F-Secure varuje před závislostí na USA

Představme si úřednici v nemocnici, která v pondělí ráno přijde do práce. Budova stojí, síťové kabely jsou zapojené, servery ve sklepě běží. Jen přihlašovací obrazovka odmítá její heslo. Ne kvůli hackerskému útoku nebo výpadku proudu, ale proto, že americká firma spravující nemocniční ověřování přístupu změnila podmínky. Zdravotní dokumentace pacientů leží pár metrů od ní. Ona se k ní nedostane.

Tak v praxi vypadá digitální závislost. Ne přestřižený kabel ani hořící datové centrum, ale pronajímatel, který přes noc změnil kód ke dveřím. Když šéf finské společnosti F-Secure Timo Laaksonen tento měsíc varoval, že Evropa je hluboce závislá na kritických službách pod americkou kontrolou, mluvil právě o tomto tichém, strukturálním riziku (Yle).

Kód ke dveřím není v Evropě

Kde přesně zranitelnost vzniká, je vidět ještě dřív, než se nemocniční úřednice dostane ke své e-mailové schránce.

Nejprve zadá přihlašovací údaje do systému, který ověřuje její identitu. Řada evropských organizací spoléhá na služby provozované americkými firmami, nejčastěji na Microsoft Entra ID. Ty potvrzují, kdo je zaměstnanec a k čemu smí přistupovat. Když takový poskytovatel vypadne nebo přístup odřízne, najednou se zavřou všechny aplikace, které za ním stojí (Hypergate). Jedny zamčené dveře, za nimi desítky místností.

Další vrstvou je ovládací panel cloudové infrastruktury: místo, kde IT týmy vytvářejí servery, spravují databáze a nastavují digitální zámky chránící citlivá data. Záznamy pacientů mohou fyzicky ležet na serveru ve Frankfurtu. Pokud ale ovládací rozhraní, fakturační účet i šifrovací klíče spravuje americká mateřská společnost, „uloženo v Evropě“ ještě neznamená „pod evropskou kontrolou“ (JRC).

Stejný vzorec se opakuje u e-mailu, ukládání dokumentů, softwarových aktualizací i systému DNS, tedy internetového adresáře, který prohlížečům říká, kde webové stránky najdou. Německý výzkum ukázal, že přibližně 96 % německých firem závisí na dovážených digitálních technologiích. Američtí cloudoví poskytovatelé přitom drží více než 70 % evropského trhu (egovernment.de).

Když se zámek skutečně otočil

Tři nedávné případy ukazují, že nejde o hypotetickou obavu.

Společnost Anthropic, která vyvíjí umělou inteligenci, některým uživatelům pozastavila přístup ke svým nejnovějším modelům, aby vyhověla americkým exportním kontrolám. Žádný server nikdo nevypojil. Právní rozhodnutí stačilo k tomu, aby se určitá digitální schopnost ztratila z obrazovek vybraných uživatelů (AP, Reuters).

V Nizozemsku soud zablokoval převzetí společnosti Solvinity americkou firmou Kyndryl. Solvinity hostuje DigiD, digitální identitu, kterou nizozemští občané používají pro daně a zdravotnictví. Důvod byl právní: podle amerických zákonů, zejména CLOUD Actu a FISA, mohou být americky vlastněné firmy nuceny předat data bez ohledu na to, kde jsou fyzicky uložená. Národní systém digitální identity pod takovou právní střechu podle soudu patřit nemá (Ius Mentis).

Ve Francii zase vyšetřovací mise Národního shromáždění zjistila, že zhruba 80 % veřejných nákupů softwaru prochází přes americké aktéry. Ročně jde asi o 1,5 mld. EUR. Ministerstva, energetické podniky i dopravní sítě tak závisí na dodavatelích, kteří by teoreticky mohli přístup omezit pod politickým nebo právním tlakem (Banque des Territoires, Clubic).

Záložní řešení, ne iluze soběstačnosti

Evropa si v dohledné době nepostaví od nuly vlastní obdobu amerického technologického ekosystému. Ekonomika rozsahu to neumožňuje. Reálnější cíl je jiný: snížit počet věcí, které přestanou fungovat ve chvíli, kdy zmizí jedna vrstva přístupu.

Francie už požaduje, aby cloudové služby certifikované pro citlivé vládní použití nemohly být donuceny cizím právem ke ztrátě kontroly nad daty nebo provozem (CER). Německo buduje openDesk, otevřený kancelářský balík založený na open source. Evropská komise ve svém balíku pro technologickou suverenitu spojuje čipy, umělou inteligenci, cloud i otevřený software do jednoho rámce (European Commission).

Finský expert na kybernetickou bezpečnost Mikko Hyppönen k tomu přidává často opomíjenou vrstvu: závislostí se mohou stát i obranné nástroje. Firewall nainstalovaný v Helsinkách, který dostává informace o hrozbách, virové signatury a aktualizace ze zahraničí, pořád spoléhá na nepřerušený přístup k cizí službě. Když se tento přísun zastaví, zeď sice stojí, ale přestává vidět (YouTube / Hyppönen).

Praktický test pro evropskou nemocnici, obec nebo ministerstvo je proto jednoduchý: když zítra ráno zmizí jeden dodavatelský účet, jeden poskytovatel identity nebo jeden aktualizační kanál, dokážou se zaměstnanci dál přihlásit, najít záznamy a komunikovat? Instituce, které mohou odpovědět ano, mají skutečnou míru digitální suverenity. Ty ostatní jsou nájemníci, kteří si zatím neověřili, kdo drží klíče.