Ce que la politique prévoit

Le mémorandum charge le National Coordination Center (NCC) de créer et de gérer un programme qui autorise les « Entreprises participantes » à mener des « Cyber Effects Operations » (opérations à effet cybernétique) — définies comme des activités qui manipulent, perturbent, refusent, dégradent ou détruisent des systèmes d'information, des réseaux ou des données — contre des réseaux criminels étrangers qui ciblent des Américains . Les opérations peuvent inclure la surveillance clandestine (par exemple, le déploiement de logiciels espions pour recueillir des renseignements) et des attaques perturbatrices visant à détruire les données ou les systèmes des criminels . Le programme autorise également les « Cyber Surveillance Operations » (opérations de cyber-surveillance) en tant qu'activité distincte .

Conditions clés

Le mémorandum établit plusieurs garde-fous pour les entreprises participantes :

• Caution d'un million de dollars — Les entreprises participantes doivent déposer un million de dollars sous séquestre, qui peut être confisqué si le gouvernement constate un non-respect des règles du programme .
• Approbation conjointe DOJ/DHS — Chaque opération nécessite l'approbation écrite des « Directeurs exécutifs du programme » représentant à la fois le ministère de la Justice et le ministère de la Sécurité intérieure avant qu'une action puisse être entreprise .
• Interdiction de cibler des Américains ou des systèmes basés aux États-Unis — Le mémorandum ordonne des procédures empêchant toute opération de cibler des personnes américaines ou des systèmes situés aux États-Unis .
• Seuil des « Résultats critiques » — Les opérations susceptibles d'entraîner une perte de vie humaine ou des blessures graves, ou qui atteignent le niveau de « recours à la force » en vertu du droit international, sont interdites à moins d'être autorisées séparément .
• Rapport annuel — Les Directeurs exécutifs du programme doivent faire rapport au Conseiller à la sécurité intérieure et au Directeur national du cyberespace dans les 180 jours, puis chaque année .
• Divulgation contractuelle — Les entreprises participantes doivent divulguer au NCC toutes les relations contractuelles avec les organisations criminelles ciblées .

Changement juridique et politique

Cette politique représente un revirement historique de la politique de cybersécurité américaine qui prévaut depuis des décennies. En vertu du Computer Fraud and Abuse Act (CFAA), les entreprises privées étaient soumises aux mêmes restrictions que toute autre personne — interdiction générale de procéder à des accès non autorisés, du piratage ou des opérations de perturbation sans mandat judiciaire . La position de longue date du gouvernement américain, constante sous plusieurs administrations, était que le secteur privé pouvait se défendre contre les cyberattaques entrantes, mais ne pouvait pas lancer ou mener de cyberattaques offensives .

Ce mémorandum balaie cette interdiction pour les entrepreneurs agréés agissant sous supervision fédérale, créant ainsi un programme de « hack-back » contrôlé par le gouvernement qui délègue l'autorité cybernétique offensive à des entreprises privées . La Maison-Blanche a déclaré que cette politique permet au gouvernement fédéral de « tirer parti des capacités et de l'innovation du secteur privé » pour lutter contre la cybercriminalité et les menaces qui ciblent les Américains, telles que les attaques par rançongiciel, les arnaques financières et le sextorsion .

Critiques et préoccupations

Les critiques ont averti que cette politique devrait probablement faire face à des contestations judiciaires et à l'opposition de ceux qui estiment que les entreprises privées ne devraient pas être impliquées dans des opérations de piratage gouvernementales . Le mémorandum lui-même reconnaît les risques, exigeant que les entreprises participantes maintiennent une caution financière substantielle qui pourrait être confisquée en cas de non-conformité. Le programme n'autorise pas les opérations « hack back » sans restriction — chaque action reste soumise à l'approbation fédérale — mais les critiques notent que la délégation de capacités cybernétiques offensives à des entreprises privées crée de nouvelles voies potentielles d'abus et d'escalade .

Ce que la politique prévoit

Le mémorandum charge le National Coordination Center (NCC) de créer et de gérer un programme qui autorise les « Entreprises participantes » à mener des « Cyber Effects Operations » (opérations à effet cybernétique) — définies comme des activités qui manipulent, perturbent, refusent, dégradent ou détruisent des systèmes d'information, des réseaux ou des données — contre des réseaux criminels étrangers qui ciblent des Américains . Les opérations peuvent inclure la surveillance clandestine (par exemple, le déploiement de logiciels espions pour recueillir des renseignements) et des attaques perturbatrices visant à détruire les données ou les systèmes des criminels . Le programme autorise également les « Cyber Surveillance Operations » (opérations de cyber-surveillance) en tant qu'activité distincte .

Conditions clés

Le mémorandum établit plusieurs garde-fous pour les entreprises participantes :

• Caution d'un million de dollars — Les entreprises participantes doivent déposer un million de dollars sous séquestre, qui peut être confisqué si le gouvernement constate un non-respect des règles du programme .
• Approbation conjointe DOJ/DHS — Chaque opération nécessite l'approbation écrite des « Directeurs exécutifs du programme » représentant à la fois le ministère de la Justice et le ministère de la Sécurité intérieure avant qu'une action puisse être entreprise .
• Interdiction de cibler des Américains ou des systèmes basés aux États-Unis — Le mémorandum ordonne des procédures empêchant toute opération de cibler des personnes américaines ou des systèmes situés aux États-Unis .
• Seuil des « Résultats critiques » — Les opérations susceptibles d'entraîner une perte de vie humaine ou des blessures graves, ou qui atteignent le niveau de « recours à la force » en vertu du droit international, sont interdites à moins d'être autorisées séparément .
• Rapport annuel — Les Directeurs exécutifs du programme doivent faire rapport au Conseiller à la sécurité intérieure et au Directeur national du cyberespace dans les 180 jours, puis chaque année .
• Divulgation contractuelle — Les entreprises participantes doivent divulguer au NCC toutes les relations contractuelles avec les organisations criminelles ciblées .

Changement juridique et politique

Cette politique représente un revirement historique de la politique de cybersécurité américaine qui prévaut depuis des décennies. En vertu du Computer Fraud and Abuse Act (CFAA), les entreprises privées étaient soumises aux mêmes restrictions que toute autre personne — interdiction générale de procéder à des accès non autorisés, du piratage ou des opérations de perturbation sans mandat judiciaire . La position de longue date du gouvernement américain, constante sous plusieurs administrations, était que le secteur privé pouvait se défendre contre les cyberattaques entrantes, mais ne pouvait pas lancer ou mener de cyberattaques offensives .

Ce mémorandum balaie cette interdiction pour les entrepreneurs agréés agissant sous supervision fédérale, créant ainsi un programme de « hack-back » contrôlé par le gouvernement qui délègue l'autorité cybernétique offensive à des entreprises privées . La Maison-Blanche a déclaré que cette politique permet au gouvernement fédéral de « tirer parti des capacités et de l'innovation du secteur privé » pour lutter contre la cybercriminalité et les menaces qui ciblent les Américains, telles que les attaques par rançongiciel, les arnaques financières et le sextorsion .

Critiques et préoccupations

Les critiques ont averti que cette politique devrait probablement faire face à des contestations judiciaires et à l'opposition de ceux qui estiment que les entreprises privées ne devraient pas être impliquées dans des opérations de piratage gouvernementales . Le mémorandum lui-même reconnaît les risques, exigeant que les entreprises participantes maintiennent une caution financière substantielle qui pourrait être confisquée en cas de non-conformité. Le programme n'autorise pas les opérations « hack back » sans restriction — chaque action reste soumise à l'approbation fédérale — mais les critiques notent que la délégation de capacités cybernétiques offensives à des entreprises privées crée de nouvelles voies potentielles d'abus et d'escalade .