Duas explicações para a escassez de operações ciber-militares entre domínios
Duas explicações para a escassez de operações ciber-militares entre domínios
Enquanto os Estados Unidos avaliavam as consequências do hack da cadeia de suprimentos da SolarWinds em 2020, autoridades de defesa de outros lugares temiam a perspectiva de ataques subsequentes, ataques que poderiam comprometer sistemas de dados de vários setores de infraestrutura crítica, como serviços públicos e saúde [ 1]. Embora pareça que o hack não desencadeou nenhum ataque coordenado, a operação multivetorial da Rússia em uma confusão de espaço digital não é uma fantasia. A guerra “híbrida” na Ucrânia, desde 2013, testemunhou os ataques cibernéticos da Rússia em sua infraestrutura crítica e operações militares estendidas nas regiões da Crimeia e Donbas. Os ataques combinados aos sistemas de artilharia ucranianos, agências governamentais civis, rede elétrica e uma eleição presidencial deram às forças invasoras russas uma tremenda vantagem. A experiência na Ucrânia obrigou os analistas a concluir que “uma das consequências mais perigosas dos ataques cibernéticos é um efeito em cadeia planejado ou espontâneo que é acompanhado por resultados destrutivos” [ 2]. Se as forças cibernéticas russas, presumivelmente sancionadas por oficiais superiores ou operando abaixo do nível que requer autorização, pudessem trabalhar com oficiais militares para lançar conjuntamente uma operação “cross-domain” – uma operação que consiste em ataques em mais de um domínio, como cibernético e militar, é possível que hackers em outros lugares sejam encorajados a tentar seguir o exemplo. As ameaças são reais, nos dizem. Jason Healey escreve que “a perspectiva de que o conflito no ciberespaço pode se transformar em conflito cinético sugere que as operações no ciberespaço têm o potencial de causar instabilidade mais séria do que se supõe” [ 3 ].
Muitas coisas são desconhecidas sobre esta forma de guerra. Sabemos, é claro, que a maioria dos hackers não realiza operações militares e que não podemos estabelecer uma relação causal entre operações cibernéticas e militares [ 4 ]. No entanto, sabemos pouco sobre operações entre domínios. De que maneiras, por exemplo, os ataques cibernéticos devem complementar os ataques militares? Em quanto tempo eles precisam preceder ou seguir ataques militares para serem considerados de domínio cruzado? Por que os estados que patrocinam ataques cibernéticos optam por não expandir sua missão para combinar operações cibernéticas e cinéticas? Em outras palavras, embora haja tantos ataques cibernéticos, por que há tão poucas operações entre domínios? Neste artigo, concentro-me na última questão e elaboro um conjunto de cinco hipóteses sobre por que a maioria dos ataques cibernéticos não ocorre ao mesmo tempo que os ataques militares.
Minha análise revela que dos cinco, dois são mais convincentes do que os outros três. Primeiro, oficiais cibernéticos e militares tomam decisões estratégicas de não “atravessar o domínio” por motivos associados à divisão do trabalho. Em segundo lugar, muitos países enfrentam desafios técnicos significativos com operações entre domínios, que incluem contingência e preparação, mesmo que suas forças cibernéticas e militares estejam integradas (ou seja, as forças armadas têm unidades cibernéticas). As outras três razões não são tão persuasivas. Terceiro, o medo da escalada de conflitos pode manter os estados avessos ao risco longe de ataques entre domínios, mas um número crescente de estados vem desenvolvendo capacidade nos últimos anos para permitir estratégias cibernéticas mais agressivas, como aquelas baseadas em contramedidas de defesa ativa e até mesmo preempção. Quarto, alguns agentes com consciência situacional podem achar que o direito internacional aplicado ao ciberespaço restringe suas ações, mas, na realidade, o direito internacional não impõe regras aos estados para impedi-los de atividades entre domínios. Finalmente, embora as normas de comportamento afetem as decisões do Estado sobre operações cibernéticas e militares, seu papel é limitado porque não há tabu em operações entre domínios – operações entre domínios cibernéticos e militares. Em suma, os atores retêm operações entre domínios não tanto por medo, lei ou normas, mas por políticas internas e limitações técnicas. seu papel é limitado porque não há tabu em operações entre domínios – operações entre domínios cibernéticos e militares. Em suma, os atores retêm operações entre domínios não tanto por medo, lei ou normas, mas por políticas internas e limitações técnicas. seu papel é limitado porque não há tabu em operações entre domínios – operações entre domínios cibernéticos e militares. Em suma, os atores retêm operações entre domínios não tanto por medo, lei ou normas, mas por políticas internas e limitações técnicas.
Este artigo contribui para a literatura de segurança cibernética analisando alguns dos determinantes mais importantes das operações entre domínios. O estado atual de nosso conhecimento para no ponto de aceitar a premissa de que eles são propensos a ocorrer sem entender seus impedimentos. Este artigo dá um passo à frente para mostrar por que os ciberataques optam por se concentrar em suas operações quando o fazem. Para capturar os determinantes estratégicos de suas decisões, o artigo adota uma metodologia de pesquisa qualitativa baseada na quantidade máxima de informações de código aberto sobre incidentes de segurança. Fazer isso me permite estabelecer um conjunto de parâmetros lógicos do processo de tomada de decisão, examinando uma série de fatores que moldam o incentivo operacional dos guerreiros cibernéticos nos campos técnico, legal e normativo. Como obstáculos técnicos, como detecção e relatórios de incidentes, dificultam a geração de dados confiáveis sobre operações cibernéticas, faz sentido que este artigo não conduza uma análise quantitativa da totalidade desconhecida do caos digital altamente indesejável. O artigo prossegue em três etapas. Primeiro, defino os termos-chave e defino o escopo da análise. Em segundo lugar, examino cinco razões para mostrar por que foram lançadas tão poucas operações entre domínios. Por fim, concluo. Examino cinco razões para mostrar por que foram lançadas tão poucas operações entre domínios. Por fim, concluo. Examino cinco razões para mostrar por que foram lançadas tão poucas operações entre domínios. Por fim, concluo.
Definições, Escopo de Análise e Literatura
Começo com definições porque a linguagem subjacente usada para expressar termos relacionados tem ramificações importantes sobre o significado e a política [ 5 ]. Eu defino domínios cibernéticos e militares da seguinte forma. Eu sigo o Departamento de Defesa dos EUA (DOD) ao tratar o domínio cibernético como um domínio “dentro do ambiente de informação que consiste na rede interdependente de infraestruturas de tecnologia da informação (TI) e dados residentes” [ 6]. Eu trato o domínio militar como um composto dos meios usados na violência tradicional – terrestre, naval, aéreo e espacial – e os coloco juntos como um único domínio “militar”. Neste artigo, considero um hack em sistemas militares um ataque cibernético desde que tenha sido lançado no domínio cibernético, enquanto um ataque cinético lançado contra um alvo físico, incluindo computadores, é considerado um ataque no domínio militar. Eu defino uma operação entre domínios como uma operação na qual um ataque em um domínio está relacionado a um ataque em outro domínio. A maneira como uso o termo “domínio” aqui é funcionalmente equivalente ao uso de “tipo” de Lindsay e Gartzke em sua definição de dissuasão entre domínios, em que diferentes tipos de força, incluindo cibernética, estão sendo usados em diferentes domínios .]. É difícil estabelecer a causalidade como condição para a operação, então só exijo que a correlação esteja presente para que a definição seja válida desde que um ataque “cruze” de um domínio para outro durante um conflito. O momento deve estar razoavelmente próximo do primeiro incidente para que possamos fazer uma conexão intelectualmente defensável entre as operações cibernéticas e militares. Para este artigo, sigo um intervalo de três meses que Brandon Valeriano, Benjamin Jensen e Ryan Maness usaram para relevância, um intervalo lógico de linha de corte que nos permite fundamentar a conexão [ 8 ]. Usando o conjunto de dados do Integrated Crisis Early Warning System (ICEWS, 1995–2015), eles examinaram a correlação de instrumentos de política cibernética e não cibernética [ 9]. Embora este artigo não esteja preocupado se um ataque militar precede um ataque cibernético ou vice-versa, ele assume que os estados lançam operações cibernéticas e militares sobre as mesmas questões ao longo da duração do conflito (por exemplo, disputas territoriais). Enquanto, na realidade, os estados entram em guerra uns contra os outros por questões que podem mudar em seu meio (as próprias questões e seu significado relativo), este artigo assume que as operações entre domínios ocorrem por um conjunto de causas sobre as quais os oponentes discordavam no momento. início do conflito.
A observação superficial da literatura e da política governamental mostra que muitos analistas acham atraente a ideia de fertilização cruzada estratégica. Dispendiosas e talvez escaladas, as operações conjuntas geram enormes recompensas. Os ataques cibernéticos aumentam as operações militares cegando, confundindo e desarmando os adversários, enquanto os ataques cinéticos podem destruir suas redes digitais. Ataques em um sistema podem desviar a atenção do alvo para dar aos invasores tempo para consolidar os ganhos. A antecipação do ataque coloca os alvos em alerta constante e os força a gastar mais em defesa do que de outra forma. A política oficial enfatiza a recompensa esperada em trabalhar com a indústria para aumentar a capacidade de combate. O dinheiro voou para abençoar novos programas com nomes retumbantes. O ACSC (Centro Australiano de Segurança Cibernética), por exemplo,10 ]. Nos Estados Unidos, o Cross Domain Enterprise Service do DOD trabalha em conjunto com o programa Cross-Domain Solutions da Lockheed Martin para capacitar comandos combatentes e ramificações de serviços conjuntos [ 11 ]. Alguns chegaram a chamar as operações de todos os domínios de um novo “modo americano de guerra” [ 12 ].
Os estudiosos compartilharam o entusiasmo [ 13 ]. Entre os trabalhos acadêmicos mais importantes está o Cross-Domain Deterrence , de Jon Lindsay e Erik Gartzke, que abrange uma ampla gama de interações entre domínios, militares (terrestre, marítimo, aéreo, armas antissatélite e armas nucleares) e não militares (papel do cyber, migração e lei) [ 14]. Nosso conhecimento cresceu sob a exploração de David Gompert e Libicki sobre como a tecnologia da informação (TI) afeta o nível de estabilidade entre as potências nucleares. Eles descobriram que a TI aumenta a estabilidade nuclear, tornando o comando, o controle e as comunicações nucleares mais resilientes e aumentando o poder de ataque convencional dos estados, juntamente com capacidades de inteligência, vigilância e reconhecimento (ISR), embora ataques cibernéticos a unidades nucleares possam desencadear uma guerra nuclear [ 15 ].]. Fora das armas nucleares, o impacto das operações cibernéticas em outros domínios é mais limitado. Como a dissuasão do ciberespaço geralmente falha, Robert Mandel encoraja os estados a passarem dos atuais esforços de dissuasão para encontrar uma maneira de recrutar atores privados, desenvolver contramedidas, adicionar métodos de domínio cruzado e adotar “mecanismos de prevenção física baseados no medo”, bem como “esperar esquemas de persuasão baseados” [ 16 ]. Estudos como esses informaram muitos, incluindo a monografia do Centro de Estudos Estratégicos de Haia sobre um modelo de “escalada” onde as operações de domínio único podem se transformar em domínios cruzados por meio da escalada vertical e horizontal da hostilidade [ 17]. Ao mesmo tempo, os estudos revelam até que ponto as operações cibernéticas são lançadas. Alguns estudiosos duvidam abertamente sobre até que ponto os atacantes podem alcançar fins militares com instrumentos cibernéticos, concluindo que as armas cibernéticas têm capacidade limitada para servir como complemento às operações militares ou funcionar como um ataque cinético [ 18 ].]. Isso ocorre em parte porque os ataques a redes militares são menos reconhecidos na literatura aberta do que outros tipos de ataques cibernéticos. Os Estados têm todo o incentivo para não relatar incidentes e violações de inteligência e reagir secretamente a ataques a redes militares, especialmente sistemas de comando e controle e instalações nucleares, dificultando a coleta de dados e o exame empírico. Sarah Kreps e Jacquelyn Schneider levam esse ponto adiante, concluindo que, pelo menos nos Estados Unidos, “ataques cibernéticos criam um limite que restringe a escalada do conflito. Os americanos são menos propensos a apoiar a retaliação com força quando o cenário envolve um ataque cibernético, mesmo quando percebem que a magnitude dos ataques entre domínios é comparável” [ 19 ].
Em última análise, este artigo baseia-se em dois trabalhos que abordam diretamente nossa investigação. Vai com o desafio de Libicki da premissa de que ataques cibernéticos e militares estão correlacionados. Ele mostra que, embora o conflito cinético esteja mais associado às ações do ciberespaço do que antes, ainda não houve um número decisivo de ataques cibernéticos com consequências suficientes para induzir ecos no mundo físico. Ele encontra poucas evidências de que uma falha em responder a ataques cibernéticos, especialmente em infraestrutura crítica, encoraja ataques cinéticos [ 20 ].]. Consistente com isso é o estudo empírico de Nadiya Kostyuk e Yuri Zhukov sobre as recentes guerras híbridas na Ucrânia e na Síria. Na Ucrânia, eles examinaram 1.841 ataques cibernéticos únicos e 26.289 operações cinéticas por forças governamentais e pró-rebeldes entre 2014 e 2016, enquanto na Síria, seus dados incluem 682 ataques cibernéticos e 9.282 atos de violência por forças pró e anti-Assad entre 2011 e 2016. Eles descobriram que as atividades cibernéticas tiveram pouco ou nenhum impacto nas batalhas cinéticas [ 21]. Uma das razões para a falta de conexão direta entre ações militares-coercitivas e ciberataques pode ser que existam relativamente poucas ações estatais, especialmente atividades de espionagem, que seriam codificadas como atos de guerra interestadual no período em questão. Mas se pensarmos na coerção de forma mais ampla, incluindo guerra cibernética, guerra econômica e ações encobertas, a prevalência da cibernética em combinação com outros instrumentos de política pode ser maior. Isso tem implicações teóricas para analisar as operações cibernéticas como diferentes do conflito armado interestadual como um conjunto distinto de fatores. Embora cada caso seja diferente em termos de complexidade, variedade de defesas, ferramentas usadas e meios utilizados, a narrativa existente demonstra que, embora os governos tenham políticas avançadas para combater ameaças de vários domínios, estudiosos continuam a discordar sobre o nível de relevância. Nenhum trabalho acadêmico, no entanto, explorou o que pode impedir os estados de lançar ataques cibernéticos e militares ao mesmo tempo. Na seção abaixo, extraio um total de cinco hipóteses e discuto por que algumas delas são mais convincentes do que outras.
Hipótese 1: Divisão do Trabalho
A primeira hipótese postula que um ataque cibernético satisfaz o objetivo dos estados com frequência suficiente para que nenhuma operação militar seja necessária. Os ataques cibernéticos são não letais, temporários [ 22 ], e nas palavras de Libicki, “de alguma forma considerados menos graves e mais facilmente recuperados” [ 23 ]. A divisão do trabalho é importante em parte porque a grande maioria das atividades cibernéticas são para espionagem [ 24 ], uma visão consistente com a de que as operações cibernéticas são uma disputa de inteligência [ 25 ]]. Então, uma operação de domínio cruzado ocorre sob a colaboração institucional entre ramos de inteligência e militares. A divisão do trabalho significa desafios para oficiais cibernéticos e militares que contemplam operações conjuntas. Os hackers podem considerar seus métodos de ataque superiores aos meios militares, enquanto os militares consideram as armas cibernéticas subordinadas às suas. É claro que, como as operações conjuntas aumentam a eficácia, os incentivos são maiores para sincronizar as operações, especialmente na fase inicial da colaboração estratégica. Com muitos ramos militares tendo suas próprias unidades cibernéticas hoje em dia e recursos de segurança nacional constantemente em quantidades limitadas, ramos cibernéticos e militares de um único país muitas vezes se encontram em competição pelo controle das operações.
A teoria por trás da hipótese é baseada na escola de pensamento de que as operações cibernéticas atendem a objetivos estratégicos diferentes das operações militares; os primeiros vão atrás de alvos digitais enquanto os últimos físicos. Essa hipótese pode ser válida quando oficiais cibernéticos e militares se abstêm de realizar ações que cruzam o domínio porque as áreas de sua responsabilidade não se cruzam. Existem dois tipos de suporte empírico para a hipótese. Primeiro, a divisão do trabalho aparece mesmo em nações engenhosas como a China, onde unidades cibernéticas trabalham com outras unidades cibernéticas, mas não com contrapartes militares .]. Os líderes estaduais se abstêm de fundir forças cibernéticas em operações militares contra rivais estrangeiros. Por exemplo, quando navios paramilitares chineses colidem com barcos filipinos e vietnamitas no contestado Mar da China Meridional, a China raramente lança ataques cibernéticos para punir os desafiantes, não apenas porque não há necessidade de tal ação, mas porque suas forças cibernéticas são separadas daquelas da lei marítima. forças policiais e o Exército de Libertação Popular (PLA). Para outro exemplo, um grupo avançado de ameaças persistentes (APT) conhecido como Winnti Umbrella opera a partir de sua base no distrito de Xicheng de Pequim com especialização em direcionar certificados de assinatura de código e manipulação de software [ 27]. Os registros mostram que colaborou com outros APTs da China, como Axiom, APT17 e Mirage, na condução de ataques direcionados ao exterior, mas não com ramos militares. Não funcionou com o PLA, mesmo quando este realizou a 'Operação Aurora' em 2010, na qual a divisão cibernética do PLA, Unidade 61398, agiu de forma independente para roubar segredos comerciais do Yahoo, Morgan Stanley e Google. Grupos como o Winnti Umbrella não participaram, mesmo que pudesse ter ajudado com suas habilidades. Casos como esse mostram como a divisão do trabalho reduz a chance de que guerreiros cibernéticos e militares compartilhem fardos em uma única operação.
Em segundo lugar, a hipótese tem apoio empírico no fato de que a divisão do trabalho também evita que os atacantes comprometam objetivos mais amplos. As operações cibernéticas geralmente servem como uma opção padrão para estados com déficits consideráveis no poder militar convencional, como a Coreia do Norte contra os Estados Unidos. Para esses estados, faz mais sentido implantar armas cibernéticas em alvos financeiros do que realizar missões cinéticas. A Coreia do Norte evita que seus militares ataquem as forças dos EUA porque isso comprometeria seu objetivo principal de sobrevivência do regime. Seu meio preferido é separar missões militares de sabre (ou seja, desenvolver armas nucleares e mísseis em uma demonstração de força para deter potências estrangeiras) de missões cibernéticas para implantar hackers associados ao governo para perseguir alvos financeiros relacionados a seus rivais .]. A Coreia do Norte considera mais prudente explorar vulnerabilidades em países onde os sistemas bancários são comparativamente fracos, de modo a apoiar a base econômica do regime de Kim Jung Un do que usar a força militar. Isso ressalta, por exemplo, a campanha de hackers do APT38 em caixas eletrônicos no Sudeste Asiático e na África. Sob o Reconnaissance General Bureau da Coreia do Norte, o APT38 lançou a 'Operação FASTCash' para inserir arquivos maliciosos em processos remotos do Windows e comprometer seus servidores de aplicativos de comutação que lidam com transações ATM. Em 2017, retirou dinheiro de caixas eletrônicos em mais de 30 países diferentes e em 2018 de 23 países [ 29]. Um subconjunto do que os Estados Unidos chamam de grupo “BeagleBoyz”, estima-se que o APT38 tenha roubado US$ 2 bilhões por meio de campanhas de hackers desde 2015, incluindo US$ 81 milhões do Banco Nacional de Bangladesh em 2016 [ 30 ]. Faz pouco sentido para a Coreia do Norte militarizar essas missões.
Alguns estados têm divisões de trabalho mais claras do que outros que têm unidades cibernéticas instaladas em ramos militares. De fato, os arranjos organizacionais em cada estado individual têm muito a ver com a divisão do trabalho. Por exemplo, os Estados Unidos adotaram o conceito de Dissuasão Integrada que, pelo menos teoricamente, forçará cibernética, militar, nuclear e espacial a não apenas compartilhar a divisão do trabalho, mas sincronizar suas atividades. Em comparação, nas democracias emergentes na América Latina, as forças armadas estão se tornando uma força dominante para controlar centros cibernéticos e emular aqueles já estabelecidos nas nações ocidentais [ 31 ].]. Quanto mais clara for a divisão do trabalho, menor será a probabilidade de os atores realizarem operações entre domínios. Como tal, a razão pela qual há uma pequena proporção de ataques cibernéticos se tornando uma missão militar é porque muitos invasores têm divisões claras de trabalho. Claro, a tese pode ser desafiada pela possibilidade de que o objetivo dos atacantes cresça de cibernético para militar ou vice-versa. Uma operação inicial pode florescer incrementalmente em algo mais conseqüente no que é essencialmente uma missão rastejante. Mesmo que a divisão do trabalho seja claramente demarcada, a liderança política pode ter em mente a expansão estratégica. No entanto, conforme demonstrado por um pequeno número de operações entre domínios já lançadas em relação a ataques cibernéticos, o “rastejamento da missão” tem sido raro.
Hipótese 2: Desafio Técnico
A segunda hipótese é que os desafios técnicos para operações entre domínios são tão grandes que poucos países podem realizá-los mesmo quando estão dispostos a fazê-lo. O fundamento teórico por trás da hipótese postula que os hackers mantêm o curso porque a preparação para seu trabalho é tão trabalhosa que adicionar operações militares ao menu só pioraria as coisas [ 32 ].]. É especialmente o caso se os oficiais pensarem que grandes operações entre domínios aumentariam tanto a chance de guerra que suas responsabilidades técnicas se tornariam excessivas. Nós saberíamos quando oficiais cibernéticos e militares se abstivessem de tomar ações entre domínios porque acham que os desafios técnicos são grandes demais para serem superados. Para esta hipótese, mostro que exemplos como Stuxnet e ataques cibernéticos ocidentais a elementos do ISIS fornecem algum suporte empírico.
Bons hackers são cuidadosos em não sobrecarregar, mas se concentram em sua tarefa principal, reduzindo a exposição a defensores e hackers éticos. De fato, entrevistas com hackers em tempo integral revelam que na lista de coisas “não fazer” há uma superextensão técnica [ 33 ]. Eles sabem que a atribuição está se tornando mais fácil [ 34 ], e o atrito é comum e caro. Hackers refinados fazem uma preparação de várias fases durante meses contra alvos lucrativos, começando com o acesso aos sistemas alvo, seguido pelo desenvolvimento de vírus, autorização, entrada, comando e controle, ativação de carga útil e confirmação [ 35 ].]. Embora isso tenha muito a ver com quem são especificamente os hackers e quais são especificamente seus objetivos, hackers bem preparados exigem que todas as fases sejam feitas na sequência adequada e que as armas cibernéticas sejam adaptadas para configurações específicas de vulnerabilidade de rede. Um tipo de acesso confiável às vezes requer acesso físico por meio de atividades de inteligência humana que não podem ser combinadas com planos militares [ 36 ]. Adicionar operações militares ao menu ou adicionar seus próprios trabalhos no ciberespaço aos planos militares existentes não facilita as coisas. Como Valeriano, Jensen e Maness apontam “o uso de meios militares juntamente com métodos cibernéticos é suscetível de endurecer o alvo e torná-lo mais resistente a tentativas coercitivas” [ 37 ].]. Kostyuk e Zhukov demonstram que algumas das razões pelas quais não havia uma linha direta entre a coerção cibernética e as operações no campo de batalha no conflito de 2010 entre a Rússia e a Ucrânia eram recursos e capacidades limitados, falta de coordenação do governo com hackers, de alvos, de público e de esforços da parte ucraniana [ 38 ]. A questão é que, mesmo quando a divisão do trabalho não é um problema, os desafios técnicos podem ser tão grandes que os tomadores de decisão se atêm a uma operação de domínio único.
O suporte empírico para a hipótese vem de experiências como o Stuxnet. Se bem-sucedido, o Stuxnet estava cheio de desafios técnicos, sem falar nas consequências diplomáticas e estratégicas que ele gerou. Anos antes do lançamento do malware destrutivo em 2010, os desenvolvedores da Agência de Segurança Nacional e seus colegas israelenses investiram pesadamente no planejamento e suporte para inserir malware, controlar a infiltração de vírus e realizar ações específicas de alvo nas instalações nucleares do Irã. Para evitar a defesa, eles tiveram que trabalhar juntos para fazer muitas coisas, incluindo testar cuidadosamente as vulnerabilidades de dia zero de uma só vez para torná-las integradas de maneira confiável. Para projetar a carga útil dos sistemas de controle industrial (ICS), eles tiveram que obter acesso a centrífugas nucleares, software simatic e gerenciamento organizacional de instalações em Natanz, testar seu código, e ensaiar o ataque várias vezes. Como tal, a 'Operação Jogos Olímpicos' envolveu um grande número de especialistas em ciência da computação, engenharia nuclear, inteligência secreta, gerentes de programas, planejadores operacionais, comandantes para supervisionar o planejamento e financiamento e advogados para revisar o cumprimento das autoridades de ação secreta e da lei de conflito armado. E ainda assim o malware acabou infectando 100.000 outros computadores [39]. Com os enormes desafios técnicos, a maioria dos atacantes conscientes dos recursos permaneceria focados em alvos existentes com as armas que conhecem. Embora o programa de armas do Irã tivesse um sólido componente nuclear, a Operação era puramente cibernética por natureza. Embora Israel quisesse se tornar cinético e bombardear as instalações, o que o governo de George W. Bush (e mais tarde Obama) queria impedir, então concordou com o plano cibernético, Israel manteve-o apenas no domínio cibernético. Assim, a probabilidade de operações entre domínios é moldada por desafios técnicos no processo de transição de missões cibernéticas para militares. Ou seja, as operações entre domínios são raras porque é tecnicamente desafiador militarizar uma operação cibernética. Ao mesmo tempo, é importante notar que provavelmente houve outros propósitos estratégicos para lançar o Stuxnet. Como mencionado acima, é possível que os governos dos EUA e de Israel não tenham realizado operações militares porque não queriam outra guerra na região, não porque as operações militares adicionariam complexidade técnica. Uma expansão operacional certamente aumentaria a complexidade técnica, mas também aumentaria a chance de retaliação e blowback [40 ]. Então, a escolha de manter a operação exclusivamente no domínio cibernético parece ter refletido a intenção dos governos de manter a magnitude da violência cinética no domínio que ambos sentiam estrategicamente prudentes [ 41 ].
Por outro lado, a seta oposta – a transição de missões militares para cibernéticas – também funciona. Ou seja, há uma alta barreira técnica para as forças armadas cruzarem para expandir suas operações em domínios cibernéticos. A barra certamente baixou ao longo do tempo; a integração de unidades militares e cibernéticas na estrutura de segurança nacional dos estados reduziu o tempo necessário para se preparar para conflitos entre domínios. Em parte por causa disso, estados engenhosos ultrapassaram a barreira, especialmente aqueles com forças cibernéticas instaladas em suas forças armadas. Por exemplo, os Estados Unidos, a Austrália e a Grã-Bretanha lançando armas cibernéticas contra o Estado Islâmico, enquanto bombardeavam as fortalezas do grupo insurgente no Iraque e na Síria. No entanto, mesmo 'Operation Glowing Symphony' acabou sendo um pesadelo técnico, gerando alguns desafios de coordenação,42 ]. Se o alvo é bastante capaz no ciberespaço, então seria necessário levar em consideração várias medidas defensivas e contramedidas em seu cálculo para um primeiro ataque. A retaliação pode implicar uma resposta entre domínios que é mais poderosa do que o primeiro ataque, especialmente porque o primeiro ataque dará ao alvo uma pista sobre sua capacidade e intenção. Portanto, as operações entre domínios são raras porque é tecnicamente desafiador digitalizar uma operação militar.
Como tal, como a divisão do trabalho, o desafio técnico é um impedimento crítico contra operações entre domínios. No entanto, existem maneiras pelas quais isso pode ser mitigado por meio da rede organizacional. Jon Lindsay mostra que a qualidade do que ele chama de “prática da informação” tem muito a ver com a interação entre problemas estratégicos e soluções organizacionais. A tecnologia da informação pode causar problemas se as incompatibilidades entre problemas e soluções criarem atrito de informações para aumentar o risco de acidente, erro de direcionamento, miopia e falha de missão. O atrito seria o problema que nos preocupa. O atrito ocorre quando problemas externos irrestritos geram degradação de desempenho na forma de “prática isolada” pela aplicação de soluções institucionalizadas. As situações também podem ser ruins se os problemas externos forem tão limitados que as soluções internas levem a práticas problemáticas. No entanto, Lindsay mostra que é possível gerenciar problemas externos institucionalizando sua solução e aplicando soluções orgânicas a problemas irrestritos para adaptar sua prática a ambientes em mudança.43]. Embora a solução organizacional exija habilidade e conhecimento de gerenciamento técnico, o que ele sugere é que a prática adequada da informação pode mitigar os desafios técnicos para permitir que os atores façam muitas coisas, possivelmente incluindo operações entre domínios. Um dos exemplos de soluções organizacionais pode ser a já mencionada aceleração da integração cibermilitar como o conceito de Dissuasão Integrada. Embora continue sendo um desafio incorporar a diversidade de atores e instituições à estrutura dos estados, a reforma organizacional permitiria que os hackers trabalhassem mais de perto com os militares e, pela mesma lógica, permitiriam operações militares no cibernético com menos atrito. A redução do desafio técnico pode ser auxiliada por normas e valores do ciberespaço incorporados no uso humano da tecnologia da informação quando o desenvolvimento tecnológico é consistente com os valores a ele vinculados. Matthias Kettemann aponta uma relação mutuamente benéfica entre normas e tecnologia (ou seja, a internet), afirmando que “são os valores embutidos na ordem normativa da internet que definem a evolução das tecnologias subjacentes da internet” [44 ]. É claro que há um número limitado de estados capazes de superar os desafios; por definição, eles devem ter forças cibernéticas e armadas altamente disciplinadas e engenhosas. Como tal, não está claro se a redução do desafio técnico que um país enfrenta na preparação para operações entre domínios levaria necessariamente a um aumento generalizado no número de operações. No entanto, dado um número potencialmente grande de atores com recursos suficientes para serem simultâneos, a restrição técnica é provavelmente um dos principais determinantes das operações entre domínios.
Hipótese 3: Medo da Escalada
A terceira hipótese postula que o medo da escalada impede que os estados iniciem operações entre domínios. A teoria por trás disso é baseada no conhecimento que abraça o cálculo racional de custo-benefício de que as operações entre domínios podem levar a mais escalada do que podem lidar. O medo da escalada ressalta a escola de pensamento que está repleta de preocupações sobre como a tensão no ciberespaço pode aumentar sem tensão militar [ 45 ]. Ceteris paribus, alguns estados acreditam que, apesar dos desafios técnicos que discuti acima, um ataque cibernético resultará em sucesso rápido e lhes dará vantagem de barganha, dando-lhes incentivos para lançá-los e fazer coisas antecipadamente para derrotar ataques preventivos [ 46]. Se os obstáculos técnicos nas operações do ciberespaço forem grandes, o primeiro ataque não provocado pode se espalhar para os domínios militares, levando os comandantes militares a se prepararem para invasões cinéticas com poder de fogo digital como backup. Em outras palavras, se combinados com ameaças militares, os ataques cibernéticos se tornariam muito escalados e causariam muita ansiedade entre atacantes e defensores. Nós saberíamos que essa hipótese se torna válida quando oficiais cibernéticos e militares se abstêm de tomar ações que cruzam o domínio porque temem demais a escalada para cruzar os domínios.
A erudição tradicional sobre segurança internacional aponta para o medo da insegurança como uma das razões para o conflito, ao invés de um impedimento para ele. No entanto, no ciberespaço, a hipótese é construída sobre uma perspectiva de que o medo da escalada pode amortecê-la quando vítimas em potencial pressionam seus líderes a recuarem da estratégia agressiva. Ajuda se os líderes são avessos ao risco desde o início, mas mesmo os tolerantes ao risco podem ser cautelosos e pensar duas vezes antes de entrar no jogo do frango devido à perspectiva de forte objeção de seus eleitores. Em parte porque muitos acreditam que os ataques cibernéticos são onipresentes, inevitáveis e inevitáveis, todo líder enfrenta potenciais vítimas de ataque cibernético entre seus constituintes e grupos de apoio. Pesquisas mostram que, na maioria dos países desenvolvidos, pessoas do setor bancário, de serviços,47 ]. Aqueles com medo de serem atacados tendem a confiar em seguradoras de seguros de propriedade e acidentes para fraudes cibernéticas, mas seu medo aumenta à medida que as seguradoras se veem em uma situação difícil para aumentar os prêmios em meio a um número crescente de sinistros. O problema para as seguradoras aumentou nos últimos anos, uma vez que mais vítimas de ransomware apresentaram reclamações e o escopo dos riscos excedeu a cobertura disponível [ 48 ]. A escalada também afeta as resseguradoras, que hesitam em cobrir as transportadoras que podem ficar sobrecarregadas com sinistros se um incidente catastrófico causar grandes perdas aos segurados [ 49]. Seu medo de perda aumenta à medida que muitas seguradoras se recusam a pagar grandes sinistros invocando exceções de “tempo de guerra”. Os custos de seguros cibernéticos permanecem instáveis e os mercados de seguros altamente voláteis. A participação no mercado permanece baixa por motivos relacionados ao alto custo das apólices, dificuldades que as seguradoras enfrentam para precificar os prêmios de forma adequada, confusão sobre quais tipos de sinistros as apólices cobrem e falta de compreensão dos riscos decorrentes de incidentes [ 50 ].
O medo crescente confunde a mente das pessoas comuns que reclamam que sofreram repetidas violações de dados, ansiedade financeira e pressão psicológica como resultado do aumento da tensão. As pesquisas sugerem que as pessoas reclamam quando sentem razoavelmente que os governos trabalharam inadequadamente com o setor privado para protegê-los de violações de dados e que as regras internacionais sobre o uso do ciberespaço não são funcionais [ 51 ]. Pesquisas apontam que as vítimas sofrem um forte impacto psicológico após repetidas violações de dados. Um grupo educacional sem fins lucrativos, o Identity Theft Resource Center relata que 86% das pessoas que sofreram roubo de identidade sentem preocupação, raiva e frustração, enquanto 85% reclamam de mudanças nos hábitos de sono [ 52]. Para ter certeza, a pesquisa mostra que “a maioria dos episódios de escalação cibernética está em um limite de gravidade baixo e não é escalável… a escalação geralmente significa roubar mais informações ou estender a duração de uma interrupção da rede, não destruir infraestrutura crítica ou derrubar redes elétricas” [ 53]. As evidências parecem sugerir que essas rupturas são suficientes para fazer com que as pessoas comuns tenham mais medo; eles temem que a ação hostil volte para assombrá-los. Uma pesquisa de opinião pública em 2020 com quase 9.000 pessoas (1.500 cada uma da França, México, Índia, Malásia, África do Sul e Estados Unidos) mostra que a maioria das pessoas acredita que o governo não deve desenvolver ou usar ferramentas para realizar ataques cibernéticos em outros países. Eles superam os entrevistados que acreditam que o governo não deve aderir a acordos internacionais para restringir sua capacidade de proteger a segurança nacional [ 54 ].
A pressão crescente recai fortemente sobre as sociedades de governança competitiva, especialmente a democracia, onde os líderes encontram as restrições eleitorais como um determinante de política. As pessoas comuns nessas sociedades têm mais a perder na guerra cibernética, então pressionam os governos a evitar políticas agressivas. Embora as questões de política externa, incluindo cibernética, não sejam especialmente importantes para os eleitores, eles se preocupam com a insegurança cibernética porque seu impacto sobre eles é direto. Na verdade, a pressão funciona tanto em regimes autoritários. Pesquisas mostram que a escalada pode resultar de efeitos diferenciais da tecnologia digital usada em estados autoritários. De acordo com Nils Weidmann e Espen Rød, a tecnologia da informação (TI) desempenha um papel poderoso na mudança da estrutura de incentivos das pessoas nas autocracias por meio de diferentes estágios de protesto político. No inicio,55 ]. Enquanto os líderes autoritários enfrentam menos pressão de eleições livres e justas, muitos enfrentam a mesma pressão doméstica que os líderes democráticos e uma possibilidade real de punição por parte do segmento da sociedade [ 56 ]. A durabilidade política dos sistemas autoritários faz pouco para reduzir sua vulnerabilidade no ciberespaço.
Em suma, de diferentes maneiras e graus, os líderes políticos sofrem pressão pública para evitar condutas entre domínios. O medo de escalar a tensão reforça um dilema de segurança cibernética na medida em que força os tomadores de decisão a reter as operações cibernéticas. Portanto, a probabilidade de operações entre domínios é moldada pelo nível de medo de escalada. Quanto maior se torna o medo da tensão no ciberespaço, menos disposto se fica a combinar operações cibernéticas e militares. A razão pela qual houve tão poucas operações entre domínios é porque os líderes temem que as coisas saiam de seu controle. Em outras palavras, eles temem mais a escalada entre domínios do que a escalada no ciberespaço.
Embora persuasiva em sua lógica, essa visão não se alinha totalmente com a natureza cada vez mais agressiva das operações do ciberespaço que os estados adotaram nos últimos anos. Meu ceticismo com o medo da escalada é consistente com o exame empírico de Valeriano, Jensen e Maness usando o conjunto de dados do ICEWS. Ou seja, “as operações cibernéticas produzem respostas escalonadas limitadas. … As respostas são limitadas em gravidade e refletem uma lógica de olho por olho. As operações cibernéticas fornecem um meio de sondar a determinação dos rivais enquanto buscam uma posição de vantagem e limitam sua capacidade de resposta. As operações cibernéticas, portanto, podem ser estabilizadoras e oferecer um meio de evitar a escalada militar” [ 57]. A pesquisa transnacional de Jensen e Valeriano mostra ainda que, embora haja variação nas atitudes nacionais em relação às estratégias de escalada (no caso deles, EUA, Rússia e Israel), no final das contas, as operações cibernéticas fornecem mecanismos de sinalização e servem como um instrumento para moldar os estágios iniciais de uma crise que produz benefícios de barganha, sem envolver forças militares e arriscar uma escalada [ 58 ]. Seu trabalho mais recente demonstra que as operações cibernéticas geralmente são usadas para “responder proporcionalmente ou procurar diminuir a situação até que mais informações possam ser coletadas” [ 59 ].
A evidência empírica para essa visão vem, por exemplo, de relatos da mídia de que os Estados Unidos supostamente plantaram malware em partes da infraestrutura crítica da Rússia em retaliação às supostas operações da Rússia durante a eleição presidencial de 2016. Outras vezes, junto com a Austrália e a Grã-Bretanha, os Estados Unidos realizaram operações cibernéticas ofensivas contra o Estado Islâmico. Eles constituem a comunidade de inteligência “cinco olhos” com o Canadá e a Nova Zelândia, que vêm desenvolvendo uma capacidade cibernética ofensiva conjunta sob a Cyber Deterrence Initiative (CDI) [ 60]. Se menos agressivos, os estados também desenvolveram opções para contramedidas cibernéticas de defesa ativa, como “honeypot” (criar alvos atraentes para atrair e prender malware para análise forense) e “hacking back” (perseguir o invasor e responder neutralizando os dados roubados). ou servidor de lançamento). Embora os estudiosos tenham debatido os prós e os contras de tais políticas [ 61], os governos estão se movendo rapidamente na direção de adotar medidas de defesa ativas, em parte porque as contramedidas são aceitas sob o direito internacional consuetudinário. Desenvolvimentos como esses sugerem que, embora os líderes estaduais possam encarar o fator medo como um dos determinantes das operações entre domínios, o próprio medo pode, de fato, levá-los a considerar as operações de defesa ativa uma das opções futuras a serem adotadas, permitindo-lhes para realizar operações entre domínios mais facilmente em um futuro próximo.
Hipótese 4: Direito Internacional
Ao planejar as operações, os líderes podem citar razões associadas ao direito internacional para descartar opções entre domínios. Esta hipótese tem sustentação teórica na vasta literatura de direito internacional que destaca o papel central do regime jurídico internacional na restrição do uso da força [ 62 ]. Nós saberíamos que essa hipótese pode ser válida quando oficiais cibernéticos e militares se abstêm de tomar ações que cruzam o domínio porque o direito internacional exerce muita restrição legal sobre oficiais cibernéticos e militares para adotar operações entre domínios.
O direito internacional restringe o uso da força militar e cibernética de diferentes maneiras. Por um lado, regula o uso da força militar através dos princípios do jus ad bellum de justa causa, necessidade e último recurso e jus in bello.princípios de soberania, proporcionalidade e proteção de não-combatentes. O Artigo 2(4) da Carta da ONU proíbe a ameaça ou o uso da força pelos Estados membros da ONU e os exorta a respeitar a soberania e a integridade territorial uns dos outros. Em geral, a lei do conflito armado (LOAC) torna um processo bastante simples para os estados conduzirem operações militares. Por outro lado, os atores afirmam que as leis são extensíveis ao ciberespaço sob o pressuposto de que proíbe o uso malicioso da força cibernética e a intervenção digital não solicitada nos assuntos internos dos Estados. Espera-se que os Estados tratem os ataques cibernéticos que deixam danos físicos como uso da força e responsabilizem os infratores mediante a apresentação de evidências de danos [ 63]. No entanto, a base legal das operações entre domínios exige escrutínio conjunto das jurisdições separadas, criando complexidades que precisamos resolver aqui. O problema decorre principalmente da falta de precedência jurídica internacional aplicável ao ciberespaço.
Certamente, o conhecimento das regras de engajamento no ciberespaço está se espalhando rapidamente na comunidade internacional [ 64]. Assumindo que os atores estão cientes das restrições e consequências legais, eles concordam com as interpretações gerais do Direito Internacional Humanitário (DIH) de que as forças armadas teriam que ser usadas para objetivos militares e que deveriam ter cuidado constante para poupar civis. No entanto, o conjunto de regras existente não é claro sobre muitas circunstâncias, especialmente aquelas em que a responsabilidade do Estado não pode ser facilmente estabelecida, como atividades secretas conduzidas por procuradores, funcionários de inteligência e fornecedores terceirizados vagamente associados a atores estatais. Como a distinção do ciberespaço entre não-combatentes e combatentes é difícil e porque as instituições que aplicam a lei têm pouca ou nenhuma capacidade para fazê-lo, o direito internacional tolera a violação do princípio de direcionamento e, consequentemente, dificulta a coordenação cibermilitar. Os Estados também concordam que o Direito Internacional dos Direitos Humanos (DIDH) se aplica ao ciberespaço de forma a evitar que as ações cibernéticas prejudiquem a proteção digital dos direitos civis. Os defensores insistem que o DIDH se aplica à conduta estatal além das fronteiras territoriais tradicionais, em situações de conflito armado, e a atores não estatais, como empresas e grupos armados que realizam ataques cibernéticos, embora nenhum deles seja vinculante.65 ]. Advogados do Comitê Internacional da Cruz Vermelha (CICV) acreditam que as operações cibernéticas devem ser regulamentadas pelo DIDH porque podem cruzar o limiar de um conflito armado [ 66 ]. Desse ponto de vista, o DIDH pode ser aplicado a casos em que um estado lança um ataque cibernético antes de adicionar ataques militares ao menu. Se internacional pode restringir o uso de operações cibernéticas, é provável que também desencoraje operações entre domínios.
Em suma, a chance de operações entre domínios é moldada pelo quanto o direito internacional “diz” sobre a conexão entre os domínios cibernético e militar. A hipótese está em uma posição empírica fraca, no entanto, por duas razões. Em primeiro lugar, o direito internacional não apresenta limites de definição entre conflito “armado”, “uso da força” e “ataque armado”; não há base legal para diferenciar entre domínios cibernéticos e militares. A ausência de definições impede que o direito internacional faça referência a ações como censura em tempo de guerra, vigilância estrangeira, tratamento de refugiados e crimes contra a humanidade e genocídio [ 67 ]. Como tal, não faz orientações sobre a penalidade por violação ou recompensa pelo cumprimento da mesma. Sob o sistema jurídico que Anne Peters caracteriza como fragmentado e descentralizado [68 ], os estados são livres para traçar a linha onde o interesse nacional ditar, com alguns estados se referindo ao ataque cibernético como conflito “armado” e outros não. De um lado do espectro estão países como a França que postulam que “[ciberoperações] que constituem hostilidades entre dois ou mais Estados podem caracterizar a existência de conflito armado internacional” [ 69 ]. Por outro lado, a Nova Zelândia alega que o LOAC não é relevante para ataques cibernéticos a alvos militares porque “não regula as operações cibernéticas que estão fora de uma situação de conflito armado” [ 70 ], embora mantenha o direito de determinar quando um ataque uso de força cibernética equivale a um ataque armado [ 71]. Os Estados Unidos afirmam que “mesmo que a lei da guerra não se aplique tecnicamente porque a operação cibernética militar proposta não ocorreria no contexto de um conflito armado, [o Departamento de Defesa] aplica os princípios da lei da guerra” [ 72 ]. ]. Ainda mais inequívoca é a Rússia, que rejeita explicitamente “tentativas não solicitadas de impor o princípio da aplicabilidade plena e automática do DIH ao ambiente das TIC em tempo de paz” [ 73 ]. Não é preciso ser um Estado poderoso para desafiar publicamente a lei internacional. No final das contas, os defensores da lei admitem que “resta saber se e em que condições os Estados podem considerar que tais operações equivalem a um recurso à força armada, conforme entendido no DIH” [ 74 .]. Se o direito internacional viesse com uma eficácia tão limitada nas operações cibernéticas, as chances são de que veríamos mais operações entre domínios lançadas.
O outro problema com a hipótese é que ela faz pouco para explicar a variação na conformidade do Estado com o direito internacional em questões relacionadas a operações entre domínios. O direito internacional não explica por que há muito mais ataques cibernéticos lançados do que operações entre domínios. O direito internacional faz um trabalho melhor ao restringir exclusivamente as operações cibernéticas do que as operações entre domínios, porque é preciso mais para impedir as operações entre domínios do que as operações cibernéticas, porque as primeiras incluem atividades militares. Assim, a probabilidade de operações entre domínios é moldada menos pelo próprio direito internacional do que pela dinâmica militar e cibernética das operações entre domínios.
Hipótese 5: Normas Sociais de Comportamento
A outra hipótese sobre por que os estados podem se abster de atravessar domínios é que eles consideram as normas de comportamento muito restritivas. Esta escola de pensamento baseia-se na erudição sobre o papel das normas sociais na restrição do uso da força cibernética [ 75 ]. A validade da hipótese é obtida quando oficiais cibernéticos e militares se abstêm de tomar ações que cruzam o domínio porque as normas são muito restritivas para que oficiais cibernéticos e militares operem em todos os domínios.
Um “padrão de comportamento apropriado para atores com uma determinada identidade” [ 76 ], as normas se baseiam fortemente no direito internacional, especialmente quando aplicadas ao ciberespaço. As normas são importantes porque podem moldar a estrutura de incentivos dos atores em face de defeitos no direito internacional. Quando o direito internacional não especifica o que deve ser feito, as normas são preenchidas para dizer aos atores o que fazer. Quando a interpretação da regulamentação legal entra em conflito, as normas orientam os atores a um comportamento socialmente apropriado. Quando os estados não têm certeza se outros cumpririam a lei, as normas oferecem ideias básicas sobre o que se espera deles no ciberespaço. Onde o direito internacional não funciona, as normas surgem para complementá-lo [ 77]. Joseph Nye estende a lógica ao ciberespaço para propor que eles desencorajem ataques impondo custos de reputação aos violadores de normas [ 78]. As expectativas para o comportamento do ciberespaço vêm em parte da comunidade normativa, composta por uma série de atores, de empresas de TIC a ONGs e organizações internacionais. Em particular, as empresas de TIC tornaram-se um empreendedor de norma fundamental no negócio de defesa cibernética por meio de órgãos coletivos como o Cybersecurity Tech Accord. A comunidade normativa também se beneficiou do discurso multissetorial realizado nas Nações Unidas, onde o GGE (Grupo de Especialistas Governamentais em Avançar o comportamento responsável do Estado no ciberespaço no contexto da segurança internacional) e o OEWD (Grupo de Trabalho Aberto) se tornaram os principais mecanismos de promover a conscientização global sobre o comportamento inadequado do ciberespaço para aumentar o custo das transgressões. Testemunhamos a participação ativa de ONGs promovendo ideias de “melhores práticas” nesses fóruns. Além disso,
A questão é que os estados não lançaram muitas operações entre domínios porque existem normas contra eles. A realidade, porém, é que não existe uma norma responsável pela ausência de operações entre domínios. Embora existam normas de restrição nos domínios cibernético e militar, respectivamente, incluindo aqueles sobre ataques cibernéticos a infraestrutura crítica, não há tabu contra o lançamento de operações cibernéticas e militares ao mesmo tempo. Embora as normas existentes do ciberespaço possam ser estendidas a situações entre domínios, há poucas evidências em um pequeno número de casos em que ocorreram operações entre domínios (por exemplo, Rússia contra a Ucrânia, os EUA contra o ISIS) de que elas afetaram significativamente os atacantes. decisões. Aqui eu levanto dois princípios de comportamento bem conhecidos para mostrar esse ponto – due diligence e proporcionalidade.
Em primeiro lugar, o princípio da due diligence estabelece que os países devem garantir que seu território (ou seja, redes digitais) não seja usado para atos hostis que causem sérias consequências a outros. O princípio desencoraja operações que prejudiquem o bem-estar coletivo de provedores de infraestrutura digital, como provedores de serviços de internet (ISPs) [ 79 ]. No entanto, no ciberespaço, o princípio enfrenta um desafio crítico. Ele assume falsamente a capacidade dos defensores de atribuir um ataque. Embora a atribuição esteja se tornando tecnicamente mais fácil do que antes [ 80], a atribuição não é automática. Os estados vítimas teriam que fundamentar suas alegações e correr o risco de revelar sua capacidade forense para acusar os agressores de irregularidades. Além do tecnicismo, a atribuição é uma decisão política na qual os tomadores de decisão calculam os custos e os benefícios de ir a público com o que encontram. Esta é uma das razões pelas quais ainda não existe nenhuma acusação pública contra ISPs de “ajudar” ciberataques. Tampouco houve uma culpa pública nos estados por “permitir” que invasores estrangeiros explorem os ISPs na condução de ataques cibernéticos a terceiros. Portanto, mesmo que os estados concordem em honrar a devida diligência, o princípio faz pouco para ajudar a reduzir o número de ataques cibernéticos [ 81 ].
A outra norma é a da proporcionalidade. Ele postula que a autodefesa garante apenas medidas proporcionais ao ataque. Estendido ao ciberespaço, assumiria um ciclo de ações e reações equivalentes a trocas de defesa ativas olho por olho. O problema com a norma é duplo. Primeiro, não funciona com estados dispostos a violar leis e normas internacionais porque as recompensas da ação ofensiva são dignas – como a Rússia parece ter encontrado na Ucrânia, por exemplo. Em segundo lugar, os estados medem a proporcionalidade de forma diferente. Michael Fischerkeller escreve que a proporcionalidade “poderia ser determinada pela ponderação dos custos incorridos pelo (atacante) como consequência das ações do adversário contra aqueles que um adversário enfrentaria caso um alvo específico fosse selecionado. O adversário precisaria ser capaz de avaliar e ponderar racionalmente esses custos em relação ao benefício de outras ações ofensivas. … esses custos podem ser medidos, por exemplo, em termos da quantidade de recursos que um adversário precisaria gastar para recuperar a capacidade perdida pelo engajamento de um alvo ou para devolver um sistema alvo a um estado totalmente capaz e confiável” [82 ]. Não existe um acordo costumeiro entre os Estados, muito menos um tratado internacional, sobre como a proporcionalidade deve ser medida e a retaliação conduzida. Oona Hathaway e seus associados apontam a incerteza do impacto que a retaliação causaria; “Uma análise de proporcionalidade in bello requer antecipar as prováveis consequências de uma ação, mas a incerteza adicional tornará essa análise muito mais difícil no contexto cibernético. Como resultado, os ataques cibernéticos podem alterar o peso dado às consequências temporárias e podem forçar os Estados a enfrentar mais incerteza do que normalmente enfrentam na tomada de decisões sobre a legalidade dos ataques planejados” [ 83 ].]. Se há tantos problemas com a proporcionalidade do ciberespaço, é provável que haja problemas maiores para medir a proporcionalidade em situações entre domínios.
O problema com as normas é semelhante ao do direito internacional. Ou seja, se não há norma contra operações entre domínios, por que existem tão poucas operações entre domínios? A resposta provável que a discussão acima gera é que as normas importam pouco nos cálculos dos atores sobre operações entre domínios. Supondo que os atores capazes de executar operações complexas estejam cientes das normas e sejam racionais o suficiente para fazer cálculos razoáveis de custo-benefício, eles podem considerar a violação de normas relativamente sem custo porque “todo mundo está fazendo isso”. Essa resposta não é perfeita, é claro, porque novas normas podem surgir no futuro para impedir operações entre domínios. Como argumentam Martha Finnemore e Duncan Hollis, as normas são tão importantes quanto os processos pelos quais são feitas .]. Assim, a maneira como os atores discutem as normas moldará os produtos finais, incluindo aqueles que os estados concordam em honrar. Embora as operações entre domínios não estejam na agenda de discussão da maioria dos grupos discursivos [ 85 ], normas contra ataques entre domínios podem surgir se a comunidade internacional as considerar impróprias. Até então, as normas parecem não ser responsáveis pela relativa escassez de operações entre domínios.
Conclusão
Este artigo investigou fatores que mantêm os ataques cibernéticos puramente cibernéticos e os ataques militares puramente militares. Valorizou a divisão do trabalho, as questões técnicas e o medo da escalada como mais instrumentos para conter os agressores do que o direito internacional e as normas sociais. Não “ordenou” os fatores, mas mostrou como cada um deles possui mecanismos lógicos e níveis de relevância diferentes. É provável que muitos atores retenham operações entre domínios devido a uma combinação delas. Na verdade, chego ao ponto de afirmar que os fatores são interativos de maneiras complexas e que uma maior interação pode afetar a frequência das operações entre domínios. Por exemplo, os invasores podem começar com preferência por uma operação limitada, mas expandi-la para envolver seu ramo militar quando perceberem que as restrições técnicas são baixas. Outros podem ser avessos ao risco no início, mas tornam-se tolerantes aos riscos depois que sua primeira ação é bem-sucedida. Ainda outros podem ter prazer em atingir objetivos independentemente de missões militares e realizar ataques dentro dos limites dos padrões legais e normativos internacionais. A chave está na combinação de vários fatores, e o conjunto de combinações mais provável é a divisão do trabalho e questões técnicas.
Este artigo pretende contribuir para a expansão do conhecimento das operações entre domínios e estimular a pesquisa sobre o tema. De fato, pesquisas relacionadas a domínios cibernéticos e não militares precisam ser desenvolvidas para que possamos entender melhor a dinâmica das operações entre domínios. Uma dessas áreas a ser desenvolvida é o papel das tecnologias financeiras na viabilização de operações cibernéticas complexas. Tais projetos podem começar com um esforço para identificar as condições sob as quais tecnologias emergentes como blockchains afetam as decisões sobre o uso de operações cibernéticas. Isto é importante por duas razões. Primeiro, é provavelmente mais fácil para os estados combinar armas cibernéticas com meios financeiros do que com meios militares. É em parte porque a combinação tende a se concentrar no papel dos recursos econômicos como um meio de política e porque não envolve baixas; pelo menos teoricamente, nenhuma fraude financeira lançada em domínios digitais gera mortes [86 ]. Em segundo lugar, a pesquisa sobre a interseção dos domínios cibernético e tecnológico é muito subdesenvolvida para respondermos a perguntas como essas. Assim como as armas militares e cibernéticas, as tecnologias financeiras evoluem continuamente, tornando difícil respondê-las, mas pesquisas futuras se beneficiarão da identificação das condições sob as quais operam.
Agradecimentos
Uma versão anterior do artigo foi apresentada na reunião do Centro-Oeste da Associação de Estudos Internacionais de 2021 em St Louis. Agradeço a Benjamin Tkach e Mike Fowler, bem como aos três revisores deste artigo, pelos comentários construtivos. Agradeço também à Saint Louis University pelo apoio financeiro.
Conflito de interesses
Nenhum
Contribuição do autor
Nori Katagiri é o único autor do manuscrito.
Comentários
Postar um comentário