Hva ordren innebærer

Ordren pålegger National Coordination Center (NCC) å opprette et program som gir «deltakende selskaper» (Participating Companies) myndighet til å utføre cybereffektoperasjoner (Cyber Effects Operations). Dette omfatter aktiviteter som manipulerer, forstyrrer, ødelegger eller svekker informasjonssystemer, nettverk eller data – rettet mot utenlandske kriminelle grupper som angriper amerikanere . Operasjonene kan være skjult overvåking (som bruk av spionprogramvare) eller direkte angrep for å ødelegge data eller systemer . I tillegg kan firmaene utføre rene overvåkingsoppdrag .

Viktige krav

Ordren inneholder flere sikkerhetsmekanismer for deltakende selskaper :

• 1 million dollar i depositum – Selskaper må stille minst 1 million dollar i escrow (et sperret beløp), som kan inndras hvis myndighetene finner at firmaet bryter reglene .
• Godkjenning fra Justisdepartementet og DHS – Hver eneste operasjon må ha skriftlig godkjenning fra programmets «Executive Directors» i både Justisdepartementet og Department of Homeland Security før den settes i gang .
• Forbud mot å angripe amerikanere eller systemer i USA – Ordren inneholder bestemmelser som skal hindre målretting mot amerikanske borgere eller datasystemer som befinner seg på amerikansk jord .
• «Kritiske utfall»-grense – Operasjoner som sannsynligvis vil føre til dødsfall eller alvorlig skade, eller som kan oppfattes som maktbruk i folkerettslig forstand, er forbudt med mindre de godkjennes særskilt .
• Årlig rapportering – Programledelsen må rapportere til den nasjonale sikkerhetsrådgiveren og den nasjonale cyberdirektøren innen 180 dager, og deretter årlig .
• Avtaleopplysning – Deltakende selskaper må opplyse NCC om alle kontraktsforhold de har til de kriminelle organisasjonene som er mål for operasjonene .

Juridisk og politisk skifte

Denne politikken representerer et historisk brudd med flere tiår med amerikansk politikk. I henhold til Computer Fraud and Abuse Act (CFAA) har private selskaper vært underlagt de samme restriksjonene som alle andre – de har ikke hatt lov til å utføre uautorisert tilgang, hacking eller forstyrrende operasjoner uten en rettskjennelse . Den langvarige linjen i USA har vært at private aktører kan forsvare seg mot angrep, men ikke iverksette offensive angrep .

Ordren feier dette forbudet til side for godkjente selskaper som jobber under føderalt oppsyn. Dermed skapes et statskontrollert «hack-back»-program som delegerer offensiv cybermakt til private firmaer . Det hvite hus har uttalt at ordren lar myndighetene «utnytte privat sektors evner og innovasjon» for å bekjempe cyberkriminalitet som rammer amerikanere, som løsepengevirusangrep, svindel og seksuell utpressing .

Kritikk og bekymringer

Kritikere advarer om at politikken trolig vil møte rettslige utfordringer og motstand fra dem som mener private selskaper ikke bør involveres i myndighetenes hacking . Ordren erkjenner risikoen ved å kreve at deltakerne stiller en betydelig finansiell garanti som kan inndras ved regelbrudd. Programmet gir ikke rom for ubegrensede «hack-back»-operasjoner – alle handlinger må godkjennes av myndighetene – men kritikere peker på at det å delegere offensive cyberverktøy til private firmaer åpner for nye muligheter for misbruk og eskalering .

Hva ordren innebærer

Ordren pålegger National Coordination Center (NCC) å opprette et program som gir «deltakende selskaper» (Participating Companies) myndighet til å utføre cybereffektoperasjoner (Cyber Effects Operations). Dette omfatter aktiviteter som manipulerer, forstyrrer, ødelegger eller svekker informasjonssystemer, nettverk eller data – rettet mot utenlandske kriminelle grupper som angriper amerikanere . Operasjonene kan være skjult overvåking (som bruk av spionprogramvare) eller direkte angrep for å ødelegge data eller systemer . I tillegg kan firmaene utføre rene overvåkingsoppdrag .

Viktige krav

Ordren inneholder flere sikkerhetsmekanismer for deltakende selskaper :

• 1 million dollar i depositum – Selskaper må stille minst 1 million dollar i escrow (et sperret beløp), som kan inndras hvis myndighetene finner at firmaet bryter reglene .
• Godkjenning fra Justisdepartementet og DHS – Hver eneste operasjon må ha skriftlig godkjenning fra programmets «Executive Directors» i både Justisdepartementet og Department of Homeland Security før den settes i gang .
• Forbud mot å angripe amerikanere eller systemer i USA – Ordren inneholder bestemmelser som skal hindre målretting mot amerikanske borgere eller datasystemer som befinner seg på amerikansk jord .
• «Kritiske utfall»-grense – Operasjoner som sannsynligvis vil føre til dødsfall eller alvorlig skade, eller som kan oppfattes som maktbruk i folkerettslig forstand, er forbudt med mindre de godkjennes særskilt .
• Årlig rapportering – Programledelsen må rapportere til den nasjonale sikkerhetsrådgiveren og den nasjonale cyberdirektøren innen 180 dager, og deretter årlig .
• Avtaleopplysning – Deltakende selskaper må opplyse NCC om alle kontraktsforhold de har til de kriminelle organisasjonene som er mål for operasjonene .

Juridisk og politisk skifte

Denne politikken representerer et historisk brudd med flere tiår med amerikansk politikk. I henhold til Computer Fraud and Abuse Act (CFAA) har private selskaper vært underlagt de samme restriksjonene som alle andre – de har ikke hatt lov til å utføre uautorisert tilgang, hacking eller forstyrrende operasjoner uten en rettskjennelse . Den langvarige linjen i USA har vært at private aktører kan forsvare seg mot angrep, men ikke iverksette offensive angrep .

Ordren feier dette forbudet til side for godkjente selskaper som jobber under føderalt oppsyn. Dermed skapes et statskontrollert «hack-back»-program som delegerer offensiv cybermakt til private firmaer . Det hvite hus har uttalt at ordren lar myndighetene «utnytte privat sektors evner og innovasjon» for å bekjempe cyberkriminalitet som rammer amerikanere, som løsepengevirusangrep, svindel og seksuell utpressing .

Kritikk og bekymringer

Kritikere advarer om at politikken trolig vil møte rettslige utfordringer og motstand fra dem som mener private selskaper ikke bør involveres i myndighetenes hacking . Ordren erkjenner risikoen ved å kreve at deltakerne stiller en betydelig finansiell garanti som kan inndras ved regelbrudd. Programmet gir ikke rom for ubegrensede «hack-back»-operasjoner – alle handlinger må godkjennes av myndighetene – men kritikere peker på at det å delegere offensive cyberverktøy til private firmaer åpner for nye muligheter for misbruk og eskalering .