Il 12 agosto Donald Trump ha firmato un memorandum presidenziale che autorizza societ� private statunitensi selezionate a condurre operazioni di sorveglianza informatica e operazioni offensive contro organizzazioni criminali transnazionali straniere. La creazione e la gestione del programma spettano al National Coordination Center, il centro di coordinamento istituito ai sensi della sezione 6(d) dell’ordine esecutivo 14159 del 20 gennaio 2025. Il testo stabilisce che qualunque azione operativa sia condotta per conto e sotto la supervisione del governo federale.
L’impianto si aggancia all’ordine esecutivo 14390 del 6 marzo 2026 sul contrasto ai crimini informatici e alle frodi ai danni dei cittadini statunitensi, di cui il memorandum estende la portata portando dentro il settore privato. La motivazione dichiarata � che scala, velocit� e capacit� delle imprese americane garantiscono agli Stati Uniti “un vantaggio offensivo critico nel cyberspazio”, e che quelle capacit� sono state “storicamente sottoutilizzate” nell’individuazione e nella disgregazione delle reti criminali online. A sostegno del provvedimento la Casa Bianca cita 20,8 miliardi di dollari di perdite dichiarate per crimini informatici nel 2025 e sostiene che il 73% degli adulti statunitensi abbia subito truffe online.
Le attivit� ammesse ricadono in due categorie. Le Cyber Effects Operations sono definite come attivit� che producono “manipolazione, interruzione, negazione, degradazione o distruzione” di sistemi informativi, reti, infrastrutture fisiche o virtuali controllate da sistemi informativi, o delle informazioni che vi risiedono. Le Cyber Surveillance Operations riguardano la raccolta di informazioni e sembrano comprendere l’accesso occulto e non autorizzato a sistemi informativi stranieri, incluse le informazioni utilizzabili in seguito per preparare un’operazione offensiva.
Il memorandum chiama i bersagli organizzazioni criminali transnazionali abilitate dal cyber, e le definisce come gruppi stranieri che conducono crimini informatici contro il governo statunitense, contro persone o contro interessi degli Stati Uniti. La definizione esclude i gruppi che siano parte istituzionale di un governo straniero o che operino interamente sotto la sua direzione. Gli apparati statali restano quindi fuori dal programma, costruito per le bande criminali e per le reti di frode.
Selezione, cauzione e approvazione caso per caso
A dirigere il programma sono due direttori esecutivi, uno designato dal procuratore generale per il Dipartimento di Giustizia e uno designato dal segretario per la Sicurezza interna. Le operazioni si approvano solo dopo il coordinamento fra i due, e nessuna azienda pu� muoversi prima di aver ricevuto un’approvazione scritta: il testo impone ai direttori di esaminare ogni singolo pacchetto operativo e di fornire per iscritto approvazione e indicazioni. � una catena che tiene la decisione dentro il governo federale e lascia all’azienda la proposta e l’esecuzione.
Per partecipare, un’azienda deve firmare un accordo contrattuale con Giustizia o con Sicurezza interna e superare requisiti minimi che comprendono competenza tecnica, esperienza dimostrata in operazioni cyber, sicurezza delle sedi e vaglio del personale, con una rivalutazione almeno annuale. I due dipartimenti possono imporre come condizione contrattuale una cauzione o un deposito a garanzia non inferiore a un milione di dollari, che l’azienda perde se viene meno agli obblighi presi. I criteri di ammissione devono restare aperti sia alle grandi imprese, per la capacit� che portano, sia a realt� pi� piccole e agili, adatte a compiti specialistici.
Le aziende del programma possono inoltre stringere accordi commerciali su due fronti. Da un lato con soggetti privati, dai quali ricevono le informazioni sulle minacce raccolte nel corso della normale attivit� d’impresa; dall’altro con agenzie federali, statali, locali e tribali, che segnalano loro le minacce riconducibili a queste organizzazioni. In entrambi i casi lo sbocco � una proposta di operazione da sottoporre al centro di coordinamento, e ogni rapporto contrattuale di questo tipo va dichiarato.
I limiti previsti dal testo
Dall’approvazione ordinaria restano fuori le azioni che producono quelli che il memorandum chiama Critical Outcomes: quelle che con ogni probabilit� causerebbero la perdita di vite umane o lesioni gravi, oppure raggiungerebbero il livello dell’uso della forza o di un attacco armato secondo il diritto internazionale. I direttori esecutivi non hanno il potere di autorizzarle. Se un’azienda matura il ragionevole convincimento che un’operazione gi� approvata possa arrivare a quel punto, o se scopre un attacco imminente contro infrastrutture critiche statunitensi, deve avvisare immediatamente il centro di coordinamento, che informa il Dipartimento di Giustizia.
Sul fronte interno le procedure devono garantire che qualunque attivit� diretta a una persona statunitense ottenga le autorizzazioni necessarie, giudiziarie o di altra natura, prima dell’approvazione dell’operazione, con una revisione del Dipartimento di Giustizia. Se un’azienda si accorge di aver superato i limiti autorizzati, per esempio colpendo per errore una persona statunitense, un sistema informativo che risiede negli Stati Uniti o un sistema controllato da una persona statunitense, deve interrompere l’attivit�, applicare procedure di minimizzazione e segnalare l’accaduto. Il programma, ricorda il testo, va condotto nel rispetto della Costituzione e delle leggi applicabili, compreso il paragrafo 1030 del titolo 18 dello United States Code, la norma federale che punisce l’accesso non autorizzato ai sistemi informatici.
Le obiezioni al coinvolgimento dei privati
Le reti criminali condividono infrastruttura con servizi legittimi, e le operazioni di smantellamento delle botnet hanno gi� mostrato quanto sia facile far cadere i secondi mentre si colpiscono le prime. L’attribuzione di un’operazione informatica � difficile per sua natura, e quell’opacit� vale anche quando a tenere in mano l’exploit � un governo. Affidare strumenti offensivi a imprese commerciali, infine, avvicina responsabilit� pubblica e incentivo privato proprio mentre in Europa la spinta regolatoria sul mercato dello spyware va nella direzione opposta.
Le procedure operative del programma vanno stabilite entro 60 giorni dalla firma, in coordinamento con il Consiglio per la sicurezza interna, e nessuna operazione pu� essere approvata se non vi si conforma. Una parte del funzionamento non � pubblica: il flusso operativo, il coordinamento fra le agenzie per evitare sovrapposizioni e il quadro di valutazione dei bersagli sono rimandati a un annesso classificato. Il primo rapporto sullo stato del programma � atteso entro 180 giorni, poi con cadenza annuale.
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
