Memorandumul nu modifică legile federale care interzic în general accesul neautorizat la sisteme informatice, dar prevede ca orice companie participantă să fie contractată de guvernul federal. Astfel, s-ar crea un cadru legal prin care firmele ar putea primi permisiunea de a pătrunde în rețelele unor grupuri străine desemnate drept infracționale, cu scopul de a le manipula, perturba, nega, degrada sau distruge sistemele informatice, conform textului memorandumului.
Joshua Steinman, fost director senior pentru politică cibernetică în Consiliul Național de Securitate în primul mandat al lui Trump, a explicat că „există o gamă largă de ținte potențiale, cum ar fi crima organizată, persoane implicate în spălare de bani sau alte activități infracționale”. El a subliniat că această abordare ar putea atrage atât firme mici, cât și startup-uri finanțate prin capital de risc, dornice să obțină contracte guvernamentale profitabile.
Ideea nu este nouă. Încă de la preluarea puterii de către Trump, doi congresmeni republicani au propus legislație care să încurajeze „privațiri” cibernetici, un termen inspirat din războiul naval din secolul al XVI-lea, când corsarii primeau permisiunea de a ataca navele inamice. Deși memorandumul nu oferă companiilor această libertate deplină, el a stârnit entuziasm în rândul susținătorilor ideii, care văd în el o rampă de lansare pentru extinderea rolului sectorului privat în apărarea cibernetică.
Cu toate acestea, documentul lasă nerezolvate numeroase întrebări practice și legale. Nu este clar cum vor fi selectate țintele, ce tip de atacuri vor fi permise și care va fi justificarea legală exactă. Companiile interesate ar urma să semneze contracte cu Departamentul de Justiție sau cu Departamentul pentru Securitate Internă, să treacă printr-un proces riguros de verificare și să depună o garanție de un milion de dolari, care ar putea fi confiscată dacă nu își respectă obligațiile.
Stacy O'Mara, director de politici la compania de securitate cibernetică Armadin, a declarat că documentul o pune în „modul așteptare și observare”. Ea consideră că orice companie care decide să participe va trebui să răspundă la o serie de întrebări legale. „Există toate aceste componente care rămân în aer, mai ales în ceea ce privește autoritățile legale și protecțiile”, a spus ea.
Unii veterani din industria securității cibernetice sunt sceptici. Paul Rosenzweig, fost adjunct al secretarului pentru securitate internă în administrația George W. Bush și actual consultant la Washington, consideră că memorandumul nu abordează problemele practice și legale cu care s-ar confrunta orice actor privat care spionează o organizație străină. „Orice ar face noii noștri actori privați cibernetici peste hotare va fi cu siguranță împotriva legilor interne ale multor țări în care acționează”, a avertizat el. „Internetul nu este limitat de frontiere suverane în același mod în care este spațiul fizic.”
Memorandumul nu ar permite companiilor să lanseze atacuri cibernetice asupra guvernelor străine, dar mulți infractori cibernetici operează într-o zonă gri între acțiuni sponsorizate de stat și cele independente. Vizarea unui grup greșit ar putea provoca un incident internațional. Chris Wysopal, veteran în securitate cibernetică și cofondator al firmei Veracode, a declarat pentru NPR că nu este interesat să participe la astfel de operațiuni, din cauza riscurilor legale. „Nu vrei să ai daune colaterale atunci când raza ta de explozie este prea mare la centrul de date pe care încercai să îl dobori și ai distrus serverele unei companii de transport sau ale unui spital”, a explicat el.
În ciuda acestor îngrijorări, unii experți văd oportunități. Arthur Tellis, fost angajat al Departamentului Apărării și actual cercetător la Institute for Progress, crede că firmele private ar fi probabil mai bune la supraveghere decât la perturbarea efectivă a infracțiunilor. El a menționat că multe companii ar putea vedea acest program ca pe o șansă de a-și îmbunătăți vizibilitatea sau de a obține resurse direct de la guvern.
Memorandumul vine pe fondul unei creșteri alarmante a atacurilor cibernetice asupra infrastructurii critice din SUA, inclusiv asupra sistemelor de apă și a spitalelor. Infractorii cibernetici pătrund în rețelele companiilor private și ale utilităților publice, amenințând că vor ține datele ostatic sau le vor publica dacă nu primesc răscumpărare. Ei fură informații personale și manipulează oamenii să transfere bani. În acest context, administrația Trump pare să caute soluții inovatoare, dar rămâne de văzut dacă această abordare va fi eficientă sau va crea mai multe probleme decât rezolvă.
Documentul subliniază o schimbare majoră de paradigmă: trecerea de la o apărare cibernetică pasivă la una activă, în care sectorul privat devine un jucător ofensiv. Însă, fără reglementări clare și fără o supraveghere adecvată, riscul de abuz și de escaladare este imens. Rămâne de văzut dacă această inițiativă va fi implementată cu succes sau dacă va rămâne doar o declarație de intenție, având în vedere că administrația Trump se află la final de mandat și că legislația privind „privațirii” cibernetici nu a fost încă adoptată.
De ce este important:
Această inițiativă ar putea redefinește granițele dintre acțiunile guvernamentale și cele private în spațiul cibernetic, cu implicații majore pentru securitatea națională, dreptul internațional și responsabilitatea corporativă. Dacă va fi implementată, ar putea deschide cutia Pandorei a operațiunilor ofensive private, cu riscuri semnificative de daune colaterale, escaladare a conflictelor și încălcarea suveranității altor state. În același timp, ar putea oferi un instrument nou în lupta împotriva criminalității cibernetice, care afectează milioane de oameni și companii. Este esențial ca dezbaterea publică să continue, iar deciziile să fie luate cu transparență și cu respectarea legilor internaționale.
