Lần đầu tiên trong lịch sử: Mỹ cho phép công ty tư nhân thực hiện tấn công mạng có chủ đích vào tội phạm nước ngoài

Các yêu cầu then chốt

Bản ghi nhớ thiết lập một số rào cản nghiêm ngặt cho các công ty tham gia :

• Ký quỹ 1 triệu USD – Các công ty tham gia phải đặt cọc 1 triệu USD vào tài khoản ký quỹ, số tiền này sẽ bị tịch thu nếu chính phủ phát hiện vi phạm các quy tắc của chương trình .
• Phê duyệt kép từ Bộ Tư pháp/Bộ An ninh Nội địa – Mọi chiến dịch đều phải có sự chấp thuận bằng văn bản từ "Giám đốc Điều hành Chương trình" đại diện cho cả Bộ Tư pháp (DOJ) và Bộ An ninh Nội địa (DHS) trước khi bất kỳ hành động nào được thực hiện .
• Cấm nhắm vào người Mỹ hoặc hệ thống trên đất Mỹ – Bản ghi nhớ chỉ đạo các quy trình ngăn chặn mọi chiến dịch nhắm vào công dân Mỹ hoặc các hệ thống nằm trên lãnh thổ Hoa Kỳ .
• Ngưỡng "Kết quả Nghiêm trọng" – Các chiến dịch có khả năng gây thiệt hại về người hoặc thương tích nghiêm trọng, hoặc ở mức độ "sử dụng vũ lực" theo luật pháp quốc tế, sẽ bị cấm trừ khi được ủy quyền riêng .
• Báo cáo hàng năm – Các Giám đốc Điều hành Chương trình phải báo cáo lên Cố vấn An ninh Nội địa và Giám đốc An ninh mạng Quốc gia trong vòng 180 ngày và hàng năm sau đó .
• Công bố hợp đồng – Các công ty tham gia phải tiết lộ cho NCC tất cả các mối quan hệ hợp đồng với các tổ chức tội phạm đang bị nhắm mục tiêu .

Bước ngoặt về luật pháp và chính sách

Chính sách này đại diện cho một sự đảo ngược mang tính lịch sử của chính sách an ninh mạng kéo dài hàng thập kỷ của Mỹ. Theo Đạo luật Gian lận và Lạm dụng Máy tính (Computer Fraud and Abuse Act - CFAA), các công ty tư nhân phải chịu những hạn chế giống như bất kỳ cá nhân nào khác – bị cấm rộng rãi việc truy cập trái phép, hack hoặc các hoạt động phá hoại mà không có lệnh của tòa án . Quan điểm lâu đời của chính phủ Mỹ, được duy trì qua nhiều chính quyền, là khu vực tư nhân có thể phòng thủ trước các cuộc tấn công mạng đang đổ bộ, nhưng không thể phát động hoặc vận hành các cuộc tấn công mạng có chủ đích .

Bản ghi nhớ này quét sạch lệnh cấm đó đối với các nhà thầu đã được thẩm định hoạt động dưới sự giám sát liên bang, tạo ra một chương trình "đánh trả" do chính phủ kiểm soát, ủy quyền tấn công mạng cho các công ty tư nhân . Nhà Trắng tuyên bố chính sách này cho phép chính phủ liên bang "tận dụng năng lực và sự đổi mới của khu vực tư nhân" để chống tội phạm mạng và các mối đe dọa nhắm vào người Mỹ, như tấn công bằng mã độc tống tiền, lừa đảo tài chính và tống tiền tình dục .

Chỉ trích và lo ngại

Các nhà phê bình cảnh báo chính sách này có khả năng sẽ vấp phải các thách thức pháp lý và sự phản đối từ những người cho rằng các công ty tư nhân không nên tham gia vào các hoạt động hack của chính phủ . Bản ghi nhớ tự thừa nhận rủi ro khi yêu cầu các công ty tham gia duy trì một khoản tiền bảo lãnh lớn có thể bị tịch thu nếu vi phạm. Chương trình này không cho phép các hoạt động "hack-back" không hạn chế – mọi hành động vẫn phải được liên bang phê duyệt – nhưng các nhà phê bình lưu ý rằng việc ủy nhiệm năng lực tấn công mạng cho các công ty tư nhân tạo ra những con đường mới cho lạm dụng và leo thang .