Dve obyčajné testovacie zariadenia nainštalované na cestách pri Bratislave a v Trnave počas prázdnin rozvírili relatívne pokojné hladiny slovenskej politiky.
Kauza ruských komponentov v cestných radaroch na Slovensku v plnej nahote ukázala, ako je štát (ne)schopný kontrolovať pôvod citlivých technológií, ale takisto veľa vypovedá o zodpovednosti systémového integrátora za jeho dodávateľský reťazec, na ktorého konci je vážne pošramotenie reputácie jednej z najznámejších slovenských IT spoločností.
Národný bezpečnostný úrad po preskúmaní dopravných radarov identifikoval závažné riziká týkajúce sa konfigurácie komunikačných rozhraní, vzdialeného prístupu, pôvodu hardvéru a softvéru či nedostatočného zabezpečenia programového vybavenia. Varovanie sa týka zariadení NERO R-ONE a viacerých radarov radu Cordon. NBÚ ich označil za významnú kybernetickú hrozbu a prevádzkovateľom odporučil preveriť, či sa nenachádzajú v ich infraštruktúre.
Ministerstvo vnútra následne oznámilo, že v preverovaných zariadeniach boli nájdené komponenty pochádzajúce z Ruskej federácie. Minister Matúš Šutaj Eštok vyhlásil, že rezort bol oklamaný, a ukončil spoluprácu so spoločnosťou Soitron na tejto časti projektu. Dôležité je však zopakovať, že bola potvrdená prítomnosť ruských komponentov v kamerách a z nich vyplývajúce bezpečnostné nedostatky. Žiadna inštitúcia však zatiaľ nepreukázala, že celé zariadenie bolo vyrobené v Rusku alebo že prostredníctvom neho došlo k úniku dát. Toto rozlíšenie je nevyhnutné pre férové hodnotenie kauzy. Zároveň však firmu Soitron, ktorá vlani dosiahla obrat viac než 63 miliónov eur a patrí medzi najväčšie slovenské IT firmy, nezbavuje problému, ktorý môže byť z obchodného hľadiska vážnejší než samotná technická chyba.
Od jednoznačného odmietnutia k vážnym podozreniam
Spoločnosť Soitron 6. augusta vo svojom oficiálnom vyhlásení odmietla tvrdenia, že kamery pochádzajú z Ruskej federácie. Firma uviedla, že dodávateľom bola spoločnosť it-s a výrobcom modelu NERO R-ONE cyperská spoločnosť SODASUS, ktorá mala prevziať výrobu, know-how a vývoj od chorvátskeho výrobcu NEROline. Spoločnosť zároveň zdôraznils, že zariadenia slúžili iba na testovanie, neboli zapojené do ostrej prevádzky a dáta neposkytovali tretím stranám. Testovací kus následne odovzdala ministerstvu na preverenie NBÚ.
Po ďalšom preverovaní však firma Soitron priznala vážne podozrenia, že skutočný pôvod zariadení nezodpovedá pôvodu deklarovanému dovozcom. Oznámila demontáž dvoch zariadení, ukončenie ich testovania a ochotu znášať náklady na demontáž aj náhradu. Takýto postup možno čítať ako prejav súčinnosti, z komunikačného hľadiska však vznikol zásadný problém: prvé kategorické odmietnutie nebolo podložené dostatočne pevným poznaním celého dodávateľského reťazca.
V krízovej komunikácii je rozdiel medzi vetou kamery nie sú ruské a formuláciou podľa dokumentácie, ktorú máme v súčasnosti k dispozícii, nejde o ruský výrobok; pôvod komponentov však preverujeme. Prvá je definitívne tvrdenie. Druhá priznáva hranice poznania. Ak sa neskôr objavia nové skutočnosti, prvá verzia pôsobí ako zavádzanie, zatiaľ čo druhá zostáva obhájiteľná.
Soitron sa síce môže oprávnene brániť, že zariadenia sám nevyrábal a mohol byť uvedený do omylu svojim dodávateľom. Takáto obrana však nerieši podstatu reputačného rizika. Systémový integrátor totiž nepredáva len hardvér a softvér. Predáva schopnosť vybrať vhodné technológie, preveriť ich, bezpečne ich spojiť a prevziať za výsledok zodpovednosť. Zákazník, najmä ak ide o políciu alebo inú bezpečnostnú inštitúciu, si integrátora najíma práve preto, aby nemusel sám kontrolovať každý komponent a každého subdodávateľa.
Ak sa ukáže, že integrátor nepoznal pôvod rozhodujúcich častí zariadenia, vznikajú dve možné interpretácie. Buď zlyhal jeho proces preverovania dodávateľského reťazca, alebo proces existoval, ale dodávateľ ho dokázal obísť. Ani jedna možnosť nepôsobí dobre pri spoločnosti, ktorá stavia svoj biznis na dôvere, kybernetickej bezpečnosti a riešeniach pre verejnú bezpečnosť.
Nie je pritom rozhodujúce, či testované zariadenia reálne spôsobili škodu. Ministerstvo tvrdí, že dve kamery neboli pripojené k chráneným databázam a nevyhodnocovali skutočné priestupky. To znižuje bezprostredné bezpečnostné následky, nie však význam procesného zlyhania. V bezpečnostne citlivom projekte sa kvalita dodávateľa neposudzuje až podľa toho, či incident nastal. Posudzuje sa aj podľa toho, či mal nastavené mechanizmy, ktoré mu mali zabrániť.
Najväčším rizikom je prenos pochybností
Kauza môže mať pre firmu Soitron tri úrovne dôsledkov. Prvou je strata konkrétneho kontraktu. Ministerstvo vnútra už oznámilo ukončenie spolupráce s firmou na radarovej časti projektu. To je viditeľná, ale potenciálne obmedzená škoda. Druhou je preverovanie ďalších verejných zákaziek. Generálny prokurátor Maroš Žilinka dal preskúmať okolnosti obstarávania radarov. Opozícia zároveň žiada širší audit technológií používaných štátom. Treťou a pre firmu najnebezpečnejšou úrovňou je prenos pochybností na jej ostatné projekty. Ak klient začne rozmýšľať, či Soitron dostatočne pozná pôvod komponentov aj v iných riešeniach, problém už nie je uzavretý v dvoch kamerách, ale zasahuje samotnú značku.
Soitron pritom vo vlastnom stanovisku uvádza, že jeho technológie používajú policajné zbory na Slovensku, v Česku, Bulharsku aj Moldavsku. To, čo má demonštrovať skúsenosť a medzinárodnú dôveryhodnosť, zároveň zväčšuje potenciálny reputačný dosah kauzy. V bezpečnostnom sektore sa dôvera šíri pomaly, ale pochybnosť veľmi rýchlo.
Zodpovednosť nenesie iba firma
Bolo by však mimoriadne pohodlné urobiť zo Soitronu jediného vinníka a považovať prípad za uzavretý. Otázky smerujú aj na Ministerstvo vnútra. Prečo sa pôvod komponentov nepreveroval pred nákupom? Aké bezpečnostné požiadavky obsahovala zmluva? Kto mal vykonať technickú a dodávateľskú hĺbkovú kontrolu? A prečo sa na citlivom projekte postupovalo v časovom tlaku spôsobenom míľnikmi plánu obnovy?
Samostatnou témou je Slovenský metrologický ústav, ktorý pre typ NERO R-ONE vydal rozhodnutie o schválení meradla. Metrologické schválenie však nemožno automaticky zamieňať s kybernetickým auditom alebo bezpečnostnou previerkou dodávateľského reťazca. Ak štátne orgány tieto kategórie zmiešavali, ide o systémový problém, nie o zlyhanie jednej firmy.
Ako sa dá dôvera ešte zachrániť
Kríza dôvery nemusí byť pre Soitron fatálna. Firma však potrebuje urobiť viac než len poukázať na subdodávateľa. Dôveryhodná reakcia by mala obsahovať zverejniteľnú chronológiu rozhodnutí, presný opis preverovania dodávateľa, nezávislý audit dodávateľského reťazca a informáciu, ktoré tvrdenia dostala firma písomne a od koho. Potrebné je tiež vysvetliť, prečo pred prvým kategorickým odmietnutím nevykonala hlbšie technické preverenie zariadenia.
