Sicherheitslücken zuerst der Regierung melden

Das US-Heimatschutzministerium will mit einer neuen Verordnung Technologie- und Telekommunikationsfirmen dazu bringen, Schwachpunkte in ihrer Infrastruktur an die Regierung zu melden. Das Ministerium hat dazu diese Woche eine Reihe von Verordnungsvorschlägen eingebracht.

Die Firmen sollen Information über reale oder mögliche Attacken auf "kritische Infrastruktur oder gesicherte Systeme auf physische oder digitale Art", sowie mögliche Programmierfehler, Störimpulse oder Bugs die wichtige Services wie das Internet, Betriebsmittel oder das Telefonsystem gefährden können, an die Regierung melden.

Bis dato haben die Firmen sich davor gescheut, da sie Angst hatten, dass die Informationen in falsche Hände und an die Öffentlichkeit gelangen könnten. Das Ministerium verspricht jedoch Geheimhaltung, selbst gegenüber dem Freedom of Information Act [FOIA].

Durch eine Gesetzesänderung letztes Jahr, die auch die Gründung des Ministeriums mit sich zog, soll die Weitergabe von derartiger, freiwillig gegebener, Information auch unter Berufung auf das FOIA vor der Weitergabe durch die Regierung geschützt sein.

Die Proposals

Keine Immunität

Open-Government Anwälte sehen diese Bestimmung jedoch als unnötig an, da das FOIA nach ihrer Meinung bereits die Geheimhaltung sensibler Daten gewährleistet. Bei einer Kongress-Anhörung letzten Juli verlangte David Sobel der US-Bürgerrechtsgruppe EPIC, dass das Ministerium nicht völlig immun gegen Anfragen aufgrund des FOIA sein dürfe.

Die neue Datenbank, das "Critical Infrastructure Information Management System", soll von einem Unterstaatssekretär der Information Analysis Infrastructure Protection Abteilung überwacht werden.

Im Falle eines öffentlichen Alarms soll die Abteilung jedoch einen Teil der Informationen an die Öffentlichkeit bringen können, dabei soll die Quelle, sowie Informationen die bestimmte Personen oder Geschäfte betreffen oder "anderweitig nicht für die Öffentlichkeit bestimmt sind" ungenannt bleiben.