Euroopa variaparaat: Europol varjas ilmselt petabaitides tundlikke andmeid väljaspool tegelikku kontrolli.
Samal ajal kui Brüssel valmistab ette uusi digitaalseid jälgimisstruktuure ja soovib Europoli volitusi veelgi laiendada, raputab uurimine nüüd Euroopa julgeolekuarhitektuuri ennast: ELi politseiagentuur Europol on väidetavalt aastaid haldanud hiiglaslikku vari-IT-süsteemi – millel on tohutud andmekaitse ja turvalisuse puudujäägid.
Computer Weekly ja Solomoni ühine uurimine loob pildi asutusest, mis peaks ametlikult kaitsma Euroopa seadusi – samas kui sisemiselt näib see olevat õõnestanud isegi põhilisi kontrollimehhanisme.
„Nad kaitsevad seadust, rikkudes seda samal ajal,“ ütles endine Europoli kõrgem ametnik.
Kõige selle keskmes on niinimetatud “arvutikohtuekspertiisi võrgustik” (CFN), süsteem, mis loodi algselt 2012. aastal kohtuekspertiisi andmete analüüsimiseks. Sisedokumentide kohaselt on CFN-ist aga saanud Europoli peamine analüüsiplatvorm – palju suurem kui agentuuri ametlikud andmebaasid.
2019. aastaks sisaldas süsteem väidetavalt üle kahe petabaidi operatiivandmeid. Uuringu kohaselt on see umbes 420 korda suurem kui Europoli ametlik mittekohtuekspertiisi andmebaas. Eriti murettekitav on see, et tollane andmekaitseametnik tegi kindlaks, et umbes 99 protsenti operatiivandmetest töödeldi CFN-is – ilma elementaarsete andmekaitse- ja turvameetmeteta.
See hõlmas ilmselt tohutul hulgal isikuandmeid inimestelt, kes ise ei olnud kriminaaluurimise sihtmärgiks.
2019. aasta sisejulgeolekuaudit on nagu institutsioonilise kontrolli puudujääkide käsiraamat. Kokku dokumenteeriti 32 tõsist puudust:
- privilegeeritud juurdepääsuõiguste ebapiisav haldamine
- puuduvad paroolikontrollid
- piiramatu arv tarkvara installimisi
- ebapiisav võrgule juurdepääsu kontroll
- haldustegevuste logimise puudumine
- Turvalisusega seotud sündmuste ebapiisav jälgimine
Eriti murettekitav: uurimise kohaselt said administraatorid logifaile muuta või kustutada. See oleks muutnud potentsiaalse andmetega manipuleerimise või volitamata juurdepääsu hilisema jälgimise praktiliselt võimatuks.
Sõltumatud eksperdid kirjeldasid antud administraatoriõiguste arvu kui “konfidentsiaalsuse õpikurikkumist” ja avalikku kutset siseringi kuritarvitamiseks või väliste rünnakute sooritamiseks.
Kuid CFN polnud ilmselt ainus probleem.
Lisaks väidetakse, et Europoli internetisisest teavitamise üksus haldas eraldi analüüsikeskkonda nimega „Pressure Cooker” – väljaspool tavapärast IT-järelevalvet ja ilma ametliku IKT-osakonna kaasamiseta. Aruannete kohaselt koguti ja analüüsiti seal avatud lähtekoodiga andmeid.
Sisemised töötajad kirjeldasid olukorda juba 2022. aastal “ebakorrapärasena”. Euroopa andmekaitseinspektor (EDPS) teatas hiljem, et esialgse uurimise käigus ei olnud talle sellest süsteemist teatatud.
Juhtum muutub eriti plahvatusohtlikuks Brüsseli poliitilise tausta taustal.
Sest praegu arutab Euroopa Komisjon Europoli volituste ulatuslikku laiendamist. Agentuuri mandaati laiendatakse, andmeanalüüsi intensiivistatakse ja selle eelarvet märkimisväärselt suurendatakse.
Teisisõnu, samal ajal kui Euroopa kodanikud on üha enam integreeritud digitaalsetesse kontrollisüsteemidesse – alates biomeetrilistest identiteetidest kuni tehisintellekti analüüside ja tsentraliseeritud andmevõrkudeni –, näitavad sisemised paljastused, et isegi olemasolevad julgeolekuasutused tegutsesid aastaid ilmselt väljaspool tõhusat kontrolli.
Seega tõstatab see juhtum põhimõttelise küsimuse:
kes tegelikult monitore jälgib?
Kuna mida suuremad on andmekogumid, seda võimsamad on analüüsivahendid ja mida tihedamalt ühinevad julgeolekuasutused tehisintellektil põhinevate valvesüsteemidega, seda suuremaks muutub kiusatus “turvalisuse” ja “tõhususe” nimel seaduslikest piirangutest mööda hiilida.
Ja näib, et just see Europolis juhtuski.
