KTT Keamanan Cyber: Ingin menghentikan serangan? Gunakan ‘diplomasi jahat’
Pada hari Jumat, 13 Februari, Presiden Obama akan melakukan perjalanan ke Silicon Valley untuk bertemu dengan para pemimpin bisnis dan akademis dalam komunitas teknologi sebagai bagian dari upaya untuk memastikan postur keamanan siber nasional yang kuat yang menekankan pada pertahanan yang kuat dan jaringan yang tangguh.
Pendekatan terhadap keamanan siber ini dibahas dalam Strategi Keamanan Nasional tahun 2015 yang baru-baru ini diterbitkan, dan menciptakan landasan yang kuat untuk menghalangi musuh dengan mencegah mereka mendapatkan manfaat dari peretasan.
Seorang peretas yang menargetkan Amerika Serikat atas nama musuh harus hidup dengan ketakutan bahwa mereka dapat direnggut dari rumahnya atau terbunuh dalam serangan udara kapan saja. Apa pun yang kurang dari itu tidak cukup merugikan untuk bertindak sebagai pencegah yang dapat dipercaya.
Strategi ini selanjutnya merujuk pada penetapan kerugian terhadap “aktor siber yang jahat,” namun tidak menganjurkan komponen penting dari pencegahan yang efektif: pemaksaan.
Seorang peretas yang menargetkan Amerika Serikat atas nama musuh harus hidup dengan ketakutan bahwa mereka dapat direnggut dari rumahnya atau terbunuh dalam serangan udara kapan saja. Apa pun yang kurang dari itu tidak cukup merugikan untuk bertindak sebagai pencegah yang dapat dipercaya.
Selama Perang Dingin, gagasan tentang kekerasan, hukuman, dan penderitaan sebagai cara untuk memaksa musuh menjadi bagian dari diskusi publik mengenai pencegahan nuklir. Di era meningkatnya ancaman dunia maya ini, sudah waktunya untuk memperkenalkan kembali aspek teknis dan moral dari pemaksaan ke dalam perdebatan nasional.
Meskipun perbedaan antara efek nuklir dan efek dunia maya sangat besar, teori pencegahan nuklir selama beberapa dekade memberikan dasar intelektual untuk mulai membahas pencegahan di dunia maya. Dalam karya klasik Thomas Schelling tentang pencegahan, “Arms and Influence”, ia menyatakan bahwa selain peran tradisional, kekerasan juga dapat digunakan untuk terluka
Sebagaimana argumennya, “Menimbulkan penderitaan tidak membawa manfaat apa pun dan tidak menyelamatkan apa pun secara langsung; itu hanya bisa membuat orang bertindak untuk menghindarinya… Kekuatan untuk menyakiti adalah kekuatan tawar. Memanfaatkannya adalah diplomasi – diplomasi yang jahat, tapi diplomasi.”
Jika Amerika Serikat benar-benar ingin mencegah serangan siber yang menghancurkan, apakah Amerika siap untuk terlibat dalam “diplomasi jahat” ini?
Di dunia maya, masalah utama dalam pencegahan adalah atribusi; untuk menghubungkan serangan kembali ke penyerang. Atribusi positif dengan tingkat kepercayaan yang tinggi tidaklah cepat atau mudah, namun dalam jangka waktu berminggu-minggu atau berbulan-bulan, forensik dan intelijen yang baik sering kali dapat menemukan sumbernya. Potensi jangka waktu yang lama antara serangan dan hukuman menimbulkan pertanyaan mengenai nilai pencegahan dari hukuman tersebut dan kemauan nasional untuk menjatuhkan hukuman jauh setelah suatu peristiwa terjadi. Selain itu, jika sumber serangan sudah diketahui, maka hal tersebut mungkin bukan target pembalasan yang terbaik.
Saat mempertimbangkan hukuman, atau ancaman hukuman, untuk serangan siber, siapa yang harus kita jadikan sasaran? Apakah kita akan menghukum peretas yang melakukan serangan, entitas yang mengarahkan dan mengambil keuntungan dari serangan tersebut, atau keduanya? Jawabannya selalu bergantung pada situasi, namun ada pilihan untuk keduanya, jika kita mau menggunakannya.
Pencegahan yang menyasar para peretas itu sendiri harus mempertimbangkan opsi hukuman yang menimbulkan ketakutan eksistensial.
Peretas harus memandang risiko yang mereka hadapi sebagai hal yang sangat serius sehingga mereka tidak bersedia melancarkan serangan siber strategis terhadap Amerika Serikat, dan tidak mau menjual eksploitasi kepada pihak lain yang mungkin melakukan hal yang sama.
Hal ini tidak berlaku bagi peretas yang melakukan riset keamanan, atau mereka yang berpartisipasi dalam pasar eksploitasi yang sah, namun berlaku bagi sekelompok kecil peretas elit non-negara yang dengan sadar menawarkan jasa mereka kepada musuh Amerika Serikat.
Seorang peretas yang menargetkan Amerika Serikat atas nama musuh harus hidup dengan ketakutan bahwa mereka dapat direnggut dari rumahnya atau terbunuh dalam serangan udara kapan saja. Kurang dari itu saja tidak cukup terluka untuk bertindak sebagai pencegah yang kredibel.
Pencegahan yang menargetkan musuh yang mengarahkan penyusupan harus mempertimbangkan opsi hukuman yang memberikan biaya lebih besar daripada manfaat yang diperoleh dari penyusupan. Memaksa sebagian besar peretas untuk tidak menyerang AS akan menimbulkan kerugian karena berkurangnya pasokan peretas terampil yang tersedia, namun bagi musuh yang mempunyai dana besar, kenaikan biaya ini tidak cukup untuk mencegah serangan tersebut.
Pencegahan nuklir dan konvensional AS saat ini memberikan kemampuan hukuman yang kredibel terhadap aktor-aktor negara yang berencana melakukan serangan terhadap infrastruktur penting AS, namun entitas lain, seperti perusahaan asing yang secara serius mengancam kepentingan ekonomi AS, harus ditangani dengan lebih kreatif. Pilihannya termasuk menyita aset, melarang perusahaan dan produk, menolak perjalanan ke eksekutif dan keluarga mereka, menghancurkan data perusahaan sepenuhnya, dan menangkap siapa pun yang terlibat dalam peretasan, namun pemaksaan tidak dapat mengesampingkan pilihan untuk melibatkan hanya beberapa dari opsi tersebut.
Agar pencegahan bisa berhasil, pihak yang bermusuhan harus tahu bahwa AS akan memilih semua opsi ini, dan banyak lagi. Mereka harus memahami bahwa penderitaan pribadi mereka dan penderitaan bisnis mereka akan jauh lebih besar daripada manfaat potensial jika mereka menargetkan Amerika Serikat.
Instrumen konflik telah berubah, namun respons manusia terhadap penderitaan, atau lebih khusus lagi, untuk menghindari penderitaan, masih menjadi dasar pemaksaan.
Amerika Serikat menyatakan beberapa serangan dunia maya “tidak dapat diterima”, namun terlepas dari retorika kami, kekuatan dan ketahanan nasional kami telah memungkinkan kami untuk melakukannya. nyatanya menerima serangan dan bergerak maju. Ketika dampak serangan siber meningkat, kita harus memutuskan apakah beberapa serangan siber benar-benar tidak dapat diterima dan memulai perdebatan mengenai apakah kita bersedia melakukan diplomasi jahat untuk mencegahnya.
