Memorandum tersebut mengarahkan Pusat Penyelarasan Kebangsaan (NCC) untuk mewujudkan dan menguruskan program yang membenarkan "Syarikat Pengambil Bahagian" menjalankan "Operasi Kesan Siber" — ditakrifkan sebagai aktiviti yang memanipulasi, mengganggu, menafikan, merendahkan, atau memusnahkan sistem maklumat, rangkaian, atau data — terhadap rangkaian jenayah asing yang menyasarkan rakyat Amerika . Operasi ini boleh termasuk pengawasan tersembunyi (misalnya, menggunakan perisian pengintip untuk mengumpul risikan) dan serangan yang mengganggu yang bertujuan memusnahkan data atau sistem penjenayah . Program ini juga membenarkan "Operasi Pengawasan Siber" sebagai aktiviti berasingan yang dibenarkan .

Keperluan utama

Memorandum ini menetapkan beberapa garis panduan untuk syarikat yang mengambil bahagian :

• Deposit escrow $1 juta — Syarikat yang mengambil bahagian mesti mendepositkan $1 juta dalam escrow, yang boleh dirampas jika kerajaan mendapati ketidakpatuhan terhadap peraturan program .
• Kelulusan bersama DOJ/DHS — Setiap operasi memerlukan kelulusan bertulis daripada "Pengarah Eksekutif Program" yang mewakili kedua-dua Jabatan Kehakiman dan Jabatan Keselamatan Dalam Negeri sebelum sebarang tindakan boleh diambil .
• Larangan menyasarkan rakyat Amerika atau sistem berasaskan AS — Memorandum mengarahkan prosedur yang menghalang sebarang operasi daripada menyasarkan rakyat AS atau sistem yang terletak di Amerika Syarikat .
• Ambang "Hasil Kritikal" — Operasi yang berkemungkinan menyebabkan kehilangan nyawa atau kecederaan serius, atau yang meningkat ke tahap "penggunaan kekerasan" di bawah undang-undang antarabangsa, adalah dilarang melainkan diberi kuasa secara berasingan .
• Pelaporan tahunan — Pengarah Eksekutif Program mesti melaporkan kepada Penasihat Keselamatan Dalam Negeri dan Pengarah Siber Nasional dalam tempoh 180 hari dan setiap tahun selepas itu .
• Pendedahan kontrak — Syarikat yang mengambil bahagian mesti mendedahkan kepada NCC semua hubungan kontrak dengan organisasi jenayah yang disasarkan .

Perubahan undang-undang dan dasar

Dasar ini merupakan pembalikan bersejarah dasar keselamatan siber AS selama beberapa dekad. Di bawah Akta Penyalahgunaan dan Penipuan Komputer (CFAA), syarikat swasta tertakluk kepada sekatan yang sama seperti mana-mana orang lain — secara amnya dilarang daripada menjalankan akses tanpa kebenaran, penggodaman, atau operasi gangguan tanpa perintah mahkamah . Kedudukan lama kerajaan AS, yang konsisten merentas beberapa pentadbiran, adalah bahawa sektor swasta boleh mempertahankan daripada serangan siber yang masuk tetapi tidak boleh melancarkan atau mengendalikan serangan siber yang menyerang .

Memorandum ini mengetepikan larangan itu untuk kontraktor yang telah disaring yang bertindak di bawah pengawasan persekutuan, secara berkesan mewujudkan program "hack balas" kawalan kerajaan yang mewakilkan kuasa serangan siber kepada firma swasta . Rumah Putih menyatakan dasar itu membenarkan kerajaan persekutuan untuk "memanfaatkan keupayaan dan inovasi sektor swasta" untuk memerangi jenayah siber dan ancaman yang menyasarkan rakyat Amerika, seperti serangan ransomware, penipuan kewangan, dan pemerasan seks .

Kritikan dan kebimbangan

Pengkritik telah memberi amaran bahawa dasar itu mungkin menghadapi cabaran undang-undang dan tentangan daripada mereka yang berpendapat syarikat swasta tidak sepatutnya terlibat dalam operasi penggodaman kerajaan . Memorandum itu sendiri mengakui risiko, memerlukan syarikat yang mengambil bahagian untuk mengekalkan bon kewangan yang besar yang boleh dirampas kerana ketidakpatuhan. Program ini tidak membenarkan operasi "hack balas" tanpa sekatan — setiap tindakan masih tertakluk kepada kelulusan persekutuan — tetapi pengkritik mencatatkan bahawa mewakilkan keupayaan serangan siber kepada firma swasta mewujudkan jalan baharu untuk potensi penyalahgunaan dan eskalasi .

Memorandum tersebut mengarahkan Pusat Penyelarasan Kebangsaan (NCC) untuk mewujudkan dan menguruskan program yang membenarkan "Syarikat Pengambil Bahagian" menjalankan "Operasi Kesan Siber" — ditakrifkan sebagai aktiviti yang memanipulasi, mengganggu, menafikan, merendahkan, atau memusnahkan sistem maklumat, rangkaian, atau data — terhadap rangkaian jenayah asing yang menyasarkan rakyat Amerika . Operasi ini boleh termasuk pengawasan tersembunyi (misalnya, menggunakan perisian pengintip untuk mengumpul risikan) dan serangan yang mengganggu yang bertujuan memusnahkan data atau sistem penjenayah . Program ini juga membenarkan "Operasi Pengawasan Siber" sebagai aktiviti berasingan yang dibenarkan .

Keperluan utama

Memorandum ini menetapkan beberapa garis panduan untuk syarikat yang mengambil bahagian :

• Deposit escrow $1 juta — Syarikat yang mengambil bahagian mesti mendepositkan $1 juta dalam escrow, yang boleh dirampas jika kerajaan mendapati ketidakpatuhan terhadap peraturan program .
• Kelulusan bersama DOJ/DHS — Setiap operasi memerlukan kelulusan bertulis daripada "Pengarah Eksekutif Program" yang mewakili kedua-dua Jabatan Kehakiman dan Jabatan Keselamatan Dalam Negeri sebelum sebarang tindakan boleh diambil .
• Larangan menyasarkan rakyat Amerika atau sistem berasaskan AS — Memorandum mengarahkan prosedur yang menghalang sebarang operasi daripada menyasarkan rakyat AS atau sistem yang terletak di Amerika Syarikat .
• Ambang "Hasil Kritikal" — Operasi yang berkemungkinan menyebabkan kehilangan nyawa atau kecederaan serius, atau yang meningkat ke tahap "penggunaan kekerasan" di bawah undang-undang antarabangsa, adalah dilarang melainkan diberi kuasa secara berasingan .
• Pelaporan tahunan — Pengarah Eksekutif Program mesti melaporkan kepada Penasihat Keselamatan Dalam Negeri dan Pengarah Siber Nasional dalam tempoh 180 hari dan setiap tahun selepas itu .
• Pendedahan kontrak — Syarikat yang mengambil bahagian mesti mendedahkan kepada NCC semua hubungan kontrak dengan organisasi jenayah yang disasarkan .

Perubahan undang-undang dan dasar

Dasar ini merupakan pembalikan bersejarah dasar keselamatan siber AS selama beberapa dekad. Di bawah Akta Penyalahgunaan dan Penipuan Komputer (CFAA), syarikat swasta tertakluk kepada sekatan yang sama seperti mana-mana orang lain — secara amnya dilarang daripada menjalankan akses tanpa kebenaran, penggodaman, atau operasi gangguan tanpa perintah mahkamah . Kedudukan lama kerajaan AS, yang konsisten merentas beberapa pentadbiran, adalah bahawa sektor swasta boleh mempertahankan daripada serangan siber yang masuk tetapi tidak boleh melancarkan atau mengendalikan serangan siber yang menyerang .

Memorandum ini mengetepikan larangan itu untuk kontraktor yang telah disaring yang bertindak di bawah pengawasan persekutuan, secara berkesan mewujudkan program "hack balas" kawalan kerajaan yang mewakilkan kuasa serangan siber kepada firma swasta . Rumah Putih menyatakan dasar itu membenarkan kerajaan persekutuan untuk "memanfaatkan keupayaan dan inovasi sektor swasta" untuk memerangi jenayah siber dan ancaman yang menyasarkan rakyat Amerika, seperti serangan ransomware, penipuan kewangan, dan pemerasan seks .

Kritikan dan kebimbangan

Pengkritik telah memberi amaran bahawa dasar itu mungkin menghadapi cabaran undang-undang dan tentangan daripada mereka yang berpendapat syarikat swasta tidak sepatutnya terlibat dalam operasi penggodaman kerajaan . Memorandum itu sendiri mengakui risiko, memerlukan syarikat yang mengambil bahagian untuk mengekalkan bon kewangan yang besar yang boleh dirampas kerana ketidakpatuhan. Program ini tidak membenarkan operasi "hack balas" tanpa sekatan — setiap tindakan masih tertakluk kepada kelulusan persekutuan — tetapi pengkritik mencatatkan bahawa mewakilkan keupayaan serangan siber kepada firma swasta mewujudkan jalan baharu untuk potensi penyalahgunaan dan eskalasi .