Cyberoorlog. Wat betekent dat nu eigenlijk?

De laatste tijd valt regelmatig de term ‘cyberoorlog’ in de media. Toch weten de meeste mensen nog niet echt wat hiermee nu precies bedoeld wordt. Waar hebben we het over? Wat zijn de achterliggende principes en regels van cyberoorlog? En hoe past dit binnen ons bestaande beeld van ‘oorlogsvoering’?

Cyberoorlog is een confrontatie die plaatsvindt in de gecombineerde digitale/fysieke wereld waar we nu allemaal in leven. Hiermee bedoel ik dat de daadwerkelijke ‘oorlogshandelingen’ plaatsvinden in cyberspace, maar dat de effecten daarvan wel degelijk voelbaar zijn in de echte wereld. Door deze versmelting van de digitale en de fysieke wereld krijgt oorlogsvoering er een aantal nieuwe facetten bij. Er kan gestreden worden met speciale codes, er kunnen ‘informatiebombardementen’ worden uitgevoerd (vanaf zeer grote afstanden) en het strijdtempo ligt zeer hoog. Daarbij zijn de kennis en vaardigheden van individuele ‘soldaten’ vaak belangrijker dan de materiële middelen (hoewel de beschikbaarheid van die middelen nog steeds een verschil kan maken).

We moeten ons daarbij echter realiseren dat niet iedere kwaadaardige of ongewenste actie in cyberspace  ook meteen een ‘oorlogsdaad’ is. De meeste mensen denken bij ‘cyberoorlog’ aan handelingen die gebeuren binnen de context van een gewapend conflict, of als voorbereiding daarop. Een pure ‘virtuele oorlog’ zonder fysieke consequenties is slechts een te sterke interpretatie van activiteiten die in cyberspace plaatsvinden.

Cyberoorlog zorgt ervoor dat het onderscheid tussen oorlog en vrede vervaagt

Het is in de menselijke aard om de wereld op te delen in duidelijk te onderscheiden toestanden. Als er geen oorlog is, is er vrede. Als je je geen zorgen hoeft te maken over je veiligheid, voel je je veilig. Als je zelf niet als eerste tot de aanval bent overgegaan, handel je uit zelfverdediging, en: ‘als je niet voor ons bent, ben je tegen ons.’ Cyberspace - en de cyberoorlog die daarin wordt gevoerd - overstijgt echter de conventionele grenzen die dit soort onderscheid mogelijk maken.

De cyberdimensie van een oorlog zorgt ervoor dat zo’n oorlog heel dicht bij ons dagelijks leven komt. De doelwitten in zo’n conflict zijn de zaken die we allemaal kennen en waar we intussen sterk afhankelijk van zijn: onze computers en andere slimme apparaten, netwerken, websites, etc. Cyberoorlogshandelingen richten zich op dezelfde doelen als de cyberaanvallen waar organisaties en mensen al dagelijks mee te maken hebben, ook in vredestijd. In tegenstelling tot een conventionele oorlog tussen twee gewapende partijen, beperkt een cyberoorlog dus zich niet tot puur militaire doelen.

Cyberconflicten hebben ook de neiging om zich uit te breiden. De activiteiten richten zich namelijk niet alleen rechtstreeks op de tegenstander, maar op alles dat voldoende aandacht oplevert en dat de aanvaller helpt bij het realiseren van zijn doelstellingen. Vanwege het netwerkkarakter van cyberspace, heeft echter niemand de effecten onder controle. Cyberoorlog breidt zich dan ook makkelijk uit naar andere landen en naar de netwerken van buitenstaanders, wat de uiteindelijke weg naar vrede kan bemoeilijken. Dit gegeven en de propaganda-activiteiten en acties van inlichtingendiensten die weliswaar buiten het conflict vallen maar die toch kunnen bijdragen aan de voorbereidingen voor een oorlog, maken het vrijwel onmogelijk om in cyberspace een duidelijke scheiding te maken tussen oorlog en vrede. We leven dus in een grijze zone.

Cyberoorlog vervaagt de onderscheid tussen militair en burger

Maar niet alleen de grens tussen de situaties ‘oorlog’ en ‘vrede’ is vager geworden. Er wordt nu oorlog gevoerd binnen en tegen complete gemeenschappen. Het belangrijkste doelwit in ieder land dat afhankelijk is van netwerkverbindingen (en wat dus beschermd dient te worden) is de essentiële infrastructuur. Deze infrastructuur is echter in de meeste gevallen het privé-eigendom van ondernemingen. Die essentiële infrastructuur is echter de ruggengraat van een moderne samenleving. Door kritieke knooppunten plat te leggen of te zelfs te vernietigen, kan een gemeenschap zwaar getroffen worden. En de effecten daarvan zijn voelbaar in zowel militaire als civiele sectoren.

Daar komt bij dat cyberspace een wereld is met tal van facetten en met veel verschillende spelers, die ook weer verschillende belangen hebben. De staat is daar slechts één van en die heeft vaak niet het monopolie op destructieve of dreigende acties. Door de relatief laagdrempelige toegang, de brede beschikbaarheid van kwaadaardige code, de vermeende anonimiteit, minder nadruk op fysieke middelen en de ambiguïteit over de term ‘cyberconflict’, zijn veel deelnemers - bedoeld of onbedoeld - bij een cyberconflict zowel dader als doelwit.

En omdat de staat hierbij niet verantwoordelijk kan zijn voor de veiligheid van eenieder, zijn zowel organisaties als burgers verantwoordelijk voor hun eigen cyberverdediging. Dit bekent ook dat er een grotere rol is weggelegd voor bedrijven die op de een of andere manier bijdragen aan de nationale veiligheid op dit gebied. Het vergroten van die nationale cyberveiligheid vergt individuele tot multinationale inspanningen. De huidige discussie gaat onder andere ook in op de vraag of bedrijven het recht zouden moeten krijgen om zelf ook offensief op te treden.

Hoe organiseren we de wereld om ons heen als conventionele grenzen voortdurend veranderen?

De grote uitdaging waar we de komende jaren voor staan, is hoe we in deze multipolaire en met digitale technologie doorspekte wereld moeten omgaan en orde aanbrengen. Het is te verwachten dat die grijze zone tussen oorlog en vrede zal blijven bestaan. Maar de grenzen tussen ‘militair’ en ‘civiel’ zullen steeds minder duidelijk worden en moeten opnieuw worden vastgesteld. De beslissende vraag zou kunnen zijn: ‘Wie controleert wiens acties?’ In dit proces wordt de staat een van instanties die verantwoordelijk zijn voor de nationale veiligheid.

Alle huidige conflicten - en toekomstige crises nog meer - bevatten een cyberelement. Het bouwen en onderhouden van de nationale veiligheid, zonder rekening te houden met cyberspace is onmogelijk geworden. En dit negeren is onacceptabel en roekeloos - vergelijkbaar met het veronachtzamen van de beveiliging van een grens of kustlijn. Geen beleidsmaker zou daarmee wegkomen.

Jarno Limnéll is Director of Cyber Security bij McAfee