Kaj se je Janša dogovarjal s Kurzem? Izraelsko podjetje želi preizkusiti orodje v občutljivem državnem sistemu

Julijski obisk nekdanjega avstrijskega kanclerja Sebastiana Kurza pri predsedniku vlade Janezu Janši dobiva nove razsežnosti. Medtem ko je premierjev kabinet poleti srečanje opisoval predvsem kot predstavitev tehnoloških rešitev za kibernetsko varnost, zdaj pridobljeni dokumenti razkrivajo precej konkretnejše dogovarjanje. Vladni urad za informacijsko varnost se je z izraelskim podjetjem Dream Security dogovoril o preizkusu orodja Sphere v laboratorijskem okolju državne ekipe SIGOV-Cert. Posebno pozornost vzbujajo povezave ustanoviteljev podjetja z razvpitim izraelskim podjetjem NSO Group, znanim po vohunskem programu Pegasus.

Vlada sicer zagotavlja, da bi morebitno testiranje potekalo izključno z uporabo testnih podatkov v izoliranem okolju. Toda vprašanja o preglednosti dogovarjanja, izbiri podjetja in nadzoru nad postopkom ostajajo odprta.

Ko je 13. julija nekdanji avstrijski kancler Sebastian Kurz obiskal slovensko vlado, je javnost izvedela predvsem to, da je v Ljubljano prišel kot predstavnik izraelskega tehnološkega podjetja Dream Group oziroma Dream Security. Iz kabineta predsednika vlade so tedaj pojasnjevali, da je šlo za predstavitveno in informativno srečanje, na katerem so predstavniki podjetja predstavili rešitve za krepitev kibernetske varnosti državnih sistemov.

Toda preiskovalni portal Oštro je v sodelovanju z nemško televizijo ZDF pridobil poročilo s sestanka, ki kaže, da pogovori niso ostali zgolj pri splošni predstavitvi tehnologije. Po dokumentu se je vladni urad za informacijsko varnost z izraelskim podjetjem dogovoril o preizkusu orodja Sphere, namenjenega zaščiti državne kritične infrastrukture.

Razkritje odpira vprašanja, ki presegajo običajno sodelovanje države z zasebnimi ponudniki informacijske varnosti. Gre za področje, na katerem so lahko posledice napačnih odločitev izjemno resne, saj se nanaša na zaščito informacijskih sistemov in podatkov, od katerih je odvisno delovanje državnih institucij.

Od predstavitvenega sestanka do dogovora o testiranju

Poleti je o Kurzovem obisku poročal Večer, ki je na podlagi podatkov o lobističnih stikih opozoril, da nekdanji avstrijski kancler v Ljubljano ni prišel zgolj na vljudnostni obisk.

Kurz je kot predstavnik podjetja Dream Group opravil lobistične stike s predstavniki slovenske oblasti, med drugim s predsednikom vlade Janezom Janšo. Podatki o stikih so bili evidentirani v sistemu, ki omogoča pregled nad lobiranjem pri državnih organih.

Premierjev kabinet je takrat pojasnil, da so bile na srečanju predstavljene tehnološke rešitve za krepitev nacionalne kibernetske varnosti. Zagotovil je tudi, da bodo morebitne nadaljnje aktivnosti potekale skladno z veljavno zakonodajo in predpisanimi postopki.

Novo razkritje Oštra pa kaže, da je bil na srečanju sprejet konkretnejši dogovor. Urad za informacijsko varnost naj bi omogočil preizkus orodja Sphere v laboratoriju sektorja SIGOV-Cert, pri čemer naj bi uporabili anonimizirane podatke in preverili, kakšno dodano vrednost bi tehnologija lahko prinesla.

Takšen dogovor še ne pomeni nakupa programske opreme ali njene namestitve v operativne državne sisteme. Pomeni pa, da je pogovor s potencialnim ponudnikom napredoval do načrtovanja tehničnega preizkusa.

Prav zato se zastavlja vprašanje, zakaj javnost za to podrobnost ni izvedela že ob prvih pojasnilih premierjevega kabineta, temveč šele po novinarskem pridobivanju dokumentacije.

Kaj je Sphere in zakaj je pomembno, kje bi ga testirali?

Sphere je orodje podjetja Dream Security, namenjeno zagotavljanju kibernetske varnosti in zaščiti kritične infrastrukture. Takšne rešitve lahko pomagajo pri prepoznavanju ranljivosti, analizi tveganj in izboljševanju odpornosti informacijskih sistemov proti napadom.

Potreba po naprednih orodjih za kibernetsko zaščito je nedvomna. Državne ustanove se soočajo z vse zahtevnejšimi napadi, ki lahko ogrozijo dostopnost storitev, delovanje omrežij in varnost podatkov. Toda prav zaradi občutljivosti tega področja mora biti izbira tehnologije posebej skrbna.

Po poročanju Oštra je bil za morebitni preizkus predviden laboratorij sektorja SIGOV-Cert. Gre za državno zmogljivost, povezano z obravnavo kibernetskih incidentov in zaščito informacijskih sistemov javnega sektorja.

Vladni kabinet je oktobra pojasnil, da bi preizkus, če bi bil izveden, potekal izključno na testnih podatkih, v izoliranem okolju brez internetne povezave. Po navedbah vlade bi takšna ureditev preprečevala izpostavljanje državnih podatkov in informacijskih sistemov.

To zagotovilo je pomembno, vendar odpira tudi vprašanje, kakšna strokovna preverjanja in varnostne presoje bi bila opravljena pred začetkom testiranja ter kdo bi nadzoroval njihovo izvedbo.

Pri tehnologiji, namenjeni zaščiti najobčutljivejših državnih sistemov, namreč ni pomembno zgolj, ali orodje deluje. Enako pomembno je, kakšne podatke obdeluje, kakšne pravice dostopa potrebuje in kako je mogoče neodvisno preveriti njegovo varnost.

Povezave s podjetjem, ki je razvilo Pegasus

Posebno pozornost pri zgodbi vzbuja ozadje podjetja Dream Security. Po poročanju Oštra in Večera so med njegovimi ustanovitelji poleg Sebastiana Kurza tudi posamezniki, povezani z izraelskim podjetjem NSO Group.

To je v mednarodni javnosti postalo znano predvsem po programu Pegasus, ki so ga prodajali državnim varnostnim in obveščevalnim službam. Program je bil namenjen prikritemu dostopu do mobilnih naprav, njegova uporaba pa je sprožila številne mednarodne afere.

Preiskave novinarskih in človekoljubnih organizacij so v preteklosti razkrile primere uporabe Pegasusa za nadzor novinarjev, aktivistov in drugih posameznikov. Zaradi takšnih razkritij je NSO Group postalo eno najbolj kontroverznih imen v svetovni industriji nadzornih tehnologij.

Povezava posameznikov iz Dream Security z NSO Group zato upravičeno vzbuja dodatno zanimanje za morebitno sodelovanje s slovensko državo. Vendar je treba jasno poudariti, da takšna kadrovska povezava sama po sebi ne dokazuje, da je Sphere namenjen vohunjenju ali da vsebuje funkcionalnosti, primerljive s Pegasusom.

Gre za različni podjetji in različni tehnologiji. Za presojo konkretnega orodja bi bili potrebni neodvisna tehnična analiza, pregled načina delovanja ter jasni podatki o morebitnem dostopu do državnih informacijskih sistemov.

Prav zaradi preteklih izkušenj z nadzornimi tehnologijami pa bi morala biti merila za morebitno sodelovanje še posebej pregledna.

Janša se je s predstavniki NSO Group srečal že leta 2020

Preiskovalno poročanje odpira še eno zanimivo povezavo. Po navedbah Oštra se je Janez Janša leta 2020 med obiskom Izraela sestal tudi s predstavniki podjetja NSO Group.

Ta podatek daje julijskemu srečanju s Kurzem dodatno zgodovinsko ozadje, vendar sam po sebi ne dokazuje, da sta dogodka poslovno ali vsebinsko neposredno povezana.

Za javnost bi bilo pomembno vedeti, kakšna je bila vsebina takratnega srečanja, ali so sledili kakršnikoli uradni postopki in ali je slovenska država v preteklosti že preverjala tehnologije podjetij, povezanih z NSO Group.

Zlasti pri stikih med najvišjimi predstavniki države in ponudniki občutljivih varnostnih tehnologij bi morala biti meja med političnim srečanjem, lobiranjem in morebitnim javnim naročanjem jasno določena.

Varnost države ne sme biti področje, kjer bi osebna poznanstva ali politične povezave nadomeščale strokovne postopke izbire ponudnikov. Prav zato je preglednost teh stikov pomembna ne glede na to, kdo vodi vlado.

Oktobra še vedno niso vedeli, ali se bo preizkus sploh začel

Ena bolj nenavadnih okoliščin razkritja je razlika med julijskim dogovorom in oktobrskimi pojasnili državnih organov.

Ko je Oštro oktobra urad za informacijsko varnost vprašal o načrtovanem testiranju, so mu odgovorili, da še ne vedo, kdaj oziroma ali se bo preizkus sploh začel.

Tudi premierjev kabinet je pojasnjeval predvsem pogoje, pod katerimi bi morebitno testiranje potekalo, ni pa potrdil, da je bilo že izvedeno.

To pomeni, da na podlagi doslej objavljenih informacij ni mogoče trditi, da je izraelsko podjetje že dobilo dostop do državnih podatkov ali da njegovo orodje že deluje v slovenskih državnih sistemih.

Vendar nejasnost glede nadaljnjih korakov odpira dodatna vprašanja. Če je bil julija dosežen dogovor o preizkusu, bi bilo smiselno pojasniti, kdo je zanj dal soglasje, kakšna dokumentacija je bila pripravljena in kaj je razlog, da se več mesecev pozneje še ni vedelo, ali bo izveden.

Takšna pojasnila bi bila pomembna tudi za razumevanje, ali gre za običajen strokovni postopek preverjanja nove tehnologije ali za pobudo, ki se je začela na ravni političnih in lobističnih stikov.

Kdo bi nadzoroval testiranje in kdo odločal o morebitnem nakupu?

Pri morebitnem preizkusu tehnologije za zaščito državne kritične infrastrukture se zastavlja več konkretnih vprašanj. Med njimi so način izbire ponudnika, merila za presojo varnosti, dostop do podatkov, sodelovanje zunanjih strokovnjakov in pogoji, pod katerimi bi se država odločila za nadaljnjo uporabo orodja.

Posebej pomembno je, da bi bilo morebitno testiranje ločeno od poznejšega odločanja o nakupu. Uspešen tehnični preizkus še ne pomeni, da mora država izbrati prav tega ponudnika, saj bi bilo treba upoštevati tudi konkurenčne rešitve, stroške, varnostne zahteve in pravila javnega naročanja.

Pri tem se pojavlja še vprašanje, ali so bila predvidena kakršnakoli plačila, pogodbe ali druge obveznosti. Doslej objavljene informacije ne potrjujejo, da bi bila pogodba o nakupu že sklenjena.

Javnost ima kljub temu pravico izvedeti, kako se sprejemajo odločitve o tehnologijah, ki lahko vplivajo na varnost državnih informacijskih sistemov. To ne pomeni razkrivanja tehničnih podrobnosti, ki bi lahko ogrozile varnost, temveč preglednost postopkov in odgovornosti.

Prav razlikovanje med varovanjem občutljivih tehničnih informacij in prikrivanjem odločanja je pri takšnih projektih bistveno.

Zakaj Dream Security ni odgovoril na vprašanja?

Oštro je vprašanja o načrtovanem testiranju naslovil tudi na izraelsko podjetje Dream Security. Po objavljenih informacijah podjetje do objave preiskovalnega prispevka ni odgovorilo na vprašanje, kaj pričakuje od preizkusa v Sloveniji.

Odsotnost odgovora sama po sebi ne dokazuje nepravilnosti, vendar pomeni, da javnost za zdaj nima pojasnila podjetja o ciljih sodelovanja, pričakovanih rezultatih ali morebitnih nadaljnjih poslovnih načrtih.

Pri ponudnikih tehnologij, ki so namenjene državnim varnostnim sistemom, je razumljivo, da določene informacije ostanejo zaupne. Toda osnovna vprašanja o naravi sodelovanja in postopku izbire bi bilo mogoče pojasniti brez razkrivanja varnostno občutljivih podatkov.

Toliko bolj, ker je do prvih stikov prišlo na ravni predsednika vlade, nekdanjega avstrijskega kanclerja in visokih predstavnikov državne uprave.

Državna kibernetska varnost potrebuje več kot politična zagotovila

Razkritje o dogovarjanju med slovensko vlado in podjetjem Dream Security še ne dokazuje nezakonitega ravnanja, nedovoljenega dostopa do podatkov ali uporabe vohunske programske opreme. Prav tako ni potrjeno, da je bil preizkus orodja Sphere že izveden.

Vendar so objavljeni dokumenti pomembni, ker kažejo, da so bili pogovori konkretnejši, kot je bilo mogoče razumeti iz prvih poletnih pojasnil premierjevega kabineta.

Odgovornost Janševe vlade je zato predvsem v tem, da javnosti jasno predstavi postopek odločanja. Pojasniti bi morala, zakaj je bilo za preizkus predvideno prav orodje podjetja Dream Security, kakšno vlogo so pri tem imeli lobistični stiki, katere varnostne presoje so bile opravljene in kdo bi prevzel odgovornost za izvedbo.

Ob tem je pomembno, da Slovenija krepi svojo kibernetsko odpornost. Napadi na državne sisteme, energetiko, zdravstvo in druge ključne storitve predstavljajo resno tveganje, zato je preverjanje novih zaščitnih tehnologij lahko povsem upravičeno.

Toda večja varnost ne nastane zgolj z nakupom ali preizkusom naprednega programa. Temelji tudi na strokovnih postopkih, neodvisnem preverjanju, zakonitem ravnanju in zaupanju javnosti.

Vprašanje, ki ga odpira julijski obisk Sebastiana Kurza pri Janezu Janši, zato ni samo, ali je izraelsko orodje Sphere tehnično primerno za slovensko državo. Enako pomembno je, ali so bili postopki njegovega morebitnega preizkušanja dovolj pregledni, strokovno utemeljeni in zaščiteni pred političnimi ter poslovnimi vplivi. Na ta vprašanja bi morala vlada odgovoriti jasno in brez odlašanja.

Spletno uredništvo