สหรัฐอนุญาตบริษัทเอกชนทำการโจมตีไซเบอร์เชิงรุกเพื่อต่อต้านอาชญากรรมดิจิทัล

สหรัฐอเมริกาได้เปิดตัวโครงการใหม่ที่อนุญาตให้บริษัทเอกชนผ่านการตรวจสอบสามารถดำเนินการโจมตีไซเบอร์เชิงรุกต่อกลุ่มอาชญากรรมทางดิจิทัลจากต่างประเทศได้โดยต้องได้รับการยอมรับและกำกับดูแลจากรัฐบาล โครงการนี้ถือเป็นการเปลี่ยนแนวคิดหลักของสหรัฐที่เคยจำกัดบทบาทไว้เพียงการป้องกันเท่านั้น และมีศักยภาพที่จะเปลี่ยนโฉมวิธีจัดการกับภัยคุกคามเช่น ransomware, การฉ้อโกงและอาชญากรรมไซเบอร์อื่น ๆ ที่ส่งผลกระทบต่อพลเมืองสหรัฐ

Overview

ในเดือนพฤษภาคม 2024 ประธานาธิบดีได้ลงลายมือชื่อรับรอง “memorandum” ฉบับใหม่ซึ่งกำหนดกรอบการทำงานของโครงการระดับชาติที่ให้บริษัทเอกชนที่ผ่านการคัดเลือกสามารถดำเนินการ offensive cyber operations ต่อกลุ่มอาชญากรรมไซเบอร์จากต่างประเทศได้ การดำเนินการทั้งหมดต้องอยู่ภายใต้คำสั่งและการควบคุมของหน่วยงานรัฐบาลกลาง เช่น Department of Homeland Security และ Office of the National Cyber Director

ตามรายงานของ TechCrunch โครงการนี้มีเป้าหมายหลักเพื่อสร้าง “กำลังรบไซเบอร์” ที่รวดเร็วและยืดหยุ่นกว่าแบบเดิม ซึ่งส่วนใหญ่พึ่งพาแค่การป้องกันและการตอบโต้ภายในขอบเขตของรัฐ การเปิดให้เอกชนเข้ามามีบทบาทเชิงรุกนั้นอาจช่วยลดระยะเวลาที่ต้องใช้ในการระบุและทำลายฐานข้อมูลหรือเซิร์ฟเวอร์ที่เป็นศูนย์กลางของกลุ่มอาชญากรรม

อย่างไรก็ตาม โครงการนี้ยังคงอยู่ในขั้นตอนการจัดตั้งระบบตรวจสอบความปลอดภัยและการกำกับดูแลที่เข้มข้น เพื่อป้องกันไม่ให้มีการใช้พลังงานไซเบอร์โดยไม่ได้รับอนุญาตหรือเกิดผลกระทบต่อโครงสร้างพื้นฐานของประเทศอื่นโดยไม่จำเป็น

Program Details

บริษัทที่จะเข้าร่วมต้องผ่านขั้นตอนคัดเลือกอย่างละเอียดรวมถึงการตรวจสอบประวัติด้านความปลอดภัยและเทคนิคการทำงานตามมาตรฐานสากล หลังจากได้รับการรับรองแล้ว บริษัทจะต้องจัดตั้ง “escrow fund” ขั้นต่ำ $1 million** เพื่อเป็นหลักประกันต่อความเสียหายที่อาจเกิดขึ้นจากการดำเนินการโจมตี

• **Escrow fund: อย่างน้อย $1 million ต่อโครงการ
• **Approval process: ต้องได้รับอนุมัติจากหน่วยงานรัฐบาลก่อนเริ่มภารกิจทุกครั้ง
• **Supervision: การทำงานต้องอยู่ภายใต้การตรวจสอบแบบเรียลไทม์ของเจ้าหน้าที่รัฐ

เงื่อนไขเหล่านี้ออกแบบมาเพื่อให้แน่ใจว่าบริษัทเอกชนจะไม่กระทำการเกินขอบเขตที่กำหนด และหากมีความเสียหายเกิดขึ้น การชำระค่าเสียหายใน escrow fund จะเป็นส่วนหนึ่งของการจัดการความรับผิด

นอกจากนี้ โครงการยังเปิดโอกาสให้บริษัทสามารถดำเนิน “surveillance” หรือการสอดแนมเชิงไซเบอร์ต่อเป้าหมายที่สงสัยว่าเป็นกลุ่มอาชญากรรม รวมถึงการทำลายหรือบั่นทอนระบบของพวกเขาโดยตรง ทั้งนี้ต้องได้รับคำสั่งเฉพาะจากรัฐบาลก่อน

Legal & Operational Framework

กฎหมายด้านความปลอดภัยไซเบอร์ของสหรัฐ เช่น Computer Fraud and Abuse Act (CFAA) และ International Emergency Economic Powers Act (IEEPA) จะเป็นฐานการบังคับใช้หลักเกณฑ์ในการดำเนินโครงการนี้ การอนุมัติแต่ละครั้งจะต้องผ่านขั้นตอนตรวจสอบที่รวมถึงการประเมินผลกระทบต่อความเป็นส่วนตัวและสิทธิมนุษยชน

ตามข้อมูลของรัฐบาล สถานะ “vetted private companies” จะต้องปฏิบัติตามมาตรฐาน NIST Cybersecurity Framework อย่างเคร่งครัด และให้รายงานผลการดำเนินการทุกขั้นตอนต่อหน่วยงานที่รับผิดชอบเพื่อเป็นหลักฐานว่าการโจมตีถูกใช้เพื่อ “mitigate” ความเสี่ยงต่อพลเมืองสหรัฐเท่านั้น

ระบบกำกับดูแลนี้ยังรวมถึงการตรวจสอบหลังการปฏิบัติงาน (post‑operation review) เพื่อประเมินความสำเร็จของภารกิจและผลกระทบที่อาจเกิดขึ้นต่อโครงสร้างพื้นฐานของประเทศเป้าหมาย การละเมิดข้อกำหนดใด ๆ จะส่งผลให้บริษัทต้องรับผิดชอบทางกฎหมาย รวมถึงการสูญเสีย escrow fund และการห้ามเข้าร่วมโครงการในอนาคต

Expected Impact

ผู้สังเกตุการณ์ด้านความปลอดภัยไซเบอร์คาดว่า โครงการนี้อาจทำให้ ransomware ที่มุ่งเป้าไปยังองค์กรและบุคคลในสหรัฐลดลงอย่างมีนัยสำคัญ เนื่องจากกลุ่มอาชญากรรมจะเผชิญกับการตอบโต้ที่เร็วและแม่นยำมากขึ้น

การเปิดใช้งานกำลังรบไซเบอร์เชิงรุกยังช่วยให้หน่วยงานรัฐสามารถ “disrupt” โครงสร้างของเครือข่ายอาชญากรรมได้โดยไม่ต้องพึ่งพาการสืบสวนระยะยาว ซึ่งตามประวัติศาสตร์แล้วการดำเนินคดีต่อกลุ่มเหล่านี้มักใช้เวลานานหลายปีและผลลัพธ์ไม่น่าเชื่อถือ

อย่างไรก็ตาม ผลกระทบด้านกฎหมายระหว่างประเทศอาจเป็นอีกหนึ่งปัจจัยสำคัญ เนื่องจากการทำลายระบบขององค์กรในต่างประเทศอาจถูกตีความว่าเป็นการโจมตีทางไซเบอร์ที่ละเมิด Norms of State Behavior ทำให้สหรัฐต้องเตรียมพร้อมรับมือกับการโต้ตอบทางการทูตหรือแม้กระทั่งมาตรการคว่ำบาตรต่อผู้กระทำผิด

Criticisms & Concerns

กลุ่มนักวิชาการและองค์กรสิทธิมนุษยชนได้แสดงความกังวลเกี่ยวกับการมอบอำนาจเชิงรุกให้แก่บริษัทเอกชน โดยเฉพาะเรื่อง oversight และ accountability ที่อาจไม่เพียงพอในกรณีที่เกิดข้อผิดพลาดหรือการใช้กำลังเกินขอบเขต

บางสื่อรายงานว่า แม้จะมี escrow fund แต่ก็ยังไม่มีการระบุวิธีการประเมินค่าเสียหายอย่างละเอียด และกระบวนการ “approval” ของรัฐบาลอาจถูกเร่งรีบในสถานการณ์ฉุกเฉิน ทำให้เกิดความเสี่ยงต่อ collateral damage ต่อระบบคอมพิวเตอร์ขององค์กรพลเมืองที่ไม่ได้เกี่ยวข้อง

นอกจากนี้ การเปิดใช้งานโครงการนี้ยังทำให้เกิดการเปรียบเทียบกับแนวทาง “cyber mercenaries” หรือนักรบไซเบอร์รับจ้าง ที่อาจกระตุ้นการแข่งขันในตลาดการทหารไซเบอร์ระหว่างประเทศ ซึ่งอาจนำไปสู่การขยายตัวของอาวุธไซเบอร์ที่ไม่ได้ควบคุมอย่างเป็นระบบ

Summary

โครงการใหม่ของรัฐบาลสหรัฐที่ให้บริษัทเอกชนดำเนินการโจมตีเชิงรุกต่อกลุ่มอาชญากรรมไซเบอร์จากต่างประเทศ ถือเป็นการเปลี่ยนแปลงสำคัญในแนวทางความปลอดภัยไซเบอร์ โดยต้องผ่านการอนุมัติและกำกับดูแลของรัฐอย่างเคร่งครัด แม้จะมีศักยภาพในการลดภัย ransomware แต่ก็ยังต้องเผชิญกับข้อกังวลด้านกฎหมายระหว่างประเทศและการควบคุมความรับผิดชอบของผู้ดำเนินการ.