Estijos kiniški skeneriai be dokumentų

Estijos muitinė ir Talino oro uostas jau ne vienus metus naudoja rentgeno patikros įrangą, pagamintą Kinijos valstybinės bendrovės „Nuctech“ (Postimees). Viešai prieinami duomenys rodo ne įrodytą šnipinėjimo atvejį, o atskaitomybės spragą. Nepaskelbti nei pirkimų dokumentai, nei sutarčių sąlygos, nei saugumo rizikos vertinimai, nei programinės įrangos atnaujinimo ir priežiūros tvarka. Esminis klausimas paprastas: ar toks pirkimas apskritai buvo vertintas kaip saugumui jautrus sprendimas, koks jis akivaizdžiai yra?

Įrenginys nėra vien metalinis tunelis

Bagažo skeneris iš šalies atrodo kaip pasyvus metalinis tunelis. Iš tikrųjų jis labiau primena prie tinklo prijungtą kompiuterį, prie kurio pritvirtintas rentgeno šaltinis. Šiuolaikiniai kompiuterinės tomografijos pagrindu veikiantys oro uostų skeneriai renka vaizdus iš kelių kampų, o programinė įranga iš jų sudėlioja trimatį vaizdą, kurį operatoriai gali sukti ir pjaustyti sluoksniais, tikrindami bagažo turinį (NIST). Įrenginys registruoja, ką skenuoja, žymi įtartinus objektus ir priklauso nuo reguliarių programinės įrangos atnaujinimų, kad aptikimo tikslumas išliktų patikimas.

Būtent ši programinės įrangos dalis daro tiekėjo santykį su pirkėju saugumo klausimu. Tiekėjai paprastai turi nuotolinės priežiūros prieigą, kad įrenginiai veiktų ir būtų taisomi. Skaitmeniniu požiūriu tai panašu į universalų pastato raktą. Tokia prieiga gali būti būtina remontui, tačiau pirkėjas turi žinoti, kas ją turi, kada ji naudojama ir ką leidžia atrakinti. ENISA ir Jungtinės Karalystės NCSC tiekimo grandinių saugumo gairėse įspėjama, kad priežiūros kanalai gali tapti neteisėtos prieigos arba nepastebimų konfigūracijos pakeitimų keliu.

Pasienio skenerių atveju tai reiškia, kad asmuo, turintis gilią sisteminę prieigą, teoriškai galėtų matyti patikros vaizdus arba keisti aptikimo slenksčius taip, kad įrenginys taptų mažiau jautrus tam tikriems objektams, operatoriams to nepastebint. Tai struktūrinės rizikos, gerai aprašytos visame sektoriuje. Jos nėra įrodymas, kad kuris nors konkretus „Nuctech“ įrenginys buvo pažeistas.

Briuselis tiria pinigus, ne šnipinėjimą

Europos Komisijos veiksmai prieš „Nuctech“ — konkurencijos tyrimas, o ne saugumo išvada. 2024 m. balandį Komisijos pareigūnai tikrino su „Nuctech“ siejamas patalpas Lenkijoje ir Nyderlanduose pagal ES Užsienio subsidijų reglamentą. Nuo 2023 m. jis leidžia Briuseliui tirti, ar ne ES valstybės finansinė parama padėjo įmonei Europos viešuosiuose pirkimuose siūlyti kainas, iškreipiančias konkurenciją (Europos Komisija). „Nuctech“ ginčijo dalį per patikras surinktų duomenų tvarkymo, tačiau ES Bendrasis Teismas 2024 m. liepą atmetė bendrovės prašymą taikyti laikinąsias priemones. Galutinis sprendimas dar nepaskelbtas.

Skirtumas svarbus. Briuselis aiškinasi, ar valstybės remiama žema kaina iškreipė konkurenciją. Tai kitas klausimas nei įrenginių patikimumas saugumo požiūriu, o pats reglamentas į šią saugumo dalį neatsako.

Nacionalinis pirkimas, bendra rizika

Skenerius prie ES išorės sienų perka nacionalinės institucijos — atskiros muitinės, oro uostai ir kitos atsakingos įstaigos. Tačiau Estijos muitinę perėjusios prekės toliau laisvai juda bendrojoje rinkoje, 27 valstybių erdvėje be papildomų vidaus sienų patikrų. Taline patikrinti keleiviai skrenda toliau Šengeno erdvėje. Kiekvieno patikros punkto patikimumas tampa bendra prielaida.

Kitos valstybės narės šią prielaidą valdo skirtingai. Netoli Varšuvos veikia „Nuctech“ gamybos ir paslaugų centras, todėl Lenkijos sąlytis fizinis: remontas ir atnaujinimai eina per vietos patronuojamąją Kinijos bendrovės įmonę. Lietuvos nacionaliniam saugumui užtikrinti svarbių objektų apsaugos sistema tokį pirkimą vertintų per nuosavybės ir nuotolinės prieigos rizikas. Nyderlandai Kinijos technologijas sieja su savo žvalgybos tarnybos aiškiais įspėjimais dėl šnipinėjimo. Estijos atvejis kitoks: „Nuctech“ naudojimas patvirtintas, bet sprendimų priėmimo ir priežiūros pėdsakas viešai nematomas.

Tokios ES taisyklės kaip NIS2 direktyva įpareigoja esminių paslaugų operatorius valdyti tiekimo grandinės riziką. Belgija neseniai užblokavo su Kinija siejamą perėmimą sraigtasparnių operatoriaus sektoriuje, remdamasi nacionalinio saugumo motyvais. Tačiau pats viešojo pirkimo sprendimas — kas vertino tiekėją ir kokia prieiga jam suteikta — priimamas nacionaliniu lygmeniu.

Briuselis gali apsunkinti subsidijuota kaina grindžiamą konkurenciją. Jis negali atgaline data patikrinti kiekvieno jau veikiančio pasienio skenerio. Atskaitomybės klausimas lieka nacionaliniams pirkėjams. Kol Estija neatskleidžia, kaip šis pirkimas buvo įvertintas, diskusija lieka įstrigusi tarp šnipinėjimo baimių ir viešųjų pirkimų tylos, o tikroji valdymo spraga neišspręsta.