Олег Демидов - Глобальное управление Интернетом и безопасность в сфере использования ИКТ: Ключевые вызовы для мирового сообщества
Отдельно стоит подчеркнуть нерешенность проблемы идентификации субъектов неправомерных действий с использованием ИКТ и достоверной атрибуции этих действий. Технические сложности атрибуции в условиях развития доктрин активной обороны в ИКТ-среде также могут способствовать развязыванию и эскалации международных конфликтов.
• Атаки на ИКТ-инфраструктуру Эстонии в 2007 г., информационные сети госорганов и частного сектора Грузии в 2008 г., а также на финансовые учреждения и предприятия частного сектора США весной 2014 г. (кампания Energetic Bear, ПО Dragonfly) устойчиво приписываются России рядом государств, включая страны НАТО, в отсутствие надежных технических данных, позволяющих установить такую связь.
• В случае молниеносной сетевой атаки, имитирующей «почерк» русскоязычных злоумышленников (например, производные от кириллицы фрагменты кода), на критическую инфраструктуру стран – членов НАТО с использованием серверов, расположенных на территории России, возникает риск военного ответа НАТО против России. В соответствии с принятой альянсом доктриной ответные меры могут включать использование кинетических вооружений, а также участие в ответном ударе всех стран блока, что в теории влечет риск международного конфликта с участием ядерных государств. Ключевым фактором такого риска является как раз невозможность достоверной атрибуции атак в ИКТ-среде в короткие сроки, которыми принимающие решения лица располагают при угрозе объектам критической инфраструктуры.
УгрозаРазвитие международных конфликтов в результате операций в информационных сетях, а также применения кинетических вооружений в ответ на подобные операции уже в среднесрочной перспективе (до 2020 г.).
Проблемы и перспективы адаптации международно-правовой системы в контексте адаптации к военно-политическим вызовам ИКТ
Ключевая проблема нынешней ситуации состоит прежде всего в отсутствии на международном уровне механизмов предупреждения и сдерживания описанных выше конфликтов. Современная система международного права фактически не адаптирована к вызовам и угрозам использования ИКТ в военно-политических целях.
В частности, существуют следующие ключевые проблемы:
• Использование ИКТ в военно-оборонительных целях не охвачено какой-либо системой международных договоров, конвенций и иных соглашений. В качестве условных аналогий следует отметить международные соглашения, которые регулируют вопросы разработки и применения оружия массового уничтожения (Договор о нераспространении ядерного оружия 1967 г., Конвенцию о запрещении химического оружия 1993 г., Конвенцию о запрещении разработки, производства и накопления запасов бактериологического (биологического) и токсинного оружия и об их уничтожении (КБТО) от 1972 г. и проч.), договоры об ограничении отдельных видов вооружений, Договор о ликвидации ракет средней и меньшей дальности (РСМД) от 1987 г. (серию Договоров о сокращении стратегических наступательных вооружений (СНВ-I, CHB-II, CHB-III)), а также соглашения по обычным вооружениям (Договор об обычных вооруженных силах в Европе от 1990 г., Конвенцию о бесчеловечных видах оружия ООН от 1983 г. и проч.).
• Как следствие, отсутствуют международные организации, которые вели бы контроль и мониторинг деятельности государств в части использования ИКТ в военно-политических целях, а также осуществляли верификацию в части соблюдения ограничений в этой сфере. Несмотря на то что идея «МАГАТЭ для киберпространства» неоднократно высказывалась представителями различных организаций и стран (включая главу «Лаборатории Касперского» Е.В. Касперского), пока движение в этой области отсутствует.
• Одной из наиболее острых сторон проблемы является тот факт, что даже существующий корпус норм международного права, регулирующих конфликты и войны вне зависимости от типов используемого оружия, не может по умолчанию применяться к сфере ИКТ в силу ее технологических особенностей. Речь идет о нормах международного гуманитарного права (jus in bello) и права вооруженного конфликта (jus ad bellum), которые кодифицированы в таких актах, как Гаагская конвенция 1899 г., Гаагская конвенция 1907 г., Женевская конвенция 1928 г., Женевские конвенции I–IV 1949 г., а также Дополнительные протоколы I–III 1977, 1997 и 2005 гг. к Женевским конвенциям I–IV. Возможность применения указанных документов к вопросам использования ИКТ в военно-политических целях требует единообразной, юридически закрепленной международной интерпретации. Выработка такой интерпретации с учетом отмеченных негативных тенденций в сфере международной безопасности в части наращивания военно-политического потенциала ИКТ видится одним из возможных приоритетов для мирового сообщества на ближайшие годы.
В настоящее время международная дискуссия по этим вопросам развивается в русле двух различных подходов.
Первый подход предполагает признание достаточности существующего корпуса норм международного права (прежде всего jus in bello и jus ad bellum) для регулирования сферы использования ИКТ в военно-политических целях при условии их адекватной интерпретации и адаптации к специфике ИКТ-среды. Из этой посылки вытекает отсутствие потребности в разработке и принятии каких-либо новых юридически обязательных международных актов, регулирующих данную проблематику.
Этот подход получил развитие в рамках проекта группы экспертов из стран – членов НАТО, проведенный в 2011–2013 гг. на площадке Таллинского центра киберобороны (CCD COE). Его результатом стало так называемое Таллинское руководство по применению международного права в условиях конфликтов в киберпространстве, опубликованное весной 2013 г. Несмотря на изначально неофициальный характер документа, решения, принятые на саммите НАТО в Уэльсе в 2014 г., фактически следуют некоторым из ключевых выводов авторов документа и, таким образом, означают институционализацию наработок экспертов CCD COE в рамках политики крупнейшего в мире военно-политического блока.
В числе ключевых заключений авторов Таллинского руководства:
• признание ответственности государств за действия акторов-посредников в киберпространстве;
• применимость международно-правового запрета на применение силы к кибероперациям. В отсутствие разработанного определения критерием использования силы признается «нанесение ущерба здоровью людей или повреждение имущества» в результате кибероперации;
• осуществление государством киберопераций в чьих-либо сетях делает это государство легитимной целью для ответных операций в его сетях;
• государство, которое стало жертвой «вооруженного нападения с использованием ИКТ», имеет право ответить применением силы, будь то средства ИКТ или кинетические вооружения. Вооруженным нападением считаются действия, которые повлекли гибель людей или масштабное разрушение имущества;
• конфликт, который разворачивается исключительно в среде ИКТ, при определенных условиях может быть признан вооруженным конфликтом в терминологии международного гуманитарного права (МГП). Соответственно, отдельные категории его участников приобретают статус комбатантов;
• если гражданские лица участвуют в осуществлении киберопераций во время конфликта с использованием ИКТ, они становятся легитимными целями для ответных мер.
Ключевая особенность данного подхода состоит в том, что он не имеет цели запретить использование ИКТ в военно-политических целях, а лишь помогает выработать правила такой деятельности в соответствии с корпусом норм МГП и права вооруженного конфликта.
С 2014 г. экспертами Центра CCD COE готовится второе издание Таллинского руководства, которое планируется опубликовать в 2016 г. Новая версия документа в том числе должна учесть опыт дискуссий вокруг первого издания руководства и дать более четкие ответы на те вопросы, которые авторы документа не смогли разрешить в 2013 г. В числе таких вопросов – возможность применения и адаптации международного гуманитарного права и других международно-правовых норм в условиях мирного времени. Речь идет о ситуациях, когда кибероперации и другие инциденты с использованием ИКТ не пересекают порога применения силы и тем более вооруженного нападения по смыслу Устава ООН, однако все же могут нуждаться в той или иной международно-правовой квалификации. Один из гипотетических, но реалистичных примеров такого инцидента – кибератака, инициированная государством, актором-посредником или негосударственным актором, которая вызывает критический сбой в работе крупной международной биржи или национальной банковской системы, например за счет необратимого повреждения или удаления электронных данных о совершенных финансовых транзакциях. Человеческие жертвы и физическое разрушение инфраструктуры в этом примере отсутствуют, но экономике пострадавшего государства (или глобальной финансовой системы в целом) может быть нанесен серьезный ущерб. Например, в случае успешной атаки на Нью-Йоркскую фондовую биржу банковская система и экономика США могут потерять многие миллиарды, если не триллионы долларов. Как квалифицировать подобную атаку, наносящую прямой ущерб национальным интересам США? В первом издании Таллинского руководства эксперты пришли к тому, что подобные атаки не могут считаться применением силы по смыслу Устава ООН. Новый документ Таллинского центра НАТО должен дать более подробный ответ на этот и многие другие подобные вопросы. Стоит также отметить, что добровольная политическая норма о ненападении на объекты финансового, в том числе банковского, сектора, в 2014 г. была внесена в повестку обсуждений ГПЭ ООН 4-го созыва по инициативе российских представителей, однако в итоговый доклад группы так и не вошла.
