La Casa Blanca autoriza a empresas privadas a ejecutar ciberataques de represalia contra grupos criminales extranjeros
Un memorando presidencial firmado el 12 de agosto crea el primer programa que permite a compañías verificadas realizar operaciones cibernéticas ofensivas, con depósito de garantía de US$1 millón y aprobación escrita del Departamento de Justicia.
El presidente Donald Trump firmó el 12 de agosto un memorando presidencial que crea el primer programa estadounidense que permite a compañías privadas verificadas realizar operaciones cibernéticas ofensivas contra grupos criminales extranjeros, incluida la destrucción de datos y sistemas.
Cómo funciona el programa
Las firmas que participen deben depositar al menos US$1 millón en garantía, monto que pierden si incumplen las reglas del programa. Cada operación requiere aprobación escrita del Departamento de Justicia y del Departamento de Seguridad Nacional antes de ejecutarse.
El memorando define dos categorías de actividad. Las "Cyber Surveillance Operations" cubren la recolección de inteligencia sobre infraestructura adversaria. Las "Cyber Effects Operations" habilitan la acción directa sobre sistemas ajenos. Un Centro Nacional de Coordinación gestionará ambas líneas, y la guía de implementación debe publicarse en 60 días.
La política representa un giro documentado. En marzo, Thomas Lind, entonces asesor sénior de la Oficina del Director Nacional Cibernético, había descartado públicamente este enfoque con la frase "no nos interesa combatir piratas con piratas".
El problema de la jurisdicción
La infraestructura de un grupo criminal rara vez está donde el grupo opera. Los servidores comprometidos que sirven de puente suelen estar alojados en terceros países, en centros de datos comerciales, sobre equipos que pertenecen a empresas legítimas que nunca supieron que fueron vulneradas.
Una operación ofensiva que destruya datos en esa cadena afecta activos en jurisdicciones que no participaron en la decisión ni fueron notificadas. La región del Caribe y Centroamérica concentra infraestructura de tránsito y hospedaje que encaja exactamente en ese perfil.
Qué revisar desde República Dominicana
Las empresas dominicanas con cargas de trabajo en nubes estadounidenses deberían anticipar preguntas de sus reguladores sobre responsabilidad y jurisdicción cuando la guía de implementación se publique. Dos puntos concretos: qué recurso legal existe si una operación autorizada afecta datos de clientes locales alojados en esa infraestructura, y qué obligación de notificación tendría el proveedor de nube frente a su cliente.
La respuesta no está en el memorando. Los próximos 60 días definirán si aparece en la guía de implementación o si queda como un vacío que cada contrato de servicio deberá resolver por su cuenta.