WP紙の安全保障問題担当記者エレン・ナカシマが、10月27日付で同紙に「サイバー攻撃はどの時点で戦争行為になるのか」との記事を書き、10月11日にパネッタ国防長官がサイバー・パール・ハーバーについて警告を発した演説をしたことに関連し、サイバー空間での戦争行為とは何か、戦争行為になる前の攻撃にどう対応すべきなのか、論じています。
すなわち、8月にサウジの石油会社アラムコのコンピュータがシャムーンというウイルスで攻撃され、3万のコンピュータのデータ消失し、カタールのガス会社ラスガスも同じような攻撃を受けた。これは、経済制裁や核施設へのSTUXNET攻撃に対する、イランによる報復攻撃だと言う人もいる。
シャムーン攻撃は武力攻撃に匹敵するような損害を生じさせなかったが、米のいくつかのエネルギー会社に同じような攻撃が行われた場合、どれだけの損害が出たときに米は報復に乗り出すのか。
政府内では、どの時点で報復するか、コンセンサスがあるのかもしれないが、その内容は明らかにされていない。専門家は、サイバー攻撃の結果、あちこちで航空機が墜落したり、停電が起こるなどといったことがあり得るが、誰が攻撃を実行しているのか分からない場合がある、と指摘している。
サイバー攻撃の対象であるコンピュータ・ネットワークは民間企業のものである場合が多いが、政府は民間への攻撃を止めるべきか。もし攻撃が成功し、かつ攻撃者を特定できた場合、政府はどう対応すべきか。例えば、航空管制へのサイバー攻撃が行われ、航空機が落ちた場合、大統領と国家安全保障会議はどういう対応をするか、決める必要がある。
何が戦争行為に当たるかを決めるのは軍事的決定や法的決定ではなく政治的決定である。国際法は、戦争行為との表現は避け、武力攻撃、武力行使という言葉を使うが、戦争行為か否かはそれを見ている人により決まる。北朝鮮が韓国の船を沈めた時、あるいはイランが米大使館員を人質にした時、米は戦争に打って出なかった。ウイルスが停電を惹き起こしたとして、戦争をするのか。もしノーなら、どういう対応をするのか。
国務省の法律顧問は、「サイバー攻撃の結果が、爆弾の投下やミサイルの発射と同じような物理的結果をもたらすならば、それは、武力の行使と同視すべきである。サイバー攻撃が、そうしたレベルに達したならば、国家は自衛権を行使できる」と言っている。
コロンビア大学のワクスマン教授は、アラムコのケースのように単なる経済的損害が生じた場合、武力攻撃とは言えないとしている。証券市場へのコンピュータ攻撃で市場が暴落した場合にはどうか、意見は分かれている。政府内では種々の検討がなされており、交戦規則も検討されている。しかし政府の幹部は敵に何が国家への攻撃で、何がそうでないかを示すことはしない、としている。
