دونالد ترامپ، رئیس‌جمهور وقت، در تاریخ ۱۲ اوت یک یادداشت ریاست‌جمهوری را امضا کرد که اولین برنامه ایالات متحده را پایه‌گذاری می‌کند. این برنامه به شرکت‌های خصوصی تأییدشده اجازه می‌دهد تا عملیات سایبری تهاجمی، از جمله حملاتی که داده‌ها و سیستم‌ها را از بین می‌برند، علیه سازمان‌های جرایم سایبری خارجی انجام دهند. شرکت‌های شرکت‌کننده باید حداقل ۱ میلیون دلار به عنوان وثیقه سپرده‌گذاری کنند که در صورت نقض قوانین برنامه ضبط خواهد شد، و هر عملیات نیازمند تأیید کتبی از مقامات وزارت دادگستری و وزارت امنیت داخلی است. تنها چند ماه پیش، دولت علناً این سیاست را رد کرده بود.

در ماه مارس، توماس لیند، مشاور ارشد وقت در دفتر مدیر ملی سایبری، در کنفرانسی اعلام کرد که دولت هیچ برنامه‌ای برای مجوز دادن به عملیات تهاجمی خصوصی ندارد. لیند گفت: «ما علاقه‌ای به مبارزه با دزدان دریایی با دزدان دریایی نداریم.» شان کراس، مدیر ملی سایبری، در همان هفته گفت که شرکت‌هایی که کمپین‌های تهاجمی را اجرا می‌کنند، منظور دولت از درخواست کمک بیشتر از صنعت نبوده‌اند.

این یادداشت دو دسته فعالیت را مجاز می‌داند: «عملیات نظارت سایبری»، به معنای دسترسی غیرمجاز به سیستم‌های خارجی برای جمع‌آوری اطلاعات در حالی که ناشناس باقی می‌مانند، و «عملیات تأثیرات سایبری»، به معنای اخلال یا تخریب سیستم‌ها و داده‌های موجود در آن‌ها. یک مرکز هماهنگی ملی این برنامه را مدیریت می‌کند، دستورالعمل‌های اجرایی ظرف ۶۰ روز ارائه خواهد شد، و قوانین واجد شرایط بودن هم شرکت‌های بزرگ و هم شرکت‌های کوچک‌تر مناسب برای وظایف تخصصی را شامل می‌شود. هر شرکتی که ناخواسته به یک فرد آمریکایی یا سیستمی در خاک ایالات متحده آسیب برساند، باید فوراً عملیات را متوقف کرده و به دولت اطلاع دهد.

یک گروه خارجی تحت این یادداشت به عنوان هدف واجد شرایط است، مگر اینکه «اطلاعات واضحی» وجود داشته باشد که نشان دهد آن گروه به طور نهادی بخشی از یک دولت خارجی است یا کاملاً تحت هدایت آن عمل می‌کند. گروه‌های باج‌افزاری که با تحمل دولت اما بدون کنترل رسمی دولتی فعالیت می‌کنند – توصیفی که برای بخش زیادی از اکوسیستم باج‌افزاری مستقر در روسیه صدق می‌کند – به خوبی در محدوده هدف قرار می‌گیرند. مدیران وزارت دادگستری و وزارت امنیت داخلی نمی‌توانند عملیاتی را تأیید کنند که احتمالاً منجر به از دست دادن جان یا تبدیل شدن به یک حمله مسلحانه تحت قوانین بین‌المللی شود.

این یادداشت از ممنوعیت چنین عملیاتی خودداری می‌کند، و اختیار تأیید آن‌ها در یک پیوست طبقه‌بندی‌شده قرار دارد. شرکت‌های شرکت‌کننده همچنین می‌توانند قراردادهای تجاری با سایر شرکت‌های خصوصی و با آژانس‌های ایالتی و محلی امضا کنند تا داده‌های تهدید را دریافت کرده و عملیات را بر اساس آن پیشنهاد دهند.

جیک ویلیامز، معاون تحقیق و توسعه در شرکت امنیت سایبری هانتر استراتژی، به تک‌کرانچ گفت که آمریکایی‌های درگیر در این عملیات «به راحتی می‌توانند در حین سفر به خارج از کشور به عنوان مبارزان غیرنظامی طبقه‌بندی شوند.» این یادداشت پس از حملات سایبری مشکوک ایران به تأمین‌کنندگان آب در ۴۵ شهرداری ایالات متحده و هشدار CISA در مورد هکرهای ایرانی که کنترل‌کننده‌های منطقی قابل برنامه‌ریزی در شرکت‌های آب و انرژی را هدف قرار می‌دهند، صادر شده است، اگرچه هکرهای تحت هدایت دولت خارج از تعریف خود برنامه از یک هدف معتبر قرار می‌گیرند.

کنگره در لایحه بودجه سال گذشته ۱ میلیارد دلار برای عملیات سایبری تهاجمی اختصاص داد، و گوگل در اوت سال گذشته اعلام کرد که در حال آماده‌سازی برای شرکت در اقدامات مخرب علیه مجرمان سایبری است.