Mošnov hlídají čínské oči. Před nakoupenými kamerami varuje kyberúřad

Krajská akciová společnost Letiště Ostrava, provozující mošnovské Letiště Leoše Janáčka, ke konci loňského roku pořídila dvojici bezpečnostních systémů.

První má zajistit ochranu nákladní zóny. „Pořízením bezpečnostního systému zajistí provozovatel letiště detekci neoprávněných osob, jejich monitoring a získání dalších dodatečných informací pro provedení vlastního zásahu,“ píše letiště k zakázce za zhruba 2,8 milionu korun bez DPH, kterou uzavřela s novojičínskou společností Alsyko.

Druhá se týká dodání technických a bezpečnostních prostředků k monitorování vymezeného bezpečnostního prostoru letiště, takzvané Demarcated area. „Dále k provádění kontrol oprávněnosti vstupu a vjezdu do prostoru Demarcated area, včetně realizace dalších specifických bezpečnostních opatření určených pro ochranu tohoto prostoru.“ Projekt realizovala brněnská společnost Seyfor za zhruba 3,6 milionu korun bez DPH.

V obou případech společnosti na letiště namontovaly kamerové systémy čínské společnosti HikVision. Před tou na konci srpna varoval Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) ve strategické analýze. Nasazení kamer této firmy označuje za „vysoké riziko“. „Zejména s ohledem na technickou, politickou, právní nebo etickou stránku,“ píše úřad.

Vedle toho, že výrobcem kamer je čínský státní podnik, jehož ředitelem je vysoce postavený člen Čínské komunistické strany, HikVision se také podle dostupných informací podílí na porušování lidských práv. „Firma dodávala sledovací systémy do koncentračních táborů pro Ujgury a podílela se na budování rozsáhlé databáze obyvatel používané pro represivní účely,“ říká výzkumník Jan Švec z Ústavu mezinárodních vztahů, který se zabývá politikou Číny a vlivem moderních technologií na charakter vládnutí.

Letiště Ostrava na sérii otázek ohledně zajištění bezpečnosti v souvislosti s realizovanými zakázkami a zamezení zneužití kamer reagovalo obecně: „Letiště má zpracovaný ucelený soubor bezpečnostních opatření zahrnující také oblast kybernetické bezpečnosti, který se zaměřuje na kontrolu, odhalování rizik a následnou reakci na případné hrozby. Informace bezpečnostního charakteru jsou považovány za citlivé a z tohoto důvodu je není možné veřejně prezentovat,“ napsala mluvčí letiště Kateřina Pustějovská.

Moravskoslezský kraj na dotazy ani po urgencích neodpověděl. Do uzávěrky neodpověděly ani společnosti Alsyko a Seyfor.

Strategické letiště

„Výrobci kamer jsou na základě čínské legislativy povinni spolupracovat se státem a je velmi pravděpodobné, že tato spolupráce může být využívána i ke zpravodajským účelům,“ říká mluvčí NÚKIB Anna Zádrapová. Podle ní nelze ani vyloučit, že Čína, v zájmu disponovat maximálně efektivním nástrojem pro špionážní aktivity, propojuje výrobce kamer s vývojáři umělé inteligence a globálně působícími čínskými technologickými podniky.

„Již bylo v řadě případů prokázáno, že čínské bezpečnostní složky zneužívají technologické firmy k politickým cílům,“ dodává Švec, podle kterého by čínské technologie měly být vyloučeny z kritických sektorů.

Letiště Mošnov je třetí největší české letiště strategického a mezinárodního významu, především pro nákladní dopravu. Koná se tam také největší středoevropská armádní přehlídka Dny NATO a v jeho blízkosti mělo vzniknout Armádní logistické centrum, o jehož budoucnosti nyní panují pochybnosti.

Letecká doprava také patří k takzvaným základním službám v rámci zákona o kritické infrastruktuře - ty jsou nezbytné pro zajištění základních funkcí státu, hospodářství, bezpečnosti nebo zdraví obyvatel. Není jisté, zda je ostravské letiště zároveň i subjektem kritické infrastruktury, na které se vztahují vyšší bezpečnostní pravidla a opatření. Seznam subjektů kritické infrastruktury je neveřejný.

Podle výzkumníka Švece je ale důvod ke zvýšené obezřetnosti: Čína se systematicky připravuje na konflikt s Tchaj-wanem a provádí hybridní útoky proti evropským zemím či poskytuje podporu Rusku ve válce na Ukrajině.

„Pravděpodobnost vzniku aktivnějšího konfliktu Číny a Ruska proti NATO bohužel roste. Měli bychom počítat s tím, že v takovém případě by Čína využila všechny možnosti k získání převahy a oslabení evropských zemí. Mezi to by nejspíše patřily i sabotáže a špionáž prostřednictvím vzdáleného přístupu k čínským technologiím všude, kde by to bylo možné,“ zdůvodňuje Švec.

NÚKIB rizika přímo související s využíváním čínských kamer na Letišti Leoše Janáčka odmítl komentovat. „K zařazení konkrétních subjektů mezi kritickou či strategickou infrastrukturu se nebudeme vyjadřovat. Z bezpečnostních důvodů také NÚKIB nesděluje informace o tom, zda konkrétní organizace spadá mezi povinné subjekty podle zákona o kybernetické bezpečnosti,“ napsala Zádrapová.

Obecně ale dodala, že „v českém prostředí představuje nasazení čínských síťových kamer vysoké riziko“. „Kombinují se zde jejich technické slabiny a nejednoznačnost, pokud jde o uchovávání dat, s čínskou legislativou, vlivem státu na výrobce i předchozími aktivitami Číny, které nejsou vždy v souladu se zájmy České republiky a jejích spojenců,“ říká. Podle mluvčí je tedy pravděpodobné, že část takových zařízení mohou čínské orgány kompromitovat.

„Riziko lze snížit, ne odstranit“

Varování kybernetického úřadu, kterým se podle zákona o kyberbezpečnosti musí povinné subjekty zabývat, neznamená nutně zákaz. Jde hlavně o povinnost hrozbu zohlednit v analýze rizik a v souladu s ní pak řídit svou kybernetickou bezpečnost tak, aby rizika v souvislosti s kamerami byla co nejnižší.

Podle mluvčí úřadu Zádrapové jsou problémy kamer od HikVision slabé zabezpečení, riziko neoprávněného vzdáleného přístupu, zneužití zranitelností a možná existence kódu, který umožní jejich tvůrcům získat neautorizovaný přístup. 

Kyberúřad navrhuje i cesty, jak takové technologie používat bezpečněji: jejich připojení k síti fyzicky oddělit od ostatních systémů letiště, pečlivou kontrolu toho, jaká data a kam odesílají a ideálně úplné odpojení od internetu. „Pokud má organizace tato rizika prokazatelně mitigována, může být použití dané technologie v souladu s vydaným varováním,“ dodává mluvčí.

Výzkumník Švec míru rizika dělí do kategorií: „Největší riziko by bylo, pokud by Letiště Ostrava používalo i software od společnosti HikVision, včetně třeba čínského cloudu, ale to je méně pravděpodobné. Stále vysoké riziko by bylo, pokud by kamery byly připojeny k internetu a používaly oficiální firmware (program řídící fungování kamery, pozn. red.). Riziko by se výrazně snížilo, kdyby kamery byly na lokálním uzavřeném okruhu a aktualizace by také probíhaly ručně, bez přístupu k internetu.“

Ani pak ale podle něj není riziko zcela vyloučeno. „Například u čínských střídačů solárních panelů byly nalezeny skryté komunikační moduly, které mohou umožnit komunikaci se zařízením na dálku přes mobilní síť,“ říká.

Text editoval Jan Cibulka