Cyfrowy genom: dlaczego dane genetyczne to nowa infrastruktura krytyczna bezpieczeństwa narodowego?

Od próbki w probówce do pliku w chmurze: nowy paradygmat zagrożenia

W tradycyjnym myśleniu o bezpieczeństwie biologicznym punktem ciężkości była fizyczna ochrona patogenów – strzeżenie dostępów do laboratoriów wysokiego stopnia hermetyczności (BSL-3, BSL-4) oraz kontrola obrotu groźnymi mikroorganizmami. 

Rewolucja w sekwencjonowaniu nowej generacji (NGS) oraz drastyczny spadek kosztów analizy DNA całkowicie zmieniły układ sił. Dziś informacja biologiczna istnieje i krąży w postaci cyfrowej.

Kluczowym wyzwaniem dla państwowej architektury bezpieczeństwa staje się konwergencja trzech obszarów: 

• masowych baz genomowych (Big Data),
• sztucznej inteligencji (AI),
• syntezy kwasów nukleinowych. 

Algorytmy głębokiego uczenia potrafią w ciągu kilku minut przeanalizować gigantyczne zbiory sekwencji i zidentyfikować nieuchwytne dla człowieka zależności populacyjne: od wzorców podatności na konkretne schorzenia, po unikalne cechy metaboliczne czy immunologiczne.

Z punktu widzenia analizy zagrożeń podwójnego zastosowania (dual-use), ewentualna infiltracja zbioru kompletnych danych genomowych populacji danego państwa daje obcym podmiotom wgląd w biologiczne i zdrowotne wrażliwości całego społeczeństwa. 

Co więcej, rozwój generatywnych modeli biologicznych i komercyjnych usług syntezy DNA sprawia, że przejście od cyfrowego pliku z zapisem informacji genetycznej do fizycznie działającej cząsteczki biologicznej przestało wymagać rozbudowanego zaplecza laboratoryjnego. Stało się przede wszystkim wyzwaniem informatycznym.

Lekcja z 23andMe: jak dane biometryczne trafiają pod młotek

O tym, że masowe bazy genomowe są traktowane jako kluczowy zasób biznesowy i wywiadowczy, świadczą wydarzenia na rynku międzynarodowym.

W tym roku ogłoszona upadłość amerykańskiego giganta genetyki konsumenckiej, firmy 23andMe, pokazała niebezpieczny precedens. Posiadana przez przedsiębiorstwo baza danych – zawierająca profile genomowe ponad 15 milionów osób z całego świata – stała się w toku procedury restrukturyzacyjnej zwykłym aktywem majątkowym, podlegającym wycenie i sprzedaży w ramach masy upadłościowej.

Sytuacja ta wywołała natychmiastową reakcję amerykańskich komisji parlamentarnych oraz służb kontrwywiadowczych. Głównym źródłem niepokoju stało się ryzyko przejęcia tak gigantycznego zbioru wrażliwych danych biometrycznych przez podmioty powiązane z obcymi kapitałowo mocarstwami (np. Chinami). 

W rękach obcego wywiadu baza tego typu stanowi nieocenione źródło informacji operacyjnych:

• Niezbywalna reidentyfikacja: profil DNA jest jedynym identyfikatorem osobniczym, którego nie da się zresetować. Zanonimizowana baza w połączeniu z otwartymi rejestrami danych administracyjnych oraz genealogią cyfrową pozwala na bezbłędne ustalenie tożsamości funkcjonariuszy służb, żołnierzy czy kluczowych urzędników państwowych.
• Szantaż i profilowanie wielogeneracyjne: z uwagi na biologiczne prawa dziedziczenia, ujawnienie profilu genomowego jednej osoby dostarcza danych o zdrowiu i obciążeniach genetycznych jej dzieci, rodziców, rodzeństwa i dalszych krewnych.
• Uczenie modeli AI obcych państw: masowe zbiory danych zróżnicowanych populacji są paliwem do rozwijania zagranicznych algorytmów biotechnologicznych i farmaceutycznych, dając przewagę technologiczną rywalom geopolitycznym dysponującym stosownym instrumentarium informatycznym.

Polska jako genetyczna „szara strefa” i wyciek surowych danych

Na tym tle sytuacja Polski prezentuje się wyjątkowo niepokojąco. 

W przeciwieństwie do większości krajów europejskich, Polska do dziś nie uchwaliła kompleksowej ustawy genetycznej. Sytuacja prawna w naszym kraju wciąż przypomina legislacyjną próżnię, na co zresztą w swoim raporcie pokontrolnym zwracała uwagę Najwyższa Izba Kontroli.

Powoływanie się na unijne RODO czy przepis o ochronie danych medycznych jest z punktu widzenia twardego bezpieczeństwa iluzją. 

RODO traktuje dane genetyczne statycznie. Nie chroni ich przed sprzedażą w postępowaniu upadłościowym komercyjnej firmy, nie reguluje kwestii transgranicznego transferu cyfrowych plików sekwencyjnych i nie zabezpiecza praw rodziny dawcy.

Co więcej, problem dotyka bezpośrednio polskiego sektora naukowego i medycznego. 

Z powodu braku państwowej, konkurencyjnej cenowo infrastruktury do sekwencjonowania wysokowydajnego, polskie instytuty, uczelnie i laboratoria komercyjne – finansowane niejednokrotnie z krajowych grantów publicznych – masowo wysyłają próbki biologiczne oraz surowe pliki danych do tańszych laboratoriów sekwencyjnych poza Unię Europejską, głównie do Chin. 

Dzieje się to bez realnego nadzoru ze strony krajowych służb odpowiedzialnych za cyberbezpieczeństwo i ochronę informacji strategicznych. Raz przekazany na zagraniczny serwer plik z sekwencją DNA opuszcza polską jurysdykcję bezpowrotnie i od tego momentu pozostaje poza jakąkolwiek kontrolą.

Łącznik bezradności: luki w prawie międzynarodowym

Ochrony nie zapewniają również dotychczasowe reżimy międzynarodowe. 

Konwencja o zakazie broni biologicznej (BWC) z 1972 roku tworzona była w realiach analogowych. Zakazuje posiadania i gromadzenia fizycznych prób patogenów czy toksyn, ale milczy na temat cyfrowych zbiorów sekwencji DNA przechowywanych w chmurze i przesyłanych magistralami światłowodowymi. Cyfrowe pliki z zapisem genomów nie podlegają tradycyjnym kontrolom celnym ani inspekcjom granicznym.

Zjawisko to wymusiło powstanie nowej dyscypliny – cyberbiobezpieczeństwa (cyberbiosecurity). Łączy ona klasyczne procedury ochrony teleinformatycznej (szyfrowanie, kontrola dostępu, architektura Zero Trust) z wiedzą z zakresu biologii molekularnej i nadzoru nad obrotem materiałem genetycznym.

Postulaty dla bezpieczeństwa narodowego. Co państwo powinno zrobić?

Jeśli Polska ma uchronić swoich obywateli oraz zasoby biologiczne przed włączeniem w obcy wywiad gospodarczy i militarny, niezbędne są natychmiastowe decyzje na poziomie rządowym i ustawodawczym:

1. Uznanie baz genomowych za infrastrukturę krytyczną: Bazy danych zawierające całogenomowe sekwencje obywateli polskich muszą uzyskać status prawny odpowiadający obiektom i sieciom kluczowym dla bezpieczeństwa państwa, ze ścisłym nadzorem Prezesa Urzędu Ochrony Danych Osobowych jako regulatorem oraz służb specjalnych jako gwarantem bezpieczeństwa.
2. Uchwalenie ustawy genetycznej z wyłączeniem baz z masy upadłościowej: Przepisy muszą jednoznacznie zakazać traktowania baz DNA jako zbywalnego aktywa w postępowaniach egzekucyjnych i upadłościowych firm komercyjnych działających na polskim rynku.
3. Nadzór nad transferem danych i próbek poza EOG: Wprowadzenie rygorystycznych procedur kontrolnych dla podmiotów medycznych i naukowych wysyłających materiał biologiczny oraz surowe pliki z sekwencjami DNA do państw trzecich.
4. Budowa suwerennych centrów sekwencjonowania materiału genetycznego: Stworzenie państwowej, finansowanej i nadzorowanej centralnie infrastruktury wysokowydajnego sekwencjonowania w Polsce, która zapewni nauce i medycynie bezpieczną i tanią alternatywę dla zagranicznych firm biotechnologicznych.
5. Obowiązkowa kontrola zamówień na syntetyczne DNA: Wdrożenie prawno-technicznego wymogu filtrowania przychodzących do dystrybutorów zamówień na syntezę DNA/RNA pod kątem obecności wariantów niebezpiecznych i zgłaszania podejrzanych transakcji do organów bezpieczeństwa.

Ochrona danych genetycznych przestała być wyłącznie zagadnieniem etyki medycznej czy praw pacjenta. W XXI wieku to twardy element suwerenności cyfrowej, odporności państwa na zagrożenia hybrydowe oraz polskiej racji stanu.