تشدید کنترل خارجی بر ابزار و نرم‌افزارهای امنیت سایبری

به گزارش کارگروه بین‌الملل سایبربان؛ بسیاری از کارشناسان امنیت رایانه از توسعه قرارداد واسنار (Wassenaar Arrangement)، خشنود هستند. بر اساس این بازنگری، قوانین جدید کنترل صادرات برای نرم‌افزارهای نفوذ شبکه کامپیوتری، در لیست کنترل صادرات اضافه شدند. 

واسنار به عنوان توافقی داوطلبانه – که تجارت سلاح‌ها و فناوری‌های متعارف را برای اعضای گروه خود کنترل می‌کند –  طی نشستی مشترک در سال 2017، هند را به عنوان چهل و دومین عضو این موفقت‌نامه پذیرفت. آفیرا فیردوس (Afeera Firdous)، معاون پژوهشی مرکز مطالعات راهبردی بین‌المللی اسلام‌آباد (CISS) در این خصوص مطلبی نوشته که بدین شرح است :

به لحاظ نظري، ورود نرم‌افزارهای نفوذ به شبکه‌های رایانه‌ای  در لیست کنترل صادرات گامی مهم برای مشاغل امنیت کامپیوتری محسوب می‌شود؛ اما ما بايد به‌طور عيني اثر واقعي اين توسعه را ارزيابي كنيم. 
کنترل‌های صادراتی ابزاری مهم در امنیت رایانه‌ها و دنیای سایبری هستند. فایروال و نرم‌افزار سرور وب، در نسخه‌های داخلی و صادراتی با طول‌های کلیدی رمزنگاری در دهه 90 به‌راحتی فروخته می‌شوند. اخیراً، نهادهای قانون‌گذار در چندین کشور ابزارهای تهاجمی نفوذ شبکه مانند مجموعه ابزارهای بهره‌برداری را بررسی کرده‌اند.
این ابزارها می‌توانند برای اهداف تهاجمی مورد استفاده قرار گیرند. با این حال، مردم در دفاع و محافظت از شبکه‌های کامپیوتری خود باید به همین ابزارها و اطلاعات مورد استفاده مهاجمان دسترسی داشته باشند. یک کنترل صادراتی – که اشتراک این ابزار را در بین مرزها محدود می‌کند – می‌تواند فعالیت قانونی ضروری برای محافظت از شبکه‌ها را مسدود کند. 
قوانین اصلاح شده قرارداد واسنار معافیت‌هایی را برای مدافعان شبکه‌های کامپیوتری دخیل در هماهنگی بین‌المللی اطلاعات درباره بدافزارها و آسیب‌پذیری‌های امنیتی ایجاد کرده است. این قوانین همچنین تعاریف مشخصی از مکانیسم‌های به‌روزرسانی نرم‌افزار ایجاد می‌کند که هیچ ارتباطی با سیستم و نفوذ شبکه ندارد. این تغییرات مهم هستند و بسیاری از موانع همکاری صنعت در مبارزه با تهدیدات سایبری را از بین می‌برند. 
با این وجود، نگرانی‌ها همچنان ادامه دارد. قرارداد واسنار به منظور ترویج شفافیت از دولت‌ها خواست تا مجموعه تبادل اطلاعات و اطلاعیه‌های داوطلبانه را در مورد فعالیت‌های صادراتی مربوط به سلاح و فناوری‌ها در لسیت کنترل شامل : اطلاعات سلاح‌های متعارف و کالاها و فن‌آوری‌های دومنظوره ارائه دهند. البته، اشتراک اطلاعات از سوی کشورهای عضو، داوطلبانه است. 
گروه واسنار هیچ اختیار نظارتی برای اجرای این قوانین ندارد. 22 سال پس از تشکیل گروه، کشورهای عضو همچنان در مورد دامنه قرارداد با هم برای حرکت روبه‌جلو و تبدیل شدن به بیش از یک سازمان به منظور جمع‌آوری و تبادل اطلاعات توافق جمعی ندارند. مشکل قرارداد واسنار توافق جمعی است و یک کشور واحد مانند : اسلواکی یا کرواسی به عنوان بخشی از این گروه می‌تواند هرگونه پیشنهاد را ممنوع کند یا کشورهایی مانند : آمریکا و انگلیس می‌توانند به‌راحتی یک تصمیم را سیاسی کنند. 
علاوه بر این، کشورهای عضو نمی‌توانند درمورد تعاریف اصطلاحات مهمی نظیر کشورهای نگران و بی‌ثبات در حوزه انتقال به توافق برسند. یک عامل محدودکننده دیگر نیز وجود دارد؛ برخی دولت‌ها مانند : چین و اسرائیل – که به شدت در حوزه نرم‌افزارها و محصولات امنیت سایبری فعالیت دارند – عضو قرارداد واسنار نیستند.
مسئله تفسیر نیز عملکرد و اهمیت قرارداد یاد شده را محدود می‌کند. اگر کشورهای عضو این قرارداد، قوانین را به قوانین داخلی خود گسترش دهند، هر کشوری شاید آن را متفاوت تفسیر کند. به عنوان مثال، در مورد نفوذ شبکه کامپیوتری، برخی کشورها شاید قوانین را به نحوی برداشت کنند که باعث ممنوعیت آزمایش‌کنندگان نفوذ شبکه نیز شود.
از سوی دیگر، کارشناسان امنیتی برخی کشور های دیگر – که ابزارهای تهاجمی مرسوم خود را توسعه داده‌اند – آنها را هنگام مسافرت به کشوری دیگر روی لپ‌تاپ‌های شخصی خود می‌ریزند و با همکاران خارجی خود در همان شرکت به اشتراک می‎گذارند. 
تام کراس (Tom Cross)، کارشناس امنیت سایبری و محقق آسیب‌پذیری این سؤال را مطرح کرد : آیا تمرین کلی آزمایش نفوذ شبکه می‌تواند متناسب با استثنای جدید افشای آسیب‌پذیری درک شود؟ در بسیاری از کنفرانس‌های امنیت سایبری، دوره‌های آموزشی ارائه می‌شوند که در آن تمرین‌کنندگان می‌توانند تکنیک‌های جدید بهره‌برداری از آسیب‌پذیری را از کارشناسان بیاموزند. 
گسترش چنین تمریناتی و آموزش جداگانه جلسات و دوره‌ها از سوی کشورها مختلف، با حق آزادی بیان و ممنوعیت انتقال فناوری محافظت می‌شود که هنوز به مجوز صادراتی طبق قوانین جدید نیاز دارد. 
مذاکره در مورد قوانین قرارداد واسنار، یک فرآیند محدود است که نگرانی دیگری را به همراه دارد. امنیت کامپیوتر یا نفوذ شبکه، یک موضوع بسیار فنی است. بدون نیاز به دانش دقیق فنی، سیاستگذاران شاید نقاط کوری را هنگام ساخت قوانین حاکم بر مناطق پیچیده مانند امنیت شبکه ایجاد کند.
مشکل‌سازترین بخش لیست کنترل صادراتی به‌روز، این است که انواع مشخص ابزاری را کنترل نمی‌کند که عموماً برای عموم قابل دسترس هستند یا در قلمرو عمومی استفاده می‌شوند؛ و نیازمند حداقل کد ضروری برای نصب، نگهداری یا تعمیر مواردی هستند که صادراتشان مجاز است.
اگر انواع نرم‎افزار بخشی از لیست کنترل صادرات باشد، محدودیت ادامه می‌یابد. ابزارهای امنیت سایبری، به‌ویژه نرم‌افزار نامحدود، برخلاف سلاح‌های معمولی و متفاوت در استفاده هستند. قرار دادن فناوری‌های نرم‌افزاری در لیست‌های کنترل صادراتی از سوی کشورها شاید معیار مناسبی برای کنترل صادرات و محدود کردن استفاده از این موارد نباشد.
کنترل صادرات نرم‌افزار و ابزارهای امنیت سایبری، نیازی ضروری است؛ اما به تلاش‌های چندجانبه و هماهنگ نیاز دارد که در آن تمام دولت‌ها و دیگر سهامداران باید شرکت کنند. گروه‌های داوطلب مانند قرارداد واسنار، یک هدف محدود دارند. در حقیقت آنها با حذف نرم‌افزار یا فن‌آوری خاصی به مشکل اضافه می‌کنند.