GCHQ, brytyjska agencja wywiadu elektronicznego, nie wie, co się stało z tysiącami pendrive'ów, dysków zewnętrznych, płyt i kart pamięci, na których mogły się znajdować dane z podsłuchów i włamań do urządzeń. Ujawnił to w czwartek 29 października 2026 r. Investigatory Powers Commissioner, lord Brian Leveson, niezależny nadzorca brytyjskich służb, w raporcie rocznym za 2025 r. Problem zgłosił agencji kilka lat temu. Do dziś GCHQ nie przedstawiło pełnego rozliczenia. Agencja zapewnia, że chodzi o wady ewidencji, a nie o utratę sprzętu, i że wdrożyła wszystkie zalecenia. Nadzór nie twierdzi, że doszło do wycieku. Pytany, czy agencja wie o dostępie osób nieupoważnionych do któregokolwiek z nośników, rzecznik GCHQ odmówił odpowiedzi.
Zdanie, którego zwykle nie ma w oficjalnych raportach
Raporty instytucji nadzorujących służby specjalne są z reguły pisane językiem ostrożnym, pełnym zastrzeżeń i sformułowań, które mają nikogo nie urazić. Tegoroczny dokument brytyjskiego Investigatory Powers Commissioner's Office, w skrócie IPCO, zawiera zdanie wyjątkowo bezpośrednie. Lord Brian Leveson, były sędzia Sądu Apelacyjnego i od 2019 r. komisarz do spraw uprawnień dochodzeniowych, napisał, że GCHQ „wciąż nie potrafi mi powiedzieć, co się stało z nośnikami wymiennymi, które mogą zawierać dane wrażliwe, choć zwróciłem im na to uwagę wiele lat temu” (IPCO).
IPCO to urząd, który z mocy ustawy kontroluje, jak brytyjskie służby, policja i inne instytucje publiczne korzystają z najbardziej inwazyjnych uprawnień państwa: przechwytywania komunikacji, włamań do komputerów i telefonów, osobowych źródeł informacji i danych telekomunikacyjnych. Komisarz ma ustawowy obowiązek co roku składać sprawozdanie premierowi, który przedkłada je parlamentowi (IPCO). Raport za 2025 r. ukazał się 29 października 2026 r.
Sprawę nośników Leveson umieścił na trzecim miejscu listy pięciu najpoważniejszych problemów, które stwierdził w ubiegłym roku. W tym samym oświadczeniu zaznaczył, że „żadna z tych spraw nie jest drobnym uchybieniem administracyjnym”, i zapowiedział, że „nie zawaha się” publicznie odnotować braku realnej poprawy (IPCO).
Co dokładnie ustalił nadzór
Z raportu wynika, że GCHQ oszacowało maksymalną liczbę nośników wymiennych, których nie potrafi od ręki zlokalizować. IPCO nazywa tę liczbę „bardzo znaczną”, a sama agencja ocenia ją na „tysiące”. Raport cytowany przez brytyjskie media mówi wprost, że trwa „program dalszych prac”, który ma pozwolić odnaleźć i rozliczyć jak najwięcej urządzeń, a dopiero po jego zakończeniu GCHQ poda, ile nośników utracono na pewno (Politico). Częścią tych prac jest wdrożenie do końca 2026 r. zautomatyzowanego systemu śledzenia zasobów (The Register).
Chodzi o nośniki wszelkiego rodzaju: pendrive'y, zewnętrzne dyski twarde, płyty CD, karty pamięci i inne przenośne urządzenia do przechowywania danych (The Record). Nadzór podkreśla, że w GCHQ są one „szeroko wykorzystywane” i stanowią „niezbędny element niektórych procesów operacyjnych” agencji (BBC).
Leveson pisze, że jest zaniepokojony, ponieważ GCHQ „wciąż nie ustaliło wystarczająco jasno skali, położenia i możliwości odzyskania” utraconych nośników, które mogą zawierać dane objęte Investigatory Powers Act 2016, „mimo że podstawowe problemy zgłoszono mi kilka lat temu”. Dodaje, że rozumie trudności techniczne i praktyczne, ale „upływ czasu bez pełnego rozliczenia” zwiększa potrzebę stałego zaangażowania kierownictwa i sprawdzalnej naprawy. Zapowiada, że będzie uważnie śledził postępy (The Register). W raporcie znalazło się też zdanie, które dobrze oddaje ton dokumentu: „Pozostajemy bardzo zaniepokojeni tą sprawą i jesteśmy rozczarowani czasem, jaki zajęło GCHQ jej wyjaśnianie” (Politico).
Czego raport nie mówi
Uczciwa lektura dokumentu wymaga równie wyraźnego wskazania jego granic. Liczba „tysięcy” to górny pułap urządzeń, których nie da się dziś natychmiast zlokalizować, a nie liczba nośników potwierdzonych jako utracone. Raport nie twierdzi, że jakiekolwiek urządzenie trafiło w ręce przeciwnika (The Record). Nie wynika z niego również, że nośniki skradziono albo że ktoś nieuprawniony uzyskał dostęp do zapisanych na nich danych (Yahoo News).
Jest też okoliczność, która przemawia na korzyść agencji. W raporcie za 2024 r. nadzór odnotował, że większość nierozliczonych wówczas urządzeń była zaszyfrowana albo wymagała podania kodu PIN, a źródło problemu upatrywał w słabości systemów rejestrujących wydawanie i zwrot nośników (Yahoo News). Szyfrowanie nie rozwiązuje kwestii ewidencji, ale istotnie zmniejsza ryzyko, że ewentualna utrata nośnika oznacza ujawnienie jego zawartości.
Stanowisko GCHQ
Agencja nie zaprzecza ustaleniom. Rzecznik GCHQ przyznał, że dawny system zarządzania nośnikami wymiennymi „nie był wystarczająco solidny, by skutecznie śledzić urządzenia zarejestrowane do użytku”. Stwierdził, że IPCO „słusznie wskazało błędy w danych, które generował ten system”, i że agencja podjęła działania w odpowiedzi na wszystkie zalecenia. Zapewnił też, że GCHQ dostrzega wagę bezpieczeństwa nośników, stosuje „szereg środków” ograniczających związane z nimi ryzyko, a ustalenia raportu zostały „kompleksowo” wdrożone (Politico).
Według The Record agencja przedstawia sprawę jako problem prowadzenia ewidencji, a nie utraty sprzętu. Przeprowadziła pełny audyt posiadanych nośników, zaktualizowała procedury i narzędzia oraz informowała nadzór o postępach. Nie wiadomo jednak, czy audyt pozwolił ustalić, ile urządzeń naprawdę przepadło. Rzecznik odmówił odpowiedzi na pytanie, czy agencja wie o dostępie osób nieupoważnionych do któregokolwiek z brakujących nośników (The Record).
Problem znany od lat
Sprawa nie pojawiła się nagle. W raporcie za 2024 r., opublikowanym w grudniu 2025 r., IPCO ujawniło, że w 2023 r. zwróciło się do GCHQ i do MI5, czyli służby kontrwywiadu i bezpieczeństwa wewnętrznego, o przegląd zasad wydawania nośników wymiennych i ich kontroli. Obie służby nie potrafiły wówczas odnaleźć „znacznej liczby” urządzeń, na których mogły się znajdować informacje oznaczone klauzulą TOP SECRET, najwyższą w brytyjskim systemie ochrony informacji (Yahoo News). Tegoroczny raport dotyczy już tylko GCHQ. Nie wynika z niego, jak sprawę zamknęło MI5.
Od pierwszego zapytania nadzoru do dziś minęły co najmniej trzy lata, a ostatecznej liczby nadal nie ma. Peter Sommer, ekspert informatyki śledczej i profesor wizytujący na uniwersytetach De Montfort i Birmingham City, powiedział The Register, że biorąc pod uwagę, jak wrażliwe dane gromadzi i przetwarza GCHQ, nadzór ma pełne prawo być bardzo zaniepokojony, „tym bardziej że sprawa ma już kilka lat”. Przypomniał też, że „ogromne ilości danych można zapisać na najtańszych dyskach i kartach” (The Register).
Dlaczego te nośniki są tak wrażliwe
Leveson zaznacza, że nośniki mogą zawierać dane związane z Investigatory Powers Act 2016. To podstawowa brytyjska ustawa o uprawnieniach dochodzeniowych, na mocy której służby przechwytują e-maile, SMS-y i rozmowy telefoniczne oraz pozyskują informacje z komputerów i telefonów osób, którymi się interesują (Politico).
Wartość takiego materiału nie ogranicza się do treści podsłuchanej rozmowy. Dla obcego wywiadu często ważniejsze jest to, co dane mówią o samej służbie: kogo obserwuje, od kiedy, jakimi metodami i kanałami technicznymi, z jakim skutkiem. W terminologii wywiadowczej to ochrona źródeł i metod, czyli najcenniejszych zasobów każdej agencji. Kopia kilku plików z opisem celów i selektorów, a więc numerów telefonów, adresów i kont, według których służba filtruje przechwycony ruch, może pozwolić przeciwnikowi zrozumieć możliwości techniczne GCHQ, ostrzec osoby pod obserwacją i zmienić własne zachowania.
Jest też wymiar prawny i ludzki. W materiałach z podsłuchów znajdują się dane osób, które niczego złego nie zrobiły, a trafiły do nich jako przypadkowi rozmówcy figurantów, czyli osób objętych działaniami operacyjnymi. Brytyjskie prawo nakłada na służby obowiązek ograniczania przechowywania takich danych i ich bezpiecznego niszczenia. Nośnik, którego nie da się odnaleźć, wymyka się z definicji także tym zabezpieczeniom.
Most między dwoma światami
Skąd w ogóle tysiące nośników w agencji, która dysponuje jedną z najbardziej zaawansowanych infrastruktur teleinformatycznych na świecie? Odpowiedź tkwi w architekturze bezpieczeństwa. W instytucjach przetwarzających informacje niejawne sieci o różnych klauzulach są fizycznie od siebie odseparowane, a najbardziej wrażliwe systemy nie mają połączenia z internetem. W żargonie nazywa się to szczeliną powietrzną (ang. air gap). Dane trzeba jednak czasem przenieść z jednego środowiska do drugiego, zaktualizować oprogramowanie, przekazać wyniki analizy albo zabrać materiał na spotkanie z partnerem. Wtedy pendrive lub dysk staje się mostem między światami, które z założenia mają pozostać rozdzielone.
Każdy taki most jest jednocześnie najsłabszym punktem całej konstrukcji. Doświadczenie instytucji pracujących z informacjami niejawnymi pokazuje, że nośnik bardzo szybko przestaje być traktowany jak dokument, a zaczyna jak artykuł biurowy. Leży w szufladzie, krąży między zespołami, trafia do innego projektu, a po roku nikt nie pamięta, kto go pobrał i gdzie się podział. Nadzór nie opisuje szczegółowo, jak do tego doszło w GCHQ. Przyznanie agencji, że jej system „nie był wystarczająco solidny”, a dane, które generował, były błędne, wskazuje jednak, że zawiódł właśnie ten codzienny, mało widowiskowy element ochrony.
Lekcje z historii: nośnik działa w obie strony
Historia zachodnich służb zna wiele przypadków, w których przenośny nośnik okazywał się kanałem ucieczki danych albo drogą wejścia dla złośliwego oprogramowania.
W 2008 r. zainfekowany pendrive podłączony do wojskowego laptopa w amerykańskiej bazie na Bliskim Wschodzie wprowadził do sieci Dowództwa Centralnego USA robaka Agent.btz. Ówczesny zastępca sekretarza obrony William Lynn pisał później w „Foreign Affairs”, że kod „rozprzestrzenił się niewykryty w systemach niejawnych i jawnych”, tworząc przyczółek, z którego dane mogły trafić na serwery pod obcą kontrolą (Computerworld). Usuwanie robaka trwało około 14 miesięcy, w ramach operacji nazwanej Buckshot Yankee, a od listopada 2008 r. do lutego 2010 r. Pentagon zakazał używania pendrive'ów (Brookings). Część specjalistów zaangażowanych w tę operację kwestionowała później tezę o celowym ataku obcego wywiadu (Brookings). Według ustaleń Washington Post, przytaczanych przez Wired, wojsko i NSA ściągnęły wtedy tysiące pendrive'ów, z których wiele było zainfekowanych (Wired). Sprawa doprowadziła do utworzenia amerykańskiego Dowództwa Cybernetycznego (NBC News).
Najsłynniejszy przykład wykorzystania nośnika do przełamania szczeliny powietrznej to Stuxnet, przypisywany Stanom Zjednoczonym i Izraelowi. Systemy sterowania wirówkami w irańskim zakładzie wzbogacania uranu w Natanz nie były podłączone do internetu, dlatego twórcy robaka zaprojektowali go tak, by rozprzestrzeniał się na pendrive'ach. Najpierw zainfekowali komputery firm zewnętrznych powiązanych z programem nuklearnym, licząc, że ich pracownicy nieświadomie wniosą go do zakładu (Wired). Według ustaleń Yahoo News z 2019 r. przy wcześniejszej wersji kluczową rolę odegrał Irańczyk zwerbowany przez holenderski wywiad AIVD, który wprowadził kod za pomocą pendrive'a albo zainfekował komputer inżyniera programującego systemy sterowania (Yahoo News).
W drugą stronę działa przypadek Chelsea Manning, analityczki wywiadu armii USA w Iraku. W 2010 r. skopiowała setki tysięcy raportów wojskowych na płytę CD-RW opisaną jako album Lady Gagi, udając, że słucha muzyki, a następnie przeniosła dane na kartę pamięci aparatu i wywiozła je do Stanów Zjednoczonych (Wikipedia). W rozmowach, które później ujawniono, tłumaczyła, że nikt tego nie zauważył, bo personel pracował po 14 godzin dziennie przez siedem dni w tygodniu i „po trzech tygodniach ludzie przestali się przejmować” (Wikipedia).
Jeszcze bardziej pouczająca jest sprawa Harolda Martina, pracownika kontraktowego NSA. W sierpniu 2016 r. FBI znalazło w jego domu, samochodzie i niezamkniętej szopie ogromne ilości materiałów niejawnych, gromadzonych przez około 20 lat. Prokuratura początkowo szacowała ich objętość na 50 terabajtów, choć później znacząco skorygowała tę liczbę w dół (AP). Materiały pochodziły z co najmniej czterech instytucji, w tym NSA, CIA i Dowództwa Cybernetycznego (Nextgov). Martin został skazany na dziewięć lat więzienia za bezprawne przechowywanie informacji obronnych. Zarówno prokurator, jak i obrona przyznali, że nie ma dowodów, by zamierzał komukolwiek przekazać te materiały (AP). Sprawa pokazała, że dwie dekady wynoszenia danych mogą pozostać niezauważone, jeśli instytucja nie kontroluje, kto i na czym wynosi informacje.
Wielka Brytania ma własną, choć niezwiązaną ze służbami, lekcję. W październiku 2007 r. urząd skarbowy HMRC wysłał zwykłą pocztą wewnętrzną dwie płyty z pełną bazą danych osób pobierających zasiłek na dzieci. Przesyłka nie dotarła do adresata. Dane dotyczyły około 25 milionów osób, a po ujawnieniu sprawy podał się do dymisji prezes urzędu (ICO). Płyt nigdy nie odnaleziono (parlament brytyjski). The Register przypomina, że w połowie lat 2000. pendrive'y z tajnymi informacjami gubiło też ministerstwo obrony (The Register).
W każdym z tych przypadków zawodziło to samo: kontrola nad tym, kto, co i na czym może wynieść lub wnieść, oraz zdolność organizacji do szybkiego zauważenia, że czegoś brakuje.
Procedury, które powinny działać
Ochrona informacji niejawnych w każdej poważnej instytucji opiera się na kilku zasadach, obowiązujących jeszcze w czasach papierowych teczek. Każdy nośnik przeznaczony do przetwarzania informacji niejawnych otrzymuje unikalny numer i trafia do ewidencji. Jest przypisany do konkretnej osoby i systemu, a każda zmiana właściciela, miejsca i przeznaczenia zostawia ślad. Nośnik wydaje się za pokwitowaniem i za pokwitowaniem przyjmuje z powrotem. Okresowo porównuje się zapisy w ewidencji z tym, co faktycznie znajduje się w szafach i sejfach. Zniszczenie odbywa się komisyjnie, zatwierdzoną metodą, czyli przez fizyczne rozdrobnienie, demagnetyzację albo spalenie, a nie przez sformatowanie. Kończy się protokołem z numerami seryjnymi. Na szkoleniach powtarza się też zasadę, że nośnik ma klauzulę najwyższej informacji, jaka kiedykolwiek się na nim znalazła. Raz podłączony do systemu niejawnego, pozostaje nośnikiem niejawnym na zawsze, nawet jeśli wydaje się pusty.
W Polsce te zasady wynikają z ustawy z 5 sierpnia 2010 r. o ochronie informacji niejawnych (ISAP). Ustawa reguluje m.in. organizację ochrony, szkolenia, kancelarie tajne i środki bezpieczeństwa fizycznego, bezpieczeństwo teleinformatyczne oraz kontrolę stanu zabezpieczenia informacji niejawnych (Sejm). W praktyce dokumenty i materiały niejawne obsługuje kancelaria tajna, nad całością w jednostce czuwa pełnomocnik do spraw ochrony informacji niejawnych, a system teleinformatyczny przetwarzający informacje o klauzuli „poufne” lub wyższej musi uzyskać akredytację bezpieczeństwa w ABW albo SKW. Dokumentacja akredytacyjna określa również, jakie nośniki wolno podłączać i jak się je oznacza, przechowuje i niszczy. Kodeks karny w art. 265 przewiduje odpowiedzialność także za nieumyślne ujawnienie informacji niejawnej przez osobę, która zapoznała się z nią w związku z pełnioną funkcją (ISAP).
Brytyjskie odpowiedniki to rządowe ramy polityki bezpieczeństwa i wytyczne National Cyber Security Centre, które jest częścią GCHQ (NCSC). Do tego dochodzą normy międzynarodowe, przede wszystkim ISO/IEC 27001, wymagająca inwentaryzacji aktywów informacyjnych i kontroli nośników przez cały ich cykl życia. Paradoks tej sprawy polega na tym, że instytucja, która współtworzy standardy cyberbezpieczeństwa dla całego brytyjskiego państwa, nie zapewniła u siebie ich podstawowego elementu. Problemem nie był brak reguł, tylko rozjazd między regułami zapisanymi w procedurach a codzienną praktyką.
Jak powstaje taki rozjazd
Przyczyny rzadko są pojedyncze. Najczęściej nakłada się kilka czynników. Pierwszy to tempo pracy. Gdy nośniki są codziennym narzędziem setek ludzi, formalności przy wydaniu i zwrocie zaczynają być postrzegane jako przeszkoda, a z czasem jako fikcja. Drugi to ewidencja, która rejestruje, ale niczego nie wymusza. System, który odnotowuje wydanie nośnika, ale nie alarmuje, gdy ten nie wraca w terminie, po kilku latach zamienia się w archiwum przestarzałych wpisów. IPCO mówi wprost o błędach w danych generowanych przez system GCHQ. Trzeci czynnik to rozmyta odpowiedzialność. Nośnik przypisany do „zespołu” albo „projektu” w praktyce nie jest przypisany nikomu. Czwarty to brak niezależnej kontroli: jeśli inwentaryzację prowadzi ta sama komórka, która wydaje nośniki, łatwo o niedokładności. Piąty, o którym mówi się najrzadziej, to kultura organizacyjna, w której liczą się wyniki operacyjne, a porządek w rejestrach uchodzi za zajęcie dla administracji.
Ręczne lub półautomatyczne śledzenie tysięcy małych, tanich i łatwych do schowania przedmiotów w organizacji zatrudniającej kilka tysięcy ludzi było obciążone ryzykiem od początku. Zaskakuje nie tyle sama awaria, ile czas reakcji. Automatyczny system śledzenia ma zacząć działać dopiero pod koniec 2026 r., kilka lat po pierwszych sygnałach nadzoru.
Szkolenia i nawyki
Na każdym szkoleniu z ochrony informacji niejawnych, od podstawowego instruktażu dla osoby z poświadczeniem bezpieczeństwa po kursy dla administratorów systemów, powtarza się kilka reguł. Utratę nośnika zgłasza się natychmiast, a nie dopiero wtedy, gdy wyjdzie przy kontroli. Nośnika nie zabiera się „na chwilę” do innego pomieszczenia bez wpisu. Nie ma czegoś takiego jak „pusty” pendrive z systemu niejawnego.
Skoro w ewidencji rozpłynęły się tysiące urządzeń, można z umiarkowaną pewnością przyjąć, że część personelu nie traktowała tych zasad jako osobistego obowiązku, a bezpośredni przełożeni nie egzekwowali rozliczeń. Odpowiedzialność w takich sytuacjach jest przede wszystkim kierownicza. Szkolenie kończące się podpisem na liście obecności, a nie sprawdzeniem, jak ludzie postępują w praktyce, daje złudne poczucie bezpieczeństwa: organizacja ma dokument potwierdzający przeszkolenie, ale nie ma pewności, że wiedza przekłada się na działanie.
Zagrożenie z wewnątrz
Najpoważniejszy wymiar tej sprawy dotyczy zagrożenia wewnętrznego. Największe straty w historii zachodnich służb spowodowali nie hakerzy z zewnątrz, lecz ludzie z legalnym dostępem. Kontrwywiad zakłada, że w dużej organizacji może się znaleźć ktoś, kto z powodu pieniędzy, ideologii, szantażu, ambicji albo frustracji zechce wynieść informacje. Przed takim człowiekiem chronią kolejne warstwy: postępowania sprawdzające przy przyjęciu i okresowe, kontrola dostępu, monitorowanie aktywności w systemach i właśnie rozliczanie nośników.
System, który nie potrafi powiedzieć, ile ma pendrive'ów, nie zauważy też, że jeden z nich nie wrócił, bo ktoś wyniósł go w kieszeni. Nawet jeśli w tej sprawie nic nie wyciekło, sama luka przez lata stanowiła potencjalną okazję dla każdego, kto chciałby ją wykorzystać. W analizie ryzyka liczy się nie tylko to, czy zagrożenie się zmaterializowało, ale też jak długo istniała podatność, którą mogło wykorzystać.
Analiza konkurujących hipotez
Dostępne informacje pozwalają rozważyć cztery wyjaśnienia, zgodnie z metodą analizy konkurujących hipotez (ACH), stosowaną w analityce wywiadowczej.
Hipoteza pierwsza: nośniki fizycznie istnieją i znajdują się w strefach bezpieczeństwa GCHQ, ale ewidencja nie odzwierciedla ich rzeczywistego położenia. Przemawia za tym przyznanie agencji, że system generował błędne dane, oraz to, że GCHQ przedstawia sprawę jako problem ewidencyjny.
Hipoteza druga: część nośników zniszczono zgodnie z procedurą, ale bez prawidłowej dokumentacji, przez co nadal widnieją w rejestrze jako aktywne. To częsty mechanizm w dużych organizacjach i jest spójny z opisem słabości systemu rejestrującego wydawanie i zwrot urządzeń.
Hipoteza trzecia: część nośników opuściła strefy bezpieczeństwa wskutek zaniedbania, na przykład przy wymianie sprzętu albo utylizacji poza kontrolą. Przy tej skali nie da się tego wykluczyć, choć raport nie opisuje takiego przypadku.
Hipoteza czwarta: ktoś celowo wyniósł nośniki z danymi. Żaden publicznie znany fakt jej nie potwierdza. Raport nie opisuje incydentu wycieku, a nadzór nie twierdzi, że urządzenia trafiły w ręce przeciwnika.
Ocena: z umiarkowaną pewnością można przyjąć, że zdecydowana większość nierozliczonych nośników to skutek awarii ewidencji i nieudokumentowanych zniszczeń. Za tym wnioskiem przemawia też informacja z raportu za 2024 r., że większość brakujących wówczas urządzeń była zaszyfrowana lub chroniona PIN-em. Możliwość, że część materiału trafiła w niepowołane ręce, należy ocenić z niską pewnością, wynikającą przede wszystkim z braku danych. Nie da się jej wykluczyć, dopóki GCHQ nie zamknie rozliczenia. Głównym ograniczeniem tej analizy jest to, że publicznie dostępne są tylko fragmenty raportu i oświadczenia agencji, a nie wyniki audytu.
Szerszy obraz: pięć problemów w jednym raporcie
Sprawa nośników jest jednym z pięciu problemów, które Leveson wskazał jako najpoważniejsze (IPCO).
Na pierwszym miejscu postawił sprawę agenta X. MI5 przedstawiło fałszywe informacje Sądowi Wyższemu i Investigatory Powers Tribunal, czyli trybunałowi rozpatrującemu skargi na działania służb. Na polecenie premiera komisarz zbadał, jak do tego doszło, i ustalił, że wprowadzono w błąd zarówno IPCO, jak i sądy. „Nadzór opiera się na szczerości. Brak szczerości podważa całe podstawy nadzoru i rozliczalności” – napisał Leveson (IPCO). Agent X był brutalnym neonazistą, który stosował przemoc wobec partnerki i zaatakował ją maczetą. MI5 twierdziło przed sądami, że konsekwentnie stosuje zasadę „ani nie potwierdzamy, ani nie zaprzeczamy” wobec jego statusu, tymczasem wysoki rangą oficer służby wcześniej ujawnił go dziennikarzowi BBC, próbując odwieść go od publikacji. Oficer ten, jak ustalił komisarz, wielokrotnie kłamał. Odszedł z MI5 po ujawnieniu sprawy przez BBC. MI5 przyjęło ustalenia raportu „bez zastrzeżeń” (BBC).
Drugi problem dotyczy National Crime Agency, brytyjskiej agencji do walki z przestępczością zorganizowaną. Prowadziła ona nieletnie osobowe źródło informacji w sposób, który według komisarza „daleko odbiega od wymogów prawa”. NCA nie poinformowała go w wymaganym terminie, że korzysta z informatora poniżej 18. roku życia, wysoki rangą funkcjonariusz bezprawnie przedłużył upoważnienie, a dziecku zlecano udział w działalności przestępczej bez ważnej podstawy prawnej (BBC). Kolejne dwa problemy to błędy służby więziennej przy przechwytywaniu komunikacji więźniów oraz niewłaściwe stosowanie przez ministerstwo obrony zasad dotyczących zatrzymanych za granicą (IPCO).
Brytyjskie służby wywiadowcze i NCA zgłosiły więcej błędów niż rok wcześniej, a cztery z nich zakwalifikowano jako poważne (IPCO). Błędy MI5 związane z prowadzeniem agentów wzrosły z czterech w 2017 r. do 21 w 2025 r., podczas gdy w MI6 spadły w tym samym okresie z dziesięciu do trzech (BBC).
Dwie inne sprawy z Cheltenham
W samym GCHQ raport wskazuje jeszcze dwa problemy. Pierwszy dotyczy partnerów zagranicznych mających dostęp do danych z masowego przechwytywania. Nadzór był zadowolony z tego, jak agencja pilnuje własnych analityków w zakresie materiałów dziennikarskich, informacji o źródłach dziennikarskich i informacji objętych tajemnicą adwokacką. Wewnętrzne sprawdzenie wykazało jednak nieodpowiednie zabezpieczenia w przypadku jednego partnera i jego dostępu do materiałów dziennikarskich. GCHQ i zagraniczna agencja zobowiązały się to naprawić (The Register).
Drugi problem to błąd w metodzie typowania nowych celów. Pewna aplikacja internetowa, używana przez stosunkowo niewielką grupę osób, działała w nietypowy sposób, o czym GCHQ nie wiedziało. W efekcie metoda okazała się zawodna i w kilku przypadkach osoby niewinne uznano za podejrzane o udział w przestępstwach terrorystycznych. Doprowadziło to do pięciu zatrzymań w portach, podczas których zatrzymanym kopiowano zawartość urządzeń i pobierano dane biometryczne (The Record). IPCO uznało, że agencja nie mogła tego przewidzieć, że po wykryciu problemu niezwłocznie ograniczyła jego skutki, i zapisało zdanie, które warto zapamiętać: „choć skutki dla osób dotkniętych są wysoce niefortunne i godne ubolewania, wywiad czasem po prostu się myli” (The Record). Rzecznik GCHQ odmówił komentarza w tej sprawie.
Te wszystkie ustalenia razem nie wskazują na pojedynczą wpadkę, tylko na napięcie, które narasta w wielu zachodnich służbach. Skala operacji, ilość danych i tempo pracy rosną szybciej niż zdolność instytucji do utrzymania dyscypliny proceduralnej. A w tej branży dyscyplina proceduralna jest warunkiem legalności i zaufania. Sam Leveson ujął to tak: presja operacyjna „jest realna, ale nie zmniejsza potrzeby stosowania zgodnych z prawem, spójnych i dobrze rozumianych zabezpieczeń” (IPCO).
Druga strona bilansu
Raport ma też drugą stronę, której nie można pominąć. Leveson podkreśla, że kierownictwa nadzorowanych instytucji wykazują „autentyczne zaangażowanie w przestrzeganie prawa” i że opisane problemy nie zmieniają jego ogólnej oceny: „niezależny nadzór działa”, a system kontroli nad tajnymi uprawnieniami funkcjonuje „rygorystycznie i niezależnie” (IPCO).
Sam fakt, że opinia publiczna wie o nierozliczonych nośnikach, fałszywych zeznaniach MI5 i błędzie w typowaniu celów, świadczy o sile brytyjskiego systemu nadzoru, a nie o jego słabości. Niezależny komisarz z dostępem do najpilniej strzeżonych tajemnic państwa co roku publikuje raport, w którym wymienia służby z nazwy, podaje liczby i pisze otwarcie o rozczarowaniu. Premier zleca mu wyjaśnienie zeznań MI5, służba przyjmuje ustalenia, a GCHQ publicznie przyznaje się do wad swojego systemu. Takiej kultury rozliczalności nie da się wprowadzić jednym przepisem, ale można ją zbudować z czasem, jeśli instytucje nadzoru są niezależne i nie boją się mówić głośno.
Polski kontekst
Kontrolę nad polskimi służbami sprawują przede wszystkim sejmowa Komisja do Spraw Służb Specjalnych, premier, minister koordynator służb specjalnych, prokuratura oraz sądy, które wyrażają zgodę na kontrolę operacyjną. Polska nie ma jednak organu, który co roku publikowałby tak szczegółowe, imienne ustalenia o błędach w stosowaniu technik operacyjnych, prowadzeniu osobowych źródeł informacji i obiegu informacji niejawnych. Od lat wraca pomysł powołania niezależnego organu nadzoru nad służbami, wzorowanego na rozwiązaniach brytyjskich czy holenderskich, ale instytucji o uprawnieniach i jawności porównywalnych z IPCO wciąż nie ma.
Nie chodzi o osłabianie służb, tylko o to, by błędy, które zdarzają się w każdej dużej organizacji, były wychwytywane i naprawiane, zanim przerodzą się w afery. Brytyjski przykład pokazuje, że jawne mówienie o słabościach nie musi szkodzić bezpieczeństwu państwa. Może je wzmacniać, bo zmusza instytucje do naprawy, a opinii publicznej daje podstawę do zaufania. Trudno też zakładać, że gruntowna inwentaryzacja nośników w polskich instytucjach z ostatnich kilkunastu lat zawsze wypadłaby lepiej niż w Cheltenham. Różnica polega na tym, że w Polsce opinia publiczna najprawdopodobniej by się o tym nie dowiedziała.
Co powinno z tego wynikać
Sprawa GCHQ to lekcja dla każdej instytucji i firmy przetwarzającej informacje wrażliwe. Wnioski są stosunkowo proste, choć ich wdrożenie wymaga konsekwencji.
Nośnik wymienny w środowisku niejawnym powinien być wyjątkiem, a nie codziennym narzędziem. Tam, gdzie to możliwe, należy go zastąpić kontrolowanymi rozwiązaniami do przesyłania danych między sieciami o różnych klauzulach, które sprawdzają i rejestrują każdy transfer.
Każdy dopuszczony nośnik powinien być zaszyfrowany zatwierdzonym algorytmem i technicznie powiązany z konkretnym systemem, tak by poza nim był bezużyteczny. Wtedy jego zgubienie jest problemem ewidencyjnym, a nie wyciekiem.
Porty USB na stacjach roboczych powinny przyjmować wyłącznie zarejestrowane urządzenia, a system powinien sam alarmować, gdy nośnik nie wraca w terminie albo pojawia się tam, gdzie nie powinien.
Kontrola stanu musi być regularna, przynajmniej częściowo niezapowiedziana i prowadzona przez osoby spoza komórki, która nośniki wydaje.
Zniszczenie powinno być dwuosobowe i udokumentowane numerami seryjnymi, bo nośnik zniszczony bez protokołu wygląda w ewidencji dokładnie tak samo jak nośnik skradziony.
Szkolenia powinny opierać się na prawdziwych przypadkach, takich jak Agent.btz, Manning czy Martin, i kończyć sprawdzeniem umiejętności, a nie tylko podpisem.
Odpowiedzialność za każdy nośnik musi być imienna, a stan rozliczeń powinien trafiać do kierownictwa równie regularnie jak wyniki operacyjne. Jeśli szef instytucji nie pyta o rejestr nośników, podwładni szybko uznają, że rejestr nie jest ważny.
Ocena końcowa
Nie ma dziś dowodów, że z GCHQ wyciekły dane, i nie należy sugerować, że do tego doszło. Agencja twierdzi, że problem dotyczy ewidencji i że wdrożyła wszystkie zalecenia, a wcześniejsze ustalenia nadzoru wskazują, że większość brakujących urządzeń była zaszyfrowana. Bezsporne jest natomiast, że jedna z najbardziej zaawansowanych technicznie służb świata przez lata nie stosowała zasady, którą sama wpaja innym: trzeba wiedzieć, gdzie są nasze nośniki.
Bezpieczeństwo informacji rzadko przegrywa tam, gdzie technologia jest najbardziej zaawansowana, czyli w kryptografii, ochronie sieci czy zabezpieczeniach fizycznych obiektu. Przegrywa w miejscach, które wydają się oczywiste i nudne: w rejestrze, protokole zniszczenia, pokwitowaniu i inwentaryzacji odłożonej na później. Dobrze, że niezależny nadzór to wychwycił i powiedział o tym publicznie. Gorzej, że po kilku latach wciąż czeka na odpowiedź, którą agencja powinna była mieć od pierwszego dnia. Ostateczną liczbę utraconych nośników GCHQ ma podać po uruchomieniu automatycznego systemu śledzenia. To będzie pierwszy sprawdzian, czy zapewnienia agencji o „kompleksowym” rozwiązaniu problemu znajdą potwierdzenie w faktach.