Reflektioner från Vita Husets Cyberstrategi

Trump administrationen har publicerat en strategi för cyber, och jag har läst den. Detta är mina reflektioner.

När jag läste den här “strategin” har jag gjort det med ganska så kritiska ögon. Jag läste den även med relativt bestämd uppfattning om vad en strategi ska innebära, och innehålla. Min uppfattning om strategi drar mycket inspiration från boken Good Strategy, Bad Strategy av Richard P. Rumelt och Playing to Win av A.G Lafley och Roger L. Martin.

En strategi ska tydligt beskriva det “problem” vilken den avser adressera och framförallt hur en kombination av vägledande principer och aktiviteter ska samordnas för att komma åt problemet.

Jag kommer således försöka identifiera följande:

1. Vilket/vilka problem avser strategin att lösa?
2. Vilka vägledande principer beskrivs?
3. Vilka aktiviteter ska genomföras?

Men först en kortare inflygning på strategin .

Övergripande om “strategin”

Den här strategin bygger på sex övergripande inriktningar eller målområden inom vilka handlingar och förändringar ska genomföras.

• Motståndarna (Shape Adversary Behavior)
• Lagar och regelverk (Promote Common Sense Regulation)
• Federala nätverk (Modernize and Secure Federal Government Networks)
• Kritisk infrastruktur (Secure Critical Infrastructure)
• AI (Sustain Superiority in Critical and Emerging Technologies)
• Kompetensförsörjning (Build Talent and Capacity)

Det finns ingenting som förklarar, beskriver eller knyter dessa samman och varför just dessa områden har prioriterats. De utvalda områdena beskrivs i löptext utan några uttalade mål, och inte heller några principer för hur handling ska formas och effektueras.

Vilket problem avser strategin lösa?

Och ja, omedelbart konfronteras vi av det första problemet med den här “strategin”. Det finns inget problem strategin avser hantera. Hur ska vi veta om strategin var en framgång? Hur kan vi avgöra när målet är nått?

Precis, det kan vi inte eftersom det inte finns något beskrivet problem som den ska lösa.

Att vi prioriterar allt är inte en strategi. Att vi ska vinna, bli bäst, vara överlägsna är inte vägledande eller överhuvudtaget användbart. Men vi gör så här, vi läser strategin väldigt snällt och anstränger oss för att hitta problemen de indirekt vill lösa med dokumentet.

Our adversaries and cyber criminals target our families, neighbors, small businesses, farmers, first responders, patients, and senior citizens in cyberspace. They disrupt critical services like healthcare, banking, food supply, and water treatment. They impose tremendous costs on our economy and make everyday goods less affordable.

Kanske detta? Det finns motståndare och cyberkriminella som angriper individer och verksamheter och framförallt det vackra och fulländade Amerika.

Eller är hotet kanske regelverk och lagstiftning?

We will remove burdensome, ineffective regulations so that our industry partners innovate quickly in emerging technologies.

Strategin borde då kanske läsas med perspektivet att lagar och regelverk ska bort om de hämmar innovation i “emerging technologies” (läs: generativ artificiell intelligens).

Vilka är de vägledande principerna?

När vi försöker hitta på vilket sätt “strategin” ramar in beslut, aktiviteter eller annat gapar det väldigt tomt. Det finns helt enkelt väldigt lite på den här fronten.

Men det jag tycker mig ana är att just … den vägledande principen är att vi behöver få bort lagar och reglering som hindrar oss från att göra det som behövs för att skydda våra intressen.

Och eventuellt skulle vi kunna säga att följande påstående ger viss vägledning:

We will not confine our responses to the ‘cyber’ realm.

Vilket alltså skulle antyda att diplomatiska, ekonomiska eller kinetiska “domäner” kan användas gentemot motståndare.

Men överlag så innehåller dokumentet väldigt lite vägledande principer/policies.

Vad ska vi göra?

Ett typiskt tecken på en “dålig” strategi är när den blir alldeles för detaljerad om vad som ska göras, utan att nödvändigtvis innehålla tillräckligt med detaljer om hur det ska genomföras.

Denna “strategi” är ett skolboksexempel på hur en dålig strategi kan utformas. I princip ingen diagnos om vilket problem som ska adresseras, inga vägledande principer om hur vi ska nå dit, men däremot en lång rad av blandade påstående och prosa om diverse aspirationer och högflygande målsättningar.

Nu sätter vi på oss glasögonen och försöker identifiera vad det är vi ska göra.

Från Shape Adversary Behavior

We will deploy the full suite of U.S. government defensive and offensive cyber operations. We will unleash the private sector by creating incentives to identify and disrupt adversary networks and scale our national capabilities.

Right. Staten ska alltså användas för defensiva och offensiva operationer för att skydda det Amerikanska folket, företag och allierade. Det ska skapas “incitament” att använda den privata sektorn för att identifiera och störa motståndarnas nätverk.

Varför?

Från Promote Common Sense Regulation

We will streamline cyber regulations to reduce compliance burdens, address liability, and better align regulators and industry globally

Lagarna ska ändras så att det blir … enklare att göra vad som krävs för att sätta Amerika först och skydda deras intressen.

Från Modernize and Secure Federal Government Networks

We will work to elevate the importance of cyber in government leadership and in the board room.

Okej, frågan ska lyftas, men hur och vad är det som ska sägas och göras?

We will work to adopt AI-powered cybersecurity solutions to defend federal networks and deter intrusions at scale.

Alright, AI… of course. Exakt hur kommer dessa hjälpa? På vilket sätt ska AI hjälpa till? Det är inte en strategisk handling. Vad är alternativen? Om det inte finns alternativ är det inget val, och är det inget val, är det all-inclusive och då spelar det ingen roll.

“Våra bilar ska köra jättesnabbt så att vi kan vinna!” Ok?

[…] we will remove barriers to entry so that the government can buy and use the best technology.

Tillbaka till lagar och regler, de ska bort om de hindrar staten från att göra som dom vill. Det brukar också kallas laglöshet…

Från Secure Critical Infrastructure

We will identify, prioritize, and harden America’s critical infrastructure and secure its supply chains, including defense critical infrastructure and adjacent vendors, private companies, networks, and services—such as the energy grid, financial and telecommunication systems, data centers, water utilities, and hospitals—securing information and operational technology supply chains.

Klassiker. Vi ska skydda… allt. Allt är viktigt, men vi tänker inte säga hur det ska göras mer än att det sak göras.

Från Build Talent and Capacity

We will eliminate roadblocks that prevent industry, academia, government, and the military from aligning incentives and building a highly skilled cyber workforce.

Återigen, kan det vara så att det finns några lagar som hindrar som de vill ta bort?

Strategin och framtiden

Jag utgår ifrån att den här strategin inte kommer innebära eller leda till några betydande framgångar för hur cyberspace ska skyddas i Amerika, eller att andra länder finner någon större inspiration från detta dokument.

Det förefaller vara bara ytterligare ett i mängden dokument som beskriver Trumps förträfflighet och fantastiska ledarskap. Strategin ger inte sken av att prioritera eller överhuvudtaget “förstå” utmaningarna i cyberdomänen. Jag skulle nästan vilja påstå att den snarare trivialiserar området med sina breda och svepande intetsägande raljerande toner.

Det skulle gå att fortsätta gräva i det här, men en sak är klar… jag skulle inte luta mig mot denna för att låta mig vägledas av vad som ska göras för att skydda cyberspace.

Tramseri.