Ameriška vlada je odobrila program, ki skrbno preverjenim zasebnim podjetjem omogoča izvajanje ofenzivnih kibernetskih operacij proti določenim tujim tarčam.
V skladu s predsedniškim memorandumom o nacionalni varnosti, ki ga je podpisal predsednik Donald Trump, so ZDA temeljito spremenile svojo dolgoletno politiko, ki je zasebnim subjektom prepovedovala izvajanje povračilnih vdorov oziroma t. i. »vračanje udarca« (hacking back) v okviru zakona o računalniških goljufijah in zlorabah (CFAA). Ta program zasebnim podjetjem ne daje prostih rok za samostojno izvajanje povračilnih ukrepov; namesto tega vzpostavlja strogo reguliran in pod vladnim nadzorom delujoč mehanizem, ki obveščevalne podatke iz zasebnega sektorja pretvarja v ofenzivne operativne zmogljivosti.
Preverjena podjetja smejo ukrepati proti čezmejnim kriminalnim združbam, ki delujejo v kibernetskem prostoru (CE-TCO). Sem spadajo tuje nedržavne skupine (kot so tolpe, ki izvajajo napade z izsiljevalsko programsko opremo, sindikati za ribarjenje podatkov oziroma »phishing« ter mreže za finančne goljufije), ki aktivno napadajo ameriške državljane, infrastrukturo ali podjetja. Iz tega zasebnega programa so izrecno izvzete hekerske skupine, ki jih podpirajo države in delujejo neposredno po naročilu tujih vlad.
Operacije kibernetskega nadzora:: - Nepooblaščeno vdiranje v zunanja omrežja za zbiranje obveščevalnih podatkov in informacij o grožnjah ali za nameščanje orodij za nadzor.
Operacije za kibernetske učinke: - Sprejemanje aktivnih ukrepov za preprečevanje motenj, ki vključujejo "manipulacijo, motenje, zanikanje, degradacijo ali uničenje" sistemov, podatkov ali zlonamerne infrastrukture.
Da bi zagotovila, da ta podjetja delujejo kot pooblaščeni vladni partnerji in ne kot neodvisni zasebni akterji v kibernetskem prostoru, je Bela hiša določila stroga operativna merila:
Odobritev v vsakem posameznem primeru: - Zasebna podjetja ne morejo ukrepati enostransko. Vsako posamezno ofenzivno dejanje zahteva obvezno pisno predhodno odobritev skupnih izvršnih direktorjev programa, ki zastopata Ministrstvo za pravosodje (DOJ) in Ministrstvo za domovinsko varnost (DHS).
Finančni depozit v višini 1 milijona dolarjev: - Sodelujoča podjetja morajo zagotoviti jamstvo v obliki depozita v višini najmanj 1 milijona dolarjev. Ta sredstva se nemudoma zaplenijo, če podjetje krši pogodbene določbe, izvede napad na neodobren subjekt ali vpliva na domačo infrastrukturo.
Takojšnje preprečevanje konfliktov in zmanjševanje tveganj: - Program zahteva takojšnjo ustavitev operacij, če so nenamerno prizadete osebe iz ZDA ali domača omrežja. Predlagani ukrepi so predmet preverjanja s strani zveznih organov kazenskega pregona, Pentagona in obveščevalnih služb, s čimer se zagotovi, da ne ogrožajo aktivnih zveznih preiskav ali vojaških misij.
Brez kinetičnega škodovanja: - Vodjem programov je zakonsko prepovedano odobriti operacije, pri katerih se pričakujejo »kritične posledice«, kot so smrt, hude telesne poškodbe ali dejanja, ki po mednarodnem pravu pomenijo oborožen napad.
Operativne podrobnosti in celotna merila za preverjanje trenutno dokončuje Nacionalni koordinacijski center (NCC). Program je v tehnološkem sektorju in pravnih krogih sprožil burno razpravo zaradi nerešenih vprašanj:
Brez imunitete pred civilnopravno odgovornostjo: - Čeprav okvir zagotavlja imuniteto pred zveznim kazenskim pregonom na podlagi zakona CFAA, sodelujočih podjetij ne ščiti pred civilnopravnimi tožbami, če njihovo delovanje povzroči posredno škodo na omrežjih nedolžnih tretjih oseb.
Mednarodna pravna tveganja: - Varnostni strokovnjaki opozarjajo, da lahko tuje vlade zasebnike, ki izvajajo takšne vdore, obravnavajo kot »borce brez uniforme«. To zaposlene v vpletenih podjetjih med potovanjem v tujino izpostavlja nevarnosti ciljno usmerjenih aretacij, pridržanj ali asimetričnih kibernetskih povračilnih ukrepov.
Vprašanja geopolitične suverenosti: - Če bi ofenzivna operacija nenamerno motila delovanje strežnika, ki gostuje v podatkovnem centru tuje zaveznice (na primer v Združenem kraljestvu ali EU), bi to lahko sprožilo resne čezmejne spore glede pristojnosti, saj evropska zakonodaja, kot sta GDPR in NIS2, strogo sankcionira kakršno koli obliko povračilnega vdora (t. i. »hacking back«).
