F-Secure: Európa amerikai digitális függésben van

Képzeljünk el egy kórházi adminisztrátort, aki hétfő reggel munkába áll. Az épület működik, a hálózati kábelek a helyükön vannak, a pincében zúgnak a szerverek. A belépési képernyő mégis elutasítja a jelszavát. Nem kibertámadás történt, nem is áramszünet: az amerikai cég, amely a kórház azonosítási rendszerét kezeli, megváltoztatta a hozzáférés feltételeit. A betegek adatai néhány méterre vannak tőle, mégsem fér hozzájuk.

A digitális függőség a gyakorlatban így néz ki. Nem átvágott kábelekben és égő adatközpontokban, hanem egy olyan főbérlőben, aki éjszaka átírta a kapukódot. Amikor Timo Laaksonen, a finn F-Secure vezérigazgatója ebben a hónapban arra figyelmeztetett, hogy Európa mélyen rá van utalva amerikai ellenőrzés alatt álló kritikus szolgáltatásokra, pontosan erről a csendes szerkezeti kitettségről beszélt (Yle).

A kapukód nincs Európában

A sérülékenység megértéséhez érdemes végigkövetni, mi történik még azelőtt, hogy a kórházi dolgozó megnyitná a levelezését.

Beírja a felhasználónevét és a jelszavát egy beléptetési rendszerbe. Sok európai szervezet amerikai üzemeltetésű azonosítási szolgáltatásokra támaszkodik; ezek közül a Microsoft Entra ID a legelterjedtebb. Ezek döntik el, hogy a munkatársak valóban azok-e, akiknek mondják magukat. Ha a szolgáltató leáll, vagy megvonja a hozzáférést, a mögötte lévő alkalmazások egyszerre válnak elérhetetlenné (Hypergate). Egy zár záródik be, de mögötte tucatnyi szoba marad hozzáférhetetlen.

Ugyanez igaz a felhőinfrastruktúra távirányítójára is: arra a kezelőfelületre, ahol az informatikai csapatok szervereket hoznak létre, adatbázisokat kezelnek, és a bizalmas adatokat védő digitális kulcsokat felügyelik. Egy kórház betegadatai fizikailag akár frankfurti szerveren is lehetnek. Ha azonban a kezelőfelületet, a számlázási fiókot és a titkosítási kulcsokat egy amerikai anyavállalat irányítja, az „Európában tárolt” adat nem jelenti azt, hogy Európa ellenőrzi is (JRC).

A minta ismétlődik az e-mailben, a dokumentumtárolásban, a szoftverfrissítésekben, sőt az internet címjegyzékeként működő DNS-ben is, amely megmondja a böngészőknek, hol találják a weboldalakat. Német kutatások szerint a német vállalatok mintegy 96 százaléka importált digitális technológiáktól függ, miközben az amerikai felhőszolgáltatók az európai piac több mint 70 százalékát tartják kézben (egovernment.de).

Amikor tényleg elfordult a kulcs

Három friss eset mutatja, hogy ez nem elméleti kockázat.

Az Anthropic mesterségesintelligencia-vállalat amerikai exportkorlátozások miatt egyes felhasználóknál felfüggesztette a hozzáférést legújabb modelljeihez. Nem húztak ki szervereket. Egy jogi előírás miatt bizonyos képernyőkről eltűnt egy digitális képesség (AP, Reuters).

Hollandiában egy bíróság megakadályozta, hogy az amerikai Kyndryl felvásárolja a Solvinityt, azt a céget, amely a DigiD-t, vagyis az adóügyekhez és egészségügyi szolgáltatásokhoz használt holland digitális személyazonosítási rendszert hosztolja. Az indok az volt, hogy az amerikai jog, köztük a CLOUD Act és a FISA alapján amerikai tulajdonú cégeket akkor is kötelezhetnek adatok átadására, ha az adatokat nem az Egyesült Államokban tárolják. Egy nemzeti azonosítási rendszer ilyen jogi ernyő alatt nem működhet (Ius Mentis).

Franciaországban a Nemzetgyűlés vizsgálata arra jutott, hogy a közszféra szoftverbeszerzéseinek nagyjából 80 százaléka amerikai szereplőkön keresztül fut, évente körülbelül 1,5 milliárd euró értékben. Minisztériumok, energetikai szolgáltatók és közlekedési hálózatok is olyan beszállítóktól függenek, amelyek elvben politikai vagy jogi nyomásra korlátozhatják a hozzáférést (Banque des Territoires, Clubic).

Tartalék rendszerek, nem illúziók

Európa rövid távon nem tudja a semmiből újraépíteni az amerikai technológiai ökoszisztémát. A méretgazdaságosság miatt ez nem reális. Az viszont elérhető cél, hogy kevesebb rendszer omoljon össze, ha egy hozzáférési réteg eltűnik.

Franciaország már előírja, hogy az érzékeny állami felhasználásra tanúsított felhőszolgáltatásokat ne lehessen külföldi jog alapján arra kényszeríteni, hogy átadják az ellenőrzést (CER). Németország az openDesk nevű nyílt forráskódú irodai szoftvercsomagot építi. Az Európai Bizottság technológiai szuverenitási csomagja egyszerre kezeli a csipek, a mesterséges intelligencia, a felhő és a nyílt forráskód kérdését (European Commission).

Mikko Hyppönen finn kiberbiztonsági kutató egy gyakran elfelejtett pontra hívja fel a figyelmet: a védelmi eszközök is függőséggé válhatnak. Egy Helsinkiben telepített tűzfal akkor is külföldi szolgáltatásra támaszkodik, ha a fenyegetési információkat, vírusdefiníciókat és szoftverfrissítéseket külföldről kapja. Ha ez az adatfolyam megszakad, a fal vakon marad (YouTube / Hyppönen).

Egy európai kórház, önkormányzat vagy minisztérium számára a gyakorlati próba egyszerű: ha holnap reggel eltűnik egy beszállítói fiók, egy azonosítási szolgáltató vagy egy frissítési csatorna, be tudnak-e lépni a munkatársak, elérik-e az iratokat, tudnak-e egymással kommunikálni? Azok az intézmények, amelyek erre igennel válaszolnak, rendelkeznek valódi mozgástérrel. Amelyek nem, azok bérlők egy olyan épületben, ahol még nem nézték meg, kinél van a kulcs.