Как будут формироваться новые нормы кибер-безопасности

В прошлом месяце Генеральный секретарь Организации Объединенных Наций Антониу Гутерреш призвал к глобальным мерам по минимизации риска, связанного с электронной войной, для гражданских лиц. Гутерреш сокрушался по поводу полного отсутствия «какого-либо механизма регулирования подобного рода военных действий», отмечая, что «неясно, каким образом к ним может быть применена Женевская конвенция или нормы международного гуманитарного права».

Всего десять лет назад кибер-безопасность как международная проблема не привлекала особого внимания. Однако, начиная с 2013 года она признана самой большой угрозой национальной безопасности Соединенных Штатов. Хотя точные цифры можно оспаривать и обсуждать, согласно базе данных об операциях в киберпространстве «Cyber Operations Tracker» Совета по международным отношениям США, начиная с 2005 года было зафиксировано почти 200 нападений (за которыми стояли правительства) со стороны 16 стран, включая 20 нападений только за 2016 год.

Термин «кибер-безопасность» относится к широкому кругу проблем, которые не вызывали сколько-нибудь серьезной озабоченности среди немногочисленного сообщества ученых и программистов, которые создавали Интернет в семидесятые и восьмидесятые годы прошлого столетия. В 1996 году доступ в Интернет имели всего 36 миллионов человек, что составляло менее 1 процента населения планеты. К началу 2017 года Интернетом пользовались более 3,7 миллиарда человек, или почти половина всего населения Земли.

По мере роста числа пользователей на рубеже тысячелетия, Интернет стал жизненно важным субстратом для экономической, социальной и политической деятельности. Вместе с тем, наряду с растущей взаимозависимостью и огромными экономическими возможностями, появились уязвимость и возникли угрозы безопасности. Некоторые эксперты прогнозируют, что к 2035 году, благодаря бурному развитию анализа больших данных, «интернета вещей» и машинного обучения, число интерне-подключений может вырасти почти до триллиона.

Количество потенциальных целей для кибер-атак, как со стороны частных лиц, так и государственных субъектов, резко возрастет и будет включать в себя практически все: начиная от систем управления промышленными предприятиями и заканчивая кардиостимуляторами и автономным транспортом.

Многие наблюдатели призывают к разработке правовых норм, которые будут регулировать эту новую среду. Но разработка таких стандартов в компьютерной сфере сопряжена с целым рядом сложных препятствий. Хотя закон Мура об удвоении вычислительной мощности каждые два года означает, что время в виртуальном пространстве движется быстро, человеческие привычки, нормы и практика государственного регулирования меняются значительно медленнее.

Для начала, учитывая, что интернет является транснациональной сетью сетей, большинство из которых находятся в частной собственности, большую роль играют негосударственные субъекты. Кибер-инструменты являются быстрыми, дешевыми и относятся к технологиям двойного применения. Кроме того, они нередко являются отрицаемыми, то есть проверка и установление авторства или подлинности крайне сложны, а входные барьеры при этом низкие.

Более того, хотя Интернет является транснациональным, инфраструктура (и люди), на которую она опирается, находится в юрисдикции различных суверенных государств. А крупные державы имеют различные национальные интересы: так, Россия и Китай подчеркивают важность государственного контроля, в то время как многие демократические страны выступают за более открытый Интернет.

Тем не менее, описание термина «www» как «wild west web», то есть «сеть дикого Запада» – не более чем карикатура. Некоторые нормы в кибер-пространстве все же существуют. Государствам потребовалось около двух десятков лет, чтобы достичь первых соглашений о сотрудничестве в целях предотвращения конфликтов в ядерную эпоху. Если отнести дату возникновения проблемы кибер-безопасности не к началу семидесятых годов, когда был создан Интернет, а к моменту резкого роста в конце девяностых, межправительственное сотрудничество в целях предотвращения конфликта в киберпространстве как раз приближается сейчас к двадцатилетней отметке.

В 1998 году Россия впервые предложила заключить договор в рамках ООН о запрете применения электронного и информационного оружия (в том числе в целях пропаганды). Вместе с Китаем и другими странами-членами Шанхайской организации сотрудничества, она продолжает добиваться всеобъемлющего договора на основе ООН. Соединенные Штаты по-прежнему считают, что исполнение такого договора невозможно будет проверить.

Вместо этого Генеральный секретарь ООН создал Группу правительственных экспертов (UNGGE), которая провела первое заседание в 2004 году, а к июлю 2015 года предложила ряд норм, которые впоследствии были одобрены Большой двадцаткой. Группы экспертов – обычная практика в рамках ООН, однако крайне редко случается так, что их работа поднимается из подвалов организации и достигает признания на саммите 20 самых влиятельных государств мира. Успех UNGGE был необычайным, но группе не удалось договориться по поводу следующего доклада в 2017 году.

Куда сегодня движется мир? Нормы могут предлагаться и разрабатываться различными субъектами правотворчества. Например, новая неправительственная Глобальная комиссия по стабильности в киберпространстве, возглавляемая бывшим министром иностранных дел Эстонии Мариной Кальюранд, выступила с призывом защитить публичное ядро интернета, включающее маршрутизацию, систему доменных имен, сертификаты доверия и критически важную инфраструктуру.

Между тем, китайское правительство, используя свою Всемирную интернет-конференцию в Вучжене, издало принципы, одобренные Шанхайской организацией сотрудничества, призвав к признанию права суверенных государств контролировать онлайн-контент на своей территории. Но это не должно вступать в противоречие с призывом защитить публичное ядро, которое относится скорее к подключению и взаимодействию, чем к содержанию материалов.

Другие субъекты нормотворчества включают компанию Microsoft, которая подала заявку на новую Женевскую конвенцию по вопросу об интернете. Не менее важной является разработка норм, касающихся защиты права на частную жизнь, безопасности шифрования, искоренения детской порнографии, разжигания ненависти, дезинформации и террористических угроз.

Поскольку страны-члены организации сейчас обдумывают следующие шаги в направлении развития норм кибер-безопасности, ответ может заключаться в том, что необходимо избежать чрезмерной нагрузки на какое-то одно учреждение, подобное группе UNGGE. Для достижения прогресса может потребоваться использование нескольких различных арен. В некоторых случаях, развитие принципов и практики среди стран-единомышленниц может привести к созданию норм, к которым остальные государства смогут присоединиться на более позднем этапе. Так, например, Китай и США достигли двустороннего соглашения о пресечении кибер-шпионажа в коммерческих целях. В других случаях, таких как нормы безопасности для «интернета вещей», частные субъекты, страховые компании и некоммерческие организации, могут сыграть ведущую роль в разработке кодексов поведения.

Несомненно, развитие норм кибер-безопасности будет длительным процессом. Однако, нельзя допустить, чтобы прогресс, достигнутый в определенных регионах, вынужден был дожидаться всеобщего признания.

Источник