André Catry: Att välja Zoom naivt ur svenskt säkerhetsperspektiv

Stockholms stad har nyligen beslutat att övergå från Microsoft Teams till videotjänsten Zoom. Skälet sägs vara GDPR. Det är riktigt att Teams inte är GDPR-säkert, men uppfattningen att Zoom skulle vara bättre ur GDPR-synpunkt delas inte av lejonparten av myndighetssverige. Framför allt är det inte GDPR man bör fokusera på här.

Det stora bekymret är att Stockholms stads videotjänstbyte riskerar att få negativa konsekvenser för Sveriges säkerhet.

Säpo varnar för Kina

Ända sedan 2017 har Säpo i sin årsbok pekat ut tre länder som de största hoten mot Sveriges säkerhet; nämligen Ryssland, Iran och Kina. Kina beskrivs som en nation som bedriver en betydande underrättelseinhämtning. De ägnar sig åt cyberspionage, strategiska uppköp och påtryckningar eller hot mot bland annat svenska politiska beslutsfattare. Spionaget riktar sig mot både militära och civila mål av betydelse för svensk säkerhet, liksom mot den pågående uppbyggnaden av totalförsvaret. Stockholms stad med sina ökade uppgifter inom totalförsvaret är just en sådan aktör. 

Att Zoom är ett företag med anknytning till just Kina borde inte ha undgått Stockholms stad. Det har skrivits spaltmeter om saken. Zoom grundades 2011 av Eric Yuan, som både är amerikansk och kinesisk medborgare. Huvuddelen av utvecklingen av Zoom sker just i Kina, där de också har många av sina datacenter. Över 700 kineser i Kina svarar för att utveckla Zoom och dess säkerhetsfunktioner. Det är förstås oemotståndligt för den kinesiska underrättelsetjänsten. 

År 2020 åtalades en före detta chef hos Zoom i amerikansk domstol för trakasserier, konspiration och olagligt överförande av identifieringsmedel till Kina. Bolaget beskrev hur de upplevt sig vara tvingade till samarbete med kinesiska myndigheter, eftersom de måste följa lagen i respektive användares land. 

Kinesiska medborgare måste stödja underrättelsearbetet

Den kinesiska lagen Nationell underrättelselag NIL från 2017 anger att varje organisation eller medborgare i Kina ska samarbeta och stödja det statliga underrättelsearbetet. I utbyte ger staten via lagen också skydd till den hjälpande organisationen eller medborgaren. Lagen har fått långtgående effekter. Bland annat har kinesiska studenter vittnat i media om att den som studerar utomlands tvingas skriva på kontrakt. 

Även Säpo menar att kinesiskägda företag enligt lag är skyldiga att dela med sig av sin teknologi och kunskap till Kinas civila och militära underrättelsetjänster. Detta var skälet till att Säpo år 2021 rekommenderade Post- och telestyrelsen (PTS) att utestänga det kinesiska bolaget Huawei från att delta i utbyggnaden av det svenska 5G-nätet. För att möjliggöra detta krävdes en förändring i den svenska lagen om elektronisk kommunikation. Bland annat gjordes tillägget att: ”Vid tillämpningen av lagen ska särskilt Sveriges säkerhet liksom elektroniska kommunikationers betydelse för yttrandefrihet och informationsfrihet beaktas”. 

Den politiska samsynen i den här frågan tycks vara stor. När det statliga kinesiska bolaget CTRG vann en upphandling av t-baneutbyggnad i Stockholm citerade Svenska Dagbladet vår nuvarande försvarsminister Pål Jonsson (M) enligt följande: ”Vi vill också ha till en liknande granskning när företag från ett annat land vill ta över driften av tåg, tunnelbana eller annan viktig infrastruktur i Sverige”.

Skillnad mellan USA och Kina

Snabb teknikutveckling, molntjänster och allt fler uppkopplade system ger nya möjligheter för svensk tillväxt – men också större risker för spionage mot Sverige från Kina och andra. Sveriges snabba digitalisering har gjort vårt land mer sårbart och ökat hotbilden. 

Med den kunskap vi idag har och med bakgrund av Säpos tydliga budskap, måste man bli bekymrad över Stockholms stads beslut.

De har kanske tyckt sig välja mellan pest och kolera, mellan två tjänster som båda förlägger molnlösningarna utanför Sverige. Men det är skillnad på USA och Kina. Med USA delar Sverige huvudsakligen den utrikes- och säkerhetspolitiska analysen, och vi delar framför allt en demokratisk grundsyn. Kina däremot, utgör ett verkligt säkerhetshot mot Sverige. 

Det är lika uppenbart som det är sorgligt att nationell säkerhet inte har varit ett kriterium vid valet av videotjänst. Och valet av Zoom, med dess tydliga anknytning till just Kina, kan ur ett svenskt säkerhetsperspektiv inte kallas för något annat än naivt.

André Catry, författare, Senior Advisor inom IT-/informationssäkerhet och cyberrisk