Non sanzionare le armi informatiche, sanziona il modo in cui vengono utilizzate

Il cyberspazio, che comprende Internet e altre tecnologie digitali connesse, offre enormi vantaggi ma pone anche rischi significativi in ​​quanto dominio militare. Ciò richiede l’esistenza di una maggiore sicurezza informatica e diplomazia informatica.

La discussione e la regolamentazione della militarizzazione del cyberspazio hanno acquisito rilevanza a causa dei maggiori utilizzi nei conflitti moderni. La guerra in Ucraina è un esempio di conflitto militare aperto che si verifica anche nel cyberspazio.

Storicamente, il controllo degli armamenti è stato fondamentale per prevenire l’escalation militare. Tuttavia, creare misure applicabili e verificabili per il controllo degli armamenti informatici è una sfida, a causa della natura unica del cyberspazio.

Una recente analisi condotta con i colleghi dell’Università Tecnica di Darmstadt evidenzia diversi ostacoli chiave:

Cos’è un’arma informatica?

Una sfida fondamentale per stabilire il controllo delle armi nel cyberspazio è la mancanza di definizioni chiare e uniformi dei termini chiave. Ciò è particolarmente rilevante poiché la definizione convenzionale di arma non si collega realmente alla caratteristica di un cyberattacco utilizzato come “cyberarma”.

Le armi informatiche tendono a essere dati e conoscenze che possono essere concepiti ed eseguiti per compromettere l’integrità, la disponibilità o la riservatezza di un sistema informatico senza il consenso del proprietario.

Pertanto, alcuni esperti con cui abbiamo parlato hanno dibattuto sul fatto che il concetto di arma cibernetica in sé non esiste, poiché un’arma suggerisce una sorta di uso cinetico e fisico. Gli attacchi informatici sfruttano le vulnerabilità della tecnologia e possono portare a problemi fisici nel mondo reale, ma questo significa che l’innesco è stata un’arma cibernetica?

Questa ambiguità rende difficile stabilire cosa verrebbe controllato da un trattato sulle armi informatiche.

Molte tecnologie di uso quotidiano, come i computer e le chiavette USB, hanno applicazioni sia civili che militari.

Non è possibile tracciare una linea di demarcazione definitiva tra questi diversi scenari di utilizzo; pertanto, i prodotti non possono essere vietati in termini fondamentali per il controllo degli armamenti. Si possono vietare le mine antiuomo o le armi nucleari, ma non si possono vietare le chiavette USB o i computer.

Inoltre, molti strumenti che possono essere utilizzati come armi informatiche sono anche strumenti per realizzare una difesa informatica o uno spionaggio.

Sebbene in passato il duplice uso abbia avuto un ruolo nei trattati sul controllo degli armamenti, la natura a duplice uso delle armi informatiche assume una dimensione completamente diversa rispetto al passato.

La verifica del controllo delle armi è uno degli ostacoli più grandi

Trovare meccanismi di verifica adatti per stabilire il controllo degli armamenti nel cyberspazio è estremamente difficile. Ad esempio, per le armi cibernetiche, non è possibile quantificarle. E non possiamo contare le armi o vietare un’intera categoria, come è stato il caso con gli accordi sul controllo degli armamenti per le armi tradizionali.

Inoltre, senza costi, le armi informatiche possono essere replicate all’infinito e condivise in tutto il mondo. Ad esempio, considerando il codice, semplicemente eliminarlo da un dispositivo non significa che sia davvero scomparso; potrebbe essere finito su un sistema di backup o altrove su Internet.

Ciò esacerba le sfide nell’istituire meccanismi di verifica idonei, poiché dovrebbero essere estremamente intrusivi. Molti stati potrebbero non essere disposti a partecipare a un processo di verifica intrusivo, poiché dovrebbero fornire informazioni sulle proprie difese informatiche, con il potenziale rischio che queste informazioni vengano utilizzate in modo improprio per spiare le proprie vulnerabilità.

Gli strumenti e la tecnologia degli attacchi informatici si evolvono rapidamente, spesso superando gli sforzi normativi. Nel momento in cui si concorda una norma, la tecnologia potrebbe essere andata oltre il suo ambito. Questa rapida evoluzione complica qualsiasi norma o misura di verifica basata sulle caratteristiche tecniche del software.

Ad esempio, il codice di un attacco informatico si basa solitamente su sviluppi software in corso, adattati a obiettivi e compiti specifici.

Ciò significa che il codice cambierà ed evolverà in modo incredibilmente rapido. La variazione sarà estremamente elevata e i futuri attacchi informatici saranno sempre diversi dagli attacchi passati.

Inoltre, dato il fattore duplice uso e il fatto che la maggior parte delle infrastrutture del cyberspazio è di proprietà privata, affinché il controllo degli armamenti sia efficace, il settore privato dovrebbe essere coinvolto e impegnato.

Dobbiamo perseguire gli atti dannosi stessi

La volontà politica è fondamentale per stabilire misure di controllo degli armamenti. Gli Stati, riconoscendo il valore strategico degli strumenti informatici rafforzando le proprie capacità in questo ambito, potrebbero essere riluttanti a conformarsi a nuovi trattati che ne limitano i potenziali vantaggi. L’attuale clima geopolitico complica ulteriormente gli sforzi per ottenere un accordo diffuso.

Esaminando la letteratura e parlando con gli esperti, le misure tradizionali di controllo degli armamenti non possono essere semplicemente applicate alle armi informatiche. Invece, l’attenzione dovrebbe essere rivolta al divieto di determinate azioni dannose. Questo approccio consente accordi che possono adattarsi ai progressi tecnologici e alla natura a duplice uso degli strumenti informatici.

Dal 2015, i negoziati internazionali in seno alle Nazioni Unite (ONU) hanno portato alla definizione di 11 norme per un comportamento responsabile degli Stati nel cyberspazio, volte a limitare le azioni degli Stati e a definire obblighi positivi.

Tuttavia, queste norme sono volontarie e non vincolanti, il che porta a frequenti violazioni. La sfida è rendere queste norme più vincolanti e ritenere gli stati responsabili per azioni malevole.

L’attribuzione, il processo di assegnazione (pubblica) di operazioni informatiche ad attori specifici sulla base di prove, è uno strumento cruciale in questo senso. Un tempo considerata troppo complessa, l’attribuzione è ora sempre più fattibile e potrebbe fungere da fondamento per sanzionare l’uso di armi informatiche piuttosto che le armi stesse.

Questo dovrebbe quindi essere preso come punto di partenza per trovare alternative e soluzioni creative al controllo degli armamenti in senso tradizionale. Pertanto, le considerazioni nella direzione di un meccanismo internazionale o di istituzionalizzazione di tali processi si stanno rivelando interessanti.

Helene Pleil è ricercatrice associata presso il Digital Society Institute (DSI) dell’ESMT di Berlino.

Noi di Euronews crediamo che tutte le opinioni siano importanti. Contattateci a view@euronews.com per inviare proposte o proposte e far parte della conversazione.