Китайските скенери на Естония без следа

Естонските митници и летището в Талин от години използват рентгеново оборудване на „Нуктек“ — китайска държавна компания (Postimees). Публично известните факти не доказват шпионаж. Те показват по-конкретен проблем: липсва видима отчетност.

Не са публични тръжната документация, договорните условия, оценките на риска за сигурността и правилата за софтуерни обновления и поддръжка. Въпросът е прост: била ли е тази покупка изобщо разглеждана като решение със значение за сигурността, каквото очевидно е?

Машината не е това, което изглежда

Скенерът за багаж изглежда като пасивен метален тунел. На практика той е по-близо до свързан в мрежа компютър с рентгенов източник. Съвременните компютърно-томографски скенери на летищата събират изображения от различни ъгли, а софтуерът ги сглобява в триизмерен образ, който операторите могат да въртят и „разрязват“, за да проверят съдържанието (NIST).

Машината записва какво сканира, маркира съмнителни предмети и зависи от редовни софтуерни обновления, за да запази точността на откриване. Именно този софтуерен слой прави отношенията с доставчика чувствителни. Производителите обичайно поддържат отдалечен достъп, за да обслужват машините. Това може да е необходимо за ремонти, но купувачът трябва да знае кой има достъп, кога го използва и какво може да промени.

Насоките на ЕНИСА — агенцията на ЕС за киберсигурност — и на британския Национален център за киберсигурност предупреждават, че каналите за поддръжка могат да се превърнат в път за неразрешен достъп или тихи промени в настройките.

При граничните скенери това означава, че човек с дълбок системен достъп би могъл теоретично да вижда изображения от проверките или да промени праговете за засичане така, че машината да стане по-малко чувствителна към определени предмети, без операторите да забележат. Това са структурни рискове, добре описани в сектора. Те не са доказателство, че конкретна машина на „Нуктек“ е компрометирана.

Брюксел пита за пари, не за шпионаж

Действията на Европейската комисия срещу „Нуктек“ са разследване в областта на конкуренцията, а не заключение за сигурността на оборудването. През април 2024 г. служители на Комисията провериха помещения, свързани с „Нуктек“, в Полша и Нидерландия по линия на европейския Регламент за чуждестранните субсидии. От 2023 г. той позволява на Брюксел да проверява дали финансова подкрепа от правителство извън ЕС е помогнала на дадена компания да подбие конкурентите си в европейски обществени поръчки (European Commission).

„Нуктек“ оспори части от обработката на данните след тези проверки. Общият съд на ЕС отхвърли искането ѝ за временни мерки през юли 2024 г. Окончателно решение още не е публикувано.

Разликата е важна. Брюксел проверява дали евтиното ценообразуване, подкрепено от държавата, е изкривило конкуренцията. Това е различен въпрос от това дали машините са достатъчно надеждни за гранична инфраструктура. Регламентът не може да даде отговор по сигурността.

Национална покупка, общ риск

Скенерите по външните граници на ЕС се купуват на национално равнище — от отделни митнически агенции и летища. Но след като стоките преминат естонската митница, те се движат свободно в единния пазар, зоната от 27 държави, в която продуктите се пренасят без допълнителни гранични проверки. Пътниците, проверени в Талин, продължават полети в Шенген. Надеждността на всеки контролен пункт е общо допускане.

Други държави членки управляват това допускане по различен начин. „Нуктек“ има производствен и сервизен център край Варшава, така че експозицията на Полша е физическа: ремонтите и обновленията минават през местно дружество на китайската компания майка. Литовската рамка за защита на стратегически важна инфраструктура би проверила подобна покупка за рискове, свързани със собствеността и отдалечения достъп. Нидерландия разглежда китайските технологии през призмата на изричните предупреждения за шпионаж от своята разузнавателна служба.

Естония е случаят, в който използването на „Нуктек“ е потвърдено, но управленската следа остава невидима.

Правила на ЕС като директивата МИС2 задължават операторите на основни услуги да управляват риска във веригата на доставки. Белгия наскоро блокира придобиване на оператор на хеликоптери, свързано с китайски интереси, по съображения за национална сигурност. Но решението за обществената поръчка, оценката на доставчика и достъпът, който му е даден, остават национална отговорност.

Брюксел може да затрудни конкуренцията, изкривена от субсидии. Не може със задна дата да одитира всеки скенер, който вече работи на граница. Въпросът за отчетността е при националните купувачи. Докато Естония не покаже как е била оценена тази покупка, спорът ще стои между страхове от шпионаж и мълчание по обществената поръчка, а реалната празнина в управлението ще остане нерешена.