Атрибуція кібератак проти об’єктів критичної інфраструктури: визначення основних проблем та шляхів їх вирішення

Abstract

Дисертація є першим в українській юридичній науці спеціальним комплексним дослідженням атрибуції кібератак проти об’єктів критичної інфраструктури. У роботі представлено низку авторських ідей та висновків, які характеризуються науковою новизною.

У дисертації розкрито природу кіберпростору, що є середовищем реалізації кібератак та забезпечує необхідними засобами їх здійснення, а також визначено сутнісні характеристики кібератак. На підставі цього встановлено, що кібератаки можуть здійснюватися проти різних рівнів кіберпростору (фізичного, логічного та соціального) з метою порушення функціонування об’єктів критичної інфраструктури.

Встановлено, що передумовою для здійснення атрибуції кібератак є визначення міжнародно-протиправної поведінки, що вимагає атрибуції. Відсутність lex specialis значно ускладнює процес атрибуції, тому крім положень Талліннський керівництв, проаналізовано різноманітні форми opinio juris, які свідчать про певний рівень розходження в позиціях держав. Водночас opinio juris дозволило встановити, які діяння держави розглядають в якості кібератак, що є порушенням норм міжнародного права та вимагають атрибуції.

Доведено, що попри заперечення з боку низки держав, норми jus in bello та jus ad bellum в повній мірі застосовуються до кібератак і, відтак, впливають на процес здійснення атрибуції кібератак проти об’єктів критичної інфраструктури держави.

З урахуванням відсутності поняття «критична інфраструктура», ідентифіковано, які об’єкти та сектори держави найчастіше розглядаються в якості критично важливих. Обґрунтовано необхідність розробки поняття «критична інфраструктура» на міжнародному рівні, яке б дозволяло зберігати гнучкість і врахувати національні пріоритети окремих держав. В роботі також наголошується на тому, що розробка такого поняття повинна сприяти становленню оптимального підходу до категоризації об’єктів як таких, що є об’єктами критичної інфраструктури. Така потреба випливає із наявних підходів держав, які часто є невиправдано інклюзивними (фактично всі сектори/об’єкти інфраструктури національний законодавець відносить до критично важливих) або занадто вузьким (згадується два-чотири сектори).

Запропоновано виділити в окрему категорію транснаціональні (міждержавні) об’єкти критичної інфраструктури, які використовуються одночасно декількома державами. Така пропозиція робиться в силу їх підвищеної взаємозалежності та ризику настання більш серйозних та масштабних наслідків в результаті успішних кібератак.

В дисертаційному дослідженні визначено, що процес атрибуції кібератак проти об’єктів критичної атрибуції вимагає здійснення технічної, політичної та юридичної атрибуції. Таким чином, атрибуція кібератак не можлива без оцінки технічних та політичних індикаторів. Цей висновок знаходить підтримку в позиціях держав, які висловилися щодо застосування міжнародного права в кіберпросторі, висновках групи експертів Талліннського керівництва 2.0 та Групи урядових експертів щодо заохочення відповідальної поведінки держав в кіберпросторі в контексті міжнародної безпеки.

Логічним завершенням будь-якого процесу атрибуції кібератак проти об’єктів критичної інфраструктури держави має стати юридична атрибуція кібератак, що є елементом міжнародно-протиправного діяння відповідно до статті 2 Статей про відповідальність держав за міжнародно-протиправні діяння 2001 року.

В роботі розкрито теоретичні та практичні аспекти застосування стандартів атрибуції до кібератак проти об’єктів критичної інфраструктури за участі органів держави; фізичних або юридичних осіб, які здійснюють елементи урядових повноважень; або недержавних суб’єктів, які діють під керівництвом або під контролем держави.

Обов’язок проявляти необхідну обачність не є стандартом для атрибуції поведінки державі, проте, враховуючи важливість атрибуції кібератак проти об’єктів критичної інфраструктури, ідея перенесення обов’язку due diligence з основних до похідних норм відповідальності держав аналізується та набуває подальшого розвитку в роботі.

В дисертаційному дослідженні вперше здійснено комплексний аналіз кібератак проти систем енергопостачання України у 2015 та 2016 роках в контексті збройного конфлікту на сході України. Обґрунтовано, що кібератаки в контексті збройного конфлікту prima facie не є випадковими. В конкретному випадку час, обраний для кібератак, та воєнні дії на сході України свідчать про пряму чи опосередковану участь країни-агресора. Відтак, на прикладі даних кібератак доводиться необхідність здійснення технічної та політичної атрибуції, яка б комплексно враховувала всі наявні індикатори.

В роботі визначено основні практичні кроки для ефективної атрибуції кібератак проти об’єктів критичної інфраструктури. Доведено необхідність здійснення атрибуції в межах державно-приватної співпраці. Оцінено переваги та недоліки можливих моделей взаємодії та визначено найбільш оптимальну, яка б передбачала залучення представників держави, приватного сектору та при потребі інших зацікавлених сторін.

Проаналізовано нову Кіберстратегію ЄC, яка містить інтеграційну модель взаємодії між державними та приватними суб’єктами та вводить інструменти кібердипломатії. Визначено, що інструмент кіберсанкцій, який застосовується на підставі рішення Ради ЄС, є кроком вперед в питанні атрибуції кібератак. Але загалом ефективність індивідуальних кіберсанкцій досить низька. Визначено перспективи використання інструменту кіберсанкцій на універсальному рівні, до прикладу, в межах ООН. При цьому, для підвищення їх ефективності доречніше замінити індивідуальні санкції на секторальні.

В дисертаційному дослідженні також робиться спроба оцінити перспективи розгляду міждержавного спору щодо атрибуції кібератак проти об’єктів критичної інфраструктури держави в межах Міжнародного Суду ООН. Визначено, що розгляд такого міждержавного спору може вирішити низку теоретичних та практичних проблем, зокрема щодо особливостей застосування звичаєвих норм атрибуції до кібератак.