F-Secure brīdina par ASV digitālo atkarību

Iedomājieties slimnīcas reģistratori pirmdienas rītā. Ēka darbojas, tīkla kabeļi nav bojāti, serveri pagrabā turpina strādāt. Taču pieteikšanās ekrāns noraida paroli. Ne kiberuzbrukuma vai elektrības pārrāvuma dēļ, bet tāpēc, ka ASV uzņēmums, kas pārvalda slimnīcas autentifikācijas sistēmu, ir mainījis piekļuves nosacījumus. Pacientu kartes atrodas dažu metru attālumā, bet viņa tām netiek klāt.

Tā digitālā atkarība izskatās praksē. Ne pārrauti kabeļi un ne degoši datu centri, bet piekļuve, ko kontrolē kāds cits. Kad Somijas F-Secure vadītājs Timo Lāksonens šomēnes brīdināja, ka Eiropa ir dziļi atkarīga no ASV kontrolētiem kritiskajiem pakalpojumiem, viņš runāja tieši par šādu klusu, strukturālu ievainojamību (Yle).

Durvju kods nav Eiropā

Lai saprastu, kur atrodas risks, jāskatās, kas notiek vēl pirms slimnīcas darbiniece ierauga savu e-pastu.

Viņa ievada lietotājvārdu un paroli pieteikšanās sistēmā. Daudzas Eiropas organizācijas paļaujas uz ASV pārvaldītiem identitātes pakalpojumiem, visbiežāk Microsoft Entra ID, kas pārbauda, kas ir konkrētais darbinieks. Ja šāds pakalpojums pārstāj darboties vai piekļuve tiek atslēgta, vienlaikus kļūst nepieejamas visas aiz tā esošās lietotnes (Hypergate). Vienas aizslēgtas durvis nozīmē desmitiem nepieejamu telpu.

Tālāk ir mākoņinfrastruktūras vadības panelis: vieta, kur IT komandas izveido serverus, pārvalda datubāzes un digitālās atslēgas, ar kurām aizsargā sensitīvus datus. Slimnīcas pacientu dati fiziski var atrasties serverī Frankfurtē. Taču, ja vadības paneli, norēķinu kontu un šifrēšanas atslēgas pārvalda ASV mātesuzņēmums, „glabāts Eiropā” nenozīmē „kontrolēts Eiropā” (JRC).

Tā pati shēma atkārtojas e-pastā, dokumentu glabātavās, programmatūras atjauninājumos un pat interneta adrešu grāmatā jeb DNS sistēmā, kas pārlūkprogrammām norāda, kur atrodas vietnes. Vācijas pētījumā secināts, ka aptuveni 96 % Vācijas uzņēmumu ir atkarīgi no importētām digitālajām tehnoloģijām, bet ASV mākoņpakalpojumu sniedzēji kontrolē vairāk nekā 70 % Eiropas tirgus (egovernment.de).

Kad atslēga jau pagriezta

Trīs neseni gadījumi rāda, ka tas nav teorētisks risks.

Mākslīgā intelekta uzņēmums Anthropic dažiem lietotājiem apturēja piekļuvi jaunākajiem modeļiem, lai ievērotu ASV eksporta kontroles noteikumus. Neviens serveris netika fiziski atvienots. Juridisks pienākums nozīmēja, ka digitāla jauda vienkārši pazuda no konkrētu lietotāju ekrāniem (AP, Reuters).

Nīderlandē tiesa bloķēja ASV uzņēmuma Kyndryl ieceri iegādāties Solvinity, kas uztur DigiD — digitālās identitātes sistēmu, ko Nīderlandes iedzīvotāji izmanto nodokļu un veselības aprūpes pakalpojumiem. Iemesls bija ASV tiesiskais regulējums, tostarp CLOUD Act un FISA, kas Amerikas īpašumā esošiem uzņēmumiem var likt nodot datus neatkarīgi no to fiziskās atrašanās vietas. Nacionāla identitātes sistēma šādā juridiskā režīmā nevar atrasties bez būtiska suverenitātes riska (Ius Mentis).

Francijā Nacionālās asamblejas izmeklēšanā konstatēts, ka aptuveni 80 % publiskā sektora programmatūras iepirkumu iet caur ASV dalībniekiem; to vērtība ir ap 1,5 mljrd. € gadā. Ministrijas, enerģētikas uzņēmumi un transporta tīkli ir atkarīgi no piegādātājiem, kuri teorētiski varētu ierobežot piekļuvi politiska vai juridiska spiediena apstākļos (Banque des Territoires, Clubic).

Rezerves risinājumi, ne ilūzijas

Eiropa tuvākajā laikā nevar no nulles uzbūvēt ASV tehnoloģiju ekosistēmas aizstājēju. Mēroga ekonomika to padara nereālu. Taču ir iespējams samazināt kaitējumu, kas rodas, ja pazūd viens piekļuves slānis.

Francija tagad prasa, lai mākoņpakalpojumi, kas sertificēti sensitīvam valsts pārvaldes lietojumam, nebūtu pakļauti ārvalstu likumiem, kuri varētu piespiest nodot kontroli (CER). Vācija veido openDesk — atvērtā pirmkoda darba vidi biroja vajadzībām. Eiropas Komisijas tehnoloģiskās suverenitātes pakete problēmu skata kopā: mikroshēmas, mākslīgo intelektu, mākoņpakalpojumus un atvērto pirmkodu (European Commission).

Somu kiberdrošības pētnieks Miko Hipenens pievieno bieži piemirstu niansi: arī aizsardzības rīki var kļūt par atkarības avotu. Ugunsmūris Helsinkos, kas saņem draudu informāciju, vīrusu parakstus un programmatūras atjauninājumus no ārvalstīm, joprojām paļaujas uz nepārtrauktu piekļuvi ārvalstu pakalpojumam. Ja šī padeve tiek pārrauta, aizsardzība kļūst akla (YouTube / Hyppönen).

Praktiskais tests jebkurai Eiropas slimnīcai, pašvaldībai vai ministrijai ir vienkāršs: ja rīt no rīta pazūd viens piegādātāja konts, viens identitātes pakalpojums vai viena atjauninājumu plūsma, vai darbinieki joprojām var pieslēgties, piekļūt dokumentiem un sazināties? Institūcijām, kas var atbildēt apstiprinoši, ir digitāla rīcībspēja. Tām, kas nevar, vēl jānoskaidro, kura rokās patiesībā ir atslēga.