Memorandum tersebut mengarahkan Pusat Koordinasi Nasional (NCC) untuk membuat dan mengelola sebuah program yang mengizinkan "Perusahaan Peserta" untuk melakukan "Operasi Efek Siber" — didefinisikan sebagai aktivitas yang memanipulasi, mengganggu, menolak, menurunkan, atau menghancurkan sistem informasi, jaringan, atau data — terhadap jaringan kriminal asing yang menargetkan warga AS . Operasi dapat mencakup pengintaian rahasia (misalnya, menyebarkan spyware untuk mengumpulkan intelijen) dan serangan disruptif yang bertujuan menghancurkan data atau sistem para penjahat . Program ini juga mengizinkan "Operasi Pengawasan Siber" sebagai aktivitas terpisah yang diotorisasi .

Persyaratan utama

Memorandum ini menetapkan beberapa pagar pembatas bagi perusahaan peserta :

• Setoran escrow $1 juta — Perusahaan peserta harus menyetor $1 juta dalam escrow, yang dapat disita jika pemerintah menemukan ketidakpatuhan terhadap aturan program .
• Persetujuan bersama DOJ/DHS — Setiap operasi memerlukan persetujuan tertulis dari "Direktur Eksekutif Program" yang mewakili Departemen Kehakiman (DOJ) dan Departemen Keamanan Dalam Negeri (DHS) sebelum tindakan apa pun dapat diambil .
• Larangan menargetkan warga AS atau sistem di AS — Memorandum tersebut mengarahkan prosedur yang mencegah operasi apa pun menargetkan orang AS atau sistem yang berlokasi di Amerika Serikat .
• Ambang batas "Hasil Kritis" — Operasi yang kemungkinan menyebabkan hilangnya nyawa atau cedera serius, atau yang meningkat ke tingkat "penggunaan kekuatan" menurut hukum internasional, dilarang kecuali jika diotorisasi secara terpisah .
• Pelaporan tahunan — Direktur Eksekutif Program harus melapor kepada Penasihat Keamanan Dalam Negeri dan Direktur Siber Nasional dalam 180 hari dan setiap tahun setelahnya .
• Pengungkapan kontraktual — Perusahaan peserta harus mengungkapkan kepada NCC semua hubungan kontraktual dengan organisasi kriminal yang menjadi target .

Pergeseran kebijakan dan hukum

Kebijakan ini merupakan pembalikan bersejarah dari kebijakan keamanan siber AS selama puluhan tahun. Di bawah Computer Fraud and Abuse Act (CFAA), perusahaan swasta tunduk pada batasan yang sama seperti orang lain — secara luas dilarang melakukan akses tidak sah, peretasan, atau operasi gangguan tanpa perintah pengadilan . Posisi lama pemerintah AS, yang konsisten di beberapa pemerintahan, adalah bahwa sektor swasta boleh bertahan dari serangan siber yang masuk tetapi tidak boleh meluncurkan atau mengoperasikan serangan siber ofensif .

Memorandum ini menyingkirkan larangan tersebut untuk kontraktor yang telah diverifikasi yang bertindak di bawah pengawasan federal, secara efektif menciptakan program "hack-back" yang dikendalikan pemerintah yang mendelegasikan wewenang siber ofensif kepada perusahaan swasta . Gedung Putih menyatakan kebijakan tersebut memungkinkan pemerintah federal untuk "memanfaatkan kemampuan dan inovasi sektor swasta" untuk memerangi kejahatan siber dan ancaman yang menargetkan warga AS, seperti serangan ransomware, penipuan keuangan, dan sextortion .

Kritik dan kekhawatiran

Para kritikus memperingatkan bahwa kebijakan ini kemungkinan akan menghadapi tantangan hukum dan tentangan dari mereka yang berpendapat bahwa perusahaan swasta tidak boleh terlibat dalam operasi peretasan pemerintah . Memorandum itu sendiri mengakui risiko, mewajibkan perusahaan peserta untuk mempertahankan ikatan finansial yang substansial yang dapat disita jika tidak patuh. Program ini tidak mengotorisasi operasi "hack back" yang tidak terbatas — setiap tindakan tetap tunduk pada persetujuan federal — tetapi para kritikus mencatat bahwa mendelegasikan kemampuan siber ofensif kepada perusahaan swasta menciptakan celah baru untuk potensi penyalahgunaan dan eskalasi .

Memorandum tersebut mengarahkan Pusat Koordinasi Nasional (NCC) untuk membuat dan mengelola sebuah program yang mengizinkan "Perusahaan Peserta" untuk melakukan "Operasi Efek Siber" — didefinisikan sebagai aktivitas yang memanipulasi, mengganggu, menolak, menurunkan, atau menghancurkan sistem informasi, jaringan, atau data — terhadap jaringan kriminal asing yang menargetkan warga AS . Operasi dapat mencakup pengintaian rahasia (misalnya, menyebarkan spyware untuk mengumpulkan intelijen) dan serangan disruptif yang bertujuan menghancurkan data atau sistem para penjahat . Program ini juga mengizinkan "Operasi Pengawasan Siber" sebagai aktivitas terpisah yang diotorisasi .

Persyaratan utama

Memorandum ini menetapkan beberapa pagar pembatas bagi perusahaan peserta :

• Setoran escrow $1 juta — Perusahaan peserta harus menyetor $1 juta dalam escrow, yang dapat disita jika pemerintah menemukan ketidakpatuhan terhadap aturan program .
• Persetujuan bersama DOJ/DHS — Setiap operasi memerlukan persetujuan tertulis dari "Direktur Eksekutif Program" yang mewakili Departemen Kehakiman (DOJ) dan Departemen Keamanan Dalam Negeri (DHS) sebelum tindakan apa pun dapat diambil .
• Larangan menargetkan warga AS atau sistem di AS — Memorandum tersebut mengarahkan prosedur yang mencegah operasi apa pun menargetkan orang AS atau sistem yang berlokasi di Amerika Serikat .
• Ambang batas "Hasil Kritis" — Operasi yang kemungkinan menyebabkan hilangnya nyawa atau cedera serius, atau yang meningkat ke tingkat "penggunaan kekuatan" menurut hukum internasional, dilarang kecuali jika diotorisasi secara terpisah .
• Pelaporan tahunan — Direktur Eksekutif Program harus melapor kepada Penasihat Keamanan Dalam Negeri dan Direktur Siber Nasional dalam 180 hari dan setiap tahun setelahnya .
• Pengungkapan kontraktual — Perusahaan peserta harus mengungkapkan kepada NCC semua hubungan kontraktual dengan organisasi kriminal yang menjadi target .

Pergeseran kebijakan dan hukum

Kebijakan ini merupakan pembalikan bersejarah dari kebijakan keamanan siber AS selama puluhan tahun. Di bawah Computer Fraud and Abuse Act (CFAA), perusahaan swasta tunduk pada batasan yang sama seperti orang lain — secara luas dilarang melakukan akses tidak sah, peretasan, atau operasi gangguan tanpa perintah pengadilan . Posisi lama pemerintah AS, yang konsisten di beberapa pemerintahan, adalah bahwa sektor swasta boleh bertahan dari serangan siber yang masuk tetapi tidak boleh meluncurkan atau mengoperasikan serangan siber ofensif .

Memorandum ini menyingkirkan larangan tersebut untuk kontraktor yang telah diverifikasi yang bertindak di bawah pengawasan federal, secara efektif menciptakan program "hack-back" yang dikendalikan pemerintah yang mendelegasikan wewenang siber ofensif kepada perusahaan swasta . Gedung Putih menyatakan kebijakan tersebut memungkinkan pemerintah federal untuk "memanfaatkan kemampuan dan inovasi sektor swasta" untuk memerangi kejahatan siber dan ancaman yang menargetkan warga AS, seperti serangan ransomware, penipuan keuangan, dan sextortion .

Kritik dan kekhawatiran

Para kritikus memperingatkan bahwa kebijakan ini kemungkinan akan menghadapi tantangan hukum dan tentangan dari mereka yang berpendapat bahwa perusahaan swasta tidak boleh terlibat dalam operasi peretasan pemerintah . Memorandum itu sendiri mengakui risiko, mewajibkan perusahaan peserta untuk mempertahankan ikatan finansial yang substansial yang dapat disita jika tidak patuh. Program ini tidak mengotorisasi operasi "hack back" yang tidak terbatas — setiap tindakan tetap tunduk pada persetujuan federal — tetapi para kritikus mencatat bahwa mendelegasikan kemampuan siber ofensif kepada perusahaan swasta menciptakan celah baru untuk potensi penyalahgunaan dan eskalasi .