Deze bijdrage probeert inschattingen te maken op het gebied van cyberdreigingen voor 2021. Hoewel forecasting altijd uitdagend is, geldt voor cybersecurity wellicht nog meer dan voor de andere bijdrages dat er hier sprake is van een uitdagende taak. Onder cybersecurity experts wordt regelmatig gegrapt dat er twee soorten organisaties bestaan: organisaties die gehackt zijn, en organisaties die nog niet doorhebben dat ze gehackt zijn. Met andere woorden, goede betrouwbare informatie is vaak niet voorhanden. Toch probeert deze themastudie enige inschattingen te maken op basis van waargenomen trends. De bijdrage begint met een dreigingsbeeld en werkt vervolgens toe naar een analyse van internationale samenwerking op cyber-terrein. De conclusie is dat digitale dreigingen snel zullen toenemen terwijl internationale samenwerking nog in de kinderschoenen staat. Tegelijk lijken er wel verbeteringen aanstaande op het gebied van internationale samenwerking in 2021.
Dreigingsbeeld
Inleiding
In 2013 lanceerde de Europese Unie (EU) haar Cybersecurity Strategie, als gevolg van een alarmerende stijging van het aantal incidenten. De EU stelt zich ten doel om de Europese digitale omgeving tot het veiligste ter wereld te maken, echter zonder concessies te doen aan het door de EU voorgestane open en vrije karakter van het internet – beveiligingsmaatregelen mogen niet ten koste gaan van privacy en recht op vrije meningsuiting.[1] De in 2016 verschenen EU Global Strategy bekrachtigt dit tweeledig doel nogmaals.[2] In Nederland verscheen in 2011 al de eerste Nationale Cyber Security Strategie, die in 2013 werd gevolgd door een tweede, geactualiseerde versie. Ook deze strategie beziet een veilig internet in nauw verband met economische en sociale voordelen alsmede met privacy en vrijheid van meningsuiting.[3]
Basistrend
Digitale dreigingen voor de EU en haar lidstaten zijn divers van aard. De EU heeft te maken met schendingen die kunnen variëren van digitale oorlogvoering en terrorisme, tot sabotage, spionage, en criminaliteit. De verwachting voor de komende vijf jaar is dat deze dreigingen verder zullen toenemen (zie Tabel 1).
Tot op heden zijn vooral digitale spionage en criminaliteit zeer veel voorkomend. Om maar een voorbeeld te noemen: in 2015 was gemiddeld één op de tien Britten slachtoffer van enige vorm van cybercriminaliteit, waarmee het in aantallen veruit de grootste criminaliteitscategorie was.[4] Ook Eurostat onderzocht hoeveel individuen in Europese lidstaten de afgelopen jaren slachtoffer waren van internetfraude. Die cijfers liggen lager, maar de aantallen groeien over het algemeen gestaag (zie Figuur 1). Er zijn nog relatief weinig concrete gevallen van cyberoorlog, cybersabotage en cyberterrorisme bekend. Daarbij moet worden aangetekend dat er helaas nog altijd geen heldere overzichten bestaan van aantallen en soorten digitale aanvallen die plaatsvinden. Dit komt deels ook doordat slachtoffers vaak niet eens doorhebben dat er is binnengedrongen in hun digitale infrastructuur, of het liever niet bekend maken uit angst voor reputatieschade of schadeclaims. Verschillende cybersecurity bedrijven presenteren met enige regelmaat statistieken over door hen geconstateerde digitale veiligheidsinbreuken, maar een overkoepelend beeld bestaat nog altijd niet; Figuur 2 toont hoezeer de statistieken uiteenlopen. De enige conclusie die op basis van de gefragmenteerde informatie valt te trekken, is dat het aantal cyberaanvallen in welke vorm dan ook voortdurend stijgt.
Cybermanipulatie op politiek terrein is sinds enkele jaren ook in opmars. Dit betreft vrijwel ongemerkte manipulatie van politieke dynamiek en publieke opinie, zoals de moeilijk bewijsbare vermoedens dat Rusland via ‘informatie operaties’ de presidentsverkiezingen in de Verenigde Staten (VS) probeerde te beïnvloeden.[7] Dergelijke operaties, vaak bedoeld om onrust te zaaien of de legitimiteit van (democratische) politieke processen te ondergraven, zullen wereldwijd vermoedelijk sterk in aantal toenemen – het cyberdomein begint wat dat betreft een volwassen extra dimensie van het internationale politieke en militaire speelveld te worden.
Tot op heden zijn echt grote cyberaanvallen in de zin van cyberoorlog nog vrij weinig voorgekomen. De enkele voorbeelden geven echter wel de potentiële kracht van dergelijke aanvallen aan. Een illustratie is de cyberaanval op het Oekraïense elektriciteitsnetwerk in december 2015, waardoor een deel van de bevolking zonder energie in de winterkou zat. Eerdere grootschalige cyberaanvallen, zoals die op Estse overheids- en mediadoelen in 2007 en ter ondersteuning van de Russische militaire aanval op Georgië in 2008, lijken alweer bijna ouderwets vergeleken met de technische mogelijkheden die momenteel worden geconstateerd bij ontdekte cyberoperaties met slechte bedoelingen. Weliswaar zijn cyberaanvallen met directe doden en gewonden als gevolg nog niet bekend, maar dat ze fysieke schade kunnen veroorzaken is al wel in de praktijk aangetoond. Voorbeelden zijn op tilt slaande industriële apparatuur in Iran (uraniumverrijkingsinstallaties) en Duitsland (staalfabriek), maar ook bijvoorbeeld de Saoedische staatsoliemaatschappij Saudi Aramco die duizenden computers moest vervangen. Doemscenario’s waarin cyberaanvallers een complete samenleving kunnen ontwrichten door bijvoorbeeld energie-, transport-, en communicatievoorzieningen langdurig uit te schakelen, zijn tot nu toe geen werkelijkheid geworden. Bovendien lijken catastrofale scenario’s waarbij cyberterroristen bijvoorbeeld kernwapens weten af te vuren of vliegrampen veroorzaken door manipulatie van luchtverkeersleidingsystemen weliswaar niet onmogelijk, maar ook niet voor de hand liggend. In tegenstelling tot de gemiddelde particuliere laptop zijn juist dergelijke systemen wel uitermate goed beveiligd.
Bepalende factoren
Op basis van enkele kwalitatieve trendmatige indicatoren met betrekking tot digitale spionage, criminaliteit en oorlog valt te verwachten dat cyberdreigingen in 2021 zullen toenemen. Tegelijkertijd is het van belang om ook naar een aantal factoren te kijken en te bezien of de basistrend verder moet worden bijgesteld. Belangrijke indicatoren op dit gebied, zoals de mate van digitale verbondenheid, het escalatiepotentieel en de mate van cyberwapenwedloop, geven aan dat zowel de waarschijnlijkheid als de impact van cyberaanvallen eerder naar boven dan naar beneden moeten worden bijgesteld.
Een eerste belangrijke factor die bij kan dragen aan een stijging van cyberaanvallen in de toekomst is het toenemend aantal internetgebruikers en de toenemende digitale verbondenheid (zie Figuur 3). De moderne samenleving wordt steeds meer afhankelijk van digitalisering. Niet alleen stijgt het aantal internetgebruikers al jarenlang,[8] ook het aantal apparaten en gebruiksvoorwerpen dat verbinding heeft met het internet neemt wereldwijd zeer snel toe: naar schatting van de Internationale Telecommunicatie Unie (ITU) waren eind 2015 circa 2,9 miljard voorwerpen verbonden met het internet, en zal dit snel toenemen naar zo’n 25 miljard in 2020.[9] Het concept ‘the Internet of Things’ is wat dat betreft veelzeggend: wie had vijf jaar geleden kunnen bedenken dat zoveel alledaagse zaken als koelkasten, thermostaten en auto’s met internet waren verbonden? Het feit dat tegenwoordig zelfs barbecues gehackt kunnen worden is bijna ongelooflijk, en dat zijn dan wellicht nog de minst schadelijke apparaten. Voor criminelen, spionnen, terroristen en militairen is de overvloed aan kwetsbaarheden in het digitale domein een goudmijn. De sterk stijgende afhankelijkheid van digitale diensten in de (Westerse) samenleving vergroot daarom ook de risico’s die daarmee gepaard gaan.
Een tweede factor die kan bijdragen aan een toenemend risico is het escalatiepotentieel, oftewel mogelijk onbedoelde effecten van cyberoperaties. Zo kunnen computercodes die door kwaadwillenden worden gebruikt hun eigen leven gaan leiden, zoals bij een besmettelijk virus. Op deze manier kunnen zelfs kleinschalige cyberactiviteiten per ongeluk wereldwijde gevolgen hebben. Daarbij speelt ook nog eens het gevaar van snelle escalatie. Het is theoretisch goed mogelijk – maar tot op heden niet openlijk gebeurd – dat een land bedoeld of onbedoeld getroffen wordt door een grootschalig cyberincident, en vervolgens een vergeldingsactie start. Zo kan er een spiraal van escalatie in gang gezet worden, terwijl door het attributieprobleem en ‘false flag’ operaties (een dader laat nep-sporen na die naar een andere partij wijzen) ook nog eens onschuldige landen in zo’n spiraal betrokken kunnen raken. Er is bovendien ook indirecte dreiging, zoals een ontdekte (test-)poging om binnen te dringen in een Amerikaanse waterkering laat zien: cyberoperaties die slechts voorbereidend zijn om op een nader te bepalen moment kwalijke zaken in werking te kunnen laten treden.[12]
Een derde factor is dat er een wereldwijde cyberwapenwedloop is ontbrand waarbij veel landen investeren in defensieve en offensieve cyberoorlogcapaciteiten.[13] Het risico dat deze capaciteiten ook werkelijk zullen worden ingezet (al dan niet door misverstanden, miscommunicatie, e.d.) neemt daarmee ook toe. Eveneens weinig geruststellend is dat cybersecurity experts menen dat er indicaties zijn dat statelijke actoren voorbereidingen treffen om (delen van) het wereldwijde internet plat te kunnen leggen.[14]
Impact en schokken
Zoals bovenstaande analyse betoogt, nemen digitale dreigingen snel toe en blijft de aard van de dreigingen zeer divers. Vooral digitale spionage en criminaliteit veroorzaken momenteel de grootste hoeveelheid problemen, voornamelijk met economische schade tot gevolg. De schade die digitale aanvallen precies aanrichten is echter onbekend. Ter illustratie: in 2013 schatte een Amerikaanse denktank dat de wereldeconomie jaarlijks ruim 400 miljard dollar schade oploopt door cybercriminaliteit en cyberspionage.[15] Deze schatting betrof echter alleen directe schade: de auteurs van het rapport constateerden dat lange termijn gevolgen zoals tragere innovatie, verstoorde handel, toenemende werkloosheid en afnemend vertrouwen in de economie, overheid en medemens moeilijk in geld zijn uit te drukken.
In de nabije toekomst valt fysieke schade (inclusief fysieke slachtoffers) niet uit te sluiten. Politieke en militaire informatie of gegevens over kwetsbaarheden in veiligheid kunnen bij kwaadwillenden terechtkomen.[16] Het risico dat er op den duur een wantrouwen tegen digitale technologieën onder (delen van) de bevolking ontstaat, is niet denkbeeldig, hetgeen tot maatschappelijke onrust en bijvoorbeeld verzet tegen verdere digitalisering van overheidsdiensten kan leiden. Ten slotte valt op dat naast economische en fysieke dreiging ook politiek-maatschappelijke dreiging in opkomst is. Het cyberdomein kan worden gebruikt om informatie te manipuleren, hetgeen effect heeft op bijvoorbeeld politieke processen: denk hierbij aan de eerder genoemde beschuldigingen dat Rusland de presidentsverkiezingen in de VS heeft geprobeerd te manipuleren. Naast het beïnvloeden van andere landen doen veel landen overigens hetzelfde richting hun eigen bevolking door middel van internetcensuur en digitale propaganda.
Bovenstaande vooruitblik is gebaseerd op moeilijk waarneembare trends en is daarom zeer vatbaar voor allerlei onzekerheden en plotselinge gebeurtenissen. Om dit enigszins in kaart te brengen, heeft de Clingendael Expert Survey een aantal mogelijke gebeurtenissen geïdentificeerd en gescoord (zie Figuur A in het uitklapvenster). Op het gebied van cybersecurity is daarbij een grootschalige Russische cyberaanval als potentiële schok geïdentificeerd. Stel dat Rusland en het Westen (lees: de Noord-Atlantische Verdragsorganisatie (NAVO), of de EU) in conflict komen, dan zou Rusland een massale cyberaanval kunnen uitvoeren waarmee grote schade kan worden aangericht in de aangevallen NAVO- en/of EU-lidstaten. Het betreft niet alleen civiele (maatschappelijke en economische) schade: een grote cyberaanval kan ook de militaire slagkracht aantasten door bijvoorbeeld communicatie- en commandostructuren te saboteren, alsmede energie- en logistieke netwerken. Zo’n grootschalige cyberaanval is tot op heden nog niet voorgekomen, maar dat Rusland betrokken is geweest bij dergelijke aanvallen op kleinere schaal mag worden verondersteld. Een dergelijke schok zou grote invloed kunnen hebben op de internationale verhoudingen en de plaats van Europa en/of het Westen daarbinnen.
Schok
Cybersecurity-regime
Het dreigingsbeeld stemt niet erg gerust: op vrijwel alle vlakken valt te verwachten dat het aantal aanvallen toeneemt en dat de gevolgen groter zullen zijn dan nu het geval is. De vervolgvraag luidt: in hoeverre is er sprake van een (zich ontwikkelend) internationaal systeem van samenwerking en/of afstemming die mogelijke gevolgen zou kunnen mitigeren? Deze analyse stelt daarom een aantal kwalitatieve indicatoren op (zie Bijlage 2) en behandelt achtereenvolgens de belangrijke actoren en instituties, normen en regels en de mate waarin actoren zich houden aan deze al dan niet bestaande set van (impliciete) normen en regels.
Actoren en instituties
Een specifiek probleem betreffende cyberdreigingen is het gebrek aan internationale regulering: cybersecurity wordt wel eens het ‘Wilde Westen’ van de internationale betrekkingen genoemd. Er bestaan geen specifieke internationale instellingen op dit terrein. De enige internationale gouvernementele organisatie die op dit onderwerp actief is, de ITU, heeft wegens politieke verdeeldheid tot nu toe weinig concreets bereikt. De Verenigde Naties (VN) hebben slechts een Group of Governmental Experts op dit thema, die weliswaar zeer actief is, maar vrij laaggeplaatst is in de VN-bureaucratie.
Wel zijn er allerlei regionale en bilaterale initiatieven opgekomen. Zo hebben de Organisatie voor Veiligheid en Samenwerking in Europa (OVSE) en de Shanghai Cooperation Organisation (SCO) vrijwillige gedragscodes afgesproken, deze zijn echter volledig vrijblijvend. Ook in NAVO-verband wordt sinds kort een cyberaanval op een lidstaat beschouwd als een cyberaanval op de alliantie, al is (bewust) niet precies gedefinieerd wat onder een cyberaanval wordt verstaan en wat dan precies de tegenreactie zal zijn.[17] Enkele landen hebben bilaterale overeenkomsten gesloten, maar deze zijn vaak meer symbolisch, bijvoorbeeld over wederzijdse assistentie bij cyberaanvallen. De VS en China hebben in 2015 afgesproken om elkaar niet (meer) te bespioneren uit economische motieven, na hevige druk van de VS uit frustratie over de mate waarin China hiermee bezig was. Na de afspraak nam het aantal gevallen van (veronderstelde) cyberspionage in de VS inderdaad iets af, al menen sommige experts dat dat vooral komt omdat Chinese (staats-)hackers voorzichtiger te werk gaan.[18]
Waar bovenstaande initiatieven duiden op een grote rol van statelijke actoren is een specifiek kenmerk van het cyberdomein de variëteit aan actoren; staten zijn zeker niet de enige spelers van betekenis. Zo is de fysieke kant van het cyberdomein, de infrastructuur, grotendeels in handen van private organisaties. Om enkele voorbeelden te noemen: de datacommunicatiekabels, de serverknooppunten, en zelfs de organisatie die internetadressen toewijst, zijn over het algemeen in private handen. Om effectieve internationale regelgeving in het digitale domein te bereiken, is het betrekken van de vele private stakeholders daarom noodzakelijk. Hoe alle belanghebbenden op een efficiënte wijze om de tafel te krijgen, is echter een enorme uitdaging.
Normen en regels
Voorlopig geldt voor het cyberdomein dat er sprake is van discussie over normen en dat er gebrek bestaat aan internationale regulering. Er bestaan geen specifieke internationale verdragen. Wel heeft de eerder genoemde werkgroep van de VN beklemtoond dat het gangbare internationale recht ook van toepassing is op het digitale domein.[19] Hoe dit in de praktijk moet worden vertaald blijft echter problematisch, vooral door specifieke moeilijkheden zoals het attributieprobleem van cyberaanvallen: het is bijzonder lastig om onomstotelijk bewijs te leveren over wie verantwoordelijk is voor cyberincidenten.[20]
Internationale normen en regels zijn er in feite nog niet in het cyberdomein, althans niet meer dan de redelijk algemeen geaccepteerde opvatting dat het internationale recht er ook op van toepassing is. Het is niet waarschijnlijk dat er in de komende jaren meer eensgezindheid zal ontstaan. Wel zijn er recentelijk enkele initiatieven op gang gekomen vanuit de private sector. Een belangrijke pionier is Microsoft, dat in 2014 zes internationale normen voorstelde,[21] en in 2016 opperde een internationale, onafhankelijke cyberaanval-attributie organisatie op te zetten. Hierbij zou de private sector expertise kunnen leveren aan staten om te voorkomen dat onjuiste attributie en te snelle tegenacties tot grote problemen leiden.[22] Hoewel dergelijke private initiatieven breed geprezen zijn, hebben ze nog niet tot concrete resultaten geleid. Het feit dat grote bedrijven het wenselijk achten om het statelijke niveau te stimuleren tot maatregelen om de digitale veiligheid wereldwijd te vergroten, is echter een ontwikkeling die mogelijk meer navolging zal vinden, gezien de grote belangen van multinationals op dit terrein.
Belangrijke twistpunten die internationale statelijke samenwerking in de weg staan, zijn de verschillende opvattingen van staten over de aard van het cyberdomein en de rol van de staat daarin. Er is een groep staten (met name de grootmachten China en Rusland) die de staatscontrole op internet wil vergroten uit oogpunt van nationale veiligheid. Daartegenover staat een andere groep staten (met de VS en de EU als belangrijkste vertegenwoordigers) die internet als een publiek goed zien waar vrijheid en ontbrekende geografische grenzen vooropstaan. Hier moeten overheden juist zo min mogelijk inmenging betrachten, al maken ook sommige staten die zich als voorstander van een vrij internet opwerpen zich schuldig aan digitale spionage.
Naleving
Bij gebrek aan internationale regelgeving op het gebied van cybersecurity valt er weinig te zeggen over naleving van bestaande regels. Ook de afspraken die gemaakt zijn binnen regionale organisaties zijn over het algemeen van vrijblijvende aard en worden niet geverifieerd. Verificatie van gedrag in cyberspace is sowieso bijzonder ingewikkeld, omdat computercodes in tegenstelling tot fysieke wapens nu eenmaal eenvoudig te verbergen zijn. De bevestiging door de VN-werkgroep dat het internationale recht integraal van toepassing is op het cyberdomein is een belangrijke stap, maar hoe dit in de praktijk moet worden toegepast blijft vooralsnog onduidelijk, en hoe naleving zou kunnen worden gemonitord is (nog) niet te overzien.
Assenkruis en schokken
Het internationale regime betreffende het cyberdomein is er één in ontwikkeling: er zijn nog weinig gedeelde normen, en al helemaal geen regels. Op dit moment vinden er binnen het regime (ernstige) conflicten plaats over de onderliggende normen. Het ontbreekt voorlopig aan effectieve samenwerking tussen het grote aantal statelijke en niet-statelijke actoren. Er valt weinig beweging waar te nemen in de positie op het assenkruis (zie Figuur 4), hoewel voor 2021 verwacht mag worden dat er iets meer overeenstemming ontstaat over de belangrijkste normen en dat er wordt toegewerkt naar het opstellen van iets meer regels. Of dit lukt, blijft echter ongewis.
Ook in het geval van het cyber-regime kunnen verwachte trends echter veranderen als gevolg van plotselinge gebeurtenissen. Om hier rekening mee te houden zijn middels de Clingendael Expert Survey ook voor dit systeem van samenwerking een aantal mogelijke gebeurtenissen geïdentificeerd en gescoord (zie Figuur B). Er komt een aantal mogelijke schokken uit de expert survey die de internationale verhoudingen in het cyberdomein kunnen doen veranderen. Een versnelling van de bestaande cyberwapenwedloop werd als meest waarschijnlijk genoemd, zeker indien gekoppeld aan een mogelijke toename in samenwerking tussen het bedrijfsleven en staten op dit vlak. Hoewel de huidige grootmachten (de VS, China en Rusland voorop) momenteel ook in de cyberwapenwedloop nog vooraan lijken te lopen, is het mogelijk dat in de komende jaren andere landen ook in het rijtje cybergrootmachten terechtkomen. Een andere schok die hier verband mee kan houden, is het achterop raken van Westerse technologieën ten opzichte van niet-Westerse partijen. Een rol hierbij zou ook de opkomst van niet-Westerse technologische bedrijven kunnen spelen. Als het Westen zijn technologische voorsprong verliest, zullen de internationale verhoudingen uiteraard ook veranderen. Als laatste mogelijke schok is een massale cyberaanval op de internationale financiële markten geïdentificeerd. Zo’n aanval zou grote schadelijke gevolgen voor de wereldeconomie kunnen hebben en ook verschuivende verhoudingen kunnen bewerkstelligen.
Schok
Een schok die niet uit de expert survey komt, maar wellicht toch genoemd moet worden, is de mogelijkheid dat voor het eerst een grootschalige militaire cyberoperatie met ernstige gevolgen zou worden uitgevoerd. Stel dat een land een massale cyberaanval zou uitvoeren op een ander land, door bijvoorbeeld communicatie- en energiesystemen voor langere tijd plat te leggen, dan zou dat een grote impact op de samenleving van het getroffen land kunnen hebben. De internationale reactie kan vervolgens twee dimensies hebben: een verdere versnelling van de digitale wapenwedloop (met verder groeiend escalatiegevaar) maar ook een versnelling van de pogingen om tot meer internationale regels en normen op dit vlak te komen.
Conclusie
Hoewel de dreiging in het cyberdomein wereldwijd snel toeneemt, heeft de internationale gemeenschap nog geen effectieve wijze gevonden om hiermee om te gaan. Door diverse problemen, zoals uiteenlopende visies en de grote betekenis van niet-statelijke actoren in het cyberdomein, blijft internationale samenwerking op een relatief laag pitje staan. Dit betekent ook dat de dreiging vanuit dit oogpunt niet zal verminderen. Gezien de sterke groei in digitalisering van de wereldwijde samenleving zal de dreiging alleen maar toenemen. Het is mogelijk dat er incidenten met grote impact zullen moeten plaatsvinden voor er meer internationale urgentie tot samenwerking wordt gevoeld. Het uitblijven van dergelijke incidenten zou tot een jarenlang voortmodderen kunnen leiden, waarbij grote hoeveelheden cyberincidenten op kleinere schaal plaatsvinden, maar landen en organisaties als los zand hun eigen tegenmaatregelen blijven nemen.