Un memorandum statunitense definisce il ruolo delle aziende private nel contrasto alle reti di criminalità informatica straniere

Il presidente Donald Trump ha autorizzato le agenzie governative statunitensi ad assumere aziende private di cybersicurezza per attività di raccolta di informazioni e contrasto contro determinati gruppi stranieri di criminalità informatica.

Un memorandum firmato questa settimana crea un quadro per consentire agli appaltatori di supportare operazioni contro le «organizzazioni criminali transnazionali abilitate dal cyberspazio». I bersagli sono definiti come gruppi stranieri che conducono attività di criminalità informatica contro il governo statunitense, cittadini americani o interessi degli Stati Uniti. Sono escluse dal programma le organizzazioni che agiscono direttamente per governi stranieri o interamente per loro conto.

Sorveglianza e contrasto

La politica distingue tra sorveglianza informatica e «Operazioni di effetti cibernetici». Queste ultime possono includere la manipolazione, l'interruzione, la negazione o il degrado dei sistemi informativi, delle reti, delle infrastrutture e dei dati controllati attraverso tali sistemi. Il memorandum riconosce inoltre che le attività di sorveglianza possono richiedere a loro volta un'interferenza limitata con i sistemi.

Le aziende partecipanti saranno sottoposte a verifiche governative, procedure operative dettagliate e valutazioni tecniche periodiche. Tali procedure dovranno essere sviluppate entro 60 giorni dai responsabili del programma in collaborazione con il Consiglio per la sicurezza interna. Ai funzionari viene inoltre chiesto di rendere disponibili le opportunità sia ai grandi appaltatori sia alle aziende più piccole dotate di competenze specialistiche.

Il Dipartimento di Giustizia parteciperà all'approvazione delle operazioni, in particolare nei casi che coinvolgono residenti negli Stati Uniti o questioni giuridiche interne. Gli appaltatori non potranno condurre attività che potrebbero causare morte o lesioni gravi, né operazioni qualificabili come attacchi armati ai sensi del diritto internazionale. Ogni azienda dovrà mantenere almeno 1 milione di dollari sotto forma di garanzia o deposito vincolato, che potrà essere incamerato in caso di violazioni contrattuali.

Restano aperte le questioni giuridiche

L'iniziativa fa seguito alla strategia di cybersicurezza dell'amministrazione, pubblicata a marzo, che chiedeva una cooperazione più stretta tra settore pubblico e privato per identificare e contrastare le reti ostili. In precedenza, gli analisti legali avevano messo in dubbio che la legge statunitense vigente consentisse alle aziende private di condurre operazioni di ritorsione informatica.

Il Computer Fraud and Abuse Act generalmente vieta l'accesso non autorizzato ai sistemi informatici. Una disposizione esenta determinate attività investigative, protettive e di intelligence autorizzate e condotte dalle agenzie governative, ma i tribunali non hanno stabilito se tale tutela si estenda agli appaltatori privati che operano sotto la direzione del governo. Gli avvocati hanno inoltre avvertito che la responsabilità civile potrebbe rimanere anche qualora cambiassero le priorità nell'applicazione della legge penale.

Il programma rappresenta quindi un cambiamento significativo nella politica informatica statunitense, lasciando tuttavia irrisolte importanti questioni relative alla supervisione, alla responsabilità e alle conseguenze internazionali. Gli alleati degli Stati Uniti e il settore della cybersicurezza osserveranno probabilmente come verrà attuato il quadro e se le aziende sceglieranno di partecipare.