Una nuova norma supera la legge del 2014 sui “crimini” legati all’analisi delle reti
Il Dipartimento di Giustizia degli Stati Uniti non sottoporrà la “ricerca sulla sicurezza” ad eventuali accuse di hacking, come previsto dalle leggi nazionali in materia, tra cui il Computer Fraud and Abuse Act (CFAA). La nuova politica del DOJ tenta di dissipare i timori sull’ambito ampio e ambiguo della CFAA, a seguito di una sentenza della Corte Suprema del 2021 che aveva incoraggiato una lettura più restrittiva della legge.
La sentenza avvertiva che la precedente interpretazione dei pubblici ministeri rischiava di criminalizzare una “quantità immane di attività informatiche comuni”, presentando diversi esempi ipotetici che il Dipartimento di Giustizia ora non potrà più perseguire. Tale cambiamento è associato a un porto sicuro per i ricercatori che effettuano “test, indagini e/o correzioni in buona fede di un difetto di sicurezza o di una vulnerabilità”. Le nuove regole entrano immediatamente in vigore, sostituendo le vecchie linee guida emanate nel 2014.
La politica non risolve tutte le critiche che ci sono negli States sulla CFAA, come le pene detentive sproporzionatamente lunghe e, inoltre, non rende la legge di base più permissiva di default, poiché influisce solo sul modo in cui i pubblici ministeri possono interpretarla. Il DOJ avverte inoltre che l’eccezione non è un “pass gratuito” per compiere quello che si vuole online, con la scusa di essere ricercatori.
Se un hacker scova un bug in una piattaforma ed estorce il proprietario utilizzando tale conoscenza, potrebbe essere accusato di malafede. Anche con questi limiti, tuttavia, il regolamento è un impegno a evitare di imporre accuse punitive di anti-hacking a chiunque utilizzi un sistema informatico in un modo che non piace al suo proprietario.
