ABD yönetimi, yeni bir başkanlık muhtırası uyarınca, denetimden geçirilmiş özel şirketlerin suç çeteleri ve uluslararası bilgisayar korsanlarına karşı saldırı amaçlı siber operasyonlara katılmasına ilk kez izin verdiğini açıkladı. Muhtıra, fidye yazılımı saldırıları, mali dolandırıcılık ve cinsel şantaj da dahil olmak üzere Amerikalıları hedef alan tehditlerle mücadelede özel sektörün yeteneklerinden yararlanmayı amaçlıyor.
Politika, şirketlere kendi başlarına saldırı düzenlemeleri için genel bir ruhsat vermiyor; muhtıra, operasyonların yalnızca federal hükümetin gözetimi altında ve Adalet Bakanlığı ile İç Güvenlik Bakanlığı temsilcilerinden onay alındıktan sonra yürütüleceğini belirtiyor. Hükümet ayrıca programın işletilmesine ilişkin ayrıntıları henüz kesinleştirmedi; katılım yönergelerinin önümüzdeki iki ay içinde yayımlanması bekleniyor.
Mali ve hukuki sınırlamalarla saldırı yetkileri
Yeni çerçeve, katılımcı şirketlerin bilgi toplamak için casus yazılımlar kullanmak gibi gözetleme operasyonlarının yanı sıra suçluların verilerini veya sistemlerini yok etmeyi amaçlayan bozucu saldırılar gerçekleştirmesine izin veriyor. Buna karşılık şirketlerin, hükümetin bu operasyonları düzenleyen kurallara uymadıkları sonucuna varması halinde kaybedebilecekleri 1 milyon doları bir teminat hesabına yatırmaları gerekecek.
Hükümet, Amerikalıların veya Amerika Birleşik Devletleri içinde bulunan sistemlerin hedef alınmasını önleyecek prosedürler oluşturacak. Şirketler ayrıca elektrik şebekeleri veya su tesisleri gibi kritik Amerikan altyapısına yönelik yakın bir siber saldırı tespit etmeleri halinde hükümeti bilgilendirmek zorunda olacak. Beklenen yönergeler, uzmanlaşmış operasyonlar yürütmeye daha uygun olabilecek küçük şirketler de dahil olmak üzere her büyüklükteki şirketi kapsıyor.
Önceki ABD politikasından dönüş
Karar, art arda gelen yönetimler boyunca sürdürülen ve özel sektörün gelen saldırılara karşı kendini savunmasına izin verirken saldırı düzenlemesini veya bozucu operasyonlar yürütmesini yasaklayan Amerikan tutumunda önemli bir değişiklik anlamına geliyor. Özel şirketler, uygun yargısal yetkilendirme olmadan siber saldırılar düzenlemeyi yasaklayan aynı federal yasalara tabi.
Bununla birlikte muhtıra, şirketlerin kendilerini tehdit eden herhangi bir tarafa karşı bağımsız olarak “hackback” operasyonları yürütmesine izin verecek kadar ileri gitmiyor. Beyaz Saray ayrıca özel şirketlerin programa gerçekten katılıp katılmadığını açıklamadı; TechCrunch’ın sorularını yayımladığı bilgi notuna yönlendirdi.
Uluslararası yansımalarla ilgili endişeler
Eleştirmenler, özel şirketlerin hükümet operasyonlarına dahil edilmesinin, özellikle yabancı bir hükümet Amerikalı bir şirketin kendi topraklarına veya sistemlerine saldırı düzenlediğini iddia ederse, hukuki ve diplomatik anlaşmazlıklara kapı açabileceğini belirtiyor. Politika, hükümetin bilgisayar korsanlığı operasyonlarına özel sektörün katılmasına uzun süredir karşı çıkan çevrelerin muhalefetiyle ve hukuki itirazlarla karşılaşabilir.
Siber güvenlik şirketi Hunter Strategy’de araştırma ve geliştirmeden sorumlu başkan yardımcısı Jake Williams, politikanın siber güvenlik şirketlerinde çalışan Amerikalıları yurt dışında suçlanma veya gözaltına alınma riskiyle karşı karşıya bırakabileceğini söyledi. Bu çalışanların, operasyonlara katıldıkları kanıtlanmamış olsa bile seyahat sırasında “düzensiz savaşçılar” olarak sınıflandırılabileceğini ekledi. Williams, politikayı “olgunlaşmamış” olarak nitelendirdi ve kötüye kullanılmasının önlenebileceğine ikna olmadığını ifade etti.
Artan tehditler bağlamı
Muhtıra, yönetimin ABD’nin artan bir tehditle karşı karşıya olduğunu söylediği bir dönemde ve çeşitli eyaletlerdeki su altyapılarının hedef alındığı saldırıların yaşandığı sırada yayımlandı. Yerel kurumlara bildirilen istihbarat değerlendirmelerine göre bu saldırılar, İran hükümeti tarafından desteklenen bilgisayar korsanlarına atfedildi. Raporda ayrıca, otonom yapay zekâ yazılımlarıyla desteklenen siber tehditlerin tırmanmasıyla eş zamanlı olarak Amerikan şirketlerini ve altyapısını aksatan saldırılara da dikkat çekildi.