Polityka i prawo
Międzynarodowy Czerwony Krzyż o aspektach humanitarnych cyberataków
Cyberataki i ich skutki są elementem współczesnego świata. Operacje w cyberprzestrzeni – m.in. WannaCry, NotPetya lub działania wymierzone w sieci elektroenergetyczne na Ukrainie – wpłynęły na dostarczanie podstawowych usług dla ludności cywilnej i podkreśliły ich podatność na tego typu ataki. W wyniku obrad w gronie eksperckim Międzynarodowy Czerwony Krzyż opracował raport na temat aspektów humanitarnych operacji w cyberprzestrzeni.
Wykorzystanie cyberataków w dzisiejszym konflikcie zbrojnym
W raporcie opublikowanym przez Międzynarodowy Czerwony Krzyż (MCK) podkreślono, że coraz więcej państw rozwija wojskowe zdolności w zakresie cyberprzestrzeni. Zwrócono również uwagę na istnienie innych podmiotów wykorzystujących wirtualną sieć dla swoich celów. Eksperci wyraźnie stwierdzili, że cyberataki służą jako broń nowej generacji, która jest wymierzona w inne państwa.
Operacje w cyberprzestrzeni w ramach konfliktów zbrojnych nie występują w próżni. W grudniu ubiegłego roku Zgromadzenie Ogólne potwierdziło, że prawo międzynarodowe, a w szczególności Karta Narodów Zjednoczonych, ma zastosowanie i jest niezbędne dla utrzymania pokoju i stabilności, również w przestrzeni wirtualnej.
Potencjalne ludzkie koszty związane z operacjami w cyberprzestrzeni
W raporcie eksperci skupili się przede wszystkim na możliwości wywołania konkretnych „efektów” będących efektem działań prowadzonych w cyberprzestrzeni. Specjaliści zbadali ryzyko dotyczące możliwości spowodowania śmierci, obrażeń, uszkodzeń fizycznych jednostek lub wpływ na dostarczanie podstawowych usług, w tym usług internetowych.
Według raportu sektor opieki zdrowotnej jest wyjątkowo wrażliwy, ponieważ stawką jest ludzkie życie. Służba zdrowia staje się coraz bardziej zdigitalizowana, a urządzenia medyczne są połączone z systemami informatycznymi szpitali. Urządzenia biomedyczne - takie jak rozruszniki serca czy pompy insulinowe - są coraz częściej podłączane do Internetu, aby umożliwić ich zdalne monitorowanie. Te postępy technologiczne pociągają za sobą wyraźne korzyści, ale także ryzyko. Jak wskazują eksperci liczba luk w zabezpieczeniach i potencjalny punkt wejścia szkodliwego oprogramowania zwiększa się proporcjonalnie do zwiększonej cyfryzacji.
Kolejnym sektorem, który został wyróżniony w raporcie jest przemysł. MCK podkreśla, że cyberataki wymierzone w przemysłowe systemy kontroli (ICS) mają specyficzny charakter. W wyniku tego typu działań może dość do fizycznego uszkodzenia urządzeń w zakładzie przemysłowym, utratę życia pracowników lub ich obrażeń. Omawiając całą problematykę specjaliści powołali się na wirus Stuxnet z 2010 roku oraz cyberatak na niemiecką hutę w 2014 roku. Od tego czasu obserwowano rozwój grup zdolnych do przeprowadzania ataków na ICS i infrastrukturę krytyczną.
Zastosowanie międzynarodowego prawa humanitarnego w cyberprzestrzeni
Zdaniem MCK wiele operacji w cyberprzestrzeni stanowiłoby naruszenie międzynarodowego prawa humanitarnego (MPH), gdyby zostało przeprowadzone w konfliktach zbrojnych. Złośliwe oprogramowanie nie rozprzestrzenia się automatycznie przez przypadek, a niektóre ataki wymagają niestandardowego podejścia do ich realizacji. Nie oznacza to, że były one zgodne z prawem. W związku z tym MCK zachęca do zmiany powszechnych regulacji prawnych.
W jaki sposób zmniejszyć ludzkie koszty cyberataków?
Raport MCK wskazuje na kilka możliwości, które należy przeanalizować, aby w ten sposób wdrożyć rozwiązania, które zmniejszą ludzkie koszty operacji w cyberprzestrzeni.
Kluczową kwestią w tym zakresie jest możliwość technicznego przekształcenia złośliwego oprogramowania lub jego przebudowania. Jest to powszechnie stosowana metoda, również przez sektor wojskowy. Aktorzy, którzy nie posiadają specjalistycznej wiedzy na temat samodzielnego opracowywania szkodliwych narzędzi, mogą zmienić narzędzia opracowane przez bardziej zaawansowane podmioty. Jest to spotęgowane przez fakt, że po użyciu (lub kradzieży, bądź wycieku) narzędzia cyfrowe są potencjalnie dostępne dla innych podmiotów, działających w cyberprzestrzeni na całym świecie.
Prawo międzynarodowe nie zabrania ponownego wykorzystywania narzędzi cyfrowych. Aktor, który używa złośliwego oprogramowania - niezależnie od tego, czy go opracował, zmodyfikował, czy przeprojektował - jest odpowiedzialny za naruszenie zasad prawa międzynarodowego. Raport MCK wskazuje, że obecnie nie ma regulacji nakładającej odpowiedzialność na podmiot, który pierwotnie opracował złośliwe oprogramowanie.
Kolejną drogą, jaką wskazuje MCK w raporcie w celu zmniejszenia kosztów cyberataków jest ujawnianie luk w oprogramowaniu lub systemach. Jednak państwa zdają się być na to nie gotowe. Odpowiedzialne ujawnianie informacji i procesy dotyczące kapitału własnego były również wspierane przez Zgromadzenie Ogólne ONZ.
Źródło: Icrc.org
