Торговая палата США, влиятельная и богатая торговая ассоциация с долгой историей поддержки кандидатов от Республиканской партии, заявила, что законопроект даст властям «слишком широкие возможности контроля тех действий, которые бизнес-сообщество может предпринять для защиты своих компьютеров и сетей». В то время как консервативные чиновники критиковали закон о здравоохранении, предложенный Обамой, в том числе за попытку вторжения властей в частную жизнь граждан, Торговая палата стала самым красноречивым оппонентом законопроекта о кибербезопасности как еще одного примера государственного произвола. Представители «Великой старой партии» [5] в конгрессе плотно сомкнули ряды и лишили всеобъемлющий законопроект о кибербезопасности всякого шанса.
Не дождавшись действий от конгресса, президент Обама в феврале 2012 г. подписал указ, который ориентировал американскую политику на «расширение безопасности и устойчивости национальной жизненно важной инфраструктуры». Столь широкое понятие «жизненно важной инфраструктуры» было использовано намеренно, чтобы охватить им множество промышленных и коммерческих компаний. Президент определил его как «системы и ресурсы, физические или виртуальные, настолько жизненно необходимые для Соединенных Штатов, что прекращение работы или разрушение этих систем и ресурсов существенно ослабит безопасность, национальную экономику и национальное здравоохранение, по отдельности или в любых комбинациях». Следуя этому определению, электрическая станция, несомненно, относится к жизненно важным ресурсам. Но к ним же можно отнести и банк. И больницу. А также поезда, автобусы и транспортные компании. Относится ли экспресс-почта UPS к жизненно важной инфраструктуре? Если считать, что перечисленные виды деятельности завязаны на грузоперевозки и своевременную доставку товаров и услуг, то вполне может быть.
Своим указом Администрация Обамы давала понять конгрессу и представителям бизнеса, что она не собирается ждать, пока выйдет новый закон, усиливающий влияние власти в Интернете. Приказ поручал федеральным службам начать более интенсивный обмен информацией о киберугрозах с компаниями; Министерству торговли и Национальному институту стандартов и технологии разработать рамочные стандарты безопасности, внедрение которых в коммерческих компаниях должно поощряться; министру внутренней безопасности составить список критических инфраструктурных объектов, на которых происшествия в сфере кибербезопасности «могут привести к катастрофическим последствиям в региональном или национальном масштабе».
Белый дом все еще был готов бороться за новый закон о кибербезопасности. А между тем президентский указ Обамы имел серьезные последствия: он дал военным зеленый свет на подготовку к кибервойне.
Президентский указ вместе с секретной директивой президента Обамы, подписанной им пятью месяцами ранее и не публиковавшейся в открытой печати, четко показал, что руководить национальной обороной во время кибератаки будут военные, а также как вооруженные силы приводятся в действие в случае вторжения иностранной армии в США или когда иностранные ракеты летят к американских городам, кибервойска страны будут подняты для защиты против цифровых атак и нанесения ответного удара.
Указ позволил Министерству обороны легко расширить программу обмена секретными данными об угрозах и включить в нее не только оборонную промышленность, но и те «жизненно важные инфраструктурные объекты», список которых составлялся властями. В отдельной директиве, известной под кодовым названием PDD-20, было сформулировано, как и при каких условиях военные могут вступить в кибервойну и кто может отдавать на этой войне приказы.
Любая кибератака может быть проведена только по приказу президента. Но в чрезвычайной ситуации президент может делегировать эти полномочия министру обороны. Например, если электростанции грозит атака и нет времени, чтобы получить одобрение президента на проведение оборонительных действий, в том числе выполнение контрудара по источнику атаки, то приказ может отдать министр обороны.
Однако PDD-20 на самом деле не совсем о киберобороне. Директива поручает военным составить список зарубежных целей «национального значения», атаковать которые кибероружием для США будет проще или эффективнее, чем оружием обычным. Эти цели в некотором смысле подобны высокоприоритетным целям в Советском Союзе во времена холодной войны. Именно туда бомбардировщики должны были сбрасывать свои бомбы в случае войны. В PDD-20 не были указаны конкретные объекты, однако национальное значение, естественно, имели телекоммуникационные системы; сети оперативно-командного управления, используемые вооруженными силами; сети финансовых организаций; системы противовоздушной обороны и управления полетами; жизненно важные инфраструктурные объекты, такие как электрические сети. Это те же объекты, которые бы стали мишенями для иностранной армии в кибервойне на территории США.
В директиве также давались указания другим правительственным министерствам и службам, включая Государственный департамент, ФБР, АНБ, Министерство финансов и Министерство энергетики, о разработке планов ответных действий против «длительной злонамеренной деятельности в киберпространстве, направленной против интересов США» на случай, когда «сетевая защита или методы законного принуждения оказываются недостаточными или не могут быть использованы вовремя». Армии также следует проводить подобные атаки под руководством президента.
Для армейских командиров и гражданских чиновников директива PDD-20 играла роль правил дорожного движения для кибервойны. Она стала ключевым документом, в котором были сформулированы правила ведомственного подчинения, определены сферы ответственности и общие принципы. В ней говорилось, что Соединенные Штаты будут вести кибервойну в соответствии с нормами международного права в период вооруженных конфликтов: удары должны сопровождаться минимальными сопутствующими разрушениями и должны быть соразмерны угрозе или масштабам атаки на Соединенные Штаты. Кроме того, военные должны действовать осторожно, чтобы не повредить и не разрушить те сети, которые соединены с объектом атаки. Вирус или червь, созданные для атаки на электростанцию в Иране, не должен уничтожить станцию в Китае. «Мы не хотим начинать третью мировую войну», – сказала Анна Барон-ДиКамилло, высокопоставленный чиновник в Министерстве внутренней безопасности, которая работала с Министерством обороны над координацией ответных действий на кибератаки в Соединенных Штатах.
Не менее важным было и то, что PDD-20 формировало фундаментальные принципы, на основе которых Соединенные Штаты будут вести войны в будущем: директива повышала статус киберопераций до уровня традиционного сражения и предписывала вооруженным силам совмещать кибервойну «с другими наступательными возможностями США» на суше, в воздухе, на море и в космосе.
Военные выделяли три типа киберопераций и, соответственно, три вида подразделений для их проведения.
Первая миссия, для выполнения которой предназначалось самое большое подразделение, состояла в защите и поддержании работоспособности военных сетей по всему миру – начиная от полей сражения в Иране и Афганистане и заканчивая водами Тихого океана, где объединенные силы сухопутных, военно-морских и военно-воздушных войск составляли первую линию атаки в любой потенциально возможной войне с Китаем. Задачей этих «сил киберобороны», как их называли сами военные, было не допустить проникновения иностранных врагов и хакеров в свои военные сети. Попытки вторжения повторяются до нескольких тысяч раз в день, но в основном это автоматическое зондирование, а не реальные атаки, и от них можно отбиться с помощью программ, работающих в автоматическом режиме. Кроме того, Министерство обороны ввело ограничение на количество точек, в которых подведомственные сети подключаются к Интернету. Это помогает укрепить военную оборону. Специальные фильтры сканируют каждую порцию информации, которая проходит через эти точки, и ищут червей, вирусы и другие признаки попыток вторжения, в том числе, трафик, приходящий с интернет-адресов, которые, предположительно, используются иностранными военными или разведывательными службами.