Borús képet festett Európa kiberbiztonsági helyzetéről Mika Lauhde, aki amellett, hogy a Huawei szakértője, az Europolnak, az Európai Bizottságnak és különböző kormányoknak dolgozik tanácsadóként, és korábban tizenhárom évet töltött el a Nokiánál, még a finn mobilgyártó fénykorában. Lauhde szerint az EU súlyos árat fizet ezért, hogy leépült a technológiai ipara, nincs itt csipgyártás és mobilgyártás.
A kiberbiztonság egyre összetettebb, a csipeket, a technológiák és a szabadalmak tulajdoni viszonyát, és a kiberbiztonság-diplomáciai kérdéseket mind figyelembe kell venni. Egyre kevesebben látják át a problémák összességét, a teljes képet.
Példaként hozta fel, hogy több európai országban komolyan fontolóra vették a kütyükben lévő titkosítás tiltását, vagy legalább a gyengítését, hogy megkönnyítsék a hatóságok munkáját, ám szerencsére ebből nem lett semmi. Ha megtörtént volna, azzal gyakorlatilag céltáblát tűztünk volna minden európai ember és vállalat fejére.
Miközben az uniós tagállamoknak lehetőségük lenne arra, hogy egy másiktól segítséget kérjenek kiberbiztonsági kérdésekben, erre senki sem hajlandó, Lauhde szerint mindenki azt hangoztatja, hogy világelső ezen a területen. A valóság ezzel szemben az, hogy ez nagyjából fél tucat országra igaz a 28 tagállamból, és a legtöbben azért nem hajlandók elismerni a gyengeségeiket, mert az presztízsveszteség lenne.
Kiberbiztonsági szempontból ellentmondásos a Huawei megítélése, az Egyesült Államok nemzetbiztonsági kockázatként kezeli a céget, miközben a világ harmadik legnagyobb mobilgyártójáról van szó, és több országban a berendezéseivel építettek ki komplett mobilhálózatokat.
„Mindegyik kormánynak ugyanazokat a fair kérdéseket kellene feltenni a beszállítóknak, és abban van nagy különbség, hogy engedik-e megválaszolni ezeket. Tudja, hogy mennyi kormány ellenőrzi a forráskódjainkat? Több helyen nyitottunk átláthatósági központot, legközelebb Brüsszelben fogunk, mert a Brexittel a brit központ határon kívülre kerül. Odamehetnek a kormányok, vihetik a legjobb szakértőiket, eszközeiket, és tesztelhetik a rendszereinket, hogy tényleg olyan jók-e, mint amilyennek mondjuk. Ha bárki talál ott gyanús dolgokat, azt kijavítjuk” - mondta Lauhde.
Azt is látni kell, hogy abszolút biztonság nem érhető el, az túl drága lenne és lehetetlen lenne használni.
Nem tökéletes biztonságot valósítunk meg, hanem kereskedelmileg elfogadható biztonságot
Aki ezt növelni akarja, megteheti, de akkor számolni kell kompromisszumokkal. Mondjuk azzal, hogy a Facebook egyáltalán nem működne egy ilyen környezetben.
Legutóbb éppen azzal került reflektorfénybe a Huawei az amerikai sajtóban, hogy hogy a Facebook mélyebb hozzáférést adott nekik a személyes adatokhoz, ahogy sok más mobilgyártónak is. Végül az is kiderült, a New York Times legutóbbi cikkéből, hogy egy közösségi app miatt adtak több hozzáférést, hogy abból az alkalmazásból is lehessen kezelni a közösségi fiókot, ám mint a Facebook és a Huawei is elmondta, ezek az adatok a készüléken maradtak, nem kerültek a mobilgyártóhoz.
Laudhe határozottan kijelentette: „Azt állítom, hogy a mi védelmi rendszerünk a legjobb most a világon. Nagyon magasan fizetett emberek mennek át minden anyagunkon, hogy hátha találnak valamit, ami hibás.” Arra is rámutatott, hogy a termékeiket nem jogos "kínai telefonként" elkönyvelni. „A kiberbiztonsági részen finnek, az antennákon svédek dolgoznak, a kijelző meg Japánból van. Az operációs rendszer az USA-ból. Mindenből a legjobbat akarjuk beszerezni” - sorolta Laudhe, hozzátéve, hogy akár a készülékek 60 százalékát is kiteheti a Kínán kívülről származó alkatrészek aránya.
Ha vannak olyan területek, amelyben Európa mutat irányt a világnak, az a GDPR. Lauhde egyszerűen fogta meg a szabályozás lényegét: a GDPR gondolkodásra kényszeríti a cégeket, és dönthetnek, hogy begyűjtenek-e minden adatot, mert az több értéket jelent nekik, de akkor a biztonságra is többet kell költeni, vagy ehelyett inkább kiválogatják a valóban fontos információkat, esetleg anonimizálnak mindent, és akkor a biztonsági költésük is alacsonyabb lehet.
Lauhde úgy véli, az adatkezelési incidensek esetében a kormány illetékes hatóságai azt fogják nézni, hogyan biztosítják a védelmet. Ha látják a megfelelő adatkezelési politikát, az informatikai stratégiát, hogy milyen szabványokat követnek és milyen rendszereik vannak, és a legjobb gyakorlatot követik, és ennek ellenére mégis adatokat loptak tőlük, akkor nem szabnak ki büntetést. A beszállító ugyanis felteheti a kérdést a kormánynak: Ha ezek a módszerek nem elég jók, akkor mi az? Egyik kormány sem fogja azt mondani, hogy nem tudja, és még az általa használt megoldások sem elég jók.
A következő nagy kihívást a dolgok internete, az IoT terjedése jelenti, mert ez szó szerint mindenki előtt megnyitotta a hálózatokat, netre csatlakozik a grillsütő és a fogkefe, és az új szereplők közül sokan nem tartják lényegesnek a biztonságot, mert gyorsan kell piacra dobni a terméket, alig pár hónap az életciklusa, nem akarnak ezzel foglalkozni.
A biztonság nem valamiféle varázspor, amit rászórhatunk bármire. A fejlesztés kezdetétől ezt szem előtt tartva kell dolgozni.
Bonyolítja a helyzetet, hogy ezeket az eszközöket nem lehet egyszerűen letiltani az internetről, és a módszerrel könnyű visszaélni.
Egy másik feljövőben lévő technológia, a blokklánc (blockchain) azonban sok biztonsági problémára válasz lehet. A ma legismertebb blockchain megoldások ugyan nem igazán kompatibilisek a GDPR-rel, mert nem egyszerű adatot törölni belőle, de Mika Lauhde szerint létrejöhetnek olyan változatai, amelyek megfelelő módszerekkel kezelni fogják ezt a problémát.
A blokklánc lehet a legjobb mód arra, hogy amennyiben támadás ért egy rendszert (márpedig a vicc szerint a világ minden rendszerét feltörték, csak van, aki még nem tud róla), pontosan meg lehet állapítani, hogy mikor kompromittálódtak az adatok, és hová kell visszalépni, ahol még garantálható az információk hitelessége, integritása. Lauhde elárulta, hogy a Huawei is dolgozik blokklánc megoldásokon, és egy egész portfoliót akarnak kidolgozni ezekből, hogy több területet lefedjenek a távközlésben.