Trump undertecknar order som kan släppa lös privata hackare mot utländska mål

Donald Trump utökar den amerikanska regeringens strategi mot cyberbrottslighet genom att involvera privata företag direkt i operationer mot kriminella grupper som verkar utomlands.

Ett nationellt säkerhetsmemorandum, undertecknat av presidenten på onsdagen, etablerar ett ramverk där godkända företag kan delta i offensiva cyberoperationer riktade mot utländska organisationer.

I stället för att ge företag obegränsad befogenhet att självständigt lansera attacker, placerar policyn deltagande företag under federal tillsyn och begränsar deras aktiviteter till mål och operationer som godkänts av Washington.

Cyberoperationer som kan störa eller skada utländska datorsystem har traditionellt sett till stor del legat inom statliga och underrättelsetjänsters domän.

Trumps memorandum öppnar en del av detta område för privata företag.

Enligt Vita huset har federala myndigheter instruerats att ”utnyttja den privata sektorns kapacitet och innovation för att hjälpa till att genomföra dessa cyberoperationer under ledning, kontroll och auktoritet av den amerikanska regeringen”.

Företagen skulle därmed verka som partners snarare än oberoende cyberstyrkor.

Federala myndigheter skulle kunna godkänna ”begränsade cyberoperationer på uppdrag av den amerikanska regeringen”, med utlandsbaserade kriminella organisationer bland de avsedda målen.

Enligt The Guardian har Trumps administration identifierat ransomware-operationer, ekonomiskt bedrägeri och annan internationellt organiserad cyberbrottslighet som särskilda problemområden.

Operationer kan störa eller förstöra system

Ansvaret för att etablera det nya programmet kommer att ligga hos Departementet för inrikes säkerhet, i samarbete med Justitiedepartementet.

Deltagande företag skulle först behöva genomgå en granskningsprocess. Godkända företag skulle därefter kunna utföra både ”cyberspaningsoperationer” och mer aggressiva ”cybereffektoperationer” mot utsedda mål.

Omfattningen för den senare kategorin kan vara betydande.

”Cybereffekter inkluderar potentiell manipulation, störning, förnekande, försämring eller förstörelse av informationssystem, nätverk, fysisk eller virtuell infrastruktur som kontrolleras av informationssystem, eller information som finns därpå”, står det i memorandumet.

Privata företag skulle också kunna ingå avtal med andra företag och olika statliga nivåer för att samla in underrättelser om utländska kriminella organisationer.

Insamlad information skulle sedan kunna användas för att föreslå potentiella operationer mot identifierade hot.

Trumps administration hade signalerat förändringen

Washingtons beslut följer tidigare indikationer på att administrationen ville att företag skulle spela en betydligt större roll i den amerikanska cyberstrategin.

En nationell cybersäkerhetspolicy, publicerad i mars, utlovade incitament utformade för att ”släppa lös den privata sektorn” mot utländska motståndare.

Onsdagens memorandum tillhandahåller en tydligare mekanism för att omsätta den policyn i praktiken.

Juridiska specialister har tidigare ifrågasatt hur företag som deltar i offensiva operationer skulle kunna hantera riskerna med inblandning i internationella cyberkonflikter.

Federal tillsyn är följaktligen en central del av det nya ramverket, där privata aktörer agerar under statlig auktoritet snarare än att välja sina egna mål.

Policyn kommer samtidigt som regeringar står inför alltmer sofistikerade digitala attacker och en växande oro över hackares potentiella användning av artificiell intelligens.

Kraftfulla AI-system har visat förmåga att identifiera och utnyttja svagheter i föråldrad cybersäkerhetsinfrastruktur, vilket lägger till ytterligare en dimension till befintliga farhågor om ransomware och organiserad cyberbrottslighet.

Amerikansk infrastruktur har redan utsatts för betydande attacker i år. Hackare riktade in sig på kritiska system i flera delstater, inklusive vattenanläggningar där attacker resulterade i driftsstörningar.