قوانین امنیت سایبری، برای محافظت از دولت‌ها یا مردم؟

سعید میرشاهی – امروز در سرتاسر دنیا، قوانین امنیت سایبری، اغلب از ابزار صِرف برای مبارزه با تهدیدات سایبری که در قالب ویروس‌های رایانه‌ای نمود می‌یابند، به موارد بسیار گسترده‌تر‌ توسعه یافته‌اند. این قوانین از ایجاد مرزهایی برای محافظت از افراد در برابر فعالیت‌های مخرب سایبری تا دولت‌هایی که از قوانین مشابه برای نقض آزادی بیان استفاده می‌کنند، گسترش یافته‌اند.

سایت TBSنیوز در گزارشی به قلم نوسمیلا لوهانی نوشت: دولت بنگلادش اخیرا اعلام کرده که قانون امنیت دیجیتال  (2018)، که هم در سطح محلی و هم در سطح بین‌المللی به دلیل استفاده مقامات برای سرکوب آزادی بیان با انتقاد مواجه شده، با قانون جدید امنیت سایبری (2023)، جایگزین خواهد شد. قانون جدید بیانگر آخرین گام به سمت تنظیم فضای سایبری است که با قانون فناوری اطلاعات و ارتباطات در سال 2006 آغاز شده بود. همچنین به خاطر بخش 57 آن قانون که بسیار بدنام شد، این بخس در حوزه DSA پیشرو تلقی می‌شود.

البته بنگلادش در تلاش برای معرفی قوانین امنیت سایبری و نظارت سایبری که اغلب با آزادی‌های فردی شهروندان و حقوق آنها برای آزادی بیان در تضاد است، تنها نیست.

کارشناسان امنیت سایبری به افزایش تهدیدات سایبری و تعداد فزاینده مجرمان سایبری که از اطلاعات، اموال، عملیات و سایر دارایی‌های دیجیتال افراد سوءاستفاده می‌کنند، می‌پردازند که نیاز به قوانین و امنیت سایبری را در چند دهه گذشته، تشدید کرده است.

• تصویب قوانین جرایم سایبری در 80 درصد کشورها

در حال حاضر، اکثر کشورهای جهان دارای قوانین جرایم سایبری هستند. در حالی که 156 کشور (80 درصد کشورها) قوانین جرایم سایبری را تصویب کرده‌اند اما الگوی آن در هر منطقه متفاوت است.

بر اساس کنفرانس تجارت و توسعه سازمان ملل، اروپا بالاترین نرخ پذیرش (91 درصد) و آفریقا کمترین (72 درصد) را دارد.

در تئوری، قوانین امنیت سایبری، که مشخصات آنها از کشوری به کشور دیگر متفاوت است، به طور کلی برای محافظت از مردم در برابر تهدیدات سایبری وضع می‌شود. این موارد، هک، نقض داده‌ها، سرقت هویت و کلاهبرداری، آزار و اذیت اینترنتی، سوءاستفاده آنلاین از کودکان، بدافزار و باج‌افزار، نقض حریم خصوصی و… را شامل می‌شود اما محدود به این موارد نیست. با این حال، در واقعیت، بارها و بارها، مستنداتی درباره سوءاستفاده برخی دولت‌ها از برخی مفاد این قوانین برای ارعاب، تضییع حقوق شهروندان در زمینه آزادی بیان و حتی زندانی کردن افراد، منتشر شده است.

علاوه بر این، در حالی که قوانین امنیت سایبری، اساسا در سراسر جهان برای محافظت از افراد در برابر یکدیگر یا سازمان‌ها طراحی شده‌اند، نباید فراموش کرد این قوانین برای غول‌های فناوری نیز اعمال می‌شود.

اگرچه این چارچوب، از کشوری به کشور دیگر متفاوت است اما قوانین امنیت سایبری برای جلوگیری از فجایع دیجیتالی مانند رسوایی کمبریج آنالیتیکا فیس‌بوک در دسامبر 2015، که در آن میلیون‌ها داده شخصی به بیرون درز کرد، وجود دارد. این، تنها یک نمونه است.

موارد متعددی از نشت داده‌های شخصی به دلیل سوءاستفاده از اطلاعات توسط غول‌های فناوری رخ داده است؛ بدین معنا که قوانین امنیت سایبری شکست خورده بود. هرچند دولت‌ها در زمینه تنظیم مقررات برای غول‌های فناوری شکست خورده بودند اما تمرکز خود را در جاهای دیگر برای استفاده از قوانین وضع‌شده معطوف کردند.

• تئوری در برابر واقعیت: قوانین جرایم سایبری در 10 کشور

• هند:

بخش A66 قانون فناوری اطلاعات 2000 هند، با اصلاحیه‌ای در سال 2008 تغییر کرد. هدف از این اصلاحیه، «بررسی انتقال اطلاعات توهین‌آمیز یا نادرست هنگام استفاده از وسایل ارتباطی بود. این بخش، طیف گسترده‌ای از اقدامات، از جمله پست کردن محتوای ‌توهین‌آمیز یا مضر را شامل می‌شود.»

با این حال، اوضاع خوب پیش نرفت. بخش A66 عمدتا به دلیل مبهم بودن و سوءاستفاده دولت از قلمرو آن برای محدودسازی آزادی بیان به شدت پررنگ شد؛ به طوری که در سال 2015، دادگاه عالی هند حکم داد که «بخش A66 مغایر با قانون اساسی است» و حق آزادی بیان تضمین‌شده در قانون اساسی هند را نقض می‌کند. بنابراین بخش A66 لغو شد و دیگر قسمتی از قانون فناوری اطلاعات 2000 هند نیست.

اگرچه بخش 66A لغو شد اما گزارش‌ها حاکی است مقررات مشابه در سایر قوانین، همچنان برای هدف قرار دادن سخنانان آنلاین استفاده می‌شود. در سال 2020، گزارش‌هایی مبنی بر دستگیری فعالان و افراد با استناد به ماده 505 قانون مجازات هند (IPC) منتشر شده است. بر اساس این ماده، هرکس که اظهارات یا شایعاتی را به قصد ایجاد شورش یا ترس در بین پرسنل نظامی یا تحریک به جرایم علیه این کشور، دولت یا آرامش عمومی یا ترویج نفرت بین گروه‌های مذهبی یا اجتماعی مختلف، بیان یا منتشر کند، مجازات می‌شود. این اتفاق در جریان اعتراضات قانون اصلاح شهروندی (CAA) و ثبت ملی شهروندان (NRC) رخ داد.

مواردی در هند وجود داشته که در آن افراد به اتهام انتشار محتوایی در پلتفرم‌های رسانه‌های اجتماعی در انتقاد از اقدامات یا سیاست‌های دولت به فتنه متهم شده‌اند. به‌علاوه، مسدود شدن وب‌سایت‌ها و خاموشی اینترنت در جریان اعتراضات یا شرایط ناآرامی‌های داخلی در هند، مستند شده است. مقامات این اقدامات را به عنوان فعالیت‌های پیشگیرانه برای انتشار اطلاعاتی که ممکن است خشونت را تحریک کند، توجیه کردند. این «اقدامات پیشگیرانه»، اگرچه مستقیما با قوانین امنیت سایبری مرتبط نیستند اما پیامدهای مهمی برای حقوق دیجیتال و دسترسی به اطلاعات دارند.

البته هند تنها نیست. این تاکتیک‌ها، از جمله اقداماتی فراتر از تعاریف دقیق قوانین امنیت سایبری، شیوه‌های رایج دولت‌ها در سراسر جهان، برای مهار اعتراض‌ها، مخالفت‌ها و آزادی بیان است. در زیر، برخی از شیوه‌های دولت‌ها در سایر کشورها در حوزه قوانین امنیت سایبری و محدودیت‌های اعمال‌شده، ارائه شده است:

• مصر

بر اساس گزارش 2017 موسسه اینترسپت، در مصر تحت‌نظر عبدالفتاح السیسی،  رئیس جمهوری این کشور، یک کمپین فیشینگ علیه فعالان حقوق بشر صورت گرفت که همزمان با تلاش مداوم دولت برای تقویت قابلیت‌های نظارت الکترونیکی بود. این گزارش نشان داد مقامات مصری، به طور مداوم، چگونه تلاش می‌کنند دسترسی به برنامه پیام‌رسان رمزگذاری‌شده سیگنال را مسدود کنند.

• ترکیه

طبق گزارش بی‌بی‌سی، در ترکیه در سال 2015، توییتر و یوتیوب، بلافاصله به مدت 20 ساعت ممنوع شدند و رجب طیب اردوغان، نخست وزیر وقت قول داد که این پلتفرم‌ها را در آستانه انتخابات ملی ریشه‌کن کند. این اتفاق، پس از افشای فایل‌های صوتی رخ داد که ظاهرا فساد در حلقه داخلی اردوغان را آشکار می‌کرد.

• ایران

به ادعای اندیشکده آمریکایی شورای آتلانتیک ایالات متحده، در ایران چندین ماده کلیدی در «طرح صیانت» پیشنهادی (2022) وجود دارد که تهدید قریب‌الوقوع برای آزادی بیان در ایران است. این لایحه کنترل دولت بر فضاهای آنلاین را پیش‌بینی می‌کند و هدف آن، حذف ناشناس بودن آنلاین و نیز جرم‌انگاری VPN (شبکه‌های خصوصی مجازی) است که از ابزارهای ضروری برای دور زدن سانسور آنلاین محسوب می‌شود. براساس این لایحه، کنترل زیرساخت‌های ارتباطی کلیدی نیز، به نیروهای مسلح، سازمان‌های امنیتی و نیروی انتظامی واگذار می‌شود.

• روسیه:

طبق گزارش Wired، ولادیمیر پوتین در روسیه، از سال 2019، برنامه خود را برای جدا کردن روسیه از اینترنت جهانی افزایش داده است. این گزارش توضیح می‌دهد که چگونه «قانون اینترنت مستقل» این کشور که در نوامبر 2019 لازم‌الاجرا شد، به مقامات، این قدرت را می‌دهد تا دسترسی میلیون‌ها روس به ‌سایت‌ها را مسدود کنند. این قانون، برای ضربه زدن به فیس‌بوک، اینستاگرام و توییتر استفاده شد و به دنبال حمله روسیه به اوکراین در فوریه 2022 بود. قبلا مجموعه‌ای از قوانین روسیه با هدف تنظیم محتوای آنلاین و ترویج «اینترنت مستقل» اجرا شده بود.

• چین:

در چین، دیوار آتش بزرگ با اولویت‌دهی به شرکت‌های داخلی و کاهش اثربخشی محصولات شرکت‌های اینترنتی خارجی، بر توسعه اقتصاد اینترنتی داخلی چین تاثیر گذاشته و در جهت محدودیت استفاده از اینترنت کار می‌کند.

• استرالیا:

برخی دولت‌ها نیز اصلاحاتی ایجاد یا مواردی را لغو کرده‌اند که البته محدود به قانون ارتباطات راه دور و سایر قوانین استرالیا مانند قانون 2018 نیست. قبل از اصلاح، از این قانون به دلیل پتانسیل آن برای تضعیف رمزگذاری و معرفی درهای پشتی برای دسترسی دولت به ارتباطات رمزگذاری‌شده، انتقاد شده است.

• برزیل:

طبق گزارش اینترسپت در سال 2016، پیشنهادها برای لایحه جرایم سایبری برزیل، بحث‌برانگیز بود زیرا «منتقدان استدلال می‌کنند که اثر ترکیبی قانون، محدودسازی قابل توجه اینترنت آزاد در کشور از طریق حذف حق ناشناس ماندن، و ارائه اختیارات بالای  اجرای قانون برای سانسور آنلاین از طریق بررسی داده‌های شخصی شهروندان بدون نظارت قضایی خواهد بود.» اعتراضات و حمایت‌ها، منجر به تغییرات لایحه برای رفع برخی از نگرانی‌ها شد.

• بریتانیا:

قانون اختیار تحقیق بریتانیا (منشور اسنوپر)، چارچوبی را برای استفاده از اختیارات تحقیقاتی آژانس‌های امنیتی و اطلاعاتی، مجری قانون و سایر مقامات دولتی ارائه می‌دهد. بر اساس گزارش یک ‌سایت دولتی بریتانیا، این اختیارات، رهگیری ارتباطات و نیز حفظ و کسب اطلاعات ارتباطی را شامل می‌شود. به بیان ساده‌تر، این قانون به مقامات ایالتی اجازه می‌دهد اطلاعاتی را درباره اقداماتی که شهروندان انجام می‌دهند و به صورت آنلاین ارائه می‌کنند، جمع‌آوری کرده و به شرکت‌های خصوصی سفارش دهند تا آن را ذخیره کنند. چالش‌ها و مباحث حقوقی مختلف، باعث تجدیدنظر و اصلاح قانون شده است.

• آمریکا:

در ایالات متحده، بخش 215 قانون میهن‌پرستی (که پس از حملات 11 سپتامبر تصویب شد) به FBI اجازه می‌دهد تا یک حکم دادگاه مخفی برای جمع‌آوری هرگونه سوابق تجاری که مربوط به تحقیقات امنیت ملی تلقی می‌شود، صادر کند. طبق گزارش نیویورک تایمز در سال 2020، بخش 215 در کانون دعواها و جنجال‌های متعدد بر سر توازن بین قدرت بخشیدن به بازرسان امنیت ملی برای شناسایی تهدیدات احتمالی و حفظ حریم خصوصی و آزادی آمریکایی‌ها برای خواندن آنچه می‌خواهند یا با دیگران تماس گیرند، با ترس از نظارت دولت، قرار داشته است.

این گزارش توضیح می‌دهد که چگونه دولت یک ماده برجسته قانون میهن‌پرستی را به عنوان اختیار دادن به بازرسان امنیت ملی FBI برای جمع‌آوری گزارش‌هایی که نشان می‌دهد چه کسی از صفحات وب خاص بازدید کرده، تفسیر کرده است.

• روزنه امید

در حالی که دولت‌های سراسر دنیا، قوانین و مقررات جدیدی را برای گسترش دامنه مداخله خود در حقوق فردی شهروندان معرفی می‌کنند، خوشبختانه یک جنبش متقابل برای تامین حقوق شهروندان از طریق قانو‌نگذاری، سرعت گرفته‌ است.

مقررات کلیدی که بر امنیت سایبری و حفاظت از داده‌ها بر تمام اتحادیه اروپا تاثیر می‌گذارد، مقررات حفاظت از داده‌های عمومی (GDPR) است. این مقررات جامع حفاظت از داده در می 2018 اجرایی شد. این مقررات برای همه کشورهای عضو اتحادیه اروپا اعمال می‌شود و پردازش داده‌های شخصی شهروندان اتحادیه اروپا را تنظیم می‌کند.

این مقررات به عنوان ابزاری برای محافظت از شهروندان در برابر تجاوز دولت و سوءاستفاده از قدرت در نظر گرفته می‌شود. اگرچه به صراحت نمی‌گوید از شهروندان در برابر دولت محافظت می‌کند اما شامل مقرراتی است که حقوق حریم خصوصی داده‌های افراد را ارتقا می‌دهد و الزاماتی را درباره نحوه مدیریت داده‌های شخصی توسط نهادهای دولتی و خصوصی تحمیل می‌کند.

اتحادیه اروپا همچنین قوانین مربوط به امنیت سایبری مانند دستورالعمل امنیت شبکه و اطلاعات (NIS) (که به عنوان دستورالعمل امنیت سایبری نیز شناخته می‌شود) تجویز می‌کند. این قانون از کشورهای عضو می‌خواهد استراتژی‌های ملی برای امنیت شبکه و اطلاعات ایجاد و مقامات ذی‌صلاح را تعیین کنند و از همکاری بین بخش‌های دولتی و خصوصی در واکنش به حوادث امنیت سایبری اطمینان حاصل کنند.

قوانین دیگر، دستورالعمل حفظ حریم خصوصی الکترونیکی (تمرکز بر حفظ حریم خصوصی در ارتباطات الکترونیکی) و مقررات مربوط به جریان آزاد داده‌های غیرشخصی با هدف محافظت از افراد در برابر نفوذ و سوءاستفاده از سوی دولت است.

به طور مشابه GDPR، قانون کلی حفاظت از داده‌های برزیل (LGPD) پردازش داده‌های شخصی را تنظیم می‌کند. این قانون، در حالی که صرفا بر اقدامات دولت متمرکز نیست، اصول و حقوقی را بیان می‌کند که برای بخش عمومی و خصوصی، هر دو اعمال می‌شود و هدف آن، محافظت از افراد در برابر اعمال داده‌های هر نهاد است.

به طور کلی، بسیاری از کشورها، قوانین حقوق بشر و مقررات قانون اساسی را تجویز می‌کنند تا از حریم خصوصی شهروندان محافظت و نفوذ دولت را محدود کنند. این اصول می‌توانند در فضاهای دیجیتال اعمال شوند و ممکن است برای به چالش کشیدن فعالیت‌های نظارتی دولت که حقوق حریم خصوصی شهروندان را نقض می‌کنند، مورد استناد قرار گیرند.

علاوه بر این، موافقت‌نامه‌ها و استانداردهای بین‌المللی مختلف، مانند میثاق بین المللی حقوق مدنی و سیاسی (ICCPR)، حق حریم خصوصی و آزادی بیان را به رسمیت می‌شناسند. این استانداردها می‌توانند به قوانین داخلی و تصمیمات دادگاه‌ها با هدف محافظت از شهروندان در برابر نظارت دولت جهت دهند.

در نهایت، برخی کشورها، قوانینی را برای محافظت از رمزگذاری و جلوگیری از درهای پشتی دستوری دولت، پیشنهاد یا وضع کرده‌اند. هدف این قوانین، حفظ توانایی شهروندان برای برقراری ارتباطات امن و خصوصی است.

بارها و بارها در سراسر جهان آشکار شده که هدف قوانین امنیت و قوانین نظارت سایبری، به شدت و عمدتا به نفع قدرت‌هاست. اما در حالی که برخی ابتکارات برای محافظت از شهروندان به طور خاص در برابر نفوذ بیش از حد دولت و سوءاستفاده از قدرت وجود دارد، هنوز اقدامات زیادی برای تضمین فضای مجازی امن برای همه باید انجام شود.

نویسنده