Dane w KSeF-ie. Co ukrywa Ministerstwo Finansów?
Ministerstwo Finansów nie chce odpowiadać na pytania dotyczące m.in. udziału zagranicznych firmy w tworzeniu platformy Krajowy System e-Faktur. Czy informacje o polskich przedsiębiorcach są bezpieczne? Co i dlaczego postanowił ukryć resort przed opinią publiczną?
Dyskusja o bezpieczeństwie danych w platformie Krajowy System e-Faktur rozpaliła opinię publiczną, gdy opozycyjni politycy wytknęli Ministerstwu Finansów, że przy tworzeniu tego systemu – z niejasnych powodów – brały udział podmioty zagraniczna.
W lutym poseł Krzysztof Bosak na swoim profilu na Facebooku napisał: „System KSeF realizuje prywatna, zagraniczna firma. W mediach podaje się, że to część francuskiego Thalesa, ale niewiele osób wie, że do 2023 r. była to firma izraelska, która posiadała całe swoje zaplecze badawczo-rozwojowe także w Izraelu. W tym momencie przekazujemy wszystkie swoje faktury do operowania prywatnej firmie, która nawet nie spolonizowała procesu logowania. Robimy rzecz, której nie zrobiły inne państwa europejskie. Inne państwa trzymają infrastrukturę, serwery, systemy logowania, uwierzytelniania u siebie, nawet jeżeli współpracują z sektorem prywatnym. Rząd Tuska wyoutsourcingował za granicę kolejny ogromny obszar danych gospodarczych. Każdy wywiad gospodarczy może tylko pomarzyć, żeby mieć przegląd wszystkich faktur”.
Sprawa była szeroko komentowana w mediach, a przedstawiciele resortu finansów zapewniali, że dane polskich przedsiębiorców są bezpieczne, bo serwery je gromadzące są zlokalizowane w Polsce. Urzędnicy zorganizowali również specjalną konferencję prasową, która – w ich ocenie – miała służyć walce z dezinformacją w sprawie KSeF-u.
– Dane w KSeF nie ulegną zmianie w odniesieniu do tego, co jest dostępne dla organów w tej chwili. Zmienia się tylko sposób gromadzenia i przetwarzania danych, a nie ich zakres – powiedział podczas konferencji Zbigniew Stawicki podsekretarz stanu w Ministerstwie Finansów, zastępca szefa Krajowej Administracji Skarbowej.
Urzędnicy napisali również na swojej stronie internetowej, że: „Informacje w KSeF nie są dostępne publicznie. Ich przetwarzanie, udostępnianie i wykorzystanie odbywa się w ściśle kontrolowany sposób, według jasno określonych procedur. Oznacza to, że uprawniony urzędnik, który chce uzyskać dostęp do informacji z systemu, musi to odpowiednio uzasadnić i posiadać wielostopniowo zatwierdzone uprawnienia. Nie ma tu więc miejsca na przypadkowość ani dowolność. Zarzuty o rzekomej łatwości wycieku danych są krzywdzące, nieuzasadnione i wprowadzające opinię publiczną w błąd. Nie ma żadnych podstaw, by dopatrywać się <<słabych punktów>> systemu, ani sugerować, że pracownicy i funkcjonariusze KAS mogliby być źródłem jakiegokolwiek zagrożenia. Takie stwierdzenia są bezpodstawne i podważają zaufanie do instytucji, która działa według jasno określonych procedur bezpieczeństwa. Tego typu sugestie nie mają poparcia ani w faktach, ani w rzeczywistym funkcjonowaniu administracji skarbowej” – podkreślili w wydanym oświadczeniu.
Czy rzeczywiście tak jest?
Jedna stawka VAT na wszystko? To może być katastrofa
Tak ukrywają informacje
Ponieważ zarówno konferencja prasowa przedstawicieli resortu finansów, jak i szereg publicznych oświadczeń były na dużym poziomie ogólności, zwróciliśmy się do rzecznika prasowego Ministerstwa Finansów z prośbą o odpowiedź na ok. 20 pytań – w tym szczególnie o zagraniczne podmioty, które uczestniczyły w przygotowywaniu platformy KSeF.
Na odpowiedź z Ministerstwa Finansów czekaliśmy miesiąc. Co otrzymaliśmy od urzędników?
„Informacje dotyczące architektury technicznej systemów stanowiących kluczowe elementy infrastruktury IT administracji publicznej oraz szczegóły współpracy z dostawcami nie są publicznie ujawniane. Publicznie komunikowane są wyłącznie ogólne zasady funkcjonowania takich systemów, natomiast detale operacyjne pozostają objęte ograniczeniami informacyjnymi ze względów bezpieczeństwa. Komunikowanie informacji technicznych mogłoby osłabić poziom ochrony systemów IT administracji publicznej – czytamy w odpowiedzi, pod którą nie podpisał się żaden konkretny urzędnik.
W skrócie: resort finansów – z powodów bezpieczeństwa – nie odpowiada, kto pracował przy KSeF.
Pytania, które przesłaliśmy do Ministerstwa Finansów, pokazaliśmy kilku ekspertom ds. bezpieczeństwa systemów teleinformatycznych. Żaden z nich nie wiedział, w jaki sposób odpowiedź na nie miałaby narazić dane w KSeF. Zgodnie ocenili, że resort najwyraźniej ma coś do ukrycia.
(Nie)bezpieczne informacje
Daniel Wasyliszyn, ekspert IT z ponad 20-letnim doświadczeniem w branży, wyjaśnia, że odpowiedź na pytania, które skierowaliśmy do Ministerstwa Finansów, nie wymagała podania szczegółów technicznych, które mogłyby zagrażać bezpieczeństwu danych.
– Pytania dotyczą bardziej zagadnienia, które powinno być uwzględnione podczas wdrożenia każdej platformy, gdzie wydatkowane są publiczne pieniądze – mówi Daniel Wasyliszyn. – Dla przykładu Estonia publikuje kod źródłowy do systemu głosowania. Coraz więcej firm oczekuje dostarczenia rozwiązania razem z kodem źródłowym po to, aby wykonać audyt przez niezależne instytucje. Brak odpowiedzi na te pytania sugeruje po prostu, że system może posiadać wiele błędów, tym bardziej, że jego start był wielokrotnie przesuwany – wyjaśnia.
– Przesłane do Ministerstwa Finansów pytania nie wymagają podania dokładnych danych. Dotyczą procedur związanych z wdrożenieniami całości platformy. System KSeF przetwarza dane gospodarcze i osobowe wielu firm, tak więc zamawiającemu powinno zależeć na wyjaśnieniu wszystkich kwestii z tym związanych, tym bardziej, że branża IT w Polsce ma duże wątpliwości co do jej bezpieczeństwa i zachowania procedur podczas przeprowadzenia wdrożenia – podkreśla Daniel Wasyliszyn.
Zdaniem eksperta
Z kolei dr Artur Bartoszewicz, ekonomista, ekspert w zakresie polityki publicznej, ocenia, że rządzący nie zabezpieczyli właściwie danych polskich przedsiębiorców, a system KSeF nie przeszedł żadnej certyfikacji służb specjalnych.
– Gdyby służby, chociażby ABW, nałożyły parasole i certyfikacje, to Ministerstwo Finansów mówiłoby o tym publicznie, bo jest to ustabilizowanie przekazu i zapewnienie obywateli o roli państwa i ochronie danych, które przekazują przedsiębiorcy. Takie działania po prostu nie były realizowane, a Ministerstwo Finansów nie chce przyznać się do popełnionego błędu, dlatego nie odpowiada na oficjalne pytania o bezpieczeństwo w platformie KSeF – mówi ekpert.
– Ministerstwo Finansów ma obowiązek dzielić się informacją z obywatelem wtedy, kiedy gromadzi i przetwarza dane, tym bardziej że nie wykonuje tego na własne potrzeby tylko w imieniu państwa, a państwo ma gwarantować bezpieczeństwo uczestnikom rynku – ocenia dr Bartoszewicz. – Niestety system zaprojektowany został i uruchomiony w taki sposób, że zagraża bezpieczeństwu polskich przedsiębiorstw, a Ministerstwo Finansów nie ma argumentów, dlatego unika odpowiedzi, co oczywiście z czasem doprowadzi do sytuacji, w której poszczególni przedsiębiorcy po wycieku danych zaczną oskarżać państwo polskie za tego typu zdarzania i wówczas to Polska i polscy podatnicy, będą płacić odszkodowania za wycieki danych z KSeF-u – podkreśla.
🔴 MANUFAKTURA, NIE MASÓWKA. DLACZEGO WOLA PRZYCIĄGA INWESTORÓW?
Ekspert zwraca również uwagę, że dane, które są gromadzone w platformie KSeF „potrafią ustalić całą siatkę relacji uczestnika rynku z innymi podmiotami, jego strategię biznesową czy politykę cenową”.
– Są to dane wrażliwe, które z pewnością będą podlegać zainteresowaniu obcych służb, obcych wywiadów stosujących mechanizmy, które mają doprowadzać do zmniejszenia konkurencyjności polskiej gospodarki. Wypłynięcie takich danych, ich kradzież, będzie bardzo istotną wartością na rynku informacji – mówi dr Artur Bartoszewicz i dodaje, że „informatyzacja musi być narzędziem wdrażanym w bardzo bezpieczny sposób, gwarantujący ochronę”.
– Uznawanie, że system informatyczny rozwiąże problemy państwa, to bardzo niebezpieczna droga. Państwo to są instytucje, a instytucje to ludzie. To są decyzje, to jest ochrona interesów uczestników rynku. Rozwiązania, które są lobbowane przez sektor informatyczny stają w sprzeczności z podstawowym warunkiem bezpieczeństwa i wolności prowadzenia działalności gospodarczej w Polsce. Nie jestem przeciwko informatyzowaniu państwa, ale nie może to być informatyzowanie dla samego informatyzowania. Mają to być narzędzia, które rzeczywiście rozwiązują problemy. KSeF nie rozwiązuje ani problemu związanego z ryzykiem błędu popełnianego przez uczestników rynku, ani nie rozwiązuje problemów związanych z malwersacjami na rym rynku czy z unikaniem opodatkowania. To powinno być narzędzie, które doprowadza uczestnika rynku do działania oczekiwanego. Na pewno nie powinno być narzędziem paraliżującym polską gospodarkę – uważa dr Artur Bartoszewicz.
