Inside Cyber Warfare - Chương IV: Tấn công mạng quốc tế là hành vi chiến tranh (Phần 4)

[WhiteHat News #ID:2017]

Chương 4: Tấn công mạng quốc tế là hành vi chiến tranh?​

Trong phần bốn của chương này, tác giả đưa ra những luận điểm ngăn chặn tấn công mạng dựa trên các giá trị pháp lý như các công ước quốc tế, thực hành nhà nước và các nguyên lý chung của pháp luật.

Nhiệm vụ ngăn chặn tấn công mạng

Các quốc gia có trách nhiệm ngăn chặn các cuộc tấn công mạng xuất phát từ lãnh thổ nước mình nhắm vào những quốc gia khác. Trách nhiệm này thực chất gồm nhiều trách nhiệm ‘con’ như thông qua luật hình sự nghiêm ngặt, đẩy mạnh điều tra từ các cơ quan thực thi pháp luật, truy tố kẻ tấn công, đồng thời hợp tác với các quốc gia là nạn nhân của tấn công mạng trong suốt quá trình điều tra và truy tố. Đây là trách nhiệm của tất cả các quốc gia và có giá trị ràng buộc như luật tập quán quốc tế. Giá trị pháp lý của trách nhiệm này xuất phát từ ba nguồn luật quốc tế - các công ước quốc tế, tập quán quốc tế và các nguyên lý pháp luật chung phổ biến tại các quốc gia phát triển, được minh chứng bởi các quyết định tư pháp và bởi những giáo lý của các học giả pháp lý quốc tế giỏi nhất.

Các công ước quốc tế

Hiệp ước quốc tế duy nhất liên quan trực tiếp là Công ước châu Âu về tội phạm mạng. Mặc dù chỉ là một thỏa thuận khu vực, nhưng với tầm quan trọng của các nước tham gia phê chuẩn và chiếu theo luật các quốc gia chịu ảnh hưởng đặc biệt, hiệp ước vẫn có ảnh hưởng mạnh mẽ đến luật tập quán quốc tế. Hơn nữa, hiệp ước thể hiện sự thừa nhận của các quốc gia về sự cần thiết phải hình sự hóa các cuộc tấn công mạng, cũng như trách nhiệm ngăn chặn những chủ thể phi quốc gia lợi dụng lãnh thổ một quốc gia để tấn công mạng nhắm vào quốc gia khác. Hiệp ước đóng vai trò quan trọng vì nó thừa nhận không thể ngăn chặn khi tấn công mạng đang diễn ra, và cách duy nhất là thông qua thực thi pháp luật mạnh mẽ song hành với hợp tác cấp nhà nước.

​

Dù không liên quan trực tiếp nhưng các hiệp ước quốc tế hình sự hóa tội phạm khủng bố đồng nghĩa với việc ủng hộ trách nhiệm ngăn chặn tấn công mạng. Cộng đồng quốc tế thừa nhận khủng bố là mối đe dọa đối với hòa bình và an ninh quốc tế, nhưng vẫn không tìm được nói chung về định nghĩa khủng bố mạng. Điều này khiến các quốc gia lựa chọn giải pháp cấm các hành vi khủng bố cụ thể mỗi khi kẻ khủng bố sử dụng phương pháp tấn công mới, thay vì cấm toàn bộ chủ nghĩa khủng bố. Những hiệp ước này đặt ra các yêu cầu chung liên quan đến các phương pháp tấn công khủng bố, như thực hiện tất cả các biện pháp khả thi để ngăn chặn tấn công, hình sự hóa các cuộc tấn công đó, chuyển các vụ việc đến các cơ quan có thẩm quyền xử lý và buộc các quốc gia phải hợp tác với nhau trong suốt quá trình tố tụng hình sự. Mặc dù các hiệp ước này không giải quyết được các cuộc tấn công mạng, nhưng theo luật tập quán quốc tế về chống khủng bố, các nguyên lý trong hiệp ước đặt ra yêu cầu đối với các quốc gia. Vì ngày càng có nhiều bằng chứng cho thấy các cuộc tấn công mạng sớm trở thành vũ khí được những kẻ khủng bố lựa chọn, các nước nên coi nguyên lý chung trong các hiệp ước này như là quy phạm pháp lý bắt buộc (opinio juris) khi tấn công mạng được sử dụng như một loại vũ khí khủng bố.

Thực hành nhà nước

Nhà nước xử lý các cuộc tấn công mạng theo luật hình sự cũng là sự công nhận rõ ràng về trách nhiệm ngăn chặn tấn công mạng theo luật tập quán quốc tế. Nhiều quốc gia hình sự hóa và truy tố các cuộc tấn công mạng để ngăn chặn những kẻ tấn công thực hiện hành vi phạm tội, vì thực thi cơ chế pháp luật mạnh mẽ là cách duy nhất để bảo vệ và ngăn chặn tổn hại cho hệ thống máy tính của họ. Điều này củng cố thêm niềm tin vào quan điểm, khác với cuộc tấn công thông thường có thể được chặn đứng sau khi phát hiện, chỉ có thể ngăn chặn các cuộc tấn công mạng bằng cách thiết lập các rào cản được xây dựng từ trước khiến kẻ tấn công e sợ phải phá vỡ những rào cản đó. Hơn nữa, những thông lệ này chứng tỏ các quốc gia ngày càng công nhận việc phải chặn đứng các cuộc tấn công mạng, và phương thức để thực hiện được điều đó là thông qua cơ chế thực thi pháp luật mạnh mẽ.

Phản ứng của các nước đối với tấn công khủng bố xuyên quốc gia ủng hộ sự công nhận nghĩa vụ ngăn chặn tấn công mạng theo luật tập quán quốc tế. Sau vụ tấn công khủng bố ngày 11/9, các quốc gia trên toàn thế giới đều lên án khủng bố là mối đe dọa đối với hòa bình và an ninh quốc tế, cũng như hỗ trợ nước Mỹ trên nhiều phương diện trong cuộc chiến chống lại Al Qaeda. Hội đồng Bảo an đã thông qua Nghị quyết 1373 qua đó tái khẳng định mạnh mẽ các hành vi khủng bố quốc tế là mối đe dọa đối với hòa bình và an ninh quốc tế và kêu gọi các quốc gia cùng nhau ngăn chặn khủng bố. Nghị quyết cũng yêu cầu các quốc gia “không được cung cấp bất kỳ hình thức hỗ trợ nào” cho những kẻ khủng bố thông qua hành vi có chủ đích hoặc do thiếu sót của quốc gia đó, "chặn đứng nơi trú ẩn" cho những kẻ khủng bố và “giúp đỡ lẫn nhau trong phạm vi tốt nhất liên quan đến điều tra tội phạm ... [hoặc] tố tụng” liên quan đến khủng bố.

Phản ứng của cộng đồng quốc tế đối với chủ nghĩa khủng bố không trực tiếp định nghĩa bất kỳ luật tập quán quốc tế nào về tấn công mạng, nhưng vẫn có giá trị thuyết phục trên nhiều mặt trận. Đầu tiên, điều này cho thấy các quốc gia phải có trách nhiệm ngăn chặn các mối đe dọa đối với hòa bình và an ninh quốc tế. Thứ hai, nó chứng tỏ rằng sự chấp thuận thụ động trước các mối đe dọa trên sẽ không được dung thứ. Cuối cùng, phản ứng của cộng đồng quốc tế cũng cho thấy các quốc gia phải hợp tác để ngăn chặn các mối đe dọa đối với hòa bình và an ninh quốc tế. Tấn công mạng càng giống tấn công khủng bố, việc gán hình thức tấn công này vào mô hình được xây dựng để đối phó với chủ nghĩa khủng bố xuyên quốc gia càng dễ dàng hơn. Tuy nhiên, dù mục đích của tấn công mạng là gì đi chăng nữa, chúng đều đại diện cho một mối đe dọa đối với hòa bình và an ninh quốc tế và phải được xử lý giống như các mối đe dọa xuyên quốc gia đã được công nhận khác.

Nhiều tuyên bố của LHQ về tội phạm quốc tế cũng ủng hộ việc công nhận nhiệm vụ ngăn chặn tấn công mạng. Những tuyên bố này thúc giục các quốc gia phải ngăn chặn những chủ thể phi quốc gia sử dụng lãnh thổ quốc gia đó để thực hiện hành vi gây xung đột dân sự tại một quốc gia khác. Hơn nữa, những tuyên bố này cũng ủng hộ trách nhiệm hợp tác giữa các nước trong việc loại bỏ tội phạm xuyên quốc gia, củng cố nhiệm vụ hợp tác với các quốc gia bị tấn công trong quá trình điều tra tội phạm và truy tố các cuộc tấn công mạng.

Các quốc gia không chỉ tự đưa ra các tuyên bố mà còn thông qua Đại hội đồng LHQ để đưa ra nhiều tuyên bố về tầm quan trọng của việc ngăn chặn tấn công mạng. Ví dụ, Đại hội đồng LHQ kêu gọi các quốc gia hình sự hóa các cuộc tấn công mạng 25 và thông qua thực hành nhà nước ngăn chặn việc sử dụng lãnh thổ các nước làm nơi trú ẩn an toàn để thực hiện các cuộc tấn công mạng.26

25. Nghị quyết 55/63 của Đại hội đồng Liên hợp quốc, ¶ 3, Tài liệu Liên hợp quốc A/RES/45/121 (ngày 14/12/1990): Nghị quyết 55/63 của Đại hội đồng Liên hợp quốc, ¶ 1, Tài liệu Liên hợp quốc A/RES/55/63 (ngày 22/1/2001), tham khảo tại Đại hội Liên hợp quốc lần thứ tám về phòng chống tội phạm và đối xử với người phạm tội, Havana, Cuba, 27/8-7/9/1990, báo cáo được chuẩn bị bởi Ban thư ký, trang 140–43, Tài liệu Liên hợp quốc A/CONF.144/28/Rev.1 (1991).
26. Nghị quyết 55/63 của Đại hội đồng Liên hợp quốc, chương 25, ¶ 1.

Đại hội đồng LHQ cũng kêu gọi các quốc gia hợp tác với nhau trong quá trình điều tra và truy tố các cuộc tấn cộng mạng quốc tế 27. Thậm chí Thủ tướng Trung Quốc Ôn Gia Bảo đã thừa nhận Trung Quốc phải có hành động mạnh mẽ và hiệu quả để ngăn chặn tất cả các cuộc tấn công đe dọa hệ thống máy tính.

Bên cạnh đó, khi bắt đầu nhận ra mối đe dọa mà các cuộc tấn công mạng gây ra tới an ninh và hòa bình quốc tế, một số quốc gia và Đại hội đồng LHQ trực tiếp công nhận tấn công mạng là mối nguy hiểm cho hòa bình và an ninh quốc tế 28. Các tuyên bố trên đều là thừa nhận rõ ràng nhiệm vụ ngăn chặn tấn công mạng của các quốc gia theo luật pháp, bao gồm các trách nhiệm “con” như thông qua luật hình sự nghiêm ngặt, điều tra mạnh mẽ các cuộc tấn công mạng, truy tố kẻ tấn công, và có sự hợp tác giữa quốc gia khởi phát tấn công mạng với các quốc gia nạn nhân trong quá trình điều tra và truy tố vụ việc.

Các nguyên lý chung của pháp luật

Các nguyên lý chung của luật pháp phổ biến tại các quốc gia phát triển cũng thúc đẩy việc công nhận nhiệm vụ ngăn chặn các cuộc tấn công mạng. Nguyên lý đặt ra từ lâu theo luật nội địa của hầu hết các quốc gia chỉ ra các cá nhân phải chịu trách nhiệm khi hành vi hoặc lỗi bất cẩn của cá nhân này là nguyên nhân gây nên tổn hại cho một cá nhân khác. Dù không bắt buộc phải tuân thủ luật nội địa của các quốc gia nhưng luật pháp quốc tế có thể bắt nguồn từ các nguyên tắc chung phổ biến với các hệ thống pháp lý lớn của thế giới. Hầu hết các quốc gia đều sử dụng quan hệ nhân quả làm nguyên tắc thiết lập trách nhiệm cá nhân, củng cố cho ý tưởng trách nhiệm của một quốc gia cũng phải dựa trên quan hệ nhân quả.

Vì vậy, nếu một quốc gia không thông qua được luật hình sự nghiêm ngặt, không điều tra các vụ tấn công mạng quốc tế, hoặc không truy tố những kẻ tấn công, quốc gia đó phải chịu trách nhiệm cho các cuộc tấn công mạng quốc tế nhắm tới các quốc gia khác do lỗi lầm của quốc gia đó đã tạo ra nơi trú ẩn an toàn cho những kẻ tấn công. Hơn nữa, như được minh chứng trong vụ án Corfu, nhiệm vụ ngăn chặn các cuộc tấn công buộc các quốc gia phải chịu trách nhiệm về những hành vi mang tính chất nhân-quả ở một mức độ nào đó, hỗ trợ sử dụng phép loại suy nhân-quả từ luật nội địa khi diễn giải nhiệm vụ theo thông lệ để ngăn chặn các cuộc tấn công.

27. Nghị quyết 45/121 của Đại hội đồng Liên hợp quốc, chú thích 25, ¶ 3 (bao gồm các nguyên tắc được thông qua bởi Đại hội Liên hợp quốc lần thứ VIII về phòng chống tội phạm và xử lý người phạm tội, và yêu cầu các quốc gia tuân theo);
Nghị quyết 55/63 của Đại hội đồng Liên hợp quốc, chú thích 25, ¶1; tham khảo Đại hội Liên hợp quốc lần thứ VIII về phòng chống tội phạm và đối xử với người phạm tội, Havana, Cuba, ngày 27/8- 7/9, 1990, báo cáo do Ban thư ký chuẩn bị, trang 140–43, Tài liệu Liên hợp quốc A/CONF.144/28/Rev.1 (1991).

28. Nhà Trắng, Chiến lược quốc gia bảo vệ không gian mạng (2003); Công ước về tội phạm mạng, chú thích 19; Huw Jones, Estonia kêu gọi Châu Âu ra luật chống lại các cuộc tấn công mạng, Reuters, ngày 12/3/2008, http:// www.reuters.com/article/reutersEdge/idUSL1164404620080312 (tường thuật kêu gọi của Estonia trong việc chống lại các cuộc tấn công mạng là mối đe dọa đối với hòa bình quốc tế và an ninh); Nghị quyết 55/28 của Đại hội đồng Liên hợp quốc, Tài liệu Liên hợp quốc A/RES/55/28 (ngày 20/12/2000); Nghị quyết 56/19 của Đại hội đồng Liên hợp quốc, ¶ 2, Tài liệu Liên hợp quốc A/RES/54/49 (ngày 23/12/1999); Nghị quyết 55/28 của Đại hội đồng Liên hợp quốc, Tài liệu Liên hợp quốc. A/ RES/55/28 (ngày 20/12/2000); Nghị quyết 56/19 của Đại hội đồng Liên hợp quốc, Tài liệu Liên hợp quốc A/RES/56/19 (ngày 7/1/2002); Nghị quyết 56/121 của ĐHĐ LHQ, Tài liệu LHQ A/RES/56/121 (ngày 23/1/2002); Nghị quyết 57/53 của Đại hội đồng Liên hợp quốc, Tài liệu Liên hợp quốc A/RES/57/53 (ngày 30/12/2002); Nghị quyết 57/239 của Đại hội đồng Liên hợp quốc, ¶ 1–5, Tài liệu LHQ A/RES/57/239 (ngày 31/1/2003); Nghị quyết 58/32 của Đại hội đồng LHQ, Tài liệu Liên hợp quốc A/RES/58/32 (ngày 18/12/2003); Nghị quyết 58/199 của Đại hội đồng LHQ, ¶ 1–6, Tài liệu Liên hợp quốc A/RES/58/199 (ngày 30/1/2004); Nghị quyết 59/61 của Đại hội đồng LHQ, Tài liệu Liên hợp quốc A/RES/59/61 (ngày 16/12/2004); Nghị quyết 59/220 của Đại hội đồng LHQ, ¶ 4, , Tài liệu Liên hợp quốc A/RES/59/220 (ngày 11/2/2005); Nghị quyết 60/45 của Đại hội đồng LHQ, Tài liệu Liên hợp quốc A/RES/60/45 (ngày 6/1/2006); Nghị quyết 60/252 của Đại hội đồng LHQ, ¶ 8, Tài liệu Liên hợp quốc A/RES/60/252 (ngày 27/4/2006); Nghị quyết 61/54 của Đại hội đồng LHQ, Tài liệu Liên hợp quốc A/RES/60/252 (ngày 19/12/2006).

Các ý kiến tư pháp

Cuối cùng, ý kiến tư pháp cũng đóng góp vào việc công nhận nhiệm vụ của một quốc gia trong việc ngăn chặn các cuộc tấn công mạng xuất phát từ lãnh thổ quốc gia đó nhắm đến các quốc gia khác. Trong vụ án Tellini, một ủy ban tư pháp đặc biệt phán quyết một quốc gia phải chịu trách nhiệm về hành vi phạm tội của những kẻ phi chính phủ khi quốc gia đó “phớt lờ việc thực hiện tất cả các biện pháp thích hợp để phòng chống tội phạm, truy đuổi, bắt giữ và đưa ra tòa án xét xử”.Trong vụ án SS Lotus, Tòa án Thường trực Công lý Quốc tế phán quyết “một quốc gia phải có hành động thích hợp để ngăn chặn các hành vi phạm tội trong lãnh thổ của quốc gia đó nhắm vào một quốc gia hay dân tộc khác”.

Trong vụ án Corfu, Tòa án Công lý Quốc tế phán quyết các quốc gia có nghĩa vụ “không cho phép sử dụng lãnh thổ của mình để thực hiện các hành vi trái ngược với quyền của các quốc gia khác". Mặc dù đây là những vụ án đã cũ nhưng nguyên tắc của chúng vẫn ủng hộ quan điểm nhiệm vụ ngăn chặn lãnh thổ của các quốc gia bị lợi dụng để thực hiện các hành vi phạm tội chống lại một quốc gia khác, và phải truy đuổi, bắt giữ cũng như đưa ra xét xử những kẻ phạm tội thực hiện hành vi tấn công xuyên biên giới vào các quốc gia khác.

Xác định đầy đủ nhiệm vụ ngăn chặn tấn công mạng của một quốc gia

Nhiệm vụ ngăn chặn tấn công mạng của một quốc gia không nên xuất phát từ nhận thức của quốc gia đó về một cuộc tấn công mạng cụ thể trước khi nó xảy ra, mà là hành động ngăn chặn các cuộc tấn công mạng nói chung. Các quốc gia gặp rất nhiều khó khăn để phát hiện trước khi một cuộc tấn công cụ thể diễn ra, và những cuộc tấn công mạng thường được thực hiện bởi các các cá nhân hoặc các nhóm thậm chí không nằm trong tầm chú ý của quốc gia. Tuy nhiên, chỉ vì các cuộc tấn công mạng khó ngăn chặn không có nghĩa là các quốc gia có thể vi phạm nghĩa vụ phải ngăn chặn chúng. Luật hình sự nghiêm ngặt và thực thi pháp luật mạnh mẽ sẽ ngăn chặn các cuộc tấn công mạng. Các quốc gia không ban hành luật như vậy sẽ không hoàn thành nghĩa vụ ngăn chặn tấn công mạng.

Tương tự như vậy, ngay cả khi một nước ban hành luật hình sự nghiêm ngặt, nếu phớt lờ tấn công mạng nhắm tới các quốc gia đối thủ, nước đó thực sự không hoàn thành nghĩa vụ của mình khi không có bất cứ hành động gì để ngăn chặn các cuộc tấn công, điều này tương tự với việc quốc gia đó cho phép tấn công diễn ra. Nói cách khác, sự thụ động và sự thờ ơ của một quốc gia đối với tấn công mạng khiến quốc gia đó trở thành quốc gia chứa chấp. Dưới góc độ này, rõ ràng quốc gia đó phải chịu trách nhiệm gián tiếp cho những cuộc tấn công mạng theo các nguyên tắc của luật tập quán quốc tế.

Quốc gia chứa chấp và thực hành nhà nước xác định trách nhiệm của quốc gia

Việc xác định một quốc gia có phải là quốc gia chứa chấp hay không phụ thuộc rất nhiều vào thực tế. Khi xem xét vấn đề này, các quốc gia nạn nhân phải tìm hiểu luật hình sự, thực thi pháp luật của quốc gia khởi phát tấn công cũng như hoạt động hợp tác trong quá khứ với các quốc gia nạn nhân trong các cuộc tấn công mạng bắt nguồn từ bên trong biên giới quốc gia đó. Trên thực tế, việc đánh giá quốc gia khởi phát tấn công sẽ dựa trên những nỗ lực của quốc gia đó trong việc bắt giữ và truy tố những kẻ thực hiện tấn công mạng. Đó có lẽ là cách duy nhất mà các quốc gia có thể ngăn chặn và tránh được các cuộc tấn công trong tương lai. Các quốc gia nạn nhân sẽ đi đến kết luận liệu nước khởi phát tấn công mạng có hoàn thành các nhiệm vụ quốc tế hay không dựa trên việc hợp tác với các quốc gia nạn nhân để đảm bảo tính minh bạch. Việc này đòi hỏi quốc gia khởi phát tấn công phải cung cấp kết quả điều tra tội phạm cho quốc gia nạn nhân để quốc gia nạn nhân có thể đánh giá chính xác hành động của quốc gia khởi phát.

Hơn nữa, khi nước khởi phát tấn công thiếu khả năng kỹ thuật để theo dõi kẻ tấn công, luật pháp quốc tế yêu cầu nước đó hợp tác với cơ quan thực thi pháp luật của nước nạn nhân để cùng tìm kiếm những kẻ tấn công. Hai biện pháp này sẽ giúp quốc gia khởi phát tấn công tránh bị hiểu nhầm là không hợp tác và đồng phạm trong việc sử dụng mạng của quốc gia đó để tấn công các quốc gia khác. Các nước tuyên bố không liên quan đến một cuộc tấn công mạng nhưng từ chối cung cấp hồ sơ điều tra cho các nước nạn nhân không thể được xem là hoàn thành nhiệm vụ quốc tế của mình. Trong thực tế, các quốc gia khởi phát tấn công từ chối hợp tác với các quốc gia nạn nhân chính là đang thừa nhận không sẵn lòng ngăn chặn các cuộc tấn công mạng và là quốc gia chứa chấp.

Khi quốc gia khởi phát tấn công mạng cho thấy mình là quốc gia chứa chấp vì không có động thái phù hợp, các nước khác có thể quy trách nhiệm cho quốc gia đó. Hiện tại, quốc gia khởi phát tấn công phải chịu trách nhiệm trước cuộc tấn công mạng dẫn đến yêu cầu điều tra, cũng như tất cả các cuộc tấn công mạng trong tương lai bắt nguồn từ nước này. Điều này mở ra cánh cửa cho quốc gia nạn nhân sử dụng phòng vệ chủ động trước các máy chủ máy tính khi có tấn công mạng.

Nguồn: Inside Cyber Warfare

Tác giả: Jeffrey Carr​