Kuidas taltsutada lohet?

Nende ridade kirjutamise aegu on USA-Hiina tehnoloogiavastasseis taas peameedia tähelepanu all. Mai keskel allkirjastas USA president Donald Trump määruse¹, mis võimaldab föderaal­valitsusel keelata vaenulike välisriikide ettevõtete tehnoloogia ja teenuste soetamise ja kasutamise, kui nendega kaasneb risk USA info- ja sideteenustele, elutähtsale taristule, digimajandusele või riigi ja kodanike julgeolekule. Ehkki määrus ühtki riiki ega ettevõtet nimepidi ei maini, nähakse seda loomulikult ennekõike sammuna Huawei ja teiste Hiina IKT-tehnoloogiahiidude vastu, kelle lahenduste kasutamine föderaaltaristus oli nagunii juba 2018. aasta suvise seadusega² piiratud. Määruse järelmeid Hiina tehnoloogiasektorile on vara ennustada – esimene näide Hiina vastusammudest on alles verivärske³ –, ent selge on, et nende eelduste kehtima jäädes ei piirdu mõju Huawei globaalse turuosaga, vaid segased ajad on ees ootamas kogu üleilmset (kommunikatsiooni)tehnoloogiaturgu. Nagu tabavalt tviitis Rootsi endine välis­minister Carl Bildt: maailm sõltub Hiina telefonitootjatest, Hiina telefonide tootmine sõltub USA kiipidest, kiipide tootmine omakorda Hiina toorainest – maailm on vastastikuseid sõltuvusi täis.

Kas USA sammudes on kaubanduspiirangud julgeolekupoliitika vahend või on julgeoleku­argumendid kaubanduspiirangute vahend, võib vaidlema jäädagi. Nii USA kui Hiina eesmärkides ja tegevuses on põimunud mõlemad põhjused. Ilmne kaubandushuvi võib vähendada julgeoleku­argumentide usutavust; see ei vähenda ometi nende kaalukust.

Tänavu märtsi lõpus NATO küberkaitsekoostöö keskuse kolleegidega avaldatud raportis „Huawei, 5G ja Hiina kui julgeolekuoht”⁴ keskendusime küberturvalisuse ja -julgeolekudebatile sest vaatest, mis puudutab Huaweid kui võimalikku uue põlvkonna mobiilsidevõrgutehnoloogia (5G) pakkujat. Käsitlesime tegureid, mis on Huaweile toonud tema tänase vaidlusaluse staatuse: Hiina riikliku innovatsioonipoliitika antud võimendus, sealsete ettevõtjate tegevust mõjutav poliitiline ja õiguslik kontekst, ja teadaolev küberoperatsioonide ajalugu. Selle põhjal analüüsisime lääneriikide kujunevat lähenemist Hiina päritolu 5G tehnoloogia suhtes. Siinne artikkel on selle analüüsi kokkuvõte.

Miks Huawei?

On raske mitte märgata, missuguse tõusu on Hiina tehnoloogiatootjad üleilmsel turul viimase kümnendi jooksul teinud. Hiina ettevõtete innovatsioonivalmidus, toodete paranenud kvaliteet ja tasku­kohane hind on parandanud nende konkurentsivõimet ja see ei ole jäänud turuosades kajastumata. Vähem kui kümnendiga on Huaweist saanud maailma suurim telekommuni­katsiooniseadmete tootja; mullu tõukas Huawei Apple’i teiselt pjedestaalikohalt nutitelefonide tootjate seas, jäädes alla vaid Samsungile.⁵

Nii Hiina ettevõtete käes olevate 5G patentide hulk kui hiinlaste aktiivne osalus rahvusvahelistes standardi­organisatsioonides räägivad soovist 5G arendamisel kurssi määrata. 5G tuumtehnoloogia patentidest kuulub Hiina ettevõtetele iga kümnes; kõige rohkem on neid Huaweil, kellele järgneb ZTE. Üleilmsetes standardiorganisatsioonides nagu ITU ja 3GPP on Hiina kätte liikunud rida võtmepositsioone.⁶

Nagu tabavalt tviitis Rootsi endine välis­minister Carl Bildt: maailm sõltub Hiina telefonitootjatest, Hiina telefonide tootmine sõltub USA kiipidest, kiipide tootmine omakorda Hiina toorainest – maailm on vastastikuseid sõltuvusi täis.

Huawei on seni ainus kõigi 5G võrguelementide tootja. Tema lähimad konkurendid Nokia ja Ericsson on suutelised pakkuma alternatiive tarneahela eri segmentides, ent mitte kogu väärtusahelat. Huawei ei tee oma ambitsioonist saladust: eesmärgiks on 5G turu valitsemine.⁷ Praeguseks on sõlmitud 40 lepingut eri riikide sideoperaatoritega, enamik neist Euroopas.

Üht asjaolu ei ole Huawei seadmete turvalisusest rääkides seni ümber lükatud: keegi pole näinud n-ö suitsevat relva, Huawei toodetest ei ole leitud märkimisväärseid turvanõrkusi, mida ettevõte ise või Hiina riik oleks teadaolevalt ära kasutanud. Ometi ei anna see teadmine iseenesest liiga palju kindlust. Viimatine Ühendkuningriigis asuva Huawei küberturbe hindamiskeskuse (UK Huawei Cybersecurity Evaluation Centre, UK HCSEC) järelevalveraport sedastas, et olulised puudujäägid Huawei tarne- ja tootmisprotsessis lubavad anda ainult väga piiratud kindluse, et telekomivõrkudes Huawei osalusest tulenevaid julgeolekuriske on pikemas plaanis võimalik maandada.⁸ UK HCSEC on väheseid, kui mitte ainus ametlik ja süstemaatiline pikemat aega Huawei tark- ja riistvara analüüsinud ja sõltumatule järelevalvele allutatud asutusi.

Nagu paljusid Hiina ettevõtteid, on ka Huaweid kummitanud süüdistused tööstusspionaažis. Viimatine suurem kelmuse ja intellektuaalomandi vargusega seotud uurimine Huawei suhtes on käimas möödu­nud talvest; sellega seoses pidas Kanada mullu detsembris kinni ettevõtte finantsjuhi, kes ühtlasi on Huawei asutaja ja presidendi tütar. 2018. aasta septembris Austraalia meedias kajastatud luureraport avalikustas Huawei tööta­jate osaluse luureoperatsioonis „juurdepääsukoodide hankimises välisriigi võrku sissepääsuks“. ⁹ Poola vahistas 2018. aasta detsembris spionaažikahtlustusega Huawei töötaja. Huawei eitab, et viimati nimetatul on mingitki seost ettevõtte äritegevusega¹⁰ – mis võib ka tõsi olla, ent võimalus, et Huawei töötajad kasutavad ettevõtte tehnoloogiat ja kliendi­suhet luuramiseks omal algatusel, mitte ettevõtte heakskiidul, on siiski kehv lohutus. Tšehhi küber­turva­lisuse ameti (NUKIB) mullu detsembris avaldatud hoiatus Huawei ja ZTE tegevuse kohta viitas ekspert­kogukonna teabele, avaldamata siiski täpsemaid üksikasju.¹¹

Huawei on süüdistused kindlameelselt tagasi lükanud, väites, et ettevõte kuulub selle töötajatele, see ei ole seotud ühegi riigi valitsusega ning nad ei ole kunagi oma tehnoloogiat kasutanud teiste riikide järel spionee­ri­miseks või nende saboteerimiseks. Sama järjekindlalt eitab ettevõte võimalust, et nad oleksid kunagi jaganud klientide teavet mõne riigi või organisatsiooniga, või et seda neilt üldse palutud oleks.¹² Oma toodete läbipaistvuse parandamiseks on Huawei rajanud nn turbe hindamise keskused Ühend­kuningriigis, Saksamaal ja viimati Brüsselis, et anda partneritele võimalus oma tooteid ja nende lähtekoodi analüüsida ning turvalisust hinnata.

Ehkki Huawei saab oma 5G-võimekuse ja ambitsioonide tõttu peamise tähelepanu, vaatavad lääneriigid samadel põhjustel kahtlusega ka ZTE, Hytera, Hikvisioni ja Dahua poole. USA valitsussektorile kehtestatud tehnoloogiapiirangud laienevad kõigile nime­tatutele.

Digiühiskonna närvisüsteem

5G pole lihtsalt kiirem 4G; see võimaldab nullilähedase viiteajaga stabiilsemat ühenduvust ja võimalust üheaegselt ühendada rohkem seadmeid. Oodatult kiirendab uue põlvkonna tehnoloogia tulek automatiseerimise ja robootika, virtuaalreaalsuse ning tehisintellekti ja masinõppe arengut. Kindel on, et „tarkade“ seadmete ja rakenduste kasutusvõimaluste avardumine muudab digitaalsete ühiskondade toimimist. Üsna kindel on seegi, et muutuse kogu ulatust ja olemust me täna prognoosida ei oska, nagu ei osanud dekaad tagasi ennustada, kuidas muudab keskkonda nutitelefonide – igaühega kõikjal kaasas oleva internetiühenduse – saabumine. Mõeldes 5G oodatavale rollile kõikvõimalike „küber-füüsiliste“ teenuste ja sektorite toimimise võimaldajana, pole paralleelid digiühiskonna närvisüsteemiga sugugi liialdus: mõju hõlmab lisaks majanduskeskkonnale nii elutähtsate teenuste korraldust, siseturvalisust kui ka riigikaitset.

Sel lihtsal põhjusel, et kõike, mida saab tarvitada, saab ka kuritarvitada, kaasneb 5G tehnoloogia pakutava suurema virtualiseerimisega ootuspäraselt ka julgeolekuohtude areng. Rohkem mitmekesisemaid seadmeid tähendab rohkem küberrünnete sihtmärke ja nende toimepanemiseks kasutatavaid vahendeid. Teenuste osutamise käigus tekkivad andmemassiivid võimaldavad nende analüüsi teenuste arendamiseks – ja juurdepääs telemeetrilistele andmetele kujutab endast ühtlasi mastaapset signaalluureplatvormi. See, kuidas Hiina juba tänase tehnoloogia juures eksperimenteerib sotsiaalse profileerimise ja jälgimisühiskonnaga, annab võimalustest mõningat aimu. Äärmuslike, ent mitte ebarealistlike prognooside kohaselt võib 5G tehnoloogia kasutuselevõtt tähendada suurt osa planeedist katva potentsiaalse „jälitusvõrgu“ rajamist.¹³

Ükski tehnoloogia ei ole 100 protsenti ajast 100 protsenti turvaline. Võimalike turvanõrkustega – ja laias plaanis on üsna ükskõik, kas need on tootesse sattunud arendaja inimlikust eksimusest või teadlikust tegevusest – tuleb arvestada igal juhul.

Ükski tehnoloogia ei ole 100 protsenti ajast 100 protsenti turvaline. Võimalike turvanõrkustega – ja laias plaanis on üsna ükskõik, kas need on tootesse sattunud arendaja inimlikust eksimusest või teadlikust tegevusest – tuleb arvestada igal juhul. Hiina küberoperatsioonide võimekus ja kasutus ning suhtumine Läände kui konkurenti ja vastasesse toidab muret, et Huawei seadmete kasutuselevõtt 5G võrkudes paneb Lääne kriitilisse sõltuvuse taristust, mida Hiina luureteenistused saavad nii rahu­ajal kui ka kriisiolukorras kontrollida. Baasturbenõuete rakendamine maandab levinumad riskid, ent võimeka ja sihikindla ründaja puhul ei tarvitse sellest piisata – ning iseäranis alanevaid sõltuvusi taristupakkuja vaevalt teab ja kontrollida saab.

See kokku muudab 5G küsimuse enamaks pelgalt ühe operaatori ärilisest valikust – sel on ilmsed majanduslikud ja julgeolekulised tagajärjed. Sellise kaaluga baastaristus võib võimalik küberintsident – süsteemi või andmete käideldavuse, konfidentsiaalsuse või tervikluse kadu – oluliselt mõjutada riigi elulisi huve kuni kriisiolukorrani põhjustamiseni.

Strateegiline autokraatia

Hiina kommunistlik valitsus ei tee saladust, et peab Läänt oma strateegiliseks vastaseks ja konkurendiks ning soovib pakkuda „poliitilist alternatiivi” Lääne domineeritud maailmakorrale.¹⁴ Tehnoloogilise ja majandusliku võimekuse kasvatamine on välis- ja julgeolekupoliitiliste kaalutluste osa. Riigi 2006. aasta riiklik pikaajaline innovatsioonistrateegia seadis eesmärgiks Hiina innovatsiooni­tööstuse arendamise ja Läänest „lahtirakendamise”.¹⁵ Poliitilise juhtrolli kõrval suunab ja kontrollib valitsus strateegia rakendamist arvestatavate investeeringutega tehnoloogiatööstusse. Tehnoloogiasektori globaalse turujõu kasvule on kaasa aidanud ka välisettevõtetele kehtivad bürokraatlikud piirangud. Ehkki riik on noid viimastel aastatel leevendanud, kontrollivad omamaised ettevõtted endiselt kolmveerandit Hiina siseturust ning omamaine tööstus saab mastaabiefektist pea kogu kasu, muretsemata kuigivõrd välisettevõtetest lähtuva konkurentsi pärast.¹⁶

Hiina reputatsioon majandusliku küberspionaaži- ja mõjuoperatsioonide poolest Lääne valitsus- ja teadusasutuste ning tööstusettevõtete vastu on kurikuulus. Tuntumaid paljastusi pärineb aastast 2013, mil küberturbeettevõte Mandiant avaldas detailse ülevaate rohkem kui 140 eri tööstusvaldkonna organisatsiooni hõlmanud teabevarguse kohta, mida Hiina Rahvavabastusarmee oli aastaid mahitanud.¹⁷ Mullu aastalõpul avaldas Ühendkuningriik koos liitlastega, et APT10 nime all tuntud rühmitus korraldas Hiina riikliku julgeolekuministeeriumi korraldusel küberründekampaania, mille sihtmärgiks oli intellektuaalomand ja tundlik äriteave Euroopas, Aasias ja USAs. Kõigist USA justiitsministeeriumi 2011–2018 menetletud tööstusspionaažijuhtudest on Hiina osalus tuvastatud 90% puhul.¹⁸ Sarnaselt Euroopa kolleegidega on ka meie enda Välisluureamet oma aastaraamatutes kasvava murega märkinud Hiina aktiveerumist.

Hiina 2016. aasta luureseadus kohustab ettevõtteid „toetama, abistama ja tegema koostööd luuretoimingute läbiviimisel ning tagama mis tahes teabekogumise saladuse, millest nad teadlikuks saavad“, kusjuures „riik tagab riiklikku luuretegevust toetanud ja koostöös osalenud organisatsioonide kaitse“. 2014. aasta vastuluureseadus ühes rakendusaktidega nõuab organisatsioonidelt ja üksikisikutelt riigi julgeolekuasutustele juurdepääsu võimaldamist rajatistele, teabe ja muu abi andmist, ning viimastel on keelatud seesugusest koostööst keelduda.¹⁹ Kumbki õigusakt ei jäta palju võimalust hoiduda muuhulgas tagauste loomisest toodetes, kui riik seda laialt määratletud julgeolekuhuvides vajalikuks peab.

Positiivseks näiteks on Kanada, kes 2018. aasta jaanuaris andis Nokiale 40 miljoni dollari suuruse uurimis- ja arendusgrandi 5G edasiarendamiseks.

Kõhklusi lisab Hiina ettevõtete ja riigi vaheliste organisatsiooniliste ja isiklike seoste läbipaistmatus. Vaatamata Huawei kinnitusele ettevõtte kuulumisest selle töötajatele, on selles väites lähemal vaatlusel vähe sisu.²⁰ Ka formaalse alluvussuhteta Huawei ja Hiina valitsuse vahel jätab õiguskeskkond küllaldase võimaluse erasektorit ja nende tehnoloogiat luureotstarbel kasutada. Hiina arusaam isikuõigustest ja -vabadustest on Lääne omast nagunii fundamentaalselt erinev, paigutades ühis- ehk riigi huvid ettepoole üksikisiku huvidest. Euroopa Liidu andmekaitseregulatsioon ja intellektuaalomandi kaitse, millele panustab USA, on küll lääneriikide turgudel opereerivatele ettevõtetele kohustuslikud, aga vertikaalselt integreeritud ettevõttena ei saa Huawei ignoreerida oma koduriigi jurisdiktsioonist tulenevaid kohustusi.

Õiguslik ja poliitiline mõju, mida Hiina riik oma tehnoloogiatööstuse üle evib, Hiina kasvav osalus Lääne olulistes tehnoloogia- ja taristuettevõtetes²¹ ning ettevõtete sidemed riigi luureasutuste ja sõjaväega teevad lääneriikide julgeolekuametkonnad ettevaatlikuks. See ei olnud samavõrra probleem seni, kuni Hiina tootjate käes oli marginaalne turuosa, neil ei olnud kontrolli olulise taristu üle ning alternatiivid olid käepärast. Ühes kasvava turupositsiooniga on kasvanud ka mure julgeoleku pärast: ohuna nähakse nii võimalust, et Hiina riik võib oma tootjate kaudu saada juurdepääsu klientide andmetele, võimalikku kontrolli „väljalülitusnupu” üle, aga ka laiemalt seda, et kriitilises olukorras – näiteks olulise turvanõrkuse ilmnemise korral – võib tarnija eelistada oma päritoluriigi poliitilisi huve kliendi või sihtriigi omadele.

Hõbekuul või riskijuhtimine?

Ennekõike need mured on põhjuseks, miks rida riike on piiranud Hiina tehnoloogia kasutust oma sidevõrkudes. USA ulatuslik keeld on erand, teised riigid ei ole nii radikaalset lähenemist otstarbekaks pidanud. Austraalia, Tšehhi ja Jaapan on kehtestanud kohustuslikud turbesuunised, mis keelavad kriitilistes süsteemides välisriigi mõjualuste tarnijate kasutamise või nõuavad juhtumipõhist ohu- ja riskihinnangut. Uus-Meremaa peatas operaatori kava Huawei 5G kasutuselevõtuks viitega olulistele julgeolekuriskidele. On neid, kes eelistavad mittesiduvaid soovitusi või on riskide suhtes sootuks skeptilised (Saksamaa, Slovakkia). Üldiselt on kehtestatud meetmed riskipõhised – arvestatakse konkreetse sektori, teenuse või süsteemi kriitilisust ning piirangud piirduvad seetõttu valitsusasutuste ja elutähtsate teenuste osutajatega. Initsiatiivi on võtnud ka mobiilsidevõrkude operaatorid ise: nii brittide BT Group, Deutsche Telekom kui prantslaste Orange on oma tarnepõhimõtteid üle vaatamas ja Taani suurim operaator TCD otsustas Ericssoni seadmete kasuks.

N-ö rätsepatööna riskijuhtimist, kus iga konkreetset lahendust selle lubamise otsustamiseks eraldi hinnatakse, saavad arvestatavaks alternatiiviks pidada siiski vaid võimekamad riigid, pealegi sõltub nende võimalikkus Huawei koostöövalmidusest ja -suutlikkusest. Ühendkuningriigi Huawei küberturbe analüüsikeskus on seni ainus, kus see sisuliselt toimib. Hiljuti Saksamaal ja Belgias lisandunud (ja Poolale pakutud) turbekeskuste puhul on liialt vara nende usaldusväärsust ja tõhusust hinnata, pealegi puudub neil Ühendkuningriigi omale sarnane järelevalvemehhanism ehk kompetentne partner, kes oskaks süstemaatiliselt ebamugavaid küsimusi küsida.

Ka julgeolek on laiem kui üksnes küsimus konkreetse riigi tootja(te) tehnoloogia lubamisest või keelamisest: viimane jätab meie oma ettevõtjad ilma võimalusest uusi tooteid ja teenuseid arendada, piirab majanduse väljavaateid ja kitsendab inimeste ligipääsu hüvedele.

Igal juhul piirdub selliste kehandite järelevalvemehhanism n-ö tavapärase küberturbepraktikaga. Ka Ühendkuningriigi küberturbeamet ise möönab, et nende antud hinnang ei hõlma Hiina luuretegevuse analüüsi ning et Huawei tehnoloogiat ei kasutata sealsetes tundlikes võrkudes, sealhulgas valitsuse omades.²² Väiksemate riikide jaoks ei ole selline lahendus ilmselt jõukohane: neile jääb valik, kas sõltuda partnerasutuste teabest või minna vähem nüansseeritud piirangute teed.

Arukaks lähenemiseks on kindlasti ka konkureerivate tarnijate järeleaitamine, et pakkumist mitmekesistada ning vältida ühe pakkuja turul domineerimist – sõltumata päritolust ei ole see hea ei konkurentsiolukorra ega turvariskide maandamise seisukohast. Positiivseks näiteks on Kanada, kes 2018. aasta jaanuaris andis Nokiale 40 miljoni dollari suuruse uurimis- ja arendusgrandi 5G edasiarendamiseks.²³ Elujõuliste alternatiivide olemasolu ei ole üksnes globaalse konkurentsivõime küsimus; võtmetehnoloogiate puhul on sel ka arvestatav julgeolekumõõde.

Selge on, et Eesti üksi saab riskide maandamiseks vähe teha: jagatud mure vajab ühist lahendust. Euroopa Liidu (ja ka NATO) riikide seas on selge tahe Huawei jt ebausaldusväärsest keskkonnast pärinevate tehnoloogiate osas üksmeelele jõuda. See hõlmab nii liitlaste vahel paremini koordineeritud raadiosageduslubade tingimusi, väliskapitali kaasamist Euroopa võtmetähtsusega taristusse ja tipptehnoloogiasse kui ka vajadust koordineeritud investeeringute järele tehisintellekti, kvantarvutusse ja krüptograafia vallas, et koordineeritud tegevus annaks välja rohkem kui üksikute liikmesriikide tegevuste summa. Need on keerukad väljakutsed ja senistest vahenditest – mis ennekõike panustavad sellele, et iga riik ükshaaval oma kodutöö korralikult ära teeb – ei tarvitse piisata, kui mõelda, kuivõrd läbipõimunud, piiriülene ja omavahel sõltuv on nii digitaalne taristu ise kui sellest sõltuv kaasaegne ühiskond, sh ühine turg.

Praegused valikud mõjutavad nii ühiskonna sotsiaal-majanduslikku arengut kui julgeolekut viisil, mida me täna tõenäoliselt lõpuni prognoosida ei oska. Ka julgeolek on laiem kui üksnes küsimus konkreetse riigi tootja(te) tehnoloogia lubamisest või keelamisest: viimane jätab meie oma ettevõtjad ilma võimalusest uusi tooteid ja teenuseid arendada, piirab majanduse väljavaateid ja kitsendab inimeste ligipääsu hüvedele. Riske analüüsimata ja riskijuhtimist tulevikku vaatavalt läbi mõtlemata võib aga soodsama tehnoloogia rutakas juurutamine osutuda kulukamaks ja valusamaks, kui ühiskonnana valmis maksma oleme.