Vad policyn innebär

Direktivet uppdrar åt National Coordination Center (NCC) att skapa och administrera ett program där så kallade "deltagande företag" kan utföra "Cyber Effects Operations" – en term som omfattar aktiviteter som manipulerar, stör, förnekar, försämrar eller förstör informationssystem, nätverk eller data mot utländska kriminella organisationer som riktar sig mot amerikaner . Operationerna kan innefatta både dold övervakning, till exempel med spionprogram för att samla in underrättelser, och störande attacker som syftar till att förstöra brottslingars data eller system . Direktivet separerar även "Cyber Surveillance Operations" som en egen kategori av tillåten aktivitet .

Viktiga krav

Programmet omfattar flera skyddsmekanismer för deltagande företag :

• Deposition på 1 miljon dollar – Deltagande företag måste sätta in 1 miljon dollar på ett deposition, som kan förverkas om regeringen finner att reglerna inte följs .
• Gemensamt godkännande från DOJ/DHS – Varje operation kräver skriftligt godkännande från så kallade "programchefer" som representerar både justitiedepartementet (DOJ) och inrikessäkerhetsdepartementet (DHS) innan någon åtgärd får vidtas .
• Förbud mot att rikta in sig på amerikaner eller system i USA – Direktivet föreskriver rutiner som förhindrar att någon operation riktas mot amerikanska medborgare eller system i USA .
• Tröskel för "kritiska utfall" – Operationer som sannolikt kan leda till förlust av liv eller allvarlig personskada, eller som motsvarar en "maktanvändning" enligt internationell rätt, är förbjudna om de inte godkänns separat .
• Årlig rapportering – Programmets chefer måste rapportera till den nationella säkerhetsrådgivaren och den nationella cyberdirektören inom 180 dagar och därefter årligen .
• Kontraktsinformation – Deltagande företag måste redovisa alla avtalsförhållanden med de målinriktade kriminella organisationerna .

Rättsligt och politiskt skifte

Policyn utgör en historisk kursändring i USA:s cybersäkerhetsarbete. Enligt den amerikanska lagen om datorbedrägeri och missbruk (CFAA) har privata företag, i likhet med alla andra, varit förbjudna att genomföra obehörig åtkomst, hackning eller störande operationer utan domstolsbeslut . USA:s långvariga princip, som upprätthållits under flera administrationer, har varit att den privata sektorn får försvara sig mot inkommande cyberattacker men inte inleda eller driva offensiva attacker .

Detta direktiv sopar undan det förbudet för granskade entreprenörer som agerar under federal övervakning, och skapar i praktiken ett statligt kontrollerat "hacka-tillbaka"-program som delegerar offensiv cyberauktoritet till privata företag . Vita huset uppgav att policyn gör det möjligt för den federala regeringen att "utnyttja den privata sektorns kapacitet och innovation" för att bekämpa cyberbrottslighet och hot mot amerikaner, såsom ransomware-attacker, finansiella bedrägerier och sextortion .

Kritik och farhågor

Kritiker varnar för att policyn sannolikt kommer att möta rättsliga utmaningar och motstånd från dem som anser att privata företag inte bör vara inblandade i statliga hackningsoperationer . Direktivet erkänner självt risken genom att kräva att deltagande företag upprätthåller en betydande finansiell deposition som kan förverkas vid bristande efterlevnad. Programmet ger inte grönt ljus för obegränsade "hacka-tillbaka"-operationer – varje åtgärd måste godkännas av staten – men kritiker påpekar att delegering av offensiva cyberförmågor till privata aktörer skapar nya vägar för potentiellt missbruk och eskalering .

Vad policyn innebär

Direktivet uppdrar åt National Coordination Center (NCC) att skapa och administrera ett program där så kallade "deltagande företag" kan utföra "Cyber Effects Operations" – en term som omfattar aktiviteter som manipulerar, stör, förnekar, försämrar eller förstör informationssystem, nätverk eller data mot utländska kriminella organisationer som riktar sig mot amerikaner . Operationerna kan innefatta både dold övervakning, till exempel med spionprogram för att samla in underrättelser, och störande attacker som syftar till att förstöra brottslingars data eller system . Direktivet separerar även "Cyber Surveillance Operations" som en egen kategori av tillåten aktivitet .

Viktiga krav

Programmet omfattar flera skyddsmekanismer för deltagande företag :

• Deposition på 1 miljon dollar – Deltagande företag måste sätta in 1 miljon dollar på ett deposition, som kan förverkas om regeringen finner att reglerna inte följs .
• Gemensamt godkännande från DOJ/DHS – Varje operation kräver skriftligt godkännande från så kallade "programchefer" som representerar både justitiedepartementet (DOJ) och inrikessäkerhetsdepartementet (DHS) innan någon åtgärd får vidtas .
• Förbud mot att rikta in sig på amerikaner eller system i USA – Direktivet föreskriver rutiner som förhindrar att någon operation riktas mot amerikanska medborgare eller system i USA .
• Tröskel för "kritiska utfall" – Operationer som sannolikt kan leda till förlust av liv eller allvarlig personskada, eller som motsvarar en "maktanvändning" enligt internationell rätt, är förbjudna om de inte godkänns separat .
• Årlig rapportering – Programmets chefer måste rapportera till den nationella säkerhetsrådgivaren och den nationella cyberdirektören inom 180 dagar och därefter årligen .
• Kontraktsinformation – Deltagande företag måste redovisa alla avtalsförhållanden med de målinriktade kriminella organisationerna .

Rättsligt och politiskt skifte

Policyn utgör en historisk kursändring i USA:s cybersäkerhetsarbete. Enligt den amerikanska lagen om datorbedrägeri och missbruk (CFAA) har privata företag, i likhet med alla andra, varit förbjudna att genomföra obehörig åtkomst, hackning eller störande operationer utan domstolsbeslut . USA:s långvariga princip, som upprätthållits under flera administrationer, har varit att den privata sektorn får försvara sig mot inkommande cyberattacker men inte inleda eller driva offensiva attacker .

Detta direktiv sopar undan det förbudet för granskade entreprenörer som agerar under federal övervakning, och skapar i praktiken ett statligt kontrollerat "hacka-tillbaka"-program som delegerar offensiv cyberauktoritet till privata företag . Vita huset uppgav att policyn gör det möjligt för den federala regeringen att "utnyttja den privata sektorns kapacitet och innovation" för att bekämpa cyberbrottslighet och hot mot amerikaner, såsom ransomware-attacker, finansiella bedrägerier och sextortion .

Kritik och farhågor

Kritiker varnar för att policyn sannolikt kommer att möta rättsliga utmaningar och motstånd från dem som anser att privata företag inte bör vara inblandade i statliga hackningsoperationer . Direktivet erkänner självt risken genom att kräva att deltagande företag upprätthåller en betydande finansiell deposition som kan förverkas vid bristande efterlevnad. Programmet ger inte grönt ljus för obegränsade "hacka-tillbaka"-operationer – varje åtgärd måste godkännas av staten – men kritiker påpekar att delegering av offensiva cyberförmågor till privata aktörer skapar nya vägar för potentiellt missbruk och eskalering .