Stażyystka z Kanady zatrzymana w SHAPE

Miała przepustkę, biurko i dostęp do SHAPE, czyli operacyjnego dowództwa wojskowego NATO pod belgijskim Mons. To tam decyzje polityczne Sojuszu przekładają się na plany wojskowe. Według belgijskiej prokuratury kanadyjska stażystka miała prowadzić działalność szpiegowską na rzecz obcego państwa (Le Soir, Reuters). Kobieta przebywa w areszcie tymczasowym; zarzuty dotyczą szpiegostwa i udziału w organizacji przestępczej. Alarm podniosły służby bezpieczeństwa SHAPE. Problem polega jednak na tym, że system, który wcześniej wpuścił ją do środka, przebiega przez kilka państw i instytucji. Nikt nie ma nad nim pełnej kontroli.

Kto ją sprawdził, kto wpuścił, kto zatrzymał

Sama reakcja była szybka. Bezpieczeństwo SHAPE miało zauważyć zachowanie wykraczające poza zakres obowiązków stażystki: według doniesień chodziło o zbieranie informacji, do których nie miała służbowego powodu sięgać (NOS, De Standaard). Sprawę przejął belgijski wywiad wojskowy SGRS/ADIV. Prokuratura federalna zarządziła przeszukania przy wsparciu ekspertów od informatyki śledczej. Sędzia śledczy w Mons wydał nakaz aresztowania, zanim sprawa trafiła do opinii publicznej.

Łańcuch wykrycia zadziałał. Pytania zaczynają się wcześniej, przy łańcuchu dostępu.

W przypadku staży w NATO procedurę sprawdzenia bezpieczeństwa prowadzi państwo pochodzenia kandydata. Tutaj odpowiadała za nią Kanada. NATO informuje, że taki etap może trwać od sześciu do ośmiu miesięcy (NATO). Po pozytywnym zakończeniu weryfikacji SHAPE przyznaje dostęp do budynku, uprawnienia w systemach informatycznych i miejsce pracy.

Gdy podejrzenie pojawia się w Belgii, belgijskie służby mogą przeszukiwać, zabezpieczać sprzęt i wystąpić do sędziego o areszt. W jednym problemie bezpieczeństwa uczestniczą więc trzy odrębne władze: państwo narodowe sprawdza kandydata, NATO go przyjmuje i monitoruje, a wymiar sprawiedliwości państwa-gospodarza prowadzi postępowanie. Żadna z nich nie obejmuje całości obrazu.

SHAPE oświadczyło, że nie ma „żadnych oznak” wpływu sprawy na gotowość operacyjną (Stars and Stripes, Reuters). To uspokojenie ma jednak wąski zakres. Publicznie nie wiadomo, jaki poziom poświadczenia bezpieczeństwa miała podejrzana, do jakich systemów mogła się dostać ani czy pozyskano materiały niejawne (Global News, Bloomberg).

Ryzyko da się przenieść

Znaczenie tej sprawy wykracza poza Belgię, bo SHAPE nie jest jedynym wrażliwym obiektem NATO w Europie.

W Holandii działa Joint Force Command Brunssum, drugie duże europejskie dowództwo operacyjne Sojuszu (JFC Brunssum). Holenderskie służby od lat traktują aktywność chińskiego wywiadu jako stałe zagrożenie dla wrażliwych sieci i technologii (AIVD). Tamtejsze media opisały zatrzymanie w SHAPE jako problem całego Sojuszu, a nie lokalny incydent belgijski (NOS). Osoba z legalnym dostępem i złymi intencjami wygląda tak samo jak lojalny pracownik, dopóki nie zacznie działać.

W Polsce ta sprawa będzie czytana przez filtr wschodniej flanki. SHAPE odpowiada za strukturę dowodzenia stojącą za wzmocnioną wysuniętą obecnością NATO, czyli wielonarodowymi grupami bojowymi rozmieszczonymi w państwach najbardziej narażonych na presję ze Wschodu (NATO ACO). Polskie media nazwały incydent „wysoce wrażliwym” (Polsat News). Dla państwa, którego bezpieczeństwo zależy od szybkiego wzmocnienia przez NATO, infiltracja na poziomie dowodzenia uderza przede wszystkim w zaufanie do planów, na których opierają się te grupy bojowe.

Kto powinien odpowiedzieć

Kilka redakcji informowało o podejrzeniu chińskiego tropu. Belgijska prokuratura nie wskazała publicznie państwa, które miałoby korzystać z informacji (Global News). Z prawnego punktu widzenia to rozróżnienie ma znaczenie. Z punktu widzenia architektury bezpieczeństwa luka pozostaje taka sama, niezależnie od tego, która służba zostanie ostatecznie wskazana.

Publicznie dostępne informacje nie dowodzą kompromitacji materiałów niejawnych. Pokazują natomiast, że ryzyko dostępu w NATO jest rozdzielone między krajowe procedury sprawdzające, zarządzanie wewnątrz Sojuszu i sądy belgijskie. Belgia ponosi suwerenny ciężar ochrony instytucji, której strategiczna wartość należy do wszystkich sojuszników. NATO powinno wyjaśnić, czy taki podzielony łańcuch odpowiedzialności odpowiada zagrożeniom, o których mówią same państwa członkowskie.