Huawei og Tiktok får gjennomgå, men ikke kinesiske Lenovo

I Norge kjøper staten inn flere tusen Thinkpad-laptoper hvert år. Det er ingen restriksjoner på innkjøp eller bruk av de kinesiske datamaskinene.

– Det finnes ingen regler mot kjøp av slike maskiner i offentlig sektor. Vi er heller ikke kjent med at noen har gitt råd om dette, sier Kjetil Østgaard, leder for Statens innkjøpssenter.

Lenovo er verdens største PC-produsent. Det delvis statseide kinesiske foretaket er også en av verdens største server-produsenter.

De unngår langt på vei det kritiske søkelyset og den uttalte frykten for cyberspionasje eller sikkerhetsrisiko som har vært rettet mot kinesisk-eide Huawei, ZTE og Tiktok.

Samtidig er Kina regnet som en av de fremste trusselaktørene mot norske sikkerhetsinteresser, ifølge trusselvurderinger fra PST og E-tjenesten.

I Kina har de også en omstridt sikkerhetslov som pålegger enhver kinesisk borger eller virksomhet, både i og utenfor landet, å samarbeide med kinesisk etterretning.

Dessuten har regjeringen i Norge konkludert med at Kina sto bak det alvorlige datainnbruddet på Stortingets e-postserver i 2021.

Kan minne om teater

Lars Gjesvik er seniorforsker ved Norsk utenrikspolitisk institutt (Nupi). Hva som skiller Lenovo, Huawei og Tiktok, eller hvorfor de blir møtt vidt forskjellig, er det ikke lett å bli klok på.

– Det kan virke tilfeldig hva slags teknologi som blir problematisert. Ofte er det ikke helt klart definert hvilken sikkerhetsrisiko man egentlig er bekymret for. Når man ikke er tydelig på hvilken problemstilling man adresserer, kan man jo spørre seg hvorfor man skal slette Tiktok, hvis man fortsatt kan bruke datamaskiner fra Lenovo, sier Gjesvik til Digi.

Slik utestengelse kan minne om sikkerhetsteater, mener han. Sårbarheter finnes nemlig i all teknologi. Det er fullt mulig for kinesisk etterretning å finne disse uten hjelp fra innsiden, argumenter han i en kronikk i Aftenposten.

Fra trangt skur til milliardkonsern

Lenovo-grunnlegger Liu Chuanzhi (79) har sin utdannelse fra en militær ingeniørskole, Folkets frigjøringshærs institutt for telekommunikasjonsingeniørkunnskap, i dag kjent som Xidian-universitetet.

I 1984 grunnla han Legend i Beijing med ti kollegaer fra Institutt for databeregning ved Kinas statlige vitenskapsakademi (Chinese Academy of Sciences).

Akademiet lånte dem 200.000 yuan (rundt 290.000 norske kroner) til oppstart.

– Enkelte programvareleverandører og teknologiselskaper av kinesisk opprinnelse kan ha koblinger til kinesiske myndigheter. Generelt peker både NSM og de andre EOS-tjenestene på etterretningstrusselen fra Kina, og dermed et ekstra behov for aktsomhet.

Det skriver fagdirektør Andreas Skjøld-Lorange i Nasjonal sikkerhetsmyndighet (NSM) i en e-post til Digi.

De første årene vokste selskapet som distributør og underleverandør, først spesialisert på TV-apparater. Etter hvert ble fokuset flyttet over på å skru sammen datamaskiner på oppdrag fra blant annet IBM.

Legend lanserte sin første merkevare-PC i 1990. Siden vokste de på produksjon av datamaskiner i det enorme hjemmemarkedet. Ved børsintroduksjon i Hongkong i 1994 ble det hentet inn omtrent 30 millioner dollar.

Slukte IBMs produksjon

Legend ble senere omdøpt til Lenovo i 2003, som ledd i en plan om å ekspandere internasjonalt.

Det er snart 20 år siden Lenovo i 2005 kjøpte opp Thinkpad fra IBM og med det overtok PC-produksjonen til IBM. Dermed ble de en global virksomhet og en sentral aktør i bedriftsmarkedet.

I 2014 tok Lenovo også over IBMs produksjon av x86-servere. Det var tidenes største oppkjøp gjort av et kinesisk foretak utenfor Kinas landegrenser.

Samme år slukte de Motorola Mobility, som bare fikk en kort stopp innom Google før kineserne overtok den amerikanske mobilpioneren.

Privat eller statlig eierskap?

Lenovo-konsernet er delvis eid av Folkerepublikken Kina gjennom morselskapet Legend Holdings Corporation, som eier 33,94 prosent per utgangen av mars 2023.

Konsernsjef og styreleder Yang Yuanqing i Lenovo eier 8,8 prosent av aksjene i selskapet. Han har vært omtalt som «Kinas svar på Bill Gates» og er en av landets rikeste.

Oljefondet eier for øvrig 0,94 prosent av aksjene i Lenovo Group Ltd, som er notert på Hongkong-børsen. Norges andel er i skrivende stund verdt 925 millioner kroner.

Det er et åpent spørsmål om Lenovo kan regnes som et privateid foretak eller om de i praksis er kontrollert av den kinesiske stat. Sannheten kan være et sted midt i mellom, argumenteres det i en masteroppgave i Asia-studier ved Hebrew University i Jerusalem.

Hvis den autoritære ettpartistaten skulle få behov for å øve mer direkte kontroll over Lenovo, har de trolig nok lojale støttespillere blant aksjonærene til å gjøre det, ifølge avhandlingen.

Selskapet er uenig og svarer nederst i saken.

Lenovos toppsjef Yang er blant annet utpekt av kommunistpartiet som representant i Det kinesiske folks politisk rådgivende konferanse (KFPRK). 2158 medlemmer av Kinas elite sitter i dette organet, som gir råd til det kinesiske kommunistpartis politbyrå.

Kinas vitenskapsakademi er stadig majoritetseier i Legend Holdings. De kontrollerer 29,04 prosent av aksjene i Lenovo-konsernets morselskap, viser en fersk finansrapport.

En annen betydelig aksjonær er eiendomsmogul og mangemilliardær Lu Zhiqiang. Gjennom investeringsselskapet China Oceanwide eier han i dag 11,6 prosent av Legend Holdings. Lu er medlem av kommunistpartiet og utpekt partisekretær i sitt eget selskap. Det er riktignok et verv som alle kinesiske bedrifter av en viss størrelse er pålagt å ha.

Lenovo på «låven»

Som en av verdens største produsenter er Lenovo godt representert også i norske datarom.

Braathe (tidligere Braathe-gruppen), en nasjonal tilbyder av IT-tjenester, er bare ett av mange eksempler. Digi besøkte selskapets datasenter på Nærum gård i Rygge for fire år siden og kunne da observere mange titalls rack fulle med såkalte «kinaservere».

Utstyret fra Lenovo, standard x86-servere, kjørte tusenvis av virtuelle servere og behandlet således betydelige datamengder på vegne av kunder i både offentlig sektor og næringsliv.

Anders Martinussen Pedersen er leder for salg og marked i Braathe. Han forteller at samarbeidet deres startet allerede med IBM, lenge før Lenovo tok over PC- og serverproduksjonen.

– Vår holdning til Lenovo som teknologiprodusent er at de leverer høy kvalitet på sine produkter, har et godt omdømme og er konkurransedyktige på pris. Vårt samarbeid er tettest på den norske og skandinaviske organisasjonen, og vi har ikke opplevd noen situasjoner som gir grunn til å møte dem med tvil eller skepsis, sier Pedersen.

Videre poengterer han at Lenovo er leverandør av maskinvare.

– De leverer maskinvare og lagrer/prosesserer ikke persondata på samme linje som for eksempel Tiktok. Vi er dog ydmyke i møtet med konsekvenser av den spente geopolitiske situasjonen og har i de senere år satt økt fokus på evaluering og kvalitetssikring av utstyrsleverandører til vårt datasenter, blant annet gjennom arbeidet med den norske åpenhetsloven.

– Utover det jobber vi stadig for økt diversifisering i eget datasenter, uten at det får gå ut over kvalitet og sikkerhet for våre kunder. Datasenteret vårt er dermed i dag mer mikset enn det har vært tidligere og driftes med utstyr fra både Lenovo og andre maskinvareprodusenter, avslutter Anders Martinussen Pedersen.

Ingen generell retningslinje

Justisdepartementet fraråder Tiktok på jobbenheter. Den anbefalingen er det mange som har valgt å følge, blant annet politiet. En lang rekke norske kommuner pålegger nå ansatte og folkevalgte om å fjerne appen.

Forsvaret har gått enda lenger. De har blant annet stanset kjøp av kinesiske skannere og innført et regelrett forbud mot Tiktok-appen.

Derimot foreligger det ingen kjente råd eller hindre mot bruk av Lenovo. Heller ikke på øverste politiske hold.

– Statsministerens kontor (SMK) har ingen Lenovo-maskiner, verken i departementet eller på hjemmekontor. Det er heller ingen råd eller regler for bruk av slikt utstyr, svarer kommunikasjonssjef Anne Kristin Hjukse ved Statsministerens kontor (SMK).

I Justis- og beredskapsdepartementet vil de verken bekrefte eller avkrefte om de har kinesiske datamaskiner.

– Departementet går av sikkerhetshensyn ikke ut med informasjon om hva slags utstyr, merke, modell eller leverandør vi har. Det er en reell fare for at offentliggjøring av slik informasjon kan medføre skadevirkninger av et visst omfang, svarer en pressekontakt.

Stortinget benytter verken PC-er eller servere fra Lenovo. Det får Digi bekreftet fra avdelingssjef Bjarne Østby i IT-avdelingen. Hvilken holdning har Stortinget når det kommer til innkjøp og bruk av utstyr fra en kinesisk PC-produsent?

– Stortinget gjør sikkerhetsvurderinger i alle anskaffelser. Stortinget har ikke en generell retningslinje som gjelder leverandører fra noe spesifisert land, heller ikke Kina, sier Østby.

NSM er opptatt av bevissthet

Nasjonal sikkerhetsmyndighet (NSM) er fagmyndighet når det gjelder vurderinger knyttet til IKT-utstyr.

Har sikkerhetsmyndigheten på noe tidspunkt gjort en vurdering om det bør innføres tiltak eller råd knyttet til bruk av PC-er eller servere fra Lenovo, slik de gjorde om Tiktok?

Andreas Skjøld-Lorange i NSM svarer ikke direkte på spørsmålet, men skriver blant annet følgende i en e-post til Digi:

– Det er flere kinesiske leverandører av IKT-utstyr i dette segmentet og vi vet at flere virksomheter nasjonalt anvender dem i sine ugraderte systemer.

Generelt viser han til at det på virksomhetsnivå bør gjøres en risikovurdering av slike anskaffelser. Da med særskilt fokus på at det ikke er installert unødvendig eller ukjent programvare som kan bli brukt av en trusselaktør.

– Men har NSM foretatt foretatt en vurdering av Lenovo, eller ikke?

– For NSM er det den generelle bevisstheten som er viktig, at virksomheter gjør gode risikovurderinger i anskaffelsesprosesser. NSM ønsker ikke å gå inn på hvilke vurderinger vi gjør eller hvem vi har vurdert. I det bildet er det relevant å se hen til de åpne trusselvurderingene, sier fagdirektør Andreas Skjøld-Lorange.

Tilsvar

Lenovo har via et byrå sendt oss et tilsvar på engelsk. Digi har oversatt teksten til norsk. Innlegget er tilskrevet en ikke-navngitt talsperson for Lenovo.

– Som et foretak i privat sektor notert på Hongkong-børsen har Lenovo etablert en global tilstedeværelse på tvers av 180 markeder. Vårt lederteam og uavhengige styremedlemmer kommer fra ulike bakgrunner, og vi følger globale beste praksis innen eierstyring og selskapsledelse. Vi tar ansvaret for våre kunders sikkerhet på alvor og streber etter å opprettholde de høyeste standardene for kvalitet og sikkerhet i alle våre produkter og tjenester. Det gjelder fra produktutvikling og design så vel som gjennom hele vår globale forsyningskjede, heter det i tilsvaret.