Une note américaine définit le rôle des entreprises privées dans la perturbation des réseaux de cybercriminalité étrangers

Le président Donald Trump a autorisé les agences gouvernementales américaines à engager des entreprises privées de cybersécurité pour mener des opérations de collecte de renseignements et de perturbation contre certains groupes étrangers de cybercriminalité.

Un mémorandum signé cette semaine établit un cadre permettant à des prestataires de soutenir des opérations contre des « organisations criminelles transnationales à composante cyber ». Les cibles sont définies comme des groupes étrangers menant des activités de cybercriminalité contre le gouvernement américain, des particuliers américains ou des intérêts américains. Les organisations agissant directement pour le compte de gouvernements étrangers, ou entièrement pour leur compte, sont exclues du programme.

Surveillance et perturbation

La politique établit une distinction entre la surveillance informatique et les « opérations produisant des effets cyber ». Ces dernières peuvent inclure la manipulation, la perturbation, le refus d’accès ou la dégradation de systèmes d’information, de réseaux, d’infrastructures et de données contrôlés par l’intermédiaire de ces systèmes. Le mémorandum reconnaît également que les activités de surveillance peuvent elles-mêmes nécessiter une interférence limitée avec des systèmes.

Les entreprises participantes seront soumises à un contrôle gouvernemental, à des procédures opérationnelles détaillées et à des évaluations techniques récurrentes. Ces procédures doivent être élaborées dans un délai de 60 jours par les responsables du programme, en collaboration avec le Conseil de sécurité intérieure. Les responsables sont également chargés d’ouvrir ces opportunités aussi bien aux grands prestataires qu’aux petites entreprises disposant de capacités spécialisées.

Le ministère de la Justice participera à l’approbation des opérations, en particulier lorsque des résidents américains ou des questions juridiques nationales sont concernés. Les prestataires ne peuvent mener d’activités susceptibles d’entraîner la mort ou des blessures graves, ni d’opérations pouvant être qualifiées d’attaque armée au regard du droit international. Chaque entreprise doit maintenir une garantie ou un compte séquestre d’au moins 1 million de dollars, susceptible d’être confisqué en cas de violation contractuelle.

Des questions juridiques restent en suspens

Cette initiative fait suite à la stratégie de cybersécurité de l’administration présentée en mars, qui appelait à renforcer la coopération entre les secteurs public et privé afin d’identifier et de perturber les réseaux hostiles. Des analystes juridiques s’étaient auparavant demandé si le droit américain existant autoriserait les entreprises privées à mener des opérations de contre-attaque informatique.

La loi sur la fraude et les abus informatiques interdit généralement l’accès non autorisé aux systèmes informatiques. Une disposition exempte certaines activités d’enquête, de protection et de renseignement autorisées et menées par des agences gouvernementales, mais les tribunaux n’ont pas établi si cette protection s’étend aux prestataires privés agissant sous la direction du gouvernement. Des avocats ont également averti que la responsabilité civile pourrait subsister même si les priorités en matière de poursuites pénales évoluent.

Le programme constitue donc un ajustement important de la politique américaine en matière de cybersécurité, tout en laissant sans réponse des questions essentielles concernant la supervision, la responsabilité et les conséquences internationales. Les alliés des États-Unis et le secteur de la cybersécurité observeront probablement la mise en œuvre de ce cadre et se demanderont si les entreprises choisiront d’y participer.