F-Secure varuje pred digitálnou závislosťou

Predstavte si pracovníčku nemocnice, ktorá príde v pondelok ráno do služby. Budova stojí, káble sú neporušené, servery v suteréne bežia. Len prihlasovacia obrazovka odmieta jej heslo. Nie pre kybernetický útok ani výpadok elektriny, ale preto, že americká firma spravujúca nemocničný prihlasovací systém zmenila podmienky prístupu. Záznamy pacientov sú pár metrov od nej, no ona sa k nim nedostane.

Takto vyzerá digitálna závislosť v praxi. Nie ako prerezané káble či horiace dátové centrá, ale ako prenajímateľ, ktorý vám v noci zmenil kód od dverí. Keď šéf fínskej spoločnosti F-Secure Timo Laaksonen tento mesiac upozornil, že Európa je hlboko závislá od kritických služieb ovládaných z USA, hovoril práve o tomto tichom, štrukturálnom riziku (Yle).

Kód od dverí nie je v Európe

Aby bolo jasné, kde zraniteľnosť vzniká, stačí sledovať, čo sa deje ešte predtým, než nemocničná pracovníčka otvorí svoju schránku.

Najprv zadá prihlasovacie údaje do systému, ktorý overuje jej totožnosť. Mnohé európske organizácie sa pri tom spoliehajú na americké služby digitálnej identity; najrozšírenejšia je Microsoft Entra ID. Ak takýto poskytovateľ vypadne alebo prístup odpojí, naraz sa stanú nedostupnými všetky aplikácie, ktoré za týmto overením stoja (Hypergate). Jedny zamknuté dvere, za nimi desiatky miestností.

Potom prichádza vzdialené ovládanie cloudovej infraštruktúry: administrátorský panel, v ktorom IT tímy vytvárajú servery, spravujú databázy a nastavujú digitálne zámky chrániace citlivé dáta. Záznamy pacientov môžu fyzicky ležať na serveri vo Frankfurte. Ak však ovládací panel, fakturačný účet aj šifrovacie kľúče spravuje americká materská firma, „hostované v Európe“ ešte neznamená „kontrolované Európou“ (JRC).

Rovnaký vzorec sa opakuje pri e-mailoch, ukladaní dokumentov, aktualizáciách softvéru aj pri DNS, teda internetovom adresári, ktorý prehliadačom hovorí, kde nájdu webové stránky. Nemecký výskum ukázal, že približne 96 % nemeckých firiem závisí od dovezených digitálnych technológií, pričom americkí cloudoví poskytovatelia ovládajú viac než 70 % európskeho trhu (egovernment.de).

Keď sa zámok naozaj otočil

Tri nedávne prípady ukazujú, že nejde o teoretické riziko.

Spoločnosť Anthropic, ktorá vyvíja umelú inteligenciu, niektorým používateľom pozastavila prístup k svojim najnovším modelom, aby splnila americké exportné obmedzenia. Žiadny server nebolo treba odpojiť. Právny príkaz stačil na to, aby sa určitá digitálna schopnosť stratila z obrazoviek vybraných používateľov (AP, Reuters).

V Holandsku súd zablokoval americkej firme Kyndryl prevzatie spoločnosti Solvinity, ktorá hostí DigiD, digitálny identifikačný systém používaný Holanďanmi pri daniach a zdravotnej starostlivosti. Dôvodom bolo americké právo, najmä CLOUD Act a FISA, podľa ktorého môžu byť firmy vlastnené z USA prinútené odovzdať dáta bez ohľadu na to, kde sa fyzicky nachádzajú. Národný systém digitálnej identity podľa súdu nemôže fungovať pod takýmto právnym režimom (Ius Mentis).

Vo Francúzsku parlamentné vyšetrovanie zistilo, že približne 80 % verejných nákupov softvéru prechádza cez amerických aktérov, v hodnote asi 1,5 miliardy eur ročne. Ministerstvá, energetické podniky aj dopravné siete tak závisia od dodávateľov, ktorí by teoreticky mohli prístup obmedziť pod politickým alebo právnym tlakom (Banque des Territoires, Clubic).

Záložné riešenia, nie fantázie

Európa si v krátkom čase nepostaví vlastnú náhradu celého amerického technologického ekosystému. Ekonomika rozsahu to zatiaľ neumožňuje. Reálne však je znížiť škody, ktoré vzniknú, keď zmizne jedna vrstva prístupu.

Francúzsko už vyžaduje, aby cloudové služby certifikované pre citlivé štátne použitie nemohli byť donútené cudzím právom odovzdať kontrolu (CER). Nemecko buduje openDesk, otvorený kancelársky balík pre verejný sektor. Európska komisia zas v balíku k technologickej suverenite spája čipy, umelú inteligenciu, cloud aj otvorený softvér do jedného problému (European Commission).

Fínsky expert na kybernetickú bezpečnosť Mikko Hyppönen upozorňuje na časť rizika, ktorá sa často prehliada: závislosťou sa môžu stať aj obranné nástroje. Firewall nainštalovaný v Helsinkách, ktorý zo zahraničia dostáva informácie o hrozbách, vírusové podpisy a softvérové aktualizácie, stále potrebuje neprerušený prístup k cudzej službe. Ak sa tento prívod preruší, ochranná stena oslepne (YouTube / Hyppönen).

Praktický test pre európsku nemocnicu, samosprávu či ministerstvo je jednoduchý: ak zajtra ráno zmizne jeden dodávateľský účet, jeden poskytovateľ identity alebo jeden aktualizačný kanál, dokážu sa zamestnanci stále prihlásiť, dostať k záznamom a komunikovať? Inštitúcie, ktoré vedia odpovedať áno, majú suverenitu. Tie ostatné sú nájomníci, ktorí si ešte neoverili, kto drží kľúč.