Hlavní navigace

Vojenské zpravodajství znovu usiluje o nasazení „online radarů“ do českých sítí

 Autor: Depositphotos
Novela zákona má dát vojenské rozvědce nové pravomoci při obraně Česka před kyberútoky. Tajná služba má získat právo proti atakům i přímo zasáhnout.
David Slížek 16. 3. 2020
Doba čtení: 9 minut

Sdílet

Má mít Vojenské zpravodajství (VZ) právo sledovat v sítích příznaky kybernetických útoků, případně proti nim aktivně zasáhnout? Otázka, kterou čeští poslanci řešili (a nedořešili) naposledy v letech 2016 až 2017, se znovu vrací. Novelu zákona o Vojenském zpravodajství má v pondělí 16. března projednat vláda.

Oproti tři roky starému pokusu, který se setkal s odporem části politiků i internetových firem, na to jde Vojenské zpravodajství tentokrát poněkud jinak – alespoň verbálně. Říká, že už neusiluje o možnost kontinuálně monitorovat provoz v českých sítích a nabízí i řadu mechanismů, které mají zaručit, že své potenciální nové pravomoci nezneužije. Návrh novely ale stále obsahuje i dost nejasností.

Zástupci Vojenského zpravodajství přitom příliš nechtějí odpovídat na dotazy. Žádosti o rozhovor o novele, které Lupa tajné službě posílala už od konce loňského roku, VZ nevyslyšelo s odůvodněním, že všechny potřebné informace jsou uvedeny v návrhu novely a v souvisejících dokumentech a že případný rozhovor je možný až poté, co materiál projedná vláda.

Co tedy aktuální návrh novely, který v průběhu připomínkového řízení prošel zásadními změnami, obsahuje?

Co je cílená detekce?

V původním návrhu, předloženém v únoru 2019, Vojenské zpravodajství v podstatě opakovalo to, co chtělo už v roce 2016. V rámci nových pravomocí v oblasti obrany českého kyberprostoru mělo nepřetržitě monitorovat české sítě, ve kterých mělo sbírat tzv. neadresná data. Sloužit k tomu měly tzv. sondy nasazené v klíčových bodech sítí soukromých poskytovatelů připojení a online služeb.

Po zásadní kritice v připomínkovém řízení ale VZ svůj přístup změnilo. Podle aktuálního návrhu nemá provoz v sítích monitorovat plošně, ale má provádět tzv. cílenou detekci, identifikaci a vyhodnocování hrozeb, které míří ze zahraničí do českého kyberprostoru. Na jejich základě pak má přijímat opatření k odvracení takových útoků, pokud míří proti důležitým zájmům státu.

Co konkrétně „cílená detekce“ znamená a jak přesně se liší od původně zamýšleného plošného monitorování? Těžko říct, konkrétní detaily návrh novely neuvádí. Odstavec 2 § 16a jen říká:

Cílená detekce a identifikace jsou Vojenským zpravodajstvím prováděny na základě jím stanovených indikátorů útoků nebo hrozeb, kterými se rozumí ukazatele umožňující sledovat v kybernetickém prostoru definované jevy, které v daném čase byly Vojenským zpravodajstvím vyhodnoceny jako skutečnosti ohrožující důležité zájmy státu v kybernetickém prostoru; indikátory útoků a hrozeb nastavují provozní funkce nástrojů detekce.

Ony indikátory si má VZ stanovovat na základě informací například od Národního úřadu pro kybernetickou bezpečnost (NÚKIB) a z dalších zdrojů – včetně dat, která získá v rámci plnění svých úkolů tajné služby. Ve vypořádání připomínek k návrhu je VZ popisuje také jako jevy „nasvědčující možnosti ohrožení kybernetického prostoru“.

EBF20-tip-temata

Metadata stačí

K cílené detekci má VZ využívat „nástroje detekce“. Ty v nové verzi návrhu nahradily „sondy“, uváděné v dřívějších verzích. Jaký je mezi „sondami“ a „nástroji detekce“ rozdíl, ale opět není jasné. Návrh alespoň výslovně stanoví, že „nástroje detekce nesmí být využito pro provádění odposlechů a záznamu nebo zpráv podle zákona o elektronických komunikacích“.

Detekční zařízení mají být umístěna „na určených bodech veřejných komunikačních sítí“ a mají zaznamenávat metadata o provozu veřejných komunikačních sítí a veřejně dostupných služeb elektronických komunikací. Sledovat mají také údaje o svém vlastním provozu a o změnách konfigurace (pro potřebu auditu jejich činnosti).

Metadaty se podle odstavce 3 § 16c rozumí „data popisující bez zaznamenávání samotného obsahu dat a informací souvislosti jejich přenosu v čase a jejich strukturu“. Tato definice je hodně obecná. Spadat pod ni může v podstatě cokoli, včetně například IP adres a dalších citlivých údajů, které mohou i bez obsahu komunikace prozradit o uživatelích řadu cenných informací.

Ve vypořádání připomínek přitomVZ zpracovávání metadat samo připouští, když píše, že „… ke zpracování dat dojde pouze za předpokladu detekce jevů, nasvědčujících možnosti ohrožení kybernetického prostoru“.

Jako vojenské radary

Ve zhodnocení dopadů novely (zpráva RIA) VZ dále vysvětluje: „Tyto nástroje detekce tedy nebudou plošně vyhodnocovat komunikaci a monitorovat prostředí kybernetického prostoru. Budou mít dopředu nadefinované indikátory, které budou cíleně ‚zachytávat‘ jevy, jejichž charakteristiky budou vypovídat o tom, že jsou hrozbou pro chráněné zájmy České republiky. Bude se tedy jednat o záležitost principiálně obdobnou jako v případě vojenských radarů.“

Odstavec 5 pak přináší ujištění, že provoz sond neohrozí důvěrnost elektronické komunikace či integritu sítí a že nezasáhne do jejich provozu „… jinak než v rozsahu přiměřeném veřejnému zájmu na zajišťování obrany státu“. Získaná data a informace také podle § 16i nemají být použita pro jiné účely než zabezpečení bezpečnosti státu.

Nad tím, aby zpravodajci data nezneužívali, má podle návrhu bdít inspektor pro kybernetickou obranu. Má jít o příslušníka Vojenského zpravodajství, který se má zodpovídat ministrovi obrany a jeho úkolem má být nezávisle a nestranně dohlížet nad ochranou soukromí, osobních údajů a veškerých dat, které zpravodajci svými sondami zjistí. Má také vyřizovat případné stížnosti jednotlivců či firem.

Sonda v síti

Jak má nasazení „radarů“ podle návrhu fungovat v praxi? Ministerstvo obrany má mít možnost vydat příkaz, na jehož základě provozovatelé sítí nebo služeb elektronických komunikací budou muset vytvořit v určeném bodě rozhraní pro připojení detekčního zařízení a budou mít povinnost je v síti ponechat. Ministerstvo sice má mít právo přikázat připojení nástroje detekce na maximálně půl roku, ale má také mít právo tuto lhůtu dle potřeby prodlužovat. Provozovatel může proti rozhodnutí podat rozklad, ale ten nemá odkladný účinek.

Požadované rozhraní má být jednosměrné, patrně aby neumožňovalo čtení získaných dat nebo sledování jeho provozu zvenčí (odstavec 2 § 98a v návrhu související novelizace zákona o elektronických komunikacích). Provozovatel do něj nemá nijak zasahovat nebo omezovat jeho funkčnost, kromě případů, kdy by zařízení ohrožovalo provoz sítě nebo komunikační služby. Provozovatel také musí VZ umožnit na požádání k zařízení přístup. Za instalaci sondy a její provoz má od státu dostávat proplacené efektivní náklady.

O tom, že je v jeho síti umístěna sonda, nesmí provozovatel (ani jeho zaměstnanci, kteří se na instalaci podílejí) podle návrhu nikdy nikomu nic říct, a to dokonce ani potom, co VZ sondu případně odinstaluje. Pokud firma odmítne rozhraní pro sondu poskytnout, neumožní k ní VZ přístup, zasáhne do ní nebo poruší mlčenlivost, mají jí hrozit vysoké pokuty – podle návrhu v mezním případě až do 50 milionů Kč nebo deseti procent z čistého obratu (podle toho, která hodnota je vyšší). Pokuta za porušení mlčenlivosti má hrozit i zaměstnancům, a to až 100 tisíc Kč.

Aktivní zásah

Pokud Vojenské zpravodajství získá informace o hrozbě, má je primárně předávat generálnímu štábu české armády, který má proti nim zajistit obranu. Informace mají dostat také další úřady (zejména Národní úřad pro kybernetickou a informační bezpečnost nebo Policie České republiky).

Pokud by ale byly hrozby akutní a nešlo by postupovat jinak, má (se souhlasem ministerstva obrany) VZ získat také právo provést „aktivní zásah k jejich neprodlenému odvrácení, hrozí-li nebezpečí z prodlení“.

Návrh přitom konkrétně neříká, jak má aktivní zásah vypadat a co všechno k němu může VZ využít. Nabízí se tak otázka, jestli nemají být „zbraněmi“ například ony nástroje detekce. 

Něco málo naznačuje § 16f, podle kterého má Vojenské zpravodajství dostat právo v určitém případě omezit základní lidská práva a svobody:

Vyžaduje-li to veřejný zájem na zajišťování obrany státu, lze na základě vyhodnocení jevů nasvědčujících o existenci útoku nebo hrozby ohrožující důležité zájmy státu v kybernetickém prostoru a v souvislosti s opatřeními přijatými k odstranění útoku nebo hrozby nebo omezení jejich důsledků připustit v nezbytně nutném rozsahu také zásahy do základních práv a svobod fyzických osob, je-li to nezbytné ke splnění povinností Vojenského zpravodajství při provádění činností, jimiž se podílí na zajišťování obrany státu a nelze-li splnění těchto povinností dosáhnout jiným způsobem, a to v rozsahu přiměřeném síle útoku nebo hrozby, které mají být odvráceny nebo jejichž důsledky mají být omezeny, a po dobu nezbytně nutnou.

Pokud by někomu v souvislosti s monitorováním nebo aktivním zásahem vznikla škoda (majetková či nemajetková), má mít podle návrhu (§ 16m) právo na její náhradu. Tedy pokud nejde o člověka nebo firmu, která kybernetický útok nebo hrozbu vyvolala. 

O případné náhradě má rozhodovat ministerstvo obrany (VZ je přitom jeho součástí) a poškozený o ni podle návrhu musí požádat do tří měsíců ode dne, kdy se o ní dozvěděl, a nejpozději do tří let od jejího vzniku.

Tajná služba, nebo státní orgán?

Důležitá otázka, která se u novely nabízí už od roku 2016, zní: proč vlastně má kybernetickou obranu zajišťovat právě Vojenské zpravodajství, které dosud bylo tajnou (rozvědnou a kontrarozvědnou) službou? 

Podle zákona o zpravodajských službách totiž VZ jako tajná služba může jen získávat, shromažďovat a vyhodnocovat informace. V roli „obránce kyberprostoru“ ale má mít možnost proti útokům i aktivně zasahovat.

Návrh novely v této otázce odkazuje na usnesení vlády, která v roce 2015 tuto pravomoc Vojenskému zpravodajství svěřila (v rámci Akčního plánu k Národní strategii kybernetické bezpečnosti ČR na období let 2015 až 2020). 

Kabinet v něm Vojenskému zpravodajství konkrétně uložil „vytvořit Národní centrum kybernetických sil (NCKS), které bude schopné provádět široké spektrum operací v kyberprostoru a aktivity nutné pro zajištění kybernetické obrany ČR. NCKS bude schopné provádět vojenské operace v kyberprostoru, a to jak na podporu zahraničních operací AČR v rámci NATO nebo EU, tak i v případě hybridního konfliktu za účelem obrany ČR.“

Samo Vojenské zpravodajství své zapojení do kybernetické obrany na webu obhajuje takto:

Kyberprostor není klasickým bojištěm, jedná se spíš o prostor informační a na tomto poli tradičně hrají důležitou úlohu zpravodajské služby. Vzhledem k povaze kybernetického prostoru není vždy jednoznačně možné odlišit vnější a vnitřní napadení, a stejně tak není možné zcela přesně vyhodnotit, zda již jde o útok zakládající právo na sebeobranu ve smyslu mezinárodního práva nebo zda se jedná o čin charakteru teroristického, kriminálního nebo např. špionážního. Z těchto hledisek se jeví jako nejvhodnější svěřit tento úkol zpravodajským službám, které jsou určeny k tomu, aby se podílely na zajišťování bezpečnosti státu v celém spektru hrozeb.

Aby ale Vojenské zpravodajství vůbec mohlo obranné pravomoci legitimně získat, konstruuje návrh novely mírně schizofrenní zákonný základ: metadata o provozu na internetu nemá VZ sledovat jako tajná služba, ale jako státní orgán, který je zapojen do obrany České republiky na základě článku 3 odstavce 2 zákona 110/1998 Sb. 

Ten obecně říká, že „státní orgány, orgány územních samosprávných celků a právnické a fyzické osoby jsou povinny se podílet na zajišťování bezpečnosti České republiky…“

Pokud novelu v pondělí 16. března schválí vláda, bude mít konečné slovo o jejím osudu parlament. V předchozím pokusu v roce 2017 Vojenské zpravodajství neuspělo. Bude to tentokrát jiné?