Zakaj bi država v svoj informacijski laboratorij spustila »črno kocko«?

Ko sem bral o tem, kako se je država poleti znašla v pogovorih o preizkusu izraelskega varnostnega orodja, sem pomislil, da bi pri svojem delu šel prav v nasprotno smer. Zadnja leta na področju kibernetske varnosti namreč delam večinoma s podjetji, ki sodelujejo z javnim sektorjem; dobršen del tega je preverjanje dobaviteljev. Strankarske barve me pri tem ne zanimajo. Ta postopek bi ocenil enako pri vsaki vladi, ali sem glasoval zanjo ali ne.

Obrnjen varnostni vrstni red

Izraelsko podjetje Dream Security so po tamkajšnjem registru, ki ga navaja portal Oštro, leta 2022 ustanovili nekdanji avstrijski kancler Sebastian Kurz, Shalev Hulio in Gil Dolev, medtem ko podjetje samo navaja leto 2023. Hulio je soustanovitelj skupine NSO, ki je razvila vohunski program Pegasus, a jo je leta 2022 zapustil. Na Dreamu, ki je od skupine ločeno podjetje, po podatkih ZDF dela vsaj 17 nekdanjih zaposlenih na NSO.

Julija letos se je s tremi predstavniki podjetja – s kanclerjem sta leta 2020 celo skupaj preplezala Triglavsko severno steno – sestal predsednik vlade Janez Janša. Sestanek je na predlog podjetja organiziral premierov kabinet. Povabljen je bil tudi vršilec dolžnosti direktorja Urada vlade za informacijsko varnost (URSIV), nacionalni odzivni center za kibernetsko varnost SI-CERT pa ne, je za portal potrdil njegov vodja Gorazd Božič. Govorili so o preizkusu orodja Sphere v Si-certovem laboratoriju. Ali je bil preizkus dogovorjen ali zgolj omenjen kot možnost, ni jasno. A dejstvo je, da ni bil izveden.

Vem, kako se takšni posli običajno sklepajo. Na začetku so potrebe. Varnostna ekipa zapiše, kaj potrebuje, sledijo pregled trga, razpis, preizkus na nekaj izbranih ponudnikih in ocena tveganj dobavne verige. Če prodajalec najprej na svojo pobudo nagovori vodstvo, ki šele nato naknadno začne iskati priložnosti za preizkus takšne rešitve, je to resen znak za alarm. Tak postopek bi pri prvi notranji reviziji obveljal za smešnega. Namenov udeležencev ne poznam, zato jih ne sodim, vendar vem, da je bil ta postopek postavljen na glavo.

Kaj sploh je Sphere?

Sphere nima spletne strani. Edini javni opis je vrstica iz Dreamovega junijskega sporočila za javnost, ki kot njihova delovna področja med drugim našteje kibernetske obveščevalne informacije, upravljanje izpostavljenosti, analizo poti napada ter odzivanje s pomočjo umetne inteligence.

Arhitektura, potrebni podatki, način posodabljanja, licenca, cena in certifikati niso javni. Dream strank ne razkriva, so njegovi odvetniki odgovorili nizozemski raziskovalni platformi Follow the Money. Na Oštru so povprašali približno dva ducata neodvisnih varnostnih strokovnjakov, a nihče ni imel konkretnih podatkov o tem.

Dreamova lastna besedila si deloma nasprotujejo. Na svoji domači strani obljubljajo namestitev v lastnih prostorih, brez povezave z internetom: »Brez telemetrije in tujega nadzora.« Septembra 2025 pa so opisali svojo nacionalno »tovarno« za kibernetsko umetno inteligenco, v kateri aplikacija v vsaki organizaciji skenira omrežje ter zbira podatke. Ti gredo v nacionalno središče za učenje, kar po njihovih besedah »prispeva tudi k izboljšavam globalnega modela«. Ne trdim, da Sphere pošilja podatke v tujino. Vendar vidim dve izjavi istega podjetja, ki se ne ujemata, in nobenega pojasnila.

Tveganje ni v zastavi, ampak v dostopu

Nemški zvezni urad za informacijsko varnost BSI je marca 2022 posvaril pred protivirusnimi programi Kaspersky, za kar ni potreboval dokazov o zlorabi. Varnostna programska oprema mora vsaj zaradi posodobitev vzdrževati stalno, šifrirano in nepreverljivo povezavo s proizvajalcem; proizvajalca pa lahko njegova država v kaj prisili, je zapisal urad.

Ameriško ministrstvo za trgovino je dve leti kasneje prepovedalo prodajo in posodobitve tega programa, ker mu njegove obljube o obvladovanju tveganj niso zadoščale. Podobno tudi EU pri presoji dobaviteljev opreme za omrežja 5G s posebnimi ukrepi ocenjuje verjetnost vmešavanja tujih vlad.

Izraela ne enačim z Rusijo. Zanima me predvsem način presoje: BSI je tveganje videl v privilegiranem dostopu do sistemov in proizvajalčevi podrejenosti tuji državi. To bi pri vsakem tujem dobavitelju preveril tudi sam.

Država naj sledi strogim merilom

Kako bi še ravnal? Najprej bi zbral zahteve, ki jih napiše varnostna ekipa: kateri problem rešujemo, kateri podatki smejo zapustiti omrežje (najbolje nobeni!), kako prihajajo posodobitve, kakšne so pravice do revizije in kakšen je izhodni načrt.

Potem odprt pogovor s potencialnimi ponudniki in razpis. Pri obrambnih in varnostnih zadevah lahko naročnik od njih zahteva, da razkrijejo omejitve, ki izhajajo iz izvoznega nadzora. Razpis sicer ni vedno zakonska obveznost, saj je denimo BSI lani sporazum z nemškim Greenbonom iz varnostnih razlogov podelil brez javnega poziva. Šlo je za domačega ponudnika z odprtokodnim skenerjem, obvestilo o oddaji naročila pa so objavili v uradnem listu EU. Sam bi razpis vseeno zahteval.

Nato sledi preizkus dveh do štirih ponudnikov na istem scenariju, na sintetičnih podatkih, v izoliranem laboratoriju in brez oddaljenega dostopa prodajalca.

Preden se kateri koli pravi podatek dotakne orodja, pride na vrsto ocena tveganj dobavne verige. Direktiva NIS2 od podjetij zahteva, da poznajo ranljivosti vsakega neposrednega dobavitelja in njegove razvojne postopke. Uredba DORA od bank zahteva register pogodb, izhodne strategije in oceno, ali je ponudnika mogoče zamenjati. Za naš URSIV DORA ne velja, toda če to zahtevamo od bank, ne vidim razloga, da država pri sebi ne bi upoštevala istih meril.

Evropskih alternativ je cel kup

Za vsako funkcijo, ki jo obljublja Sphere, obstaja evropska ali odprtokodna rešitev; nekatere celo s certifikatom. Izpostavljenost pokriva Greenbone, s katerim ima BSI omenjeni okvirni sedemletni sporazum, vreden do 218 milijonov evrov. Pri obveščevalnih podatkih o grožnjah je tu MISP luksemburškega CIRCL, ki ga uporablja tudi Natova skupnost. Poleg njega je na voljo še francoski OpenCTI, pri katerem sta sodelovala ANSSI in CERT-EU. Zaznavanje in odzivanje ponuja francoski HarfangLab, ki je januarja 2025 kot prvi tak sistem (EDR) dobil kvalifikacijo francoske agencije za kibernetsko varnost ANSSI. To pomeni, da ga je preizkusil neodvisen laboratorij, agencija pa ga je potrdila kot primernega za javno upravo in kritično infrastrukturo. Podobna orodja ponujajo še slovaški ESET, finski WithSecure ter francoska Tehtris in Stormshield.

Dream v objavi iz lanskega septembra sam piše, da za označevanje podatkov uporablja odprte modele, ki jih država lahko poganja na svoji strojni opremi.

Suverenost se začne pri lastnih zmogljivostih

Absurdno je predvsem to, da Slovenija že vlaga v lastne zmogljivosti na tem področju. URSIV je polnopravni član evropske platforme ENSOC za izmenjavo obveščevalnih podatkov. URSIV, SI-CERT, ELES in elektrodistribucijska podjetja razvijajo sistem na osnovi umetne inteligence za varnostni center elektroenergetike. Ta je vreden 9,92 milijona evrov, ki jih sofinancira EU in teče do konca leta 2027.

Na voljo je evropska kibernetska rezerva agencije ENISA s 36 milijoni evrov, Slovenija pa sodeluje tudi v Natovem centru odličnosti za kibernetsko obrambo v Talinu. Do konca prihodnjega leta naj bi bil končan situacijski center kibernetske obrambe, vreden 33,5 milijona evrov. Osnutek nove strategije kibernetske varnosti, ki ga pripravlja vladni urad, ima prave namene. Ta suverenost pri umetni inteligenci med drugim opiše kot nadzor nad podatki in ponudniki ter možnost zamenjave rešitve. Orodja, o katerem javno ni znanega skoraj nič, po tem merilu ni mogoče oceniti. Odprto kodo medtem osnutek omeni enkrat.

Kako naprej?

Smiselno se mi zdi, da bi država za svoje dobavitelje uporabljala enaka pravila, kot jih predpisuje podjetjem – z zahtevami na začetku in trgom za njimi. Pri enakovrednih rešitvah bi morali imeti prednost evropski in odprtokodni gradniki; nadgrajevali bi tisto, kar že imamo, od ENSOC do situacijskega centra. Osnutek nove strategije kibernetske varnosti bi to lahko povzel v enem odstavku.

Pri stranki bi začel pri zahtevah, prodajalce pa bi povabil šele, ko bi vedeli, kaj iščemo. Enako bi svetoval državi.