Ekspertka: z deklaracji resortu finansów wynika, że KSeF spełnia standardy cyberbezpieczeństwa

W niedzielę ruszył Krajowy System e-Faktur (KSeF), za pośrednictwem którego przedsiębiorcy wystawiają, przesyłają i przechowują faktury w obrocie z innymi przedsiębiorcami. Na początku system ten obejmuje 4,2 tys. największych firm.

Jak zaznaczyła dla PAP ekspertka ds. cyberbezpieczeństwa i ochrony danych Joanna Wziątek-Ładosz, KSeF skupia w jednym systemie informacje o relacjach handlowych niemal całej polskiej gospodarki. „Zbiór wszystkich faktur tworzy bardzo dokładną mapę zależności rynku, które z punktu widzenia cyberbezpieczeństwa mogą zostać wykorzystane chociażby do ataków na łańcuchy dostaw” - zauważyła. Dodała, że cyberprzestępcom może też zależeć na danych dot. obszarów strategicznych, np. na informacjach o zakupach w sektorze militarnym czy infrastruktury krytycznej.

„KSeF był regularnie poddawany licznym testom, w tym testom wydajnościowym, bezpieczeństwa oraz odporności na awarie. Został także przetestowany w zakresie cyberbezpieczeństwa oraz był tworzony we współpracy ze służbami bezpieczeństwa państwa. KSeF spełnia również wymogi w zakresie ochrony danych osobowych” - zadeklarowało Ministerstwo Finansów w komunikacie. Jak poinformował podczas konferencji prasowej dyrektor Centrum Informatyki Resortu Finansów (CIRF) Roman Łożyński, KSeF jest utrzymywany przez ekspertów CIRF oraz spółki Aplikacje Krytyczne. Dodał, że serwery są zlokalizowane na terenie Polski, a system wykorzystuje krajową infrastrukturę i krajowe zaplecze.

„Taka architektura jest zgodna z najlepszymi praktykami dla dużych systemów państwowych” - oceniła Wziątek-Ładosz. Dodała, że fizyczne i terytorialne rozproszenie ośrodków zwiększa odporność na awarie i przerwy w działaniu. „Jeden pożar, blackout czy awaria nie powinny mieć wpływu na działanie całego systemu” - wskazała. Zauważyła przy tym, że resort finansów nie podał informacji, jak chronione są kopie zapasowe systemu KSeF. „Czas pokaże czy deklarowane zabezpieczenia są odpowiednio silne” - oceniła ekspertka.

Resort finansów podał, że do zabezpieczenia danych w KSeF użyto narzędzi szyfrowania i kryptografii, które są częścią infrastruktury MF. „KSeF został również wpisany do rejestrów systemu infrastruktury krytycznej, co oznacza, że podlega najwyższym standardom bezpieczeństwa” - podkreślił resort. Dodał, że faktury są szyfrowane już w momencie wysyłania do KSeF i że tylko infrastruktura MF posiada narzędzia do ich odszyfrowania. Podczas konferencji prasowej Łożyński przypomniał, że kwestia poufności danych ujęta jest w przepisach o tajemnicy skarbowej. Dodał, że KSeF jest chroniony „wielowarstwowym systemem odpornościowym”, który obejmuje m.in. ataki DDoS, a system ten nie ma dostępu do treści faktur.

„Jest to bardzo istotne i zgodne z rynkowymi standardami” - oceniła Wziątek-Ładosz. Jak wskazała, deklaracje MF oznaczają, że nawet jeśli ktoś zobaczy ruch sieciowy lub fragmenty danych technicznych, nie zobaczy treści faktur bez posiadania kluczy szyfrujących. „Niestety ministerstwo nie podało informacji o stosowanych metodach kryptograficznych” - zwróciła uwagę. Jej zdaniem, w cyberbezpieczeństwie nie chodzi o to, żeby algorytm był tajny, a o to, żeby był „sprawdzony, dobrze wdrożony i żeby klucze szyfrujące były ściśle kontrolowane”.

Ekspertka zaznaczyła, że największe wycieki danych w Polsce i na świecie rzadko wynikają ze złamania algorytmu szyfrującego. Jej zdaniem, wycieki częściej są efektem nadużyć posiadanych uprawnień czy błędów proceduralnych. Celem ataków stają się też systemy znajdujące się w łańcuchu dostaw, często mniej zabezpieczone jak np. systemy do wystawiania faktur podłączone do systemu KSeF - zaznaczyła.

Jak wskazał dyrektor Centrum Informatyki Resortu Finansów w rozmowie z PAP, dostęp do danych będą mieli ci pracownicy KAS, którzy przejdą określone procedury w zakresie udostępniania danych np. w związku z prowadzonym przez nich postępowaniem. - Ruch oczywiście jest logowany; zapisywany po to, aby było wiadomo, kto uzyskał dostęp i co robi w systemie - podkreślił szef CIRF.

„Z punktu widzenia cyberbezpieczeństwa odpowiada to dwóm zasadom: minimalnych uprawnień i »tylko wtedy, gdy to konieczne«, które są fundamentem bezpieczeństwa” - skomentowała Wziątek-Ładosz. Zaznaczyła przy tym, że każdy system jest też obarczony ryzykiem błędu ludzkiego. „Czy dostępy do danych będą przyznawane z zachowaniem najwyższej staranności, czyli tylko w uzasadnionych przypadkach; tylko osobom, które taki dostęp powinny otrzymać, do minimalnej ilości danych i tylko na niezbędny czas?” - zastanawia się ekspertka. „Tego nie da się ocenić na podstawie deklaracji resortu” - dodała.

Na podstawie informacji przekazanych przez MF i CIRF Wziątek-Ładosz oceniła, że „KSeF został zaprojektowany z uwzględnieniem podstawowych i uznanych zasad bezpieczeństwa”. Jednak - jej zdaniem - nie można jednoznacznie potwierdzić odporności systemu na wszystkie scenariusze zagrożeń, bo takie potwierdzenie wymagałoby niezależnych audytów i sprawdzenia, jak działania system w realnych warunkach, co jest „normalne dla systemów takiej skali”.

Jak podkreśliła Wziątek-Ładosz cyberbezpieczeństwo nie jest stanem danym „raz na zawsze”; to proces, który sprawdza się w czasie wraz z pierwszymi incydentami i sposobem reakcji na nie. W związku z tym prawdziwym testem nie będą deklaracje resortu, tylko pierwszy okres działania i sposób reagowania na ewentualne incydenty - zaznaczyła ekspertka.

W tym tygodniu MF zorganizowało dwie konferencje prasowe i wydało komunikat na temat bezpieczeństwa KSeF, w związku pojawiającymi się w mediach i social mediach doniesieniami, że system może być nieprawidłowo zabezpieczony. Resort nazwał te doniesienia dezinformacją. „Zarzuty o rzekomej łatwości wycieku danych są krzywdzące, nieuzasadnione i wprowadzające opinię publiczną w błąd. Nie ma żadnych podstaw, by dopatrywać się »słabych punktów« systemu ani sugerować, że pracownicy i funkcjonariusze KAS mogliby być źródłem jakiegokolwiek zagrożenia. Takie stwierdzenia są bezpodstawne i podważają zaufanie do instytucji, która działa według jasno określonych procedur bezpieczeństwa” - wskazał resort w komunikacie. Dodał, że KSeF nie jest narzędziem służącym do inwigilacji. Ma natomiast pomóc państwu chronić przedsiębiorców przed nieuczciwą konkurencją, bez konieczności przeprowadzania kontroli w firmach i żądania od nich dodatkowych dokumentów.

Krajowy System e-Faktur w pierwszym etapie obejmuje tylko największe firmy, czyli takie, które w 2024 r. miały obroty przekraczające 200 mln zł. Według szacunków Ministerstwa Finansów tego typu firm jest ok. 4,2 tys. W drugim etapie, który rozpocznie się 1 kwietnia br., system obejmie pozostałe firmy - z wyjątkiem tych najmniejszych, które mają być nim objęte od 1 stycznia 2027 r.

Monika Blandyna Lewkowicz (PAP)

mbl/ ms/ mick/