Hvor langt skal organisationer være i stand til at gå for at forsvare sig mod cyberangreb?

Vandfloden af ​​cyberangreb, der fejer over hele verden, har regeringer og virksomheder til at tænke på nye måder at beskytte deres digitale systemer på, og virksomhedens og statshemmelighederne gemt inden for. I lang tid, cybersikkerhedseksperter har opsat firewalls for at holde uønsket trafik ude og oprette lokkemål på deres netværk for at distrahere hackere, der kommer ind. De har også søgt på internettet efter tip om, hvad cyberkriminelle kan gøre fremover for bedre at kunne beskytte sig selv og deres klienter.

Nu, selvom, mange ledere og embedsmænd begynder at tænke på at intensivere deres defensive aktiviteter, ved at tage mere aktive tiltag. En ekstrem mulighed inden for dette område af aktivt forsvar kaldes undertiden "hacking back" ind i en modstanders systemer for at få spor om, hvad de gør, lukke angrebet ned eller endda slette data eller på anden måde beskadige en angribers computere.

Jeg har undersøgt fordele og ulemper ved forskellige aktive forsvarsmuligheder med Danuvasin Charoen fra Thai National Institute of Development Administration og Kalea Miao, en bachelor Cox -forsker ved Indiana University Kelley School of Business. Vi har fundet et overraskende antal og mange forskellige virksomheder - og lande - der undersøger forskellige måder at være mere proaktive i deres cybersikkerhedspraksis, ofte med lidt fanfare.

At blive aktiv

På overfladen, det kan virke som om ordsproget er rigtigt:"Det bedste forsvar er en god offensiv." Skaderne fra cyberangreb kan være enorme:I maj 2017 blev en enkelt hændelse, WannaCry -cyberangrebet, påvirket hundredtusindvis af systemer rundt om i verden og forårsagede mere end 4 milliarder dollars i tabt produktivitet og omkostninger til datagendannelse. En måned senere, endnu et angreb, kaldet NotPetya, kostede den globale forsendelsesgigant Maersk 300 millioner dollars og reducerede virksomheden til at stole på det Facebook-ejede WhatsApp-messaging-system til officiel virksomhedskommunikation.

Over for denne tabsskala, nogle virksomheder vil intensivere deres forsvar. Virksomheder med sofistikerede teknologisystemer ved, hvad der er nødvendigt for at beskytte deres kunder, netværk og værdifulde forretningshemmeligheder. De har sandsynligvis også medarbejdere med evner til at spore hackere og trænge ind i angribernes egne systemer. Men etik og konsekvenser af at retfærdiggøre et cyberangreb som defensiv bliver meget kompliceret meget hurtigt.

Det er ofte uklart, for eksempel, præcis hvem der står bag et angreb - usikkerhed, der kan vare i flere dage, måneder eller endda år. Så hvem skal hack-back målrette mod? Hvad hvis et privatejet amerikansk selskab troede, at det var under angreb fra et firma ejet af den kinesiske regering? Hvis det hackede tilbage, ville det være en krigshandling mellem landene? Hvad skal der ske med at reparere virksomheders og internationale forbindelser, hvis virksomheden tog fejl, og dens angriber var et andet sted? Virksomheder bør ikke have beføjelse til at starte globale cyberkonflikter, der kan have alvorlige konsekvenser, men online og offline.

Selvfølgelig, Det er også vigtigt at tænke over, hvad der kan ske, hvis andre lande tillader deres virksomheder at hacke tilbage mod den amerikanske regering eller virksomhedens indsats. Flere amerikanske virksomheder kan blive offer for cyberangreb som følge heraf, og finder måske lidt juridisk vej.

Engagerer sig med loven

I øjeblikket, hacking tilbage er ulovligt, i USA og i mange nationer rundt om i verden. I USA, computersvindel og misbrugsloven gør det til en forbrydelse at få adgang til en anden computer uden autorisation. Hvert medlem af G-7, herunder USA, samt Thailand og Australien, har forbudt hacking tilbage. I 2018, mere end 50 lande - men ikke USA - underskrev en aftale om, at private virksomheder med base i deres nationer ikke må hacke tilbage.

Imidlertid, tilhængere af aktiv defensiv taktik presser deres budskab hårdt. Det republikanske partis præsidentplatform i 2016 lovede at sikre "brugere har en selvforsvarsret til at håndtere hackere, som de finder passende." I marts 2018, Georgia lovgiver vedtog et lovforslag om at tillade "aktive forsvarsforanstaltninger, der er designet til at forhindre eller opdage uautoriseret computeradgang." To måneder senere, dengang-Gov. Nathan Deal nedlagde veto mod det, på opfordring fra teknologivirksomheder, der er bekymrede over dens "nationale sikkerhedsmæssige konsekvenser og andre potentielle konsekvenser."

Var det blevet lov, Georgiens lovforslag ville stadig sandsynligvis have været i strid med føderal lov. Imidlertid, lovgivere i Washington har også foreslået at lade virksomheder deltage i visse former for aktivt forsvar. I 2017, Den amerikanske rep. Tom Graves, en republikaner i Georgien, foreslog loven om aktivt cyberforsvar, som ville lade virksomheder deltage i visse aktive forsvarsforanstaltninger, herunder overvågning af potentielle angribere, forudsat at virksomheden først informerede FBI, og at handlingen ikke truede "folkesundhed eller sikkerhed". Regningen døde og er endnu ikke genindført; det kommer sandsynligvis ikke langt i det nye demokratiske hus.

Aktivt forsvar er fortsat ulovligt i USA og store dele af verden. Men forbuddene håndhæves ikke i ind- eller udland.

Går globalt

Ikke alle lande har forbudt hacking tilbage. Singapore, for eksempel, har givet lokale virksomheder tilladelse til at deltage i aktive forsvarsforanstaltninger i et forsøg på at forhindre, opdage, eller imødegå specifikke trusler mod dens kritiske infrastruktur, herunder finansindustrien. Andre nationer, såsom Frankrig, ønsker ikke at se den private sektor ude foran, men er stadig ivrige efter at beholde aktivt forsvar som en mulighed for regeringer.

Jo flere lande tillader aktivt forsvar, jo mere sandsynligt er det, at alle - i USA og rundt om i verden - bliver et cyberangrebsoffer. I stedet for at afskrække angreb, aggressivt aktivt forsvar øger muligheden for, at lysene slukker, eller amerikanske valgmaskiner, der returnerer unøjagtige resultater.

Organisationer kan og bør tilskyndes til at træffe passive forsvarsforanstaltninger, som at indsamle efterretninger om potentielle angribere og rapportere indtrængen. Men efter min opfattelse bør de frarådes - hvis de ikke forhindres - i at handle aggressivt, på grund af risikoen for at destabilisere virksomheders og internationale forbindelser. Hvis jagten på cyberfred degenererer til en tit-for-tat kamp om digital årvågenhed, global usikkerhed vil være større, ikke mindre.

Denne artikel er genudgivet fra The Conversation under en Creative Commons -licens. Læs den originale artikel.