Faktury w KSeF będą bezpieczne? Eksperci ostrzegają
Obowiązkowy Krajowy System e-Faktur wchodzi lada dzień, ale wciąż toczy się dyskusja, czy system będzie bezpieczny, jeśli chodzi o wrażliwe dane polskich firm, a jednocześnie czy polski rząd będzie miał kontrolę nad tym, gdzie te dane będą trafiać.
Z KSeF-em jest taki podstawowy problem, że musi spełniać dwa, częściowo sprzeczne wymogi. Chodzi o to, by był odporny na ataki i działał bez przerw, ale jednocześnie by państwo miało pełną kontrolę nad danymi o fakturach. To klasyczny konflikt między bezpieczeństwem działania a suwerennością technologiczną i nie ma tu złotego środka, możliwe są tylko kompromisy.
Jak bezpieczny jest KSeF?
Część ekspertów od cyberbezpieczeństwa zwraca uwagę, że w obecnej architekturze ruch do KSeF-u przechodzi przez infrastrukturę zewnętrznego dostawcy zabezpieczeń. Oznacza to, że dane są technicznie odszyfrowywane poza serwerami państwowymi. Krytycy podkreślają, że nawet jeśli nikt faktycznie nie zagląda do treści faktur, sama teoretyczna możliwość takiego wglądu budzi niepokój.
Innym źródłem obaw są tak zwane metadane, czyli informacje o tym, kto, kiedy i jak często wystawia faktury. Zdaniem krytyków analiza takich danych pozwala odtworzyć sieć relacji gospodarczych, bez czytania samych dokumentów. Są to informacje poufne, bo są w nich zawarte realne przepływy w gospodarce i aktywność dużych podmiotów, także tych o znaczeniu strategicznym.
Więcej wiadomości na temat KSeF można przeczytać poniżej:
Kolejnym źródłem kontrowersji kwestia jurysdykcji. Część infrastruktury bezpieczeństwa KSeF należy do firmy, która wywodzi się z USA. To rodzi pytania o amerykańskie prawo, które w określonych sytuacjach pozwala służbom żądać dostępu do danych, a polityka obecnej administracji Białego Domu też nie napawa optymizmem. Niektórzy obawiają się scenariusza, w którym amerykańskie służby grzebią w tych danych bez wiedzy polskich instytucji.
Bezpieczeństwo kontra suwerenność
Ministerstwo Finansów i eksperci broniący KSeF-u odpowiadają, że kluczowe jest realne bezpieczeństwo działania systemu. Wiceminister Marcin Łoboda wskazywał, że działający już od 2022 r. KSeF jest celem tysięcy prób ataków dziennie, a bez zaawansowanej ochrony mógłby zostać sparaliżowany w kilka minut. Niestety Polska nie dysponuje obecnie własną infrastrukturą, która byłaby w stanie chronić KSeF wystarczająco skutecznie.
Faktury nie są i nie mogą być dostępne poza systemem KSeF – jest to bezpośredni efekt zastosowanego procesu szyfrowania treści faktur wykorzystywanego przez Ministerstwo Finansów oraz rygorystycznych wymogów bezpieczeństwa – czytamy w oświadczeniu resortu.
Problem polega na tym, że Ministerstwo Finansów każe nam wierzyć na słowo, zapewniając, że system jest całkowicie bezpieczny i nikt niepowołany nie będzie mieć wglądu w faktury. To przyjmuje czasem wręcz kuriozalną formę. Na stronie informacyjnej o KSeF-ie w sekcji „najczęściej zadawane pytania” odpowiedzią na pytanie, czy system będzie bezpieczny, jest po prostu „tak”:
Ministerstwo wskazuje na umowy i przepisy RODO. Mówią one, że dane mają być przetwarzane wyłącznie na terenie Unii Europejskiej, a dostawcy nie mogą ich analizować ani wykorzystywać do własnych celów. Resort zaznacza, że właścicielem firmy zabezpieczającej jest unijny, a dokładnie francuski koncern Thales związany z sektorem obronnym NATO, co ma być gwarancją zaufania.
