Potrivit documentului, companiile private care vor intra în programul guvernamental vor putea desfășura activități de supraveghere, inclusiv utilizarea de spyware pentru colectarea de informații, precum și atacuri disruptive menite să distrugă datele sau sistemele infractorilor. Aceasta este o premieră absolută în istoria legislației federale americane, care trata companiile private la fel ca orice alt cetățean, interzicându-le să efectueze atacuri cibernetice fără o aprobare judecătorească.
Până acum, poziția guvernului american, indiferent de administrație, a fost că sectorul privat se poate apăra împotriva atacurilor cibernetice, dar nu poate lansa sau opera astfel de acțiuni. Noul memorandum schimbă radical această paradigmă, permițând companiilor să treacă de la defensivă la ofensivă, sub stricta supraveghere a guvernului federal.
Cu toate acestea, programul este încă la început, iar guvernul nu a stabilit încă toate detaliile operaționale. În următoarele două luni, administrația va publica ghiduri care să stabilească cerințele pe care companiile trebuie să le îndeplinească pentru a fi admise în program. Ghidul va lua în considerare companii de toate dimensiunile, inclusiv firme mici, care ar putea fi mai potrivite pentru operațiuni specializate.
Una dintre condițiile esențiale este ca fiecare companie participantă să depună o sumă de 1 milion de dolari într-un cont escrow, care va fi confiscată dacă guvernul descoperă că firma nu respectă regulile de desfășurare a operațiunilor. De asemenea, orice operațiune va necesita aprobarea reprezentanților Departamentului de Justiție și ai Departamentului pentru Securitate Internă, înainte de a fi autorizată. Toate acțiunile se vor desfășura exclusiv sub supravegherea guvernului federal.
Memorandumul interzice în mod explicit orice operațiune care vizează cetățeni americani sau sisteme cu sediul în SUA. În plus, companiile participante sunt obligate să notifice guvernul dacă descoperă un atac cibernetic iminent asupra infrastructurii critice americane, cum ar fi rețelele electrice sau furnizorii de apă.
Această schimbare de politică nu este lipsită de controverse. Criticii au avertizat de ani de zile că implicarea sectorului privat în operațiuni guvernamentale de hacking ar putea avea consecințe diplomatice și internaționale grave. De exemplu, un guvern străin ar putea acuza o companie americană că a atacat infrastructura sa, ceea ce ar putea escalada tensiunile internaționale.
Mai mult, un veteran al securității cibernetice, Jake Williams, vicepreședinte pentru cercetare și dezvoltare la firma Hunter Strategy, a atras atenția că americanii care lucrează pentru companii private de securitate cibernetică ar putea fi expuși riscului de a fi acuzați sau reținuți de guverne străine, similar modului în care procurorii americani au acuzat hackeri guvernamentali chinezi, iranieni sau ruși pentru crime cibernetice împotriva SUA. „Americanii care participă la aceste operațiuni ar putea fi ușor clasificați drept combatanți neuniformați atunci când călătoresc în străinătate”, a declarat Williams pentru TechCrunch. „Acuzațiile că un american a participat la aceste operațiuni nu trebuie să fie adevărate”, a adăugat el, subliniind că simpla existență a politicii creează acoperire pentru un guvern străin de a face astfel de acuzații.
Memorandumul nu merge până la a permite companiilor să „hack back” (să răspundă cu atacuri) oricărei amenințări cibernetice, dar deschide ușa către o implicare mult mai activă a sectorului privat în apărarea intereselor naționale. Rămâne de văzut cum va fi implementat programul și ce efecte va avea asupra peisajului global de securitate cibernetică.
De ce este important:
Această decizie marchează o schimbare fundamentală în modul în care SUA abordează securitatea cibernetică, transferând o parte din puterea ofensivă către sectorul privat. Pe termen scurt, ar putea spori capacitatea de a combate criminalitatea cibernetică internațională, dar pe termen lung ridică întrebări serioase despre responsabilitate, legalitate și riscuri diplomatice. Este esențial ca cetățenii să înțeleagă implicațiile acestei politici, deoarece afectează nu doar securitatea națională, ci și drepturile individuale și relațiile internaționale. Monitorizarea modului în care guvernul va implementa aceste măsuri și modul în care companiile vor respecta regulile va fi crucială pentru a preveni abuzurile și pentru a menține un echilibru între securitate și libertate.
