افق دیجیتال: رویه حقوقی دریایی و امنیت سایبری تجارت جهانی

تحول صنعت دریانوردی از اتکا به سازوکارهای مکانیکی به یکپارچه‌سازی دیجیتال، دگرگونی ژرفی در رویه حقوقی پدید آورده است. با تبدیل شدن کشتی‌ها به مراکز داده شناور، تعاریف سنتی ایمنی دریایی، قابلیت دریانوردی و مسئولیت دولت‌ها در برابر ماهیت زودگذر تهدیدات سایبری محک می‌خورد. اتکای تاریخی بر نمودهای فیزیکی بی‌احتیاطی — بدنه‌ای زنگ‌زده، خدمه‌ای فاقد صلاحیت یا موتوری معیوب — برای پرداختن به پیچیدگی‌های نقص الگوریتمی یا نفوذ مخرب دیجیتال روزبه‌روز ناکافی‌تر می‌شود. در نتیجه، حقوق بین‌الملل دریایی باید تقاطع حساس میان کنوانسیون سازمان ملل متحد درباره حقوق دریاها (آنکلوس)، کد بین‌المللی امنیت کشتی‌ها و تأسیسات بندری (ISPS) و اصول نوپدید حاکمیت دیجیتال را راهبری کند.

در کانون این بحث، تنش میان آزادی دریانوردی و ضرورت امنیت دیجیتال قرار دارد. در حالی که دریاهای آزاد همچنان حوزه‌ای با دسترسی مشترک باقی مانده‌اند، زیرساخت دیجیتالِ توانمندسازِ تجارت نوین اغلب بومی یا انحصاری است. این تناقض خلأهای حقوقی چشمگیری ایجاد می‌کند، به‌ویژه هنگامی که یک رویداد سایبری عبور ایمن کشتی را مختل کند یا به خسارت زیست‌محیطی فاجعه‌بار بینجامد. چالش پیش روی حقوق‌دانان معاصر، ایجاد سازگاری میان ماهیت ایستا کنوانسیون‌های بین‌المللی و واقعیت سیال و بدون مرز جنگ سایبری و جاسوسی صنعتی است.

چارچوب نظارتی و تکلیف مراقبت مقتضی

سازمان بین‌المللی دریانوردی (آیمو) گام‌های مهمی برای نهادینه‌سازی مدیریت ریسک سایبری از طریق قطعنامه MSC.428(98) برداشته است. آیمو با ادغام ریسک سایبری در کد بین‌المللی مدیریت ایمنی (ISM)، دامنه تکلیف مالک کشتی به رعایت مراقبت مقتضی را عملاً گسترش داده است. بر اساس کد ISM، شرکت‌ها موظف‌اند نظام مدیریت ایمنی (SMS) را ایجاد کنند که تمامی ریسک‌های شناسایی‌شده برای کشتی‌ها، کارکنان و محیط زیست را پوشش دهد. گنجاندن ریسک سایبری نشان می‌دهد که ناتوانی در استقرار دفاع‌های دیجیتال مستحکم دیگر صرفاً یک قصور فنی نیست، بلکه نقض حقوقی تکلیف به حفظ محیط عملیاتی ایمن به شمار می‌رود.

با این حال، گذار از دستورالعمل‌های اداری به معیارهای حقوقی لازم‌الاجرا همچنان پیچیده است. در صورت بروز سانحه دریایی ناشی از حمله سایبری، بار اثبات بر عهده مدعی است تا نشان دهد مالک کشتی در اعمال مراقبت متعارف کوتاهی کرده است. این امر مستلزم تحلیل جرم‌شناختیِ گزارش‌های دیجیتال و معماری‌های نرم‌افزاری است؛ وظیفه‌ای که محاکم سنتی دریایی تازه در حال دست‌وپنجه نرم کردن با آن هستند. رویه قضایی مرتبط با قواعد هاگ-ویسبی، به‌ویژه ماده ۳، نمونه تاریخی مشابهی ارائه می‌دهد: متصدی حمل باید پیش از آغاز سفر و در ابتدای آن، ملزم به اعمال مراقبت متعارف برای قابلیت دریانوردی کشتی باشد. اکنون پرسش این است که آیا این تعهد به یکپارچگی سامانه نمایش و اطلاعات نقشه الکترونیکی (ECDIS) یا گیرنده‌های سامانه ماهواره‌ای ناوبری جهانی (GNSS) شناور نیز تسری می‌یابد.

آیا کشتی دارای نرم‌افزار قدیمی از نظر حقوقی فاقد قابلیت دریانوردی است؟

مفهوم قابلیت دریانوردی یک معیار مطلق نیست، بلکه مفهومی نسبی است که همگام با پیشرفت‌های فناوری تکامل می‌یابد. در پرونده مهم مک‌فادن علیه بلو استار لاین [۱۹۰۵]، دادگاه قابلیت دریانوردی را به‌عنوان تناسب کشتی از همه جنبه‌ها برای مواجهه با خطرات متعارف دریا تعریف کرد. در بستر امروزی، خطرات متعارف دریا باید شامل خطر نفوذ سایبری نیز باشد. اگر شناوری با نرم‌افزاری منسوخ فعالیت کند که در برابر آسیب‌پذیری‌های شناخته‌شده مستعد است، می‌توان استدلال کرد که این کشتی از دیدگاه قانون فاقد قابلیت دریانوردی است.

این موضوع سطح انتظارات از مالکان کشتی را بالا می‌برد. دیگر اطمینان از استحکام ساختار فیزیکی شناور کافی نیست. «سیستم عصبی» دیجیتال کشتی نیز باید تاب‌آور باشد. عدم نصب وصله‌های امنیتی حیاتی یا استفاده از گذرواژه‌های پیش‌فرض در سامانه‌های کنترل صنعتی (ICS) می‌تواند به‌عنوان قصور در تأمین شناوری با قابلیت دریانوردی تفسیر شود. این دکترین قابلیت دریانوردی دیجیتال پیامدهای عمیقی برای رجوع بیمه‌گر و محدودیت مسئولیت دارد. بر اساس کنوانسیون محدودیت مسئولیت درباره دعاوی دریایی (LLMC)، مالک کشتی ممکن است حق محدود کردن مسئولیت خود را از دست بدهد، چنانچه ثابت شود زیان ناشی از فعل یا ترک فعل شخصی وی بوده که با قصد ایراد چنین زیانی، یا با بی‌احتیاطی و با علم به احتمال وقوع آن انجام شده است. اثبات بی‌احتیاطی در زمینه بهداشت سایبری، حوزه‌ای نوظهور در دعاوی حقوقی است.

انتساب مسئولیت و مسئولیت دولت در آب‌های بین‌المللی

یکی از چالش‌برانگیزترین مسائل در حقوق سایبری دریایی، موضوع انتساب مسئولیت است. هنگامی که یک کنشگر تحت حمایت دولتی، سیستم شناسایی خودکار (AIS) یا سیگنال GPS یک شناور را مختل می‌کند — عملی که عموماً «جعل سیگنال» (spoofing) نامیده می‌شود — این اقدام ممکن است نقض حاکمیت یا عمل تجاوزکارانه تلقی شود. با این حال، ماهیت ناشناس عملیات سایبری، پاسخگو دانستن دولت صاحب پرچم یا دولت ساحلی را بر اساس اصول مسئولیت بین‌المللی دولت‌ها که توسط کمیسیون حقوق بین‌الملل (ILC) تدوین شده است، دشوار می‌سازد.

دیوان بین‌المللی دادگستری (ICJ) در پرونده تنگه کورفو (بریتانیا علیه آلبانی) مقرر کرد که هر دولت موظف است آگاهانه اجازه ندهد از قلمرو آن برای اعمالی مغایر با حقوق سایر دولت‌ها استفاده شود. این اصل، هرچند در دوران مین‌های فیزیکی تدوین شده است، در حوزه دیجیتال نیز کاملاً کاربرد دارد. اگر دولتی اجازه دهد زیرساخت سایبری موجود در حوزه صلاحیتش برای یک حمله سایبری دریایی مورد استفاده قرار گیرد، ممکن است مسئول جبران خسارات ناشی از آن شناخته شود. با این حال، آستانه اثبات «آگاهی» یا «کنترل» در یک شبکه دیجیتال غیرمتمرکز بسیار بالا است.

چه کسی مسئول حمله سایبری دریایی به شناوری با پرچم یک دولت در آب‌های بین‌المللی است؟

تعیین مسئولیت در قبال یک حمله سایبری در آب‌های بین‌المللی نیازمند تحلیل چندلایه از حقوق خصوصی دریایی و حقوق بین‌الملل عمومی است. از منظر حقوق خصوصی، مالک کشتی معمولاً نخستین مرجع رسیدگی به دعاوی ناشی از تصادم یا نشت آلاینده‌های زیست‌محیطی است که بر اثر یک رویداد سایبری رخ داده باشد. اگر حمله به دلیل آسیب‌پذیری در نرم‌افزار کشتی تسهیل شده باشد، مالک کشتی می‌تواند بر اساس قوانین مسئولیت محصول یا ضمانت‌های قراردادی، از تأمین‌کننده نرم‌افزار یا سازنده تجهیزات مطالبه غرامت کند.

با این حال، از منظر حقوق بین‌الملل عمومی، در صورتی که بتوان حمله را به یک نهاد حاکمیتی منتسب کرد، مسئله مسئولیت دولت مطرح می‌شود. بر اساس «راهنمای تالین ۲.۰ درباره حقوق بین‌الملل حاکم بر عملیات سایبری»، دولت مسئول عملیات سایبری است که به وی قابل انتساب باشد و نقض تعهدات بین‌المللی آن دولت محسوب شود. اگر سامانه‌های ناوبری یک کشتی توسط یک بازیگر دولتی ربوده شود و این امر به به گل نشستن کشتی در منطقه‌ای با حساسیت زیست‌محیطی بینجامد، دولت زیان‌دیده (دولت صاحب پرچم یا دولت ساحلی) می‌تواند از طریق دیوان دائمی داوری (PCA) یا دیوان بین‌المللی حقوق دریاها (ITLOS) درخواست جبران خسارت کند.

دشواری کار در این است که بسیاری از حملات سایبری توسط بازیگران غیردولتی یا گروه‌های نیابتی انجام می‌شود. در چنین مواردی، تکلیف «رعایت مقتضی» دولت صاحب پرچم بر اساس کنوانسیون حقوق دریاها (UNCLOS) به نقطه کانونی تبدیل می‌شود. آیا دولت صاحب پرچم تعهدی برای اطمینان از حفظ سطح معینی از آمادگی سایبری در کشتی‌هایی که پرچم آن را برافراشته‌اند، دارد؟ اگر دولت صاحب پرچم در اجرای مقررات سازمان بین‌المللی دریانوردی (IMO) درباره مدیریت ریسک سایبری کوتاهی کند، می‌توان استدلال کرد که خودِ دولت تعهداتش را بر اساس ماده ۹۴ کنوانسیون حقوق دریاها نقض کرده است؛ ماده‌ای که دولت‌های صاحب پرچم را ملزم می‌کند تدابیر لازم را برای تضمین ایمنی در دریا اتخاذ کنند.

تخصیص قراردادی ریسک: شروط بیمکو

در پاسخ به ابهامات حقوق بین‌الملل، این صنعت برای تخصیص ریسک سایبری به راه‌حل‌های قراردادی روی آورده است. شرط امنیت سایبری بیمکو (BIMCO) نمونه‌ای شایان توجه در این زمینه است. این شرط طرف‌ها را ملزم می‌کند برنامه‌ها و رویه‌های مناسبی برای واکنش به حوادث امنیت سایبری داشته باشند. همچنین، مشروط بر آنکه طرف‌ها استانداردهای مراقبتی لازم را رعایت کرده باشند، مسئولیت آنان را در قبال خسارات مرتبط با سایبر محدود می‌کند.

اگرچه این شروط تا حدی قطعیت تجاری ایجاد می‌کنند، اما طرف‌ها را در برابر دعاوی اشخاص ثالث مصون نمی‌دارند. برای مثال، اگر یک حمله سایبری موجب برخورد کشتی با سازه‌ای متعلق به شخص ثالث یا کشتی دیگری شود، محدودیت‌های قراردادی میان اجاره‌کننده و مالک برای مدعیِ شخص ثالث الزام‌آور نخواهد بود. در چنین مواردی، دادگاه‌ها باید به اصول مسئولیت مدنی و تخلفات دریایی رجوع کنند؛ حوزه‌ای که در آن مفهوم «مالک کشتی متعارف» به‌طور فزاینده‌ای با میزان پایبندی به استانداردهای صنعتی نظیر ISO/IEC 27001 یا چارچوب امنیت سایبری NIST تعریف می‌شود.

«دیجیتالی شدن صنعت دریانوردی صرفاً یک ارتقای فناورانه نیست؛ بلکه بازپیکربندی بنیادین خطرات حقوقی نهفته در حمل‌ونقل دریایی کالا است. حقوق باید از موضعی انفعالی به چارچوبی پیشگیرانه تکامل یابد که ریسک‌های نظام‌مند ناشی از اتصال متقابل را پیش‌بینی کند.»

نقش دیوان بین‌المللی حقوق دریاها و تطور رویه قضایی

دیوان بین‌المللی حقوق دریاها (ITLOS) تاکنون پرونده‌ای را که صرفاً بر حمله سایبری دریایی متمرکز باشد، رسیدگی نکرده است، اما رویه قضایی موجود این دیوان در زمینه توقیف کشتی و حفاظت از محیط زیست، چشم‌اندازی از نحوه برخورد احتمالی آن با این موضوع ارائه می‌دهد. در پرونده کشتی «سایگا» (شماره ۲) (سنت وینسنت و گرنادین‌ها علیه گینه)، دیوان بین‌المللی حقوق دریاها تأکید کرد که استفاده از زور باید تا حد امکان پرهیز شود و در مواردی که اجتناب‌ناپذیر است، نباید فراتر از حد معقول و ضروری باشد. این اصل تناسب، در چارچوب اقدامات متقابل سایبری اهمیت حیاتی دارد. اگر یک دولت ساحلی تهدید سایبری ساطع‌شده از کشتی‌ای در دریای سرزمینی خود را شناسایی کند، هرگونه مداخله دیجیتال باید متناسب با تهدید مطرح‌شده باشد.

علاوه بر این، داوری دریای جنوبی چین (فیلیپین علیه چین) بر اهمیت داده‌های دقیق ناوبری و تعهدات دولت‌ها به رعایت استانداردهای بین‌المللی ایمنی در دریا تأکید کرد. اگر دولتی اطلاعات ایمنی دریایی (MSI) جعلی ارائه دهد یا از طریق ابزارهای سایبری در انتشار هشدارهای ناوبری اختلال ایجاد کند، مرتکب نقض مستقیم کنوانسیون بین‌المللی ایمنی جان اشخاص در دریا (SOLAS) و کنوانسیون حقوق دریاها (UNCLOS) شده است. چنین اقداماتی نه تنها جان انسان‌ها را به خطر می‌اندازد، بلکه کل نظم حقوقی اقیانوس‌ها را نیز تضعیف می‌کند.

نظام‌های نوظهور مسئولیت و خلأ مسئولیت ناشی از محصول

یکی از چالش‌های مهم در چشم‌انداز حقوقی کنونی دریایی، خلأ بالقوه در مسئولیت ناشی از محصول برای فروشندگان نرم‌افزار است. برخلاف کشتی‌سازان که اغلب در قبال سلامت فیزیکی بدنه کشتی ملزم به رعایت استانداردهای سخت‌گیرانه هستند، توسعه‌دهندگان نرم‌افزار غالباً سلب مسئولیت‌های گسترده‌ای را در توافقنامه‌های مجوز کاربر نهایی (EULA) خود می‌گنجانند. هنگامی که یک نقص نرم‌افزاری یا فقدان امنیتِ مبتنی بر طراحی منجر به فاجعه‌ای دریایی شود، مالک کشتی ممکن است نتواند خسارات خود را از نهادی که ابزار دیجیتال معیوب را ارائه کرده است، جبران کند.

این «خلأ پاسخگویی» در کانون توجه پژوهشگران حقوق دریایی قرار گرفته است؛ آنان خواستار اعمال دقیق‌تر اصل «ضمانت ضمنی تناسب برای مقصود خاص» در قراردادهای نرم‌افزاری دریایی هستند. با توجه به نقش حیاتی نرم‌افزار در ایمنی ناوبری، جنبشی رو به گسترش شکل گرفته است تا نرم‌افزارهای دریایی به‌عنوان «جزء تشکیل‌دهنده» کشتی تلقی شوند و بدین ترتیب زیر چتر ساختارهای سنتی حق امتیاز دریایی و مسئولیت مدنی قرار گیرند. این امر به خواهان‌ها امکان می‌دهد که کشتی را توقیف کنند یا برای جبران خسارات ناشی از بی‌احتیاطی دیجیتال، دعوای علیه مال‏ (in rem) مطرح کنند، حتی اگر تقصیر اصلی متوجه یک ارائه‌دهنده نرم‌افزار مستقر در خشکی باشد.

علاوه بر این، گسترش کشتی‌های خودران و نیمه‌خودران — همان‌گونه که در پروژه‌هایی مانند یارا بیرکلند مشاهده می‌شود — این مسائل را تشدید می‌کند. در عملیات کاملاً خودران، تمایز حقوقی میان «فرمانده» کشتی و «اپراتور» نرم‌افزار مبهم می‌شود. اگر بر اثر یک آسیب‌پذیری سایبری در سامانه ناوبری خودکار تصادفی رخ دهد، انتساب مسئولیت نیازمند تحلیل پیچیده‌ای از کدها، داده‌های حسگرها و مداخلات اپراتور از راه دور خواهد بود. مقررات بین‌المللی جلوگیری از تصادم در دریا مصوب ۱۹۷۲ (COLREGs) در حال حاضر حضور انسان را بر روی پل فرماندهی فرض می‌گیرد. ناتوانی قانون در انطباق با واقعیت «فرمانده دیجیتال» یکی از بزرگ‌ترین تهدیدها برای ثبات صنعت دریانوردی به شمار می‌رود.

نتیجه‌گیری

تقاطع امنیت سایبری و حقوق دریایی دیگر نگرانی نظری مربوط به آینده نیست؛ بلکه واقعیتی در زمان حال است که پاسخی حقوقی، دقیق و یکپارچه را می‌طلبد. همان‌طور که نشان داده شد، دکترین‌های سنتی قابلیت دریانوردی و مراقبت مقتضی به‌شدت بسط یافته‌اند تا قلمرو دیجیتال را نیز در بر گیرند. ادغام ریسک سایبری در کد مدیریت ایمنی بین‌المللی (ISM Code) توسط سازمان بین‌المللی دریانوردی (IMO) نقطه عطفی حیاتی است، اما تنها آغاز راه محسوب می‌شود. جامعه جهانی دریانوردی باید به سمت چارچوبی هماهنگ‌تر حرکت کند که چالش‌های منحصربه‌فردِ انتساب مسئولیت، ادله دیجیتال و پاسخگویی بازیگران غیردولتی را پوشش دهد.

در نهایت، تاب‌آوری زنجیره تأمین جهانی به سلامت سامانه‌های دیجیتالی وابسته است که بر آب‌های آزاد حاکم‌اند. معیارهای رویه قضایی باید همچنان تکامل یابند تا اطمینان حاصل شود که «بندرگاه امن» حقوقی برای تجارت دریایی در برابر تهدیدهای نامرئی عصر سایبری محفوظ می‌ماند. چه از طریق بازنگری در کنوانسیون حقوق دریاها (UNCLOS)، چه با تدوین پروتکل‌های بین‌المللی جدید برای حاکمیت دیجیتال، و چه با تکامل اصول عرفی بی‌احتیاطی، معماری حقوق دریایی باید ثابت کند که به اندازه کشتی‌هایی که قصد تنظیم آن‌ها را دارد، تاب‌آور است. افق دیجیتال پهناور است و قانون باید قطب‌نمایی باشد که عبور ایمن از این آب‌های دیجیتالِ ناشناخته را تضمین کند.