דרישות מרכזיות

התזכיר קובע מספר מנגנוני פיקוח לחברות המשתתפות :

• הפקדת ערבות בנאמנות בסך מיליון דולר - חברות משתתפות נדרשות להפקיד מיליון דולר בחשבון נאמנות, שיוחרם במקרה שהממשלה תמצא שהן הפרו את כללי התוכנית .
• אישור משותף של משרד המשפטים והמשרד לביטחון המולדת - כל מבצע דורש אישור בכתב מ"מנהלי התוכנית" המייצגים את משרד המשפטים (DOJ) ואת המשרד לביטחון המולדת (DHS) לפני ביצוע כל פעולה .
• איסור על פגיעה באזרחים אמריקאים או במערכות בארה"ב - התזכיר מורה על נהלים המונעים כל פעולה שתפגע באזרחי ארה"ב או במערכות הנמצאות בשטחה .
• סף "תוצאות קריטיות" - פעולות העלולות לגרום לאובדן חיים או לפציעה חמורה, או כאלו העולות כדי "שימוש בכוח" על פי המשפט הבינלאומי, אסורות אלא אם אושרו בנפרד .
• דיווח שנתי - מנהלי התוכנית חייבים לדווח ליועץ לביטחון המולדת ולמנהל הסייבר הלאומי בתוך 180 יום ולאחר מכן מדי שנה .
• גילוי חוזי - חברות משתתפות חייבות לחשוף בפני ה-NCC את כל ההתקשרויות החוזיות שלהן מול ארגוני הפשיעה הממוקדים .

המהפך המשפטי והמדיני

מדיניות זו מייצגת היפוך היסטורי של מדיניות הסייבר האמריקאית בת עשרות שנים. על פי חוק ההתעללות במחשבים (Computer Fraud and Abuse Act - CFAA), חברות פרטיות היו כפופות לאותן מגבלות כמו כל אדם אחר - נאסר עליהן לבצע גישה לא מורשית, האקינג או שיבוש מערכות ללא צו בית משפט . עמדת הממשל האמריקאי, שנשמרה בעקביות לאורך ממשלים שונים, הייתה שהמגזר הפרטי רשאי להגן מפני מתקפות סייבר נכנסות אך אינו רשאי לשגר או לבצע מתקפות סייבר התקפיות .

תזכיר זה מבטל איסור זה עבור קבלנים מאושרים הפועלים תחת פיקוח פדרלי, ויוצר למעשה תוכנית "האק-בק" בשליטת הממשלה המאצילה סמכויות סייבר התקפיות לחברות פרטיות . הבית הלבן הצהיר כי המדיניות מאפשרת לממשלה הפדרלית "לנצל את היכולת והחדשנות של המגזר הפרטי" כדי להילחם בפשיעת סייבר ובאיומים הפוגעים באמריקאים, כגון מתקפות כופר, הונאות פיננסיות וסחיטה מינית .

ביקורת וחששות

מבקרים הזהירו כי המדיניות צפויה לעמוד בפני אתגרים משפטיים ולהתמודד עם התנגדות מצד גורמים הטוענים כי אין לשתף חברות פרטיות בפעולות האקינג ממשלתיות . התזכיר עצמו מכיר בסיכון, ודורש מהחברות המשתתפות להחזיק בערבות כספית משמעותית העלולה להיות מוחרמת במקרה של אי-עמידה בכללים. התוכנית אינה מאשרת פעולות "האק-בק" בלתי מוגבלות - כל פעולה נותרת כפופה לאישור פדרלי - אך המבקרים מציינים כי האצלת יכולות סייבר התקפיות לגורמים פרטיים יוצרת ערוצים חדשים לשימוש לרעה ולהסלמה .

דרישות מרכזיות

התזכיר קובע מספר מנגנוני פיקוח לחברות המשתתפות :

• הפקדת ערבות בנאמנות בסך מיליון דולר - חברות משתתפות נדרשות להפקיד מיליון דולר בחשבון נאמנות, שיוחרם במקרה שהממשלה תמצא שהן הפרו את כללי התוכנית .
• אישור משותף של משרד המשפטים והמשרד לביטחון המולדת - כל מבצע דורש אישור בכתב מ"מנהלי התוכנית" המייצגים את משרד המשפטים (DOJ) ואת המשרד לביטחון המולדת (DHS) לפני ביצוע כל פעולה .
• איסור על פגיעה באזרחים אמריקאים או במערכות בארה"ב - התזכיר מורה על נהלים המונעים כל פעולה שתפגע באזרחי ארה"ב או במערכות הנמצאות בשטחה .
• סף "תוצאות קריטיות" - פעולות העלולות לגרום לאובדן חיים או לפציעה חמורה, או כאלו העולות כדי "שימוש בכוח" על פי המשפט הבינלאומי, אסורות אלא אם אושרו בנפרד .
• דיווח שנתי - מנהלי התוכנית חייבים לדווח ליועץ לביטחון המולדת ולמנהל הסייבר הלאומי בתוך 180 יום ולאחר מכן מדי שנה .
• גילוי חוזי - חברות משתתפות חייבות לחשוף בפני ה-NCC את כל ההתקשרויות החוזיות שלהן מול ארגוני הפשיעה הממוקדים .

המהפך המשפטי והמדיני

מדיניות זו מייצגת היפוך היסטורי של מדיניות הסייבר האמריקאית בת עשרות שנים. על פי חוק ההתעללות במחשבים (Computer Fraud and Abuse Act - CFAA), חברות פרטיות היו כפופות לאותן מגבלות כמו כל אדם אחר - נאסר עליהן לבצע גישה לא מורשית, האקינג או שיבוש מערכות ללא צו בית משפט . עמדת הממשל האמריקאי, שנשמרה בעקביות לאורך ממשלים שונים, הייתה שהמגזר הפרטי רשאי להגן מפני מתקפות סייבר נכנסות אך אינו רשאי לשגר או לבצע מתקפות סייבר התקפיות .

תזכיר זה מבטל איסור זה עבור קבלנים מאושרים הפועלים תחת פיקוח פדרלי, ויוצר למעשה תוכנית "האק-בק" בשליטת הממשלה המאצילה סמכויות סייבר התקפיות לחברות פרטיות . הבית הלבן הצהיר כי המדיניות מאפשרת לממשלה הפדרלית "לנצל את היכולת והחדשנות של המגזר הפרטי" כדי להילחם בפשיעת סייבר ובאיומים הפוגעים באמריקאים, כגון מתקפות כופר, הונאות פיננסיות וסחיטה מינית .

ביקורת וחששות

מבקרים הזהירו כי המדיניות צפויה לעמוד בפני אתגרים משפטיים ולהתמודד עם התנגדות מצד גורמים הטוענים כי אין לשתף חברות פרטיות בפעולות האקינג ממשלתיות . התזכיר עצמו מכיר בסיכון, ודורש מהחברות המשתתפות להחזיק בערבות כספית משמעותית העלולה להיות מוחרמת במקרה של אי-עמידה בכללים. התוכנית אינה מאשרת פעולות "האק-בק" בלתי מוגבלות - כל פעולה נותרת כפופה לאישור פדרלי - אך המבקרים מציינים כי האצלת יכולות סייבר התקפיות לגורמים פרטיים יוצרת ערוצים חדשים לשימוש לרעה ולהסלמה .