Как регулировать кибероружие?

Не пришла ли пора считать кибератаки чем-то вроде неконвенционального оружия массового поражения? Об этом на страницах Project Syndicate размышляет Джозеф Най (Joseph S. Nye), профессор Гарвардского университета, бывший помощник министра обороны США и экс-глава Национального агентства по разведке США.

Ряд событий последних лет, как то российское кибервмешательство в президентские выборы в США, анонимные кибератаки на энергосистемы Украины в 2015-м и вирус Stuxnet, уничтоживший тысячу иранских центрифуг, поддали жару в дискуссии о войне в киберпространстве. На февральской конференции по безопасности в Мюнхене министр иностранных дел Голландии Берт Кундерс анонсировал создание новой неправительственной глобальной комиссии по стабильности в киберпространстве — в поддержку Группе правительственных экспертов ООН (она же ГПЭ — GGE).

Отчёты ГПЭ в 2010, 2013 и 2015 годах помогли сформулировать повестку переговоров по кибербезопасности, а последний из них установил список норм, принятых Генеральной Ассамблеей ООН. Но при всем её первоначальном успехе у ГПЭ были серьёзные ограничения. Её члены — скорее советники Генерального секретаря ООН, нежели полноценные представители своих государств. Даже при том, что количество членов группы было увеличено с 15 до 25, большинство стран, очевидно, оказались вне её.

Но главный вопрос не в этом. Главный вопрос – а могут ли вообще установленные группой правила по-настоящему ограничивать агрессивную деятельность государств?

Большинство экспертов согласны, что глобальный договор по киберпространству сейчас политически невозможен (хотя Россия и Китай и продвигали такие инициативы в ООН). Однако же за пределами формальных договоров есть ещё и принятые нормы поведения, неформальные кодексы и просто общие ожидания от того, как должна вести себя страна, будучи членом какой-либо группы (то есть общих правил). Масштаб этих ограничений может быть разным — от глобальных и многовекторных до двусторонних. Что нам по этому поводу говорит история?

В первое десятилетие после Хиросимы тактическое ядерное оружие воспринималось во всём мире как «нормальное». Американская военная машина включила в свои ряды ядерную артиллерию, ядерные наземные мины и даже ядерные установки ПВО. В 1954 и 1955 годах глава Объединённого комитета начальников штабов рекомендовал президенту Дуайту Эйзенхауэру использовать ядерное оружие для защиты вьетнамского Дьенбьенфу и островов возле Тайваня. Эйзенхауэр отказался.

Со временем сама возможность использования ядерного оружия была переосмыслена — появилось неписаное правило не прибегать к нему. Нобелевский лауреат по экономике Томас Шеллинг утверждал, что появление этого правила — самое важное, что происходило за последние 70 лет в сфере контроля над вооружениями, и что нельзя переоценить эффект, который оно оказало на международные отношения. Но с такими свежеиспечёнными ядерными государствами, как Северная Корея, сложно быть уверенными. Возможно, кто-то решит, что цена нарушения этого табу на фоне открывающихся возможностей не столь и велика.

Напомним, табу на боевое использование ядовитых газов было установлено после Первой мировой войны и, наряду с запретом биологического оружия, закреплено Женевскими соглашениями от 1925 года. Два договора 1970-х годов также запретили разработку и накопление таких видов оружия. То есть вредно стало не только их использовать, но и просто иметь.

Увы, процедуры проверки Конвенции по биологическому оружию слабы (и сводятся к отчетам перед Совбезом ООН), поэтому все эти запреты не помешали СССР и хранить, и разрабатывать подобные вооружения в тех же 1970-х. Аналогично Конвенция по химическому оружию не остановила ни Саддама Хуссейна, ни Башара Асада от его использования против своих собственных граждан.

Однако оба договора повлияли на то, как подобные действия воспринимал весь окружающий мир. Это восприятие выступило оправданием вторжения в Ирак в 2003-м и международного разбора большинства экземпляров сирийского оружия в 2014-м. С учетом того, что Конвенцию по биологическому оружию подписали 173 государства, разрабатывать его можно лишь в условиях строжайшей секретности. А огласка такой информации приведет к всеобщему международному осуждению.

Нормативные запреты могут также сработать и в отношении кибероружия. Хотя здесь разница между оружием и обычной программой зависит скорее от намерения того, кто ее использует, и будет сложно — да что там, просто невозможно — запретить разработку или обладание соответствующими компьютерными программами. В этом плане попытки предотвратить конфликты в киберпространстве не могут быть похожи на контроль над вооружениями времен Холодной войны с его сложными процедурами и тщательными протоколами контроля.

В случае кибербезопасности более разумным было бы установить табу не на «вооружения», а на цели. США продвигают постулат, что законы вооруженных конфликтов, запрещающие атаки на гражданские цели, касаются и атак в киберпространстве. Соответственно, с позиции Вашингтона, речь должна идти не о запрете на использование кибероружия первыми, а на запрет на его использование против гражданских объектов в мирное время.

Такой подход разделяет и ГПЭ. Этот запрет может быть усилен профилактическими мерами, как то предварительное согласие стран на помощь компьютерным группам реагирования на чрезвычайные ситуации и невмешательство в их работу.

Соответственно, и отчёт ГПЭ от июля 2015 года сосредоточен на ограничениях атак на гражданские цели, а не на каких-то конкретных запретах. В сентябре 2015 года президент США Барак Обама и председатель КНР Си Цзиньпин в рамках встречи согласились создать комиссию для изучения этого предложения. Впоследствии отчёт был также поддержан лидерами Большой двадцатки и передан в Генассамблею ООН.

Атака на энергосети Украины произошла уже после публикации отчёта — в декабре 2015 года. А в 2016 году Россия атаковала защищённую гражданскую инфраструктуру — избирательную систему США. Так что разработка методов противодействия киберагрессии явно идёт недостаточно быстро.

Перевод Виктора Трегубова