La nuova cyberstrategy Usa autorizza aziende private a colpire hacker esteri, con un milione di dollari di garanzia in caso di violazioni

Cos’è successo

La scorsa settimana, il presidente Usa Donald Trump ha firmato un National Security Presidential Memorandum che permette al governo di coinvolgere aziende private di cybersecurity in operazioni cibernetiche offensive, sotto stretta direzione e controllo federale, contro organizzazioni criminali transnazionali (attive nel ransomware, frodi e altri attacchi dall’estero). Il programma sarà gestito dal National Coordination Center (DHS e Department of Justice).

Le imprese vettorizzate potranno effettuare sorveglianza e “cyber effects operations” (interruzione, degradazione o distruzione di infrastrutture digitali) solo su target approvati e con procedure di review rigorose. Non è un libero “hack back”, ma un’espansione significativa del ruolo del settore privato, spesso descritta come una forma moderna di “cyber letters of marque”. Le aziende dovranno depositare una cauzione di almeno 1 milione di dollari in un fondo fiduciario. Questa cifra viene interamente confiscata dal governo se l'azienda viola le regole d'ingaggio stabilite o agisce al di fuori dei limiti autorizzati.

Perché conta

• Finora le operazioni offensive cibernetiche erano quasi esclusivamente di competenza governativa. Ciò assicurava il mantenimento di un controllo sull'uso di questi strumenti, e quindi anche la coerenza con le altre strategie governative. Ma ciò aveva anche degli svantaggi: in particolare, impediva di rispondere prontamente a degli attacchi, lasciando quindi mano libera a vari attori cyber di continuare i loro attacchi a lungo, con rischi reali sulle aziende e su tutto il Paese;
• La nuova strategia sfrutta l’innovazione del settore privato americano per aumentare velocità e scala delle azioni di attacco cyber contro infrastrutture criminali estere, potenzialmente andando a renderle meno pericolose;
• Ovviamente ciò segna anche un precedente che sposta il confine tra difesa passiva e capacità offensive autorizzate, riaprendo il dibattito su responsabilità ed escalation.

Adesso

• Il National Coordination Center dovrà definire criteri di selezione, procedure di autorizzazione e meccanismi di controllo e supervisione; le prime operazioni pilot potrebbero partire nei prossimi mesi. Le aziende di cybersecurity valuteranno rischi legali e opportunità commerciali, mentre alleati e avversari osserveranno l’applicazione del controllo governativo;
• Sul medio termine, se funzionerà, potrebbe diventare uno strumento permanente di contrasto al cybercrime internazionale; in caso di incidenti, riaprirà un dibattito normativo complesso;
• Per gli alleati degli Stati Uniti, si apre un dilemma importante. Se le aziende americane saranno in qualche modo più difficili da attaccare, in quanto il costo della risposta sarà più elevato ed immediato, l'incentivo per i criminali cyber sarà di colpire laddove questo rischio è minore: come nel caso dei dazi alla Cina, che hanno finito per spostare il surplus commerciale di Pechino verso l'Europa, così la nuova politica rischia di dirottare i cyber criminali verso il vecchio continente.