Wenn es sich bestätigt, dass Angreifer die Kontrolle über das Stromnetz genommen und werden nun systematisch ausschaltet, wird niemand die Schuld der Präsident werde für verlangen, dass diese Organisationen sich selbst aus dem Internet zu isolieren auf freiem Fuß. Es kann, muss aber nicht wirklich das Problem zu beheben, aber es wäre eine zu erwartende Verteidigungsdispositivs werden. Dies wäre mit oder ohne diese Bestimmung in das Gesetz eintreten.

So mir dieses Abschnitts ist eine Menge Tamtam um nichts. Einige der zuvor erörterten Abschnitte sind viel unheimlicher.

Ein weiterer interessanter Punkt in diesem Abschnitt:

(5) leitet die regelmäßige Kartierung der Bundesregierung und den Vereinigten Staaten kritischer Infrastrukturen informationstechnischen Systemen oder Netzwerken und sind Metriken, um die Wirksamkeit des Mapping-Prozesses zu messen entwickeln

In gewisser Weise hat dieser Prozess bereits im Rahmen der gestarteten Trusted Internet Connect (TIC)-Programm. Eigentlich bin ich irgendwie überrascht es nicht bereits eine Anforderung. Es ist möglich, dies bereits getan wird, sondern dass die Daten nicht verfügbar war, wenn die Rechnung geschrieben wurde.

§ 19: Quadriennale Cyber ​​überprüfen

(A) in allgemeinen Beginnend mit 2013 und in jedem vierten Jahr danach, so der Präsident oder die Präsidentin des Beauftragten, eine Überprüfung der Cyber ​​Haltung der Vereinigten Staaten, darunter ein nicht klassifiziertes Zusammenfassung der Rollen, Aufgaben, Leistungen, Pläne, und Programme.

Kurz gesagt, bekommt jeder neue Präsident zum Kommentar, wie sie denken, dass ihre Vorgänger in Bezug auf Internetsicherheit durchgeführt liefern. Dieser Bericht wäre viel nützlicher, wenn sie ein Jahr zuvor erforderlich war. Auf diese Weise würde es als ein Briefing für den neuen Präsidenten zu handeln. Es würde ihnen eine bessere Vorstellung von dem, was erforderlich ist für die Zukunft.

§ 20: Joint Intelligence Bedrohungsanalyse

Gibt ein (weiteres) jährlich einen Bericht über Internetsicherheit an den Kongress. Hier ist nichts zu sehen. Move along.

§ 21: Internationale Normen und Cyber ​​Abschreckung Maßnahmen

Hier ist der Clip:

Der Präsident ist-

(1) mit Vertretern ausländischer Regierungen Arbeit-

(A), Normen, Organisationen und anderen kooperativen Aktivitäten für das internationale Engagement zur Internetsicherheit verbessern; und

(B) zur Förderung der internationalen Zusammenarbeit bei der Verbesserung der Sicherheit im Internet auf globaler Basis

Ich sehe dies als mehr die Rolle des Department of Justice . Was wir brauchen, ist eine bessere Interaktion zwischen den Strafverfolgungsbehörden über internationale Grenzen hinweg, nicht PR-Schnipsel und Gehabe. Denken Sie daran, auf diese Weise, was wäre effektiver bei der Verhinderung physische Taten über Staatsgrenzen, häufige Interaktion zwischen staatlichen Strafverfolgungsbehörden, oder häufige Interaktion zwischen Governors?

§ 22: Bundesamt für sichere Produkte und Dienstleistungen Akquisitionen Bord

Für mich ist dies wohl eine der positiven Teile der Gesetzesvorlage. Hier ist dem Klappentext:

(A) Schaffung-Es ist ein Secure-Produkte und Dienstleistungen Acquisitions Board eingerichtet. Der Vorstand ist verantwortlich für Cyber-Überprüfung und Genehmigung von hochwertigen Produkten und Dienstleistungen Erwerb und, in Abstimmung mit dem National Institute of Standards and Technology, für die Schaffung geeigneter Standards für die Validierung von Software, die von der Bundesregierung übernommen werden.

Kurz gesagt, würde die Regierung mit seiner kombinierten Kaufkraft Sicherheitsstandards für alle Software-Käufe zu erzwingen. Dies kann eine tief greifende Auswirkungen auf die gewerbliche Wirtschaft. Vendors Liebe zu beschweren, dass es zu teuer, um gesicherte Software Schiff ist. Nun, wenn sie an die Regierung verkaufen wollen, müssen sie die entsprechende NIST-Standards zu erfüllen. Höchstwahrscheinlich wird der gesicherte Software wäre für kommerzielle Kauf als auch. So out of the box würden Sie am Ende mit einem sicheren Produkt.

Auch hier sehe ich dies als eine äußerst positive Voraussetzung. Während Anbieter darüber schimpfen kann, da die Kunden würden wir alle profitieren.

§ 23: Definitionen

Das ist einfach eine Definition der Begriffe in die Rechnung eingesetzt. Alle sind entweder allgemeine Begriffe (wie "Internet") oder beschrieben in früheren Abschnitten.

Exec Zusammenfassung

Es gibt Dinge, so gut wie Angst in diese Rechnung Liebe. Es erhöht die Mittel für die Cyber-Forschung sowie nutzt die Regierung die Kaufkraft um mehr sichere Software für alle zu generieren. Gleichzeitig versucht es, etablierte Prozesse (wie auch Rechtsnormen), die das Potential, um die Cyber-Situation eher schlimmer als besser umgehen. Der Gesetzentwurf wird derzeit von der Bewertung Senatsausschuss für Handel, Wissenschaft und Verkehr . Jetzt ist die Zeit, um jedes Lob oder Bedenken haben Stimme.

Es gab etliche Artikel über die seit Cybersecurity Act of 2009 . Die meisten haben auf den Abschnitt, geben der Präsident würde die Macht, "shutdown the Internet" konzentriert. Aber gibt es andere Dinge in dieser Rechnung, die Sie noch mehr Sorgen über sollte? Gibt es etwas wirklich nützlich in der Rechnung? In diesem zweiteiligen Beitrag werde ich Sie durch die Rechnung Abschnitt für Abschnitt zu nehmen.

Die ersten beiden Abschnitte sind einfach die Übersicht und die Ergebnisse. Ein bemerkenswertes Zitat aus Abschnitt 2:

(1) Amerikas Scheitern im Cyberspace zu schützen, ist eine der vordringlichsten nationalen Sicherheit Probleme des Landes.

Dies gibt den Ton für den Rest des Abschnitts, und ich muss sagen, ich stimme der Aussage. Sicherheit weisen wir wirklich sind in schlechterem Zustand als die meisten Menschen glauben machen wollen.

Abschnitt 3: Cybersecurity Advisory Panel

Diese beiden Zitate wirklich sagen alles:

(A) in der General-Der Präsident wird errichtet oder bestimmt eine Cybersecurity Advisory Panel.

(C) Abgaben-Das Gremium berät den Präsidenten in Fragen der nationalen Sicherheit im Internet-Programm und Strategie beraten

Ich habe gemischte Gefühle in Bezug auf diese Punkte. Ich denke, dass Cyber ​​wichtig genug, um High-Level-Sicht verdient wird. Doch diese Rechnung geht Hand in Hand mit S. 788, ein Gesetz, um die Position der Cybersecurity Advisor erstellen und HR 1910, ein Gesetz, um die Position des Chief Technology Officer zu schaffen . Beide Positionen würden berichten direkt an den Präsidenten, so scheint es sinnvoller, die Platte fallen unter diese beiden Rollen in der nationalen Organigramm. Mai nur Semantik, aber eines der Themen, die wir heute haben, ist parallel Amtszeit ohne klare Eigentumsverhältnisse von Problemen. Wenn alle drei Gesetzentwürfe passieren Ich sehe eine höhere Chance, das Entstehen von Konflikten, anstatt Auflösungen.

Abschnitt 4: Echtzeit Cyber-Armaturenbrett

Ich habe wenig Aufmerksamkeit geschenkt, um diesen Artikel zu sehen, aber es ist eine Hand zu weisen Anweisung in diesem Abschnitt aus:

Der Secretary of Commerce wird

(1) in Absprache mit dem Office of Management and Budget, einen Plan entwickeln, innerhalb von 90 Tagen nach dem Datum des Inkrafttretens dieses Gesetzes, um ein System zur dynamischen, umfassende Echtzeit-Cyber-Status und die Anfälligkeit Informationen aller Bundesregierung Informationen zur Verfügung zu implementieren Systeme und Netzwerke durch das Department of Commerce verwaltet werden;

Ein paar Punkte hier, warum gerade der Abteilung für Handel? Wenn dies ein wirklich nützliches Hilfsmittel sein, warum es nicht erweitern die Nutzung außerhalb dieser Regierung Büro? Auch ist die Aussage etwas vage. Dies könnte als unwirksam, da die nationalen Threat Level oder eine Teilmenge der Daten durch Websites wie vorgesehen DShield oder Homeland Security Open Source Infrastruktur-Bericht . So oder so sehe ich dies als eine langfristige Scheitern.

Abschnitt 5: Staatliche und regionale Cyber-Programm

Hier ist der Mittelpunkt dieses Abschnitts:

(A) Schaffung und Unterstützung der Sicherheit im Internet CENTERS-The Secretary of Commerce wird die Hilfe für die Schaffung und Unterstützung von Regional Cybersecurity Centers für die Förderung und Durchführung von Cyber-Standards bieten. Jedes Zentrum ist mit einem Sitz in den USA Non-Profit-Institution oder Organisation, oder das Konsortium davon, dass für die gilt und erhält finanzielle Unterstützung im Rahmen dieses Abschnitts verbunden werden.

Hört sich gut an auf der ersten zu lesen, aber was ist mit der "mit dem Unternehmen assoziiert ... Non-Profit-Organisationen" Abschnitt? Wir könnten leicht am Ende mit einem nicht-zentralisierten System ohne klare Anlaufstelle für ihre Zielgruppe. Also, wenn ich brauche Hilfe mit Cybersecurity, sollte ich gehen ... The Jimmy Fund ? Farm Aid ? Oder vielleicht ist es die Tennessee Elephant Sanctuary ?

Ich persönlich denke, diese Zentren mit sollte angeschlossen sein InfraGard . Sie in fast jedem Staat niedergelassen sind, haben bereits eine lange Geschichte von gesellschaftlichem Engagement, und sind bereits auf den Umgang mit Cyber-Fragen. Meine Vermutung ist, dass das Handelsministerium die vollständige Kontrolle will, während InfraGard ist bereits mit dem FBI verbunden.

Also, was ist das Ziel der Schaffung dieser Zentren?

(B) Zweck-Ziel des Centers ist es, die Sicherheit im Internet für kleine und mittlere Unternehmen in den Vereinigten Staaten zu verbessern

Dies ist ein bewundernswertes Ziel. Wegen des Mangels an Ressourcen, kleine und mittlere Unternehmen kämpfen am meisten. Wahrscheinlich das einzige demografische, die größer ist, würde Heimanwender werden. Wenn wir Schritte, um diese Organisationen zu unterstützen könnte, wäre es ein langer Weg in Richtung Anreicherung unsere nationale Sicherheit Haltung gehen.

Die Zentren würden kleine und mittlere Unternehmen unterstützen durch:

(1) zu verbreiten Cyber-Technologien, Standards und Prozesse auf den Forschungen des Instituts für die Zwecke der Demonstration und Technologietransfer;

(2) aktiv zu übertragen und zu verbreiten Cyber-Strategien, Best Practices, Standards und Technologien zum Schutz vor und das Risiko von Cyber-Angriffen auf ein breites Spektrum von Unternehmen und Unternehmen, insbesondere kleine und mittlere Unternehmen, und

(3) machen Kredite, auf eine selektive, kurzfristig, der Elemente des fortgeschrittenen Cybersecurity Gegenmaßnahmen für kleine Unternehmen mit weniger als 100 Mitarbeiter.

Auch hier sehe ich diese Aktivitäten als eine große fit für InfraGard. Deployment würde beschleunigt, da es bereits mit einem nationalen Struktur sein. Diese würden drastisch senken die Kurve auf die diese Ressourcen zur Verfügung.

Abschnitt 6: NIST-Standards Entwicklung und Einhaltung

Der Gesetzentwurf sieht auf NIST, um Sicherheitsstandards für alle Regierungsbehörden zu entwickeln:

(A) in allgemeinen innerhalb 1 Jahres nach dem Zeitpunkt des Inkrafttretens dieses Gesetzes, so das National Institute of Standards and Technology etablieren messbare und überprüfbare Cyber-Standards für alle Federal Government, Auftragnehmer oder grantee kritischer Infrastrukturen Informationssystemen und-netzen

NIST ist bereits verantwortlich für die Festlegung von Normen. In der Tat ihre Sicherheit Dokumente gelten als einige der besten in der Branche. Gemäß der Information Technology Reform Act von 1996 , ist NIST bereits mit der Entwicklung Federal Information Processing Standards (FIPS) berechnet.

Ich bin kein Jurist, aber ich sehe nichts in diesem Abschnitt, die nicht bereits von früheren Rechnungen wurden außer dieser tid bit unter "(d) Compliance Enforcement" angegeben:

(2) bedarf jede Bundesbehörde, und jeder Betreiber eines Informationssystems oder das Netzwerk durch den Präsidenten als kritische Infrastruktur Informationssystem oder Netzwerk bezeichnet, in regelmäßigen Abständen die Einhaltung der Standards nach diesem Abschnitt festgesetzten demonstrieren.

Ich bin ehrlich gesagt nicht sicher, ob der Präsident derzeit hat die Macht, (willkürlich?) Bezeichnen ein Netzwerk oder System als "kritisch" und unterliegen somit diesen Abschnitt. Ich bevorzuge Definitionen gegenüber subjektiv vertrauensvolle das Urteil eines einzelnen Individuums. So können wir in beide Richtungen abgedeckt sind, von Systemen, die aufgenommen wurden, sollte aber verfehlt wurden, sowie Systeme, die nicht wirklich auf der Liste gehören.

Abschnitt 7: Lizenzierung und Zertifizierung der Sicherheit im Internet-Profis

In diesem Abschnitt wirklich erschreckt mich, wie es das Potenzial, mehr Schaden als Nutzen zu tun hat. Hier ist die Beschreibung:

(A) in allgemeinen innerhalb 1 Jahres nach dem Zeitpunkt des Inkrafttretens dieses Gesetzes, der Secretary of Commerce erarbeitet oder koordinieren und integrieren eine nationale Zulassung, Zertifizierung und regelmäßige Rezertifizierung für Cyber-Profis.

Für mich, schrieb jemand, der keine Ahnung von der Tragweite dessen, was erforderlich ist, um das Problem zu lösen hat dieses Abschnitts. Cybersecurity ist nicht einer einzelnen Disziplin. Es gibt Experten, die sich auf Malware-Analyse, Perimeter-Sicherheit, Paketdecodierung-und Intrusion-Analyse, Incident Handling, Host-spezifischen Sicherheits-, Prüfungs-, Forensik-, Wireless-Datenbanken, und die Liste geht weiter und weiter. Eine nationale Zertifizierung und Lizenzierung Programm würde am Ende wird einer der folgenden:

1. So Allgemeinen ist es wirklich bedeutet gar nichts
2. So schwierig "zertifiziert" Ressourcen wäre schwer zu bekommen

Aufgrund der Vielfalt der Cyber-Bereich, es gibt wirklich keinen Mittelweg. In diesem Abschnitt geht dann auf zu sagen:

(B) Genehmigungsbedürftigkeit-Beginning 3 Jahre nach dem Datum des Inkrafttretens dieses Gesetzes, so ist es ungesetzlich für jeden einzelnen, um im Geschäft in den Vereinigten Staaten engagieren, oder in den Vereinigten Staaten eingesetzt werden, als Anbieter von Cyber-Dienstleistungen einer Bundesbehörde oder einer Informations-System oder das Netzwerk durch den Präsidenten oder die Präsidentin des Beauftragten benannt, als kritische Infrastruktur Informationssystem oder im Netzwerk, die nicht lizenziert ist und im Rahmen des Programms zertifiziert.

Warten Sie eine Minute. Nehmen wir nur eine eklatante Beispiel. Alan Paller ist der Director of Research bei SANS , wurde in diesem Gesetz (§ 2, Nr. 8) zitiert, und ist einer meiner persönlichen Helden in dieser Branche. Er ist Gemeinderat in das Weiße Haus und der Kongress mehrfach zur Verfügung gestellt. Er ist einer dieser einzigartigen Individuen, die Kluft zwischen Leuten, die verschiedene Sprachen (Geeks, CFO, COO, etc.) sprechen vermitteln können. Während er die Branche kennt, er ist nicht die Art von Kerl, der Zeit damit verbringt, schriftlich Nessus Plug-Ins oder Dekodierung TCP Angriff Streams. Ist es wirklich die Absicht dieses Gesetz zu Ressourcen wie Alan verlieren, wenn sie nicht zu bestätigen, wählen Sie?

Es gibt hier ein Muster jedoch. Wie so viele Posten, bevor er legt diesem Abschnitt Kontrolle in den Händen des Commerce Department. Also ich persönlich denke, das ist weniger darum sicherzustellen, haben wir geschultes Personal unterstützt Netzwerk-Sicherheit, und mehr über grabbing Macht.

Section 8: Überprüfung der NTIA Domain-Namen Verträge

Dies ist ein weiterer Abschnitt beängstigend:

(A) in allgemeinen keine Eingriffe seitens des Assistant Secretary of Commerce for Communications and Information nach dem Datum des Inkrafttretens dieses Gesetzes im Hinblick auf die Erneuerung oder Änderung eines Vertrages im Zusammenhang mit dem Betrieb der Internet Assigned Numbers Authority, ist endgültig bis zum Advisory Panel-

(1) hat die Aktion überprüft;

(2) als die kommerzielle und nationale Sicherheit Auswirkungen der Maßnahme; und

(3) genehmigt die Aktion.

Die Internet Assigned Numbers Authority (IANA) von The ausgeführt Internet Corporation for Assigned Names and Numbers (ICANN). Dies ist eine internationale Non-Profit Organisation, die verantwortlich für die Führung (nicht umgesetzt) ​​High-Level-Operationen des Internet ist. Sie nehmen Beratung aus einer Reihe von Organisationen, einschließlich der Internet Engineering Task Force (IETF), die die Standards für die Kommunikation über das Internet definiert. Die IETF ist eine internationale Organisation, die alle von den einzelnen Forschern, Herstellern gemacht.

Für mich klingt dieser Abschnitt wie ein Versuch, finanziellen Druck auf diese Organisationen zu bringen. Auch scheint dies ein Versuch, mehr Power unter der Abteilung für Handel konsolidieren. Besonders, wenn man es kombinieren mit § 9.

§ 9: Secure Domain-Namen-Adressen-System

Hier ist der Clip:

(A) in der General-Innerhalb von 3 Jahren nach dem Zeitpunkt des Inkrafttretens dieses Gesetzes hat der Assistant Secretary of Commerce for Communications and Information eine Strategie entwickeln, um eine sichere Domain-Namen-Adressen-System zu implementieren. Der Assistant Secretary veröffentlichen Mitteilung über die Systemanforderungen im Federal Register zusammen mit einem Zeitplan für US-Bundesbehörden und informationstechnischen Systemen oder Netzwerken durch den Präsidenten oder die Präsidentin des Beauftragten benannt, wie kritische Infrastrukturen informationstechnischen Systemen oder Netzwerken.

Wie im letzten Abschnitt erwähnt, die Entwicklung von Internet-Standards in der Rolle der IETF, nicht das Commerce Department. Darüber hinaus haben wir bereits Standards, um den Domain-Namen-Struktur (secure DNSSEC ) sowie Routing und die IP-Adressierung ( sBGP ). Das Problem ist ihr Einsatz hat sich extrem langsam. Was wir brauchen, ist die Bereitstellung der bestehenden Normen, nicht wettbewerbsorientierte außerhalb der akzeptierten IETF-Prozess entwickelt.

In diesem Abschnitt geht dann auf zu sagen:

(B) erforderlich ist-Der Präsident trägt dafür Sorge, dass jede Bundesbehörde und jeder ein solches System oder Netzwerk die sichere Domain-Namen-Adressen-System implementiert in Übereinstimmung mit dem Zeitplan von der Assistant Secretary veröffentlicht.

OK hier ist das Problem. Um IP-und DNS-Sicherung hat die Lösung auf globaler Ebene umgesetzt werden. Das ist ein Teil der Grund, warum es genommen hat, so lange. Wenn die Bundesregierung heute DNSSEC und sBGP eingesetzt würde es tun wenig, um Domain-Namen Hijacking oder Route Umleitung zu verhindern, weil Angreifer einfach außerhalb der Regierung Umfang zu arbeiten.

Ich muss sagen, ich teile die Frustration in diesem Bereich. Beide DNSSEC und sBGP gibt es schon seit 10 Jahren. Ich denke, wir brauchen, um es aufzusaugen auf die Störungen, die durch Einsatz verursacht werden und dürfen nur den Job zu erledigen. Vielleicht ICANN braucht ein Feuer unter den Hintern angezündet, um einige Vorwärtsbewegung zu schaffen. Ich bin einfach nicht überzeugt, dass diese beiden Abschnitte sind die Art und Weise, darüber zu gehen.

§ 10: Förderung der Cyber-Bewusstsein

Sie wussten, eine PR-Kampagne mit einbezogen werden muss hier irgendwo, nicht wahr? Hier ist dem Klappentext:

Der Secretary of Commerce sind Entwicklung und Umsetzung eines nationalen Cyber-Awareness-Kampagne

Nicht sicher, wie nützlich diese sein wird, weil die News-Feeds sind bereits voll von Geschichten, die den heutigen Stand unserer Sicherheit zu beschreiben. Ich sehe dies als das Potenzial albern zu sein, anstatt informativ. Ich habe diese Visionen zu Fuß in mein Kind die Schule und zu sehen, ein Plakat, das heißt "Billy Bytes Says nicht A H4x0r Be". OK, hoffentlich wird nie passieren, aber man weiß ja nie.

§ 11: Bundesamt für Sicherheit im Internet für Forschung und Entwicklung

Hier ist die erste Aussage:

(A) grundsätzliche CyberSecurity RESEARCH-Der Direktor des National Science Foundation bemüht sich vorrangig um Informatik und Informationswissenschaft und ingenieurwissenschaftlicher Forschung geben, um sicherzustellen, erhebliche Unterstützung geleistet wird, um die folgenden Herausforderungen in Datennetzen zu erfüllen:

Dieser Abschnitt Dumps viel Geld in die Forschung und Entwicklung von Cyber-Techniken. Es ändert bestehende Rechnungen, die Ausgaben von $ 265 Mio. im Jahr 2010 auf über $ 310M bis 2014. Es gibt bereits andere Programme, Fonds Cyber-Forschung, aber sofern die Mittel angemessen sind Ich sehe dies als hilfreich, um die Ursache verwaltet.

§ 12: Bundesamt für Cyber-Stipendium für Service-Programm

Hier ist der Clip:

(A) in der General-Der Direktor des National Science Foundation stellt ein Federal Cyber ​​Scholarship-for-Service-Programm zur Rekrutierung und Ausbildung der nächsten Generation von Federal Informationstechnologie Arbeiter und Sicherheits-Managern.

Das ist nicht anders als viele andere "Stipendium für den Dienst"-Programme. Ich sehe dies als vorteilhaft, sowohl die Schüler als auch die Regierung. $ 50M hat das Programm zugewiesen wurden, stieg auf $ 70M von 2014.

Zusammenfassung

Das war es für heute. Morgen werde ich nach der letzten Hälfte der Rechnung bezahlen.