Hiszpanie wpuszczają sprzęt Huawei do sektorów krytycznych

Hiszpańskie Centro Nacional de Inteligencia, działające za pośrednictwem Centro Criptológico Nacional, opublikowało kwietniową listę certyfikacji bezpieczeństwa dla oprogramowania i urządzeń. Z dokumentów wynika, że w kwietniu certyfikację uzyskało ponad 70 produktów Huawei, a 19 z nich otrzymało najwyższy poziom kwalifikacji „ALTA”. Taki status otwiera drogę do wykorzystania tych rozwiązań w sektorach krytycznych, takich jak obronność, ochrona zdrowia, bankowość czy energetyka.  

Skala tych certyfikacji wyraźnie wyróżnia Huawei na tle części hiszpańskich firm obecnych w tym samym zestawieniu. W materiałach podano, że Telefónica ma 8 certyfikowanych urządzeń, Indra 9, a Teldat 45. 

Sama rola CNI i CCN polega na potwierdzeniu, że urządzenia dopuszczane do użycia na rynku spełniają wymagane standardy bezpieczeństwa. 

Najwyższa kategoria „ALTA” nie jest zwykłym wpisem do katalogu. Jak wynika z opisu systemu CPSTIC, ten poziom oznacza przejście najbardziej rygorystycznych testów bezpieczeństwa i dotyczy produktów, które mogą być używane w systemach, gdzie ewentualny incydent mógłby spowodować bardzo poważne szkody dla bezpieczeństwa narodowego, usług publicznych lub obywateli. CNI wskazuje przy tym, że przy kwalifikacji brane są pod uwagę zarówno poziomy ochrony informacji niejawnych, jak i maksymalna kategoria systemu informacyjnego, w którym dany produkt może pracować.  

Na liście certyfikowanych rozwiązań Huawei znalazły się między innymi routery do obsługi ruchu w dużych centrach danych i sieciach korporacyjnych, firewalle odpowiedzialne za kontrolę ruchu, wykrywanie naruszeń i budowanie bezpiecznych tuneli VPN, a także systemy pamięci masowej i macierze dyskowe. Certyfikację uzyskały również profesjonalne anteny Wi-Fi przeznaczone do zastosowań w urzędach i na kampusach oraz systemy operacyjne i oprogramowanie zarządzające, które pozwalają centralnie kontrolować routery i przełączniki. W ocenie hiszpańskich instytucji rozwiązania te spełniają wymagania dotyczące odporności na ataki zewnętrzne, kontroli dostępu i szyfrowania transmisji.  

Ocena nie oznacza ogólnego potwierdzenia bezpieczeństwa wszystkich produktów danej marki. Certyfikacja dotyczy konkretnego urządzenia, jego określonej wersji firmware’u i zdefiniowanej konfiguracji. Innymi słowy, pozytywny wynik nie jest automatycznym dowodem, że wszystkie rozwiązania Huawei są wolne od ryzyk lub że sytuacja nie zmieni się po aktualizacji oprogramowania. 

To rozróżnienie ma istotne znaczenie zwłaszcza w debacie o infrastrukturze krytycznej. Hiszpańskie decyzje pokazują, że wybrane produkty Huawei przeszły formalny proces oceny i zostały dopuszczone do pracy nawet w bardzo wrażliwych środowiskach. Nie zamyka to jednak szerszej dyskusji o zaufaniu do dostawców, procedurach audytowych i konieczności ciągłej kontroli bezpieczeństwa w przypadku sprzętu wykorzystywanego przez państwo i operatorów kluczowych usług.