Kyberútokům se musí umět bránit každá země, tvrdí šéf specialistů NATO

Internet je zbraň a všechny budoucí konflikty budou mít kromě té vojenské i svoji elektronickou dimenzi. NATO sice už před třemi roky zřídilo v estonském Tallinnu speciální centrum kyberobrany. Masivnímu kyberútoku se ale musí umět bránit každá země sama, tvrdí šéf aliančních expertů Ilmar Tamm.

Ilustrační snímek | foto: Petr Topič, MAFRA

NATO se s kyberútokem poprvé setkalo již během kosovské krize v roce 1999, kdy se jeho počítače a webové stránky staly cílem srbských hackerů. Od té doby se Aliance začala touto novou bezpečnostní hrozbou intenzivně zabývat.

Alianční centrum kyberobrany v Tallinnu vzniklo na popud Estonska, které se v roce 2007 stalo terčem zatím nejrozsáhlejšího kybernetického útoku. Na provozu centra spolupracuje desítka zemí. "Podílíme se na školení, výzkumu, cvičeních a konzultacích," říká v rozhovoru pro natoaktual.cz velitel Ilmar Tamm. Pro bezpečnost v elektronickém světě centrum stanovilo obecné "desatero pravidel", které řada zemí přijala jako právní manuál.

Na jakých konkrétních projektech centrum pracuje v současné době?
V současnosti mimo jiné připravujeme technické cvičení zaměřené na kyberobranu, které má proběhnout v březnu. Dále tvoříme seznam různých termínů a definic užívaných pro pojmenování jevů v kyberprostoru, abychom pro NATO vytvořili jednotný seznam pojmů v této oblasti. Zároveň plánujeme pravidelnou Mezinárodní konferenci o kyberkonfliktu (CyCon 2012), která se uskuteční v červnu.

Celý rozhovor s velitelem kybercentra NATO Ilmarem Tammem na natoaktual.cz

Zmínil jste, že momentálně pracujete na hledání právních definic v kyberprostoru. Proč je to tak důležité?
Právní definice jsou spolu s posuzováním závažnosti kyberincidentů nezbytné k určení toho, co vlastně tvoří "kyberútok". Stejně tak je nezbytné nalézt cestu, jak přisuzovat konkrétní útoky jejich pachatelům. Abychom na tomto poli uspěli, je potřeba intenzivní mezinárodní spolupráce a harmonizace norem a pravidel, které následně poslouží pro posílení bezpečnosti při užívání e-služeb. Tím dojde k posílení celkové důvěry v moderní životní styl i informační společnost.

Co by bylo úkolem centra v případě masivního kyberútoku proti jednomu z členských států NATO nebo proti aliančním strukturám?
Centrum není operační jednotkou, a neodpovídá tak za vyslání týmu rychlé reakce. V případě masivního kyberútoku by tudíž prvotní reakce a obrana ležela na schopnostech každého členského státu. Ty by mohly být a byly by podpořeny dalšími členy na základě rozsahu případné krize. Role centra by tak měla být vnímána jako každodenní práce v oblasti prevence. Centrum tak činí prostřednictvím výcvikových kurzů pro experty, poradenství v politice a strategii, v provádění a podpoře cvičení a v provádění následných analýz.

Mnoho expertů se shoduje, že v kyberprostoru platí klasické pravidlo - nejlepší obranou je útok. Jaká je pozice Centra na otázku proaktivního, respektive ofenzivního přístupu v kyberbezpečnosti?
Tato otázka je příliš zjednodušená, neboť proaktivní potírání kyberhrozeb by mělo být považováno za preventivní opatření, jakým je sdílení informací o kyberincidentech, instalace varovných senzorů nebo uzavírání dohod mezi státy. Klasické rozdělení na ofenzivní a defenzivní prostředky v potírání kyberhrozeb musí proto být vnímáno z pohledu konkrétní situace a provedených akcí.

Deset pravidel NATO pro kyberbezpečnost:

• 1. Pravidlo teritoriality – Informační infrastruktura nacházející se na území jednoho státu je předmětem teritoriální suverenity onoho státu.

• 2. Pravidlo odpovědnosti – Spáchání kyberútoku z počítačů a jiných zařízení nacházející se na území jednoho státu je považováno za důkaz a tento útok může být tomuto státu připisován.

• 3. Pravidlo spolupráce – Pokud byl útok spáchán z počítačových systémů daného státu, je tento stát povinen spolupracovat s obětí formou konzultací, výměny informací, a dalšími způsoby.

• 4. Pravidlo sebeobrany – Každý má v kyberprostoru právo na sebeobranu. Reakce silou je za některých okolností přípustná.

• 5. Pravidlo ochrany dat – Data získaná monitorováním internetu jsou považována za osobní. Mohou však být poskytnuta třetí straně, pokud zajistí stejnou míru ochrany. Monitorování internetu a výměna informací musí být v rovnováze s ochranou práv jedince.

• 6. Pravidlo odpovědnosti se starat – Každý má odpovědnost snažit se rozumným způsobem ochránit svá počítačová zařízení.

• 7. Pravidlo včasného varování – Každý má povinnost informovat potenciální oběť o chystaném kyberútoku. 

• 8. Pravidlo přístupu k informacím – Veřejnost má právo být informována o kyberhrozbách vůči životu, bezpečnosti a dobrému žití.

• 9. Pravidlo zákonnosti – Každý stát je povinen zahrnout nejčastější kyberzločiny do svého právního řádu.

• 10. Pravidlo mandátu – Schopnost organizace jednat vždy vychází z rozsahu jejího mandátu. Na mezinárodním poli je nutné zastavit duplikaci schopností a úsilí.