VS laat private bedrijven nu hacken tegen buitenlandse cybercriminelen: nieuw beleid uitgelegd

Belangrijkste voorwaarden

Het memorandum stelt verschillende waarborgen voor deelnemende bedrijven :

• Borgsom van 1 miljoen dollar – Deelnemende bedrijven moeten een borgsom van 1 miljoen dollar storten, die verbeurd kan worden verklaard als de overheid vaststelt dat zij de regels van het programma overtreden .
• Gezamenlijke goedkeuring van Justitie en Binnenlandse Veiligheid – Voor elke operatie is schriftelijke goedkeuring nodig van "Programma Uitvoerend Directeuren" die zowel het Ministerie van Justitie (DOJ) als het Ministerie van Binnenlandse Veiligheid (DHS) vertegenwoordigen .
• Verbod op het viseren van Amerikanen of Amerikaanse systemen – Het memorandum schrijft procedures voor die voorkomen dat operaties gericht zijn op Amerikaanse personen of systemen in de Verenigde Staten .
• Drempel voor "kritieke uitkomsten" – Operaties die waarschijnlijk leiden tot verlies van mensenlevens of ernstig letsel, of die gelijkstaan aan "gebruik van geweld" in het internationaal recht, zijn verboden tenzij apart goedgekeurd .
• Jaarlijkse rapportage – De Programma Uitvoerend Directeuren moeten binnen 180 dagen en daarna jaarlijks rapporteren aan de Homeland Security Advisor en de National Cyber Director .
• Contractuele openheid – Deelnemende bedrijven moeten aan het NCC alle contractuele relaties met de geviseerde criminele organisaties melden .

Juridische en beleidsmatige verschuiving

Het beleid betekent een historische omkering van tientallen jaren Amerikaans cyberveiligheidsbeleid. Onder de Computer Fraud and Abuse Act (CFAA) golden voor private bedrijven dezelfde beperkingen als voor ieder ander – ze mochten geen ongeautoriseerde toegang, hacking of verstorende operaties uitvoeren zonder rechterlijk bevel . De langdurige positie van de Amerikaanse overheid, consistent onder verschillende regeringen, was dat de private sector zich mag verdedigen tegen inkomende cyberaanvallen, maar geen offensieve cyberaanvallen mag beginnen of uitvoeren .

Dit memorandum veegt dat verbod van tafel voor goedgekeurde aannemers die onder federaal toezicht werken, en creëert zo een door de overheid gecontroleerd "hack-back"-programma dat offensieve cyberbevoegdheden aan private bedrijven delegeert . Het Witte Huis stelt dat het beleid de federale overheid in staat stelt "de capaciteit en innovatie van de private sector te benutten" om cybercriminaliteit en bedreigingen zoals ransomware-aanvallen, financiële oplichting en sextortion aan te pakken .

Kritiek en zorgen

Critici waarschuwen dat het beleid waarschijnlijk te maken krijgt met juridische uitdagingen en weerstand van degenen die vinden dat private bedrijven niet betrokken mogen zijn bij overheids-hackingoperaties . Het memorandum erkent zelf het risico en vereist dat deelnemende bedrijven een aanzienlijke financiële borgsom aanhouden die bij niet-naleving kan worden verbeurd. Het programma autoriseert geen onbeperkte "hack back"-operaties – elke actie blijft onderworpen aan federale goedkeuring – maar critici merken op dat het delegeren van offensieve cybercapaciteiten aan private bedrijven nieuwe mogelijkheden voor misbruik en escalatie creëert .