Le gouvernement américain a récemment publié un mémorandum présidentiel visant à élargir les capacités de lutte contre la cybercriminalité transnationale en impliquant des entreprises privées dans des opérations offensives.
Ce programme repose sur une interprétation inédite de l’exception d’application de la Computer Fraud and Abuse Act (CFAA) pour les activités des forces de l’ordre, en autorisant des sociétés privées à conduire des opérations cybernétiques sous la direction et la supervision gouvernementales. Cette démarche juridique est cependant inédite et n’a jamais été testée devant les tribunaux, posant des questions importantes quant à la validité et aux limites de ces actions.
Les entreprises désireuses de participer devront se soumettre à un processus de sélection rigoureux, comprenant un contrôle de sécurité des locaux et des personnels, et pourraient être tenues de déposer une caution financière d’au moins un million de dollars. En contrepartie, aucune rémunération ou incitation financière claire n’est prévue, ce qui pourrait freiner l’engagement des plus grands acteurs du secteur disposant déjà de capacités propres.
Le programme est placé sous l’autorité conjointe du département de la Justice et du ministère de la Sécurité intérieure, avec une validation des opérations nécessaire auprès de deux directeurs exécutifs. Les opérations ne pourront cibler directement des acteurs liés à des États, bien que la distinction soit complexe en raison des liens flous entre certains groupes criminels et gouvernements étrangers.
Cette initiative rappelle le concept historique des lettres de marque, des autorisations données à des corsaires pour agir en justice contre des ennemis, mais sans offrir les mécanismes de compensation et de gouvernance adaptés à la sphère cyber actuelle. La nature même de la cybersécurité rend difficile la rentabilisation par « prise » ou récompense similaire, rendant nécessaire un financement public pérenne.
Enfin, le risque d’escalade cybernétique est bien présent, mais il est déplacé vers le secteur privé, qui serait susceptible de subir des représailles sans disposer des protections et ressources de l’État. Cela renforce le besoin d’une indemnisation claire et d’un cadre juridique sécurisé.
En conclusion, cette initiative, bien que innovante sur le papier, soulève de nombreuses interrogations légales, opérationnelles et de gouvernance. Pour être efficace et attrayante, elle nécessiterait des évolutions législatives, notamment pour assurer la protection juridique des participants, clarifier leurs responsabilités et garantir un financement adéquat.
