Igaunijā Nuctech skeneriem trūkst dokumentu

Igaunijas muita un Tallinas lidosta gadiem izmantojušas rentgena pārbaudes iekārtas, ko ražojis Ķīnas valstij piederošais uzņēmums Nuctech (Postimees). Publiski pieejamie fakti rāda nevis pierādītu spiegošanas gadījumu, bet atbildības robu. Nav atklāti iepirkuma dokumenti, līguma nosacījumi, drošības risku izvērtējumi, kā arī programmatūras atjaunināšanas un tehniskās apkopes kārtība. Pamatjautājums ir vienkāršs: vai šāds pirkums vispār tika vērtēts kā drošībai jutīgs lēmums, kādam tam acīmredzami bija jābūt?

Iekārta nav tāda, kādu to iedomājamies

Bagāžas skeneris izskatās pēc pasīva metāla tuneļa. Patiesībā tas ir tuvāk tīklam pieslēgtam datoram, kam pievienots rentgena avots. Mūsdienu datortomogrāfijas tipa lidostu skeneri ievāc attēlus no vairākiem leņķiem, bet programmatūra no tiem izveido trīsdimensiju attēlu, ko operators var grozīt un šķērsgriezumos pārbaudīt (NIST). Iekārta reģistrē pārbaudīto, atzīmē aizdomīgus priekšmetus un ir atkarīga no regulāriem programmatūras atjauninājumiem, lai atpazīšana paliktu precīza.

Tieši programmatūras slāņa dēļ piegādātāja loma ir būtiska. Ražotājiem parasti ir attālināta piekļuve, lai iekārtas uzturētu darba kārtībā. Digitālā vidē tas līdzinās galvenajai atslēgai ēkai. Remontam tā var būt vajadzīga, bet pircējam jāzina, kam šī piekļuve ir, kad tā tiek izmantota un ko ar to iespējams atvērt. ENISA un Apvienotās Karalistes Nacionālā kiberdrošības centra vadlīnijas brīdina, ka šādi apkopes kanāli var kļūt par ceļu neatļautai piekļuvei vai klusām konfigurācijas izmaiņām.

Robežkontroles skeneru gadījumā tas nozīmē, ka persona ar dziļu sistēmas piekļuvi teorētiski varētu apskatīt pārbaudes attēlus vai mainīt atpazīšanas sliekšņus tā, lai iekārta kļūtu mazāk jutīga pret noteiktiem priekšmetiem, operatoriem to nepamanot. Tie ir nozarē labi dokumentēti strukturāli riski. Tie nav pierādījums, ka kāda konkrēta Nuctech iekārta būtu kompromitēta.

Brisele jautā par naudu, nevis spiegošanu

Eiropas Komisijas darbības pret Nuctech ir konkurences izmeklēšana, nevis drošības atzinums. 2024. gada aprīlī Komisijas amatpersonas pārbaudīja ar Nuctech saistītas telpas Polijā un Nīderlandē, pamatojoties uz ES Ārvalstu subsīdiju regulu. Kopš 2023. gada tā ļauj Briselei izmeklēt, vai trešās valsts finansiāls atbalsts uzņēmumam palīdzējis Eiropas iepirkumos piedāvāt cenas, ar kurām konkurenti nevar sacensties (Eiropas Komisija). Nuctech apstrīdēja daļu no datu apstrādes pēc šīm pārbaudēm; ES Vispārējā tiesa 2024. gada jūlijā noraidīja uzņēmuma pagaidu prasību. Galīgais lēmums nav publicēts.

Šī atšķirība ir svarīga. Brisele pārbauda, vai valsts atbalstītas zemas cenas kropļoja konkurenci. Tas nav tas pats jautājums, vai iekārtām drošības ziņā var uzticēties. Ārvalstu subsīdiju regula uz šo pusi atbildi nedod.

Nacionāls pirkums, kopīgs risks

Skenerus pie ES ārējām robežām pērk nacionālā līmenī: atsevišķas muitas iestādes un lidostas. Taču, tiklīdz preces iziet Igaunijas muitas kontroli, tās brīvi pārvietojas vienotajā tirgū, proti, 27 valstu zonā bez atkārtotām robežpārbaudēm. Pasažieri, kas pārbaudīti Tallinā, tālāk lido Šengenas zonā. Katra kontrolpunkta uzticamība kļūst par kopīgu pieņēmumu.

Dalībvalstis ar šo pieņēmumu strādā atšķirīgi. Nuctech ir ražošanas un servisa centrs pie Varšavas, tāpēc Polijas risks ir arī fizisks: remonts un atjauninājumi notiek caur Ķīnas mātesuzņēmuma vietējo meitasuzņēmumu. Lietuvas nacionālajai drošībai svarīgu objektu aizsardzības regulējums šādu pirkumu ļautu vērtēt pēc īpašumtiesību un attālinātas piekļuves riskiem. Nīderlande Ķīnas tehnoloģijas skata arī caur izlūkdienesta skaidri formulētiem brīdinājumiem par spiegošanu. Igaunijas gadījumā Nuctech izmantošana ir apstiprināta, bet pārvaldības pēdas publiski nav redzamas.

ES noteikumi, piemēram, NIS2 direktīva, liek būtisko pakalpojumu operatoriem pārvaldīt piegādes ķēžu riskus. Beļģija nesen nacionālās drošības apsvērumu dēļ bloķēja ar Ķīnu saistītu pārņemšanu helikopteru operatorā. Tomēr iepirkuma lēmums, piegādātāja izvērtējums un piešķirtās piekļuves apjoms paliek nacionālo iestāžu līmenī.

Brisele var apgrūtināt subsidētu konkurenci. Tā nevar ar atpakaļejošu spēku pārbaudīt katru skeneri, kas jau strādā pie robežas. Atbildība šajā gadījumā gulstas uz nacionālajiem pircējiem. Kamēr Igaunija neatklāj, kā šis iepirkums tika izvērtēts, diskusija paliek iestrēgusi starp bažām par spiegošanu un iepirkuma klusumu, bet īstais pārvaldības robs netiek aizvērts.