A Casa Branca alterou drasticamente sua política de segurança cibernética, emitindo um memorando presidencial que autoriza empresas privadas a lançar ciberataques contra grupos de hackers. A medida reverte a posição anterior do governo, que proibia tais ações sem aprovação judicial.
A lógica é "usar todos os instrumentos de poder nacional, incluindo as capacidades inovadoras do setor privado", segundo o documento. Contudo, ao terceirizar a ofensiva digital, a administração Biden abre uma caixa de Pandora de ambiguidades legais e riscos operacionais, sem oferecer um escudo claro para as empresas que entrarem nesse campo de batalha.
Um escudo legal em branco
A principal vantagem de envolver o setor privado é a visibilidade. Empresas como Google e Microsoft, cujas infraestruturas são o alvo e o meio para ataques, detectam ameaças antes de qualquer agência governamental. A nova política busca capitalizar essa agilidade.
O problema, apontam especialistas, é a ausência de proteção. O memorando não diz nada sobre a responsabilidade legal caso um funcionário seja preso por um governo estrangeiro. "A autorização dos EUA não apaga magicamente as leis de outro país", alertou Eric O'Neill, ex-agente do FBI, à Fast Company. Sem um amparo explícito do Congresso, as empresas e seus colaboradores assumem todo o risco.
Mais rápido ou mais burocrático?
Outra promessa da medida, a agilidade, também é questionável. O novo processo exige que cada operação receba aprovação por escrito de diretores dos departamentos de Justiça e de Segurança Interna. "Isso não é mais rápido que um processo interagencial. É um, com um contratado anexado", observa Rob T. Lee, do SANS Institute, em análise para a publicação.
Além da burocracia, há o risco de "fogo amigo". Uma empresa pode desmantelar um servidor de ransomware sem saber que ele está sendo monitorado pelo FBI ou pela NSA para uma investigação maior. A ação tática de uma companhia privada poderia, inadvertidamente, sabotar uma estratégia de inteligência de longo prazo, um risco que o memorando não endereça.
Ao convocar o setor privado para a linha de frente da guerra cibernética, a Casa Branca borra a fronteira entre defesa corporativa e ato de guerra digital. A questão em aberto é se um arcabouço regulatório, ainda em construção, conseguirá governar a agilidade do setor privado sem criar mais instabilidade do que segurança.
Com reportagem de Brazil Valley
Source · Fast Company
