Data v ohrožení? Úřady jsou závislé na Microsoftu, podle expertů je to problém

Článek si také můžete poslechnout v audioverzi.

České úřady jsou závislé na jednom počítačovém řešení. Vyplývá to z nedávné ankety mezi ministerstvy, která na dotaz, jakou kancelářskou platformu používají, unisono odpověděla že Microsoft.

Vazba na jediného dodavatele softwarového řešení nebo systému může mít přitom ochromující důsledky. Ukázal to páteční globální výpadek IT služeb, který ovlivnil fungování letišť, bank nebo nemocnic. Způsobila jej nepovedená aktualizace softwaru od antivirové firmy CrowdStrike, která koliduje se systémem Windows společnosti Microsoft.

Experti jednostrannost státní správy považují za problém.

„Obecně vzato se tím ukazuje slabost centralizovaných systémů. V případě státní správy existují problémy dva. Prvním je ona centralizace, to znamená data se odevzdávají třetí straně a stát je tím pádem zcela závislý na provozu služby dodavatele. Druhým problémem je ale to, že nad daty ztrácí kontrolu. Jsou uložena mimo datová centra naší vlády,“ říká Adam Paclt, šéf společnosti IceWarp vyvíjející českou alternativu k nástrojům jako Office 365 nebo Google Docs, která anketu zprostředkovala.

Problém podle Paclta nastane, pokud by při případném dalším výpadku hypoteticky došlo ke znepřístupnění infrastruktury Microsoftu. Stát se pak ke svým datům naplno jen těžko dostane. „Ono to platí obecně o jakémkoliv cloudovém poskytovateli, který a priori pro některé své aplikace neposkytuje hybridní architekturu,“ vysvětluje Paclt.

Z ankety také vyplývá, že je česká státní správa se současným stavem spokojená a nic měnit nechce. Některé úřady plánují prodlužovat licence produktů jako Microsoft Teams skrz takzvané minitendry neboli rámcovou smlouvou přes Ministerstvo vnitra. Soutěže na nového dodavatele úřady vesměs neplánují.

„Všude mimo Českou republiku probíhají tendry na komunikační a kancelářské platformy, u nás se jen prodlužují kontrakty s Microsoftem,“ stěžuje si Paclt, který se mimo jiné podílel na systému online podávání přihlášek na střední školy, a rád by se ucházel také o dodávání kancelářských IT služeb státu.

Technologický gigant s kritikou nesouhlasí, podle Dalibora Kačmáře, ředitele pro technologické standardy Microsoftu, musí všechny orgány veřejné správy podle zákona o zadávání veřejných zakázek soutěžit po ukončení platnosti smlouvy jak produkty, tak operační systémy.

„Nedochází tedy k žádnému automatickému prodloužení licencí. Současně soutěže a nákupy licencí také podléhají pravidlům a podmínkám stanoveným zákonem o informačních systémech veřejné správy a kladnému posouzení kybernetické bezpečnosti státními organizacemi NÚKIB a DIA. Microsoft získal nejvyšší prověření a je oprávněn dodávat své licence a služby, které odpovídají nejpřísnějším bezpečnostním požadavkům,“ uvedl pro Seznam Zprávy Kačmář.

Firma podle něj také důsledně testuje každý produkt před tím, než je vypuštěn na trh. „Platí to zejména pro ty, které jsou součástí operačních systémů. Jakékoliv aktualizace, které provádíme, děláme postupně, na malém vzorku klientů, právě pro případ nečekaného selhání,“ přiblížil Kačmář.

Součástí zmiňovaného incidentu byly podle Kačmáře také některé cloudové služby provozované samotnými klienty, kteří využívali právě produkt pro kyberochranu od společnosti CrowdStrike.

„Microsoft pro všechny vlastní služby a produkty provozuje cloudové služby ve více datových centrech současně. Platí to i v Evropě. Všem evropským zákazníkům garantujeme uložení dat na území Evropské unie. Případný výpadek na jednom datovém centru je tak zabezpečen schopností převzít funkci jiným datovým centrem, aby byla zajištěna kontinuita a odolnost,“ doplňuje Kačmář.

Používání produktů výhradně jedné firmy ve veřejné správě ale může podle expertů opravdu přinést rizika, zejména při výpadcích, jako byl ten v pátek. Tento přístup totiž vytváří „jednotný bod selhání“, což znamená, že pokud dojde k výpadku, všechny služby se mohou zhroutit najednou.

„Závislost na jedné platformě také zvyšuje riziko cílených kybernetických útoků a snižuje flexibilitu při reakci na incidenty. Doporučuje se diverzifikace technologických platforem a zavedení hybridních nebo multicloudových strategií, aby byla zajištěna vyšší odolnost a kontinuita provozu,“ přibližuje Petr Zahálka, obchodní ředitel firmy Thein Security zaměřující se na kybernetickou bezpečnost.

Každý systém je podle něj teoreticky náchylný ke ztrátě dat, zejména při závislosti na starších technologiích. Závislost na zastaralých technologiích, které nejsou schopny odolat moderním kybernetickým útokům, takové riziko zvyšuje. U nás se paradoxně s následky problémů CrowdStrike potýkalo pouze několik subjektů, protože mnoho institucí stále využívá staré systémy, které výpadkem nebyly postiženy.

Pro minimalizaci rizik je podle Zahálky klíčové mimo jiné pravidelně zálohovat data a pro své technologie používat různé platformy a systémy. „Důraz na hybridní a multicloud strategie by také přispěl k vyšší odolnosti, protože umožňuje snadnější přepínání mezi různými poskytovateli cloudových služeb a zajišťuje kontinuitu provozu i při výpadcích. Tento přístup by mohl významně minimalizovat riziko ztráty dat a zvýšit celkovou bezpečnost veřejné správy,“ míní expert.

Páteční výpadek podle vyjádření CrowdStrike způsobila prostá chyba, nikoliv hackerský či jiný útok. S tím, že závislost na jednom dodavateli je v takových případech problém, souhlasí i Vojtěch Sláma, odborník na kybernetickou bezpečnost a šéf etických hackerů Citadelo.

„Člověk je nekonečně omylný. Tento celoplanetární problém totiž způsobila banální lidská chyba v aktualizaci malware detekujícího nástroje CrowdStrike, která paralyzovala operační systém Windows na milionech počítačů,“ vrací se Sláma k pátečním událostem.

Řešení problému je podle Slámy relativně prosté, avšak vyžaduje fyzickou přítomnost člověka u počítače. „Několik dalších dní budeme teprve zjišťovat rozsah škod, které tento výpadek způsobil. Zároveň to však vytváří příležitost pro útočníky, kteří mohou zneužít rozptýlenou pozornost, jež je teď zcela upřena na řešení tohoto problému a nikoliv na bezpečnost systémů,“ varuje Sláma.

Podle experta ale není zcela správné tímto způsobem zjednodušovat potenciální problém. „Závislost na jediném dodavateli přináší rizika i výhody. Správným řešením je především řádný plán obnovy po havárii (Disaster Recovery Plan - DRP, pozn. red.). Důležité je také tento plán pravidelně revidovat, aktualizovat a hlavně testovat. Součástí takového plánu je i zálohování dat a tedy testování, zda obnova dat ze zálohy funguje správně,“ uzavírá Sláma.