هذه هي أول مشاركة في سلسلة تسلط الضوء على المشاكل والعيوب في اتفاقية الأمم المتحدة المقترحة للجرائم الإلكترونية. اطلع/ي على مسودة اتفاقية الأمم المتحدة للجرائم الإلكترونية شيك مفتوح لانتهاكات المراقبة.
إن النسخة الأخيرة والنهائية تقريبًا من اتفاقية الأمم المتحدة المقترحة للجرائم الإلكترونية - والتي يعود تاريخها إلى 23 مايو/ أيار 2024 ولكن تم إصدارها اليوم 14 يونيو/ حزيران - تترك حقوق الباحثين/ات الأمنيين/ات والصحفيين/ات الاستقصائيين/ات غير محمية بشكل خطير، على الرغم من تحذيرات مؤسسة الجبهة الإلكترونية المتكررة.
يستفيد العالم من الأشخاص الذين يساعدوننا في فهم كيفية عمل التكنولوجيا وكيف يمكن أن تسوء. يقوم الباحثون/ات الأمنيون/ات، سواء بشكل مستقل أو داخل الأوساط الأكاديمية أو القطاع الخاص، بهذا الدور المهم المتمثل في حماية أنظمة تكنولوجيا المعلومات. بالاعتماد على حرية تحليل واختبار ومناقشة أنظمة تكنولوجيا المعلومات، يحدد الباحثون/ات نقاط الضعف التي يمكن أن تسبب أضرارًا جسيمة إذا تُركت دون رادع. وعلى نحو مماثل، يلعب الصحافيون/ات الاستقصائيون/ات والمبلغون/ات عن المخالفات دوراً حاسماً في الكشف عن المسائل ذات المصلحة العامة المهمة، بما في ذلك الفساد وسوء السلوك والثغرات النظامية، والإبلاغ عنها، وغالباً ما يكون ذلك على حساب المخاطر الشخصية الكبيرة.
لعقود من الزمان، ناضلت مؤسسة الجبهة الإلكترونية لصالح الباحثين/ات الأمنيين/ات والصحفيين/ات، وقدمت لهم المشورة القانونية لمساعدتهم/ن على التنقل عبر القوانين الجنائية الغامضة، ودافعت عن حقهم/ن في إجراء البحوث الأمنية دون خوف من العواقب القانونية. لقد ساعدنا الباحثين/ات عندما واجهوا تهديدات لإجراء أو نشر أبحاثهم/ن، بما في ذلك تحديد الثغرات الحرجة في الأنظمة والكشف عنها. لقد رأينا كيف أدت القوانين الغامضة والواسعة النطاق بشأن الوصول غير المصرح به إلى تجميد البحوث الأمنية بحسن نية، وتهديد أولئك الذين/ اللواتي يحاولون الحفاظ على سلامتنا أو الإبلاغ عن مواضيع ذات مصلحة عامة.
الآن، تماماً كما أدركت بعض الحكومات بشكل فردي أخيراً أهمية حماية عمل الباحثين/ات الأمنيين/ات، فإن العديد من أحكام التجريم في اتفاقية الأمم المتحدة تهدد بنشر لغة قديمة وغامضة في جميع أنحاء العالم دون أي حماية ذات مغزى للباحثين/ات أو الصحفيين/ات. وإذا لم تتم معالجة هذه القضايا وغيرها، فإن الاتفاقية تشكل تهديداً عالمياً للأمن السيبراني وحرية الصحافة، ويجب على الدول الأعضاء في الأمم المتحدة رفضها.
سوف تركز هذه المقالة على جانب واحد بالغ الأهمية من حقوق المبرمجين/ات بموجب أحدث نص تم إصداره: الأحكام التي تعرض عمل الباحثين/ات الأمنيين/ات والصحفيين/ات الاستقصائيين/ات للخطر. في المنشورات اللاحقة، سوف نتعمق في جوانب أخرى من الاتفاقية في المنشورات اللاحقة.
كيف تفشل الاتفاقية في حماية أبحاث الأمن والتقارير حول مسائل المصلحة العامة
ما هي الأحكام التي نناقشها؟
المواد من 7 إلى 11 من فصل التجريم - التي تغطي الوصول غير القانوني، والتنصت غير القانوني، والتدخل في البيانات الإلكترونية، والتدخل في أنظمة تكنولوجيا المعلومات والاتصالات، وإساءة استخدام الأجهزة - هي جرائم إلكترونية أساسية غالبًا ما يُتهم بها الباحثون/ات الأمنيون/ات بارتكاب مثل هذه الجرائم نتيجة لعملهم/ن. (في المسودات السابقة للاتفاقية، كانت هذه المواد من 6 إلى 10).
- الوصول غير القانوني (المادة 7): تخاطر هذه المادة بتجريم الأنشطة الأساسية في أبحاث الأمن، وخاصة حيث يصل الباحثون/ات إلى الأنظمة دون إذن مسبق لتحديد نقاط الضعف.
- التنصت غير القانوني (المادة 8): تحليل حركة المرور على الشبكة هو أيضًا ممارسة شائعة في مجال الأمن السيبراني؛ إن هذه المادة تخاطر حاليًا بتجريم مثل هذا التحليل، وينبغي تضييق نطاقها أيضًا لتتطلب نية إجرامية خبيثة (mens rea).
- التدخل في البيانات (المادة 9) والتدخل في أنظمة الكمبيوتر (المادة 10): قد تجرم هذه المواد عن غير قصد أعمال البحث الأمني، والتي غالبًا ما تنطوي على اختبار قوة الأنظمة من خلال محاكاة الهجمات التي يمكن وصفها بأنها "تدخل" على الرغم من أنها لا تسبب ضررًا ويتم تنفيذها دون نية إجرامية خبيثة.
تفشل جميع هذه المواد في تضمين عنصر إلزامي للنية الإجرامية للتسبب في ضرر أو سرقة أو احتيال. كما أن الشرط الذي ينص على أن النشاط يسبب ضررًا خطيرًا غائب أيضًا عن المادة 10 واختياري في المادة 9. يجب أن تكون هذه الضمانات إلزامية.
ماذا قلنا لواضعي/ات اتفاقية الأمم المتحدة في رسالتنا؟
في وقت سابق من هذا العام، قدمت مؤسسة الجبهة الإلكترونية رسالة مفصلة إلى واضعي/ات اتفاقية الأمم المتحدة للجرائم الإلكترونية نيابة عن 124 موقعًا، موضحة الحماية الأساسية للمبرمجين/ات.
وقد تضمنت توصياتنا تعريف الوصول غير المصرح به بحيث يشمل فقط تلك الوصولات التي تتجاوز التدابير الأمنية، وحيثما تعتبر هذه التدابير الأمنية فعّالة فقط. وتعود اللغة الحالية للاتفاقية إلى حالات تمت فيها مقاضاة أشخاص جنائياً لمجرد تحرير جزء من عنوان URL. كما أوصينا بضمان أن تجريم الأفعال يتطلب نية خبيثة أو غير شريفة واضحة لإيذاء أو سرقة أو إصابة البرامج الضارة. وأوصينا صراحة بإعفاء البحوث الأمنية بحسن نية والصحافة الاستقصائية حول قضايا المصلحة العامة من المسؤولية الجنائية.
ما الذي تمت الموافقة عليه بالفعل؟
تمت الموافقة على العديد من أحكام اتفاقية الأمم المتحدة للجرائم الإلكترونية عبر الاستفتاء. وتشمل هذه المواد الكاملة والفقرات المحددة، مما يشير إلى مستويات متفاوتة من الإجماع بين واضعي/ات الاتفاقية.
ما هي المواد التي تم الاتفاق عليها بالكامل
تمت الموافقة على المواد التالية عبر الاستفتاء الكامل، مما يعني الموافقة على المحتوى الكامل لهذه المواد:
- المادة 9: التدخل في البيانات الإلكترونية
- المادة 10: التدخل في أنظمة تكنولوجيا المعلومات والاتصالات
- المادة 11: إساءة استخدام الأجهزة
- المادة 28(4): تفويض المساعدة في التفتيش والضبط
نشعر بالإحباط لرؤية، على سبيل المثال، أن المادة 11 (إساءة استخدام الأجهزة) قد تم قبولها دون أي تعديل، وبالتالي تستمر في تهديد تطوير واستخدام أدوات الأمن السيبراني. وعلى الرغم من أن المادة 28 (4) تجرم إنشاء أو الحصول على هذه الأدوات فقط لأغراض انتهاك الجرائم الأخرى المحددة في المواد 7-10 (التي تغطي الوصول غير القانوني، والتنصت غير القانوني، والتدخل في البيانات الإلكترونية، والتدخل في أنظمة تكنولوجيا المعلومات والاتصالات)، فإن هذه المواد الأخرى تفتقر إلى متطلبات القصد الجنائي الإلزامي ومتطلب تعريف "بدون حق" على أنه تجاوز تدبير أمني فعال. ولأن هذه المواد لا تعفي على وجه التحديد أنشطة مثل اختبار الأمن، فقد تجرم المادة 11 عن غير قصد البحث الأمني والصحافة الاستقصائية. وقد تعاقب حتى صنع أو استخدام الأدوات لأغراض البحث إذا اعتُبر البحث، مثل اختبار الأمن، ضمن إحدى الجرائم الأخرى.
كما نشعر بخيبة أمل لأن المادة 28 (4) تمت الموافقة عليها أيضًا عبر الاستفتاء. يمكن أن تمنح هذه المادة السلطات بشكل غير متناسب سلطة إجبار "أي فرد" لديه معرفة بأنظمة الكمبيوتر على تقديم أي "معلومات ضرورية" لإجراء عمليات تفتيش ومصادرة أنظمة الكمبيوتر. وكما كتبنا من قبل، يمكن إساءة استخدام هذا الحكم لإجبار خبراء/يرات الأمن ومهندسي/ات البرمجيات وموظفي/ات التكنولوجيا على الكشف عن معلومات حساسة أو خاصة. كما قد يشجع هذا القانون السلطات على تجاوز القنوات العادية داخل الشركات وإرغام الموظفين/ات الأفراد ــ تحت تهديد الملاحقة الجنائية ــ على تقديم المساعدة في تقويض ضوابط الوصول الفنية مثل بيانات الاعتماد والتشفير والموافقات الفورية دون علم أصحاب/ صاحبات العمل. ولابد من حذف هذه الفقرة الخطيرة لصالح الواجب العام الذي يفرض على أمناء/ أمينات المعلومات الامتثال لطلبات البيانات إلى الحد الذي يسمح لهم/ن به.
ما هي الأحكام التي تمت الموافقة عليها جزئيًا؟
لقد تمت الموافقة بالفعل على الحظر الشامل ضد الوصول غير المصرح به والتنصت عبر الاستفتاء، مما يعني:
- المادة 7: الوصول غير القانوني (تمت الموافقة على الفقرة الأولى عبر الاستفتاء)
- المادة 8: التنصت غير القانوني (تمت الموافقة على الفقرة الأولى عبر الاستفتاء)
تتضمن الفقرة الأولى من كل من هذه المواد لغة تلزم الدول بتجريم الوصول إلى الأنظمة أو البيانات أو التنصت "دون حق". وهذا يعني أنه إذا دخل شخص ما عمدًا إلى جهاز كمبيوتر أو شبكة بدون إذن، أو قام بأحد الإجراءات الأخرى المذكورة في المواد اللاحقة، فيجب اعتبار ذلك جريمة جنائية في ذلك البلد. ومع ذلك، فإن المتطلبات الاختيارية الإضافية ضرورية لحماية عمل الباحثين/ات الأمنيين/ات والصحفيين/ات، ولا تزال على طاولة المفاوضات وتستحق القتال من أجلها.
ما الذي لم يتم الاتفاق عليه حتى الآن؟
لا يوجد اتفاق حتى الآن على الفقرة 2 من المادة 7 بشأن الوصول غير القانوني والمادة 8 بشأن التنصت غير القانوني، والتي تمنح الدول خيار إضافة متطلبات محددة يمكن أن تختلف من مادة إلى أخرى. إن مثل هذه الضمانات من شأنها أن توفر التوضيحات اللازمة لمنع تجريم الأنشطة القانونية وضمان عدم إساءة تطبيق القوانين لقمع البحث والابتكار والإبلاغ عن المسائل التي تهم المصلحة العامة. لقد أوضحنا طوال عملية التفاوض هذه أن هذه الشروط تشكل جزءًا بالغ الأهمية من جميع التشريعات المحلية بموجب الاتفاقية. ونحن نشعر بخيبة أمل لرؤية الدول تفشل في التصرف بناءً على أي من توصياتنا، بما في ذلك الرسالة التي أرسلناها في فبراير/شباط.
إن النص النهائي المؤرخ 23 مايو/ أيار 2024 للاتفاقية صامت بشكل واضح بشأن العديد من الحماية الحاسمة للباحثين/ات الأمنيين/ات:
- لا توجد استثناءات صريحة للباحثين/ات الأمنيين/ات أو الصحفيين/ات الاستقصائيين/ات الذين/ اللواتي يتصرفون بحسن نية.
- يظل شرط النية الخبيثة اختياريًا وليس إلزاميًا، مما يترك مجالًا لتفسيرات واسعة النطاق وربما مسيئة.
- لا يحدد النص أن تجاوز تدابير الأمن يجب اعتباره غير مصرح به فقط إذا كانت هذه التدابير فعالة، ولا يجعل هذا الضمان إلزاميًا.
كيف تسببت صياغة مماثلة في مشاكل في الماضي؟
هناك تاريخ من التفسير الواسع النطاق بموجب قوانين مثل قانون الاحتيال وإساءة استخدام الكمبيوتر في الولايات المتحدة، ويظل ذلك مصدر قلق كبير مع لغة غامضة مماثلة في ولايات قضائية أخرى. يمكن أن يثير هذا أيضًا مخاوف تتجاوز عمل الباحثين/ات والصحفيين/ات، كما هو الحال عندما تستشهد شركة واحدة بمثل هذا التشريع لإعاقة قدرة منافس على الوصول إلى الأنظمة عبر الإنترنت أو إنشاء تقنيات قابلة للتشغيل المتبادل. لقد وثقت ورقة مؤسسة الجبهة الإلكترونية، "حماية حقوق الباحثين/ات الأمنيين/ات في الأمريكتين"، العديد من الحالات التي واجه فيها الباحثون/ات الأمنيون/ات تهديدات قانونية لعملهم/ن:
- هيئة النقل في خليج ماساتشوستس ڤي أندرسون (2008): استخدمت هيئة النقل في خليج ماساتشوستس (MBTA) قانون الجرائم الإلكترونية لمقاضاة ثلاثة طلاب جامعيين كانوا يخططون لإلقاء عرض تقديمي حول نقاط الضعف في نظام أجرة مترو الأنفاق في بوسطن.
- باحث أمني كندي (2018): اتُهم كندي يبلغ من العمر 19 عامًا باستخدام خدمة كمبيوتر غير مصرح بها لتنزيل السجلات العامة من موقع إلكتروني حكومي.
- رسالة التوقف والكف من لينكد إن إلى شركة هاي كير لابز (2017): استندت لينكد إن إلى قانون الجرائم الإلكترونية ضد شركة هاي كير لابز لـ "الاستخراج" - الوصول إلى المعلومات المتاحة للجمهور على موقع لينكد إن باستخدام أدوات آلية. استمرت الأسئلة والقضايا المتعلقة بهذا الموضوع في الظهور، على الرغم من أن محكمة الاستئناف قضت في النهاية بأن استخراج المواقع العامة لا ينتهك قانون مكافحة الاحتيال والفساد.
- باحث أمني كندي (2014): أظهر باحث أمني ثغرة معروفة على نطاق واسع يمكن استخدامها ضد الكنديين/ات الذين يقدمون ضرائبهم/ن. وقد اعترفت السلطات الضريبية بذلك مما أدى إلى تأخير الموعد النهائي لتقديم الضرائب. وعلى الرغم من أن الباحث ادعى أنه كان لديه نوايا إيجابية فقط، فقد اتُهم بارتكاب جريمة إلكترونية.
- محاكمة خواكين سوريانيللو في الأرجنتين (2015): اكتشف مطور البرامج خواكين سوريانيللو ثغرة في أنظمة الانتخابات وواجه ملاحقة جنائية لإثبات هذه الثغرة، على الرغم من أن الحكومة خلصت إلى أنه لم يكن ينوي الإضرار بالأنظمة ولم يتسبب في أي ضرر خطير لها.
تسلط هذه الأمثلة الضوء على التأثير المخيف الذي يمكن أن تخلفه الأحكام القانونية الغامضة على مجتمع الأمن السيبراني، مما يردع الأبحاث القيمة ويترك نقاط الضعف الحرجة دون معالجة.
الخلاصة
تمثل أحدث مسودة لاتفاقية الأمم المتحدة للجرائم الإلكترونية فشلاً ذريعًا في حماية حقوق المبرمجين/ات. ومن خلال تجاهل التوصيات الأساسية والاحتفاظ باللغة الإشكالية، تخاطر الاتفاقية بخنق الإبداع وتقويض الأمن السيبراني. يتعين على المندوبين/ات أن يضغطوا/ن من أجل إجراء تعديلات عاجلة لحماية حقوق المبرمجين/ات وضمان أن تعزز الاتفاقية، بدلاً من أن تعوق، تطوير بيئة رقمية آمنة.
إن الوقت ينفد منا؛ والمطلوب اتخاذ إجراء الآن. ترقبوا/ن منشورنا التالي، الذي سنستكشف فيه مجالات حاسمة أخرى تتأثر بالاتفاقية المقترحة بما في ذلك نطاقها وضمانات حقوق الإنسان.
