KSeF może wysadzić bezpieczeństwo polskich firm
Krajowy System e Faktur to państwowa platforma służąca do wystawiania, odbierania i przechowywania faktur ustrukturyzowanych. W praktyce stanie się centralną bazą informacji o niemal wszystkich transakcjach biznesowych w Polsce. Dane o sprzedaży, zakupach, kontrahentach oraz szczegółach transakcji będą trafiały tam w czasie bardzo zbliżonym do rzeczywistego.
KSeF ma służyć przede wszystkim administracji skarbowej jako narzędzie kontroli. Urzędnicy zyskają możliwość obserwowania przepływów gospodarczych minuta po minucie, sprawdzania kto z kim handluje oraz na jakich warunkach.
Dlaczego KSeF nazywany jest tykającą bombą fakturową
Centralna baza wszystkich transakcji
Do tej pory dane o fakturach były rozproszone w systemach firm i biur rachunkowych. KSeF zbiera te informacje w jednym miejscu. Z punktu widzenia fiskusa to ułatwienie. Z punktu widzenia bezpieczeństwa państwa i przedsiębiorców powstaje jeden strategiczny punkt, którego zablokowanie lub skompromitowanie może mieć skutki dla całej gospodarki.
W systemie znajdą się nie tylko kwoty i numery faktur. Będą tam informacje o tym, kto z kim handluje, jakie są ceny, rabaty, terminy płatności, rodzaj towaru oraz często również środek transportu i miejsce dostawy. W sektorach wrażliwych takich jak zbrojeniówka, energetyka czy paliwa oznacza to bardzo dokładną mapę łańcuchów dostaw oraz ich słabych punktów.
Wrażliwe dane o sektorach strategicznych
W KSeF będą widoczne transakcje firm z branży zbrojeniowej, producentów amunicji, dostawców paliw, energii oraz podmiotów zapewniających logistykę i usługi pomocnicze. Na podstawie tych danych można odtworzyć sieć współpracy między kluczowymi zakładami a mniejszymi firmami zajmującymi się transportem, cateringiem czy sprzątaniem. To tam często znajdują się najsłabsze ogniwa, które obce służby mogą próbować wykorzystać.
Najważniejsze ryzyka bezpieczeństwa związane z KSeF
Ryzyko kradzieży danych przez obce wywiady i wywiadownie gospodarcze
Pierwszym obszarem ryzyka jest przejęcie danych przez obce wywiady lub wywiadownie gospodarcze. Znajomość cen, rabatów, skali zamówień oraz listy dostawców może posłużyć do prowadzenia agresywnej gry konkurencyjnej. Możliwe jest precyzyjne podcinanie marż, podbieranie klientów oraz kopiowanie strategii handlowych.
Jeszcze poważniejsze są zagrożenia dotyczące bezpieczeństwa państwa. Po wykradzeniu danych o dostawach do zakładów zbrojeniowych można określić skalę i tempo produkcji, a także miejsca i czas dostaw. Ułatwia to planowanie sabotażu fizycznego lub cybernetycznego.
Ryzyko paraliżu gospodarki przez atak na system
Drugim dużym ryzykiem jest atak, którego celem nie będzie kradzież informacji, ale zablokowanie działania KSeF. Faktury są podstawą rozliczeń między firmami oraz dokumentem wymaganym dla celów podatkowych. Jeżeli system przestanie działać, masowo zatrzyma się wystawianie faktur, a wraz z nim obieg pieniędzy w gospodarce.
Ponieważ KSeF ma obsługiwać miliony dokumentów w krótkim czasie, staje się naturalnym celem ataków mających na celu sparaliżowanie polskiej gospodarki poprzez uderzenie w jeden centralny punkt.
Czynnik ludzki jako najsłabsze ogniwo
W każdym systemie bezpieczeństwa najsłabszym elementem pozostaje człowiek. Z KSeF będzie korzystać liczna grupa urzędników i pracowników administracji skarbowej. Każda osoba z dostępem do danych może stać się celem socjotechniki lub korupcyjnych propozycji.
Nawet bardzo szczegółowe procedury weryfikacji i kontroli nie dają pełnej pewności, że w tak dużej grupie użytkowników nie pojawi się osoba gotowa sprzedać dane lub świadomie otworzyć furtkę do systemu. Zapowiadany monitoring każdego logowania i każdej operacji w KSeF zmniejsza ryzyko, ale nie eliminuje go całkowicie.
Niewystarczające przetestowanie systemu
Eksperci zwracają uwagę, że system tej skali powinien być bardzo dokładnie przetestowany przez wyspecjalizowane służby cyberbezpieczeństwa. Obawy budzi fakt, że prace nad pełnymi testami bezpieczeństwa zaczęły się stosunkowo późno, mimo że Polska jest jednym z najczęściej atakowanych państw w Unii Europejskiej w przestrzeni cyfrowej.
Czy korzyści fiskusa są warte takiego ryzyka
Resort finansów zakłada, że dzięki KSeF nastąpi uszczelnienie poboru podatków, przede wszystkim VAT. Dodatkowe wpływy do budżetu mają wynikać z szybszego wychwytywania oszustw oraz nieprawidłowości w rozliczeniach.
Z drugiej strony potencjalne skutki udanego ataku na KSeF albo masowego wycieku danych są praktycznie niewymierne. Sparaliżowanie systemu może zatrzymać obieg faktur, a więc także przepływy finansowe między firmami. Kradzież danych o transakcjach i powiązaniach gospodarczych może narazić polskie przedsiębiorstwa na poważne straty, a strategiczne sektory na działania wrogich podmiotów.
W tym sensie KSeF jest postrzegany jako tykająca bomba fakturowa. Nie chodzi wyłącznie o techniczny system do wystawiania faktur, lecz o centralne repozytorium danych o całej gospodarce, które może stać się celem ataków o bardzo szerokich konsekwencjach.
Co powinni zrobić przedsiębiorcy przed startem KSeF
Przygotowanie firmy na nowe realia
Przedsiębiorcy nie zdecydują o tym, czy KSeF zostanie wdrożony, ale mogą przygotować swoje firmy na nowe ryzyka. W praktyce warto.
Sprawdzić, jakie dane są wpisywane na fakturach i ograniczyć te informacje, które nie są wymagane przepisami.
Uporządkować zasady dostępu do systemów finansowo księgowych, ponieważ to z nich będą wysyłane dane do KSeF.
Przeprowadzić szkolenia z zakresu cyberhigieny, w tym rozpoznawania prób phishingu oraz ataków socjotechnicznych.
Traktowanie KSeF jako elementu ryzyka biznesowego
KSeF jest systemem państwowym, ale skutki jego awarii lub wycieku danych odczują konkretne firmy. Dlatego przedsiębiorcy powinni traktować bezpieczeństwo KSeF jako element własnego ryzyka operacyjnego. Warto na bieżąco śledzić komunikaty dotyczące działania systemu, jego aktualizacji oraz ostrzeżeń związanych z cyberatakami.
Podsumowanie
KSeF czyli Krajowy System e Faktur ma stać się obowiązkowym kanałem wystawiania i odbierania faktur w Polsce. W jednym miejscu zostaną zgromadzone dane o niemal wszystkich transakcjach biznesowych. Dla administracji skarbowej oznacza to potężne narzędzie kontroli i uszczelnienia systemu podatkowego. Dla bezpieczeństwa państwa i przedsiębiorców oznacza to centralny punkt, którego przejęcie lub zablokowanie może mieć bardzo poważne skutki.
Eksperci ostrzegają, że KSeF jest tykającą bombą fakturową. W systemie znajdą się nie tylko informacje o kwotach i kontrahentach, lecz także o strukturze łańcuchów dostaw, także w sektorach strategicznych takich jak zbrojeniówka i energetyka. Ryzyka obejmują kradzież danych, paraliż gospodarki przez atak blokujący system oraz nadużycia ze strony osób posiadających legalny dostęp do KSeF. Potencjalne korzyści fiskusa trzeba więc zestawić z trudnymi do oszacowania stratami, jakie mogłoby spowodować udane uderzenie w tak scentralizowany system.
