1996年国会听证会情报和安全
1996年国会听证会我叫帕特丽夏·里普利。我是贝尔斯登公司的总经理，负责公司安全业务，这是我在1990年开始的。我的职责包括制定信息安全政策和指导方针，审查和测试安全实施。在1990年之前，我在贝尔斯登公司负责计算机审计，在此之前，我是Arthur Young公司的负责人，管理纽约办事处和大都市地区的计算机审计小组。
安全性非常重要，因为它在证券行业的所有人都是我们所有人。在熊，蒸汽，我的员工和我审查和分析技术及其对公司安全的影响。我们对客户和股东有信托责任，以维持我们数据的机密性，完整性和可用性。
每年，熊，蒸汽花费数十万美元的建筑，购买，实施和测试我们的系统和网络的安全性。
我的主要责任是保护我们的客户和公司的信息。我们的业务取决于能够快速有效地与客户沟通，并就金融问题提供建议。如果我们无法维护客户的机密性和我们自己的数据，我们将失去客户的信任和业务。在当今的金融环境中，我们与来自世界各地的公司竞争。我们法院的客户是美国内外的投资者。我们向客户提供全球部署的金融专业知识的能力使我们成为成功的。
互联网和开放系统的增长呈现给我们具有新的安全挑战。熊有人，蒸汽觉得互联网的安全风险超过了企业的福利。然而，如果我们要保持竞争力，公司认为我们别无选择，只能使用互联网。我们的客户希望通过互联网进行业务。我们的竞争对手已经做到了。我们不再有选择脱绳。
由于我对安全的责任，我被要求监督熊，蒸汽与互联网的连接及其安全使用。由于安全问题，我们采取了相对保守的方法来使用互联网。除非实施了强大的安全措施，否则我们认为任何通过互联网通过的信息都可以通过互联网传递，并将被其他人读取。
我们的“互联网使用”政策指出，互联网“服务不应依赖于沟通或数据传输的安全或有效手段，除非已经采取了适当的安全措施，”互联网和第三方拨号服务不是除非采取适当的安全措施，除非采取适当的安全措施，否则用于传输或接收可能被视为专有或机密的信息。“
此政策已生成众多查询，即遵守敏感信息以及如何最佳安全。华尔街环境具有竞争力。当我们提供对我们竞争对手的市场优势给我们的信息时，我们保证信息秘密至关重要。当我们的市场分析师发现趋势时，我们向客户提供信息至关重要 - 只有我们的客户 - 没有它发现它的竞争对手的手。正如您可能想象的那样，我们交易的大部分信息都非常有价值。
例如，如果我们在潜在的收购方面向客户提出建议，则目标公司的名称不能在客户准备宣布它之前成为公众。如果这些信息过早公开，可以在市场上进行购买，这将使计划采购更昂贵，甚至不可能完成。
证券业是利用信息和通信技术促进全球业务的前沿。随着越来越多的这类信息通过电子方式发送，保护这类信息的机密性已成为我们的一个重要关注。加密是一种技术，通过这种技术，信息被伪装起来，不让未授权的收件人收到
安全与我们的海外客户与同事之间的沟通。
由于加密依赖于复杂的数学公式来加扰消息，除非接收器具有相应的公式或密钥，否则无法读取加密的消息，这将解读该消息。加密密钥越长，它被认为是更突然的，并且未授权的派对解码更加困难。证券行业目前采用加密技术在国内保护敏感的电子通信。我们还使用加密来验证信息的发起者，包括数字签名。
然而，在国际环境下，该行业不得不与额外的一组对手竞争。除了我们的美国。在竞争对手中，外国情报机构代表本国产业对美国企业进行工业间谍活动并非闻所未闻。不幸的是，目前对加密的出口限制不允许我们向非美国客户提供强大的美国制造的加密软件，也妨碍了我们与他们安全地通信的努力。这样我们就有两种选择:为客户端提供非美国公司生产的加密软件。公司，或拒绝与客户进行电子沟通，并试图使用FMD替代沟通方式。
这让我们和其他美国证券公司处于不利地位。在我们开展业务的国家的公司可以在当地市场上采用任何他们希望的加密方案。由于Bear, steam的规模，我们更喜欢标准化产品，这些产品可以被我们在世界各地支持的所有地点使用。在我们做生意的每个国家尝试购买、使用和整合不同的产品是非常麻烦的。此外，我们对购买非美国产品感到不安。正如我们购买美国制造的软件一样。实际上，我们的技术人员(大多数都在美国)在与世界各地不同时区的供应商合作时会遇到困难。我们对海外产品和供应商也缺乏熟悉和熟悉。在购买产品之前，我们通常会与供应商面对面地进行评估和了解。我们要求实际的产品演示，通常要求描述产品的白皮书和硬件或软件产品的评估副本，以帮助我们在选择过程中。我们还监视产品的测试——包括供应商的正式测试，以及其他测试过这些产品的公司在互联网上发布的报告。ReportsReports The inherent difficulties of long distance product support is another consideration that dissuades us from using foreign products.
这很讽刺，因为世界上任何地方的任何人都可以下载PGP (Pretty Good Privacy)，这是一种免费的加密程序，可以从世界各地的互联网站点获得。
例如，我们的法律部门可能希望与伦敦的一家律师事务所安全地交换数据。我们可以要求伦敦的公司使用PGP，并要求他们生成并发送他们的公钥给我们。类似地，我们可以生成并发送我们的公钥。一旦完成，我们就可以合法地交换使用PGP强大加密技术加密的消息和数据。
即使我们以这种方式与所有海外客户沟通，PGP也不是最终的解决方案，因为它不会在我们需要安全通信的所有情况下工作。我们使用许多不同的通信技术，每个沟通技术都可能需要不同的安全实现，PGP不适用于其中许多。安全产品确实存在
？？？？?I在http://www.crypto.com/.?????in the U.S.的加密政策资源页列出了几个这样的网站来解决这些问题，但它们不能导出。而不是试图满足我们的安全需求在美国出口限制的参数,我们会选择使用强大的加密产品在美国开发更多的功能和更容易使用,并能够提供这些产品海外客户。
如前所述，现有的管理加密技术出口的法律和法规使我们与外国客户进行保密交流的能力面临风险。联邦政府将“强”加密归类为“军需品”，并严格控制加密软件的使用、销售和再出口。这些规定忽略了一个事实，即许多受限制的产品已经在美国以外的地方可以买到。尽管这些规定允许美国公司向海外办事处出口任何他们想要的加密产品，但这一过程需要承担大量的文书工作，如果不遵守规定，还会受到严厉的惩罚。
此外，海外办事处的例外不适用于与海外客户的沟通。对于我们的客户，目前的法律只允许我们出口使用40位密钥的加密技术。在过去，只有在加密技术方面有大笔预算的政府情报机构才有能力破解这样的密码，但随着更快、更复杂的计算机的出现，拥有一台性能良好的计算机的个人可以在几个小时内破解40位密钥。
竞争对手的公司或致力于解密消息的预算的政府可以在几秒钟内解锁40位键。据据广州密码学家和计算机科学家群体，它将采取一个智能代理商，为解密技术提供3亿美元的预算只是一秒钟的分数来解码40位钥匙;一个拥有300,000美元的预算的公司可以在24秒内打破40位钥匙;和400美元的软件的黑客可以在5小时内完成。40位加密的不足特别关注熊，蒸汽和证券行业的其余部分。我们必须具备该工具对海外商业通信的机密性进行核对。正如我之前指出的那样，外国公司可获得的更强大的加密，不为我们的安全问题提供可行的解决方案。
克林顿政府提出了“商业密钥托管”(CKE)制度，试图解决目前出口限制的局限性，同时仍然保护其在打击全球恐怖主义和有组织犯罪方面的合法执法利益。CKE系统将允许美国公司出口64位技术，但需要将密钥的副本保存在第三方或托管代理机构。托管代理，很可能是一家银行或加密公司，可以在两种情况下发布密钥:
-如果密钥已经丢失，并且需要它来解密文件，则发送给所有者
-如执法人员有适当的授权令以取得已用托管密钥加密的资料，则向他们发出。
熊，蒸汽有几个原因不支持CKE系统。首先，64位并不充分安全。虽然政府的提议将是对目前的40位限制的改善，但政府在与国家标准和技术研究所承认的行业会晤时，良好资助的攻击者（如外国政府）可能会破坏64位加密很难。In addition, many of our overseas clients are already using stronger products that are available abroad and can be imported into the U.S. Those clients would have no incentive to move to a 64- bit key that would provide them with less protection than is currently available through their foreign suppliers.
其次，虽然我们可能会接受关键托管系统，但即使政府是第三方，我们也不会支持允许第三方进入钥匙。主要托管 - 在哪个人中的公司将在自己的非现场数据中心或保管箱中保持密钥与第三方托管完全不同。根据政府的提案，当披露钥匙披露时，政府核准的主要托管代理人被禁止通知缔约方。因此，我们的公司永远不会确定关键托管代理是否遵循遵守我们的密钥时适当的程序。无论多么值得信赖，无论访问所有机密客户数据和其他专有信息如何，都没有证券公司会舒服。
第三，政府表示，它将与其他国家签订双边协议，以确定对这些政府披露托管密钥的情况。虽然政府当局表示，只有友好国家谈判这些协议，但意识到对我们的钥匙的访问可能成为外交政策辩论中的议价筹码。我们特别关注，因为一些过硬化的国家将我们的公司瞄准了国内行业的信息来源。
最后，我们不支持CKE提案，因为它的设计是为了满足执法和国家安全的需要，而不是商界和我们的客户的需要。虽然我们认识到需要强大的国防和有力的执法努力，但我们不认为限制关键技术是解决这些问题的方法。如果美国不能开发出一个安全的全球支付系统，就会在电子商务领域远远落后于其他国家。如上所述，40位加密远远达不到这个目标。事实上，这一观点得到了美国国家研究委员会(National Research Council)的支持，这是一个两党合作的非营利机构，为国会提供科学技术方面的建议。在5月30日发布的一份报告中，NRC说:
"The U.S. government's current support of escrowed encryption as a technical pillar of its cryptography policy is inappropriate now because there are too manyunresolved questions about this approach. Even when these problems are resolved, adoption of escrowed encryption or of any other specific technology standard by the commercial sector should be voluntary and based on business needs, not government pressure."
主席先生，我们相信3011，通过加密（安全）法案的安全和自由，增加到NRC的挑战。H.R.3011会：
-允许不受限制地出口“大众市场”或“公共领域”加密程序，例如“相当良好的隐私”;
-如果在美国以外普遍可获得类似强度的产品，要求商务部长允许不受限制地出口其他加密技术;
- 禁止联邦政府对国内市场实施强制性主要托管政策;和
-限制商务部长为加密产品制定标准的权力。
我们认为，该法案以平衡和慎重的方式处理了现行法律的问题。我和我的同事在信息安全方面需要找到方法，在不违反政府过时的加密出口政策的情况下，为我们的公司提供安全的通信。在某些情况下，这意味着使用非电子产品
在这个全球即时通讯的时代，通讯手段是一个明显的劣势。通过允许我们的公司提供与海外客户和合作伙伴的安全通信，hr3011将促进资本市场的增长，提高美国证券公司的全球竞争地位，并引领电子商务的新时代。
我感谢您介绍了这一重要立法，并为我提供了一个支持其支持的机会。我很乐意回答您可能有任何问题。