Per la prima volta il governo degli Stati Uniti apre la porta alle aziende private nella lotta contro il crimine informatico internazionale. Con una National Security Presidential Memorandum firmata giovedì, l’amministrazione Trump ha autorizzato società di sicurezza private a condurre operazioni cyber contro organizzazioni criminali transnazionali basate all’estero che colpiscono cittadini, aziende o enti governativi americani. È una svolta che ridisegna i confini tra difesa pubblica e iniziativa privata nel campo della cybersecurity, finora rigidamente riservato alle agenzie federali.
Summary
Punti chiave
- Il memorandum, firmato dal presidente Donald Trump, incarica il National Coordination Center (NCC) di sviluppare un programma per le operazioni cyber contro le organizzazioni criminali transnazionali (TCO)
- Le aziende partecipanti dovranno essere vagliate e approvate dai Dipartimenti di Justice e Homeland Security
- I bersagli ammessi includono ransomware, sextortion, phishing, frodi finanziarie e truffe di impersonificazione
- Vietate le operazioni che causano perdita di vite umane o lesioni gravi, o che equivalgono all’uso della forza secondo il diritto internazionale
- Le società dovranno depositare un milione di dollari in escrow, che verrà confiscato in caso di violazione degli accordi
Il governo USA autorizza operazioni cyber offensive del settore privato
Con questo provvedimento Washington rompe uno schema di lunga data: fino a oggi il settore privato non poteva condurre operazioni cyber offensive senza un’autorizzazione giudiziaria caso per caso. Il memorandum cambia le regole del gioco, permettendo alle aziende di agire sotto il controllo e l’autorità del governo statunitense.
Direttive politiche e mandato del programma
Il testo firmato da Trump indica al NCC, che opera sotto la Homeland Security Task Force, di costruire un programma dedicato a colpire le organizzazioni criminali transnazionali “cyber-enabled”. Secondo la scheda informativa diffusa dalla Casa Bianca, il memorandum incarica i direttori esecutivi del programma e il Homeland Security Council di definire procedure rigorose per la revisione e la conduzione di queste operazioni limitate, garantendo la piena conformità con la Costituzione americana, le leggi federali e gli accordi internazionali applicabili.
Il quadro normativo prevede inoltre che le aziende partecipanti possano stringere accordi con altre entità private, così come con agenzie federali, statali, locali e tribali, per raccogliere informazioni sulle minacce delle TCO e proporre operazioni cyber mirate.
Tipologia dei cybercriminali bersaglio
Le organizzazioni target vengono definite come qualsiasi gruppo estero che compie crimini informatici contro il governo statunitense, un cittadino americano o interessi statunitensi, senza essere parte istituzionale di un governo estero né operare sotto la sua direzione diretta. Tra le attività esplicitamente elencate come ammissibili per l’azione delle società private figurano ransomware, schemi di sextortion, campagne di phishing, frodi finanziarie e truffe di impersonificazione.
Requisiti di partecipazione e limiti operativi
Non tutte le aziende potranno partecipare: il memorandum impone un percorso di verifica rigoroso e vincoli finanziari precisi prima che una società possa affiancare il governo in queste operazioni.
Processo di verifica e approvazione da Justice e Homeland Security
Le società interessate dovranno prima essere vagliate e approvate dai Dipartimenti di Justice e Homeland Security. Il programma sarà supervisionato da direttori esecutivi designati dai due dipartimenti, e le aziende partecipanti dovranno sottoporsi a un controllo prima di firmare i contratti.
Standard tecnici e di sicurezza per le aziende partecipanti
Il memorandum fissa standard minimi che le aziende devono soddisfare: livelli adeguati di competenza tecnica, comprovate performance nelle operazioni cyber precedenti, sicurezza delle strutture, verifica del personale, affidabilità e altri fattori che i direttori del programma, in coordinamento con il Homeland Security Council, ritengono necessari per garantire fiducia nella capacità di una società di operare con successo.
Misure di conformità finanziaria
Le società partecipanti dovranno mantenere un deposito o un conto escrow di almeno un milione di dollari, che sarà confiscato in caso di mancato rispetto degli accordi contrattuali. Le aziende dovranno inoltre interrompere immediatamente le operazioni se rilevano attività che superano i limiti approvati, incluso il coinvolgimento involontario di cittadini americani o sistemi basati negli Stati Uniti, notificando subito il NCC.
Operazioni cyber consentite e confini legali
Il programma non è un via libera indiscriminato: definisce con precisione cosa possono e cosa non possono fare le aziende coinvolte, tracciando un confine netto tra disruption tecnologica e violenza fisica.
Tattiche offensive consentite come spyware, criptaggio e DDoS
Il memorandum consente alle società partecipanti di condurre “Cyber Surveillance Operations” e “Cyber Effects Operations” contro le TCO cyber-enabled. Il testo non esclude l’uso di spyware o attacchi offensivi pensati per distruggere dati o sistemi delle organizzazioni criminali, inclusi attacchi che bloccano l’accesso alle reti tramite criptaggio o attacchi DDoS (distributed denial-of-service) per interrompere le loro attività.
Divieto di azioni con conseguenze letali o lesioni gravi
Esiste però un limite non negoziabile: le operazioni non possono provocare “Esiti Critici”, ovvero perdita di vite umane, lesioni gravi, o azioni che equivalgano all’uso della forza o a un attacco armato secondo il diritto internazionale. È il punto in cui il documento traccia la linea tra crimine informatico transnazionale da contrastare e conseguenze inaccettabili sul piano umano e diplomatico.
Supervisione e rispetto dei limiti operativi
Le procedure previste dal memorandum richiedono che ogni operazione rispetti la Costituzione americana, la legge federale e gli obblighi internazionali degli Stati Uniti. Questo impianto di supervisione, unito al deposito escrow e all’obbligo di notifica immediata in caso di superamento dei limiti, rappresenta il tentativo dell’amministrazione di bilanciare efficacia operativa e responsabilità legale.
Prossimi dettagli di implementazione e opinioni esperte
Molti aspetti cruciali del programma restano ancora da definire, e sarà proprio in quei dettagli che si capirà se l’iniziativa funzionerà davvero.
Linee guida operative attese da Justice e Homeland Security
Il memorandum fissa un termine di 60 giorni entro cui i Dipartimenti di Justice e Homeland Security dovranno definire le specifiche operative del programma. Fino a quel momento, resta poco chiaro come verranno gestiti nella pratica il controllo, l’approvazione dei contratti e la supervisione continua delle attività autorizzate.
Pareri degli esperti del settore sugli incentivi e l’efficacia del programma
Non tutti nel settore accolgono la novità con entusiasmo incondizionato. Il ricercatore indipendente di sicurezza Kevin Beaumont ha osservato che colpire i gruppi ransomware ha senso, e che accade già nella pratica, ma ha aggiunto che “gli incentivi corretti devono esserci”. Secondo lui, il problema principale riscontrato negli ultimi cinque anni nella lotta al ransomware è che molte società di cybersecurity private hanno fatto pressioni perché nulla cambiasse, avendo guadagnato molto denaro dalla situazione attuale: metterle a capo della lotta al fenomeno, ha detto, “sembra optimistico”.
FAQ
Quali tipi di gruppi criminali informatici possono essere colpiti dalle aziende private con il nuovo programma?
Le aziende private possono colpire organizzazioni criminali transnazionali estere coinvolte in ransomware, sextortion, phishing, frodi finanziarie e truffe di impersonificazione.
Quali restrizioni vengono imposte alle operazioni cyber condotte dalle società di sicurezza private?
Le operazioni non devono causare perdita di vite umane, lesioni gravi, né configurarsi come uso della forza secondo il diritto internazionale, e devono rispettare le leggi statunitensi e la supervisione prevista.
Come vengono selezionate le società di sicurezza private per partecipare al programma cyber offensivo?
Le aziende devono essere vagliate e approvate dai Dipartimenti di Justice e Homeland Security, soddisfare standard tecnici e di sicurezza, e depositare un milione di dollari in escrow.
Quando saranno pubblicate le procedure operative dettagliate di questo programma?
I Dipartimenti di Justice e Homeland Security devono definire le specifiche del programma entro 60 giorni dalla data del memorandum.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
