F-Secure vadovas įspėja dėl JAV skaitmeninės priklausomybės

Įsivaizduokime ligoninės registratūros darbuotoją, pirmadienio rytą atėjusią į pamainą. Pastatas veikia, tinklo kabeliai vietoje, rūsyje esantys serveriai ūžia kaip įprastai. Tačiau prisijungimo langas atmeta slaptažodį. Ne dėl kibernetinės atakos ir ne dėl elektros tiekimo sutrikimo, o todėl, kad JAV bendrovė, valdanti ligoninės tapatybės patvirtinimo sistemą, pakeitė prieigos sąlygas. Pacientų įrašai fiziškai už kelių metrų. Darbuotoja jų pasiekti negali.

Taip skaitmeninė priklausomybė atrodo praktiškai. Ne nutrūkę kabeliai ir ne degantys duomenų centrai, o nuomotojas, per naktį pakeitęs durų kodą. Kai Suomijos „F-Secure“ vadovas Timo Laaksonenas šį mėnesį perspėjo, kad Europa giliai priklausoma nuo JAV kontroliuojamų kritinių paslaugų, jis kalbėjo būtent apie tokį tylų struktūrinį pažeidžiamumą (Yle).

Durų kodas — ne Europoje

Norint suprasti, kur slypi pažeidžiamumas, verta sekti, kas įvyksta dar prieš tai, kai ligoninės darbuotoja pamato savo el. pašto dėžutę.

Ji suveda prisijungimo duomenis į tapatybės patvirtinimo sistemą. Daugelis Europos organizacijų remiasi JAV valdomomis tapatybės paslaugomis, iš kurių dažniausiai naudojama „Microsoft Entra ID“, tikrinančiomis, ar darbuotojas tikrai tas, kuo prisistato. Tokiam teikėjui sutrikus arba apribojus prieigą, vienu metu nepasiekiamos tampa visos už jo esančios programos (Hypergate). Vienos užrakintos durys, už jų — dešimtys kambarių.

Toliau — debesijos infrastruktūros valdymo pultas: vieta, kur IT komandos kuria serverius, administruoja duomenų bazes ir tvarko skaitmeninius raktus, saugančius jautrią informaciją. Ligoninės pacientų įrašai gali fiziškai būti Frankfurte esančiame serveryje. Tačiau jeigu valdymo pultas, atsiskaitymo paskyra ir skaitmeniniai raktai priklauso JAV patronuojančiajai bendrovei, „talpinama Europoje“ dar nereiškia „valdoma Europoje“ (JRC).

Tas pats modelis kartojasi el. pašte, dokumentų saugyklose, programinės įrangos atnaujinimuose ir net interneto adresų knygoje, DNS sistemoje, nurodančioje naršyklėms, kur rasti svetaines. Vokietijoje atlikti tyrimai rodo, kad apie 96 % Vokietijos įmonių priklauso nuo importuotų skaitmeninių technologijų, o JAV debesijos paslaugų teikėjai užima daugiau kaip 70 % Europos rinkos (egovernment.de).

Kai spyna iš tiesų pasisuko

Trys pastarojo meto atvejai rodo, kad tai ne teorinė rizika.

Dirbtinio intelekto bendrovė „Anthropic“, laikydamasi JAV eksporto kontrolės taisyklių, daliai naudotojų sustabdė prieigą prie naujausių savo modelių. Serverių niekas neatjungė. Teisinis reikalavimas tiesiog pašalino skaitmeninę galimybę iš tam tikrų naudotojų ekranų (AP, Reuters).

Nyderlanduose teismas užblokavo JAV bendrovės „Kyndryl“ planą įsigyti „Solvinity“ — įmonę, talpinančią „DigiD“, skaitmeninės tapatybės sistemą, kurią Nyderlandų gyventojai naudoja mokesčiams ir sveikatos paslaugoms. Priežastis — JAV teisė, įskaitant CLOUD Act ir FISA, leidžianti Amerikos valdomas bendroves įpareigoti perduoti duomenis nepriklausomai nuo to, kur jie fiziškai saugomi. Nacionalinė tapatybės sistema negali veikti po tokiu teisiniu skėčiu (Ius Mentis).

Prancūzijoje Nacionalinės Asamblėjos tyrimas nustatė, kad maždaug 80 % viešojo sektoriaus programinės įrangos pirkimų pereina per JAV veikėjus, o jų vertė siekia apie 1,5 mlrd. € per metus. Ministerijos, energetikos operatoriai ir transporto tinklai priklauso nuo tiekėjų, kurie teoriškai galėtų apriboti prieigą dėl politinio ar teisinio spaudimo (Banque des Territoires, Clubic).

Atsarginiai sprendimai, o ne fantazijos

Europa artimiausiu metu negali nuo nulio atkurti JAV technologijų ekosistemos. Masto ekonomika tam pernelyg stipri. Tačiau įmanoma sumažinti žalą, kuri atsiranda dingus vienam prieigos sluoksniui.

Prancūzija dabar reikalauja, kad jautriam valstybės naudojimui sertifikuotos debesijos paslaugos negalėtų būti priverstos pagal užsienio teisę perduoti kontrolės (CER). Vokietija kuria „openDesk“ — atvirojo kodo darbo vietos programų rinkinį. Europos Komisijos Technologinio suvereniteto paketas šią problemą sieja su lustais, dirbtiniu intelektu, debesija ir atviruoju kodu (European Commission).

Suomijos kibernetinio saugumo tyrėjas Mikas Hyppönenas primena dar vieną dažnai praleidžiamą detalę: net gynybos priemonės tampa priklausomybėmis. Helsinkyje įdiegta užkarda, gaunanti grėsmių žvalgybos duomenis, virusų aprašus ir programinės įrangos atnaujinimus iš užsienio, vis tiek remiasi nenutrūkstama prieiga prie užsienio paslaugos. Nutraukus šį srautą, siena apanka (YouTube / Hyppönen).

Praktinis testas bet kuriai Europos ligoninei, savivaldybei ar ministerijai paprastas: jeigu rytoj ryte dingtų viena tiekėjo paskyra, vienas tapatybės paslaugos teikėjas arba vienas atnaujinimų srautas, ar darbuotojai vis dar galėtų prisijungti, pasiekti įrašus ir bendrauti? Institucijos, galinčios atsakyti teigiamai, turi suverenitetą. Tos, kurios negali, tebėra nuomininkės, dar nepasitikrinusios, kieno rankose raktas.