สหรัฐฯ เปิดทางให้บริษัทเอกชน 'แฮกคืน' อาชญากรไซเบอร์ต่างประเทศ นโยบายใหม่นี้มีอะไรบ้าง?

ข้อกำหนดหลักของโครงการ

บันทึกความเข้าใจได้กำหนดกฎเกณฑ์หลายประการสำหรับบริษัทที่เข้าร่วม :

• เงินประกัน 1 ล้านดอลลาร์ — บริษัทที่เข้าร่วมต้องวางเงินประกัน (escrow deposit) จำนวน 1 ล้านดอลลาร์สหรัฐฯ ซึ่งจะถูกริบหากรัฐบาลพบว่าบริษัทละเมิดกฎของโครงการ
• การอนุมัติร่วมจากกระทรวงยุติธรรมและกระทรวงความมั่นคงแห่งมาตุภูมิ — ทุกปฏิบัติการต้องได้รับอนุมัติเป็นลายลักษณ์อักษรจาก "ผู้อำนวยการบริหารโครงการ" (Program Executive Directors) ซึ่งเป็นตัวแทนจากทั้ง กระทรวงยุติธรรม (Department of Justice) และ กระทรวงความมั่นคงแห่งมาตุภูมิ (Department of Homeland Security) ก่อนดำเนินการใดๆ
• ห้ามกำหนดเป้าหมายชาวอเมริกันหรือระบบในสหรัฐฯ — บันทึกความเข้าใจกำหนดมาตรการป้องกันไม่ให้ปฏิบัติการใดๆ กำหนดเป้าหมายบุคคลหรือระบบที่ตั้งอยู่ในสหรัฐอเมริกา
• เกณฑ์ "ผลลัพธ์ร้ายแรง" (Critical Outcomes) — ปฏิบัติการที่อาจก่อให้เกิดการสูญเสียชีวิตหรือการบาดเจ็บสาหัส หรือที่เข้าข่ายเป็น "การใช้กำลัง" ตามกฎหมายระหว่างประเทศ จะถูกห้ามเว้นแต่จะได้รับอนุมัติเป็นกรณีพิเศษ
• รายงานประจำปี — ผู้อำนวยการบริหารโครงการต้องรายงานต่อที่ปรึกษาด้านความมั่นคงแห่งมาตุภูมิและผู้อำนวยการไซเบอร์แห่งชาติภายใน 180 วัน และรายงานทุกปีหลังจากนั้น
• เปิดเผยสัญญาทางธุรกิจ — บริษัทที่เข้าร่วมต้องเปิดเผยต่อ NCC ถึงความสัมพันธ์ทางสัญญาทั้งหมดกับองค์กรอาชญากรรมที่ตกเป็นเป้าหมาย

การพลิกโฉมทางนโยบายและกฎหมาย

นโยบายนี้ถือเป็นการ พลิกประวัติศาสตร์ ของนโยบายการรักษาความปลอดภัยไซเบอร์สหรัฐฯ ที่ดำเนินมานานหลายทศวรรษ ภายใต้ กฎหมาย Computer Fraud and Abuse Act (CFAA) บริษัทเอกชนถูกจำกัดเช่นเดียวกับบุคคลทั่วไป — ถูกห้ามโดยกว้างๆ ไม่ให้เข้าถึงระบบโดยไม่ได้รับอนุญาต แฮก หรือดำเนินการขัดขวางโดยไม่มีคำสั่งศาล จุดยืนของรัฐบาลสหรัฐฯ ที่ดำรงมาอย่างยาวนานไม่ว่าจะผ่านหลายรัฐบาล คือ ภาคเอกชนสามารถ ป้องกัน การโจมตีทางไซเบอร์ที่เข้ามาได้ แต่จะ เปิดฉาก โจมตีหรือดำเนินปฏิบัติการไซเบอร์เชิงรุกไม่ได้

บันทึกความเข้าใจนี้ได้ยกเลิกข้อห้ามดังกล่าวสำหรับผู้รับเหมาที่ผ่านการคัดกรองซึ่งอยู่ภายใต้การกำกับดูแลของรัฐบาลกลาง ซึ่งเท่ากับเป็นการสร้างโครงการ "แฮกคืน" ที่ควบคุมโดยรัฐบาล โดยมอบอำนาจปฏิบัติการไซเบอร์เชิงรุกให้แก่บริษัทเอกชน ทำเนียบขาวแถลงว่านโยบายนี้ช่วยให้รัฐบาลกลางสามารถ "ใช้ประโยชน์จากขีดความสามารถและนวัตกรรมของภาคเอกชน" เพื่อต่อสู้กับอาชญากรรมไซเบอร์และภัยคุกคามต่อชาวอเมริกัน เช่น การโจมตีด้วยแรนซัมแวร์ กลโกงทางการเงิน และการขู่กรรโชกทางเพศ

ข้อกังวลและเสียงวิจารณ์

นักวิจารณ์เตือนว่านโยบายนี้น่าจะเผชิญกับความท้าทายทางกฎหมายและการคัดค้านจากผู้ที่เห็นว่าบริษัทเอกชนไม่ควรเข้าไปเกี่ยวข้องกับปฏิบัติการแฮกของรัฐบาล ตัวบันทึกความเข้าใจเองก็ยอมรับถึงความเสี่ยง โดยกำหนดให้บริษัทที่เข้าร่วมต้องวางหลักประกันทางการเงินจำนวนมากที่อาจถูกริบได้หากไม่ปฏิบัติตามข้อกำหนด โครงการนี้ไม่ได้อนุญาตให้มีการดำเนินการ "แฮกคืน" แบบไร้ขีดจำกัด — ทุกปฏิบัติการยังคงต้องได้รับการอนุมัติจากรัฐบาลกลาง — แต่นักวิจารณ์ชี้ว่าการมอบขีดความสามารถทางไซเบอร์เชิงรุกให้แก่บริษัทเอกชนสร้างช่องทางใหม่สำหรับการละเมิดและการยกระดับความขัดแย้ง