Historisk nyt lov: Private firmaer kan nu hacke udenlandske cyberkriminelle

Kravene til deltagende virksomheder

Direktivet fastsætter en række klare regler for deltagende virksomheder :

• 1 million dollars i escrow – Virksomhederne skal deponere en million dollars, som kan fortabes, hvis regeringen vurderer, at reglerne ikke er overholdt .
• Godkendelse fra DOJ og DHS – Hver enkelt operation kræver skriftlig godkendelse fra både Justitsministeriet (DOJ) og Ministeriet for Indenrigssikkerhed (DHS), før der må handles .
• Forbud mod at angribe amerikanere – Direktivet indeholder procedurer, der skal forhindre operationer mod amerikanske borgere eller systemer i USA .
• ”Kritiske konsekvenser” – Operationer, der kan medføre tab af liv eller alvorlig personskade, eller som på niveau med ”magtanvendelse” ifølge international ret, er forbudt, medmindre der gives særskilt tilladelse .
• Årlig rapportering – Programdirektørerne skal rapportere til den nationale sikkerhedsrådgiver og den nationale cyberdirektør inden 180 dage og derefter årligt .
• Indberetning af kontrakter – Deltagende virksomheder skal oplyse NCC om alle kontraktforhold med de målrettede kriminelle organisationer .

Skiftet i lov og politik

Direktivet markerer et historisk farvel til årtiers politik på området. Hidtil har private virksomheder under Computer Fraud and Abuse Act (CFAA) haft samme restriktioner som alle andre – i praksis forbud mod uautoriseret adgang, hacking eller forstyrrelser uden dommerkendelse . USA’s officielle holdning har på tværs af flere regeringer været, at den private sektor må forsvare sig mod angreb, men ikke selv udføre offensive cyberangreb .

Direktiver ophæver dette forbud for godkendte kontraktører under føderalt tilsyn og skaber dermed et statsstyret ”hack-back”-program, der overlader offensive beføjelser til private firmaer . Det Hvide Hus har forklaret, at hensigten er at ”udnytte den private sektors kapacitet og innovation” til at bekæmpe cyberkriminalitet, herunder ransomware, svindel og sextortion .

Kritik og bekymringer

Kritikere advarer om, at ordningen sandsynligvis vil møde juridiske udfordringer og modstand, da private virksomheder efter deres opfattelse ikke bør deltage i statslige hackingoperationer . Selv direktivet anerkender risikoen ved at kræve en stor kaution, der kan fortabes ved regelbrud. Programmet giver ikke mulighed for frit ”hack-back” – alle operationer skal fortsat godkendes føderalt – men modstandere påpeger, at delegation af offensive evner til private skaber nye veje for potentiel misbrug og eskalering .