Prověřit dodavatele. EU v čele s Českem vydává zprávu o bezpečnosti 5G sítí

Členské státy Evropské unie, Evropská komise a Evropská agentura pro kybernetickou bezpečnost (ENISA) vydaly očekávanou zprávu o bezpečnostních rizicích 5G sítí (PDF). Česká republika patří společně s Nizozemskem, Francií, Estonskem a Itálií jednou z vedoucích zemí, které pracují na projektu implementace Doporučení Evropské komise v bezpečnosti 5G.

„Koordinovaný přístup EU plně zapadá do konceptu, který byl stanoven na Pražské konferenci k bezpečnosti sítí 5G v květnu tohoto roku a který je formulován i v tzv. Prague Proposals vyhlášených v závěru konference,“ uvádí český kybernetický atašé v Bruselu Lukáš Pimper. O celosvětové pražské 5G bezpečnostní konferenci a Prague Proposals jsme psali na Lupě.

Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) k vydané zprávě vydal vlastní poznatky, které zní takto:

Aktuální zpráva je založena na hodnocení rizik jednotlivými členskými státy Evropské unie. Její hlavní přínos spočívá v jasné identifikaci hlavních hrozeb včetně možných aktérů těchto hrozeb. Zároveň zpráva popisuje řadu strategických rizik spojených s budováním sítí 5. generace, přičemž je důležité, že nejde pouze o možné technické zranitelnosti, ale i o zranitelnosti, které vyplývají z netechnických aspektů, jako je například závislost na jednom dodavateli.

Zpráva také jasně pojmenovává rizika spojená s faktem, že sítě 5. generace jsou čím dál více založeny na softwaru. To s sebou nese řadu bezpečnostních problémů, jako je například nízká kvalita vývoje kódu v rámci dodavatelského řetězce. U rizik spojených s dodavateli také zpráva explicitně zmiňuje hrozby v podobě instalace tzv. zadních vrátek (tedy skrytých cest, jimiž se lze do systému dostat) ze strany rizikových aktérů.

V této souvislosti zpráva zmiňuje také nutnost stanovení rizikových profilů jednotlivých dodavatelů, která by měla zahrnovat také možnost jejich ovlivňování ze strany třetích zemí. Neméně významnou hrozbou je riziko závislosti na jednom dodavateli, které může potenciálně vyústit v přerušení dodávek potřebného vybavení, například v důsledku tržního selhání. Následky takového výpadku mohou být v případě závislosti na jednom subjektu nedozírné.

Lze tedy usuzovat, že se zde opět mluví o Huawei. Nyní se bude postupovat tak, že se do konce letošního roku měl odsouhlasit návrh opatření pro zmírnění rizik, a ta by pak měla platit na úrovni členských států. Opatření na svých stránkách shrnuje Evropská komise. Samotná vydaná zpráva má 33 stran a ke stažení je zde.