NATO faţă în faţă cu ameninţarea cibernetică - 19 minute pentru a reacţiona

Cu 30 de ani în urmă, la 2 noiembrie 1988, internetul a suferit primul atac major de securitate. Virusul MORRIS, chiar dacă nu avea un conţinut periculos şi nu a fost lansat cu intenţii distructive, a produs pagube însemnate blocând activitatea a 10% din serverele de internet existente la acea dată în SUA şi perturbând activitatea celorlalte. Chiar dacă, urmare a acestui incident, s-a creat pentru prima dată, o structură de răspuns la acest tip de acţiune (Computer Emergency Response Team/Coordination Center - CERT/CC), lumea nu a mai fost la fel.

Atacurile cibernetice majore, din aprilie 2007, din Estonia şi mai ales după octombrie 2010, când s-a descoperit malware-ul STUXNET, au făcut ca factorii de decizie din întreaga lume să realizeze că spaţiul cibernetic a devenit un areal nesigur, periculos şi care ar putea fi gestionat doar la nivel guvernamental. Un vandalism cibernetic, specific anilor ’90, transformat în deceniu al infracţionalităţii cibernetice în anii 2000, capătă valenţele specifice terorismului cibernetic iar, în ultima perioadă, pe cele ale războiului cibernetic. Utilizarea instrumentelor cibernetice pentru influenţarea proceselor electorale şi subminarea încrederii în procesului democratic, reprezintă deja atacuri la adresa democraţiei.

Cum „peisajul” ameninţărilor evoluează într-un ritm fără precedent cu fiecare atac cibernetic, supravieţuirea unei companii sau organizaţii poate fi pusă sub semnul întrebării. Referitor la performanţele celor mai importanţi actori naţionali şi globali în domeniul criminalităţii cibernetice, ultimul Raport de Ameninţare Globală, al companiei americane CrowdStrike, prezintă „fereastra critică” (timpul la dispoziţie pentru declanşarea contramăsurilor) dintre momentul în care un intrus compromite prima ţintă şi se poate deplasa către alte sisteme din reţea. Din această perspectivă, pe baza a peste 30.000 de încercări de penetrare a sistemelor cibernetice, ce au avut loc în anul 2018, a reieşit faptul că actorii naţionali ruşi sunt cei mai rapizi adversari, cu un timp mediu de breakout de 18:49 minute. Ei sunt urmaţi de cei nord-coreeni cu un timp de 2:20 ore, chinezi cu 4 ore, iranieni cu 5:10 ore şi de majoritate cu o medie de aproximativ 9:42 ore.

Agilitatea grupurilor ruseşti, de mult cunoscută, denotă faptul că ameninţarea din partea Rusiei rămâne neschimbată, ei fiind cei mai agresivi şi toleranţi la riscuri, deoarece au încălcat atât de multe norme internaţionale şi au avut de suferit atât de puţine repercusiuni încât nu cred că vor avea consecinţe grave pentru acţiunea lor.

NATO în acest mediu fluid şi extrem de vulnerabil.

Cum atacurile cibernetice devin din ce în ce mai frecvente şi cuprind atât domeniul civil, cât şi cel militar, NATO se alătură guvernelor naţionale în efortul lor de a cultiva, dezvolta şi consolida un spaţiu cibernetic stabil şi protejat, apărarea cibernetică înscriindu-se în cadrul misiunii de baza a Alianţei, apărarea colectivă.

La summit-ul NATO de la Praga, din 2002, şefii de state şi de guverne au recunoscut necesitatea consolidării capabilităţilor de apărare împotriva atacurilor cibernetice. Şase ani mai târziu, la Bucureşti, pe timpul summit-ului din 2008, a fost adoptată, pentru prima dată, o politică privind apărarea cibernetică şi dezvoltarea structurilor şi autorităţilor pentru a o realiza.

Summit-ul NATO din Ţara Galilor din 2014 reprezintă un alt moment de referinţă în realizarea acestui deziderat. Cu această ocazie, Alianţa a direcţionat dispoziţia articolului 5 spre o nouă politică de apărare cibernetică, în care spaţiul cibernetic a fost recunoscut drept noua frontieră de apărare. În urma acordului, un atac digital asupra unui stat membru este acoperit de articolul 5 al tratatului. Totodată, se precizează, în dispoziţia adoptată, că „o decizie cu privire la momentul în care un atac cibernetic va conduce la invocarea articolului 5 va fi luată de Consiliul Nord-Atlantic de la caz la caz”.

Realitatea impune că „trebuie să fim pregătiţi, să putem executa operaţiuni în spaţiul cibernetic. Trecând dincolo de protecţie şi prevenire, aliaţii au decis că apărarea cibernetică este o parte esenţială a apărării colective, declarând că un atac cibernetic ar putea conduce la invocarea clauzei de apărare colectivă (articolul 5) a tratatului fondator al NATO”.

Printr-un comunicat semnat de şefii de stat şi de guvern ai Alianţei, pe timpul summit-ului de la Varşovia, din 2016, aceştia au recunoscut oficial spaţiul cibernetic ca domeniu operaţional. Acest lucru a făcut ca, pentru prima dată în existenţa sa, NATO să adauge un al patrulea domeniu operaţional la cele trei, deja consacrate: aerian, terestru şi naval. Din acest moment, spaţiul cibernetic, deşi nu poate fi definit geografic, va fi recunoscut şi planificat într-o manieră similară domeniilor fizice.

Din acest punct de vedere, formarea propriei culturi de securitate şi intensificarea măsurilor de securitate informatică ne vor ajuta să fim pregătiţi pentru un atac cibernetic major sau suficient de rezistenţi pentru a supravieţui unei prime lovituri de acest gen.

Chiar dacă, în plan conceptual, realizările sunt  remarcabile, Alianţa nu dispune, încă, de reguli fundamentale pentru a face acest lucru. Spre deosebire de starea de război, când greşelile pot fi aduse în faţa unei autorităţi relevante, în prezent nu există nicio instituţie legală care să decidă cine este autorul unui atac cibernetic şi, în plus, tratatele şi legislaţia internaţională nu au prevederi suficiente şi clare în domeniul cibernetic. Lipsa instrumentelor de decizie, cu privire la răspunsul rapid într-o astfel de situaţie, constituie o provocare pentru Alianţa Nord-Atlantică. Ca o soluţie, integrarea capabilităţilor cibernetice naţionale în operaţiunile Alianţei, dacă va fi posibil şi agreat, ar putea contribui la formalizarea principiilor de război cibernetic.

La recentul summit NATO, din anul 2018, de la Bruxelles, deşi au fost remarcate progresele strategice, operaţionale şi tehnice în abordarea activităţilor cibernetice malware, liderii aliaţi au avertizat că ameninţările cibernetice la adresa securităţii Alianţei devin din ce în ce mai frecvente, mai complexe, distrugătoare şi coercitive. Provocările continue impun ca NATO să evalueze permanent atât  natura ameninţărilor cibernetice, cât şi modalităţile proprii  de  adaptare şi răspuns.

Deşi elemente de securitate cibernetică au existat întotdeauna, executarea, de către Alianţă, a operaţiunilor în spaţiul cibernetic este fără precedent. NATO a declarat în mod clar că nu va executa operaţiuni ofensive cibernetice sub egida NATO. Există însă un avertisment - atunci când se consideră necesar, efortul comun va integra capabilităţile cibernetice suverane ale aliaţilor dispuşi să le ofere.

Referitor la angajamentul NATO de a apăra principalele sisteme informatice ale Alianţei împotriva atacurilor cibernetice, a fost adoptată o politică privind apărarea cibernetică şi continuarea dezvoltării structurilor şi autorităţilor pentru a le realiza. Politica privind apărarea cibernetică subliniază necesitatea ca NATO şi naţiunile să protejeze sistemele informatice cheie, în conformitate cu responsabilităţile lor respective: împărtăşirea celor mai bune practici şi punerea la dispoziţia naţiunilor aliate, la cerere, a capabilităţilor necesare pentru a le ajuta să contracareze un atac cibernetic.

Cu toate că Alianţa încă nu dispune de reguli fundamentale pentru a face acest lucru, un nou Centru de Comandă NATO, capabil să descurajeze atacurile cibernetice, va fi operaţional în anul 2023.

Cu toate aceste lacune legislative, NATO Communications and Information Agency - NCIA, cu sediul la Bruxelles, dispune, în prezent de 1.500 de civili şi 1.000 militari („cyber warriors”) cu un buget estimativ de 1 miliard de euro pentru anul 2019. Facilitatea oferă asistenţă în domeniul apărării antiaeriene, instruire, analiză operaţională, informaţii inteligente şi servicii pentru securizare hardware.

Centrul de Operaţiuni Cibernetice (Cyberspace Operations Centre - CYOC), recent înfiinţat în cadrul Supreme Headquarters Allied Powers Europe – SHAPE, din Mons, găzduieşte până în anul 2023, o echipă de 70 de experţi ce monitorizează în timp real informaţiile civile şi militare din domeniul cibernetic. Scopul acestor structuri este de a urmări, minut cu minut, starea reţelelor de comunicaţii NATO, astfel încât comandanţii să se poată baza pe ele şi pentru a asigura libertatea de manevră în toate domeniile afectate de acţiunile cibernetice ostile. Încă din stadiul incipient de dezvoltare, centrul şi-a îndeplinit rolul său principal de a orchestra eforturile numeroaselor elemente existente şi bine stabilite, în interiorul structurii de comandă, pentru a executa operaţiunile de apărare cibernetică.

Acesta serveşte  şi ca o componentă a teatrului de operaţii din spaţiului cibernetic al NATO şi este responsabil pentru asigurarea informării asupra situaţiei cibernetice, planificarea centralizată a aspectelor cibernetice ale operaţiunilor şi misiunilor Alianţei şi coordonarea preocupărilor operaţionale în  spaţiul cibernetic.

Activitatea operaţională este coordonată la Cartierul General al NATO din Bruxelles, unde mai multe comisii şi consilii oferă soluţii de guvernare, doctrine şi politici pentru numeroasele eforturi operative, inclusiv pentru cele din spaţiul cibernetic. Printre acestea se numără Comitetul militar, Comitetul pentru apărare cibernetică şi Consiliul de administraţie pentru apărarea cibernetică. Aceste entităţi stabilesc parametrii şi identifică rolurile şi responsabilităţile pentru activităţile cibernetice.

Responsabilitatea de a apăra NATO în spaţiul cibernetic „la fel de eficient ca şi în mediul aerian, terestru şi maritim” aparţine şefului Comandamentului Suprem Aliat pentru Operaţii (SACEUR).

Cea mai mare provocare pentru această viziune este că, deşi este o acţiune militară, rezultatele nu pot fi obţinute doar prin mijloace militare. Toate operaţiunile şi misiunile Alianţei au un anumit grad de dependenţă de guvernul civil sau de industria privată, fie în contextul infrastructurii naţionale, fie în ceea ce priveşte infrastructura de comunicaţii, logistică, echipamente sau infrastructura naţională critică.

Cum obiectivele militare tradiţionale, dar si civile, au fost deja supuse atacului cibernetic, cu siguranţă aşa se va întâmpla si în timpul crizelor sau conflictelor. Din această perspectivă, apărarea cibernetică nu a fost competenţa exclusivă a militarilor, ci a fost atribuită actorilor publici, de la hacktivisti, la serviciile de informaţii de stat. Deci, ceea ce poate fi o provocare militară este, de fapt, legată de guvernul civil, de industria privată şi chiar de indivizi.

O dată cu această adaptare organizaţională, aliaţii au convenit la Summit-ul de la Bruxelles cum să integreze contribuţiile cibernetice suverane, furnizate voluntar de către aliaţi, în operaţiunile şi misiunile Alianţei. Acest lucru este pe deplin coerent cu mandatul de apărare al NATO, deoarece aliniază modul în care NATO se apără în spaţiul cibernetic, aşa cum se întâmplă în celelalte domenii.

Abordarea ameninţărilor în spaţiul cibernetic este, de asemenea, complicată de activitatea semnificativă care are loc sub pragul conflictului armat, urmărind însă slăbirea instituţiilor pentru a obţine avantaje strategice. Din această perspectivă,  determinarea unui răspuns proporţional şi eficient la o astfel de activitate cibernetică este îngreunată de diversitatea strategiilor adoptate de aliaţi în mod individual.

Complexitatea derivă şi din faptul că aceste provocări, cu numeroase părţi interesate, mulţi actori implicaţi şi acţiuni în „spaţiul gri”, sunt amplificate de ritmurile din ce în ce mai rapide ale schimbărilor tehnologice şi de sporirea excesivă a numărului de utilizatori ai reţelelor. Într-un asemenea context, rata vulnerabilităţilor creşte exponenţial iar pentru a face faţă acestui tip de ameninţare este nevoie de informaţii, investiţii, talente umane şi capabilităţi tehnice.

În aceste circumstanţe, deşi NATO este, deseori, identificată cu angajamentul său de apărare colectivă în temeiul articolului 5 al Tratatului NATO, are o istorie semnificativă a angajamentului sub pragul conflictului armat. Conceptul Strategic al NATO stabileşte trei sarcini fundamentale esenţiale pentru Alianţă: apărarea colectivă, gestionarea crizelor şi securitatea prin cooperare. Aşa cum a condus şi conduce astăzi operaţii, NATO trebuie să continue să exploreze modalităţile cele mai bune de a se implica în mod similar în spaţiul cibernetic, deoarece chiar şi un atac cibernetic sub „prag” poate fi foarte dăunător, perturbator şi destabilizator.

Rolul naţiunilor şi al parteneriatului NATO – UE în abordarea răspunsului la atacurile cibernetice

Activităţile cibernetice, desfăşurate la limita sau sub nivelul pragului de conflict armat, vor rămâne o provocare continuă.

Adoptarea, în cadrul angajamentului de apărare cibernetică, a guvernelor naţionale are la baza articolului 3 din Tratatul de la Washington, care prevede că „...Părţile, separat sau împreună, prin intermediul auto-ajutorării şi al sprijinului reciproc continue, îşi vor menţine şi îşi vor dezvolta capacitatea individuală şi cea colectivă de a rezistenta în faţa unui atac armat”. Imposibilitatea de a separa, în totalitate, preocupările militare, civile şi industriale în acest spaţiu a determinat naţiunile aliate să adopte o abordare comună a angajamentului privind apărarea cibernetică încurajând colaborarea intra-guvernamentală în cadrul acestora.

În plus, faţă de articolele 5 şi 3, aliaţii au la dispoziţie şi articolul 4, care permite aliaţilor consultarea, ori de câte ori un stat membru crede că „integritatea teritorială, independenţă politică sau securitatea” îi sunt ameninţate.

În această conjunctură, la ultimul summit de la Bruxelles, aliaţii şi-au exprimat hotărârea „de a folosi întreaga gamă de capabilităţi, inclusiv cibernetice, pentru a descuraja, apăra şi combate întregul spectru de ameninţări cibernetice, inclusiv cele desfăşurate în cadrul unei campanii hibride”. Totodată, de comun acord, ei au decis „să continue colaborarea pentru a elabora măsuri care să permită să impună costuri celor care le produc daune”.

Din această perspectivă, pe timpul ultimei reuniuni NATO la nivel şefi ai apărării, Germania s-a alăturat Statelor Unite, Marii Britanii, Danemarcei, Olandei şi Estoniei pentru a-şi pune la dispoziţia Alianţei capabilităţile cibernetice ofensive. Ca şi în cazul altor resurse militare, membrii alianţei îşi păstrează controlul naţional asupra capabilităţilor cibernetice şi le pun la dispoziţia NATO atunci când sunt solicitaţi pentru misiuni şi operaţiuni.

Complementar acestei situaţii, UE dispune deja de regimuri de sancţionare pentru încălcări ale acordurilor de arme nucleare şi chimice. Potrivit unei propuneri prezentate anul trecut de Marea Britanie, Olanda, Estonia, Finlanda, Lituania şi România, liderii vor discuta stabilirea unui regim de sancţiuni cibernetice şi extinderea domeniului de aplicare a măsurilor împotriva persoanelor şi organizaţiilor care se află în spatele acestor atacuri. Sub auspiciile Declaraţiei comune privind cooperarea NATO-UE, precum şi a unui aranjament tehnic încheiat între echipele de intervenţie ale NATO şi Uniunii Europene, cele două organizaţii şi-au intensificat colaborarea, în special în domenii precum schimbul de informaţii, educaţie, cercetare şi instruire prin exerciţii.

Aceste interacţiuni ajută NATO să creeze relaţii de încredere cu industria şi să permită  tuturor părţilor să prevină şi să răspundă mai bine atacurilor cibernetice. În cele din urmă, în încercarea de a ţine pasul cu schimbările  în acest domeniu, colaborarea cu industria ar deveni benefica atât pentru schimbul de informaţii cât şi pentru  achiziţionarea de tehnologii.