Donald Trump entend utiliser la puissance technologique des entreprises américaines pour lutter contre la cybercriminalité internationale. Un mémorandum présidentiel indique que les États-Unis autoriseront les entreprises privées à mener des opérations de cybersurveillance et des actions visant à perturber, dégrader et même détruire les systèmes utilisés par des organisations criminelles étrangères. Les entreprises agiront sous l'autorisation et la surveillance du gouvernement fédéral.
La mesure consiste à intégrer formellement le secteur privé dans une activité particulièrement sensible jusqu'à présent fondamentalement associée aux gouvernements et à leurs agences de sécurité et de renseignement. La Maison Blanche justifie cette décision par le poids croissant de la cybercriminalité et considère que l'énorme capacité technologique des entreprises américaines a été historiquement sous-utilisée pour identifier et démanteler les réseaux criminels qui opèrent sur Internet. Selon le document signé par Trump, la nouvelle politique vise à utiliser tous les instruments du pouvoir national, y compris les capacités du secteur privé.
Les entreprises sélectionnées seront en mesure de mener des opérations de cybersurveillance, ce qui signifie qu'elles pourront pénétrer dans les systèmes et les réseaux pour collecter des informations et des renseignements tout en essayant de ne pas être détectées. La note précise que ces opérations peuvent impliquer l'accès à des systèmes informatiques sans autorisation de leurs propriétaires ou opérateurs, ou un dépassement du niveau d'accès autorisé. Les informations obtenues pourront être utilisées pour préparer des cyber-opérations ultérieures.
Au-delà de l'espionnage numérique
Il autorise également les opérations dites à effets cyber, que le document définit comme des actions susceptibles de provoquer la manipulation, l'interruption, le déni, la dégradation ou la destruction des systèmes d'information, des réseaux et des infrastructures physiques ou virtuelles contrôlées par des systèmes informatiques.
Autrement dit, des entreprises privées sélectionnées pourront participer non seulement à la recherche de cybercriminels, mais aussi à des opérations visant à rendre inutile une partie de leur infrastructure numérique.
Le mémo établit des limites importantes pour éviter que le programme ne devienne une autorisation générale pour mener des attaques informatiques. Chaque opération doit être examinée à l'avance et faire l'objet d'une approbation et d'instructions écrites avant qu'une entreprise puisse agir. Le programme sera dirigé conjointement par les ministères de la Justice et de la Sécurité intérieure.
De même, les entreprises ne pourront pas se constituer librement. Ils doivent passer des contrôles liés à leur capacité technique, leur expérience en matière de cyberopérations, la sécurité de leurs installations, l'expérience de leur personnel et leur fiabilité. Le gouvernement souhaite intégrer à la fois de grandes entreprises dotées de capacités technologiques importantes et de petites entreprises spécialisées dans des opérations spécifiques.
Les limites établies
La Justice et la Sécurité nationale peuvent également exiger une caution ou un dépôt minimum d'un million de dollars, que l'entreprise perdra si elle ne respecte pas les conditions de son contrat.
La cible sera les organisations criminelles transnationales étrangères dotées de cybercapacités qui commettent des crimes contre le gouvernement américain, les citoyens ou les intérêts des États-Unis. Le texte exclut de cette définition les groupes qui font partie institutionnelle des gouvernements étrangers ou agissent entièrement sous leurs ordres.
Il établit également des limites lorsque les conséquences d'une opération peuvent être particulièrement graves. Les responsables du programme ne peuvent pas approuver des actions qui entraîneraient vraisemblablement des pertes en vies humaines ou des blessures graves, ni celles qui pourraient être considérées comme un recours à la force ou à une attaque armée au regard du droit international.
Si, au cours d'une opération, une entreprise découvre qu'elle affecte accidentellement des citoyens américains, des systèmes situés aux États-Unis ou des systèmes contrôlés par des Américains, elle doit l'arrêter et signaler immédiatement ce qui s'est passé.