Проблема выработки определения кибератаки

Шинкарецкая Галина Георгиевна доктор юридических наук главный научный сотрудник, Институт государства и права Российской академии наук 119019, Россия, г. Москва, ул. Знаменка, 10 Shinkaretskaya Galina Georgievna Doctor of Law Chief Scientific Associate, Institute of State and Law of the Russian Academy of Sciences 119019, Russia, g. Moscow, ul. Znamenka, 10 gshinkaretskaya@yandex.ru Другие публикации этого автора

XXI век открыл новую страницу в международной преступности, а именно — почти повседневным явлением стали хакерские атаки, сначала как средство ограбления счетов и аккаунтов граждан, а затем – как средство враждебного воздействия на компьютерные сети одного государства со стороны другого с целью внести изменения, разрушить или повредить их. Есть данные о том, что примерно более тридцати стран обладают соответствующими возможностями ^{[25, p. 1023]}. Поскольку современные системы управления любого государства – в транспорте, энергетике, здравоохранении и т.д. – всегда включают в себя компьютерные сети, хакерская атака на такие сети становится чрезвычайно вредоносной ^{[14, c. 35]}.

Нападения на компьютерные системы предпринимались в нашем веке неоднократно; самой заметной по масштабам и демонстративности стала атака на центрифуги Ирана в 2010 г., которую приписывают Израилю ^[26]. Орудием этой атаки стал так называемый компьютерный “червь” Stuxnet. Несколько месяцев спустя все население Бирмы было отключено от Интернета перед первыми национальными выборами в стране за двадцать лет ^[18]. В наше время ежегодно фиксируется множество атак, направленных непосредственно против государств или их органов.

К сожалению, международное сотрудничество в области противодействия кибератаким затрудняется совершенно недостаточным международно-правовым регулированием. Достижение организационно-правового режима информационной безопасности – сложная задача ^{[11, с. 45; 17, с. 36-37; 16, с. 11]}. При этом надо понимать, что угрозы информационной безопасности - это оборотная сторона использования информационных технологий ^{[15, с. 129]}.

На сегодняшний день в международном праве почти нет соответствующих правовых норм, которые бы способствовали противодействию кибератак в сети Интернет. Одно из затруднений – отсутствие согласованного определения кибератаки, что затрудняет специалистам разных стран приходить к каким-то общим рекомендациям. Новые понятия и термины не имеют четкого соответствия в разных языках и переводятся пока только примерно: «cyber attacks» и «cyber war» («кибератаки — кибернетические нападения» и «киберентические» или «компьютерные войны»). Обозначаемые ими недружественные действия в отношении компьютерных систем управления часто называют «information attacks» («информационные атаки») или «information wars» («информационные войны»).

Между тем наличие ограниченного и выверенного объекта регулирования в любой отрасли права – непременное условие его эффективности.

Пока можно рассмотреть лишь некоторые доктринальные предложения. Одно из наиболее часто цитируемых определений сделано американским специалистом по международной безопасности Ричардом Кларком: «Действия одного государства по проникновению в компьютеры или сети другой страны с целью нанесения ущерба или нарушения” ^{[19, p. 6]}. Бывший директор ЦРУ Майкл Хейден говорил о кибервойне как о “преднамеренной попытке вывести из строя или уничтожить компьютерные сети другой страны” ^[22]. Однако в этих определениях не проводится различия между киберпреступностью, кибератакой и кибервойной, поэтому они могут применяться слишком широко.

Первое официальное определение кибератаки было дано в 2011 г. в Справочнике по кибероперациям Министерством обороны США: это такие операции, в которых задействованы «электронные средства для получения доступа к информации или внесения изменений в информацию, содержащуюся в информационной системе, которая избрана целью воздействия, без разрушения ее физических компонентов» ^{[21, p. 5]}. В данном определении целью атаки подразумевается воздействие только на критически важные системы.

Более широкий подход принят Шанхайской организацией сотрудничества, которая выразила «обеспокоенность по поводу угроз, связанных с возможным использованием новых информационных и коммуникационных технологий и средств в целях, несовместимых с обеспечением международной безопасности и стабильности как в гражданской, так и в военной сферах» ^[7]. "Информационная война" определяется в Соглашении как противоборство между двумя или более государствами в информационном пространстве с целью нанесения ущерба информационным системам, процессам и ресурсам, критически важным и другим структурам, подрыва политической, экономической и социальной систем, массированной психологической обработки населения для дестабилизации общества и государства, а также принуждения государства к принятию решений в интересах противоборствующей стороны». Более того, в нем одной из главных угроз информационной безопасности определено распространение информации, наносящей вред «социально-политическим, социальным и экономическим системам, а также духовным, нравственным и культурным сферам других государств» ^[7].

Таким образом, Шанхайская организация сотрудничества считает необходимым проявление широкого подхода к понятию кибератаки которое охватывает использование кибертехнологий для подрыва политической стабильности. Правда, некоторыми авторами высказывалось опасение того, что такой подход может вести к оправданию политической цензуры в Интернете ^[23]. Очевидно, в основе таких опасений лежит опыт усилий подавления политических организаций с использованием новых средств массовой информации в Иране, Египте и других странах.

Попытаемся проанализировать отдельные элементы, которые могут составить искомое определение.

Термин «кибератака» подразумевает требование активного поведения: либо нападение, либо активная защита. Для защиты могут использоваться как активные, так и пассивные оборонительные меры, но пассивная оборона не может составить кибер-атаку.

Атака может быть осуществлена с помощью любого действия — взлома, бомбардировка, порезов, заражениея и так далее — но чтобы быть кибератакой, она должна быть направлена на подрыв или нарушение функционирования компьютерной сети. Действия вооруженных сил могут быть классифицированы на основе средств нападения. Например, война может быть классифицирована как кинетическая (обычная, физическая) война, биологическая война, химическая война, ядерная война, война на основе разведки, сетевая война или партизанская война.

Действия вооруженных сил определяются также их целью, например, назовем информационную войну, психологическую войну, электронную войну и экономическую войну.

Определение кибератаки по цели имеет первостепенное значение по двум причинам. Во-первых, и это самое важное, этот тип определения просто более интуитивно понятен. Использование компьютерной сети в одном из штатов США для управления беспилотным летательным аппаратом для атаки сухопутного подразделения в Пакистане - это не кибератака; скорее, это технологически продвинутая обычная война. С другой стороны, использование обычной взрывчатки для разрыва подводных сетевых кабелей, по которым передаются информационные пакеты между континентами, является кибератакой ^[10].

Во-вторых, практика управления вооруженными силами государств показала логичность выделения кибервойск: кроме традиционно существующих военно-морских, военно-воздушных и сухопутных войск в государствах созданы кибервойска, предназначенные действовать в киберпространстве ^[27].

Важной частью определения кибератаки служит также ее цель - нарушение функционирования компьютерной сети. Это может быть достигнуто различными средствами: используются так называемые черви, вирусы, «Троянские кони». В результате атаки может быть нарушена работаоперационной системы компьютера, приводя к сбоям в работе сети; или операционная система будет цела, но под угрозу поставлена точность обрабатываемой ею информации, она будет восприниматься как работающая правильно, но она будет генерировать неверные ответы.

Кибератака нацелена на компьютерную сеть, то есть систему компьютеров и других устройств, соединенных каналами связи. Часто это соединение производится через Интернет, но существует также множество закрытых сетей, таких как защищенные сети, используемые правительственными учреждениями. Важно иметь в виду, что компьютерные сети есть везде; они управляют лифтами и светофорами, регулируют давление в водопроводных сетях и повсеместно используются в таких бытовых приборах, как мобильные телефоны, телевизоры и даже стиральные машины. Такая ситуация и порождает опасность широкомасштабного ущерба от кибератаки практически во всех сферах человеческой деятельности.

Кибератака от обычного уголовного киберпреступления отличается, как правило, наличием политической цели или цели ущерба национальной безопасности. Любое агрессивное действие, предпринятое от имени государства в киберпространстве, обязательно затрагивает национальную безопасность и, следовательно, является кибератакой, независимо от того, доходит ли оно до уровня кибервойны или нет. Киберпреступление, совершенное негосударственным субъектом в целях политической или национальной безопасности, также является кибератакой. С другой стороны, киберпреступление, которое не совершается по политическим мотивам или в целях нарушения национальной безопасности, как большинство случаев интернет-мошенничества, кражи личных данных и пиратства интеллектуальной собственности, не соответствуют этому последнему элементу “кибератаки” и, следовательно, являются простым киберпреступлением.

В силу невысокой стоимости и трудности атрибуции деяния, primafacie обладающего признаками кибератаки, необходимо выделить такой признак политической кибер-атаки, как ее публично-правовой характер. Поскольку негосударственные субъекты могут совершать или могут быть жертвами кибератак, именно цель, а не субъект, должны отличать кибератаку от простого киберпреступления. Киберпреступность - это широкое понятие, аналитически отличное от кибератаки. Хотя, как и в случае с понятием кибератаки, общепризнанного определения киберпреступности нет, существует признание некоторых элементов киберпреступности. В частности, киберпреступность обычно понимается как использование компьютерных средств для совершения противоправного деяния. Чаще всего киберпреступность определяется как “любое преступление, совершенное или совершаемое с использованием компьютера, сети или иного технического устройства” ^[20]. Это значит, что киберпреступность, в отличие от кибератаки, определяется ее средствами, то есть компьютерной системой и охватывает очень широкий спектр незаконных действий. К ним обычно относят мошенничество в Интернете, интернет-пиратство, хранение и распространение детской порнографии на компьютере и компьютерное хакерство. При этом компьютерная сеть остается неповрежденной, а цель не имеет политического характера. Наконец, как и все преступления, киберпреступления обычно понимаются как совершаемые отдельными физическими лицами и не от лица государства. Деяние является киберпреступлением только тогда, когда негосударственный субъект совершает деяние, которое квалифицируется как уголовное преступление в соответствии с внутренним или международным правом.

В момент киберсобытия часто не сразу становится очевидным, с каким именно явлением мы имеем дело, и это затрудняет незамедлительное реагирование.

В российском действующем законодательстве ^{[8; 9]} пока нет отделения киберпреступлений от кибератак, вернее, все положения относительно неправомерных деяний с использованием информационных технологий относятся к киберпреступлениям ^{[12, c. 25]}.

В доктрине международного права широко распространено мнение о том, что международное гуманитарное право может применяться к кибератакам без выделения кибер-атак как специального предмета регулирования ^{[13, c. 421-430]}.

Действительно, в действующих законах и обычаях войны нет специальных правил относительно компьютерных атак. Но это не отменяет действия международного гуманитарного права. Замечательный российский ученый Ф.Ф.Мартенс предложил применять в таких случаях норму, которая получила название «оговорка Мартенса»: отсутствие договорного положения, ясно запрещающего какое-либо определенное поведение во время вооруженного конфликта, не означает, что международное право разрешает его. Эта общепризнанная ныне норма включена в преамбулу Гаагской конвенции 1899 г. "О законах и обычаях сухопутной войны" и затем фигурировала в ряде документах международного гуманитарного права, включая Женевские конвенции 1949 г. ^{[1; 3; 4; 5; 6]} и развита в Дополнительном протоколе I к Женевским конвенциям: «В случаях, не предусмотренных настоящим Протоколом или другими международными соглашениями, гражданские лица и комбатантыостаются под защитой и действием принципов международного права, проистекающих из установившихся обычаев, из принципов гуманности и из требований общественного сознания» (ст. 1.2) ^[2]. Кроме того, ст. 36 того же Протокола обязывает государств-участников при изучении, разработке, приобретении или принятии на вооружение новых видов оружия, средств или методов ведения войны определить, подпадает ли их применение, при некоторых или при всех обстоятельствах, под запрещения, содержащиеся в Протоколе или в каких-либо других нормах международного права, применяемых ими ^[2].

Таким образом, можно сделать вывод: международное гуманитарное право распространяется на компьютерные атаки, но предмет регулирования не определен четко. Такое мнение, в целом, господствует и в научной литературе ^{[24, р. 1149]}.

При этом, вплоть до начала 2000-х гг. казалось достаточным применение международного гуманитарного права по аналогии. В настоящее время, учитывая рост числа и разнообразия пользователей компьютерных сетей, в том числе осуществляющих хакерские атаки; помня о потенциально растущей разрушительной силе кибератак становится все более необходимым принятие международных нормативных документов в области предотвращения и пресечения кибератак. Формулирование понятия и определения кибер-атаки может стать первым шагом к разработке согласованного регулирования.