مقدمه:

گروه امداد امنيت كامپيوتري ايران از ابتدا قانون مجارات جرايم رايانه اي را با دقت زير نظر داشته و سعي كرده است با جمع آوري نظرات ، به تدوين قانوني مناسب كمك كند. به همين دليل بود كه پس از حضور در همايش بررسي ابعاد حقوقي فناوري اطلاعات و جمع آوري نظرات بعضي كارشناسان، سعي داشت تا در جلسه اي حضوري و در محيطي صميمي با دبير محترم كميته مبارزه با جرايم رايانه اي به بحث و بررسي قانون بپردازد. خوشبختانه اين امر با كمك ماهنامه دنياي كامپيوتر و ارتباطات ميسر شد و جلسه اي در دفتر اين ماهنامه تشكيل گرديد. در اين جلسه آقايان رضا پرويزی(دبير كميته مبارزه با جرائم رايانه‌ای)، شاهپور دولتشاهی(كارشناس حقوق)، محمود اروج‌زاده (مديرمسئول ماهنامه ماهنامه دنيای كامپيوتر و ارتباطات) ، علی مولوی(كارشناس فناوری اطلاعات و عضو تحريريه ماهنامه دنيای كامپيوتر و ارتباطات)، عليرضا قمی(كارشناس امنيت شبكه) و سيدمحمدرضا رشتی (كارشناس فناوری اطلاعات و مدير سايت "گروه امداد امنيت كامپيوتری ايران")حضور داشتند. متن ذيل گزارشي مختصر از جلسه فوق است.

اروج‌زاده: جناب آقای پرويزی! لطفاً مختصراً تاريخچه‌ای از زمينه و چگونگی تدوين اين پيش‌نويس بفرماييد.

پرويزی: در اواخر شهريور سال 81 با دستور آقای هاشمی شاهرودی: كميته مبارزه با جرايم رايانه‌ای برای تدوين قوانين لازم در زمينه IT تاسيس شد، اين مسئله البته بنا به درخواست دبير شورای عالی اطلاع‌رسانی، آقای جهانگرد بود، ايشان در شورای معاونين قوه قضاييه، طرح تكفا، و ضرورت زيرساخت‌های حقوقی و قانونی را مطرح كرده بود: مسئوليت كميته به بنده محول شد و سپس چندين جلسه درباره قوانين لازم در اين زمينه، و همچنين اولويت هر كدام مورد بحث قرار گرفت.

    به اين نتيجه رسيديم كه اولويت، ايجاد امنيت در فضای سايبر است. در اين زمينه در كشورمان كاری تا بحال نشده بود. البته قبلاً يك كار مطالعاتی در شورای عالی انفورماتيك شده بود. ما به سراغ همه افراد و صاحبنظران در اين زمينه رفتيم و نظراتشان را جمع‌آوری كرديم، طبيعتاً كسانی كه به كار تدوين اين قانون می‌پردازند، بايد هم مسلط به حقوق و هم به فناوری اطلاعات باشند، يافتن چنين افرادی آسان نبود، ابتدا به نظر می‌رسيد كه كسانی را كه با فناوری آشنا هستند آموزش حقوق بدهيم، كه چنين چيزی در كوتاه مدت ممكن نبود، به اين نتيجه رسيديم كه اين كه حقوقدانانی را كه الفبای فناوری اطلاعات را بشناسند، آموزش دهيم، عملی‌تر است.

    با فراخوانی در دانشكده‌های حقوق، از متخصصين فوق ليسانس و دكترا تعداد زيادی آمدند و از بين ايشان كسانی كه با كامپيوتر ناآشنا نبودند را در كوتاه مدت تعدادی آموزش مبانی فناوری اطلاعات داديم. همچنين در حدامكان هم مبانی حقوق كيفری فناوری اطلاعات را آموزش ديدند، ما با همين گروه كار را شروع كرديم.

پرويزی: از دانشكده حقوق دانشگاه تهران و شهيد بهشتی و امام صادق و دانشگاه آزاد و همچنين از بين قضات تهران، 22 نفر فقط در بخش حقوقی داشتيم. همراه با پيشرفت كار، ما مشاوره هم داشتيم، مثلاً در زمينه حقوق جزايی بين‌الملل، معاون دادستان در امور بين‌الملل به ما مشاوره می‌داد و همچنين قضات. در كنار اين گروه، افراد فنی هم حضور داشتند، و از انجمن ISPها، انجمن شركت‌های انفورماتيك، مجمع ناشران الكترونيك، تعدادی كارشناس امنيتی شبكه و از مركز تحقيقات مخابرات، در مجموع حدود 50 نفر اين گروه را تشكيل داده بودند. چندين جلد كتاب خارجی تهيه كرديم و نيز از منابع اينترنتی و خارجی.

    در مجموع اين پيش نويس، با پشتوانه حقوق و فنی و با تلاش و مشاوره فراوان تهيه شده است. بعد اين پيش‌نويس را در سطح بالاتری برديم و در جلسه‌ای با حضور آقای جهانگرد و آقای جمشيدی به طورهفتگی بررسی می‌شد. در آنجا از 80 ماده به كمتر از 60 ماده تقليل پيدا كرد. ما به اين مرحله هم بسنده نكرديم، در همايش بررسی حقوق فناوری اطلاعات، آن را مورد بررسی قرار داديم. البته باز هم در لايه‌هايی ديگر مورد نظرخواهی قرار دارد و تا گذر از مرحله قوه قضاييه به دولت، امكان ويرايش آن وجود دارد، همين طور در دولت هم قابل تغييرات. بعضی نكات در اين هست كه صرفاً به دليل تبعيت از تعاريف كلی‌تر وجود دارد، مثلاً در زمينه تعريف "سيستم رايانه‌اي" با وجود تعاريف گوناگون در جهان، ما ترجيح داديم كه تعريف قانون تجارت الكترونيك را ملاك قراردهيم، مانند "داده رايانه‌اي"، "اطلاعات"، "داده محتوا" و... ما نهايتاً همه نظرات را می‌خوانيم و دنبال می‌كنيم، حتی وبلاگی را هم كه در نقد و اعتراض به اين قانون به وجود آمده مطالعه می‌كنيم.

اروج‌زاده: مدل مورد نظرتان در تدوين اين قانون چه بوده؟ و سهم و نقش هر كدام از دو جنبه حقوقی و فناوری چه ميزان بوده است؟

پرويزی: در اين زمينه در دنيا عموماً به 3 روش عمل می‌شود، در برخی كشورها مانند هند، همان قوانين كيفری سنتی كه دارند، مورد استفاده قرار می‌گيرد و اگر چنانچه موضوع جديدی (مثلاً دسترسی غيرمجاز در شبكه) مطرح شود، ماده يا موادی به همان قانون يا قانون ديگر اينترنتی اضافه می‌كنند.
    گروه ديگری (مانند برخی ايالت‌های امريكا) حتی سرقت و قتل كامپيوتری و... را هم در جرايم كامپيوتری قرار می‌دهند. در مدل سوم، درجايی كه قوانين سنتی جوابگو نباشند، به جرايم كامپيوتری تبديل می‌شوند، همچنين بعضی موارد كه در قوانين سنتی جرم محسوب می‌شوند، ولی وقتی وارد فضای رايانه‌ای می‌شوند، ابهام ايجاد می‌كنند كه جرم هستند يا نه؟ مانند "نشر اكاذيب" (كه مصداق ماده 698 است) و يا "جعل" (در ماده 523) كه گفته شده "هر كس كه سندی را بتراشد يا بخراشد و . . . " در جرايم سنتی، مصداق آن حتماً در زمينه سند مكتوب است، بنابراين در نوشته كامپيوتری مورد ابهام است، مورد بحث قرار می‌گيرند.
    ما در جاهايی كه خلاء قانونی داشتيم آنرا پر كرده‌ايم. مثلاً در قانون داريم كه هركس كه وارد تا سياست نظامی به صورت غيرمجاز شود چند سال حبس می‌شود، حالا اگر وارد سايت‌های نظامی شود چطور؟ طبيعتاً قابل اجرا نيست و سعی كرده‌ايم اين خلاء ها را پر كنيم.

رشتی: يكی از مشكلات اين است كه تا به حال مثلاً امكان جاسوسی از طريق تلفن وجود داشت، ولی مگر قانون جاسوسی از طريق تلفن داشتيم كه حالا جاسوسی رايانه‌ای داشته باشيم؟ ولی با توضيح شما مشخص شد كه در واقع رفع ابهام است.

پرويزی: ما همه قانون قوانين مرتبط با جاسوسی را مطالعه كرديم، آيا اسناد طبقه‌بندی شده و سری، شامل داده‌های كامپيوتری هم می‌شود؟ طبعاً نه! بنابراين بايد ابتدا داده‌های سری را تعريف كرد و سپس تكليف آنها را مشخص كرد. ببينيد قاضی در مقام قضاوت بايد مبتنی بر كلمه به كلمه قانون قضاوت كند، قانون به قدری فراگير و شفاف باشد كه امكان تفسير نباشد.

رشتی: در قانون در جايی بحث بعضی ابزارها و نرم‌افزارهای امنيتی است، شما خوب می‌دانيد كه اينها اكثراً دو منظوره هستند بنابراين اين ماده شامل گروه‌های فعال و متخصص امنيتی هم می‌شوند...

پرويزی: ببينيد نظراتی كه برخی دوستان قوه قضاييه داده‌اند اين است كه در اين موارد قيد "صرفاً برای ارتكاب جرم" هم بيايد، ببينيد، مثلاً به نظر شما آيا Sub7 صرفاً برای ارتكاب جرم به كار می‌رود يا نه؟

قمی: به نظر من لزوماً نه!

پرويزی: چرا، ممكن است الان نباشد، ولی فردا ممكن است هر كسی استفاده غيرمجاز از آن بكند...

قمی: به نظر من ممكن نيست ابزاری پيدا كنيم كه "صرفاً" برای هك و ارتكاب جرم باشد، عموماً استفاده امنيتی و مديريت امنيت هم می‌شود...

پرويزی: مثلا ابزاری هست كه در تماس Dial-up شما با شركت ISP فقط و فقط برای شنود به كار می‌رود، آن هم شنود داده‌ها

قمی: اما شركت‌های مخابراتی همين ابزار را در كنار تجهيزات خود می‌فروشند برای Diagnostics

پرويزی: ببينيد مانند اسلحه است كه داشتن آن در كشور ما جرم است، ولی قاضی و پليس و . . . قانوناً آن را دارند.

رشتی: اگر يك شركت خصوصی از اين ابزارها به منظور بررسی وضعيت يك شبكه استفاده كندتا بتواند نقايص آن را بيابد وگزارش كند، الان مشمول انجام جرم است در اين قانون!

پرويزی: معلوم است كه بخش‌هايی به وجود می‌آيند كه كار بررسی و مطالعه و تأمين امنيت شبكه‌ها را انجام خواهند داد، و قاعدتاً بايد قانون ديگری باشد كه در مورد وضعيت آنها نظر بدهد، اين قانون فعلی قرار نيست كه در همه مورد نظر بدهد و تكليفشان را معلوم كند. مثل كسی كه به دلايل مشخصی می‌تواند تقاضای مجوز داشتن اسلحه بكند...

قمی: بايد محيط وشرايط كلی به گونه‌ای باشد كه برای قانون مساعد باشد، مثلاً مدتی پيش ديدم كه در امريكا برعليه "مهندسی معكوس" (Reverse Engineering) نرم‌افزارها در حال قانون گذاری هستند، در حالی كه تا مدتی پيش خودشان از آن درآمد كسب می‌كردند ولی حالا كه چين وارد اين عرصه شده و آنها درآمدشان از اين بابت كاهش يافته، عليه آن قانون وضع می‌كنند بنابراين قانون بايد ناظر برسود و منافع ملی باشد، مثال ديگر، مدتی پيش نويسنده ويروس "سارس" در آلمان دستگير شد، جالب است كه نوعی غرور در اين كشور از اين بابت به وجود آمد! كه قابل توجه است و كمتر جايی به اين موضوع پرداخته شد، نكته پنهان در اين قضيه، انتقال سرمايه عظيمی در زمينه نرم‌افزار از آمريكا به كشور چك است، چون بيشترين منبع هك در دنيا كشور چك است... منظورم اين است كه تجربه آنها نشان می‌دهد كه اجازه دادند كه سيستم آنها به سطحی از بلوغ برسد، (كه البته ممكن است كمی هم بينظمی در آن وجود داشته باشد) ولی در مجموع نبودن قيد و بندها باعث سود عمومی برای كشور می‌شود، با رسيدن به بلوغ، بحث قانون و محدوديت‌ها به وجود می‌آيد. به نظر من اين قانون در شرايط فعلی برای كشورما و با شكل فعلياش شايد زود باشد...

پرويزی: اشكالی كه در چنين نظری وجود دارد، بی‌قانونی و هرج و مرجی است كه به وجود می‌آيد و قابل كنترل نيست، در حالی كه از ابتدا می‌توان همه مقدمات و شرايط و نيازها و مشكلات را ديد، مضافاً اين كه اين تكنولوژی هم بسيار سريع و درحال تغييرات و اگر بخواهيم صبر كنيم تا در آينده برای آن بستر سازی و قانونگذاری كنيم، ديگر زمان را از دست خواهيم داد.

قمی: البته ميتوان نوعی قانون مينيماليستی داشت كه نياز امروز را برطرف كند، و نه قانون حداكثری و گسترده

پرويزی: اتفاقاً اين قانون كاملاً حداقلی است و خيلی مباحث در آن ديده نشده، مثلاً بحث اسپم و...

دولتشاهی: اگر می‌بينيد كه اين قانون كمی بيشتر و جلوتر از وضع و شرايط فعلی ما را هدف قرار داده است، به اين خاطر است كه اصولاً مطابق قانون اساسی، يكی ازوظايف قوه قضاييه، "پيشگيری از جرم" است، و با توجه به سرعتی كه در وقوع و پيشرفت جرايم رايانه‌ای ديده می‌شود، نمی‌توانيم هر سال قانون تازه‌ای را وضع كنيم، اين سرعت ايجاب می‌كند كه ما پيش‌بينی 5 سال آينده را بكنيم، اين به اقتضای ماهيت جرايم رايانه‌ای است.

اروج‌زاده: پيامد مهمی كه قانون حداكثری و سختگيری می‌تواند داشته باشد هم به نظر من قابل توجه است، فرض كنيد كه نتيجه يك قانون، سختی و محدوديت زياد در كار فعالان اين بخش مثل ISPها و شركت‌های ميزبان و... باشد، قطعاً اين محدوديت باعث می‌شود بخش زيادی از سرمايه‌گذاران اين حوزه خارج شوند، و چون اصولاً اينترنت و كلاً IT در كشورمان توسط بخش خصوصی دنبال می‌شود و توسعه پيدا می‌كند، بعيد نيست كه به كليت اين حوزه مهم و مؤثر علمی و اقتصادی كشورمان لطمه اساسی بخورد.

پرويزی: البته در دنيا معمولاً شركتی به نام ISP همه خدمات از قبيل اينترنت و هاستينگ و ثبت دامنه و... را انجام می‌دهد، ولی ما اينجا آمده‌ايم و به دلايل مختلف آن را تكه‌تكه كرده‌ايم! نكته بعد اين كه مطابق مستندات و قوانين مختلف در دنيا، مطالعه نشان می‌دهد كه مهمترين اصل ، "از بين بردن كردن خلاف در نطفه" است، كه بستر اصلی آن در "هاستينگ" است، يعنی از طريق آن می‌توان مشكلات مراحل بعدی در ISP و... را پيشگيری كرد؛ مثلاً شركتی كه يك نام دامنه مسئله‌دار را ثبت می‌كند، قطعاً از نام آن می‌تواند بفهمد كه هدف از سايت آن چه خواهد بود، آيا اين شركت هاستينگ مسئوليتی نخواهد داشت؟ ما در اين باره بحث‌های فراوانی داشتيم، مسئوليتی هم كه برای هاست در قانون آمده، برای مسائل اخلاقی و پورن است، نه برای مسائل سياسی و توهين و امثال اينها. حتی در اين موارد هم طوری نيست كه هاست موظف به قضاوت باشد، بلكه فقط مصاديق بارز مانند عكس‌های پورنوگرافی و... مسئول است.

مولوی: البته معمولاً به اين ترتيب هم نيست كه اين موارد را بتوان به راحتی پيدا كرد، يعنی اين كه چنين مصاديقی در همان صفحات اصلی و اوليه قرار نيست كه مدير هاست بتواند به راحتی آن را پيدا كند، بنابراين نمی‌توان هميشه آن را "مصداق بارز" دانست...

پرويزی: قطعاً در آيين‌نامه اجرايی قانون، موضوع به تفصيل بررسی خواهد شد، يعنی اگر كسی روی هاست شما مورد خلافی ببيند، (مثلاً توهين به خودش) در اين مورد با اعلام قانونی، آن مورد بايد از روی هاست حذف شود (ونه همة سايت) و اگر در طول زمان معينی، فرد مدعی نتواند از مجاری قانونی اقدام كند، مسئله منتفی خواهد شد، همچنين در قانون شبكه‌های اطلاع‌رسانی (كه الآن در دست كار و بررسی است) همه جزئيات و ضوابط و شبكه‌ها دقيق‌تر مشخص می‌گردد.

    اين نكته را هم نبايد فراموش كرد كه در تدوين اين قانون، نمايندگان بخش خصوصی هم حضور داشتهاند(رييس انجمن ISPها) و به اندازه كافی تلاش برای حفظ حقوق بخش خصوصی كرده‌اند.

قمی: نكته ديگر، حفظ حريم خصوصی كاربران است، اگر قرار باشد همه اطلاعات ردوبدل شده كاربران، ذخيره و بررسی گردد كه مبادا در آينده جرمی اتفاق بيفتد، اين در واقع تجاوز به حريم خصوصی است...

پرويزی : بله، ولی اين برداشت ناشی از يك سوءتفاهم رايج است. ببينيد، "داده محتوا" و "داده ترافيك" تفاوتشان همين است، از نگاه ناظر خارجی ، من در ساعت خاصی وارد دفتر مجله كامپيوتر و ارتباطات می‌شوم و با آقای اروج‌زاده يك ساعت صحبت می‌كنم، اين "داده ترافيك" است و در واقع سابقه كار، ولی اين كه محتوای صحبت ما چيست Content است. ISP قرار نيست كه محتوا را ثبت كند و اين كه كاربر چه سايت‌هايی را ديده و... بلكه قرار است نوع خدمات اصلی ثبت شود (پروتكل‌ها مثل ... , HTTP , Mail , FTP) و نحوه ارتباط (شامل مبدا ارتباط كه آدرس IP آن است) و مدت آن و هويت كاربری كه تماس گرفته و مبدا ارتباط (شماره كاربر) يعنی هويت تماس گيرنده بايد برای شما مشخص باشد و مسير هم به اين معنا كه مثلاً شما از داخل يك LAN وصل شده‌ايد به يك ISP و از آنجا به يك ICP كشور، تا اينجا مسير است.
        بنابراين اين طور نيست كه همه سايت‌هايی كه ديده بايد ثبت شود و... بلكه فقط "داده ترافيك" ثبت می‌شود، اين مفهوم هم دقيقاً مطابق با تعريف كنفرانسيون بين‌المللی جرايم سايبر بوداپست است.

اروج‌زاده: به اين ترتيب در واقع كارت اينترنت با اين سازوكار فعلی ديگر نمی‌تواند وجود داشته باشد...

پرويزی: بله.

قمی: آنچه از "داده ترافيك" فهميده می‌شود كه بايد توسط ISP لاگ گرفته و ثبت شود ظاهراً چيزی مانند سيگنالينگ است در تلفن، بنابراين تصور اين كه همه فعاليت يك كاربر ثبت شود و حجم عظيمی از اطلاعات بايد توسط ISPها ذخيره شود درست نيست.

پرويزی: همين طور است. اينها ناشی از سوءتفاهم است. همان طور كه گفتم اين پيش‌نويس همچنان در معرض ديد و نظر كارشناسان است، همين طور در سايت مخصوص همايش حقوق فناوری اطلاعات. همه صاحبنظران می‌توانند نظرات و انتقادهای خود را بر آن بنويسند.

منبع : http://ccwmagazine.com/Issues/Issue24/vijhe/mizgerd.ASP