F-Secure upozorava na digitalnu ovisnost o SAD-u

Zamislite službenicu u bolnici koja u ponedjeljak ujutro dolazi na posao. Zgrada radi, mrežni kabeli su na mjestu, poslužitelji u podrumu normalno rade. Ali zaslon za prijavu odbija njezinu lozinku. Ne zbog hakerskog napada ili nestanka struje, nego zato što je američka tvrtka koja upravlja bolničkim sustavom provjere identiteta promijenila uvjete pristupa. Kartoni pacijenata fizički su nekoliko metara dalje. Ona do njih ne može.

Tako u praksi izgleda digitalna ovisnost. Ne kao presječeni kabeli ni zapaljeni podatkovni centri, nego kao stanodavac koji je preko noći promijenio šifru na vratima. Kada je glavni izvršni direktor finskog F-Securea Timo Laaksonen ovoga mjeseca upozorio da Europa duboko ovisi o kritičnim uslugama pod američkom kontrolom, govorio je upravo o toj tihoj, strukturnoj izloženosti (Yle).

Šifra na vratima nije u Europi

Da bi se razumjelo gdje je slabost, treba pogledati što se događa prije nego što bolnička službenica uopće vidi svoju elektroničku poštu.

Ona unosi korisničke podatke u sustav za prijavu. Mnoge europske organizacije oslanjaju se na američke usluge digitalnog identiteta, među kojima je Microsoftov Entra ID najrašireniji, kako bi provjerile tko su njihovi zaposlenici. Ako taj pružatelj usluge prestane raditi ili ukine pristup, sve aplikacije koje stoje iza njega istodobno postaju nedostupne (Hypergate). Jedna zaključana vrata, a iza njih desetci prostorija.

Zatim dolazi upravljačka ploča za infrastrukturu u oblaku: mjesto na kojem informatički timovi otvaraju poslužitelje, upravljaju bazama podataka i nadziru digitalne ključeve koji štite osjetljive podatke. Bolnički kartoni mogu fizički biti pohranjeni na poslužitelju u Frankfurtu. No ako su upravljačka ploča, račun za naplatu i ti digitalni ključevi pod nadzorom američke matične tvrtke, „smješteno u Europi” ne znači isto što i „pod europskom kontrolom” (JRC).

Isti se obrazac ponavlja kod elektroničke pošte, pohrane dokumenata, programskih nadogradnji, pa čak i kod internetskog adresara, odnosno DNS-a, koji preglednicima govori gdje se nalaze mrežne stranice. Njemačko istraživanje pokazalo je da oko 96 posto njemačkih tvrtki ovisi o uvezenim digitalnim tehnologijama, dok američki pružatelji usluga u oblaku drže više od 70 posto europskog tržišta (egovernment.de).

Kada se brava doista okrenula

Tri novija slučaja pokazuju da to nije teorijska bojazan.

Anthropic, tvrtka za umjetnu inteligenciju, nekim je korisnicima obustavio pristup svojim najnovijim modelima kako bi se uskladio s američkim izvoznim ograničenjima. Nijedan poslužitelj nije bio isključen. Pravna odluka učinila je da određena digitalna sposobnost nestane s korisničkih zaslona (AP, Reuters).

U Nizozemskoj je sud blokirao američki Kyndryl u preuzimanju Solvinityja, tvrtke koja udomljuje DigiD, sustav digitalnog identiteta kojim se nizozemski građani koriste za poreze i zdravstvene usluge. Razlog je bio pravni: prema američkim zakonima, uključujući CLOUD Act i FISA-u, tvrtke u američkom vlasništvu mogu biti prisiljene predati podatke neovisno o tome gdje su oni pohranjeni. Nacionalni sustav identiteta ne može biti smješten pod takvim pravnim kišobranom (Ius Mentis).

U Francuskoj je istraga Nacionalne skupštine pokazala da otprilike 80 posto javne nabave programske opreme prolazi preko američkih aktera, u vrijednosti od oko 1,5 mlrd. eura godišnje. Ministarstva, energetski operatori i prometne mreže ovise o dobavljačima koji bi, barem u teoriji, mogli ograničiti pristup pod političkim ili pravnim pritiskom (Banque des Territoires, Clubic).

Rezervni sustavi, ne iluzije

Europa ne može iznova izgraditi cijeli američki tehnološki sustav. Ekonomija razmjera čini to kratkoročno nerealnim. No može smanjiti štetu koja nastaje kada nestane jedan sloj pristupa.

Francuska sada traži da usluge u oblaku certificirane za osjetljivu državnu uporabu ne mogu biti prisiljene stranim pravom prepustiti kontrolu (CER). Njemačka razvija openDesk, uredski paket otvorenog koda. Europska komisija u svojem paketu o tehnološkoj suverenosti povezuje poluvodiče, umjetnu inteligenciju, oblak i otvoreni kod u isti problem (European Commission).

Finski stručnjak za kibernetičku sigurnost Mikko Hyppönen upozorava na detalj koji se često zanemaruje: i obrambeni alati mogu postati ovisnost. Vatrozid postavljen u Helsinkiju, ali oslonjen na obavještajne podatke o prijetnjama, virusne potpise i programske nadogradnje iz inozemstva, i dalje ovisi o neprekinutom pristupu stranoj usluzi. Ako se taj dotok prekine, zid prestaje vidjeti (YouTube / Hyppönen).

Praktičan test za svaku europsku bolnicu, općinu ili ministarstvo zato je jednostavan: ako sutra ujutro nestane jedan dobavljački račun, jedan pružatelj digitalnog identiteta ili jedan izvor nadogradnji, mogu li se zaposlenici i dalje prijaviti, dohvatiti dokumente i komunicirati? Institucije koje na to mogu odgovoriti potvrdno imaju stvarnu suverenost. One koje ne mogu još uvijek su podstanari koji nisu provjerili tko drži ključ.