Elkészült a NATO kibervédelmi kézikönyve
Elkészült a NATO kibervédelmi kézikönyve, amely a világon elsőként ad jogi kereteket az informatikai hadviseléshez. A dokumentum szerint egy számítógépes támadásra akár katonai erő bevetésével is lehet válaszolni.
Három év munkával elkészült a NATO kibervédelmi kézikönyve, amelyet az észt NATO Kibervédelmi Kiválósági Központ ("Co-operative Cyber Defence Centre of Excellence") munkatársai állítottak össze a Nemzetközi Vöröskereszt és az Egyesült Államok kibervédelmi parancsnokságának (US Cyber Command) közreműködésével. A KIbervédelmi Kiválósági Központot 2008-ban hozták létre, miután Észtország informatikai infrastruktúráját nagyszabású támadás érte, feltételezhetően Oroszországból - ez irányította rá a figyelmet először a "kibertérben" vívott harcra és annak lehetséges következményeire.
A genfi egyezmények átültetése a kibertérbe
A fizikai térben vívott háborúknak régóta megvannak a jogi keretei, a most létrehozott Tallinn Manual című dokumentum megpróbál jogi kereteket adni az informatikai hadviselésnek is a nemzetközi jogban már meglevő rendelkezések megfelelő vonatkoztatásával. "Mindenki úgy beszél a kibertérről mintha az a vadnyugat lenne, de valójában számos nemzetközi jogszabály van, ami a kibertérre is vonatkozik" - mondta a Guardian brit napilapnak Michael Schmitt professzor, a kézikönyet létrehozó húszfős csapat vezetője, a kiadvány vezető szerkesztője.
A kibervédelmi kézikönyv több mint 300 oldalon, 95 fő szabályra lebontva részletesen tárgyalja az informatikai hadviselés szabályait, többek között kitérve arra, hogy a hagyományos fegyveres konfliktusokhoz hasonlóan el kell kerülni a civil áldozatokat, ennek jegyében például tilos a civil célpontok, különösen kórházak, atomerőművek, vízierőművek vagy gátak támadása - ezt egyébként a genfi egyezmények most is tiltják a hadviselő felek számára. A kézikönyv szerzői szerint a fegyveres konfliktusra alkalmazott szabályt ugyanis a kibertérbe is át lehet ültetni.
"A Tallinn Manual nem más, mint a genfi egyezmények átültetése a kibertérbe" - mondta a HWSW-nek Krasznay Csaba, a HP informatikai biztonsági szakértője. "A dokumentum azonban akkor lesz igazán érdekes és releváns, ha az országok, főleg a nagyhatalmak is elfogadják és ratifikálják." Krasznay szerint erre reális esély látszik jelenleg, az Egyesült Államok és Kína közötti tárgyalásoknak például témája lesz az informatikai hadviselés és egy esetleges megállapodáshoz jó alapot szolgáltathat a Tallinn Manual.
A kiberhadviselés szabályai
A dokumentum egyik fontos megállapítása, hogy az informatikai térben vívott háború is háborúnak tekinthető, mégha nem is feltétlen jár fizikai fegyverek bevetésével. Egy országnak pedig jogában áll egy informatikai támadást fegyverekkel megtorolni, amennyiben a támadás során olyan veszteséget szenvedett el, amely egy fizikai fegyveres konfliktus veszteségeihez mérhető - ez könnyen elképzelhető, gondoljunk csak például a Stuxnet kártevőre, amely iráni uráncentrifugákat megrongált, azok működési paramétereinek módosításával. A Stuxnet feltételezések szerint az Egyesült Államokból és/vagy Izraelből származó, kimondottan Irán ellen fejlesztett kártevő - a Tallinn Manual szerint azonban "egyelőre nem ismert olyan nemzetközi fegyveres konfliktus, amelyet kizárólag a kibertérben vívtak meg".
Nyerd meg az 5 darab, 1000 eurós Craft konferenciajegy egyikét! A kétnapos, nemzetközi fejlesztői konferencia apropójából a HWSW kraftie nyereményjátékot indít.
Az informatikai eszközökkel egy országot támadó civilek (hacktivisták, terroristák) ellen is fel lehet lépni az irányelv szerint - azzal, hogy részt vesznek az informatikai támadásokban, elveszítik azt a védelmet, amely a civilekre vonatkozik. Ezáltal szélsőséges esetben akár egy informatikai vagy fizikai válaszcsapás célpontjává is válhatnak, amennyiben az általuk okozott kár nagysága ezt indokolja. Ugyanakkor azt is kimondja a dokumentum, hogy az informatikai támadások elrendelői és irányítói büntetőjogi felelősséggel tartoznak tetteikért, csakúgy mint egy fegyveres konfliktus esetén, és adott esetben háborús bűnökért felelősségre is vonhatók.
Az informatikai támadásoknál - legyen szó akár egy állam által koordinált cselekményről, akár hacktivizmusról - rendkívül nehéz annak bizonyítása, pontosan ki is a támadó. A kézikönyv szerint nem jelent elegendő bizonyítékot egy adott ország támadására, hogy az incidens eredete az adott állam valamelyik kormányzati rendszere, ez csupán azt jelenti, hogy az ország kapcsolatba hozható a támadással.
A Tallinn Manual nem egy hivatalos NATO dokumentum és nem is jogszabály, egyelőre csak irányelvek gyűjteménye, amelyet egyébként a Cambridge University Press adott ki. A dokumentum teljes egészében megtekinthető itt.