الولايات المتحدة تُسند القرصنة الهجومية إلى القطاع الخاص. تحديد الهدف هو العقبة

تبدو المذكرة الرئاسية وكأنها تقسيم عمل واضح: الحكومة تضع القواعد، وشركات الأمن السيبراني الخاصة تنفّذ القرصنة. لكن في الممارسة العملية، يمنح البرنامج تلك الشركات سلطة مراقبة الشبكات الإجرامية الأجنبية وتعطيلها، ويطلب منها إصدار حكم استهداف يقول باحثو الأمن إنه غالبًا مستحيل.

البرنامج، الذي كانت بلومبرغ أول من نشره وفصّلته The Verge، يصف الشركات الخاصة بأنها «غير مستغلّة بالقدر الكافي» في مكافحة الشبكات الإجرامية. وتنص المذكرة الرئاسية على أن «سياسة الولايات المتحدة هي استخدام جميع أدوات القوة الوطنية، بما في ذلك القدرات المبتكرة للقطاع الخاص، لمكافحة الجرائم السيبرانية».

ما الذي تأذن به المذكرة فعليًا

تعمل الشركات التي تنضم إلى البرنامج «تحت سيطرة وإشراف» الحكومة الفيدرالية، مع إذن بمراقبة الشبكات الإجرامية وتعطيلها. وتشرف عليها وزارتا العدل والأمن الداخلي، ويجب على الشركات اجتياز متطلبات التدقيق التي تغطي «الكفاءة التقنية، والأداء المثبت في العمليات السيبرانية، وأمن المنشآت»، وغير ذلك.

الضمان المالي الاحتياطي هو سند أو ضمان ائتماني لا يقل عن مليون دولار، تخسره الشركات إذا فشلت في الامتثال للاتفاق التعاقدي. كما ترسم المذكرة حدًا للأهداف: لا يجوز للشركات اختراق سوى الجماعات التي «ليست جزءًا مؤسسيًا من حكومة أجنبية ولا تُدار بالكامل بتوجيه من حكومة أجنبية».

المتطلب	ما تنص عليه المذكرة
الإشراف	وزارتا العدل والأمن الداخلي؛ تعمل الشركات «تحت سيطرة وإشراف» الحكومة الفيدرالية
الأهلية	«الكفاءة التقنية، والأداء المثبت في العمليات السيبرانية، وأمن المنشآت»، وغير ذلك
الضمان المالي	سند أو ضمان ائتماني لا يقل عن مليون دولار، يُصادَر في حال عدم الامتثال
حدود الأهداف	الجماعات التي ليست «جزءًا مؤسسيًا من حكومة أجنبية ولا تُدار بالكامل بتوجيه من حكومة أجنبية»

مشكلة الإسناد التي لا تحلّها المذكرة

يبدو حد الأهداف هذا وكأنه حاجز حماية. لكن تطبيقه مسألة أخرى. تشير Cybersecurity Dive، التي أثارت القضية بعد ظهور المذكرة، إلى أن تحديد الجماعات الإجرامية المرتبطة بحكومات أجنبية غالبًا ما يكون صعبًا، وأن أي تقدير خاطئ قد يعرّض الشركات لخطر إشعال صراعات جيوسياسية أو قانونية.

يشرح بن بيرنشتاين، مدير فريق مستشاري الأمن السيبراني في Huntress، سبب انهيار هذا التمييز عمليًا. يقول بيرنشتاين: «لا يطلق المهاجمون هجماتهم من خوادم مصنّفة في موسكو؛ بل يمررون حركة المرور عبر بنية تحتية مخترقة وبريئة، مثل موجه ضعيف في عيادة أسنان في أوهايو أو شبكة مستشفى. وهذا يجعل "الرد" مستحيلًا عمليًا دون القضاء على أبرياء عابرين».

السياسة المصممة لضرب المجرمين هي، عمليًا، سياسة لضرب بنية تحتية لا تعود إلى أحد بعينه.

المخاطر القانونية والشخصية على المشغّلين الأميركيين

الأشخاص الذين ينفذون العمل يتحملون مخاطر لا يمحوها عقد فيدرالي. قال جايسون هيلي، الباحث البارز في النزاعات السيبرانية في جامعة كولومبيا، لـ Cybersecurity Dive إن «أي شخص ينفذ هذه العمليات يفعل ذلك وهو معرّض لمخاطرة قانونية شخصية كبيرة».

قال جيك ويليامز، نائب رئيس البحث والتطوير في Hunter Strategy، لـ TechCrunch، كما نقلت The Verge، إن «الأميركيين المشاركين في هذه العمليات يمكن بسهولة تصنيفهم كمقاتلين غير نظاميين أثناء سفرهم إلى الخارج».

هذا التصنيف له ثقل حقيقي. المقاتل غير النظامي لا يحصل على الحمايات التي يحصل عليها الجندي. في ولاية قضائية أجنبية، لا يمكن لمقاول اخترق الشبكة الخطأ أن يعتمد على الحصانة السيادية. عبارة «السيطرة والإشراف» الواردة في المذكرة هي بالتحديد الخط الذي سيُختبر إذا أخطأت عملية ما.

السند يعمل بالطريقة نفسها. إنه موجود لإبقاء الشركات ملتزمة، لكنه يعني أيضًا أن أول ضربة مالية في أي عملية فاشلة تقع على الشركة، لا على الحكومة.

من احتكار الدولة إلى خصخصة العمليات الهجومية السيبرانية

يُنهي هذا التحول ترتيبًا طويل الأمد. كانت الحكومة الأميركية تنفذ عملياتها السيبرانية بنفسها سابقًا بدلًا من الاعتماد على أطراف ثالثة، وبدأ الرئيس دونالد ترامب في وضع خطط لإدخال شركات الأمن السيبراني الخاصة إلى الصورة العام الماضي، وفقًا لبلومبرغ.

إن الاستعانة بمصادر خارجية للقرصنة الهجومية ليست مثل الاستعانة بمصادر خارجية لأعمال حكومية أخرى. فالقرارات الحاسمة تحدث عبر الحدود، مع إسناد نادرًا ما يكون نظيفًا وعواقب يصعب احتواؤها. تحذير Cybersecurity Dive بشأن الصراعات الجيوسياسية ليس افتراضيًا: فهو يصف ما يحدث عندما تهبط شركة خاصة، تطارد شبكة إجرامية، على بنية تحتية تعتبرها حكومة أجنبية ملكًا لها.

البرنامج رهان على أن الحكومة قادرة على تدقيق الشركات والإشراف عليها، بينما تراهن تلك الشركات هي نفسها بمليون دولار وبحرية موظفيها على مسألة الاستهداف. لا تشرح المذكرة كيف ستجعل الحكومة هذا السؤال قابلاً للإجابة. إنها تكتفي بوصف القطاع الخاص بأنه «غير مستغل بالقدر الكافي». الفجوة بين الطموح والآليات هي حيث ستعيش هذه السياسة أو تموت.