TALLINN: I Estland stemmer man digitalt ved parlamentsvalget, og kontakten med det offentlige er digitaliseret i en grad, der kun findes lige få andre steder i verden. ID-kortene er digitale, det mobile internet er så hurtigt, at telefonen nærmest laver hjulspind, og ingen savner det analoge samfund.

Siden de blev selvstændige i begyndelsen af 1990erne, har de baltiske lande gennemført en digital revolution, men med den digitale udvikling er også fulgt en ny sårbarhed, som blev demonstreret for omverdenen i 2007, hvor hele landet blev lagt ned under et hackerangreb mod bl.a. de centrale internet-udbydere, netbanker og offentlige hjemmesider.

»Det var alvorligt. Angrebet var så massivt, at vi til sidst måtte lukke vores internetforbindelse ind og ud af landet. Men indtil vi gjorde det, var vi lammet på en lang række områder,« fortæller Tarmo Randel, leder af Estlands CERT (Computer Emergency Response Team).

Da Estland trak stikket ud, aftog angrebet. Langsomt kunne man genetablere landets digitale infrastruktur og herefter åbne trafikken internationalt. Dengang opstod der mistanke om, at det var en fremmed magt, der stod bag, og mistanken faldt hurtigt på Rusland, især på grund af en række involverede russiske IP-adresser, som efterforskerne har fundet frem til.

I dag betegner Tarmo Randel angrebet som »avanceret hooliganisme«, men han tvivler på, at der stod en stat bag det.

Men angrebet gjorde landet klogere. Hvor Danmark endnu ikke har en overordnet strategi på området, er Estland foregangsland – og ikke kun i forhold til at arbejde strategisk og få styr på landets egen sikkerhed.

Estland er også vært for NATOs såkaldte »Cyber Center of excellence«, der foruden værtslandet drives af Tyskland, Ungarn, Italien, Letland, Litauen, Holland, Polen, Slovakiet, Spanien og USA.

Formålet er at forfine evnen til hacker-forsvar og undersøge rækkevidden af international lovgivning i cyberspace. I en stenbarak fra 1908 i udkanten af Talllinn Forskningsinstitutionen udvikles nye måder at spore hackere på, man træner i krisestyring og udvikler de cyberøvelser, der skal gøre NATO bedre til at forsvare sig.

Under angreb igen

For nylig, under NATO-øvelsen »Steadfast Jazz«, var cyberkrig en del af scenariet. Men samtidig med at NATO-landene øvede sig på krig i cyberspace, blev det pludselig alvor for Estland, der var et af værtslandene for øvelsen. Hackere indledte angreb på en række estiske myndighedssites, blandt andet forsvarsministeriets, og belært af tidligere skade mobiliserede Estland sit cyberforsvar, herunder også det estiske hjemmeværn, hvor Andrus Padar, leder af hjemmeværnets cyberenhed forklarer, at der er masser af plads til patrioter i Estlands digitale forsvar.

»Vi er en integreret del af forsvaret af vores digitale livsstil. Vi er borgere i et land, hvor man er meget bevidst om, hvem man har som nabo, og at en nabo ikke altid er en ven. Det gælder også i cyberspace,« siger Andrus Padar.

I Danmark råder hjemmeværnet ikke over en cyberenhed, men i Estland angribes landet et par gange om året i et omfang så stort, at hjemmeværnet bliver mobiliseret. Andrus Padar glæder sig over at være med til at forsvare sit land på nettet, men han understreger, at fordelen af hjemmeværnets cyber-enhed i virkeligheden er de faste møder, hvor medlemmerne kan udveksle viden om den seneste udvikling på området.

»Mange af vores medlemmer er system-ansvarlige ved store virksomheder, forsyningsselskaber, banker eller i det offentlige. Vi træner vores indsats i tilfælde af, at et cyberangreb sætter vigtige strukturer ud af kraft, og vi medvirker til at sikre, at kommandostrukturen er på plads, og at den virker,« siger han.

Angrebet på de estiske myndigheder under »Steadfast Jazz« blev hurtigt afværget, dels fordi det viste sig ikke at være så alvorligt som først antaget, og fordi den estiske kommandokæde virker. Andrus Padar forklarer, at tempo er afgørende, når enkelte angreb pludselig bliver massive.

»I begyndelsen af et angreb ved man aldrig, om det vil udvikle sig til et slag. Derfor er det vigtigt, at man kan mobilisere hurtigt, og at alle ved, hvad de skal gøre,« forklarer han.

Beundrer hackernes kreativitet

Angrebet på Estlands i 2007 var alvorligt, men der kom også noget godt ud af det. For i dag er landet langt fremme med at beskytte sig selv, og dets digitale forsvarsværker placerer Estland i den absolut bedst rustede gruppe af EU-lande i cyberspace.

»Når man har prøvet noget alvorligt og kan se, hvor meget værre det kunne være gået, så retter man jo op,« siger Tarmo Randel, der tilføjer:

»Man skal ikke tænke særligt langt i forhold til konsekvenserne af eksempelvis et hackerangreb, der rammer et hospital eller andre livsvigtige samfundsstrukturer, før man indser nødvendigheden af at gøre noget mere,« siger hackerjægeren, der understreger, at han på visse områder ser op til sine fjender:»De færreste hackere er interessante at beskæftige sig med, og de fleste angreb er lette at afværge. Men en gang imellem står man over for nogle meget dygtige mennesker i den anden ende. Jeg må indrømme, at jeg nogle gange beundrer hackernes kreativitet og deres evne til at snyde folk og slippe af sted uden at blive fanget. Mange angreb indledes jo med, at hackerne eksempelvis snyder modtagerne af mails, som når de åbnes i virkeligheden rummer et program, der kan give hackerne herredømme over de systemer, de vil angribe. Hackernes kreativitet er med til at gøre mit job spændende,« siger han.

På linje med andre eksperter påpeger esterne, at det er hackerne, der har terrænfordelen i cyberspace: Hackeren skal blot finde et enkelt hul i de systemer, de vil angribe, mens forsvarene skal finde og rette op på samtlige svagheder.

På den anden side er myndighederne over alt i Europa ved at geare op. Udfordringen nu er evnen og vilje til at samarbejde, en udfordring blandt andre Europol og NATO står overfor.

Militæret har ret til at gribe ind

Imens gør NATOs cybercenter i Tallinn et forsøg på at udrede retsgrundlaget for, hvor langt man overhovedet må gå i et tilfælde af et angreb. Centeret står bag »The Tallinn Manual«, det hidtil mest vidtgående studie i at overføre international lovgivning på cyberkrigsførelse.

Tallinn-manualen er dog ikke juridisk bindende, forklarer Pascal Prangetto, fransk kaptajn og militærjurist, som deltog i arbejdet med manualen, der udkom i år og er et uofficielt bud på en Genéve-konvention for cyberspace – dog uden eksempelvis russisk og kinesisk deltagelse i skriveprocessen.

Hvis et land er offer for et hackerangreb, der anretter lige så stor skade som konventionelle militære angreb, blåstempler manualen et militært modangreb.

Med andre ord: Hackere må erkende risikoen for at blive bombet eller skudt, hvis deres handlinger er alvorlige nok.

Da Tallinn Manualen blev offentliggjort i marts i år, blev den misforstået som et officielt NATO-dokument, hvilket det ikke er. Men de 95 regler, der opstilles i den 300 sider lange manual, er det hidtil bedste samlede bud på ret og pligt i cyberforsvar.

»Der er kæmpe stor aktivitet blandt hackere og fremmede magter, der benytter internettet til at udføre skadelige og farlige operationer. Det er blevet udråbt til et problem, at der ikke er international lovgivning på dette område,« siger Pascal Prangetto

»Men manualen samler eksisterende lovgivning og overfører den til cyberområdet. Det gør cyberforsvar knapt så wild-west-agtigt. Det er en tekst, som landene i Vesten kan skæve til, mens de bygger deres forsvar op eller forbedrer det,« siger den franske kaptajn og militærjurist.