США дозволяють приватним компаніям офіційно атакувати іноземних кіберзлочинців

Основні вимоги

Меморандум встановлює кілька запобіжників для компаній-учасниць :

• Депозит ескроу в розмірі $1 млн — компанії-учасниці мають внести $1 млн на депозит ескроу, який може бути конфіскований, якщо уряд виявить недотримання правил програми .
• Спільне схвалення Мін'юсту та внутрішньої безпеки — кожна операція вимагає письмового дозволу від «Виконавчих директорів програми», які представляють як Міністерство юстиції, так і Міністерство внутрішньої безпеки, до початку будь-яких дій .
• Заборона на цілі в США — меморандум вимагає процедур, які запобігають будь-якій операції, спрямованій проти громадян США або систем, що знаходяться на території Сполучених Штатів .
• Граничний рівень «критичних наслідків» — операції, які можуть призвести до втрати життя або серйозних травм, або які підпадають під визначення «застосування сили» згідно з міжнародним правом, заборонені, якщо не отримано окремого дозволу .
• Щорічна звітність — виконавчі директори програми мають звітувати раднику з національної безпеки та національному директору з кібербезпеки протягом 180 днів, а потім щороку .
• Розкриття контрактних відносин — компанії-учасниці зобов'язані розкривати NCC всі контрактні зв'язки з цільовими злочинними організаціями .

Юридична зміна та злам політики

Ця політика є історичним розривом із десятиліттями політики кібербезпеки США. Згідно з Актом про комп'ютерне шахрайство та зловживання (CFAA) приватні компанії підпадали під ті самі обмеження, що й будь-які інші особи — їм було широко заборонено здійснювати несанкціонований доступ, злам або руйнівні операції без судового ордера . Довготривала позиція уряду США, яку підтримували різні адміністрації, полягала в тому, що приватний сектор може захищатися від вхідних кібератак, але не може запускати або проводити наступальні кібератаки .

Цей меморандум змітає цю заборону для перевірених підрядників, які діють під федеральним наглядом, фактично створюючи контрольовану урядом програму «хакні назад», яка делегує наступальні кіберповноваження приватним фірмам . Білий дім заявив, що політика дозволяє федеральному уряду «використовувати спроможності та інновації приватного сектора» для боротьби з кіберзлочинністю та загрозами, спрямованими проти американців, такими як атаки програм-вимагачів, фінансові афери та сексторція .

Критика та занепокоєння

Критики попереджають, що політика, ймовірно, зіткнеться з юридичними викликами та опором з боку тих, хто стверджує, що приватні компанії не повинні залучатися до урядових хакерських операцій . Сам меморандум визнає ризик, вимагаючи від компаній-учасниць підтримувати значну фінансову гарантію, яка може бути конфіскована за недотримання правил. Програма не дозволяє необмежених операцій «хакні назад» — кожна дія залишається предметом федерального схвалення — але критики зазначають, що делегування наступальних кіберможливостей приватним фірмам створює нові шляхи для потенційних зловживань та ескалації .