Un memorando de EE. UU. detalla el papel de las empresas privadas en la desarticulación de redes extranjeras de ciberdelincuencia

El presidente Donald Trump ha autorizado a las agencias del Gobierno de EE. UU. a contratar empresas privadas de ciberseguridad para realizar operaciones de recopilación de inteligencia y desarticulación contra determinados grupos extranjeros de ciberdelincuencia.

Un memorando firmado esta semana establece un marco para que los contratistas apoyen operaciones contra «organizaciones delictivas transnacionales habilitadas por medios cibernéticos». Los objetivos se definen como grupos extranjeros que cometen delitos cibernéticos contra el Gobierno de EE. UU., ciudadanos estadounidenses o intereses estadounidenses. Las organizaciones que actúen directamente para Gobiernos extranjeros o enteramente en su nombre quedan excluidas del programa.

Vigilancia y desarticulación

La política distingue entre la vigilancia cibernética y las «Operaciones de efectos cibernéticos». Estas últimas pueden incluir la manipulación, interrupción, denegación o degradación de sistemas de información, redes, infraestructuras y datos controlados mediante dichos sistemas. El memorando también reconoce que las actividades de vigilancia pueden requerir por sí mismas una interferencia limitada en los sistemas.

Las empresas participantes estarán sujetas a un proceso de evaluación por parte del Gobierno, procedimientos operativos detallados y evaluaciones técnicas periódicas. Está previsto que los responsables del programa desarrollen esos procedimientos en un plazo de 60 días, en colaboración con el Consejo de Seguridad Nacional. También se ha instruido a los funcionarios para que pongan las oportunidades a disposición tanto de grandes contratistas como de empresas más pequeñas con capacidades especializadas.

El Departamento de Justicia participará en la aprobación de las operaciones, especialmente cuando haya residentes estadounidenses o cuestiones jurídicas nacionales implicadas. Los contratistas no podrán llevar a cabo actividades que puedan causar la muerte o lesiones graves, ni operaciones que pudieran considerarse un ataque armado conforme al derecho internacional. Cada empresa deberá mantener al menos un millón de dólares en una fianza o cuenta de garantía, que podrá ser ejecutada en caso de incumplimientos contractuales.

Persisten las dudas jurídicas

La iniciativa se produce tras la estrategia de ciberseguridad de la Administración publicada en marzo, que abogaba por una mayor cooperación entre los sectores público y privado para identificar y desarticular redes hostiles. Anteriormente, analistas jurídicos habían cuestionado si la legislación vigente de EE. UU. permitiría a empresas privadas llevar a cabo operaciones de contraataque.

La Ley de Fraude y Abuso Informático generalmente prohíbe el acceso no autorizado a sistemas informáticos. Una de sus disposiciones exime determinadas actividades autorizadas de investigación, protección e inteligencia realizadas por agencias gubernamentales, pero los tribunales no han establecido si esa protección se extiende a contratistas privados que trabajan bajo la dirección del Gobierno. Los abogados también han advertido de que la responsabilidad civil podría mantenerse incluso si cambian las prioridades de la aplicación de la legislación penal.

Por tanto, el programa representa un ajuste significativo de la política cibernética estadounidense, aunque deja sin resolver cuestiones importantes sobre supervisión, responsabilidad y consecuencias internacionales. Es probable que los aliados de EE. UU. y el sector de la ciberseguridad observen cómo se implementa el marco y si las empresas deciden participar.