19-ENE-2021 Trump Emite Orden Ejecutiva Emergencia Contra Malos Actores Cibernéticos

Orden Ejecutiva firmada hoy por el Presidente Trump que regula y obliga a los proveedores de servicios de almacenamiento de datos, servidores, hosting en los EEUU a reportar toda la información con respecto a malos actores extranjeros que cometan crímenes utilizando infraestructura informática en los EEUU.

¿Tendrá esto algo que ver con la historia del servidor de correo electrónico de Hillary?

Orden ejecutiva sobre la adopción de medidas adicionales para abordar la emergencia nacional con respecto a actividades maliciosas habilitadas por medios cibernéticos

Emitida el: 19 de enero del 2021

Por la autoridad que me confieren como presidente la Constitución y las leyes de los Estados Unidos de América, incluida la Ley de poderes económicos de emergencia internacional (50 USC 1701 et seq.) (IEEPA), la Ley de emergencias nacionales (50 USC 1601 et seq. .) (NEA), y la sección 301 del título 3, Código de los Estados Unidos:

Yo, DONALD J. TRUMP, Presidente de los Estados Unidos de América, considero que se deben tomar medidas adicionales para hacer frente a la emergencia nacional relacionada con actividades cibernéticas maliciosas significativas declaradas en la Orden Ejecutiva 13694 del 1 de abril del 2015 (Bloqueo de la propiedad de determinadas personas que participan en actividades cibernéticas maliciosas significativas), según enmendada, para abordar el uso de productos de Infraestructura de los Estados Unidos como Servicio (IaaS por sus siglas en inglés) por parte de ciber-actores maliciosos extranjeros. Los productos IaaS brindan a las personas la capacidad de ejecutar software y almacenar datos en servidores que se ofrecen en alquiler o arrendamiento sin responsabilidad por el mantenimiento y los costos operativos de esos servidores. Los ciber actores extranjeros maliciosos tienen como objetivo dañar la economía de los Estados Unidos a través del robo de propiedad intelectual y datos confidenciales y amenazar la seguridad nacional al atacar la infraestructura crítica de los Estados Unidos para actividades maliciosas habilitadas en el ciberespacio. Los actores extranjeros utilizan los productos IaaS de los Estados Unidos para una variedad de tareas en la realización de actividades maliciosas cibernéticas, lo que hace que sea extremadamente difícil para los funcionarios de los Estados Unidos rastrear y obtener información a través de un proceso legal antes de que estos actores extranjeros hagan la transición a la infraestructura de reemplazo y destruyan la evidencia de sus actividades anteriores; Los revendedores extranjeros de productos IaaS de los Estados Unidos facilitan que los actores extranjeros accedan a estos productos y eviten la detección. Esta orden otorga autoridad para imponer obligaciones de mantenimiento de registros con respecto a transacciones extranjeras. Para enfrentar estas amenazas, disuadir el uso de productos IaaS de los Estados Unidos por parte de ciber-actores maliciosos extranjeros y ayudar en la investigación de transacciones que involucren a ciber-actores maliciosos extranjeros, los Estados Unidos deben asegurarse de que los proveedores que ofrecen productos de IaaS estadounidenses verifiquen la identidad de las personas. obtener una cuenta IaaS (“Cuenta”) para el suministro de estos productos y mantener registros de esas transacciones. En circunstancias apropiadas, para proteger aún más contra actividades maliciosas habilitadas por el sistema cibernético, Estados Unidos también debe limitar el acceso de ciertos actores extranjeros a los productos IaaS estadounidenses. Además, Estados Unidos debe fomentar una cooperación más sólida entre los proveedores de IaaS de los Estados Unidos, incluso aumentando el intercambio voluntario de información, para reforzar los esfuerzos para frustrar las acciones de los ciber actores extranjeros maliciosos.

En consecuencia, por la presente ordeno:

Sección 1. Verificación de identidad. Dentro de los 180 días posteriores a la fecha de esta orden, el Secretario de Comercio (Secretario) propondrá para notificación y comentarios las regulaciones que requieren que los proveedores de IaaS de los Estados Unidos verifiquen la identidad de una persona extranjera que obtenga una Cuenta. Estos reglamentos deberán, como mínimo:

(A) evidencia de que los actores cibernéticos maliciosos extranjeros han obtenido productos IaaS de los Estados Unidos de personas que ofrecen productos IaaS de los Estados Unidos en esa jurisdicción extranjera, incluido si dichos actores obtuvieron dichos productos IaaS a través de Cuentas de revendedor;

(B) la medida en que esa jurisdicción extranjera es una fuente de actividades cibernéticas maliciosas; y

(C) Si los Estados Unidos tienen un tratado de asistencia legal mutua con esa jurisdicción extranjera, y la experiencia de los funcionarios encargados de hacer cumplir la ley y los funcionarios reguladores de los Estados Unidos en la obtención de información sobre actividades que involucran productos IaaS de los Estados Unidos que se originan o se envían a través de dicha jurisdicción extranjera; y

(ii) Factores relacionados con una persona extranjera en particular, incluidos:

(A) la medida en que una persona extranjera utiliza los productos IaaS de los Estados Unidos para realizar, facilitar o promover actividades maliciosas habilitadas por Internet;

(B) la medida en que los productos IaaS de los Estados Unidos ofrecidos por una persona extranjera se utilizan para facilitar o promover actividades maliciosas habilitadas para cibernética;

(C) la medida en que los productos IaaS de los Estados Unidos ofrecidos por una persona extranjera se utilizan para fines comerciales legítimos en la jurisdicción; y

(D) la medida en que las acciones que no sean la imposición de medidas especiales de conformidad con la subsección (d) de esta sección son suficientes, con respecto a las transacciones que involucran a la persona extranjera que ofrece productos IaaS de los Estados Unidos, para protegerse contra actividades maliciosas habilitadas por el sistema cibernético.

(c) Al seleccionar qué medida o medidas especiales tomar conforme a esta sección, el Secretario considerará:

(i) si la imposición de alguna medida especial crearía una desventaja competitiva significativa, incluido cualquier costo o carga indebidos asociados con el cumplimiento, para los proveedores de IaaS de los Estados Unidos;

(ii) la medida en que la imposición de cualquier medida especial o el momento de la medida especial tendría un efecto adverso significativo en las actividades comerciales legítimas que involucren a la jurisdicción extranjera en particular o a la persona extranjera; y

(iii) el efecto de cualquier medida especial sobre la seguridad nacional, las investigaciones policiales o la política exterior de los Estados Unidos.

(d) Las medidas especiales a que se refieren los incisos (a), (b) y

(c) de esta sección son los siguientes:

(i) Prohibiciones o condiciones en cuentas dentro de ciertas jurisdicciones extranjeras: El Secretario puede prohibir o imponer condiciones sobre la apertura o mantenimiento con cualquier proveedor de IaaS de Estados Unidos sobre una Cuenta, incluida una Cuenta de revendedor, por cualquier persona extranjera ubicada en una jurisdicción extranjera que se encuentre tiene un número significativo de personas extranjeras que ofrezcan productos IaaS de los Estados Unidos utilizados para actividades maliciosas habilitadas para cibernética, o por cualquier proveedor de IaaS de los Estados Unidos para o en nombre de una persona extranjera; y

(ii) Prohibiciones o condiciones para ciertas personas extranjeras: el Secretario puede prohibir o imponer condiciones sobre la apertura o mantenimiento en los Estados Unidos de una Cuenta, incluida una Cuenta de revendedor, por cualquier proveedor de IaaS de los Estados Unidos para o en nombre de una persona extranjera. , si dicha Cuenta involucra a cualquier persona extranjera que ofrezca productos IaaS de los Estados Unidos utilizados en actividades cibernéticas maliciosas o que obtenga directamente productos IaaS de los Estados Unidos para su uso en actividades cibernéticas maliciosas.

(e) El Secretario no impondrá requisitos para que los proveedores de IaaS de los Estados Unidos tomen cualquiera de las medidas especiales descritas en la subsección (d) de esta sección antes de los 180 días posteriores a la emisión de los reglamentos finales descritos en la sección 1 de esta orden.

Sección 3. Recomendaciones para esfuerzos cooperativos para disuadir el abuso de productos IaaS de Estados Unidos. (a) Dentro de los 120 días siguientes a la fecha de esta orden, el Fiscal General y el Secretario de Seguridad Nacional, en coordinación con el Secretario y, según lo consideren apropiado el Fiscal General y el Secretario de Seguridad Nacional, los jefes de otras agencias, deberán involucrar y solicitar comentarios de la industria sobre cómo aumentar el intercambio de información y la colaboración entre los proveedores de IaaS y entre los proveedores de IaaS y las agencias para informar las recomendaciones bajo la subsección (b) de esta sección.

(b) Dentro de los 240 días siguientes a la fecha de esta orden, el Procurador General y el Secretario de Seguridad Nacional, en coordinación con el Secretario y, según lo consideren apropiado el Procurador General y el Secretario de Seguridad Nacional, los jefes de otras agencias, deberán elaborar y presentar al presidente un informe que contenga recomendaciones para fomentar:

(i) intercambio voluntario de información y colaboración entre proveedores de IaaS de Estados Unidos; y

(ii) el intercambio de información entre los proveedores de IaaS de los Estados Unidos y las agencias correspondientes, incluida la notificación de incidentes, delitos y otras amenazas a la seguridad nacional, con el fin de prevenir un daño mayor a los Estados Unidos.

(c) El informe y las recomendaciones provistas bajo la subsección (b) de esta sección considerarán los mecanismos existentes para tal intercambio y colaboración, incluyendo la Ley de Intercambio de Información sobre Ciberseguridad (6 USC 1503 et seq.), e identificará cualquier brecha en la ley actual, política o procedimientos. El informe también incluirá:

(i) información relacionada con las operaciones de actores cibernéticos maliciosos extranjeros, los medios por los cuales dichos actores usan productos IaaS dentro de los Estados Unidos, capacidades maliciosas y técnicas comerciales, y la medida en que las personas en los Estados Unidos están comprometidas o involuntariamente involucradas en tal actividad;

(ii) recomendaciones para protecciones de responsabilidad más allá de las de la ley existente que puedan ser necesarias para alentar a los proveedores de IaaS de los Estados Unidos a compartir información entre ellos y con el gobierno de los Estados Unidos; y

(iii) recomendaciones para facilitar la detección e identificación de Cuentas y actividades que involucren ciberatactores maliciosos extranjeros.

Sección 4. Asegurar recursos suficientes para la implementación. El Secretario, en consulta con los jefes de las agencias que el Secretario considere apropiado, identificará los requisitos de financiamiento para apoyar los esfuerzos descritos en esta orden e incorporará dichos requisitos en sus presentaciones presupuestarias anuales a la Oficina de Gerencia y Presupuesto.

Sección 5. Definiciones. A los efectos de esta orden, se aplican las siguientes definiciones:

(a) El término “entidad” significa una sociedad, asociación, fideicomiso, empresa conjunta, corporación, grupo, subgrupo u otra organización;

(b) El término “jurisdicción extranjera” significa cualquier país, territorio subnacional o región, distintos de los sujetos a la jurisdicción civil o militar de los Estados Unidos, en el que cualquier persona o grupo de personas ejerce autoridad soberana de facto o de jure. , incluido cualquier país, territorio subnacional o región en el que una persona o grupo de personas asuma ejercer autoridad gubernamental, ya sea que dicha persona o grupo de personas haya sido reconocido o no por los Estados Unidos;

(c) El término “persona extranjera” significa una persona que no es una persona de los Estados Unidos;

(d) El término “Infraestructura como cuenta de servicio” o “Cuenta” significa una relación comercial formal establecida para proporcionar productos IaaS a una persona en la que se registran los detalles de dichas transacciones.

(e) El término “Infraestructura como producto de servicio” significa cualquier producto o servicio ofrecido a un consumidor, incluidas las ofertas complementarias o de “prueba”, que proporcionan procesamiento, almacenamiento, redes u otros recursos informáticos fundamentales, y con los que el consumidor es capaz de implementar y ejecutar software que no está predefinido, incluidos los sistemas operativos y aplicaciones. El consumidor generalmente no administra ni controla la mayor parte del hardware subyacente, pero tiene control sobre los sistemas operativos, el almacenamiento y cualquier aplicación implementada. El término incluye productos o servicios “administrados”, en los que el proveedor es responsable de algunos aspectos de la configuración o mantenimiento del sistema, y ​​productos o servicios “no administrados”, en los que el proveedor solo es responsable de garantizar que el producto esté disponible para el consumidor. El término también incluye productos y servicios “virtualizados”, en los que los recursos informáticos de una máquina física se dividen entre computadoras virtualizadas accesibles a través de Internet (por ejemplo, “servidores privados virtuales”) y productos o servicios “dedicados” en los que los recursos informáticos totales de una máquina física se proporcionan a una sola persona (por ejemplo, servidores “bare-metal”);

(f) El término “actividades cibernéticas maliciosas” se refiere a actividades, distintas de las autorizadas por o de conformidad con la ley de los Estados Unidos, que buscan comprometer o dañar la confidencialidad, integridad o disponibilidad de sistemas informáticos, de información o de comunicaciones. redes, infraestructura física o virtual controlada por computadoras o sistemas de información, o información residente en ellos;

(g) El término “persona” significa un individuo o entidad;

(h) El término “Cuenta de revendedor” significa una infraestructura como Cuenta de Servicio establecida para proporcionar productos IaaS a una persona que luego ofrecerá esos productos posteriormente, en su totalidad o en parte, a un tercero.

(i) El término “Infraestructura de los Estados Unidos como Producto de Servicio” significa Infraestructura como cualquier Producto de Servicio que sea propiedad de cualquier persona de los Estados Unidos u operado dentro del territorio de los Estados Unidos de América;

(j) El término “Infraestructura de los Estados Unidos como Proveedor de Servicios” significa cualquier Persona de los Estados Unidos que ofrece cualquier Infraestructura como Producto de Servicio;

(k) El término “persona de los Estados Unidos” significa cualquier ciudadano de los Estados Unidos, residente permanente legal de los Estados Unidos según lo define la Ley de Inmigración y Nacionalidad, entidad organizada bajo las leyes de los Estados Unidos o cualquier jurisdicción dentro de los Estados Unidos (incluyendo sucursales extranjeras), o cualquier persona ubicada en los Estados Unidos;

Sección 6. Modificación de las autorizaciones de informes. La Sección (9) de la Orden Ejecutiva 13694, como está enmendada, se enmienda adicionalmente para que se lea como sigue:

“Sección 9. Se autoriza al Secretario de Hacienda, en consulta con el Secretario de Estado, el Procurador General y el Secretario de Comercio a presentar al Congreso los informes recurrentes y finales sobre la emergencia nacional declarada en esta orden, de conformidad con sección 401(c) de la NEA (50 USC 1641(c)) y sección 204(c) de IEEPA (50 USC 1703(c)) “.

Sección 7. Disposiciones generales. (a) El Secretario, en consulta con los jefes de otras agencias que el Secretario considere apropiado, está autorizado a tomar tales acciones, incluyendo la promulgación de reglas y reglamentos, y emplear todos los poderes otorgados al Presidente por IEEPA según sea necesario, para llevar a cabo los propósitos de este pedido. El Secretario puede volver a delegar cualquiera de estas funciones a otros funcionarios dentro del Departamento de Comercio, de conformidad con la ley aplicable. Se ordena a todos los departamentos y agencias del Gobierno de los Estados Unidos que tomen todas las medidas apropiadas dentro de su autoridad para llevar a cabo las disposiciones de esta orden.

(b) Nada en esta orden se interpretará en el sentido de menoscabar o afectar:

(i) la autoridad otorgada por ley a un departamento o agencia ejecutiva, o al jefe de la misma; o

(ii) las funciones del Director de la Oficina de Gerencia y Presupuesto relacionadas con propuestas presupuestarias, administrativas o legislativas.

(c) Esta orden se implementará de conformidad con la ley aplicable y sujeta a la disponibilidad de asignaciones.

(d) Nada en esta orden prohíbe o restringe de otra manera la inteligencia autorizada, el ejército, la aplicación de la ley u otras actividades en el fomento de la seguridad nacional o las actividades de seguridad pública.

(e) Esta orden no tiene la intención de, ni crea, ningún derecho o beneficio, sustantivo o procesal, exigible por ley o en equidad por cualquier parte contra los Estados Unidos, sus departamentos, agencias o entidades, sus funcionarios, empleados, agentes o cualquier otra persona.

DONALD J. TRUMP

Fuente: https://www.whitehouse.gov/presidential-actions/executive-order-taking-additional-steps-address-national-emergency-respect-significant-malicious-cyber-enabled-activities/