ایران پیش از این، مورد حملات سایبری متعددی قرار گرفته است که حمله به تأسیسات هستهای، وزارت راه و شهرسازی و شرکت راه آهن از جمله آنهاست. حملاتی که شدت آنها طی سالها باعث قرارگرفتن ایران در لیست کشورهایی شد که مورد هدف بیشترین حملات سایبری بودهاند. در همین راستا از سال 2010 سازمانی تحت عنوان قرارگاه دفاع سایبری که زیر نظر سازمان پدافند غیر عامل و یکی از زیر شاخههای نیروهای مسلح جمهوری اسلامی ایران است، آغاز به کار کرد. نهادی که مقام معظم رهبری در خصوص اهمیت این سازمان فرمودهاند: «اگر مدیران کشور اهمیت مسئله پدافند غیرعامل را درک نکنند و پدافند غیرعامل بهطور شایسته توسعه پیدا نکند، کشور در معرض تهدیدهای بعضا غیر قابل جبران قرار خواهد گرفت». «اصفهان زیبا» برای بررسی اینکه حمله سایبری چیست و چه ماهیتی دارد و دیدگاه حقوق بین الملل و واکنش جامعه بینالمللی به این موضوع چیست، باجباراصلانی، دانشآموخته حقوق بینالملل و استاد دانشگاه گفتوگو کرد. در ادامه مشروح این گفتوگو را میخوانید.
برای شروع از ماهیت حملات سایبری بگویید. این نوع رویکرد با چه پیشزمینه و شیوهای از سوی دشمنان برای کشور هدف صورت میگیرد؟
در حال حاضر دنیا با چالش جدیدی تحتعنوان استفاده خصمانه یا درحقیقت سوءاستفاده از فضای سایبر روبهروست؛ آنچه در همه جوامع وجود دارد و بااستفاده از این شیوه بهرهگیریهایی به صورت منفی و مغرضانه صورت میگیرد. نکته این است که به گمان اکثریت، فضای سایبر صرفا شامل شبکه جهانی اینترنت است؛ اما واقعیت این نیست. در تعریفی که از فضای سایبر یا همان سایبر اسپیس مطرح است، این فضا صرفا محدود به نت جهانی نیست؛ بلکه اینترنت مهمترین و عمدهترین بخش فضای سایبر در راستای اقدامات خرابکارانه به شمار میآید. برای نمونه سیستمهای کنترل رادار هواپیما در فرودگاهها بخشی از فضای سایبر هستند. یا حمله به سیستمهای هستهای نطنز در سال 2010 بهوسیله کرم استاکس نت بود؛ نه از طریق فضای شبکه جهانی اینترنت. دشمن با متصلکردن یک USB آلوده به مادربرد سیستم و سایت هستهای کشورمان به سیستمهای هستهای نفوذ کرد و آن حمله را رقم زد.
آیا هر اتفاقی که در فضای سایبر رخ میدهد، ضرورتاو حتما از نوع خصمانه و با هدف خرابکاری و به عنوان یک حمله سایبری به معنای حقوقی به حساب میآید؟
به طور کلی خیر. اگربخواهیم از بعد حقوقی به این موضوع بپردازیم، باید بگوییم اگر شخصی بهعنوان کاربر یک سایت آن فضا را هک و خسارتی به سایت وارد کند، اگر این اقدام در قلمرو جغرافیایی ملی یک کشور مشخص نیز اتفاق بیفتد، قاعدتا مشمول مبارزه با جرائم رایانهای آن کشور خواهد شد و حتی ممکن است مجازات کیفری شامل حال او شود. برای مثال اگر فرد هکر، با استفاده از فضای سایبر حسابهای بانکی افراد حقیقی را با انگیزه انتفاع مادی و انتقال پولها به حساب خود، خالی کند، این اقدام مصداق بارز یک جرم کیفری سایبری در بستر فضای سایبری اتفاق افتاده است. این فرد همچون مجرمی است که به صورت عینی و در عالم مادی مرتکب جرم کیفری همانند یک قتل یا کلاهبرداری شده است که مجازات خاص خود را میطلبد و فرایند شناسایی و تعقیب آن فرد نیز مشمول قوانین آیین کیفری و دادرسی آن کشور از نوع کامپیوتری یا سایبریاش خواهد بود. نکته بعد در خصوص شرایطی است که در فضای سایبر و در باب یک حمله رخ میدهد؛ برای نمونه ما اصطلاحات و ادبیات حقوقیفنی متفاوتی را در خصوص حمله سایبری در این حوزه داریم که البته از همه آنها به عنوان حمله یاد میشود و از نظر حقوقی قطعا درست نیست؛ چراکه برای هر نوع استفاده از فضای سایبری یک تعریف خاص و قوانین متفاوتی وجود دارد. باید در این خصوص تفکیک قائل شد تا بتوان آنها را حمله فرض کرد و مسئولیت این موضوع را به شخص یا کشور متخاصم ربط داد.
تقسیمبندی حملهها یا خرابکاریهای سایبری به چه صورت است و تفاوت میان جنگ سایبری و حمله سایبری چیست؟
سایبر وندالیسم یا خرابکاری سایبری همانند هکرهای حساب بانکی که در حوزه ملی و بین الملل رخ میدهد، یک نوع سایبر کرایم یا جرم سایبری از وجه کیفری ملی و بینالمللی به حساب میآید. سایبر اتک یا حمله سایبری با مفهوم جنرال که همه نوع حملات سایبر را شامل میشود، نوع دیگری است. سایبر اتکی در حقوق بین الملل ممکن است بعضا موجب سایبر وار یا جنگ سایبری شود و در یک فاز مخاصمه سنتی مسلحانه قرار گیرد. جنگ سایبری در مفهوم حقوق بینالملل ممکن است در ادامه یک مخاصمه سنتی با هدف بشردوستانه یا دفاع از حقوق بشر دوستانه نیز اتفاق افتد که در جنگ میان روسیه و گرجستان و در ادامه درگیری و حملات سنتی روسی به گرجستان طی سالهای گذشته رخ داد و سایتهای وزارتخانههای دولتی گرجستان توسط هکرهای اجیر شده دولت روسیه کاملا هک و از سرویس خارج شد.
آیا این تعاریف از حمله و جنگ سایبری در میان کشورهای غرب و شرق یکسان است؟
متأسفانه خیر. در عرصه حقوق بینالملل و تا کنون تعریف جامعی از حمله سایبری که مورد اجماع جامعه بینالملل قرار گرفته باشد، وجود ندارد. تنها تعریفهای متعدد، با دید کارشناسانه و با در نظرگرفتن منافع ملی کشورهایی که اقدام به این تعریف کردهاند، موجود است. جالب اینجاست که دو تعریف کشورهای غربی و کشورهای بلوک شرق (در سازمان همکاریهای شانگهای با رهبری روسیه) از حمله سایبری کاملا متعارض از یکدیگرند؛ بلوک غرب یا همان غربیها به ریاست آمریکا از حمله سایبری به مفهوم سایبر اتکی که مشمول قواعد و مقررات حقوق بینالملل از باب مسئولیت بینالمللی دولتها میشود، نام میبرند که تعریفی کاملا محدود فنی و البته قابل قبولتر از نظر کشورهای شرق در قالب سازمان همکاریهای شانگهای که کاملا گسترده و فراخ است و حتی یک اقدام برای تشکیل یک اعتراض مدنی را هم به عنوان یک حمله تلقی میکند، است. برای مثال اگر افراد در بستر فضای سایبر، دور یکدیگر جمع شوند و یک قرار ملاقات میدانی بگذارند و در راستای یک اعتراض صنفی اقدام کنند، از دید سازمان همکاری شانگهای و تعریف آنها از حمله سایبری، یک حمله تلقی میشود؛ چراکه چهارچوب منافع ملی در تعریف سازمان همکاری شانگهای و بلوک شرق و به طور خاص کشور روسیه و چین بسیار بسیار گسترده است و هر اقدامی را در بر میگیرد.
پس با این شرایط نمیتوان تعریف واحدی برای فعالیتهای حتی غیرقانونی با استفاده از این بستردر نظر گرفت. درست است؟
بله تا اندازهای. در حال حاضر هیچگونه تعریف حقوقی جامع که لازمالاجرا و لازمالاتباع برای دولتها به عنوان تابعان حقوق بینالملل باشد، وجود ندارد تا بتوانیم در آن چهارچوب اقدام کنیم. هر چه هست، رویه دولتها و مواضع رسمی است که دولتها اتخاذ میکنند. به عبارتی کشورها از این فضای مخفی، پوشیده و پیچیده به نفع منافع خود در باب تهاجم و تدافع استفاده میکنند؛ چراکه قطعا عامل شناسایی حمله به عنوان مهمترین رکن در انتصاف مسئولیت بر همه مخفی و پوشیده است. فضایی که دولتها چندان با آن مخالف نیستند تا اینکه درگیر مسئولیتهای بینالمللی نشوند.
در آخرین حمله سایبری به ایران، سامانه توزیع سوخت بنزین مورد هدف قرار گرفت. پیش از این نیز حملات متعددی از سوی دشمنان به نهادها و سازمانهای دولتی مختلف کشورمان انجام شده است. آیا نمیتوان با استفاده از موازین بینالمللی مانع از تکرار اینگونه حملهها شد تا در طول یک سال بارها شاهد این اتفاقات در کشورمان نباشیم؟
همانطور که اشاره کردم، این گونه اقدامات سایبری هنوز چهارچوب هنجاری و معاهده خاصی به خود نگرفته است و تعریف مورد اجماعی در این باره وجود ندارد تا کشورها را متعهد به عدم انجام این حملهها و تکرار آنها کند؛ بنابراین ما باید در این رابطه به عمومات حقوق بینالملل در باب مسئولیت بینالمللی دولتها در قبال اعمال متخلفانه آنها متوسل شویم. به منظور تحقق مسئولیت بین المللی یک دولت در باب ارتکاب یک تخلف بینالمللی چند رکن لازم است؛ رکن اول این که فعالیت باید از نظر حقوق بینالملل، نقض یک حقوق بینالمللی تلقی شود که قطعا حملات سایبری با این تفاسیری که خدمتتان عرض کردم، واجد چنین وصفی هستند. رکن دوم بحث انتصاب آن عمل متخلفانه است. به این معنا که فعل متخلفانه در صورت اثبات نقص تعهد بینالمللی، قابل انتصاب نیز باشد و فعل خلاف در اثر اقرار یا شواهد اثبات شود. از سویی مهمترین موضوع عدم وجود قلمرو جغرافیای خاص برای حملات سایبری است؛ به ویژه اگر با استفاده از شبکه جهانی اینترنت صورت گیرد که شناسایی حمله و انتصاب آن را بسیار سخت و پیچیده میکند؛ برای مثال اگر حملهای در فضای سایبری دولت و ملی پاکستان علیه تأسیسات نظامی یا غیرنظامی ایران صورت گرفت، ضرورتا و اثباتا به معنی این نیست که این حمله منتصب به دولت پاکستان است. شاید این حمله بدون اطلاع دولت پاکستان و با استفاده از فضای سایبری این کشور علیه تأسیسات هستهای و تأسیسات غیرنظامی ایران صورت گرفته است. حتی ممکن است این حملات توسط دشمن، اشخاص حقیقی و حقوقی بیگانه در خاک سایبری و فضای سایبری کشور هدف اتفاق بیفتد. کما اینکه جماعتی از دانشجویان آمریکایی به یک سیستم نظامی آمریکا حمله کرده بودند و بعدها کشف شد که در خود لسآنجلس این اتفاق رخ داده است.
این یعنی چندان نمیتوان با این حملهها مقابله یا عامل آنها را شناسایی کرد؟
در این موضوع نمیتوان چندان ورود کرد و البته پرداختن به آن از حوصله بحث ما نیز خارج است. اما در منشور ملل متحد به موجب بند 4 ماده یک ممنوعیت توسل به زور برای کشورها در نظر گرفته شده است. اینکه اگر تجاوزی از سوی یک دولت یا دولتهایی به خاک یک دولت ثالث از هر نوع دریا، زمین، هوا و حتی فضای سایبر صورت گیرد، حمله تلقی میشود و به مفهوم سنتیاش و بر اساس ماده 51 منشور ملل متحد، دولت مورد تجاوز قرار گرفته حق دفاع مشروع با رعایت ضوابط مندرج در منشور را خواهد داشت.
آیا اینگونه قواعد بینالمللی در قبال حملههای سایبری، کافی است؟ به عبارتی تنها حقوق قابل اعمال برای حملههای سایبری، بنده 4 ماده یک است؟ با این شرایط که ایران نمیتواند این حملههای سایبری اخیر علیه خود را به کشور و دولتی خاص نسبت دهد و از تکرار آن نیز جلوگیری کند… .
پاسخ به این سؤال بسیار گسترده و حجیم است. محققان و پژوهشگران در حمله به تأسیسات هستهای ایران در سال 2010 به این نتیجه رسیدند که این حمله به صورت موردی مصداق بند 4 ماده 2 است و ایران قربانی یک حمله مسلحانه مشمول مقررات ملل متحد قرار گرفته و حق دفاع مشروع را دارد. پس این اتفاق ممکن است در رابطه با حملات اخیر سایبری علیه سامانه هوشمند سوخت ایران نیز رخ دهد. به عبارتی واکنش نظام حقوق بین الملل در قبال عمل متخلفانه کاملا واضح است.
در نهایت با این موقعیت چه باید کرد تا بار دیگر شاهد حملههای سایبری در ایران نباشیم؟ آیا مشکل از حوزه امنیتی ایران است یا این موضوع در همه کشورها عمومیت دارد؟
این حملهها واقعا قابل پیشگیری یا حداقل قابل توقف نه تنها برای ما، بلکه برای هیچ کشوری در دنیا نیست. حتی کشورهای پیشرفته و صاحب تکنولوژی و فناوری برتر در زمینه سایبری جزو آسیب پذیرترین کشورهای دنیا هستند. یعنی میزان و آمار حملههای سایبری در آنها بسیار بسیار بالاست؛ به طوری که حتی قابل شمارش نیست. سال گذشته آمریکا آماری منتشر کرد که بر اساس آن بالای چندین میلیون حمله سایبری به تأسیسات و حوزههای مختلف این کشور صورت گرفته است. ما نیز به عنوان بخشی از بدنه جامعه بینالمللی از این موضوع مستثنی نیستیم. در واقع هیچ کشوری از حملههای سایبری در امان نیست. حتی این نکته وجود دارد که کشورهای ضعیفتر به دلیل وجود زیرساختهای ضعیف، جذبه کمتری برای دشمنان دارند و کمترین آسیب را از این فضا میبینند و در مقابل کشورهای پیشرفته به دلیل وجود بیشترین باگها، بیشترین حفرههای امنیتی را دارند. با این حال و بر اساس گزارشهای منتشرشده از سوی کشورمان، ایران یکی از قویترین ارتشهای سایبری دنیا را دارد. در غیر این صورت ما قطعا شاهد آسیبهای بیشتری در این حوزه بودیم.
این پیش بینی وجود دارد که در آینده جنگهای سایبری صد در صد جای جنگهای سنتی را خواهند گرفت و به ندرت جنگی عینی میان کشو رها رخ میدهد. نظر شما در این باره چیست؟
بله. این موضوع نگرانکننده است و پیشبینیهایی هم در این خصوص صورت گرفته است. اینکه تا سال 2050 ممکن است به ندرت شاهد جنگهای میان دولتها و در قالب سنتی باشیم و حملهها در فضای سایبر اتفاق خواهد افتاد که به عقیده بنده نیز منطقی و کاملا شدنی است. در حال حاضر در ادارات، سازمانها، نیروهای مسلح و ارگانهای مختلف کشورمان نیز این موضوع پیشبینی شده است و پدافند غیرعامل در بحث آموزش و اقدامات پیشگیرانه به منظور بالا بردن امنیت این فضا و تأسیسات سایبری فعالیت میکند.
ایران چگونه میتواند خود را برای حملات سایبری در آینده آماده کند؟
فضای سایبر در حال حاضر بخش لاینفک و اجتنابناپذیر حیات تکتک شهروندان جهان و کل حاکمیتها و دولتهای دنیاست. تأمین امنیت فضای سایبر به طور عام و فارغ از دیدگاههای حقوقی یا سیاسی از طریق پیشگیری و آموزش است که در سیستمهای ملی کل دنیا وجود دارد و کشور ما هم قطعا از این قاعده به دور نیست. در این راستا میتوان از ابزارهای سیاسی، تکنیکال و حقوقی موجود در مناسبات و جامعه بین المللی همچون سازمان ملل متحد، استفاده کرد و با درخواست رأی مشورتی از دیوان بینالمللی دادگستری در صحن مجمع سازمان ملل متحد طرح موضوع کرد. از طرفی میتوان در سخنرانیهای سالانه رؤسای جمهور در مجمع عمومی سازمان ملل نیز این موضوعات مطرح شود. حتی ایران میتواند میزبان نشستهای آکادمیک و پژوهشی بین رشتهای در این حوزه باشد و استفاده خصمانه از فضای سایبر را در قالبهای مختلف مورد ارزیابی قرار دهد. منظور این است که جدای از روشهای پیشگیری، کنترل و آموزش که یک فاز جنرال و عمومی است، از روشهای واکنشی هم استفاده شود که دستگاه دیپلماسی ایران میتواند با کمک سایر سازمانهای مرتبط در این حوزه تدابیری بیندیشد و حضوری فعالتر، پررنگتر، ایجابیتر و مطالبهگرانهتر در مجامع بینالمللی داشته باشد؛ چراکه این شیوه میتواند موضع کشورمان را به موضع کشوری متولی این امر در حوزه بین المللی جلوه دهد و جایگاه بینالمللی ایران را ارتقا بخشد.
