Cyberoorlog: hype of werkelijkheid?

De laatste maanden is de berichtgeving rondom een nakende cyberoorlog sterk toegenomen. Van blogs tot televisie, overal wordt er regelmatig beweerd dat we er niet ver vandaan zitten. Maar is dat wel zo? Of is het meer een hype? Wellicht is het noodzakelijk om een definitie te bepalen van ‘cyberoorlog’ om die vraag echt te beantwoorden.

De laatste maanden is de berichtgeving rondom een nakende cyberoorlog sterk toegenomen. Van blogs tot televisie, overal wordt er regelmatig beweerd dat we er niet ver vandaan zitten. Maar is dat wel zo? Of is het meer een hype? Wellicht is het noodzakelijk om een definitie te bepalen van ‘cyberoorlog’ om die vraag echt te beantwoorden.

Bij het woord oorlog denk ik direct aan Syrië of Irak waar vele slachtoffers vallen. Bovendien zijn er twee (of meerdere) partijen die elkaar bestoken met aanvallen. De aspecten van slachtoffers en wederzijdse agressie lijken mij essentieel voor het begrip ?oorlog? en zo ook voor het begrip ‘cyberoorlog’. En volgens een definitie die die twee aspecten in ogenschouw neemt, denk ik niet dat we snel een echte cyberoorlog zullen zien ontstaan.

Wellicht hebben we voorlopers van cyberoorlogen gezien in Estland en Georgië. Van die incidenten wordt aangenomen dat Rusland achter aanvallen op de infrastructuur van die landen heeft gezeten. Of hier echter slachtoffers te betreuren zijn geweest, lijkt me moeilijk hard te maken. En of de aangevallen landen ook een tegenaanval hebben ingezet evenmin. Hiermee probeer ik geenszins het gedrag van een agressieve staat goed te praten. De aanvallen kunnen alleen niet worden bestempeld als cyberoorlog.

Het woord cyberoorlog valt vooral wanneer er een vermoedelijk wapen wordt aangetroffen. Goede voorbeelden daarvan zijn Flame, Duqu en Gauss. Deze softwareprogramma’s werden als cyberspionagetools afgevuurd op heel specifieke doelen in het Midden Oosten. Omdat infecties met deze malware redelijk beperkt zijn gebleven tot de regio’s waarvoor zij bedoeld waren en de malware weinig computers en netwerken heeft geïnfecteerd die oninteressant waren voor de aanvaller, kunnen deze aanvallen worden vergeleken met precisiebombardementen. Maar toch is ook hier geen sprake van te betreuren dodelijke slachtoffers, noch van wederzijdse agressie, dus nog altijd wil ik niet spreken over een cyberoorlog.

Het is dankzij de bovenstaande aanvallen, dat er ondertussen overal ter wereld drafts van cyberstrategieën of zelfs cybercommando’s bij verscheidene overheden worden opgesteld. Er zijn nu zelfs communicatieplatformen waardoor overheden met elkaar kunnen spreken over de materie, waardoor ze veel beter kunnen inschatten waar de aanvallen vandaan kunnen komen. Veel lastiger blijkt het instellen van cyberoorlog-verdragen tussen landen.

Maar is het nu voorbarig om met dergelijke strategieën bezig te zijn, als er nog niet echt tekenen zijn dat een cyberoorlog dreigt? Het antwoord daarop luidt wat mij betreft: neen. Het is verstandig om vooraf te bepalen hoe er gehandeld moet worden als er sprake blijkt te zijn van een cyberaanval op een staat. Als er bijvoorbeeld iets gebeurt met de water- of electravoorziening, waar burgers het slachtoffer van kunnen worden. Het is goed om verschillende scenario’s uit te werken en een draaiboek klaar te hebben liggen. Zo kunnen mensenlevens worden gered. En zo kan voorkomen worden dat er op een onverstandige manier gereageerd wordt richting de veronderstelde agressor. Kortom, een goede voorbereiding op een cyberoorlog kan wel eens het voorkomen van een cyberoorlog betekenen.

In de tussentijd pleit ik ervoor om de aanvallen die zo nu en dan aan het licht komen op de juiste manier te categoriseren, bijvoorbeeld als cyberspionage of -sabotage. Ook de term cyberterrorisme vind ik onwenselijk. Natuurlijk klinkt het sensationeel en spannend, en kan het lezers verleiden om een stuk te lezen, maar al die media-aandacht voor een fenomeen dat er eigenlijk niet is en die soms de pers haalt net voor bijvoorbeeld een grote conferentie, kan ook onnodig bang maken. Er is nog geen enkele echte terroristische daad via het internet uitgevoerd, en toch zou je iets anders kunnen denken als je de media moet geloven. Terroristen gebruiken wel het internet om te communiceren, propaganda te verspreiden en aanhang te verwerven, maar van een aanval waarbij doden of gewonden zijn gevallen is mij in ieder geval nog niets bekend.

Door het misbruik van termen als ‘cyberoorlog’ en ‘cyberterrorisme’ om angst aan te jagen, moet ik wel steeds vaker terugdenken aan het klimaat van de jaren zestig en zeventig: de periode van de koude oorlog. Die ‘oorlog’ was in feite ook vooral gebaseerd op een diep wantrouwen ten opzichte van de ander en een verlammende angst dat die zou kunnen gaan aanvallen. Misschien zullen we over een aantal decennia terugkijken op onze tijd en deze periode bestempelen als koude cyberoorlog.