Пауль Іван: “ЄС все ще потребує великих інвестицій у кіберзахист”

Берлін має хороші шанси отримати зелене світло від Ради ЄС щодо санкцій для тих, хто стоїть за хакерськими атаками на Бундестаг, включно із росіянином Дмитрієм Бадіним. Так уважає Пауль Іван, старший аналітик Центру європейської політики. В інтерв’ю «Promote Ukraine» він поділився своїми думками щодо дипломатичної відповіді ЄС на кіберзлочини з країн з-поза меж Євросоюзу.

Берлін хоче поставити перед Радою ЄС питання про санкції за хакерські атаки на Бундестаг. Наскільки ймовірнимє рішення на користь таких санкцій?

Німеччина має на це хороші шанси, якщо вона надасть необхідні докази іншим країнам-членам, і Берлін заявив, що він має ці докази. Якщо санкції буде ухвалено, це стане першим покаранням приватних осіб при новому режимі кіберсанкцій ЄС. Цей режим існує з минулого року, але поки що ніхто не потрапив під ці санкції, нікого до цього списку не внесли. А зараз уперше держава-член ЄС публічно оголосила, що проситиме про внесення до списку санкцій фізичних осіб і, можливо, організацій. Очевидно, що це непросте рішення, воно залежить від того, як піде дискусія і кого хочуть внести до списку санкцій.

Є країни, які певною мірою підтримують Росію: наприклад, Італія чи Греція. Як Ви вважаєте, вони можуть проголосувати проти цього рішення?

Я б не сказав, що вони підтримують Росію. Є країни ЄС, які традиційно мають з Росією кращі відносини, ніж інші члени Євросоюзу, але це не означає, що вони схвалюють протизаконну поведінку – поведінку, розглянути яку пропонує Німеччина. Тому я б не очікував, що вони виступатимуть проти включення до цього санкційного режиму осіб, які стоять за нападами на Бундестаг.

А як щодо інструментарію кібердипломатії ЄС? Що там передбачено для боротьби з хакерами?

Інструментарій – це сукупність кроків, які ЄС може вжити: заходи профілактики та зміцнення довіри, підвищення обізнаності, розбудова спроможності в третіх країнах, кібердіалоги та інше. Отже, там прописано низку заходів, деякі з яких уже існували до створення цього інструментарію. Він просто збирає до купи всі дипломатичні інструменти, які ЄС може вжити для відповіді на шкідливу кібердіяльність. Створення цього механізму було схвалено у 2017 році, потім у 2019 році туди додали більше правових інструментів для реалізації обмежувальних заходів, які ми вже обговорювали. Тож Євросоюз ще тільки починає використовувати дипломатичні інструменти для реагування на кібератаки, що надходять з-поза меж ЄС.

Чи можете Ви навести кілька прикладів: як працює цей інструментарій?

Наприклад, існують заходи щодо зміцнення довіри або кібердіалоги, які ЄС проводить з низкою країн протягом багатьох років. Цей діалог з кіберпитань повинен сприяти зміцненню довіри та підтримці добрих відносин у цій галузі. Ми знаємо, що за останній рік кількість кібератак та їхня серйозність зросли досить відчутно. Очевидно, є певні межі того, чого можна досягти за допомогою цих інструментів. Це дуже залежить від іншої сторони, від політичних рішень інших країн, але ці інструменти повинні допомогти.

Отже, це – спроби з боку ЄС, щоб ситуація не загострювалась, щоб не було великих кібератак на ЄС. Завдяки цим дипломатичним інструментам ЄС може передавати  дипломатичні повідомлення, протести, демарші. Ми бачили, що після недавньої інформації про хакерську атаку Німеччина діяла на двосторонній основі й викликала російського посла. ЄС також може передавати деякі повідомлення своїм дипломатам у країнах, з території яких можуть надходити шкідливі дії у кіберпросторі. Обмежувальні заходи, санкції є найсуворішими заходами в цьому пакеті, але є низка інших дипломатичних інструментів. Наприклад, ЄС також засудив здійснені напади, є також висновки Ради, які засуджують різні напади. Тож є інструменти з різним ступенем застосування.

Як найкраще боротися з кібератаками з боку Росії? Шляхом діалогу? Чи, можливо, контратаки ефективніші? Якатактика є найкращою?

Непросте питання. Ви згадали зустрічні атаки. В інструментарії ЄС не передбачено жодних наступальних операцій; ЄС також не має мандату на такі кроки. Очевидно, ці навички є у країн-членів ЄС, і більшу частину роботи в галузі кібербезпеки, кіберзахисту та можливостей було зроблено на рівні країн-членів Євросоюзу, а не інституцій ЄС. У випадку з хакерською атакою на Бундестаг 2015 року Євросоюз почав діяти, і російським лідерам було надіслано дипломатичний, політичний сигнал про необхідність припинення згубної кібердіяльності. Незабаром ми побачимо, чи внесуть до списку санкцій також фізичних осіб. А те, що країни-члени можуть чи не можуть зробити в плані реагування на кібератаки, – це інша річ.

Як Brexit може вплинути на здатність Євросоюзу протистояти кібератакам?

Погано. У тому сенсі, що Британія була членом ЄС з дуже розвинутими можливостями в галузі кібербезпеки. Очевидно, що втратити таку потужну країну з глобальною мережею  не йде на користь Євросоюзу. Звичайно, кіберспівпраця не припиниться, вона триватиме, але це здійснюватиметься в інших рамках, по-іншому. Ба більше, Сполучене Королівство було однією з держав-членів, яка більше за всіх наполягала на ухваленні  інструментаріюкібердипломатії. Ця країна загалом вимагала суворішої реакції ЄС на кібератаки, вона зайняла громадську позицію щодо припинення кібератак. Тож Brexit не покращить здатність Євросоюзу реагувати на кібератаки.

Як співпраця з НАТО допомагає боротися з кібератаками?

Зроблено певні кроки, діалог у цій сфері є набагато активнішим, ніж це було  кілька років тому. Але співпрацюміж ЄС та НАТО в кібергалузі все ще розробляють.  НАТО та ЄС беруть участь у кібернавчаннях один одного, співробітництво існує, є домовленості щодо кіберзахисту. Зрештою, у ЄС та НАТО більшість членів ті самі, тому ми багато в чому говоримо про одну і ту ж групу країн.

Я повернуся до попереднього питання: дуже важливим є той факт, що Британія й надалі залишатиметься країною-членом альянсу. НАТО – це політичний і оборонний союз, він більше орієнтований на кіберзахист. ЄС має ширший погляд на кібербезпеку, він також бере участь у взаємодії з приватним сектором, працює із більш різноманітними питаннями кібербезпеки в економіці.

У Євросоюзі пропонують створити Спільноту компетенції в кібербезпеці. Який там план дій?

Це – одна з пропозицій щодо посилення кібербезпеки, висунутих Європейською Комісією. Більший пакет пропозицій також має на меті створення Мережі національних координаційних центрів та Європейського центру індустріальної, технологічної та дослідницької кібербезпеки.

Ми говоримо про механізми та процеси стимулювання європейських технологічних, промислових досліджень в кіберпроблемах, координації та об’єднання ресурсів на рівні ЄС. Євросоюз уже декілька років інвестує в кібербезпеку. У нас уже 7 років є стратегія кібербезпеки, у 2016 році у ЄС було ухвалено основний законодавчий акт – Директиву про безпеку мережевих та інформаційних систем, що передбачає серед іншого створення мережі національних CSIRT – команд комп’ютерних фахівців, які реагують на надзвичайні ситуації.

 Таким чином, ця спільнота компетенції та центр компетенції є новими кроками, завдяки яким ЄС намагається вдосконалити можливості кібербезпеки ЄС, діалог між країнами-членами ЄС та іншими гравцями в цій галузі, щоб об’єднати та підтримати інновації в кібербезпеці Євросоюзу.

Як Ви думаєте, нинішня боротьба зі шкідливими кібератаками в ЄС є ефективною чи ні?

Вона ніколи не буде достатньо ефективною, адже кіберзагрози будуть завжди. Вони різноманітні, надходять із багатьох різних джерел – окремих хакерів, хактивістів, злочинних мереж, груп, що отримують гроші від держави,тощо. Ми зараз обговорювали здебільшого кіберзагрози, які надходять від фінансованих державою суб’єктів, але вони в меншості, навіть і висококваліфіковані. Зі збільшенням диджиталізації економіка також стає диджиталізованою, а кількість кіберзагроз зростає. Під час пандемії Ковід-19 ми побачили, що ще більше операцій тепер відбуваються онлайн. Тож в Інтернеті зростають також і ризики.

Тож не можна дати пряму відповідь на питання про те, наскільки ефективною є боротьба. Ми бачимо, що країни та інституції Євросоюзу вкладають більше коштів у кібербезпеку. Але більшість ресурсів мають держави-члени ЄС, вони також несуть відповідальність. Деякі з них справляються з цим краще, ніж інші, деякі мають більш розвинені можливості та здатні захищатись від деяких загроз, а інші – не дуже.

Таким чином, слід ще багато попрацювати – розвинути кіберможливості на рівні  інституцій, а державам-членам ЄС покращувати й підтримувати кіберздатності та людські ресурси, інвестувати в дослідження тощо. Також слід набагато більше зробити для зміцнення європейської співпраці.

Ви згадали, що деякі країни більш просунуті у кібербезпеці, а деякі – менше. Які країни Ви мали на увазі?

Як правило, більші країни мають кращі можливості, вони можуть дозволити собі мати значніші ресурси для цього. Але залежить не тільки від розміру країни. Наприклад, хороші кіберздатності мають Чехія, Естонія та інші.

Слід зробити ще багато інвестицій, і не тільки в нарощування ресурсів, але також у розвиток інституційного ноу-хау, процедур з вирішення деяких з цих питань. Я також маю на увазі політичну відповідь, коли необхідностворити кращий зв’язок між фахівцями та особами, які ухвалюють рішення. Ці люди повинні розуміти сферу кібербезпеки набагато краще, ніж зараз. Тож є над чим попрацювати.

Якби це залежало від Вас, що б Ви зробили для боротьби з кіберзагрозами?

Я вже говорив, що нам слід вкладати більше ресурсів, інвестувати більше у розвиток можливостей та в зміцнення співпраці між різними країнами, які врешті-решт страждають від кібератак. Багато з цих нападів вражають комп’ютерні мережі не в одній, а в багатьох країнах, тому необхідність співпраці є життєво важливою. Наприклад, атаки NotPetya та WannaCry у 2017 році вдарили по мережах підприємств,  лікарень, фабрик та інших комп’ютерних мережах у ЄС та всьому світі.

Я вже згадував, що деяка робота з кіберзахисту ведеться. Ця діяльність, розроблення нових інструментів у цій галузі є реакцією на дедалі більше протистояння у кіберпросторі.

Наталія Річардсон