Mit engedélyez a kiberbűnözésről szóló feljegyzés a magáncégeknek?

A feljegyzés keretet hoz létre a magáncégek számára a CE-TCO-k elleni kiberfelügyeleti műveletek és kiberhatás-műveletek végrehajtására szövetségi kormányzati szerződés és felügyelet mellett. A CE-TCO meghatározása szerint „minden olyan külföldi csoport, amely kiberbűnözést hajt végre az Egyesült Államok kormánya, egy egyesült államokbeli személy vagy az Egyesült Államok érdekei ellen, és amely nem egy külföldi kormány intézményi része, vagy amely nem teljes egészében külföldi kormány irányítása alatt működik”. Úgy tűnik, hogy ezt a meghatározást úgy tervezték, hogy a részt vevő cégeket a bűnöző vállalkozásokra összpontosítsák, és távol tartsák az államközi konfliktusokat.

A Nemzeti Koordinációs Központ, amelyet a Trump-adminisztráció eredetileg a bevándorlás végrehajtására hozott létre, létrehozza és kezeli a „programot”. Szigorú átvilágítás után a Programban részt vevő vállalatok kétféle kiberművelet végrehajtására jogosultak az Igazságügyi vagy Belbiztonsági Minisztérium szerződése és irányítása alapján. A Cyber ​​Surveillance Operations diszkréten gyűjt információkat és hírszerzési információkat, és jogosulatlan hozzáféréssel jár az információs rendszerekhez. A Cyber ​​Effects műveletek az információs rendszerek, hálózatok vagy infrastruktúra „manipulációját, megzavarását, megtagadását, leépülését vagy megsemmisítését” eredményezik. A Programban részt vevő cégek fenyegetésekkel kapcsolatos információkat kaphatnak más magánintézményektől és szövetségi, állami, helyi, törzsi és területi szervektől, és műveleteket javasolhatnak az NCC-nek. A feljegyzés leszögezi, hogy a program a CAFA-val összhangban kerül végrehajtásra, ami arra utal, hogy a törvény „törvényesen engedélyezett nyomozati, védelmi vagy hírszerzési tevékenységre” vonatkozó kivétele alá tartozik, mivel a cégek kormányzati ellenőrzés és felügyelet alatt működnek.

Egyes kommentátorok helytelenül jellemezték a feljegyzést, mint amely engedélyezi a márka vagy magánszemélyek kiberleveleit. Az alkotmány a Kongresszusnak ad felhatalmazást a márkalevél kiosztására, nem az elnököt. A programban részt vevő cégek javasolhatnak, de nem választhatnak saját célokat, és működésükhöz szövetségi szerződésre és írásos kormányzati jóváhagyásra van szükségük. Ezenkívül a feljegyzésből hiányzik a kongresszusi értesítés és jóváhagyás. A program egyetlen jelentési kötelezettsége a belbiztonsági tanácsadónak és a nemzeti kiberigazgatónak vonatkozik. Ez valószínűleg riadalmat kelt egy olyan kongresszusban, amely már az iráni műveletekről vitázik.

A feljegyzés fontos biztosítékokat tartalmaz annak biztosítására, hogy a magáncégek törvényesen és kormányzati irányítás alatt járjanak el. A belbiztonsági minisztérium és az igazságügyi minisztérium igazgatóinak írásos jóváhagyást és útmutatást kell adniuk minden kiberműveleti csomaghoz. Az igazgatók nem hagyhatnak jóvá olyan műveleteket, amelyek „valószínűleg életek elvesztésével vagy súlyos sérülésekkel járnak”, vagy amelyek „a nemzetközi jog értelmében az erő alkalmazásának vagy fegyveres támadás szintjére emelkednek”. A program minden tevékenységének összhangban kell lennie az Alkotmánnyal, valamint a nemzetközi és az Egyesült Államok törvényeivel. Minden egyesült államokbeli személyre irányuló vagy az Egyesült Államok jogi kötelezettségeit feltételező tevékenység további engedélyt igényel. A Justice and Homeland Security emellett legalább 1 millió dollár értékű kötvényt vagy letéti letétet követelhet a részt vevő cégektől, amelyeket el kell veszíteni az előírások be nem tartása miatt.

A kiberbűnözési program teszteletlen jogi problémái

A feljegyzés fontos lépés a nemzetközi kiberbűnözés elleni küzdelemben. De az általa hivatkozott CAFA-kivételt még soha nem tesztelték a bíróságon. Továbbra sem világos, hogy ez a kivétel megvédi-e a részt vevő cégeket a felelősség alól, és milyen körülmények között. Sem a CAFA, sem az állami számítógépes bűnözésről szóló törvények nem válthatók fel a DoJ vagy a DHS szerződéssel. Bárki, aki kárt vagy veszteséget szenved, továbbra is perelhet, és az igazságügyi minisztérium nyilatkozata, miszerint nem indít eljárást a programban részt vevő cégek ellen, nem vaskos.

Vékony lehet a határvonal a rendészeti műveletek és az erőszak alkalmazása között. Az államok soha nem állapodtak meg abban, hogy a kiberműveletek mikor emelkednek az erő alkalmazásának vagy a fegyveres támadás szintjére. A magánszektorbeli, vagyont pusztító vagy nagymértékű kárt okozó, széles körű hatásokkal járó műveletet egy másik állam fegyveres támadással egyenértékűnek tekintheti. Ha ez megtörténik, az Egyesült Államok jogilag felelős lehet a magánszektor olyan magatartásáért, amelyre talán soha nem is gondolt. Előfordulhat, hogy a működési szándék hozzárendelése és felismerése sem egyértelmű az ellenséges TCO-k vagy államok számára. E műveletek félreértése potenciális kockázatot jelent mind az Egyesült Államok, mind a program résztvevői számára.

Ki fizet, ha a kiberbűnözéssel kapcsolatos bűnüldözési műveletek rosszul sülnek el

Az ilyen műveleteket végző alkalmazottak további kockázattal szembesülnek. Nincs szuverén immunitásuk. A károk külföldön belül is előfordulhatnak, és az általuk megcélzott TCO-k kapcsolatban állhatnak ezekkel az államokkal. Ha egy külföldi állam fegyveres konfliktusként kezelné ezeket a bűnüldözési műveleteket, az ezeket irányító magánszektorbeli alkalmazottak a nemzetközi jog szerint nem lennének harcosok, és nem kapnának hadifogolyt vagy egyéb védelmet. Ezenkívül a külföldi hackertörvények következményekkel vagy megtorlással is szembesülhetnek. A közelmúltban letartóztattak egy kínai állampolgárt, aki Olaszországban nyaralt, és kiadták az Egyesült Államoknak, mert állítólag amerikai cégeket hackelt fel egy kínai cég számára. A CE-TCO-k ellen küzdő amerikai vállalkozókat valószínűleg más államok bűnözőknek fogják tekinteni, és bármelyikük veszélyben lehet külföldre utazva.

A bűnügyi infrastruktúra irányított rendszereken fut, beleértve a kórházi szervereket, az egyetemi hálózatokat és a kisvállalati útválasztókat. A feljegyzés semmit nem mond arról, hogy mi történik, ha magánvállalatok járulékos kárt okoznak ezeknek a harmadik feleknek, vagy hogy ki lesz ezért felelős. A cégeknek a részvétel, valamint a közzétételi és biztosítási aggodalmak miatt reputációs kockázatot is jelenthetnek. Semmi sem foglalkozik azzal, hogy mi történik, ha egy megfelelően megcélzott külföldi rendszer őrzi az amerikaiak ellopott adatait, vagy hogy milyen jogaik vannak ezeknek az amerikai áldozatoknak, legyen az egyéni vagy vállalati.

A műveleti eljárások 60 napon belül esedékesek, és valószínűleg választ adnak ezekre a kérdésekre. Az igazi próbatétel a bíróságon vagy a gyakorlatban lesz. Egy olyan program, amely megmenti az amerikaiakat a kiberbűnözéstől, nagy siker lesz a köz- és a magánszféra közötti partnerségek számára. De a programnak erős biztosítékokra lesz szüksége annak biztosítására, hogy egy vállalat véletlenül se kezdjen háborúba.