El nou programa permetrà que empreses estatunidenques facin tasques de vigilància, obtinguin intel·ligència i interrompin sistemes sota supervisió federal, amb contractes que poden exigir una garantia d’un milió de dòlars.

La Casa Blanca ha creat un programa que permetrà que empreses privades estatunidenques participin en operacions de vigilància i accions ofensives al ciberespai contra organitzacions delictives estrangeres. La iniciativa, recollida en un memoràndum presidencial signat pel president Donald Trump, situa aquestes empreses sota la direcció i la supervisió del Govern federal.

El programa serà gestionat pel Centre de Coordinació Nacional (NCC) i permetrà que empreses prèviament seleccionades actuïn contra organitzacions delictives transnacionals que facin servir mitjans digitals per cometre delictes contra els EUA. 

El memoràndum contempla dues categories d’operacions: les de vigilància, destinades a extreure informació de sistemes informàtics sense autorització, i les anomenades ‘Cyber ​​Effects Operations’, que poden incloure la manipulació, interrupció, degradació o destrucció de sistemes, xarxes i infraestructures digitals.

Les organitzacions participants hauran de superar un procés d’avaluació tècnica i de seguretat i signar contractes amb el Departament de Justícia o el de Seguretat Nacional. Aquests acords les poden obligar a mantenir una garantia o dipòsit d’almenys un milió de dòlars, que podria ser executat en cas d’incompliment de les condicions del contracte.

Un marge d’acció limitat

La participació privada no implica que les empreses puguin decidir pel seu compte quins objectius atacar. Cada operació haurà de rebre una autorització escrita dels responsables del programa, un designat per Justícia i un altre per Seguretat Nacional. A més a més, el procés contempla la coordinació amb diferents organismes federals, inclosos els departaments d’Estat, Tresor i Justícia i la comunitat d’intel·ligència.

D’altra banda, el document estableix alguns límits a les operacions. No es poden aprovar actuacions que previsiblement provoquin la mort o lesions greus o que es puguin considerar un ús de la força o un atac armat segons el dret internacional. 

També s’hi estableixen salvaguardes per evitar operacions contra objectius del país. Si una empresa descobreix que ha afectat accidentalment una persona estatunidenca, un sistema ubicat als EUA o una infraestructura sota control d’una persona estatunidenca, haurà d’aturar l’activitat i comunicar-ho immediatament al NCC, que informarà el Departament de Justícia.

Els objectius queden limitats a organitzacions delictives estrangeres que no formin part d’un Govern ni estiguin completament dirigides per aquest govern. El memoràndum estableix que, llevat que hi hagi una intel·ligència clara que demostri una connexió governamental, aquests grups seran considerats independents dels Estats estrangers.

L’Administració estatunidenca ha presentat la mesura com una manera d’aprofitar les capacitats del sector privat per combatre el ciberdelicte transnacional, que havien estat «històricament infrautilitzades» en els esforços per identificar i desarticular xarxes delictives. 

Les regles definitives encara estan pendents de desenvolupament. Els responsables del programa tenen 60 dies per establir els procediments operatius i 180 dies per elaborar el primer informe sobre el funcionament. Les empreses participants també s’han de sotmetre a avaluacions almenys una vegada a l’any per continuar al programa.