به گزارش کارگروه بینالملل سایبربان؛ پرتغال قانون جرایم سایبری خود را اصلاح کرد تا یک پناهگاه امن قانونی برای تحقیقات امنیتی با حسن نیت ایجاد و هک کردن را تحت شرایط سختگیرانه خاصی غیرقابل مجازات کند.
قانون جدید در ماده 8.o-A با عنوان «اعمالی که به دلیل منافع عمومی در امنیت سایبری قابل مجازات نیستند»، که اولین بار توسط دنیل کاتبرت (Daniel Cuthbert) مشاهده شد، معافیت قانونی برای اقداماتی که قبلاً به عنوان دسترسی غیرقانونی به سیستم یا رهگیری غیرقانونی دادهها طبقهبندی میشدند، فراهم میکند.
این معافیت فقط زمانی اعمال میشود که محققان امنیتی به منظور شناسایی آسیبپذیریها و کمک به امنیت سایبری اقدام کنند. شرایط کلیدی که باید برای در امان ماندن از مسئولیت کیفری رعایت شوند، عبارتند از:
1. هدف تحقیق باید صرفاً شناسایی آسیبپذیریهایی باشد که توسط محقق ایجاد نشدهاند و بهبود امنیت سایبری از طریق افشا باشد.
2. محقق نمیتواند هیچ گونه سود اقتصادی فراتر از غرامت حرفهای معمول را جستجو یا دریافت کند.
3. محقق باید بلافاصله آسیبپذیری را به صاحب سیستم، هر کنترلکننده دادههای مربوطه و مرکز امنیت سایبریر ملی (CNCS) گزارش دهد.
4. اقدامات باید کاملاً محدود به آنچه برای تشخیص آسیبپذیری لازم است باشد و نباید باعث اختلال در خدمات، تغییر یا حذف دادهها یا ایجاد آسیب شود.
۵. این تحقیق نباید شامل هیچ گونه پردازش غیرقانونی دادههای شخصی تحت قانون کلی حفاظت داده (GDPR) باشد.
۶. محقق نباید از تکنیکهای ممنوعه مانند حملات منع سرویس (DoS) یا منع سرویس توزیع شده (DDoS)، مهندسی اجتماعی، فیشینگ، سرقت رمز عبور، تغییر عمدی دادهها، آسیب به سیستم یا استقرار بدافزار استفاده کند.
۷. هرگونه دادهای که در طول تحقیق به دست میآید باید محرمانه باقی بماند و ظرف ۱۰ روز پس از رفع آسیبپذیری حذف شود.
۸. اعمالی که با رضایت صاحب سیستم انجام میشوند نیز از مجازات معاف هستند، اما هرگونه آسیبپذیری یافت شده همچنان باید به مرکز امنیت سایبریر ملی گزارش شود.
ماده جدید به وضوح محدودیتهای تحقیقات امنیتی را تعریف و در عین حال از هکرهای با نیت خوب محافظت قانونی میکند.
در ماه نوامبر ۲۰۲۴، وزارت دادگستری فدرال در آلمان پیشنویس قانونی را ارائه داد که محافظتهای مشابهی را برای محققان امنیتی فراهم میکند که نقصهای امنیتی را کشف و مسئولانه به فروشندگان گزارش میدهند.
پیش از این، در ماه می سال ۲۰۲۲، وزارت دادگستری ایالات متحده (DOJ) اصلاحاتی را در سیاستهای پیگرد قانونی فدرال خود در مورد نقض قانون کلاهبرداری و سوءاستفاده رایانهای (CFAA) اعلام و معافیتی را برای تحقیقات حسننیت اضافه کرد.
طبق این چارچوبهای قانونی، تحقیقات امنیتی نه تنها به رسمیت شناخته میشوند، بلکه فضای امنی برای بررسی پیشگیرانه سیستمها، کشف آسیبپذیریها و گزارش آنها بدون ترس از عواقب قانونی نیز فراهم میشود.
