Yossi Karadi, Yuval Sinay · The Cyber Defense Review · 2026

When Cyber Pressure Outpaces Recovery: A National-Level Framework for Cumulative Cyber Operational Attrition

Resumo em português

Campanhas cibernéticas persistentes podem impor custos operacionais recorrentes sem necessariamente produzir uma degradação estratégica cumulativa. Incidentes graves podem, em vez disso, desencadear aprendizado, investimento, mudança arquitetural e assistência externa. Este artigo questiona quando a pressão cibernética persistente cria um déficit nacional duradouro de recuperação, ao invés de adaptação. Reconceptualiza a Atribuição Operacional Cibernética Cumulativa (Cumulative Cyber Operational Attrition - CCOA) como uma estrutura qualitativa, focada no lado-alvo, centrada na capacidade de um Estado em sustentar e restaurar funções essenciais e serviços críticos. O mecanismo começa quando novas demandas de recuperação induzidas por ataques cibernéticos surgem antes que as obrigações anteriores sejam resolvidas. Quando processos de recuperação sobrepostos competem por pessoal escasso, fornecedores, infraestrutura confiável, coordenação emergencial e atenção política, um Estado pode permanecer abaixo de um patamar aceitável de serviço, mesmo com incidentes individuais tecnicamente resolvidos. Utilizamos uma revisão estruturada da literatura e seis estudos de plausibilidade — NotPetya, Colonial Pipeline, a falha da CrowdStrike, Costa Rica, Jaguar Land Rover e operações cibernéticas sustentadas contra a Ucrânia — para examinar as condições de fronteira da estrutura. A degradação cumulativa é mais plausível quando as obrigações de recuperação se sobrepõem temporalmente, dependências compartilhadas transmitem a interrupção, a substituição é limitada e a demanda de recuperação supera a restauração e adaptação. Por outro lado, aprendizado defensivo, suporte externo, modularidade e aumento dos custos para o atacante podem interromper o acúmulo. A estrutura oferece indicadores observáveis e prioridades políticas em nível nacional para continuidade de funções essenciais, acúmulo de recuperação, restauração com consciência das dependências, expulsão do adversário e capacidade de resposta rápida. Não afirma que o colapso da recuperabilidade nacional seja inevitável nem que as operações cibernéticas constituam uma categoria distinta de guerra.

Resumo original em inglês

Persistent cyber campaigns can impose recurring operational costs without necessarily producing cumulative strategic degradation. Severe incidents can instead trigger learning, investment, architectural change, and external assistance. This article asks when persistent cyber pressure creates a durable national recovery deficit rather than adaptation. It reconceptualizes Cumulative Cyber Operational Attrition (CCOA) as a qualitative, target-side framework centered on a state’s ability to sustain and restore essential functions and critical services. The mechanism begins when new cyber-induced recovery demands arise before prior obligations are resolved. When overlapping recovery processes compete for scarce personnel, suppliers, trusted infrastructure, emergency coordination, and political attention, a state may remain below an acceptable service baseline even while individual incidents are technically being resolved. We use a structured literature review and six plausibility probes—NotPetya, Colonial Pipeline, the CrowdStrike outage, Costa Rica, Jaguar Land Rover, and sustained cyber operations against Ukraine—to examine the framework’s boundary conditions. Cumulative degradation is most plausible when recovery obligations overlap temporally, shared dependencies transmit disruption, substitution is limited, and recovery demand outpaces restoration and adaptation. Conversely, defensive learning, external support, modularity, and rising attacker costs can interrupt accumulation. The framework offers observable indicators and national-level policy priorities for continuity of essential functions, recovery backlogs, dependency-aware restoration, adversary eviction, and surge capacity. It does not claim that national recoverability collapse is inevitable or that cyber operations constitute a distinct category of war.