नीति क्या करती है

यह ज्ञापन नेशनल कोऑर्डिनेशन सेंटर (NCC) को निर्देशित करता है कि वह एक कार्यक्रम बनाए और प्रबंधित करे, जो "भाग लेने वाली कंपनियों" (Participating Companies) को उन विदेशी आपराधिक नेटवर्कों के खिलाफ "साइबर इफेक्ट्स ऑपरेशंस" (Cyber Effects Operations) करने का अधिकार देता है, जो अमेरिकियों को निशाना बनाते हैं । इन ऑपरेशनों में गुप्त निगरानी (जैसे, खुफिया जानकारी जुटाने के लिए स्पाइवेयर तैनात करना) और अपराधियों के डेटा या सिस्टम को नष्ट करने के उद्देश्य से विघटनकारी हमले शामिल हो सकते हैं । कार्यक्रम "साइबर सर्विलांस ऑपरेशंस" (Cyber Surveillance Operations) को भी एक अलग अधिकृत गतिविधि के रूप में अनुमति देता है ।

मुख्य आवश्यकताएं

ज्ञापन भाग लेने वाली कंपनियों के लिए कई सुरक्षा उपाय निर्धारित करता है :

• $1 मिलियन एस्क्रो जमा — भाग लेने वाली कंपनियों को $1 मिलियन एस्क्रो में जमा करने होंगे, जो सरकार द्वारा कार्यक्रम के नियमों का उल्लंघन पाए जाने पर जब्त किए जा सकते हैं ।
• संयुक्त DOJ/DHS अनुमोदन — कोई भी कार्रवाई करने से पहले प्रत्येक ऑपरेशन के लिए न्याय विभाग (DOJ) और होमलैंड सुरक्षा विभाग (DHS) दोनों के प्रतिनिधित्व करने वाले "कार्यक्रम कार्यकारी निदेशकों" से लिखित अनुमति आवश्यक है ।
• अमेरिकियों या अमेरिका-आधारित सिस्टम को निशाना बनाने पर प्रतिबंध — ज्ञापन ऐसी प्रक्रियाओं का निर्देश देता है जो किसी भी ऑपरेशन को अमेरिकी व्यक्तियों या संयुक्त राज्य अमेरिका में स्थित सिस्टम को निशाना बनाने से रोकती हैं ।
• "गंभीर परिणामों" की सीमा — ऐसे ऑपरेशन जिनसे जानमाल का नुकसान या गंभीर चोट लगने की संभावना हो, या जो अंतरराष्ट्रीय कानून के तहत "बल प्रयोग" के स्तर तक बढ़ जाएं, अलग से अधिकृत होने तक निषिद्ध हैं ।
• वार्षिक रिपोर्टिंग — कार्यक्रम कार्यकारी निदेशकों को 180 दिनों के भीतर और उसके बाद वार्षिक रूप से होमलैंड सुरक्षा सलाहकार और राष्ट्रीय साइबर निदेशक को रिपोर्ट करना होगा ।
• अनुबंधात्मक प्रकटीकरण — भाग लेने वाली कंपनियों को NCC को लक्षित आपराधिक संगठनों के साथ अपने सभी संविदात्मक संबंधों का खुलासा करना होगा ।

कानूनी और नीतिगत बदलाव

यह नीति दशकों की अमेरिकी साइबर सुरक्षा नीति में एक ऐतिहासिक उलटफेर का प्रतिनिधित्व करती है। कंप्यूटर फ्रॉड एंड एब्यूज़ एक्ट (CFAA) के तहत, निजी कंपनियां किसी भी अन्य व्यक्ति के समान प्रतिबंधों के अधीन रही हैं — उन्हें बिना अदालती आदेश के अनधिकृत पहुंच, हैकिंग या विघटनकारी संचालन करने से व्यापक रूप से प्रतिबंधित किया गया है । कई प्रशासनों में अमेरिकी सरकार की लंबे समय से चली आ रही स्थिति यह रही है कि निजी क्षेत्र आने वाले साइबर हमलों से बचाव कर सकता है, लेकिन आक्रामक साइबर हमले शुरू या संचालित नहीं कर सकता ।

यह ज्ञापन संघीय पर्यवेक्षण के तहत काम करने वाले जांचे-परखे ठेकेदारों के लिए उस निषेध को हटा देता है, प्रभावी रूप से एक सरकार-नियंत्रित "हैक-बैक" कार्यक्रम बनाता है जो निजी फर्मों को आक्रामक साइबर अधिकार सौंपता है । व्हाइट हाउस ने कहा कि यह नीति संघीय सरकार को साइबर अपराध और अमेरिकियों को निशाना बनाने वाले खतरों, जैसे रैनसमवेयर हमले, वित्तीय घोटाले और सेक्सटॉर्शन से निपटने के लिए "निजी क्षेत्र की क्षमता और नवाचार का लाभ उठाने" की अनुमति देती है ।

आलोचना और चिंताएं

आलोचकों ने चेतावनी दी है कि इस नीति को कानूनी चुनौतियों और उन लोगों के विरोध का सामना करना पड़ सकता है जो तर्क देते हैं कि निजी कंपनियों को सरकारी हैकिंग संचालन में शामिल नहीं होना चाहिए । ज्ञापन स्वयं जोखिम स्वीकार करता है, जिसमें भाग लेने वाली कंपनियों को एक पर्याप्त वित्तीय बांड बनाए रखने की आवश्यकता होती है जो गैर-अनुपालन के लिए जब्त किया जा सकता है। कार्यक्रम अप्रतिबंधित "हैक बैक" संचालन को अधिकृत नहीं करता है — प्रत्येक कार्रवाई संघीय अनुमोदन के अधीन रहती है — लेकिन आलोचक ध्यान देते हैं कि निजी फर्मों को आक्रामक साइबर क्षमताएं सौंपने से दुरुपयोग और संघर्ष बढ़ने के नए रास्ते बनते हैं ।

नीति क्या करती है

यह ज्ञापन नेशनल कोऑर्डिनेशन सेंटर (NCC) को निर्देशित करता है कि वह एक कार्यक्रम बनाए और प्रबंधित करे, जो "भाग लेने वाली कंपनियों" (Participating Companies) को उन विदेशी आपराधिक नेटवर्कों के खिलाफ "साइबर इफेक्ट्स ऑपरेशंस" (Cyber Effects Operations) करने का अधिकार देता है, जो अमेरिकियों को निशाना बनाते हैं । इन ऑपरेशनों में गुप्त निगरानी (जैसे, खुफिया जानकारी जुटाने के लिए स्पाइवेयर तैनात करना) और अपराधियों के डेटा या सिस्टम को नष्ट करने के उद्देश्य से विघटनकारी हमले शामिल हो सकते हैं । कार्यक्रम "साइबर सर्विलांस ऑपरेशंस" (Cyber Surveillance Operations) को भी एक अलग अधिकृत गतिविधि के रूप में अनुमति देता है ।

मुख्य आवश्यकताएं

ज्ञापन भाग लेने वाली कंपनियों के लिए कई सुरक्षा उपाय निर्धारित करता है :

• $1 मिलियन एस्क्रो जमा — भाग लेने वाली कंपनियों को $1 मिलियन एस्क्रो में जमा करने होंगे, जो सरकार द्वारा कार्यक्रम के नियमों का उल्लंघन पाए जाने पर जब्त किए जा सकते हैं ।
• संयुक्त DOJ/DHS अनुमोदन — कोई भी कार्रवाई करने से पहले प्रत्येक ऑपरेशन के लिए न्याय विभाग (DOJ) और होमलैंड सुरक्षा विभाग (DHS) दोनों के प्रतिनिधित्व करने वाले "कार्यक्रम कार्यकारी निदेशकों" से लिखित अनुमति आवश्यक है ।
• अमेरिकियों या अमेरिका-आधारित सिस्टम को निशाना बनाने पर प्रतिबंध — ज्ञापन ऐसी प्रक्रियाओं का निर्देश देता है जो किसी भी ऑपरेशन को अमेरिकी व्यक्तियों या संयुक्त राज्य अमेरिका में स्थित सिस्टम को निशाना बनाने से रोकती हैं ।
• "गंभीर परिणामों" की सीमा — ऐसे ऑपरेशन जिनसे जानमाल का नुकसान या गंभीर चोट लगने की संभावना हो, या जो अंतरराष्ट्रीय कानून के तहत "बल प्रयोग" के स्तर तक बढ़ जाएं, अलग से अधिकृत होने तक निषिद्ध हैं ।
• वार्षिक रिपोर्टिंग — कार्यक्रम कार्यकारी निदेशकों को 180 दिनों के भीतर और उसके बाद वार्षिक रूप से होमलैंड सुरक्षा सलाहकार और राष्ट्रीय साइबर निदेशक को रिपोर्ट करना होगा ।
• अनुबंधात्मक प्रकटीकरण — भाग लेने वाली कंपनियों को NCC को लक्षित आपराधिक संगठनों के साथ अपने सभी संविदात्मक संबंधों का खुलासा करना होगा ।

कानूनी और नीतिगत बदलाव

यह नीति दशकों की अमेरिकी साइबर सुरक्षा नीति में एक ऐतिहासिक उलटफेर का प्रतिनिधित्व करती है। कंप्यूटर फ्रॉड एंड एब्यूज़ एक्ट (CFAA) के तहत, निजी कंपनियां किसी भी अन्य व्यक्ति के समान प्रतिबंधों के अधीन रही हैं — उन्हें बिना अदालती आदेश के अनधिकृत पहुंच, हैकिंग या विघटनकारी संचालन करने से व्यापक रूप से प्रतिबंधित किया गया है । कई प्रशासनों में अमेरिकी सरकार की लंबे समय से चली आ रही स्थिति यह रही है कि निजी क्षेत्र आने वाले साइबर हमलों से बचाव कर सकता है, लेकिन आक्रामक साइबर हमले शुरू या संचालित नहीं कर सकता ।

यह ज्ञापन संघीय पर्यवेक्षण के तहत काम करने वाले जांचे-परखे ठेकेदारों के लिए उस निषेध को हटा देता है, प्रभावी रूप से एक सरकार-नियंत्रित "हैक-बैक" कार्यक्रम बनाता है जो निजी फर्मों को आक्रामक साइबर अधिकार सौंपता है । व्हाइट हाउस ने कहा कि यह नीति संघीय सरकार को साइबर अपराध और अमेरिकियों को निशाना बनाने वाले खतरों, जैसे रैनसमवेयर हमले, वित्तीय घोटाले और सेक्सटॉर्शन से निपटने के लिए "निजी क्षेत्र की क्षमता और नवाचार का लाभ उठाने" की अनुमति देती है ।

आलोचना और चिंताएं

आलोचकों ने चेतावनी दी है कि इस नीति को कानूनी चुनौतियों और उन लोगों के विरोध का सामना करना पड़ सकता है जो तर्क देते हैं कि निजी कंपनियों को सरकारी हैकिंग संचालन में शामिल नहीं होना चाहिए । ज्ञापन स्वयं जोखिम स्वीकार करता है, जिसमें भाग लेने वाली कंपनियों को एक पर्याप्त वित्तीय बांड बनाए रखने की आवश्यकता होती है जो गैर-अनुपालन के लिए जब्त किया जा सकता है। कार्यक्रम अप्रतिबंधित "हैक बैक" संचालन को अधिकृत नहीं करता है — प्रत्येक कार्रवाई संघीय अनुमोदन के अधीन रहती है — लेकिन आलोचक ध्यान देते हैं कि निजी फर्मों को आक्रामक साइबर क्षमताएं सौंपने से दुरुपयोग और संघर्ष बढ़ने के नए रास्ते बनते हैं ।