Cyberspace zonder conflict

Steeds meer landen kunnen cyberaanvallen uitvoeren die grote schade aanrichten aan bedrijven, mensen en overheidsinstellingen. Vrijwel alle landen gebruiken deze cyberwapens ook. Ze bespioneren elkaar en proberen in elkaars digitale systemen te infiltreren; sommige staten voeren zelfs cybersabotage uit of verspreiden desinformatie.

Nederland heeft, met zijn open economie, belang bij de-escalatie van dit conflict. Ook heeft het een lange traditie van vredesonderhandelingen en diplomatie. Vanuit die positie kan het de internationale samenwerking intensiveren. Dat blijkt uit dit rapport. We concluderen dat Nederland op vijf manieren de oplopende conflicten in cyberspace kan afremmen.

1. Het moet internationaal samenwerken om digitale producten en diensten veiliger te maken.
2. Ook moet Nederland heldere internationale afspraken maken, in bijvoorbeeld een cyberverdrag.
3. Verder is het belangrijk de aanschaf van cyberwapens internationaal te coördineren.
4. En omdat technologiebedrijven een cruciale rol vervullen in de beveiliging van de digitale omgeving, moeten ook zij worden ondersteund en gereguleerd.
5. Tot slot moet de overheid burgers meer betrekken bij beslissingen over cyberveiligheid.

Het karakter van cyberaanvallen

Dit rapport beschrijft allereerst wat cyberaanvallen zijn, en vergelijkt deze met conventionele militaire aanvallen. Dit levert het volgende beeld op.

Cyberaanvallen kunnen veelal vanaf grote afstand plaatsvinden, kunnen zich razendsnel verspreiden en zijn soms lastig te detecteren – zeker als het geraffineerde spionage betreft, of hoogwaardige vervalsingen van beeld en geluid. Cyberaanvallen worden soms zelfs als een dienst aangeboden. Cyberaanvallers variëren van inlichtingendiensten tot cybercriminelen, en hoeven zelden te vrezen voor de gevolgen, zoals berechting.

Tegelijkertijd zijn cyberaanvallen niet per se schadelijker dan conventionele aanvallen. Sterker nog: Cyberaanvallen richten zelden ernstige fysieke schade aan en kunnen in veel gevallen onschadelijk gemaakt worden. Eenmaal bekend kan malware automatisch gedetecteerd en geweerd worden, mits leveranciers en gebruikers hun softwaresystemen tijdig updaten.

De opkomst van cyberaanvallen creëert daarom niet alleen serieuze veiligheidsrisico’s, maar ook mogelijkheden om de schade te verzachten.

Drie tredes op een escalatieladder

Elke dag zijn er cyberaanvallen. Dit rapport geeft een overzicht van wie ze uitvoert, waarbij we de rol van de grote cybermachten – de Verenigde Staten, Rusland en China – benadrukken, en ook Nederland en een aantal andere Europese landen bespreken. Dit doen we door de activiteiten te markeren op een zogenoemde cyberescalatieladder, die drie tredes telt:

1. Een trede gekenmerkt door cybervrede, waarin landen niet met digitale middelen spioneren en ook geen sabotage uitvoeren of desinformatie verspreiden.
2. Een trede gekenmerkt door informatieconflict, waarin staten overgaan tot cyberspionage en, in sommige gevallen, het verspreiden van desinformatie en het saboteren van digitale systemen.
3. Een trede gekenmerkt door cyber-fysieke oorlog, waarbij de schade die staten aanrichten zo ernstig is dat er sprake is van gewapende aanvallen. Tijdens een cyber-fysieke oorlog vallen alle soorten cyberaanvallen overigens onder het internationaal recht, en niet alleen de weinige cyberaanvallen die op zichzelf een gewapende aanval constitueren.

Steeds meer landen kunnen cyberaanvallen uitvoeren die grote schade aanrichten aan bedrijven, mensen en overheidsinstellingen. Vrijwel alle landen gebruiken deze cyberwapens ook. Ze bespioneren elkaar en proberen in elkaars digitale systemen te infiltreren; sommige staten voeren zelfs cybersabotage uit of verspreiden desinformatie. Door middel van informatietechnologie ontstaat een nieuw conflict. In dit rapport spreken we van een informatieconflict.

In dit onderzoek hebben we de vraag gesteld hoe Nederland kan bijdragen aan de-escalatie van dit informatieconflict. Dit rapport geeft een overzicht van de internationale situatie en richt zich op de cyberwapenopbouw en het diplomatieke beleid van landen. Uit literatuur en gesprekken blijkt dat staten over cyberaanvallen geen heldere afspraken hebben gemaakt.

Dat maakt de huidige internationale situatie riskant en zorgwekkend. Als Nederland wil bijdragen aan het de-escaleren van dit informatieconflict, dan zijn vijf acties van belang:

1. Blijf samenwerken om de internationale cybersecurity te verhogen
   Internationaal zijn er belangrijke initiatieven ontplooid om de veiligheid van cyberspace te verbeteren, zoals de IMPACT-coalitie, het Europese netwerk van Cyber Emergency Incident Response Teams en de NAVO-cyberoefeningen. Nederland heeft zich hierbij aangesloten. Deze samenwerkingen blijven van groot belang.
    
2. Maak heldere internationale afspraken voor de-escalatie op het gebied van cybersabotage, desinformatie en cyberspionage
   Hoewel Nederland en andere landen belangrijke stappen hebben gezet om internationale regels voor cyberaanvallen te formuleren, zoals het Tallinn Handboek en de Paris Call for Trust and Security in Cyberspace, zijn de regels algemeen. Het is belangrijk concretere afspraken te maken, ook over het informatieconflict. Daarbij kan gedacht worden aan een cyberverdrag.
    
3. Zorg dat het cyberarsenaal verantwoord wordt beheerd
   Het is belangrijk verdere verspreiding (proliferatie) van cyberwapens tegen te gaan. Dit vraagt om een internationale coördinatie van de aanschaf van cyberwapens, en om een effectieve samenwerking met technologie-bedrijven die kwetsbaarheden in hun producten kunnen verhelpen. Deze samenwerking vraagt ook, zeker onder bondgenoten, om zo veel mogelijk openheid.
    
4. Bescherm de onafhankelijkheid van technologiebedrijven
   Technologiebedrijven vervullen een cruciale rol in de beveiliging van de digitale omgeving. Zij dichten de gaten in hun software en kunnen robuuste digitale toepassingen op de markt brengen. Het is belangrijk om bedrijven te ondersteunen om zo veilig mogelijk te opereren. Overheden nemen een risico als ze van bedrijven eisen de veiligheid van producten heimelijk te verzwakken. Overheden moeten zowel de technologie als de technologie-bedrijven dus verstandig reguleren.
    
5. Investeer in debat over internationale cyberveiligheid
   Het informatieconflict is bij uitstek een onderwerp voor democratisch debat: juist burgers worden geraakt door cyberaanvallen. Ze moeten weerbaar zijn. Ook is het aan hen om richting te geven aan de digitale toekomst. De-escalatie van het informatieconflict vraagt daarom om een maatschappelijk en politiek debat.

Er zijn 3 soorten cyberaanvallen in de fase tussen oorlog en vrede. Dat zie je hieronder.