Una svolta storica: gli USA autorizzano le aziende private a condurre offensive informatiche all'estero

Requisiti fondamentali

Il memorandum stabilisce diverse garanzie per le aziende partecipanti :

• Deposito cauzionale di 1 milione di dollari — Le aziende partecipanti devono versare 1 milione di dollari in un conto di garanzia, che può essere confiscato in caso di inosservanza delle regole del programma .
• Approvazione congiunta DOJ/DHS — Ogni operazione richiede l'approvazione scritta di "Direttori Esecutivi del Programma" che rappresentano il Dipartimento di Giustizia (DOJ) e il Dipartimento per la Sicurezza Nazionale (DHS) prima che possa essere intrapresa qualsiasi azione .
• Divieto di colpire cittadini o sistemi statunitensi — Il memorandum impone procedure che impediscono a qualsiasi operazione di prendere di mira cittadini statunitensi o sistemi situati negli Stati Uniti .
• Soglia dei "Risultati Critici" — Le operazioni che potrebbero causare perdite di vite umane o lesioni gravi, o che equivalgono a un "uso della forza" secondo il diritto internazionale, sono vietate a meno che non siano autorizzate separatamente .
• Rapporti annuali — I Direttori Esecutivi del Programma devono riferire al Consigliere per la Sicurezza Nazionale e al Direttore Nazionale per il Cyberspazio entro 180 giorni e successivamente ogni anno .
• Trasparenza contrattuale — Le aziende partecipanti devono comunicare all'NCC tutti i rapporti contrattuali con le organizzazioni criminali oggetto delle operazioni .

Un cambiamento giuridico e politico

La nuova politica rappresenta un rovesciamento storico di decenni di politica informatica statunitense. Ai sensi del Computer Fraud and Abuse Act (CFAA), le aziende private erano soggette alle stesse restrizioni di qualsiasi altra persona — era loro vietato, in generale, l'accesso non autorizzato, l'hacking o operazioni di disturbo senza un ordine del tribunale . La posizione di lunga data del governo USA, coerente attraverso diverse amministrazioni, era che il settore privato potesse difendersi dagli attacchi informatici in arrivo ma non potesse lanciare attacchi informatici offensivi .

Questo memorandum cancella questo divieto per i contractor selezionati che agiscono sotto supervisione federale, creando di fatto un programma governativo di "hack-back" che delega l'autorità offensiva informatica a imprese private . La Casa Bianca ha dichiarato che la politica consente al governo federale di "sfruttare le capacità e l'innovazione del settore privato" per combattere il crimine informatico e le minacce che prendono di mira i cittadini americani, come gli attacchi ransomware, le truffe finanziarie e il sextortion (estorsione sessuale) .

Critiche e preoccupazioni

I critici hanno messo in guardia che la politica rischia di incontrare sfide legali e opposizione da parte di coloro che sostengono che le aziende private non dovrebbero essere coinvolte in operazioni di hacking governative . Lo stesso memorandum riconosce il rischio, richiedendo alle aziende partecipanti di mantenere un sostanzioso deposito cauzionale che potrebbe essere confiscato in caso di inosservanza. Il programma non autorizza operazioni di "hack-back" senza restrizioni — ogni azione resta soggetta all'approvazione federale — ma i critici notano che delegare capacità offensive informatiche a imprese private crea nuove possibilità di abuso e di escalation .