نکات کلیدی سند بررسی دفاع سایبری فرانسه

به گزارش کارگروه بین الملل سایبربان؛ اوایل سال جاری منیر محجوبی (Mounir Mahjoubi)، وزیر اقتصاد دیجیتال فرانسه، گزارشی استراتژیک درباره رویکرد امنیت سایبری در فرانسه منتشر کرد. این سند بازنگری عمده‌ای از تهدیدات سایبری پیش روی فرانسه است اما سیاست‌هایی را توصیه می‌کند که برای هر فرد خواننده سند راهبرد ملی امنیت سایبری در دهه گذشته، آشنا به نظر می‌رسد. مشخص کردن نقش‌ها و مسئولیت‌های روشن برای سازمان‌های دولتی؛ حفاظت از سیستم‌های دولتی و ارائه‌دهندگان زیرساخت‌های حیاتی و مدرن کردن قوانین و تکنیک‌های مربوط به جرائم سایبری، از ویژگی‌های بارز آن است.

 سه نکته کلیدی در مورد رویکرد فرانسه در پاسخ به حملات سایبری، ترویج قواعد سایبری و تنظیم فعالیت آنلاین بخش خصوصی در این سند به شرح زیر می‌باشند:

اولاً، دولت فرانسه با اتخاذ مکانیسم طبقه‌بندی برای حملات سایبری، به سیاست‌گذاران اجازه می‌دهد تا تأثیر عملیاتی هدایت‌شده به‌سوی فرانسه را ارزیابی کرده و مدلی بر اساس سیستم امتیازدهی تصادفی سایبری در وزارت امنیت ملی پیشنهاد دهد. این طبقه‌بندی از 0 (یک رویداد جزئی) تا 5 (یک بحران فوری و شدید و تنها نوعی از حادثه که می‌تواند تحت منشور سازمان ملل متحد، منجر به حمله مسلحانه شود.) است. حملات سایبری بر اساس تأثیرات، شدت (به‌عنوان‌مثال نیت، ماهیت هدف، ماهیت مهاجم، شدت نسبی یک حادثه نسبت به دیگران و احتمال وقوع) و چگونگی آسیب به حاکمیت فرانسه، امنیت عمومی، کیفیت زندگی (مانند حملات به زیرساخت‌های حیاتی) و اقتصاد طبقه‌بندی می‌شوند.

هیچ‌کدام از این معیارها به‌تنهایی کارکرد خاصی ندارند اما با در نظر گرفتن فرایند تفکر تصمیم‌گیرندگان فرانسوی، به‌عنوان یک نشانه برای مخاطبان بین‌المللی عمل می‌کنند. بدین معنا که دیدگاه دشمنان نسبت به پاسخ رهبران فرانسوی، با بهبود شفافیت تصمیم‌گیری و کاهش احتمال اشتباهات، بررسی خواهند شد. این گزارش، همچنین روشن می‌کند که سازوکار طبقه‌بندی برای هدایت سیاست‌گذاران فرانسوی است و پاسخ همیشه باید یک تصمیم سیاسی بر اساس وقایع باشد.

دوماً، در این بررسی ادامه حمایت فرانسه از توسعه قواعد سایبری، با وجود استراتژی گروه کارشناسان دولتی سازمان ملل متحد سال 2016-2017 موردبحث قرار می‌گیرد. فرانسه باید به‌طور واضح اجرای قواعد سایبری موجود در گزارش‌های گروه کارشناسان دولتی سال‌های 2013 و 2015 را از طریق مکانیسم بازنگری میان دولتی تشویق کند. جزئیاتی در مورد این مکانیسم در دسترس نیست، اما تعجب‌آور نیست اگر نیروی عملیاتی مالی ناظر بر انطباق با قوانین پول‌شویی و مقررات تروریسم در پاریس از این مدل استفاده کرده باشد. ایالات‌متحده تلاش کرده است که کشورها به دلیل عدم رعایت قواعد سایبری پاسخگو باشند، اما هنوز بدون درخواست یک سازمان بین‌المللی جدید، روی اقدامات خاص مانند منسوب کردن بدافزار NotPetya به روسیه کار کرده است.

گزارش مذکور در ادامه خاطرنشان می‌کند که قربانیان حملات سایبری باید بتوانند از سه حقوق استفاده کنند. اولاً، کشورها باید توانایی درخواست از شورای امنیت سازمان ملل متحد را در صورت آسیب از حملات سایبری و تهدید شدن صلح و امنیت بین‌المللی داشته باشند. دوماً، دولت‌ها حق‌دارند به حمله سایبری پاسخ دهند و با وجود داشتن مسئولیت پاسخ صلح‌آمیز، می‌توانند اقدامات ضروری و مناسب برای خنثی کردن اثرات حمله را نیز انجام دهند. سومین مورد، حق یک کشور برای بررسی عملیات سایبری معادل با حمله مسلحانه تعریف‌شده در قوانین بین‌المللی است. آخرین مورد شاید بحث‌برانگیز نباشد، اما خاطرنشان می‌کند که چین و چند کشور دیگر هنوز با عملیات سایبری به‌عنوان حقی برای پاسخ دفاعی موافق نیستند.

سومین نکته کلیدی، این است که فرانسه باید با تصویب قواعد جدید، عملکرد کارمندان بخش خصوصی در فضای سایبری را کنترل کند تا اطمینان حاصل شود که دولت‌ها به‌طور انحصاری روی استفاده قانونی از خشونت در فضای سایبری باقی می‌مانند. این گزارش، سه اقدام را پیشنهاد می‌کند:

1. تحریم عوامل غیردولتی از فعالیت سایبری تهاجمی در پیگیری منافع خود یا از طرف دیگر عوامل غیردولتی. به‌عبارت‌دیگر، فرانسه به دنبال سیاست‌هایی برای اجازه به شرکت‌های خصوصی در هک کردن متقابل می‌باشد. بااین‌وجود، داشتن یک دولت پیمانکار برای انجام عملیات سایبری خوب است.

2. تقویت رژیم کنترل صادرات که گسترش ابزارها، نرم‌افزار و تکنیک‌های نفوذ را محدود و موجب گسترش آسیب‌پذیری و بهره‌برداری از بازار می‌شود.

3. ترویج قانونی که برمبنای آن، عوامل بخش خصوصی مسئولیت استفاده از امنیت را از طریق چرخه عمر محصولاتشان بر عهده دارند و کد منبع و اسناد را پس از پایان دوره محصول در معرض عموم قرار می‌دهند.

در این گزارش، ذکر می‌شود که دو مورد اول توسط اعضای گروه کارشناسان دولتی سازمان ملل در طول مذاکرات سال‌های 2016-2017 تصویب شده‌اند. این امر باعث کمتر شدن مباحثات با کشورها شده و طبق سند، فرانسه باید آن‌ها را در جلسات آینده گروه 20 افزایش دهد، اما شرکت‌های خصوصی، به‌ویژه در ایالات‌متحده، ممکن است مسئله را حل کنند. در واشنگتن دی سی برخی کارشناسان معتقدند که هک متقابل ایده خوبی محسوب شود اما درواقع این‌طور نیست؛ و بیش از چند نفر نیز بر این باورند که تجربه آن‌ها در زمینه ایجاد کنترل‌های صادرات سایبری، برای تلاش‌های آینده خوب نیست.

بخش‌هایی در این سند وجود دارند که نشان‌دهنده استفاده از سیاست‌های صنعتی برای تشویق قهرمانان ملی (هیچ‌کدام از سلبریتی ها و افراد مشهور در جهان فرانسوی نیستند) و نیاز به ایجاد مکانیسم ارزش‌های خطرات سایبری است. در این سند همچنین پیشنهادی به دولت مبنی بر تشکیل یک گروه کارشناس برای ترویج موقعیت فرانسه در مورد مسائل سایبری نیز دیده می‌شود.