Daniel Bagge (33)Od loňského léta je kybernetickým atašé na české ambasádě ve Washingtonu. Studoval na Institut politologických studií na Fakultě sociálních věd. Znalosti v oblasti bezpečnostních studií si prohloubil na programu v Garmisch-Partenkirchenu. Pracovně začínal v Senátu a postupně prošel několika ministerstvy, Úřadem vlády, Kanceláří prezidenta republiky, zastupitelským úřadem v Syrské arabské republice. Před šesti lety se začal zabývat kybernetickou bezpečností, která byla původně svěřena Národnímu bezpečnostnímu úřadu. Později přešel do Národního úřadu pro kybernetickou a informační bezpečnost. Je autorem knihy Unmasking Maskirovka: Russia's Cyber Influence Operations. |
Popsal, jak vypadalo bezpečnostní cvičení, které naši IT experti uspořádali pro americký Kongres. Kromě toho zmínil, proč je dobré věnovat pozornost bezpečnému provozu na sítích.
LN: Proč je důležité mít ve světě diplomaty, kteří se zabývají kybernetickými hrozbami?
Není to jen o jednom atašé ve Washingtonu. Kvůli našemu členství v EU a NATO máme kybernetického atašé také v Bruselu. Třetí zástupce je pak v Tel Avivu. Důvodem, proč máme zástupce NÚKIB, je to, abychom měli přímý kontakt s našimi zahraničními partnery. Máme díky tomu také možnost lépe sdílet informace. Kybernetická bezpečnost není jen o technických záležitostech. Prolínají se s ní bezpečnostní politika a strategické zájmy.
LN: Budete se dále rozšiřovat?
NÚKIB plánuje vybudování dalších obdobných pozic ve světě. Nemohu ale nyní říci, kdy a kde se tak stane. Pokusím se ale odpovědět nepřímo. Jedním z důvodů, proč jsme si vybrali USA a Izrael, je také to, že patří mezi státy, které nejvíce čelí kybernetickým útokům. Chceme mít informace z první ruky. Incidenty, jež se tam odehrají, jsou jaksi předvojem toho, co se odehraje v širším kyberprostoru. Když máme přístup k partnerům v daném regionu, jsme schopni zjistit přesné technické detaily a můžeme například varovat subjekty, na které dopadá český zákon o kybernetické bezpečnosti.
LN: Jak zafungoval přenos informací mezi Českem a USA po loňském varování před riziky spojenými s užíváním technologií Huawei a ZTE?
Američané dopředu o tomto varování nevěděli. Když se informace 17. prosince dostala na veřejnost, naši partneři měli v tu chvíli informace pouze z médií. Mým úkolem bylo mezi svátky, i přes shutdown (dočasné omezení fungování federálních úřadů kvůli rozpočtu – pozn. red.), jednat se zástupci ministerstva pro vnitřní bezpečnost, národní bezpečnostní radou a ministerstvem zahraničních věcí USA. Dokonce i Pentagon řeší bezpečnost různých oborů. Všem jsem vysvětloval, proč jsme varování vydali. Začali se podrobněji doptávat, jaký je zákonný rámec, podle kterého jsme postupovali. Varování v nich vzbudilo mnohem větší zájem o nás.
‚Diamantové' sklo se mu od Huawei vrátilo rozřezané laserem. Od FBI dostal skrytý mikrofon a stal se volavkou |
LN: Překvapil je způsob odůvodnění varování NÚKIB?
Překvapil je princip, který označují za novátorský a univerzální. V podstatě šlo o ukázku nejlepšího postupu (best practice). Diskuse se totiž hodně točí o technických důkazech, zranitelnostech a případných incidentech. My jsme k tomu přistoupili jinak. Pro varování jsme primárně nepotřebovali technické důkazy. Upozorňuji na slovo primárně. Postupovali jsme cestou analýzy strategického zájmu a právního prostředí, ve kterém se firmy pohybují. Měli jsme k dispozici utajované informace. Univerzální princip zaujal i EU.
LN: Není fakt, že chybí technické důkazy o nebezpečném hardwaru a softwaru právě u Huawei a ZTE, naopak problém?
Chtít důkazy je obecně správné. V kybernetickém prostoru to je ale složitější. Nejsou totiž hmatatelné. To, co je jeden den důkazem o zranitelnosti, je možné druhý den nechat zmizet aktualizacemi zařízení. Bylo by skvělé chytit za rameno člověka, který páchá kybernetický útok. Technologie jsou postavené tak, že i když získat důkaz o zneužitelné zranitelnosti, například v podobě záměrné i nezáměrné chyby zdrojového kódu, máte jen časově omezenou možnost, jak zjistit, že tam ta chyba je. Navíc tyto aktualizace přicházejí ve vlnách, takže zranitelnost nebo její oprava nejsou nic stálého, a úroveň zabezpečení technologie je tak možno měnit s každou změnou kódu. Je velmi, velmi problematické toto uhlídat u technologií nasazených v ostrém provozu a v rozsahu telekomunikačních sítí. Produkty se tak mohou chovat výrazně jinak, než jak deklaruje výrobce.
LN: Proč?
Technologie, které se nasazují v telekomunikacích, se pravidelně aktualizují. Právě při aktualizaci můžete změnit chování zařízení, jež bylo v rámci nějakého certifikačního centra ověřeno jako bezpečné. Pak přijde další update a zařízení, které se po nějakou dobu chovalo nestandardně, opět běží zcela normálně. Lidé, kteří omezují diskusi na technické aspekty, opomíjejí širší souvislosti. Vzpomeňme na aféru Dieselgate, kdy docházelo k tomu, že měřená zařízení byla nastavena tak, aby rozpoznala, že dochází k měření, a chovala se pak jinak než v běžném provozu.
LN: Pokud tvrdíte, že čínské zákony umožňují vyžadovat od firem citlivé informace o zákaznících, nejste vykladači cizího právního systému?
Nejsme žádní vykladači. Naše stanovisko se opírá o přesné znění zákona. Máme před sebou soudní překlad čínského zákona, jenž ukládá určité povinnosti firmám i jednotlivcům. Ukazujeme tedy na jeho konkrétní odstavec a říkáme, že to znamená to a to.
LN: Toho si nikdo jiný kromě Čechů nevšiml?
Čínské zákony už nějakou dobu jsou v platnosti. Jde ale o to, jak k tomu NÚKIB přistoupil. Je to novátorské v tom, že vnímáme strategický kontext a hlavně také zákonný rámec, který nám umožňuje varování vydat. Jiné země mají vnitřní analýzu rizik, vnímají to stejně, ale chybí jim zákonný prostředek, o nějž by se mohli opřít. Proto jsme spojenci vnímaní jako průkopníci. Zákon o kybernetické bezpečnosti nám umožňuje naši kritickou infrastrukturu chránit.
S Huawei jsme se scházeli
LN: Co říkáte na argumenty společnosti Huawei, která ústy ředitele české pobočky Radoslawa Kedzii tvrdí, že s firmou prý NÚKIB dostatečně nejedná, což je vedlo i k podání písemné stížnosti?
Není to úplně pravda. Pan Kedzia nemá zřejmě informace o dění ve firmě. Schůzek se zástupci Huawei proběhlo v minulosti několik. Jedna z nich proběhla loni 17. srpna od 10 hodin dopoledne na půdě NÚKIB za účasti našeho vedení. Pak tu zástupci Huawei byli 6. prosince znovu, opět na oficiálním jednání…
Německo je údajně nakloněno účasti Huawei při budování sítí páté generace |
LN: Ale po vydaném varování jste se už osobně nesetkali, jak chtěl Huawei.
Vzhledem k tomu, že vydané varování je prostředek našeho zákona a v zájmu zachování přesnosti komunikace v této otázce, tak aby byla v souladu se zákonem, zvolili jsme následně cestu pouze písemné komunikace. Písemná komunikace je vhodnější.
LN: Mohli jste přikročit i k zákazu používání produktů firem Huawei a ZTE?
Varování podle paragrafu 12 zákona o kybernetické bezpečnosti je nejslabším možným krokem, který jsme mohli zvolit. K dispozici jsou i tzv. opravná a nápravná opatření. Zákon na jiném místě říká, že v naprosto kritických případech NÚKIB může nařídit vypnutí konkrétních informačních a komunikačních systémů strategického významu. Stát z principu nemá zájem vypínat svou kritickou infrastrukturu. To by přicházelo do úvahy ve zcela mimořádné situaci, kdybychom například věděli o bezpečnostním incidentu, ale náš partner by na to nebral ohled. Neřešení takového problému by představovalo větší škody než vlastní vypnutí.
Procvičili jsme Američany v Kongresu
LN: Dozvěděl jsem se, že NÚKIB pořádá v USA speciální cvičení. Jaká?
Kancelář kongresmana Jima Langevina, který je jedním z hlavních proponentů otázky kybernetické bezpečnosti ve Sněmovně reprezentantů, nás kontaktovala, abychom udělali cvičení pro Kongres USA. Protože jsme cvičení takzvaných eskalačních scénářů v USA v minulosti dělali, dostali na nás tip. Zorganizovali jsme to loni v květnu.
LN: Jak to vypadalo?
Cvičení se odehrálo v Kongresu, v němž nám byly po dva dny vyhrazeny prostory. Akce se zúčastnilo několik desítek osob. Jednotlivé skupiny účastníků reagují na eskalující scénář a musí odpovídat na otázky spjaté s řešením, a to z technického, právního a diplomatického hlediska. Scénář doprovází audiovizuální prostředky. Cvičení simuluje třeba kybernetické incidenty, jež se odehrály při anexi Krymu. Je to zasazeno do strategického rámce. Má umožnit lidem, již rozhodují (decision maker), aby se seznámili s komplexitou kybernetické bezpečnosti.
LN: Proč je to důležité?
Decision makeři potřebují vědět, že takové incidenty souvisí s geopolitikou, diplomacií a nejde jen o proklamované jedničky a nuly a technické nástroje. Konkrétní incidenty mohou mít zásadní vliv na národní bezpečnost a jejich řešení dnes zahrnuje i netechnické aspekty.
LN: Jak cvičení vypadalo v praxi?
Například jsme jim ukázali, jak jednoduché je získat hacknutím serveru záznamy, které se následně využijí k pošpinění kandidátů v rámci předvolebního boje, nebo hack digitalizovaných billboardů ve městě ovlivňující vnímání širší společnosti. Tyto typy cvičení si kompletně zajišťujeme sami. Máme klíčové know-how, které využíváme po celém světě.
LN: Kde jinde jste něco podobného připravili?
Podobné cvičení jsme dělali nedávno na mezinárodní konferenci na Taiwanu. Pořádáme i technická cvičení. Připravujeme je na kybernetickém polygonu v Brně ve spolupráci s Masarykovou univerzitou, která polygon provozuje na základě bezpečnostního výzkumu, za kterým jsme stáli. Je to opět naše speciální dovednost, za kterou jsou zkušenosti z reálného světa. Cvičili jsme s Estonci, Izraelci a nyní nás čeká cvičení s Američany. Připravovali jsme to také pro skupinu šesti balkánských států v rámci budování jejich kapacit.
LN: Jak vypadá toto technické cvičení?
Máme nasimulovanou určitou situaci a kritickou infrastrukturu. Cvičenci se rozdělí do několika takzvaných modrých týmů. Každý z nich dostane síť, kterou má chránit. Poté se zapojí červený tým, který útočí v reálném čase na danou infrastrukturu, nerozeznatelnou od té opravdové. Simulujeme i chování reálných uživatelů, včetně policistů a novinářů. Chceme, aby lidé, kteří za kritickou infrastrukturu odpovídají a zpravidla u bezpečnostních incidentů nebývají přímo, si vyzkoušeli, jaké to je ocitnout se pod skutečným útokem, kdy vám někdo v reálném čase ničí infrastrukturu.
Připravují „noty“ pro Babiše do Bílého domu
LN: Jak moc důležitá je otázka kybernetických hrozeb ve vnitropolitické debatě v USA?
Rozhodně je to velmi významné téma. V polovině února proběhlo slyšení v Kongresu, kde padlo, že díky aktivitám kybernetického velitelství armády USA proběhly volby v roce 2018 bez zásadnějších intervencí zvnějšku.
Spojené státy americké nás nedokážou rozdrtit, říká zakladatel firmy Huawei |
LN: Co si myslíte, že bude zajímat prezidenta Trumpa, který se chce s premiérem Babišem bavit o kyberbezpečnosti?
To je spíše otázka na americkou administrativu, která bude připravovat podklady pro prezidenta Trumpa.
LN: Ale vy budete zase připravovat podklady pro českého premiéra, tak asi musíte tušit, na co může přijít řeč.
Je tomu tak. Pro Úřad vlády bude připravovat vstupy i NÚKIB. Je pravděpodobné, že se bude diskutovat i bezpečnost sítí páté generace.
LN: Na spadnutí je tendr na sítě 5G i u nás. Mělo by Česko promítnout bezpečnostní aspekty do přípravy tendru, anebo se rozhodovat čistě podle ceny?
Rozhodně bych doporučoval brát ohled na bezpečnost. Kupoval byste si do bytu věci jen na základě ceny? Stálo by také za to si položit otázku, zda nejsou ceny podstřelené kvůli tomu, že společnosti na trhu jdou úmyslně pod hranici nákladů.
LN: Proč je nutné brát ohled na bezpečnost?
Kybernetická bezpečnost má celospolečenský dopad. V minulosti, když existoval mocenský souboj o vliv, se zpravidla týkal fyzické kontroly konkrétního území. Během studené války se snažily dvě mocnosti stahovat ostatní země na svou stranu prostřednictvím elit. Díky politickému systému následně získávaly vliv. Dnes je to jinak. Společnost je naprosto závislá na moderních technologiích a digitalizaci. To, že někdo nepoužívá mobilní telefon, neznamená, že jeho existence není závislá na kyberprostoru. Stačí připomenout dodávky energií, pitné vody, dopravních a průmyslových systémů například v potravinářství. Lidé to nevidí, protože to nemají doma. Koncem 80. let si to státy začaly uvědomovat. Došly k závěru, že jakmile kontrolujete digitální infrastrukturu, ovládáte celý stát. Jeho vypnutím rozložíte společenské zřízení, jak ho známe. V případě vojenského konfliktu jste zcela závislý na možnosti rozdávat rozkazy, kontrolovat přesuny sil a mobilizovat. To vše je digitalizované. Nebavíme se přitom o otevřeném internetu, ale o zašifrované komunikaci, která ovšem poběží po veřejné infrastruktuře. Pokud selže možnost tuto infrastrukturu používat, nejste schopný vykonávat základní činnost, kterou je pro stát ochrana obyvatelstva a zajišťování základních potřeb. Stát si za každou cenu musí zachovat digitální suverenitu a kontrolu nad tím, že mu ji zvenku nikdo nemůže napadnout.
LN: Mělo by si Česko vytvořit vlastní velitelství kybernetických sil?
To už se připravuje. Nemohu komentovat časovou linku, ale vím, že se to tvoří a je to velmi potřeba.
LN: Které mocnosti hrají prim v kyberútocích a jak je vůbec těžké propojit útok s konkrétním člověkem a státem?
Odpověď je na dizertační práci a několik let výzkumu.
LN: Podařilo se někoho opravdu vystopovat a ztotožnit pachatele s konkrétním státem?
Ano, daří se to, ale je to vysoce citlivá, a navíc i politická otázka. Většinou nějaký státní úřad, zpravidla zpravodajská služba toho státu, provede atribuci neboli přisouzení.
LN: Co to je proboha přisouzení?
Řeknete, že konkrétní nestátní aktér, skupina pracující v zájmu nějakého státu či stát samotný provedl kyberútok, nebo je za něj odpovědný. Problematické je však obstarávání důkazů, se kterými je možné vyjít na veřejnost. V kyberprostoru je totiž nesmírně těžké chytit pachatele za rameno, když sedí kdesi za klávesnicí. Při určování pachatele začínáte od následků, od kybernetického bezpečnostního incidentu, a na základě specifických vlastností kyberprostoru, kde je samo o sobě nesmírně těžké někoho vystopovat, jste konfrontováni i s otázkou falešných stop a podobně. Je to opravdu nesmírně náročné. Pokud ale bezpečnostní instituce spolupracují, jsou schopny poskládat onu důkazní mozaiku a dopátrat se pachatele. Většinou se totiž nejedná o práci jednoho úřadu nebo služby, ale je naprosto nezbytná spolupráce s vašimi partnery na národní a mezinárodní úrovni.
