Een OESO-rapport stelt dat cyberoorlog op grote schaal weinig waarschijnlijk is.
Een OESO-rapport stelt dat cyberoorlog op grote schaal weinig waarschijnlijk is, met veeleer gevaar door uiterst gerichte aanvallen.
In het kader van een grote ‘Future Global Shocks’ studie, in opdracht van de Organisatie voor Economische Samenwerking en Ontwikkeling (OESO), bestudeerden twee Engelse onderzoekers de mogelijkheid van een wereldwijde ict-oorlog. In hun rapport ‘Reducing Systemic Cybersecurity Risk’ concluderen ze dat ‘extreem weinig unieke cybervoorvallen in staat zijn een wereldwijde schok’ te veroorzaken, zoals de OESO zo’n ‘global shock’ ziet. Het wereldwijde internet platleggen kan wel, bijvoorbeeld door een van de basisprotocollen (als BGP) aan te pakken, terwijl ook een bijzonder zware zonneuitbarsting voor problemen kan zorgen. Heel wat systemen zijn in ieder geval al beschermd tegen tegen aanvallen, terwijl de daders er zelf ook niet echt belang bij hebben (ze verliezen hun eigen aanvalskanaal). Mogelijke problemen door malware en dies meer zullen veeleer ‘lokaal en kortstondig’ van aard zijn.
Wel waarschuwen ze dat ‘cyberwapens’ al op grote schaal verspreid zijn en in handen van een verscheiden groep ‘boosdoeners’ (dat kunnen zowel jongeren, als hactivisten, bedrijven, misdadigers, terroristen, overheden en militairen zijn). Evenzeer waarschuwen ze ervoor dat de nationale kritieke infrastructuren in grote mate in handen zijn van privé-bedrijven en organisaties, met niet altijd even goede bescherming. Dat kan zowel een aanvalsdoel vormen, als tot problemen leiden bij incidenten die verschillende ‘shocks’ combineren (bijvoorbeeld een natuurramp gecombineerd met een aanval op/verstoring van het internet). Bovendien zijn de aanvallers gewoonlijk bijzonder moeilijk op te sporen, zodat terugslaan vaak zo goed als onmogelijk is.
Adviezen De auteurs adviseren de overheid om bij incidenten de belangen van zowel de overheid zelf als de burgers te behartigen. Meer samenwerking op wereldschaal tegen cybermisdadigers is aangewezen, naast het opstellen en naleven van securitypolies en het opleiden/bewustmaken van gebruikers. Belangrijk is ook de ict-industrie aan te zetten (of te dwingen) tot meer kwaliteit in hun producten (design/development for security en meer/beter testen), onder meer door stringentere eisen bij bestellingen. Bovendien moet worden voorkomen om teveel eieren in een zelfde mand te leggen, bijvoorbeeld alle overheidsinformatie doorheen één enkel portaal toegankelijk maken.
Duidelijk is dat de cyberdreigingen snel evolueren – zoals recent bleek uit het recente Stuxnet – en dat ook nieuwe technologieën, zoals (het niet echt meer nieuwe) Ipv6. Oefeningen zoals het recente Cyber Europe 2010 door het Europese securityagentschap Enisa vormen op termijn een vooruitgang.
Voor de belangstellenden: het rapport biedt zo’n 20 pagina’s met een overzicht van een rist mogelijke rampen, hun mogelijke impact en de duur ervan, evenals hoe hiervan te herstellen.
