F-Secure ostrzega przed cyfrową zależnością od USA

Wyobraźmy sobie poniedziałkowy poranek w szpitalu. Budynek działa, kable sieciowe są na miejscu, serwery w piwnicy pracują normalnie. Urzędniczka przy rejestracji wpisuje hasło, ale system odmawia dostępu. Nie dlatego, że doszło do cyberataku albo awarii prądu. Powód jest prostszy: amerykańska firma obsługująca system uwierzytelniania zmieniła warunki dostępu. Dokumentacja pacjentów znajduje się kilka metrów dalej, ale dla niej przestała istnieć.

Tak wygląda cyfrowa zależność w praktyce. Nie musi oznaczać przeciętych kabli ani płonących centrów danych. Wystarczy właściciel infrastruktury, który zmieni kod do drzwi. Gdy Timo Laaksonen, prezes fińskiego F-Secure, ostrzegł w tym miesiącu, że Europa jest głęboko uzależniona od krytycznych usług kontrolowanych przez USA, mówił właśnie o takiej cichej, systemowej podatności (Yle).

Kod do drzwi nie leży w Europie

Żeby zrozumieć, gdzie naprawdę powstaje ryzyko, trzeba cofnąć się o krok: do chwili, zanim pracownik szpitala zobaczy skrzynkę pocztową albo system z dokumentacją.

Najpierw wpisuje login i hasło. Wiele europejskich instytucji korzysta z amerykańskich usług tożsamości cyfrowej, które potwierdzają, kim jest pracownik. Najczęściej jest to Microsoft Entra ID. Jeśli taki dostawca przestanie działać albo odetnie dostęp, niedostępne stają się wszystkie aplikacje podłączone do tego samego mechanizmu logowania (Hypergate). Jedne zamknięte drzwi blokują wejście do kilkudziesięciu pomieszczeń.

Druga warstwa to panel sterowania chmurą: miejsce, w którym działy IT uruchamiają serwery, zarządzają bazami danych i obsługują cyfrowe klucze chroniące wrażliwe informacje. Dane pacjentów mogą fizycznie leżeć na serwerze we Frankfurcie. Jeśli jednak panel administracyjny, konto rozliczeniowe i mechanizmy szyfrowania kontroluje amerykańska spółka matka, „hostowane w Europie” nie znaczy jeszcze „kontrolowane przez Europę” (JRC).

Ten sam schemat widać w poczcie elektronicznej, przechowywaniu dokumentów, aktualizacjach oprogramowania, a nawet w DNS, czyli internetowej książce adresowej podpowiadającej przeglądarce, gdzie szukać strony. Niemieckie badania pokazują, że około 96% niemieckich firm korzysta z importowanych technologii cyfrowych, a amerykańscy dostawcy chmury mają ponad 70% europejskiego rynku (egovernment.de).

Kiedy zamek naprawdę się przekręcił

To nie jest ćwiczenie z teorii ryzyka. Trzy ostatnie sprawy pokazały, że dostęp cyfrowy może zniknąć decyzją prawną albo biznesową, bez awarii technicznej.

Anthropic, firma rozwijająca modele AI, zawiesił części użytkowników dostęp do najnowszych modeli, dostosowując się do amerykańskich ograniczeń eksportowych. Nikt nie odłączył serwera. Wystarczyła decyzja regulacyjna, aby określona funkcja zniknęła z ekranu (AP, Reuters).

W Holandii sąd zablokował przejęcie Solvinity przez amerykański Kyndryl. Solvinity obsługuje DigiD, czyli system tożsamości cyfrowej używany przez obywateli do podatków i usług zdrowotnych. Powód był prawny: na podstawie amerykańskich przepisów, w tym CLOUD Act i FISA, firmy należące do podmiotów z USA mogą zostać zobowiązane do przekazania danych niezależnie od tego, gdzie te dane fizycznie się znajdują. Państwowy system tożsamości nie może funkcjonować pod takim parasolem prawnym (Ius Mentis).

We Francji komisja Zgromadzenia Narodowego ustaliła, że około 80% publicznych zakupów oprogramowania przechodzi przez podmioty amerykańskie, przy wartości rzędu 1,5 mld EUR rocznie. Ministerstwa, operatorzy energetyczni i sieci transportowe korzystają więc z dostawców, którzy teoretycznie mogliby ograniczyć dostęp pod presją polityczną lub prawną (Banque des Territoires, Clubic).

Plany awaryjne zamiast fantazji

Europa nie odtworzy od zera amerykańskiego stosu technologicznego. Ekonomia skali sprawia, że w krótkim terminie byłoby to nierealne. Można jednak ograniczyć liczbę rzeczy, które przestają działać, gdy znika jedna warstwa dostępu.

Francja wymaga już, by usługi chmurowe certyfikowane dla wrażliwych zastosowań publicznych nie podlegały zagranicznym przepisom pozwalającym wymusić utratę kontroli (CER). Niemcy budują openDesk, otwarty pakiet narzędzi biurowych. Komisja Europejska w swoim Tech Sovereignty Package ujmuje problem szerzej: od półprzewodników, przez AI i chmurę, po otwarte oprogramowanie (European Commission).

Fiński badacz cyberbezpieczeństwa Mikko Hyppönen zwraca uwagę na warstwę często pomijaną: zależnością mogą stać się nawet narzędzia obronne. Zapora sieciowa zainstalowana w Helsinkach, ale zasilana zagranicznymi sygnaturami wirusów, aktualizacjami i informacją o zagrożeniach, nadal wymaga nieprzerwanego dostępu do obcej usługi. Bez tego strumienia danych mur przestaje widzieć zagrożenia (YouTube / Hyppönen).

Praktyczny test dla europejskiego szpitala, urzędu gminy albo ministerstwa jest prosty: jeśli jutro rano zniknie jedno konto u dostawcy, jeden system logowania albo jeden kanał aktualizacji, czy pracownicy nadal będą mogli się zalogować, odczytać dokumenty i komunikować się między sobą? Instytucje, które odpowiadają twierdząco, mają realną suwerenność cyfrową. Te, które nie potrafią, są najemcami, którzy nie sprawdzili, kto trzyma klucz.