Le programme pourrait permettre à des entreprises américaines privées contrôlées d’accéder à des systèmes ciblés sans l’autorisation du propriétaire et, dans le cadre d’opérations plus perturbatrices, d’endommager ou de détruire des systèmes ou des infrastructures.
L’administration Trump ouvre la porte à des entreprises américaines contrôlées pour mener des cyberopérations contre des organisations cybercriminelles étrangères sous supervision fédérale, donnant ainsi au secteur privé un rôle plus direct dans la lutte contre la cybercriminalité.
Un mémorandum présidentiel publié le 12 août ordonne au Centre national de coordination de créer un programme autorisant les entreprises participantes à mener des opérations de cybersurveillance et de cyber-effets contre des groupes étrangers engagés dans des cybercriminalités ciblant les intérêts américains.
Le mémorandum précise que « toute action opérationnelle qui en résultera sera exclusivement menée au nom et sous la supervision du gouvernement fédéral ».
Les entreprises admises au programme devront passer un contrat soit avec le ministère de
Justice ou du ministère de la Sécurité intérieure et sont soumis à un contrôle gouvernemental. Le mémorandum donne aux responsables 60 jours pour établir des procédures opérationnelles et exige une approbation écrite pour chaque opération proposée avant qu’une entreprise participante puisse agir.
Le programme pourrait s’étendre bien au-delà de la surveillance conventionnelle des menaces. Les opérations de cybersurveillance impliquent l’accès aux systèmes sans l’autorisation du propriétaire ou au-delà de l’accès autorisé, tandis que les opérations de cyber-effets peuvent interférer avec les systèmes ou les infrastructures et peuvent aller jusqu’à leur destruction.
Le mémorandum permet aux entreprises participantes de recevoir des informations sur les menaces collectées par des organisations du secteur privé au cours de leurs activités commerciales normales, qui peuvent ensuite être utilisées pour proposer des cyberopérations au Centre national de coordination.
Le problème des dommages collatéraux
Cet arrangement équivaut à une forme limitée de « piratage » du secteur privé autorisé par le gouvernement, bien qu’il diffère considérablement de la poursuite indépendante des attaquants par les entreprises, a déclaré Pareekh Jain, PDG de Pareekh Consulting.
Le contrôle gouvernemental peut limiter ce que les entreprises participantes peuvent faire, mais il n’élimine pas les risques opérationnels, a déclaré Jain. Une cible mal identifiée pourrait appartenir à une organisation innocente ou relever de la juridiction d’un autre pays, tandis qu’une action perturbatrice pourrait également provoquer des représailles contre l’entreprise de sécurité qui l’exécute.
« Il est extrêmement difficile d’éviter les dommages collatéraux », a-t-il déclaré. « Souvent, les cybercriminels n’achètent pas leurs propres serveurs, car ils se cachent dans de véritables réseaux d’entreprise, piratent des appareils domestiques intelligents et louent des serveurs cloud standards en utilisant des cartes de crédit volées. »
Jonathan Ong, analyste principal des services de sécurité gérés chez Omdia, a déclaré que la situation en matière de responsabilité des entreprises participantes reste également floue.
« La cyber-entreprise commerciale ne bénéficie ni de l’immunité ni de l’indemnisation que nous pouvons voir dans le mémorandum, et ne bénéficie pas de la protection contre les capacités de l’État-nation comme le fait une agence gouvernementale », a déclaré Ong.
À titre de garantie, le mémorandum stipule que les entreprises doivent arrêter une opération et informer immédiatement le Centre national de coordination si elles ciblent involontairement une personne américaine ou certains systèmes liés aux États-Unis.
De telles mesures sont utiles, a déclaré Jain, mais leur efficacité dépendra de la précision avec laquelle les cibles pourront être identifiées et des règles qui doivent encore être élaborées.
Un nouvel objectif pour le renseignement sur les menaces
Pour les RSSI, la politique pourrait changer la façon dont les renseignements sur les menaces recueillis au cours des activités commerciales normales sont finalement utilisés. Les données fournies par les entreprises pourraient alimenter les propositions de cyberopérations approuvées par le gouvernement.
« Les RSSI d’entreprise doivent être prudents avant d’intégrer la télémétrie dans ces programmes », a déclaré Neil Shah, vice-président de la recherche chez Counterpoint Research. « Les renseignements sur les menaces sont utilisés pour bloquer et se défendre, mais à l’avenir, s’ils sont utilisés dans ce cadre à des fins de surveillance, de renseignement et pour perturber et/ou détruire activement, cela serait préjudiciable. »
Shah a déclaré que les RSSI voudront également avoir l’assurance que les informations qu’ils partagent ne révèlent pas les détails de leur propre infrastructure, en particulier lorsque les systèmes peuvent déjà avoir été compromis par des attaquants. Le partage de données pourrait également soulever des problèmes de confidentialité s’il implique un suivi approfondi des clients, a-t-il déclaré.
Les RSSI devraient également vérifier si les contrats existants et les règles de confidentialité autorisent le partage de ces informations si elles pourraient ensuite être utilisées pour une opération offensive, selon Jain.
L’attribution ajoute une autre complication. L’infrastructure associée à une attaque peut elle-même avoir été compromise, ce qui signifie qu’une adresse IP ou un serveur peut ne pas identifier l’attaquant derrière une intrusion, a déclaré Jain.
Les cyberentreprises y participeront-elles ?
Les arguments commerciaux en faveur de la participation sont une autre question ouverte.
« Je ne vois pas l’intérêt financier pour une cyber-entreprise à grande capitalisation d’assumer des risques », a déclaré Ong. L’accès à l’infrastructure adverse pourrait offrir une valeur en matière de renseignement, mais Ong a déclaré que les informations ne se traduisent pas nécessairement en matériel pouvant être utilisé pour l’ingénierie de détection ou pour des flux de menaces commerciales.
