Trump legt cloudproviders identificatie- en bewaarplicht op

President Trump bepaalt in dit formele bevel dat er aanvullende stappen genomen moeten worden tegen nationale noodtoestanden door grote, kwaadaardige cyber-acties tegen de Verenigde Staten. Het gaat bijvoorbeeld om aanvallen, sabotage-acties en vormen van spionage die door ICT worden gefaciliteerd. Deze cyber-enabled activiteiten van buitenlands herkomst zijn onder president Barack Obama in 2015 al in een 'executive order' benoemd. Daarbij mogen bezittingen van personen achter of betrokken bij vijandige cyber-activiteiten worden bevroren of in beslag genomen.

ID-controle en bewaarplicht

Het presidentiële bevel op de valreep van Trumps ambtsperiode gaat een stap verder. Het richt zich op gebruik van Amerikaanse cloudcapaciteit, specifiek IaaS (infrastructure-as-a-service), om cyberaanvallen, cybersabotage of cyberspionage uit te voeren. Het ministerie van Handel krijgt hiermee de opdracht om regels op te stellen voor cloudproviders om de identiteit van buitenlandse klanten met kwaadaardige activiteiten te identificeren, en om daar dan actie tegen te ondernemen.

"Buitenlandse, kwaadaardige cyber-actoren zijn er op uit om de economie van de Verenigde Staten schade toe te brengen door de diefstal van intellectueel eigendom en gevoelige gegevens, en om onze nationale veiligheid te bedreigen door kritieke infrastructuur van de Verenigde Staten op de korrel te nemen voor kwaadaardige, cyber-enabled activiteiten", aldus de nieuwe executive order.

De regering Trump wil dat de VS zich ervan verzekerd dat cloudaanbieders de identiteit van IaaS-gebruikende klanten controleren én dat ze een administratie daarvan bijhouden. Dit moet helpen om de diverse digitale bedreigingen aan te pakken, om buitenlandse hackers te weren voor gebruik van Amerikaanse IaaS-producten, én om te helpen bij onderzoek naar security-incidenten naderhand.

Vervalsing en informatiedeling

Security-experts reageren online al sceptisch. Kwaadwillenden zouden namelijk met vervalste identificatiegegevens alsnog hun IaaS-gebruik kunnen faciliteren. Gebruik van vervalste of gestolen documenten is niet nieuw voor cybercriminelen, tweet WannaCry-held en veroordeeld cybercrimineel Marcus Hutchins.

Naast de identificatieplicht en bewaarplicht daarvoor zet het bevel ook in op meer samenwerking tussen Amerikaanse IaaS-aanbieders. Zij zouden op vrijwillige basis meer informatie moeten delen om zo inspanningen tegen hackaanvallen te versterken. De impact van dit presidentiële bevel voor de cloud- en security-industrie zal waarschijnlijk fors zijn, meent security-expert Katie Nickels van Red Canary.

Update:

Vanwege de transisitie van het Amerikaanse presidentschap naar president Joe Biden is de hele website van het Witte Huis 'opzij gezet' voor officiële archivering. Links naar content uit het Trump-tijdperk werken vooralsnog niet meer, maar de Wayback Machine van het Internet Archive heeft ook deze executive order van Trump gearchiveerd.