De laatste maanden is de berichtgeving rondom een nakende cyberoorlog sterk toegenomen. Van blogs tot televisie, overal wordt er regelmatig beweerd dat we er niet ver vandaan zitten. Maar is dat wel zo?
Bij het woord oorlog denk ik een situatie waarbij er twee (of meerdere) partijen zijn die elkaar bestoken met aanvallen. Daarbij vallen slachtoffers. Dat zou ook voor een ‘cyberoorlog’ moeten gelden. En zoiets hebben we nog niet gezien, en ik denk ook niet dat we er snel een zullen zien ontstaan.
Het woord cyberoorlog valt vooral wanneer er een vermoedelijk wapen wordt aangetroffen. Goede voorbeelden daarvan zijn Flame, Duqu en Gauss. Deze softwareprogramma’s werden als cyberspionagetools afgevuurd op heel specifieke doelen in het Midden Oosten. Omdat infecties met deze malware redelijk beperkt zijn gebleven tot de regio’s waarvoor zij bedoeld waren en de malware weinig computers en netwerken heeft geïnfecteerd die oninteressant waren voor de aanvaller, kunnen deze aanvallen worden vergeleken met precisiebombardementen. Maar toch is ook hier geen sprake van te betreuren dodelijke slachtoffers en ook niet van wederzijdse agressie, en dus niet van een cyberoorlog.
Maar is het dan onzin voor naties om, zoals veel Westerse landen vandaag de dag, met strategieën voor een cyberoorlog bezig te zijn, als er geen tekenen zijn dat een dergelijke oorlog dreigt? Het antwoord daarop luidt wat mij betreft: nee. Het is verstandig om vooraf te bepalen hoe er gehandeld moet worden als er sprake blijkt te zijn van een cyberaanval op een staat. Als er bijvoorbeeld iets gebeurt met de water- of elektravoorziening, waar burgers het slachtoffer van kunnen worden. Het is goed om verschillende scenario’s uit te werken en een draaiboek klaar te hebben liggen. Zo kunnen mensenlevens worden gered. En zo kan voorkomen worden, dat er op een onverstandige manier gereageerd wordt richting de veronderstelde agressor. Kortom, een goede voorbereiding op een cyberoorlog kan wel eens het voorkomen van een cyberoorlog betekenen.
Misbruik termen als cyberoorlog en cyberterrorisme niet
In de tussentijd roep ik iedereen op om de aanvallen die zo nu en dan aan het licht komen op de juiste manier te categoriseren, bijvoorbeeld als cyberspionage of -sabotage. Ook de term cyberterrorisme vind ik schromelijk overdreven. Natuurlijk klinkt het sensationeel en spannend, en kan het lezers verleiden om een stuk te lezen, maar al die media-aandacht voor een fenomeen dat er eigenlijk niet is, kan ook onnodig bang maken. Er is nog geen enkele echte terroristische daad via het internet uitgevoerd. Terroristen gebruiken wel het internet om te communiceren, propaganda te verspreiden en aanhang te verwerven, maar van een aanval waarbij doden of gewonden zijn gevallen is mij in ieder geval nog niets bekend.
Door het misbruik van termen als ‘cyberoorlog’ en ‘cyberterrorisme’ om angst aan te jagen, moet ik wel steeds vaker terugdenken aan het klimaat van de jaren zestig en zeventig: de periode van de koude oorlog. Die ‘oorlog’ was ook vooral gebaseerd op een diep wantrouwen ten opzichte van de ander en een verlammende angst dat die zou kunnen gaan aanvallen. Misschien zullen we over een aantal decennia terugkijken op onze tijd en deze periode bestempelen als koude cyberoorlog.
Jan van Haver, country manager Benelux & UK bij G Data Software
