Inn i gråsonen: avskrekking som forsvar av cyberspace?

Begrepet avskrekking i militær teori – fra den kalde krigen til i dag

Avskrekking betegner evnen til å overbevise motstandere om at du er i stand til å påføre dem betydelige kostnader eller begrense deres mulige gevinst dersom de skulle begå en offensiv handling mot deg. Avskrekking er en nødvendig delkomponent i militærstrategi og omfatter potensiell eller faktisk anvendelse av makt for å påvirke handlingene til en aktør (Freedman, 2004, s. 26). I motsetning til tvang – som tar sikte på å endre en atferd som allerede er påbegynt – tar avskrekkingsmanøveren sikte på å endre en aktørs atferd før den blir satt i verk. Dette gjøres i følge avskrekkingsteori ved å endre aktørens kostnads- og nyttevurdering av de ulike strategiske valgene som er tilgjengelige (Freedman, 2004; Snyder, 1961). Hvis aktørene oppfatter at den forventede kostnaden av en bestemt handling er større enn den sannsynlige nytteverdien, vil de ifølge teorien bli avskrekket fra å utføre denne handlingen, og status quo blir opprettholdt.

Avskrekkingen er dermed betinget av hvorvidt en motstander oppfatter en trussel som troverdig. Det er med andre ord ikke kun avhengig av rent teknisk, men også psykologisk evne. Dette psykologiske aspektet kan illustreres ved forskjellen mellom de to tradisjonelle typene avskrekking: gjengjeldelse og hindring. Den førstnevnte er avhengig av at forsvarerens trussel om å slå tilbake dersom den skulle bli angrepet, blir ansett som troverdig av angriperen, og videre at ethvert forsøk på angrep vil bli gjengjeldt. Den sistnevnte er avhengig av forsvarerens evne til å hindre angriperen i å oppnå målet sitt (Snyder, 1961). Mens gjengjeldelse innebærer ren maktbruk, inneholder hindring også elementer av kontroll. Hindring i denne forstand har til hensikt å beholde kontroll over situasjonen i så stor grad at motstanderen fratas sine strategiske alternativer, uten nødvendigvis å bli tvunget til å godta et bestemt utfall (Freedman, 2004, s. 37).

Avskrekking ble ansett som en vellykket strategisk modell under den kalde krigen, da stormaktenes gjensidige avskrekking forhindret bruken av atomvåpen. Til tross for perioder med strategisk spenning og eskalering har denne vellykkede forhindringen av atomkrig kommet til å forme etterfølgende debatter om avskrekking som militærstrategi. Dette har hatt ringvirkninger også for andre strategiske domener. Avskrekkingstankegangen slik den ble praktisert i en atomkonflikt, kan imidlertid ikke like enkelt overføres til andre sammenhenger (Harknett, 1994; 2018). Atomvåpen står i skarp kontrast til andre våpen som brukes til avskrekking, spesielt der hvor et mangfold av aktører, intensjoner og teknologiske ressurser eksisterer i tett samspill i en sjablong av konkurrerende kapabiliteter og muligheter (Sterner, 2011).

Selv om kunnskap fra den kalde krigen gir nyttig innsikt i strategisk interaksjon mellom stater, kan en modell for avskrekking i cyberdomenet ikke avledes direkte fra ideen om avskrekking basert på atomvåpen (Lupovici, 2014). I motsetning til atomvåpen, som brukes én gang av en enkelt aktør, og hvor det er tydelig hvor angrepet kommer fra, er «attribusjonsproblemet» et av de første og mest fremtredende problemene som blir identifisert og diskutert av både praktikere og akademikere i debatter om cyberavskrekking.

Et attribusjonsproblem?

William J. Lynn, tidligere viseforsvarssjef i USA, skrev i 2010 at missiler kommer med en returadresse, men det gjør som oftest ikke et datavirus. Videre påpekte han at arbeidet med å identifisere en angriper kan ta måneder, om det det i hele tatt er mulig (Lynn, 2010, s. 99). Hovedbakgrunnen for attribusjonsproblematikken er påstanden om at en aktør som opererer i og gjennom cyberspace, kan skjule kilden til angrepet og dermed sin egen identitet. Når man ikke vet hvem som har til hensikt å utføre et angrep, er det vanskelig å avskrekke fra gjennomføring av det (Lindsay, 2015, s. 8). Tilsvarende, dersom man ikke vet hvem som har utført ett angrep, er det vanskelig å avskrekke aktøren fra å gjenta det.

Den potensielle mangelen på en «returadresse» har lenge vært erkjent som et hinder for muligheten og evnen til å innta en troverdig avskrekkingsposisjon i cyberspace (Lynn, 2010, s. 99). Ut fra denne problematikken hevder teoretikere som Taddeo (2017), Goodman (2010) og Haley (2013) at attribusjon av angrep igjennom cyberspace i beste fall er problematisk, om ikke umulig. Selv om attribusjonsproblemet gjør det mer komplisert å avskrekke en potensiell angriper, er anonymitet imidlertid ikke noe absolutt kjennetegn i cyberspace. Mangel på attribusjonsevne vil ikke nødvendigvis gjøre avskrekkingen mindre effektiv. I tillegg til dette er attribusjonsproblematikken ikke unik for cyberdomenet; væpnede angrep utføres også ofte anonymt (Elliott, 2011).

Som Lynn (2010) påpekte, kan oppsporing av kilden til et digitalt angrep ta tid – selv om den har blitt kortet betydelig ned ved hjelp av involvering av eksperter fra privat sektor. I tillegg finnes det andre måter å omgå attribusjonsproblemet på. Som Rid og Buchanan (2015) hevder, må attribusjon settes i kontekst. Det er ikke utelukkende avhengig av tekniske forhold. Angrep må vurderes ut fra en større sammenheng og settes inn i en sammenheng (Betz & Stevens, 2011). Attribusjon er like mye en politisk som en teknisk utfordring. Selv om man ikke kan være hundre prosent sikker, er det ikke umulig å attribuere; det kan finnes solid grunnlag for å anta at en bestemt aktør har vært involvert i en cyberoperasjon, selv uten tekniske bevis (Betz & Stevens, 2011). Et eksempel på dette er kongresshøringen om påstått russisk innblanding i det amerikanske presidentvalget i 2016. Alle vitnene bekreftet at etter deres oppfatning var det Russland som sto bak operasjonen, selv uten at det forelå en «smoking gun» på den tiden høringen fant sted (US Senate Select Committee on Intelligence, 2017). Konklusjonen var basert på vurdering av en rekke politiske, tekniske og strategiske faktorer.

Om vi aksepterer premisset at attribusjon ikke nødvendigvis er et like stort problem for avskrekking som det blir hevdet i debatten, stiller spørsmålet seg annerledes. I stedet for å stille spørsmål ved om avskrekking er et problem, burde vi heller stille spørsmål ved hvordan den skal anvendes, og hva stater ønsker å avskrekke.

En revurdering av avskrekkingsparadigmet – nye ideer

Flere forskere har lagt frem forslag til hvordan cyberavskrekking kan virkeliggjøres. Joseph Nye (2012) hevder at nøkkelen til vellykket avskrekking fra cyberangrep ligger i «self-deterrence» – avskrekking som påfører kostnader på både angriperen og den som blir angrepet. Denne ideen er basert på gjensidig avhengighet som gjør at dersom angriperen lykkes med angrepet sitt, vil dette koste både offeret og den som angriper. Argumentet baserer seg på ideen om at dersom to stater er avhengig av de samme tingene, vil et angrep mot «offeret» også påføre agressoren skade. Cyberspace blir her presentert som en global allmenning hvor alle stater har en interesse og goder av å bruke internettet. En slik avhengighet vil hindre et land i å angripe et annet, da en automatisk ikke bare skader «offeret» men også angriperen selv. Det er per i dag ingen formell aksept for cyberspace som en slik global allmenning, men at land er bundet sammen gjennom internett, frykten for en potensiell eskalering og uforutsette utfall av et angrep må tas i betraktning av en potensiell angriper. Jo mer et land er avhengig av digital infrastruktur, desto viktigere vil det være å opprettholde et stabilt og trygt internett (Nye, 2012).

En annen avskrekkingsmodell som baserer seg på at attribusjon ikke nødvendigvis er et problem, omfatter «normbasert avskrekking» fra digitale angrep. Denne modellen, som først ble lagt frem av Freedman i 2004, baserer seg på at, i likhet med atomvåpen, er det ikke bare våpenet i seg selv som må forstås, men også dem som har tilgang til disse våpnene. Avskrekking blir følgelig ikke utelukkende et spørsmål om teknisk evne til å handle, men også om forståelsen av praksis og de involverte aktørenes motiver og intensjoner om å handle, samt av de sosiale, kulturelle og politiske faktorene som former dem.

Selv om dette er et viktig poeng, vil en slik normbasert avskrekking være mest effektiv mot stater og mindre anvendelig overfor ikke-statlige aktører, da evnen til å kommunisere med disse er mer begrenset. Evnen til å svare på et vellykket angrep fra en ikke-statlig aktør vil også være mindre. For å omgå dette problemet foreslår Uri Tor (2017) et kumulativt avskrekkingsparadigme. Det kumulative paradigmet tar ikke sikte på å forhindre at cyberangrep vil skje, da dette betraktes som urealistisk. Det kumulative avskrekkingsparadigmet tar heller for gitt at cyberaggresjon vil finne sted, og søker snarere å forebygge og begrense slike handlinger gjennom å gå til angrep mot den rivaliserende aktøren. Tor hevder at slike angrep må skje gjentatte ganger som tilsvar på cyberaggresjon over lang tid. Noen ganger vil også den utløsende hendelsen måtte møtes med en uforholdsmessig kraftig respons (Rid, 2012). Det kumulative avskrekkingsparadigmet er dermed av restriktiv snarere enn av absolutt natur. Det forutsetter at ulike former for angrep vil finne sted, med både store og små virkninger, og dermed er det ikke et spørsmål om de vil skje eller ikke. Graden av avskrekking er dermed det viktigste spørsmålet. Et sentralt trekk ved dette paradigmet er at avskrekkingen skjer på tvers av flere domener, og at aktivitetene ikke er begrenset til cyberspace. Det er også behov for kinetiske operasjoner i tillegg til diplomatisk og politisk påvirkning.

Tors rammeverk inneholder elementer av makt, da det ikke kun er rettet mot aggressorens oppførsel, men også er konstruert for å påvirke de andre som deltar i spillet. Mens Nye argumenterer for et fokus på økonomisk sammenveving og normer, beskriver Tor en posisjon som beveger seg bort fra absolutt avskrekking, mot et kumulativt cyberavskrekkingsparadigme som er restriktivt og kontinuerlig. Disse modellene har både styrker og svakheter, men begge understreker hvordan avskrekking av et cyberangrep må ta de faktiske forholdene rundt et angrep i betraktning. Videre viser de kompleksiteten som er involvert. Selv om de har ulikt fokus, antar de ulike modellene at avskrekking av cyberangrep er mulig, og de er innforstått med at det kan finnes mer enn én riktig variant. De erkjenner at det er usannsynlig at cyberavskrekking kan forhindre alle angrep kun ved hjelp av cybermidler. De ulike avskrekkingsposisjonene søker om mulig heller å påvirke konfliktområdet, uten noen forventning om total dominans.

Ut av gråsonen

Cyberavskrekking har blitt et tema for en omfattende militær, politisk og akademisk debatt konsentrert rundt en rekke viktige operasjonelle konsepter og overveielser (Stevens, 2012; Lupovici, 2014; Tor, 2017). Med attribusjonsproblematikken som et sentralt tema har debatten fokusert på hvorvidt cyberavskrekking kan fungere, men med liten konsensus rundt hva man skal forsøke å hindre, og hvordan, og hvilke konsekvenser en slik forhindring skal føre med seg (Sulmeyer, 2017). Ved å granske begrepet avskrekking har denne artikkelen vist at det dynamiske miljøet, truslenes omfang, mangfoldet av statlige og ikke-statlige aktører og de tekniske utfordringene forbundet med attribusjon, krever en omorientering av hvordan vi tenker rundt avskrekking og de praksisene som er forbundet med dette. En slik nytenking vil med fordel kunne fokusere på det som er særegent for cyberspace, men må også omfatte en oppmyking av ortodokse tanker som er innarbeidet i eksisterende perspektiver. En slik utvidet tankegang kan forskyve de etablerte grensene for teorier knyttet til avskrekking.

Det er ikke kun én form for avskrekking som kan fungere. Cyberspace er komplekst, og et avskrekkingsparadigme må reflektere denne kompleksiteten. Cyberdomenet er et offensivt miljø hvor vi vil fortsette å se en jevn økning i antall cyberangrep. Dette betyr imidlertid ikke at ethvert forsøk på avskrekking vil være forgjeves. I motsetning til avskrekkingsteknikker rundt bruk av kjernevåpen og i andre konvensjonelle sammenhenger er ikke cyberavskrekking avgrenset verken i tid eller til spesifikke hendelser. Cyberangrep kommer i så mange ulike former at vi ikke kan være bundet til å rette avskrekkingen kun mot bestemte typer aggresjon. Slike angrep må settes inn i en bredere politisk kontekst som omfatter en rekke hendelser, og også deres mulige fremtidige ettervirkninger, av ulik skala og type.

Tradisjonelle modeller for avskrekking er utilstrekkelig for å møte trusler i og fra cyberspace i det 21. århundre. Cyberavskrekking er både mulig og gjennomførbart, men vil nødvendigvis bestå av en kumulativ prosess som omfatter mer enn militære midler. Cyberavskrekking er mulig i teorien, men det trengs større klarhet om hvilke handlinger man ønsker å avskrekke, med hvilke verktøy og til hvilken kostnad (Healy, 2017). I motsetning til påstandene om at strukturen av cyberspace gjør avskrekking teoretisk umulig, med tilhørende oppfordringer om å bevege seg bort fra paradigmet for cyberavskrekking generelt, argumenterer denne artikkelen for at avskrekking i cyberdomenet er mulig (Harknett & Nye, 2017). I stedet for å bevege oss vekk fra avskrekking som konsept, bør vi heller stille spørsmål ved om avskrekking i seg selv er løsningen. Det er behov for å fokusere på hva stater ønsker å avskrekke. Hvordan skal den strategiske planen for å avskrekke se ut, og hvordan skal den gjennomføres på tvers av flere domener?

De fleste offensive cyberoperasjoner representerer ikke trusler mot nasjonal sikkerhet på høyt nivå, men kan snarere karakteriseres som kriminelle handlinger. Bekjemping av disse krever tverretatlig og offentlig-privat samarbeid, men vanligvis ikke av militær og transnasjonal karakter. I stedet for konfliktforebygging i tråd med modellen for avskrekking mot bruk av kjernefysiske våpen vil det være mer formålstjenlig å forsøke å påvirke selve konfliktområdet, uten noen forventning om å kunne dominere dette området fullstendig. I likhet med andre former for kriminalitet er slike angrep vanskelige å avskrekke (Nye, 2017). Uten å forestille seg et skarpt skille mellom kriminelle og strategiske cyberangrep der dette ikke finnes, vil det heller være hensiktsmessig å avklare hvilke handlinger og prosesser som utgjør trusler mot nasjonal sikkerhet, og hvilke som ikke gjør det. Dette vil ha betydelige implikasjoner for avklaringen av forventninger og allokeringen av ressurser og dermed også for effektiviteten av avskrekking i cyberdomenet.

Angrep vil fortsette å forekomme hyppig i det digitale domenet. De er mange, kontinuerlige og tvetydige – og i stadig endring. Konflikt blir på denne måten den «nye normalen» i cyberspace (Korns, 2009). Enhver posisjon for avskrekking må underbygges av en forståelse av at cyberspacemiljøet er av «vedvarende persistens» (Harknett & Goldman, 2016). Forsøk på angrep av varierende størrelse, omfang og virkning vil fortsette å skje. For å lykkes må et fremtidig avskrekkingsregime bevege seg ut over de tradisjonelle militære aspektene rundt avskrekking og knyttes opp mot en bredere sosial og politisk kontekst. Dette kan gjøres ved å koble cyberoperasjoner til andre domener av nasjonal makt i et nøye overveid rammeverk som går på tvers av de ulike domenene. En slik kumulativ prosess omfatter elementer av både makt og avskrekking. Dersom avskrekking og motstandsdyktighet opptrer som integrerte komponenter i denne prosessen, med betydelig overlapp, vil motstandernes kostnads- og nytteanalyser kunne påvirkes. Et slikt rammeverk for cyberavskrekking aksepterer at cyberangrep vil skje, og tar samtidig høyde for at det ikke nødvendigvis er et uttrykk for svikt dersom noen lykkes med et angrep. Dette vil heller kunne anses som en mulighet til å lære og tilpasse seg.