Avskrekke hvem? Betydningen av strategisk kultur for cybersikkerhet

Avskrekking og cybersikkerhet

Avskrekking som begrep fikk sitt gjennombrudd i den sikkerhetspolitiske diskursen og akademia under den kalde krigen. Helt grunnleggende går avskrekking ut på å overbevise en potensiell motstander om å avstå fra visse handlinger ved å høyne den potensielle kostnaden ved slike handlinger (Nye, 2017). Forståelsen av avskrekking har vært sterkt påvirket av nettopp den kalde krigen, og særlig av den eksistensielle trusselen om angrep med atomvåpen. Ettersom bruken av atomvåpen hadde vist seg å ha katastrofale følger, forsøkte de to blokkene i den kalde krigen å avskrekke hverandre fra å angripe ved å true med massiv gjengjeldelse. På denne måten ble trusselen om gjensidig ødeleggelse en stabiliserende faktor, et angrep ble utenkelig fordi konsekvensene ville vært så omfattende (Freedman, 2013, s. 177).

Ettersom den kalde krigen aldri ble varm, har avskrekking blitt vurdert som en vellykket strategi av flere (Freedman, 2013, s. 158). Dette har igjen ført til at strategien blir forsøkt anvendt på nye sikkerhetsutfordringer, som cybersikkerhet.¹ Hvordan avskrekking i cyberdomenet kan gjøres, har derimot vært mer omstridt, med en rekke argumenter om særegne utfordringer ved cyberavskrekking.² Noen av de særegne utfordringene som har blitt pekt på, er bruken av uoppdagede digitale sårbarheter (såkalte «zero-days»), noe som gjør det vanskelig å forhindre hendelser fra å inntreffe (Bendiek & Metzger, 2015, s. 7).Videre har det blitt hevdet at den økende kompleksiteten i nettverk gjør at angriperen har en strukturell fordel som kompliserer avskrekking (Nye, 2017). Et annet argument som ofte nevnes, er problemet med å attribuere angrep. Mulighetene for å skjule opprinnelsen til cyberangrep gjør at en angriper ofte kan kamuflere sin identitet, noe som gjør det vanskeligere å reagere og gjengjelde i ettertid (Rid & Buchanan, 2015). I tillegg er det forholdsvis vanlig at stater bruker private aktører eller kriminelle til å utføre angrepene for seg, slik at de senere kan nekte for at det faktisk var dem som stod bak (Collier, 2017).

Disse problemene har ført til at flere avskrekkings og cybereksperter har sådd tvil om avskrekking i det hele tatt er en passende strategi for cyberdomenet.³ Overvekten av artikler som drøfter denne problematikken, tar utgangspunkt i cyberdomenets unike karakter, men et aspekt ved avskrekking som har fått mindre oppmerksomhet, er samspillet mellom teknologi og den bredere sosiale og kulturelle konteksten. Denne artikkelen vil argumentere for viktigheten av historie og kultur for fungerende avskrekkingsstrategier. Denne tilnærmingen gjør det mulig å belyse hvordan slike sosiale faktorer bidrar til å forme de teknologiske rammebetingelsene, som igjen vil påvirke hvordan avskrekking som konsept kan fungere (Dunn Cavelty, 2018).

I denne teksten vil vi derfor diskutere hvorfor avskrekking som strategi i cyberdomenet ikke kan forstås uavhengig av den strategiske kulturen i landet man ønsker å avskrekke. Ved å ta i bruk Kina som et eksempel ønsker vi å vise hvordan man ved hjelp av målrettet avskrekking (tailored deterrence) kan tilpasse cyberavskrekkingsstrategier til å bli mer effektive. Som teoretisk rammeverk vil vi ta i bruk Joseph Nyes konseptualisering av avskrekking ved nektelse, straff, normer og gjensidig avhengighet for å belyse vårt argument.

Avskrekkingens mekanismer

Joseph Nye (2017) argumenter for at avskrekking i cyberdomenet opererer gjennom fire mekanismer: gjengjeldelse, nektelse, normer og gjensidig avhengighet. Disse fire mekanismene vil alle i varierende grad være relevante for å avskrekke cyberangrep (Nye, 2017). Avskrekking ved gjengjeldelse var grunnsteinen i nukleær avskrekking og baserer seg på trusselen om å gjengjelde et angrep. Denne formen for avskrekking blir ofte hevdet å være mindre relevant for cybervåpen grunnet problemene med å slå fast hvor et angrep stammer fra. Likevel har gjengjeldelse blitt hevdet å være et nyttig verktøy for å avskrekke, og da særlig som et ledd i et bredere spekter av politiske og økonomiske virkemidler (Nye, 2017).

Nektelse som mekanisme har også blitt tilpasset de skiftende digitale rammebetingelsene. I senere tid har man skiftet fokus fra å nekte angrep, som er vanskelig grunnet den økende kompleksiteten i digitale nettverk, for i stedet å vektlegge resiliens. Ved å gjøre ulike systemer vanskeligere å infiltrere samt minske konsekvensen av en infiltrasjon må den angripende part bruke flere ressurser for mindre gevinst. Dette vil igjen bidra til å gjøre digitale angrep mindre effektive og dyrere, noe som vil ha en avskrekkende effekt (Nye, 2017).

De to mekanismene beskrevet over, er allment akseptert som hovedmekanismene for avskrekking, men Nye trekker frem to andre mekanismer som også er av betydning. Den første er gjensidig avhengighet, eller faren for at et angrep vil ramme en selv eller andre stater. Et slikt angrep vil enten skade ens egne interesser eller risikere å trekke tredjeparter inn i konflikten. Dette er særlig relevant for cyberavskrekking på grunn av den høye graden av sammenkobling av digitale systemer, noe som øker risikoen for utilsiktede konsekvenser. Risikoen for slike effekter vil ifølge Nye virke avskrekkende for en potensiell angriper. Den siste mekanismen, normer, antar at stater ikke vil utføre angrep som bryter sterkt med rådende oppfatninger av hva som er rett og galt. Risikoen for internasjonal fordømmelse vil derfor forhindre visse typer angrep og våpen. For cyberavskrekking har det blitt trukket frem at normer er mindre relevant for å stoppe bruken av en viss type våpen, men at det heller vil være en brems for angrep på visse typer mål, hvor kritisk sivil infrastruktur har blitt foreslått som et eksempel (Nye, 2017).

Dragen i cyberdomenet

Strategisk kultur har sitt utspring i hver enkelt stats kultur og historiske bakgrunn. Disse faktorene gir sterke føringer for hvilke sikkerhetsmål man forsøker å oppnå, og hvilke virkemidler som er legitime i å nå disse målene. Ulike strategiske kulturer kan dermed oppfatte en sikkerhetsutfordring ulikt og ha vidt forskjellige strategier og virkemidler for å møte denne (De Wijk, 2012). For det kinesiske regimet har de strategiske hovedprioriteringene blitt oppsummert som følger: å beholde det kommunistiske regimet, å opprettholde økonomisk vekst, å bevare stabilitet innad, å bevare nasjonal suverenitet og å sikre Kinas status som global stormakt (Heinl, 2017). Mens de strategiske prioriteringene har ligget fast i lang tid, har det blitt argumentert for at det kinesiske regimet har inntatt en mer konfronterende posisjon de siste årene (Inkster, 2016). Digital politikk, både med tanke på nasjonal sikkerhet, bevaring av stabilitet innad og sikring av økonomisk vekst, har blitt et viktig element i den endrede kinesiske utenrikspolitikken og retorikken (Heinl, 2017; Webster et al., 2017; Triolo et al., 2017; Creemers, 2017). Den kinesiske tilnærmingen til cybersikkerhet har noen klare motsetninger til den «vestlige» forståelsen av sikkerhetsutfordringene. I den vestlige forståelsen har den primære trusselen vært enten tyveri av sensitiv informasjon eller sabotasje av kritiske funksjoner, mens den kinesiske tilnærmingen i større grad vektlegger innhold og meningsytringer som sikkerhetstrusler (Lindsay et al., 2015).

Totalt sett fører disse kulturelle og strategiske prioriteringene til at visse definerende trekk ved digitalisering blir oppfattet forskjellig i Vesten og hos kinesiske styresmakter (Zheng, 2015). Prinsipper som fri flyt av informasjon og deling av ideer, grunnsteiner i filosofien internett er bygget på, blir i mye større grad sett på som et problem og en sikkerhetsutfordring i den kinesiske konteksten (Lu Wei, 2014). Samtidig argumenter det kinesiske regimet for at suverenitetsprinsippet også gjelder for digital kommunikasjon og informasjon, sammenstilt i begrepet «cybersuverenitet». Dette begrepet bygger på et argument om at kinesiske myndigheters rett til å styre og kontrollere «sin» digitale sfære er like sterk som deres suverenitet over det fysiske territoriet som utgjør Kina. (Raud, 2016; Austin, 2014). Riktignok er det også i vestlige land et økt fokus på statlig kontroll over digitale teknologier,⁴ men utviklingen er betydelig sterkere i mer autoritære land som Kina, Iran og Russland (Morgus et al., 2018)

I de senere år har det kinesiske regimet gått langt i å omgjøre disse perspektivene til praktisk utenrikspolitikk. I offisielle publikasjoner, strategier og notater er betydningen av digital suverenitet understreket og fremhevet (Heinl, 2017). Dette gjenspeiler seg i kinesiske myndigheters skepsis til amerikanskeide selskaper og tjenesteleverandører. Det er et økende fokus på leverandører av teknologi og et ønske fra kinesiske myndigheter om å minske avhengigheten av utenlandske programvarer og teknologier (Creemers, 2017). Videre har man innført strenge regler for oppbevaring av data og promotert kinesisk teknologier og selskaper, også utenfor statens grenser (Inkster, 2016). Det mest omtalte av tiltakene har vært opprettelsen av den såkalte kinesiske brannmur, som filtrerer innhold fra resten av verden før det når kinesiske brukere (Weaver 2015). De siste årene har en strengere politikk mot virtuelle private nettverk gjort mulighetene for å omgå denne filtreringen vanskeligere (Pham, 2017). Etter at en ny cybersikkerhetslov trådte i kraft i juni 2017, har man også sett en rekke mindre tiltak, som regulering av medier, sterkere beskyttelse av data, byråkratisk omorganisering og et bredt spekter av reguleringer og standarder (Triolo et al., 2017).

Sikkerhetskultur og avskrekking

Ulike strategiske kulturer påvirker avskrekking som konsept på flere måter, både direkte og indirekte. I denne artikkelen vil vi fokusere på to måter kulturelle forskjeller påvirker mulighetene til cyberavskrekking på. Den første av disse dreier seg om konkrete uenigheter rundt konsepter og ideer og ulike virkelighetsoppfatninger. Å se ulikt på et problem innebærer at dette må «oversettes» slik at to parter kan snakke sammen og forstå hverandre. Et viktig poeng er dermed om både Kina og vestlige land har den samme forståelsen av cybersikkerhet og konseptet avskrekking. Den andre mekanismen handler om hvordan strategisk kultur gjenspeiles i de faktiske tekniske komponentene. På et grunnleggende nivå handler cybersikkerhet om infrastruktur, servere og protokoller for kommunikasjon. Ulike kulturelle og sosiale oppfatninger gjør at cyberdomenet ikke bare forstås annerledes, men at det helt konkret er annerledes.

Et naturlig sted å starte er de ulike forståelsene av begrepet avskrekking i kinesisk og vestlig litteratur. Ettersom avskrekking har vært et så viktig begrep i den vestlige litteraturen, særlig i etterkant av den kalde krigen, har man gått langt i å anta at dette er et universalt begrep. Resultatet har vært at kinesisk atomvåpenpolitikk har blitt lest fra et avskrekkingsperspektiv (Lewis, 2008). Et spørsmål verdt å stille seg, er om avskrekking har hatt den samme betydningen i kinesisk strategisk tenkning, og om konseptet var like utviklet og enhetlig som i vestlig tenkning (Taylor & Medeiros, 2011). Relatert til dette, og vel så relevant, er i hvilken grad vestlige strateger er i stand til å ta inn over seg den kinesiske forståelsen av avskrekking. Som et eksempel har argumentet om et mer selvsikkert og konfronterende kinesisk regime blitt kritisert for å være en feillesing av tidligere oppførsel (Johnston, 2013). For at avskrekking skal fungere, er det essensielt med vellykket kommunikasjon mellom den avskrekkende part og mottakeren. Forvirring og misforståelser rundt motpartens prioriteringer og logikk vanskeliggjør avskrekking. Dette taler for en tilpasning til ulike lands kulturer (Lantis, 2009).

De ulike oppfatningene stopper ikke ved begrepet avskrekking. Det finnes også ulike oppfatninger av hva cybersikkerhet er. Uenighet om hvorfor digitale teknologier er et sikkerhetsproblem, gjør det vanskelig å bli enig om hvordan man skal forhindre uønsket aktivitet. Uten en felles forståelse av hva som er skadelig aktivitet, er det vanskelig å lykkes med gjensidig avskrekking. Et eksempel på dette er utviklingen innen spionasje, hvor cyberangrep har blitt et utbredt virkemiddel for denne type «gråsone»-aktiviteter (Rid, 2011, s. 82). Fra vestlig side har den utbredte kinesiske bruken av industrispionasje for å stjele informasjon fra private selskaper vært et omstridt tema, ettersom statlig spionasje mot private selskaper anses som illegitime mål i Vesten (U.S. Department of Justice, 2018). Den tettere koblingen mellom kinesiske selskaper og regimet, som mest tydelig har blitt problematisert i den økende konflikten rundt Huawei, tyder på at skillelinjen mellom offentlig og privat er mindre markant i kinesisk kontekst (Al Jazeera, 2019). De to ulike oppfatningene av hva som er «legitim» spionasje, resulterer i ulike virkemidler. I en slik kontekst vil det være mer relevant med trusler om gjengjeldelse og kommunikasjon av ens egen posisjon og prioriteringer, slik det var tilfellet da Kina og USA kom til en enighet om økonomisk spionasje i 2015 (Gomez, 2017). Videre gjør uenigheter om hva cybersikkerhet egentlig er, at det blir vanskeligere å utvikle internasjonale normer. Den økte konflikten i internasjonale fora gjør at normer blir et mindre relevant virkemiddel mellom stater som har ulike oppfatninger, slik Kina og Vesten har i dag (Tikk & Kerttunen, 2018)

Et tredje og siste argument dreier seg mindre om ulike forståelser av avskrekking og cybersikkerhet og mer om hvordan ulike forståelser resulterer i andre teknologiske virkeligheter. Teknologi og teknologisk utvikling oppstår ikke i et vakuum, men i samspill i en større sosial kontekst som former hvordan teknologien fungerer (Rid, 2016; Jasanof, 2004). Det er allerede i dag en tiltakende konflikt mellom Vesten og Kina om leveranser av teknologi og bruken av utenlandske selskaper. Vestlige land peker i stor grad på risikoen for spionasje, sabotasje og kritisk infrastruktur og misbruk av private selskaper, med referanse til den kinesiske sikkerhetsloven for å begrunne sin mistillit (Al Jazeera, 2019). Samtidig har kinesiske myndigheter stengt selskaper som Google og Facebook ute, ettersom disse ikke er villige til å lagre data lokalt i Kina (Sacks, 2018). Uenigheten og mistilliten når det gjelder felles regler for digital teknologi, resulterer dermed i stadig mer separate nettverk og systemer, ettersom stater stenger ute teknologi fra land de ikke er alliert med.

Hva er så konsekvensene av dette for avskrekking? Et viktig poeng er at ulike systemer risikerer å undergrave gjensidig avhengighet som en konfliktdempende mekanisme. Stadig mer ulike systemer i Kina og Vesten vil minske relevansen av en slik avhengighetslogikk. Som et illustrerende eksempel kan vi se på et angrep mot ukrainske selskaper sommeren 2017. NotPetya-skadevaren, høyst sannsynlig et russisk angrep på Ukraina, spredde seg via et ukrainsk firma som leverte ett av de to regnskapsprogramvarene som selskaper i landet var pålagt å bruke. Ved å bruke dette sær ukrainske selskapet som angrepsvektor har det blitt spekulert i at man ville begrense skadeomfanget til mål kun i Ukraina. Men ettersom angrepet også utnyttet en sårbarhet i Windows, ble den faktiske spredningen mye større, og en rekke selskaper utenfor Ukraina ble rammet (Greenberg, 2018). Risikoen ved mer atskilte systemer og teknologier er at slike uintenderte konsekvenser blir mindre utbredt, noe som potensielt vil senke terskelen for å gjennomføre digitale angrep. Dersom ulike kulturelle og historiske erfaringer resulterer i ulike teknologiske systemer, vil avskrekking måtte tilpasses denne nye virkeligheten. Gjensidig avhengighet og normer vil bli mindre relevante mekanismer i de tilfellene hvor det er stor uenighet om hva cybersikkerhet faktisk er, både fordi stater ikke vil klare å enes om felles regler å basere seg på, og fordi uenigheten vil kunne resultere i vidt ulike teknologiske økosystemer. I en slik situasjon vil man måtte lene seg tyngre på mekanismer som nektelse og straff, fordi normer og gjensidig avhengighet vil ha mindre relevans. Hvis systemene blir mindre sammenkoblet, kan til og med straff som avskrekkingsstrategi bli mer effektivt, nettopp fordi angrep vil kunne bli mer målrettet.

Konklusjon

Den stadig økende betydningen av digital teknologi i moderne samfunn har gjort spørsmålet om cybersikkerhet til et av de mest omtalte temaene i internasjonal politikk. En av de store debattene omhandler avskrekking og i hvilken grad begrepet er anvendbart i cyberdomenet. Denne debatten har i stor grad handlet om de teknologiske særegenhetene, slik som utfordringene med å attribuere angrep, den høyere tilgjengeligheten til digitale våpen og den lavere terskelen for angrep. Denne typen argumenter tar i stor grad utgangspunkt i at teknologien er lik for alle og har samme påvirkning på tvers av sosiale og kulturelle kontekster. Selv om denne typen argumenter har mye for seg, har vi i denne artikkelen belyst hvordan stater oppfatter og anvender teknologi ulikt, og at ulike strategiske kulturer dermed krever ulike fremgangsmåter for avskrekking. Vi har trukket frem tre måter strategisk kultur påvirker avskrekking i cyberdomenet på: Ved at stater forstår avskrekking forskjellig, ved at stater har ulik forståelse av cybersikkerhet og av hvordan/hvorfor digitalisering kan være en sikkerhetsutfordring, og ved at disse forskjellene gjenspeiler seg i stadig mer differensierte teknologier og systemer.

Ved å anvende dette rammeverket på forholdet Vesten-Kina har vi vist hvordan de ulike strategiske kulturene har stor innflytelse på avskrekking. De forskjellige oppfatningene i Vesten og Kina gjør visse mekanismer for avskrekking mindre relevant, som normer og gjensidig avhengighet, mens andre, som nektelse og straff, kan bli mer relevant. Mens de konkrete mekanismene kan debatteres, vil det overordnede poenget være gjeldende: Den kulturelle konteksten vil være like styrende for hvordan og i hvilken grad cyberavskrekking fungerer, som teknologien i seg selv. Ved å komplementere teknologisk forståelse med særegenhetene ved en strategisk kultur vil et klarere bilde av mulighetene for cyberavskrekking tre frem, og behovet for tilpassede avskrekkingsstrategier vil bli tydelig.