Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) vydal stále platná bezpečnostní varování proti čínským technologickým firmám Huawei a ZTE a aplikaci TikTok od ByteDance. Zároveň se snaží protlačit nový zákon o kyberbezpečnosti, díky kterému by mohl zakázat či omezit podle jeho názoru rizikové dodavatele, což je nástroj aktuálně zamířený primárně na Čínu. Úřad si ale sám nechal potenciálně nebezpečnou technologii nainstalovat.
NÚKIB před několika týdny otevíral nově zrekonstruovanou budovu na ulici Gorkého v Brně. Jde o jeden z několika objektů, který na Moravě používá. Hned u vstupu do budovy byl nainstalován komunikační interkom od čínské společnosti Hikvision. A na recepci byl přítomen telefonní přístroj od stejné značky. Šlo tedy o systém sledující, kdo do kyberbezpečnostního úřadu vchází a odchází.
Lupa před několika týdny vznesla dotazy, jak je možné, že bezpečnostní úřad, který varuje před čínskými technologiemi, sám používá dodavatele z této země. Mluvčí NÚKIBu Marek Vala v telefonním hovoru uvedl, že nemá povinnost na tuto (a některé další) otázku odpovídat, a přestal komunikovat. To je vzhledem k tomu, že reprezentuje veřejnou instituci placenou daňovými poplatníky, velmi zarážející.
Čínský interkom Hikvision na recepci NÚKIB
Lupa si tedy vyžádala informaci o nasazení technologie Hikvision v rámci žádosti podle zákona o svobodném přístupu k informacím. NÚKIB v odpovědi uvedl, že už byl instalován interkom od jiné značky a že zařízení od čínského dodavatele bylo součástí rekonstruované stavby, kterou úřad nepřevzal. Objekt na ulici Gorkého je nicméně schválen k dočasnému užívání NÚKIBem. V rámci probíhající rekonstrukce se prý s dodavatelem stavby „řeší vady a nedodělky“.
NÚKIB doplnil, že interkom nebyl žádným způsobem připojen na zařízení úřadu. Například při debatách o zapojení čínských dodavatelů do zdejších sítí ale sám NÚKIB podobné odkazy na segmentaci sítí, oddělování provozu, řízení rizik a podobně nebere příliš v potaz.
Pro kyberúřad jde o další bezpečnostní faux pas. Jeho zástupci se při nedávné zejména kvůli Číně citlivé delegaci na Tchaj-wan během mezipobytu v Jižní Koreji společně s většinou výpravy ubytovali v hotelu těsně sousedícím s čínskou ambasádou.
Firma pod sankcemi
Firma Hikvision, jejíž technologie měl NÚKIB v používaném objektu, je pod sankcemi Spojených států. Zabývá se zejména vývojem a výrobou chytrých bezpečnostních kamer a dalších podobných systémů.
USA firmu viní z několika věcí včetně toho, že se podílí na sledování menšiny Ujgurů v koncentračních táborech nebo provozu sledovacích systémů v autokratických zemích. Na trhu zase Hikvision nemá dobré jméno kvůli kopírování či bezpečnostním dírám, stejně jako další čínská firma Dahua.
Hikvision a Dahua podle odhadů ovládají více než polovinu českého trhu. „V oblasti se pohybuji asi dvacet let. Podle mých odhadů mají čínští výrobci podíl šedesát až sedmdesát procent,“ řekl Daniel Korbel ze společnosti Bluecom, která v Česku prodává kamery několika výrobců. Jen Hikvision dosahuje ročních tržeb ve vyšších stovkách milionů korun.
Hikvision a Dahua mají velké zastoupení ve státní správě, tato zařízení používají ministerstva, státní podniky, policie, města a další instituce. Často je to kvůli nejnižší ceně. Podle oslovených insiderů z trhu tyto firmy nabízí svá zařízení oproti západní konkurenci typu Axis za až poloviční částky. Existují obavy, že Hikvision a Dahua využívají dotací od čínské vlády.
Zejména Hikvision je také na našem trhu velmi aktivní a má dobré vztahy s lokálními distributory a integrátory. „Umožňujeme firmám vydělat,“ potvrdil už dříve manažer české pobočky Hikvision Pavel Švadlenka. „Důvodem, proč jsme lídrem trhu, je fakt, že si o to trh řekl. Instalační firmy si nás oblíbily, máme dobrý poměr ceny a výkonu.“
Zdroje z branže také mluví o tom, že zatímco pro západní firmy není náš malý trh dlouhodobě tak zajímavý a aktivity se řídí z regionů, pro Čínu jsme naopak zajímaví velice.
NÚKIB analýzu rizik neprovedl
Přístup se ale i vlivem dění na Ukrajině začal trochu měnit. „Čím dál častěji se nás klienti, hlavně ti zastupující oblast kritické infrastruktury, ptají na kybernetickou ochranu kamer a dalších IP technologií. Zajímá je původ výrobku a zpracování bezpečnosti,“ popsal Dalibor Smažinka ze švédské firmy Axis. Ta mimochodem za 1,4 miliardy koupila českou firmu 2N vyrábějící pokročilé interkomy.
Chytré kamery mohou být nejenom kvůli svým bezpečnostním problémům prostředkem k útokům nebo nástrojem špionáže. Jde v podstatě o tradiční počítače připojené do sítě, které navíc „vidí a slyší“.
NÚKIB se firmami Hikvision a Dahua ale doposud nezabýval. Lupě na žádost podle zákona o svobodném přístupu k informacím sdělil, že analýzu rizik technických a programových prostředků neprovedl. Podobně jako třeba u čínské firmy Lenovo, která rovněž dodává státu a dalším klíčovým subjektům.
Kyberúřad pouze provedl analýzu strategických rizik u čínského podniku Tongyu, který je výrobcem bezdrátových antén a je zapsaným dodavatelem CETINu. „Detaily analýz nad rámec informací, které Úřad zveřejňuje, Úřad neposkytuje s ohledem na zájem státu na zajišťování kybernetické bezpečnosti,“ odmítl NÚKIB sdělit další podrobnosti.
