Trump cho phép công ty an ninh mạng tư nhân được 'đánh trả' tin tặc

Tổng thống Mỹ Donald Trump đã ký một bản ghi nhớ cho phép các cơ quan chính phủ được ký hợp đồng với các công ty an ninh mạng tư nhân để thực hiện các chiến dịch chống lại các tổ chức tội phạm mạng xuyên quốc gia (CE-TCOs). Các công ty tham gia có thể hỗ trợ các chiến dịch quốc gia nhằm vào tội phạm, bao gồm giám sát mạng và gây gián đoạn kỹ thuật đối với hệ thống của chúng.

Chi tiết chương trình 'Cyber Effects Operations'

Bản ghi nhớ được ký hôm thứ Tư xác nhận chiến lược đã được hé lộ trước đó trong năm nay. Theo đó, các công ty tư nhân có thể tham gia vào các hoạt động được mô tả là "Cyber Effects Operations" — bao gồm các hành động gây ra "thao túng, gián đoạn, từ chối, suy giảm hoặc phá hủy các hệ thống thông tin, mạng lưới, cơ sở hạ tầng vật lý hoặc ảo được kiểm soát bởi hệ thống thông tin, hoặc thông tin cư trú trên đó."

Dù bản ghi nhớ phân biệt rõ giữa hoạt động tác chiến mạng và nhiệm vụ giám sát mạng, tài liệu này thừa nhận rằng hoạt động giám sát cũng sẽ gây ra một số gián đoạn hoặc thao túng hệ thống để có thể thực hiện việc theo dõi. Các hoạt động giám sát được thiết kế để thu thập thông tin tình báo, nhằm hỗ trợ cho việc theo dõi sâu hơn hoặc phục vụ cho các hoạt động tác chiến mạng sau này, với ý định không bị phát hiện.

Đối tượng bị nhắm đến và điều kiện tham gia

Trump mô tả CE-TCOs là "bất kỳ nhóm nước ngoài nào thực hiện tội phạm mạng chống lại Chính phủ Hoa Kỳ, một công dân Hoa Kỳ hoặc lợi ích của Hoa Kỳ." Điều quan trọng là định nghĩa này loại trừ các thực thể liên quan trực tiếp đến hoặc hoạt động hoàn toàn thay mặt cho chính phủ nước ngoài.

Các công ty tham gia sẽ trải qua quy trình kiểm tra nghiêm ngặt và phải tuân thủ các quy trình vận hành chặt chẽ. Các quy trình này sẽ được soạn thảo trong vòng 60 ngày và được ban hành bởi giám đốc điều hành chương trình làm việc cùng Hội đồng An ninh Nội địa.

Các công ty muốn tham gia phải chứng minh năng lực kỹ thuật để thực hiện các hoạt động được yêu cầu, và phải sẵn sàng chứng minh điều này hàng năm thông qua đánh giá định kỳ. Ban quản lý chương trình phải đảm bảo rằng các quy trình vận hành tạo cơ hội cho cả các tổ chức lớn có nguồn lực dồi dào lẫn "các công ty nhỏ hơn, linh hoạt hơn" có thể hữu ích cho các nhiệm vụ chuyên biệt hoặc rời rạc.

Rào cản pháp lý và các hạn chế

Bộ Tư pháp Mỹ sẽ đóng vai trò trong việc cấp phép cho các hoạt động, đặc biệt là những hoạt động nhắm vào công dân Mỹ hoặc gây ra các vấn đề pháp lý trong nước. Các công ty tham gia sẽ bị cấm thực hiện các hoạt động có thể dẫn đến "kết cục nghiêm trọng" — tức là các cuộc tấn công gây thiệt hại về người hoặc thương tích nghiêm trọng, hoặc có thể bị coi là tấn công vũ trang theo luật pháp quốc tế.

Ngoài ra, các công ty này phải duy trì một khoản trái phiếu hoặc ký quỹ tối thiểu 1 triệu USD, sẽ bị tịch thu nếu vi phạm các điều khoản hợp đồng.

Bối cảnh chiến lược và lo ngại pháp lý

Vào tháng 3, Nhà Trắng đã công bố tài liệu "Chiến lược Mạng của Tổng thống Trump cho nước Mỹ", hứa hẹn sẽ "giải phóng khu vực tư nhân bằng cách tạo ra các ưu đãi để xác định và làm gián đoạn các mạng lưới của đối phương và mở rộng năng lực quốc gia." Tài liệu này cũng tuyên bố: "Chúng ta sẽ tận dụng tài năng và sự khéo léo to lớn của cơ sở nghiên cứu khu vực tư nhân. Chúng ta sẽ thiết lập một mối quan hệ mới giữa khu vực công và tư để bảo vệ nước Mỹ trong thời bình và chiến tranh."

Thông báo này đã khiến các chuyên gia pháp lý và các tổ chức tư vấn cân nhắc về ý nghĩa của động thái này. Nhiều người đặt câu hỏi về cách thức triển khai lời hứa huy động khu vực tư nhân sẽ được thực hiện như thế nào. Một số giả định rằng các công ty tham gia sẽ hỗ trợ các hoạt động chống lại các quốc gia-dân tộc, nhưng chương trình cụ thể này lại loại trừ các thực thể hoạt động trực tiếp thay mặt cho chính phủ nước ngoài.

"Bất kỳ nỗ lực nào nhằm đưa khu vực tư nhân tham gia trực tiếp hơn vào các hoạt động tấn công mạng sẽ có khả năng yêu cầu các thay đổi pháp lý và quy định bổ sung trước khi có thể được thực hiện một cách có ý nghĩa." — Các chuyên gia từ công ty luật Skadden, Arps, Slate, Meagher & Flom nhận định.

Các luật sư của Jenner & Block lưu ý rằng một điều khoản của Đạo luật Lạm dụng Máy tính và Gian lận (CFAA) có thể hạn chế rủi ro cho các công ty tham gia. Mục 18 của Bộ luật Hoa Kỳ, § 1030(f), quy định CFAA không cấm các hoạt động điều tra, bảo vệ hoặc tình báo được ủy quyền hợp pháp của cơ quan chính phủ hoặc cơ quan tình báo Hoa Kỳ. Các công ty tham gia có thể được bảo vệ khi hoạt động theo hợp đồng và chỉ đạo của chính phủ, mặc dù chưa có tòa án nào xác định liệu quyền miễn trừ này có bao phủ các công ty tư nhân thực hiện công việc đó hay không.

"Chưa có tòa án nào giải quyết liệu ngoại lệ này có cung cấp sự bảo vệ nào cho các thực thể khu vực tư nhân tham gia thực hiện các hoạt động này thay mặt cho chính phủ Hoa Kỳ hay không, và nếu có thì trong những trường hợp nào." — Các luật sư tại Jenner & Block viết.

Điểm mấu chốt nằm ở chỗ: vì chính phủ Mỹ sẽ soạn thảo các quy trình và chỉ đạo sự tham gia của các công ty, công việc này có thể nằm trong phạm vi miễn trừ CFAA.

Tác động và triển vọng

Dù theo cách nào, việc Mỹ xây dựng chương trình hợp tác khu vực tư nhân này đại diện cho một sự thay đổi đáng kể trong chính sách an ninh mạng của nước này, và có thể là của các quốc gia khác trong tương lai. Như nhà nghiên cứu Gareth Mott thuộc Viện Dịch vụ Hoàng gia Anh (RUSI) chỉ ra, các đồng minh của Mỹ chắc chắn sẽ theo dõi sát sao sự thành công của chương trình khu vực tư nhân này, cũng như mức độ tham gia của các công ty mà nó tìm cách thu hút.

Đối với độc giả Việt Nam, diễn biến này là một tín hiệu quan trọng về xu hướng toàn cầu: các chính phủ ngày càng tìm cách tận dụng năng lực của khu vực tư nhân trong các hoạt động tấn công mạng có chủ đích, đồng thời đặt ra những câu hỏi lớn về khuôn khổ pháp lý, trách nhiệm giải trình và ranh giới giữa an ninh quốc gia và luật pháp quốc tế.