Luật nào cho chiến tranh mạng?

Nếu như những mô hình mới của Uber hay tiền kỹ thuật số Bitcoin khiến giới kinh doanh và nhà quản lý đau đầu trong việc đưa ra định nghĩa và các bộ quy tắc để đặt chúng vào khuôn khổ, chiến tranh mạng cũng thế. Thế giới vẫn loay hoay với định nghĩa chiến tranh mạng, bao gồm các tiêu chuẩn về mục tiêu, hành động và hệ quả của các hành vi “gây hấn” hay tấn công trên không gian ảo.

Trong các tranh luận về chuyện “viết luật” cho thế giới ảo, có một hướng tiếp cận là “ngoài đời quy định thế nào thì trên mạng thế ấy”. Vậy cứ áp ngay các luật lệ quốc tế hiện có về xung đột vũ trang vào chiến tranh mạng? Mọi chuyện không đơn giản vậy.

Thế nào mới là “hành động chiến tranh”?

Nhưng chiến tranh mạng là gì? Thật ra vẫn chưa có một định nghĩa chính thức nào cho cyberspace và chính vì chiến tranh mạng mới mẻ và mơ hồ, nên nó mới là mối nguy lớn.

Trong bài viết “Một cuộc chiến tranh mạng sẽ trông như thế nào?”, Daniel Dobrygowski, giám đốc phụ trách quản trị và chính sách thuộc Trung tâm an ninh mạng của Diễn đàn Kinh tế thế giới (WEF), cho rằng chiến tranh mạng nên được định nghĩa là “một hành vi gây hấn thực hiện thông qua mạng kỹ thuật số nhằm mục đích gây tổn thất trong thế giới thực, nhằm vào các mục tiêu dân sự hoặc quân sự để buộc một quốc gia có chủ quyền phải... hành động hay không hành động”.

Dobrygowski lưu ý không phải mọi hành động phá hoại trên Internet đều là chiến tranh mạng và các hành động gây hấn nói trên phải do một quốc gia thực thi, chứ không phải cá nhân.

Điều này dễ hiểu nếu đặt chiến tranh mạng trong tương quan với chiến tranh “truyền thống”: không phải mọi hành động quốc gia này dành cho quốc gia khác đều là “hành động chiến tranh”, cũng như một cá nhân nếu có tấn công vào hạ tầng, tài sản quốc gia của nước khác thì chỉ xem là khủng bố.

Thử ứng dụng “barem” tiêu chí của WEF vào một vụ đình đám năm 2014 khi Hãng phim Sony bị tin tặc tấn công, xóa dữ liệu, đưa một số bộ phim chưa được phát hành lên mạng, đồng thời buộc hãng phải ngưng phát hành bộ phim The Interview nếu không muốn tiếp tục bị tấn công.

Cuộc tấn công được cho là xuất phát từ Triều Tiên. Cựu chủ tịch Hạ viện Hoa Kỳ Newt Gingrich khi đó đã viết trên Twitter rằng sự cố Sony cho thấy “nước Mỹ đã thua cuộc chiến tranh mạng đầu tiên của mình” và gọi đây là “một tiền lệ cực kỳ nguy hiểm”. Ông Gingrich đã dùng từ “chiến tranh” để mô tả một sự kiện không tiếng súng, không ai thương vong, không cơ sở hữu hình nào bị phá hủy.

Đó là chuyện năm 2014. Bốn năm sau, nhìn lại vụ Sony, tác giả Tarah Wheeler viết trên tạp chí Foreign Policy với quan điểm tương tự rằng đây là một hành động chiến tranh, do lẽ hãng phim Hollywood là “một mục tiêu dân sự bị tấn công vì mục đích chính trị”.

Wheeler cho rằng Sony Pictures phải mất khoảng 100 triệu USD để khắc phục hậu quả, thiệt hại “tương đương giếng dầu ở Texas hay mỏ than ở Appalachian bị phá hủy trong chiến tranh thông thường”.

“Nếu một thế lực thù địch ngoại bang cố tình tấn công một nguồn tài nguyên dân sự có giá trị như thế, nó phải được xem là hành động chiến tranh” - tác giả nhấn mạnh. Vậy nhưng Michael Schmitt, giáo sư luật quốc tế Học viện Hải chiến Hoa Kỳ, cho rằng cuộc tấn công nhằm vào Sony chưa đủ tầm mức để xem là “xung đột vũ trang”.

Viết trên trang Just Security vào năm 2014, Schmitt công nhận vụ việc ảnh hưởng hoạt động và gây tốn kém cho Sony, song nhấn mạnh “các ảnh hưởng của nó chưa đạt đến mức đa số các chuyên gia xem là một vụ tấn công vũ trang”. Đó là chưa kể kẻ tấn công là một nhóm hacker, tức cá nhân chứ không phải một nhà nước.

Định nghĩa cho các bên chấp nhận đã là điều vất vả, còn đặt ra các quy tắc thì sao? Nhân loại đã kinh qua quá đủ những cuộc chiến tàn khốc để tiến đến những quy tắc nhân đạo cơ bản, như quy định việc đối xử với thường dân, tù nhân chiến tranh và thương binh, cấm sử dụng một số vũ khí nhất định, hay các mục tiêu không được tấn công.

Các quy tắc này rõ ràng cần được giữ nguyên khi soạn thảo “luật chiến tranh mạng”. Song việc thực thi chúng có vẻ không đơn giản, vì thế giới số phức tạp hơn đời thường.

Chẳng hạn quy ước không tấn công vào bệnh viện sẽ được áp dụng trong không gian mạng như thế nào? Một phi công ném bom có thể dễ dàng phân biệt giữa bệnh viện và căn cứ quân sự, nhưng thông tin y tế có khi lại được lưu trữ chung với các máy tính chứa dữ liệu quân sự tại cùng một trung tâm dữ liệu và không có dấu hiệu nào để phân biệt.

Trang bị cho binh lính tương lai thế này chăng?

Mong hành xử như quốc gia sở hữu hạt nhân

Nói đến chiến tranh mạng, thông thường những cái tên được đề cập trước tiên là Mỹ, Nga, Trung Quốc và Triều Tiên. Trong một bài viết trên Bloomberg hồi tháng 7 năm ngoái, tác giả Leonid Bershidsky cho rằng nếu không thiết lập trước các quy tắc, các mâu thuẫn trong không gian mạng sẽ nhanh chóng leo thang thành chiến tranh, dẫn đến những hệ quả khôn lường.

Còn Wheeler, trong bài viết trên Foreign Policy, cũng cho rằng thế giới đang cực kỳ cần một “Công ước Geneva cho thế giới số” do lẽ chiến tranh mạng đang diễn ra mà không chịu chi phối bởi bất kỳ quy tắc nào.

Wheeler bi quan rằng trong tương lai gần, các cuộc tấn công như Sony sẽ không còn cá biệt: “Có vô số mục tiêu dễ bị tấn công gây hậu quả lớn và hiện chưa có quy chuẩn nào được các quốc gia đồng thuận để xác định các tội ác đó, cũng như đặt ra hình phạt cho chúng”.

Tuy nhiên, Miguel Gomez, chuyên gia cấp cao thuộc Trung tâm nghiên cứu an ninh Đại học ETH Zurich, tin rằng tình hình không đen tối như thế.

Trong bài phản biện Wheeler đăng trên Foreign Policy ngày 6-11, Gomez lập luận rằng các quốc gia có “khả năng quân sự số” thật ra đã chủ động tuân theo các quy tắc ngầm để không “bung hết” những gì mình có trong các cuộc chiến tranh mạng (nếu có). Có thể hiểu việc này giống như các nước có sức mạnh hạt nhân cũng tự cân nhắc các hậu quả chiến tranh hạt nhân mang lại mà không “động thủ” tùy tiện.

Theo Gomez, với chiến tranh mạng cũng thế, một quốc gia sẽ cân nhắc kỹ mọi hệ quả kinh tế, chính trị và quân sự trước khi khai chiến để giảm thiểu các mâu thuẫn ngoài ý muốn giữa các bên liên quan. Tác giả dẫn chứng rằng các cuộc tấn công trên không gian mạng từ năm 2000 đến 2016 có một mẫu số chung lý thú: chỉ làm ảnh hưởng đến hoạt động của mục tiêu bị tấn công thay vì phá hủy hoàn toàn.

“Đa số vụ tấn công này là sửa giao diện website, tấn công DDOS (từ chối dịch vụ, tức làm website không truy cập được) - Gomez viết - Các sự cố này nhanh chóng được khắc phục sau khi được phát hiện và không hề có quy mô cỡ một trận Trân Châu cảng trên không gian mạng (như Wheeler lo ngại)”.

Gomez kết luận ngay cả khi chưa có một công ước quốc tế về chiến tranh mạng, điều đó không có nghĩa các quốc gia sẽ tận dụng tình hình để phục vụ lợi ích của mình: “Các quốc gia thật ra hiểu rõ các chiến dịch tấn công mạng quá khiêu khích sẽ mang lại hệ quả như thế nào, vì thế đã chủ động hạn chế ảnh hưởng của các vụ tấn công bằng cách thu hẹp quy mô chiến dịch, hoặc sử dụng các kỹ thuật dễ kiểm soát và chỉ gây tổn thất tối thiểu”.■