Huawei ve službách státu. Čínské technologie využívají servery České pošty, vnitro i ČEZ
ČEZ, Pražský hrad, ale i ministerstvo vnitra nebo zdravotní pojišťovna. Server iROZHLAS.cz přináší přehled státních institucí napříč veřejným sektorem, které mají komponenty Huawei a kde mohou představovat reálné riziko. Před výrobky čínské firmy varoval loni v prosinci Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) a doporučil provést bezpečnostní audity. Jejich výsledky ale zůstanou v tajnosti.
Byl z toho poprask. Když před Vánocemi před výrobky Huawei varoval kybernetický úřad, stala se z toho v tuzemsku okamžitě aféra číslo jedna. Jako jedním z prvních témat se tím zabývala vláda Andreje Babiše (ANO) na svém zasedání v novém roce. Ta tehdy 160 státním úřadům i soukromým firmám, které spravují kritickou informační infrastrukturu či významné informační systémy, nařídila provést bezpečnostní audit. „Analýza rizik se dělá podle potřeby a subjekty vždy zohledňují riziko v souvislosti s novými informacemi,“ popsal mluvčí NÚKIB Radek Holý.
Babiš chce problematiku Huawei projednávat na Evropské radě. Se zástupci firmy se sejde ve čtvrtek
Číst článek
Nyní se ale ukazuje, že výsledek prověrek zůstane v tajnosti. Dané instituce totiž nemají povinnost kabinetu svou analýzu předložit. „Nejde o výstup pro vládu, ale pro daný subjekt. Ani bychom nedoporučovali, aby analýzu zveřejňovaly. Je to jejich know-how a měly by si to střežit,“ pokračoval Holý. Ze zákona tak může prověrky namátkou zkontrolovat jen kybernetický úřad.
Proč tedy bylo prosincové varování zveřejněno? Podle Holého je to dáno stávající legislativou. „Nejdříve tedy informujeme přímou linkou všechny subjekty, kterých se to týká, a vládu,“ doplnil. Nemusí to však automaticky znamenat, že všechny upozorněné subjekty technologie Huawei skutečně využívají. Server iROZHLAS.cz proto přináší přehled institucí, které podle veřejných rejstříků výrobky čínské firmy skutečně mají a kde mohou představovat reálné riziko.
Monitoring systémů vnitra
Problém by v první řadě mohlo varování kybernetického úřadu znamenat pro ministerstvo vnitra. Vlastní totiž nejvíce kritické infrastruktury a takzvaných významných informačních systémů. Z celkových 69 jich má téměř polovinu, konkrétně 30. „Prvky od Huawei máme u dvou z těchto systémů, od společnosti ZTE nemáme nic,“ řekl Radiožurnálu ředitel odboru kybernetické bezpečnosti ministerstva vnitra Miroslav Tůma. Jde o takzvané dohledové centrum, což je zařízení monitorující provoz všech ostatních systémů vnitra.
Bezpečnostní hrozba
Varování kybernetického úřadu se týká softwaru i hardwaru společností Huawei a ZTE v kritické informační infrastruktuře a významných informačních systémech. Míří především do oblastí jako energetika, doprava, digitální infrastruktura nebo zdravotnictví. Kterých zařízení se to přesně týká, je ale podle mluvčího NÚKIB Radka Holého individuální a vyplyne to z probíhajících analýz rizik. „Záleží na tom, v jakém systému subjekt danou technologii používá,“ uvedl. Pokud se ukáže, že je používání dané technologie rizikové bez možnosti dalšího zabezpečení, bude nutné ji kompletně vyměnit. „Je to krajní varianta. Pak bude ale jedno, jestli půjde o telefon, router nebo jiné zařízení,“ doplnil Holý.
Ve druhém případě jde o takzvané základní registry. U systému dohledového centra jsou od Huawei podle Tůmy čtyři přepínače. „Nejde o zařízení, které by bylo pro ten samotný systém nějak kritické,“ řekl. V případě základních registrů se jedná o systémy pro evidence osob. Konkrétně od Huawei pochází servery. Registry jsou ale podle Tůmy postavené tak, že jsou oddělené od dalších sítí a rozhraní je hlídané.
Co se zařízením čínského výrobce vnitro udělá, v tuto chvíli ještě není jasné. „Teď hodnotíme rizika zapojení těchto prvků a pak navrhneme opatření. Nevylučuji, že je úplně nahradíme nebo že třeba dokoupíme další prvky, které je budou kontrolovat, nebo třeba zvýšíme nad zařízením dohled. Možností je celá řada. Ale samozřejmě to musí vycházet i ekonomicky,“ dodal Tůma. Analýzu rizik očekává nejpozději do tří týdnů.
Podobně jako teď chce vnitro postupovat i v budoucích zakázkách na komunikační a IT zařízení. „Rozhodně nebudeme tyto dvě čínské společnosti vylučovat plošně. Podmínky se stanoví pro každý daný systém a zařízení, na základě jednotlivých analýz rizik,“ uvedl náměstek ministra vnitra pro informační a komunikační technologie Jaroslav Strouhal.
Datové centrum pro ČEZ
Polostátní firma ČEZ ke konci loňska vystavěla s pomocí technologií Huawei nové datové centrum v areálu bývalé elektrárny Tušimice. Zakázku v hodnotě 91,7 milionu korun nezískala čínská společnost přímo. Tendr energetického giganta vyhrála díky nejnižší nabídce firma AMI Praha a Huawei je pouze subdodavatel. „Jde o servery pro ukládání dat, ne o software,“ říká k tomu mluvčí ČEZ Ladislav Kříž. Varování kybernetického úřadu se ale týkalo nejenom softwaru, ale i hardwaru. K tomu Kříž dodává, že datové centrum v Tušimicích není součástí kritické informační infrastruktury, to hlavní má ČEZ ve střeženém prostoru v Temelíně.
ČEZ provozuje celkem 14 kritických sítí a systémů. Prvky čínské firmy, před kterými varuje NÚKIB, v nich ale podle Kříže nemá. „Kritickou infrastrukturu máme od firem Cisco Systems, Ericsson a Nokia,“ pokračoval mluvčí.
21:25
Úřad označuje za riziko železo, nikoliv software. To přece bylo úplně hloupé, řekl Filip ke kauze Huawei
Číst článek
Firma ale může mít problém výhledově. O kritickou informační infrastrukturu jde totiž v jiném tendru, který je nyní v závěrečné fázi. Dceřiné firmy kolosu ČEZ Distribuce a Telco Pro Services už tři roky soutěží dodavatele na nový komunikační a informační systém spojený s distribucí elektřiny. Jedná se tedy o kritickou infrastrukturu. Zařízení přenáší například informace potřebné k dálkovému vypnutí či zapnutí transformátorů.
Jedním z uchazečů o zakázku je přitom podle informací Radiožurnálu právě Huawei. Dva zdroje blízké firmě potvrdily, že zatím je soutěž ve fázi, kdy není jasný favorit. Pokud by se jím stal Huawei, firma by musela zřejmě soutěž zrušit a vypsat ji s ohledem na varování NÚKIB znovu. Mluvčí Kříž to nechtěl komentovat, tuto variantu ale nevyloučil. „Budeme postupovat zcela v souladu se zákony a metodikou NÚKIB,“ uvedl bez podrobností.
Polostátní firma, která v tuzemsku dodává elektřinu skoro třem milionům lidí, používá i další zařízení Huawei. Podle Kříže jde ale o jednotlivosti – telefony nebo modemy. Přesto firma zařízení čínského výrobce v návaznosti na upozornění kybernetického úřadu prověří.
Zakázky od ŘSD
Technologiemi Huawei loni vybavilo svá datová centra také Ředitelství silnic a dálnic (ŘSD). Zakázku zajišťovaly společnosti EruCom a Huatech. Šlo přitom teprve o první fázi projektu, která propojila střediska skrze celou zemi. Tendr na druhou část etapy v hodnotě 21,7 milionů korun, která má novou síť posílit, pak ŘSD dokončilo loni v prosinci. A vyhrály ho stejné firmy.
Jak s nimi teď naloží, ukáže bezpečností audit. „Analýzu právě zpracováváme. Smlouva byla v minulém roce uzavřena a také splněna. Samozřejmě že budeme plně postupovat podle výsledků analýzy,“ řekl mluvčí Jan Rýdl.
Kritická informační infrastruktura
Jde o sítě a služby nezbytné pro obyvatele státu. Patří mezi ně rozvody energie, nemocnice, doprava, ale i třeba informační systémy, hasiči či mobilní operátoři. Celkem mezi správce kritické informační infrastruktury a významných informačních systémů patří 160 státních i soukromých subjektů. Přesný seznam ovšem není podle kybernetického úřadu s ohledem na bezpečnost veřejný.
Pro obnovu svých sítí ŘSD nakoupila v uplynulém roce ale i další komponenty Huawei. Konkrétně jde třeba o přepínače za více než půl milionu korun. Podle Rýdla ale nepředstavují bezpečnostní riziko. „Slouží plně v interní síti a nejsou připojeny do internetu,“ doplnil.
Propagace Pražského hradu
S Huawei spolupracuje také Správa Pražského hradu. V roce 2014 s čínskou firmou uzavřela smlouvu o propagaci. Její logo se tak má objevovat na propagačních materiálech výstav, výrobce může také každý rok v areálu Hradu uspořádat konferenci. Nárok má i na čestné vstupenky na výstavy nebo do jeho reprezentačních prostor.
Na oplátku Huawei poskytuje Hradu mobilní telefony i další zařízení. „Partner se zavazuje za provedení propagace a poskytnutí služeb poskytnout pro roky 2018 a 2019 mobilní zařízení či jiná zařízení a produkty Huawei pro podnikové zákazníky, například mobilní zařízení, servery, úložné disky, modemy, datové síťové produkty v celkové hodnotě 1 milion korun bez DPH,“ píše se v dodatku o – už druhém – prodloužení kontraktu.
Loni šlo ovšem podle mluvčího Davida Šebka pouze o mobilní telefony, ty podle něj používají vedle pracovníků Správy Pražského hradu také zaměstnanci Kanceláře prezidenta republiky. O koho přesně jde, ale neupřesnil.
Šebek dále uvedl, že kontrakty Správa Pražského hradu uzavřela v rámci podpory kulturních projektů i s dalšími institucemi. „Například v roce 2016 byla podobná smlouva podepsána s Českým rozhlasem, který byl partnerem výstav k výročí Karla IV.,“ popsal. Šebek navíc tvrdí, že podobné smlouvy o propagaci uzavírala Správa Pražského hradu i v minulosti, tedy za Václava Klause a Václava Havla.
Páteřní síť ČD-Telematiky
Další velkou zakázku společnost s technologií Huawei získala ve firmě ČD-Telematika, která vlastní druhou největší síť optických kabelů v Česku. V roce 2017 s ní uzavřela rámcovou smlouvu na dodávku zařízení čínského výrobce, dohledat lze objednávky za miliony korun. V páteřní síti se podle mluvčí firmy zajišťující telekomunikační služby Lucie Tomaštíkové vyskytují minimálně. „V rámci naší páteřní sítě máme technologie Huawei skutečně velmi výjimečně, navíc žádné se nenachází v kritických bodech sítě,“ uvedla.
Společnost podobně jako další státní instituce nyní provádí analýzu rizik. „Metodikou se řídíme a zohledňujeme významnost hrozeb, na které NÚKIB upozornil,“ doplnila Tomaštíková. Stát v ČD-Telematika drží prostřednictvím Českých drah 71procentní podíl. Zbývající akcie odkoupila loni skupina PPF miliardáře Petra Kellnera.
Poštovní servery
Vedle toho lze dohledat třeba kontrakt Huawei s Českou poštou z roku 2012 v hodnotě půl miliardy korun. Podle mluvčího Matyáše Vitíka ale smlouva dnes již neplatí. „Byla představa, že Česká pošta bude dodávat hardware do státní správy. Z toho ale sešlo, takže z té zakázky se nevyčerpalo prakticky nic,“ popsal.
Zakázku převzala podle Vitíka v roce 2016 Národní agentura pro komunikační a informační technologie (NAKIT), která má na starosti provoz neveřejných sítí státu, kontrakt ale záhy vypršel.
Ze zařízení Huawei pak Česká pošta podle Vitíka aktuálně používá mobilní telefony nebo servery na některých pobočkách. „Konkrétně 119. Mají je většinou doručovatelé. Pak máme několik desítek serverů na malých poštách, ale není to součástí kritické infrastruktury,“ pokračoval.
Další prověrky
Další prověrky probíhají třeba na ministerstvu průmyslu a obchodu, kde mají od Huawei mobilní telefony a USB modemy. Zda zařízení resort vymění, nechtěl mluvčí Milan Řepka říct. „Konkrétní bezpečnostní opatření, která bude MPO, včetně podřízených organizací, zavádět, jsou z bezpečnostních důvodů neveřejná,“ uvedl. Výrobky Huawei ale využívá také Řízení letového provozu nebo Policejní prezidium – konkrétně jde v obou případech o disková pole. Státní úřad pro jadernou bezpečnost má pak od čínské firmy třeba routery. Co s nimi, ukáže podobně jako u dalších institucí bezpečnostní prověrka.
O výměně komponentů tak zatím pošta neuvažuje. Stejně tak NAKIT používá několik komponentů od čínských firem, které jsou součástí provozního zařízení. Mluvčí agentury Lukáš Trnka ale neupřesnil, o co konkrétně jde.
Informační systém OZP
Problém by mohla mít také Oborová zdravotní pojišťovna (OZP). Podle smluv z let 2017 a 2018 čínský výrobce dodal tuzemské třetí největší pojišťovně hardware pro informační systém, který spadá do kategorie významných informačních systémů. Konkrétně jde podle mluvčího Jiřího Sochora o přepínače a disková pole.
„Nákupy jsou dřívějšího data, než NÚKIB vydal příslušné varování. V současné době zpracováváme analýzu rizik. Jakmile bude hotová, rozhodneme na jejím základě o dalším postupu,“ popsal Sochor.
Záběr čínského výrobce je ale mnohem širší. Firma s technologií Huawei získala loni v prosinci zakázku i na Správě železniční dopravní cesty, jde o monitoring serverových farem za více než tři miliony korun. Podle mluvčího úřadu Marka Illiaše možná rizika úřad analyzuje. „Výsledky tohoto monitoringu v tento okamžik neznám,“ řekl.
