La Ley de uso indebido de computadoras de 1990 (c. 18) es una ley del Parlamento del Reino Unido , introducida en parte como respuesta a la decisión en R v Gold & Schifreen (1988) 1 AC 1063. Críticos del proyecto de ley [ ¿quién? ] se quejó de que se introdujo apresuradamente, estaba mal pensado y esa intención a menudo era difícil de probar, y el proyecto de ley diferenciaba inadecuadamente a los piratas informáticos "divertidos" como Gold y Schifreen de los delincuentes informáticos graves. No obstante, la ley se ha convertido en un modelo en el que se han inspirado varios otros países, incluidos Canadá y la República de Irlanda , al redactar posteriormente sus propias leyes de seguridad de la información , ya que se considera "una pieza legislativa sólida y flexible en términos de abordar con el cibercrimen". [1] Se han aprobado varias enmiendas para mantener la Ley actualizada.
Robert Schifreen y Stephen Gold , utilizando ordenadores domésticos y módems convencionales a finales de 1984 y principios de 1985, obtuvieron acceso no autorizado al servicio interactivo de visualización de datos Prestel de British Telecom . Mientras estaba en una feria comercial, Schifreen, haciendo lo que más tarde se conoció como surfing de hombro , había observado la contraseña de un ingeniero de Prestel. [ cita necesaria ] El nombre de usuario del ingeniero era 22222222 y la contraseña utilizada era 1234. [2] [3] Esto luego dio lugar a acusaciones de que British Telecom (BT) no se había tomado en serio la seguridad. Armados con esta información, la pareja exploró el sistema e incluso obtuvo acceso al buzón de mensajes personales del Príncipe Felipe .
Prestel instaló monitores en las cuentas sospechosas y pasó la información así obtenida a la policía. La pareja fue acusada en virtud del artículo 1 de la Ley de falsificación y falsificación de 1981 de defraudar a BT mediante la fabricación de un "instrumento falso", es decir, el estado interno del equipo de BT después de haber procesado la contraseña escuchada a escondidas de Gold. Juzgados en el Tribunal de la Corona de Southwark , fueron declarados culpables de cargos ejemplares (cinco contra Schifreen, cuatro contra Gold) y multados, respectivamente, con 750 libras esterlinas y 600 libras esterlinas.
Aunque las multas impuestas fueron modestas, optaron por apelar ante la Sala Penal del Tribunal de Apelaciones . Su abogado citó la falta de pruebas que demostraran que los dos habían intentado obtener ganancias materiales de sus hazañas y afirmó que la Ley de Falsificación y Falsificación se había aplicado incorrectamente a su conducta. Fueron absueltos por Lord Justice Lane, pero la fiscalía apeló ante la Cámara de los Lores . En 1988, los Lores confirmaron la absolución. [4] El señor juez Brandon dijo:
En consecuencia, hemos llegado a la conclusión de que el lenguaje de la Ley no estaba destinado a aplicarse a la situación que se demostró que existía en este caso. Las presentaciones al final del caso de la fiscalía deberían haber tenido éxito. Es una conclusión a la que llegamos sin lamentarnos. El intento de Procusto [5] de forzar estos hechos al lenguaje de una ley que no estaba diseñada para adaptarse a ellos produjo graves dificultades tanto para el juez como para el jurado que no desearíamos que se repitieran. La conducta de los recurrentes equivalía esencialmente, como ya se ha indicado, a acceder de forma deshonesta al banco de datos correspondiente de Prestel mediante un truco. Eso no es un delito penal. Si se considera conveniente hacerlo así, es una cuestión que corresponde a la legislatura y no a los tribunales.
El fallo de los Law Lords llevó a muchos juristas a creer que la piratería no era ilegal tal como estaba la ley en ese momento. Tanto la Comisión de Derecho Inglesa como su homóloga en Escocia examinaron el asunto. La Comisión de Derecho de Escocia concluyó que la intrusión estaba adecuadamente cubierta en Escocia por el derecho consuetudinario relacionado con el engaño, pero la Comisión de Derecho de Inglaterra consideró necesaria una nueva ley.
Desde el caso, ambos acusados han escrito extensamente sobre cuestiones de TI. Gold, quien detalló todo el caso con cierta extensión en The Hacker's Handbook , ha presentado conferencias junto con los oficiales que arrestaron el caso. [6]
Basado en las recomendaciones del ELC, el diputado conservador Michael Colvin presentó un proyecto de ley privado . El proyecto de ley, apoyado por el gobierno, entró en vigor en 1990. Las secciones 1 a 3 de la ley introdujeron tres delitos penales: [7] [ cita completa necesaria ]
(Para otros delitos, consulte § Las enmiendas a continuación)
Los delitos de las secciones 2 y 3 tienen como objetivo disuadir a los delincuentes más graves de utilizar una computadora para ayudar en la comisión de un delito o de perjudicar u obstaculizar el acceso a los datos almacenados en una computadora. El delito básico de la sección 1 es intentar o lograr acceso a una computadora o a los datos que almacena, induciendo a una computadora a realizar cualquier función con la intención de asegurar el acceso. Los piratas informáticos que programan sus computadoras para buscar mediante permutaciones de contraseñas son, por lo tanto, responsables, incluso si la computadora de destino rechaza sus intentos de iniciar sesión. La única condición previa para asumir la responsabilidad es que el hacker sea consciente de que el acceso intentado no está autorizado. Por lo tanto, usar el nombre de usuario o identificador (ID) y contraseña de otra persona sin la autorización adecuada para acceder a datos o un programa, o para alterar, eliminar, copiar o mover un programa o datos, o simplemente para enviar un programa o datos a una pantalla o impresora. , o hacerse pasar por esa otra persona utilizando el correo electrónico , el chat en línea , la web u otros servicios, constituyen delito. Incluso si el acceso inicial está autorizado, la exploración posterior, si existe una jerarquía de privilegios en el sistema, puede conducir a la entrada a partes del sistema para las cuales faltan los privilegios necesarios y se cometerá el delito. Mirar por encima del hombro de un usuario o utilizar equipos electrónicos sofisticados para monitorear la radiación electromagnética emitida por las pantallas de visualización ("escuchas electrónicas") está fuera del alcance de este delito.
Los delitos de los artículos 2 a 3 son delitos agravados que requieren una intención específica de cometer otro delito (a estos efectos, los demás delitos deben ser arrestables y, por lo tanto, incluyen todos los delitos principales de fraude y deshonestidad establecidos por el derecho consuetudinario y los estatutos ). Así, un hacker que obtiene acceso a un sistema con la intención de transferir dinero o acciones, pretende cometer un robo , u obtener información confidencial para chantajearlo o extorsionarlo . Por lo tanto, el delito del §1 se comete tan pronto como se intenta el acceso no autorizado, y el delito del §2 asume la responsabilidad tan pronto como se realiza un acceso específico con fines delictivos. El delito §3 está dirigido específicamente a quienes escriben y hacen circular un virus o gusano informático , ya sea en una LAN o a través de redes . De manera similar, usar técnicas de phishing o un caballo de Troya para obtener datos de identidad o adquirir cualquier otro dato de una fuente no autorizada, o modificar los archivos del sistema operativo o algún aspecto de las funciones de la computadora para interferir con su funcionamiento o impedir el acceso a cualquier dato, incluyendo la destrucción de archivos o la generación de código deliberadamente para causar un mal funcionamiento completo del sistema son todas "modificaciones" criminales. En 2004, John Thornley se declaró culpable de cuatro delitos previstos en el artículo 3, tras haber organizado un ataque a un sitio rival e introducido un caballo de Troya para derribarlo en varias ocasiones, pero se reconoció que era necesario aclarar la redacción del delito. para confirmar que todas las formas de ataque de denegación de servicio están incluidas. [ cita necesaria ]
Aunque la Ley aparentemente se dirige a quienes desean obtener acceso no autorizado a sistemas informáticos para diversos fines, sus implicaciones para prácticas industriales previamente relativamente extendidas o bien conocidas, como el "bloqueo de tiempo" de software, se han descrito en varias publicaciones de la industria informática. El bloqueo de tiempo es la práctica de deshabilitar funciones o programas completos para garantizar que el software, potencialmente entregado bajo la condición de un pago adicional, "caducará" y, por lo tanto, ya no funcionará. En un caso destacado, un "desarrollador de sistemas personalizados en Midlands" activó un bloqueo de tiempo en un software debido a una disputa con un cliente sobre una factura impaga. El cliente denunció esto a la policía, que acusó al programador en virtud del artículo 3 de la ley, y el resultado fue una condena por parte de un tribunal de magistrados, con una libertad condicional otorgada por el magistrado, lo que significa que no se aplicó ningún castigo a condición de que el programador no lo hiciera. reincidir. [11]
El Anexo 1, Parte II de la Ley de Justicia Penal (Terrorismo y Conspiración) de 1998 ("Conspiración") modificó la Sección 8 (relevancia del derecho externo), la Sección 9(2)(b) (ciudadanía británica inmaterial: conspiración) y la Sección 16 (aplicación a Irlanda del Norte). [12]
En 2004, el Grupo de Todos los Partidos en Internet publicó su revisión de la ley y destacó áreas de desarrollo. Sus recomendaciones condujeron a la redacción del proyecto de ley (enmienda) de la Ley de uso indebido de computadoras de 1990, que buscaba enmendar la CMA para cumplir con el Convenio Europeo sobre Delitos Cibernéticos. [13] Según sus términos, la pena máxima de prisión por violar la ley cambió de seis meses a dos años. También buscó penalizar explícitamente los ataques de denegación de servicio y otros delitos facilitados por la denegación de servicio. El proyecto de ley no recibió la aprobación real porque el Parlamento fue prorrogado .
Los artículos 35 a 38 de la Ley de policía y justicia de 2006 contienen enmiendas a la Ley de uso indebido de computadoras de 1990.
La sección 37 ("Fabricación, suministro u obtención de artículos para su uso en delitos de uso indebido de computadoras") inserta una nueva sección 3A en la Ley de 1990 y ha generado críticas considerables por parte de los profesionales de TI, ya que muchas de sus herramientas pueden ser utilizadas por delincuentes además de sus fines legítimos y, por lo tanto, entran en la sección 3A.
Después del escándalo de piratería telefónica de News International en 2011, hubo discusiones sobre enmendar la ley para definir los teléfonos "inteligentes" (es decir, aquellos con navegadores de Internet y otras funciones de conectividad) como computadoras según la ley. [ cita necesaria ] Tal enmienda también podría introducir un nuevo delito de "hacer disponible información con intención", es decir, revelar públicamente una contraseña para el teléfono o la computadora de alguien para que otros puedan acceder a ella ilegalmente. [14] [ verificación fallida ]
En 2015, la Ley fue modificada nuevamente por la Parte 2, secciones 41 a 44 (más otras) de la Ley de Delitos Graves de 2015 . [15]
Las enmiendas a la Ley de uso indebido de computadoras de 1990 mediante la Parte 5 de la Ley de policía y justicia de 2006 [16] son
Las enmiendas a la Ley de uso indebido de computadoras de 1990 por la Parte 2 de la Ley de delitos graves de 2015. [15] son
En abril de 2020, Matt Hancock emitió instrucciones que otorgan al GCHQ poderes temporales sobre los sistemas de información del Servicio Nacional de Salud hasta finales de 2020 a los efectos de la Ley para respaldar y mantener la seguridad de cualquier red y sistema de información que respalde, directa o indirectamente, la prestación. de los servicios del NHS o de los servicios de salud pública destinados a abordar el COVID-19 . [29]
En mayo de 2021, la ministra del Interior del Reino Unido, Priti Patel, anunció la revisión formal de la Ley sobre uso indebido de computadoras. [30] También lanzó una convocatoria de información sobre la ley que busca opiniones sobre si hay actividades que causan daño en el área cubierta por la ley que no están adecuadamente cubiertas por los delitos, incluido si la legislación es apta para su uso siguiendo los avances tecnológicos. avances desde que se introdujo la CMA, y cualquier otra sugerencia sobre cómo se podría fortalecer la respuesta legislativa al delito cibernético. [31]
La revisión de la ley sigue a los crecientes llamados, en los últimos años, para que el gobierno realice una revisión completa de la Ley sobre el uso indebido de computadoras, con el fin de lograr nuevas reformas.
En noviembre de 2019, Dame Lynne Owens , directora general de la Agencia Nacional contra el Crimen (NCA), advirtió que "la Ley de Uso Indebido de Computadoras pasó por el Parlamento en un momento en que lo cibernético no era la herramienta que es ahora para permitir todo tipo de delitos". como fraude" y habló sobre planes para introducir reformas para garantizar que la ley sea "adecuada para su propósito en la era moderna". [ cita necesaria ]
En enero de 2020, la Red Penal Law Reform Now Network (CLRNN) publicó un informe completo en el que destaca las deficiencias de la ley y hace recomendaciones detalladas para la reforma. [32]
Ese mismo mes, se creó la campaña CyberUp con la intención de presionar al gobierno del Reino Unido para que "actualice y mejore" la ley. El lanzamiento de la campaña fue cubierto por The Guardian en un artículo que se hacía eco del llamado a una "reforma urgente". [33] La campaña CyberUp está formada por una amplia coalición de organismos de apoyo dentro de la industria de la seguridad cibernética, incluidas las grandes consultoras cibernéticas NCC Group y F-Secure y el organismo comercial de la industria cibernética TechUK . En noviembre de 2020, la campaña obtuvo el respaldo de la Confederación de la Industria Británica .
La coalición se formó basándose en la opinión compartida de que es necesaria una actualización de la legislación sobre delitos cibernéticos del Reino Unido para proteger la seguridad nacional y aumentar el crecimiento económico de la industria de seguridad cibernética del Reino Unido. La Campaña se refiere a la Sección 1 de la Ley, "que prohíbe el acceso no autorizado a las computadoras", afirmando que inadvertidamente criminaliza una gran cantidad de investigaciones e investigaciones sobre seguridad cibernética e inteligencia de amenazas que frecuentemente llevan a cabo profesionales de seguridad cibernética del Reino Unido.
La Campaña ha pedido dos enmiendas clave:
El 29 de junio de 2020, para celebrar el trigésimo aniversario de la Ley, la Campaña CyberUp escribió una carta abierta al primer ministro en nombre de varias figuras de la industria de la seguridad cibernética para resaltar la obsolescencia de la Ley en una época de rápido avance digital. Así lo publicó The Daily Telegraph , con el titular "Los expertos en seguridad cibernética dicen que se les impide detener el fraude informático". [34] [ se necesita verificación ]
En julio de 2020, el Comité de Inteligencia y Seguridad del Parlamento , responsable de la supervisión de los servicios de inteligencia del Reino Unido, publicó el informe del Comité de Inteligencia y Seguridad de Rusia y recomendó que "la Ley de Uso Indebido de Computadoras debería actualizarse para reflejar el uso moderno de los dispositivos electrónicos personales". Si bien la respuesta del gobierno al informe decía que la Ley se revisaba periódicamente para determinar los beneficios del cambio legislativo, la Secretaria de Asuntos Exteriores en la sombra , Lisa Nandy , destacó en enero de 2021 que no se había avanzado hacia la implementación de la recomendación.
En noviembre de 2020, CyberUp Campaign y TechUK publicaron un nuevo informe [35] [ ¿fuente no confiable? ] sobre la Ley de uso indebido de computadoras, que fue el primer trabajo para cuantificar y analizar las opiniones de la comunidad de seguridad del Reino Unido en general. El informe encontró que al 80 por ciento de los profesionales de la seguridad cibernética les preocupa infringir la ley al investigar vulnerabilidades o actores de amenazas cibernéticas. Además, el 91 por ciento de las empresas que respondieron a la encuesta del informe sugirieron que la Ley las había puesto en desventaja competitiva y que la reforma permitiría a su organización obtener importantes mejoras de productividad, crecimiento y beneficios de resiliencia. El informe recomendó que el gobierno considere implementar las dos enmiendas anteriores.
