Jak polska europosłanka Anna Fotyga walczy z rosyjską firmą antywirusową

dodał 15 czerwca 2018 o 07:41 w kategorii Prawo  z tagami: • • • •
Jak polska europosłanka Anna Fotyga walczy z rosyjską firmą antywirusową

Rzadko zdarza się, by w oficjalnych politycznych dokumentach pojawiały się nazwy konkretnych firm. Jeszcze rzadziej zdarza się to w obszarze bezpieczeństwa. Jak więc Kaspersky trafił do unijnej rezolucji?

Parlament Europejski w środę przegłosował przyjęcie rezolucji, która zabrania użycia “oprogramowania, którego szkodliwe działanie zostało potwierdzone, takiego jak na przykład produkty firmy Kaspersky Lab”. Zdaniem firmy Kaspersky za wprowadzeniem jej nazwy do rezolucji stała Anna Fotyga. W związku z głosowaniem firma Jewgienija Kaspierskiego wstrzymała już współpracę z Europolem, a także swój udział w projekcie NoMoreRansom.

Jak napisał na Twitterze sam Kaspierski, “chroniliśmy Unię Europejską przez dwadzieścia lat, współpracując z organami ścigania, dzięki czemu aresztowano wielu CYBERPZESTĘPCÓW. Ze względu na głosowanie jesteśmy zmuszeni zamrozić naszą współpracę z Europolem i #NoMoreRansom”.

Klauzula, która zabrania użycia oprogramowania, “którego szkodliwe działanie zostało potwierdzone”, to propozycja parlamentarnej komisji ds. polityki zagranicznej. Została sformułowana po to, aby pomóc w formowaniu ogólnych wytycznych, które później staną się częścią wspólnej, unijnej strategii cyberobrony.

Pozytywny wynik środowego głosowania oznacza, że wszystkie państwa członkowskie Unii Europejskiej powinny przeprowadzić szczegółowy audyt używanych przez administrację publiczną programów, urządzeń i struktur sieciowych, a także wycofać te, których “działanie zostało potwierdzone jako szkodliwe”. Póki co rezolucja nie ma wiążącej mocy prawnej – zyska ją dopiero wówczas, gdy proponowane przez nią kroki staną się częścią unijnej strategii zobowiązującej wszystkie państwa członkowskie do stosowania określonych działań z zakresu cyberobronności. Dopóki jednak strategii nie ma, kraje Unii Europejskiej mogą być w miękki sposób “rozliczane” ze stosowania się do ustanowionych przez rezolucję zaleceń, zwłaszcza w przypadku wystąpienia bogatych w negatywne skutki incydentów bezpieczeństwa w strukturach należących do administracji.

Jak oprogramowanie od Kaspersky Lab znalazło się w treści klauzuli

Oprogramowanie produkowane przez firmę Jewgienija Kaspierskiego zostało podane jako przykład szkodliwego oprogramowania, którego administracja krajów członkowskich nie może stosować ze względów bezpieczeństwa. W zapisie stwierdzono, że konieczne jest wykluczenie wszystkich potencjalnie niebezpiecznych programów i urządzeń, a także zablokowanie możliwości używania tych, które już są zidentyfikowane jako złośliwe – i to właśnie w tym punkcie klauzuli nr 79 pada nazwa Kaspersky Lab.

To nie pierwsze kłopoty rosyjskiej firmy. Wcześniej możliwość korzystania z oprogramowania Kaspersky Lab w administracji publicznej zablokowały Stany Zjednoczone, a także Holandia, która zdecydowała się na wycofanie produktów moskiewskiej firmy ze swoich struktur. Wielka Brytania z kolei wydała oficjalne ostrzeżenie, które dotyczy stosowania softu od Kaspersky’ego na komputerach pracujących z wrażliwymi danymi.

W ubiegłym roku Kaspersky Lab zostało oskarżone przez władze USA o współpracę z rosyjskim wywiadem. Firma wielokrotnie zaprzeczała prawdziwości tych zarzutów, a w ostatnich miesiącach 2017 uruchomiła nawet specjalny program mający na celu zagwarantowanie większej transparentności w jej działaniach i przekonanie przedstawicieli różnych krajów, że oskarżenia o szpiegostwo nie mają nic wspólnego z rzeczywistością. W ramach programu rządy państw na życzenie mogą uzyskać dostęp do kodu źródłowego oprogramowania antywirusowego marki Kaspersky, po to by przeprowadzić niezależny audyt bezpieczeństwa.

Co na to rzecznik Kaspersky’ego? Jest też polski wątek w sprawie

Według przedstawiciela firmy wynik głosowania Parlamentu Europejskiego pokazuje “rażący brak poszanowania dla przedsiębiorstwa, które przez wiele lat było silnym sojusznikiem Europy w walce z cyberprzestępczością”.

Dodatkowo, jak stwierdził rzecznik Kaspersky’ego, firma została wpisana do tekstu proponowanej klauzuli przez polską europosłankę Annę Fotygę. W oświadczeniu przedstawiciela rosyjskiego producenta oprogramowania czytamy, że “Parlament Europejski głosował nad raportem, w którym reprezentująca Polskę europosłanka Anna Fotyga zawarła poprawki odwołujące się do firmy Kaspersky Lab jako przykładu, oparte na nieprawdziwych twierdzeniach”.

W kwietniu Anna Fotyga złożyła zapytanie skierowane do unijnej komisarz ds. gospodarki cyfrowej i społeczeństwa cyfrowego Mariji Gabriel, które dotyczyło ryzyka związanego z używaniem oprogramowania Kaspersky Lab przez administrację publiczną. Gabriel odpowiedziała wówczas, że choć Komisja Europejska “poważnie podchodzi do obaw związanych z wykorzystaniem oprogramowania jako narzędzia do uzyskania nieautoryzowanego dostępu”, to w przypadku produktów firmy Kaspersky Lab “Komisja nie dysponuje żadnymi wskazówkami potwierdzającymi zagrożenia ze strony tego konkretnego antywirusa”.

Czy Parlament Europejski ma rację?

Użycie słowa “potwierdzony” w tekście przegłosowanej przez Parlament Europejski klauzuli zwraca uwagę ekspertów. Wielu przedstawicieli branży bezpieczeństwa uważa, że stawianie tak poważnych zarzutów wymaga przedstawienia weryfikowalnych dowodów, a tych do tej pory nikt nie pokazał. Programy antywirusowe to rodzaj oprogramowania, który łatwo może być wykorzystany w celach szpiegowskich. To właśnie one dysponują największymi uprawnieniami dostępowymi do tego, co znajduje się na komputerach użytkowników – po to by mogły skutecznie chronić ich przed zakusami cyberprzestępców. Niezmiernie łatwo jest też wykorzystać je w celach zupełnie odwrotnych – i niekoniecznie musi to robić Rosja; narzędziami tego rodzaju mogą też posługiwać się inne kraje, np. Stany Zjednoczone.

Blokując możliwość użycia tego oprogramowania w rządowych sieciach, Stany Zjednoczone i Holandia wskazywały na ryzyko współpracy firmy z rosyjskim wywiadem. Warto jednak zaznaczyć, że nawet potencjalne ryzyko jest argumentem wystarczającym, by skutecznie dbać o bezpieczeństwo oprogramowania, z jakiego korzysta się w administracji publicznej.

Budzi jednak zdumienie fakt, że przy okazji tej rezolucji nie poruszono takich wydarzeń, jak np. dobrze udokumentowane włamanie brytyjskiego wywiadu do sieci jednego z największych unijnych operatorów telekomunikacyjnych – Belgacomu. Może nie pasowały do wizji świata autorów rezolucji?

Podobne wpisy