Bezpečnostný analytik o sporných radaroch: Pustiť ich do systému bola fatálna chyba

Problémom nie je len kamera, ale celý systém

Bránik upozornil, že v diskusii o kauze sa príliš často hovorí iba o samotných kamerách. Z bezpečnostného hľadiska je však podľa neho oveľa podstatnejšie, do akého systému sa zariadenie zapojí a k akým informáciám môže mať prístup.

Kamera ako taká je podľa analytika iba jedným komponentom. Situácia sa mení vo chvíli, keď sa stane súčasťou systému pracujúceho s citlivými údajmi. Podľa Bránika treba celý prípad posudzovať aj v kontexte pravidiel ochrany kritickej infraštruktúry.

Prečítajte si tiež

Šutaj Eštok o kamerách na cestách: Boli sme oklamaní. NBÚ potvrdil ruské komponenty

Kamery určené na zisťovanie dopravných priestupkov totiž musia zaznamenané údaje spracovávať a analyzovať. Pri väčšom množstve dát sa podľa analytika dajú získavať informácie nielen o jednotlivých vozidlách, ale napríklad aj o návykoch či pohybe dopravy.

„Kritickou chybou bolo vpustenie testovacích kamier do systému, ktorý pracuje s citlivými dátami,“ upozornil Bránik. Podľa neho je preto potrebné analyzovať, či vôbec existovala možnosť, aby boli získané údaje zneužité.

Zároveň zdôraznil, že netvrdí, že by ministerstvo vnútra alebo dodávateľ vedome umožnili vstup ruskej technológie do systému. Otázky však podľa neho vyvoláva dodávateľský reťazec a spôsob, akým boli zariadenia preverované.

Prečítajte si tiež

Ruské systémy na cestách? Rezort vnútra informuje, kto je dodávateľ, PS zvoláva výbor

Rizikom by mohli byť aj informácie o prevoze zbraní

Jednou z najdôležitejších otázok ďalšej analýzy podľa Bránika bude, aké komunikačné možnosti zariadenia mali a či mohli umožňovať prístup k dátam aj mimo samotného systému. Forenzné preverovanie by podľa neho malo zisťovať napríklad to, či zariadenia neobsahovali Wi-Fi alebo Bluetooth prvky, prostredníctvom ktorých by bolo teoreticky možné vytvoriť zálohu údajov a následne sa k nim dostať z blízkeho okolia.

Analytik upozornil aj na citlivosť informácií o doprave na Slovensku. Systém má pracovať s dopravou na významných uzloch, cez ktoré sa môžu pohybovať aj strategické náklady. „Tento systém má riadiť dopravu na celom Slovensku na uzloch, kde okrem iného je prevádzka aj zbraní, ktoré vyvážame na Ukrajinu,“ povedal Bránik.

Ak by sa podľa neho niekomu podarilo preniknúť do systému, mohol by sa dostať k informáciám, ku ktorým by za normálnych okolností prístup mať nemal. V prípade preukázania zraniteľnosti, ktorá by umožňovala získavať údaje napríklad prostredníctvom aktualizácií, by bolo možné sledovať, či a kedy určitá doprava prebieha.

Takéto informácie by podľa Bránika mohli zvyšovať aj riziko sabotáží. Zároveň však zdôraznil, že v tejto chvíli nemožno potvrdiť, že Rusi k dátam skutočne prístup mali. „Vylúčiť sa to v tejto chvíli nedá, nedá sa to ani potvrdiť,“ povedal s tým, že analýza prípadu ešte pokračuje.

Bránik: Spoliehať sa na čestné vyhlásenie nestačí

Minister vnútra Matúš Šutaj Eštok v stredu uviedol, že analýza NBÚ potvrdila prítomnosť komponentov z Ruskej federácie a že zariadenia by v prípade ostrej prevádzky mohli predstavovať bezpečnostné riziko. Zároveň vyhlásil, že ministerstvo bolo oklamané.

Práve túto argumentáciu Bránik spochybnil. Ak sa správca kritickej infraštruktúry podľa neho spoliehal na informácie dodávateľa bez dostatočného preverenia celého reťazca, ide o vážny problém. „Ak ste oklamaný čestným vyhlásením, (...) zanedbali ste dodávateľský reťazec. Takto to nemá byť,“ skonštatoval.

Za zásadnú chybu považuje aj to, ak bolo do systému vpustené zariadenie, ktoré síce disponovalo metrologickým schválením, ale nebolo dostatočne preskúmané z bezpečnostného hľadiska. „Vpustiť do systému niečo, čo disponuje len metrologickým spôsobom, ale neskúmala sa bezpečnosť alebo riziká, je fatálna chyba,“ povedal Bránik.

Podľa analytika bude potrebné preveriť aj to, či nejde o širší problém pri obstarávaní technológií pre štát. Ak by sa ukázalo, že spoliehanie sa na deklarácie dodávateľov bez dôsledného preverovania je bežnou praxou, mohlo by podľa neho ísť o podstatne vážnejší bezpečnostný problém.

Prečítajte si tiež

Radary spájané s Ruskom preverí aj prokuratúra. Žilinka dal preskúmať ich nákup

Za bezpečnosť kritickej infraštruktúry zodpovedá štát

Bránik sa nechcel vyjadrovať k politickej zodpovednosti ministra, upozornil však na právnu zodpovednosť štátu za ochranu kritickej infraštruktúry. „Kritická infraštruktúra je na zodpovednosti štátu. Nemá ako sa jej zbaviť, lebo zákon to ukladá,“ povedal.

Zodpovednosť za bezpečnosť systému preto podľa neho nemožno jednoducho preniesť na súkromného dodávateľa. Za potrebné riešenie označil hĺbkový bezpečnostný audit, ktorý by mal ukázať, ako sa zariadenia do systému dostali, akými kontrolami prešli a či mohlo dôjsť k prístupu k citlivým informáciám.

„Prečo sa zákon nedodržiava, prečo sa nedávno prijatá vyhláška ignoruje, to ja neviem zodpovedať,“ uviedol Bránik. Podľa neho však ide o veľmi nešťastnú situáciu a príslušné bezpečnostné a vyšetrovacie orgány čaká pri jej objasňovaní ešte veľa práce.

Záznam z celej relácie si môžete pozrieť vo videu.