Yhdysvallat antaa yksityisille yrityksille luvan hakkeroida ulkomaisia kyberrikollisia – uusi politiikka herättää kysymyksiä

Keskeiset vaatimukset

Muistio asettaa useita suojakaiteita osallistuville yrityksille :

• Miljoonan dollarin vakuustalletus — Osallistuvien yritysten on talletettava miljoona dollaria vakuustilille, joka voidaan menettää, jos hallitus toteaa, ettei yritys noudata ohjelman sääntöjä .
• Oikeusministeriön (DOJ) ja Kotimaan turvallisuuden ministeriön (DHS) yhteinen hyväksyntä — Jokainen operaatio vaatii molempien ministeriöiden nimeämien ohjelmajohtajien kirjallisen hyväksynnän ennen minkään toimenpiteen aloittamista .
• Yhdysvaltalaisten kohdistamisen kielto — Muistio ohjeistaa menettelyjä, jotka estävät operaation kohdistumisen yhdysvaltalaisiin henkilöihin tai Yhdysvalloissa sijaitseviin järjestelmiin .
• Kriittisten lopputulosten kynnysarvo — Operaatiot, jotka todennäköisesti aiheuttavat kuoleman tai vakavan vamman tai jotka nousevat kansainvälisen oikeuden mukaan "voimankäytön" tasolle, ovat kiellettyjä, ellei niitä ole erikseen valtuutettu .
• Vuotuinen raportointi — Ohjelmajohtajien on raportoitava kotimaan turvallisuuden neuvonantajalle ja kansalliselle kyberjohtajalle 180 päivän kuluessa ja sen jälkeen vuosittain .
• Sopimussuhteiden ilmoittaminen — Osallistuvien yritysten on ilmoitettava NCC:lle kaikki sopimussuhteensa kohdennettujen rikollisjärjestöjen kanssa .

Lain ja politiikan muutos

Politiikka merkitsee historiallista käännettä vuosikymmeniä jatkuneessa Yhdysvaltain kyberturvallisuuspolitiikassa. Computer Fraud and Abuse Actin (CFAA) nojalla yksityisiin yrityksiin on sovellettu samoja rajoituksia kuin muihinkin henkilöihin — ne ovat olleet laajasti kiellettyjä suorittamasta luvatonta pääsyä, hakkerointia tai häiritseviä operaatioita ilman tuomioistuimen lupaa . Pitkäaikainen Yhdysvaltain hallituksen kanta, joka on ollut voimassa useiden hallintojen aikana, on ollut, että yksityinen sektori voi puolustautua tulevia kyberhyökkäyksiä vastaan, mutta se ei voi aloittaa tai suorittaa hyökkääviä kyberhyökkäyksiä .

Tämä muistio pyyhkii tuon kiellon pois seulottujen urakoitsijoiden osalta liittovaltion valvonnassa, luoden käytännössä hallituksen kontrolloiman "takaisin hakkerointi" -ohjelman, joka siirtää hyökkäävän kybertoimivallan yksityisille yrityksille . Valkoinen talo totesi, että politiikka antaa liittovaltion hallitukselle mahdollisuuden "hyödyntää yksityisen sektorin kyvykkyyttä ja innovaatiota" torjuakseen kyberrikollisuutta ja uhkia, jotka kohdistuvat yhdysvaltalaisiin, kuten kiristysohjelmahyökkäyksiä, taloushuijauksia ja sextortion-kiristystä .

Kritiikki ja huolenaiheet

Kriitikot ovat varoittaneet, että politiikka todennäköisesti kohtaa oikeudellisia haasteita ja vastustusta niiltä, jotka väittävät, ettei yksityisten yritysten tulisi olla mukana hallituksen hakkerointioperaatioissa . Muistio itse tunnustaa riskin, vaatimalla osallistuvia yrityksiä ylläpitämään merkittävää vakuustalletusta, joka voidaan menettää sääntöjen rikkomisen vuoksi. Ohjelma ei valtuuta rajoittamattomia "takaisin hakkerointi" -operaatioita — jokainen toimenpide on edelleen liittovaltion hyväksynnän alainen — mutta kriitikot huomauttavat, että hyökkäävien kyberkyvykkyyksien siirtäminen yksityisille yrityksille luo uusia mahdollisuuksia väärinkäytölle ja eskalaatiolle .