政府と契約した民間企業に、侵入と破壊の2作戦を許可
覚書が組み上げたのは、連邦政府が企業と契約を結んで監督した上で、CE-TCOに対する2種類のサイバー作戦を民間に実行させる枠組みである。相手のシステムへ侵入して情報を集めるサイバー監視作戦（Cyber Surveillance Operations）と、相手のシステム自体を妨害したり破壊したりするサイバー効果作戦（Cyber Effects Operations）が、その2種類にあたる。
覚書はCE-TCOを、アメリカ政府やアメリカの個人・法人、あるいはアメリカの利益に対して、サイバー空間を使った犯罪を働く外国の集団と定義する。ただし、外国政府の一部門にあたる組織や、外国政府から指示を受けて丸ごと動いている組織は除かれる。CE-TCOをこう限定したのは、参加企業の照準を犯罪組織へ絞り込み、国家間の紛争から遠ざけるためと見える。
プログラムの運営役は、移民取り締まり用に作られた国家調整センター
プログラムを作り、運営し、維持する役目を負うのは国家調整センター（NCC）である。トランプ政権が当初、移民法の執行のために設けた組織だ。厳格な審査を経てプログラムに受け入れられた企業は、司法省または国土安全保障省と契約を結び、その指示を受けて2種類の作戦を行う権限を得る。
サイバー監視作戦は、相手に気づかれないまま情報や機密を集めるもので、対象の情報システムへ権限なく入り込むことを伴う。サイバー効果作戦は、情報システムやネットワーク、情報システムに制御されたインフラを「改変、妨害、機能停止、性能低下、破壊」へ追い込む。
脅威情報は州や先住民部族からも届き、作戦は企業側が提案
プログラムに加わった企業は、他の民間事業者に加えて、連邦、州、地方自治体、先住民部族、準州の各機関からも脅威に関する情報を受け取れる。集めた情報をもとに、NCCへ作戦を提案することもできる。
覚書は、プログラムをCFAAに沿って実施すると明記した。同法には、法律上認められた捜査、保護、情報収集の活動には適用しないという除外規定がある。企業は政府の統制と監督を受けて動く以上、除外規定の範囲に収まる。覚書はそう言外に示している。
標的を決めるのは政府だが、議会への通知も承認も要らない
一部の論者は、この覚書がサイバー版の私掠免許状や私掠船を認めるものだと評した。私掠免許状とは、国家が民間の船に敵国船への攻撃と拿捕を認めた歴史上の許可証を指す。だが、私掠免許状になぞらえる読み方は当たらない。合衆国憲法第1条第8節が私掠免許状を出す権限を認めているのは議会であって、大統領ではない。プログラムに参加する企業は作戦を提案できるものの、標的を自分で選ぶことはできず、動くには連邦政府との契約と書面の承認が要る。
さらに覚書には、議会への通知も議会の承認も見当たらない。報告義務として定められているのは、国土安全保障担当大統領補佐官と国家サイバー長官に宛てたものだけだ。イランでの作戦をめぐってすでに議論を抱える連邦議会では、立法府を通さないこの仕組みが警戒を呼ぶ可能性が高い。
全作戦に政府の書面承認が必要、保証金は1.59億円以上を課せる
覚書には、民間企業が法にかなった形で、政府の指示に沿って動くようにするための重要な歯止めが置かれている。サイバー作戦の実施案は1件ごとに、国土安全保障省と司法省がそれぞれ指名した運営責任者が書面で承認し、指示を出さなければならない。責任者は、「死亡または重傷を招く可能性が高い」作戦と、「国際法上の武力の行使または武力攻撃の水準に達する」作戦を承認できない。
プログラムで行われる活動はすべて、合衆国憲法、国際法、アメリカ国内法に従う必要がある。アメリカの個人や法人へ向けた活動と、アメリカが負う法的義務に関わる活動には、さらに別の承認が要る。司法省と国土安全保障省は、参加企業に最低100万ドル（約1億5900万円）の保証金または預託金を積ませることもでき、契約に反した企業からは没収する。
