Europa og Nato mangler en fælles strategi for, hvordan man håndterer cyberangreb fra fjendtlige nationer uden for krigstid, viser nyt studie.
Baggrund fra Dansk Institut for Internationale Studier (DIIS)
I 2017 blev Europa og USA ramt af to cyberangreb, der var så ødelæggende, at de er gået over i historien. Cyberangrebet WannaCry udnyttede en svaghed i Microsofts styresystem til at overtage kontrollen med 230.000 computere hos en række virksomheder og statslige institutioner.
I Spanien blev flere store virksomheder lagt ned. De tyske statsbaner, store dele af Storbritanniens sundhedssystem og den amerikanske logistikvirksomhed FedEx blev også ramt hårdt. Både Europol og den amerikanske efterretningstjeneste vurderede efterfølgende, at Nordkorea formentlig var involveret i angrebet.
I maj samme år gennemførte Rusland et endnu mere ødelæggende cyberangreb mod Ukraine baseret på samme metode. Angrebet, som blev døbt Notpetya, lukkede i første omgang store dele af Ukraines offentlige bogholderi ned, og bredte sig siden til flere store europæiske virksomheder. Mærsk mistede for eksempel omkring to milliarder kroner som følge af angrebet.
Det angreb blev af både USA og Australien betegnet som en decideret cyber-krigshandling, mens daværende forsvarsminister Claus Hjort Frederiksen sammenlignede det med et militært angreb.
Den gang havde Europa og Nato ingen fælles strategi til at håndtere den type angreb. Der var heller ikke en fælles forståelse af, hvornår et angreb er stort nok til, at man vil gøre gengæld. Og det er der stadig ikke i dag, viser et nyt studie udgivet i tidsskriftet European Security.
”De enkelte lande har svært ved at finde ud af, hvad de kan bruge EU og Nato til i denne her sammenhæng. Både EU og Nato er er bygget på en vestlig tænkemåde om, at enten er der krig, eller også er der ikke krig. Imens har Rusland og Kina brugt 10 år på at genere os i Vesten med den her type angreb, som kun yderst sjældent direkte koster liv, men som koster mange milliarder kroner, tærer på befolkningens tillid og svækker vores strategiske position” siger posdoc Tobias Liebetrau.
Rusland vil formenligt bruge cyberangreb mere
Uanset hvad udfaldet af krigen mellem Rusland og Ukraine bliver, kan vi ifølge Tobias Liebetrau nok forvente, at Rusland – i en situation hvor landet givetvis vil være voldsomt presset af langvarige vestlige sanktioner – fortsat vil bruge cyberaktiviteter, der placerer sig mellem krig og fred.
“Fjendtlige cyberaktiviteter er nemlig en metode at signalere utilfredshed med og opposition til Vesten på en måde, der undgår at eskalere til konventionel krig mellem NATO og Rusland,” siger han.
Og netop det at håndtere cyberaktiviteter der falder mellem krig og fred er en udfordring for Danmark og vores allierede. Velkendte strategiske, diplomatiske og juridiske begreber, definitioner og rammer er vanskelige at anvende. Der er desuden stor usikkerhed forbundet med grænsedragningen mellem forskellige typer af cyberaktiviteter, afsenders identitet og intention og cyberhændelsernes fulde effekt.
”Derfor er der brug for et øget fokus på, hvordan Danmark og vores allierede styrker forebyggelsen og imødegåelsen af disse cyberoperationer,” siger Tobias Liebetrau.
I det nye studie har han undersøgt Holland, Frankrig og Norges strategier mod cyberangreb.
Studiet bygger på et tidligere studie, hvor han undersøgte europæiske strategier mod cyberangreb for på baggrund af det at rådgive den danske regering om, hvad vi med fordel kan gøre i Danmark, og hvem vi kan lægge os op ad.
”Men der fandt jeg ud af, at de andre europæiske lande faktisk ikke gøre specielt meget eller har særligt klare strategier og grænser for, hvad man vil acceptere fra fjendtlige magter. Jeg vidste, at Norge, Holland og Frankrig havde arbejdet mere med det, så derfor så jeg nærmere på dem,” fortæller han.
Frankrig har trods ressourcer ingen strategi
Hans nye studie viser, at Frankrig har flere ressourcer til at modgå cyberangreb og til at gøre gengæld.
”Men på trods af det er det stadig uklart, hvordan de vil håndtere cyberangreb, og hvordan de vil bruge deres egne cybervåben i cyberkonflikter, der ikke er lever til at være krig og væbnet konflikt” uddyber Tobias Liebetrau.
Mere offensiv brug af egne cybervåben kan for eksempel handle om at identificere angreb og derefter ødelægge software eller hardware, som bliver brugt til angrebet. Det behøver ikke skabe stor fysisk skade, men det vil kunne bremse angreb, som pågår og kan bruges som gengældelse.
”Selv om Nato ikke har egne cybervåben, kunne man jo godt have en fælles strategi og fælles fodslag i forhold til, hvordan man håndtere angreb, og hvor store de skal være, før man gør noget.”
På samme måde vil det også være en styrke, hvis EU kan udvikle et forenet og styrket europæiske modsvar på store cyberangreb som dem i 2017, der rækker udover sanktioner.
Læs hele studiet