💣 Tykająca bomba w KSeF?

Miało być bezpieczniej, szybciej i sensowniej, a wyszło jak zwykle. Mój widz zgłosił mi ostatnio pewien problem, który cóż, wydaje się być w pełni zaakceptowany przez Ministerstwo Finansów, a może nieźle zamieszać. Bo widzicie, jeśli prowadzicie firmę, pracujecie w księgowości albo po prostu wystawiacie faktury, to prędzej czy później traficie na KSEF, czyli Krajowy System e-Faktur, przez który mają przechodzić wszystkie faktury. O co się rozchodzi? W XEF logujemy się certyfikatem przypisanym do konkretnej osoby i teraz uwaga, ta sama osoba może pracować w kilku firmach. No, normalna sprawa. Tylko, że system pozwala, żeby jednym certyfikatem zalogować się i potem wybrać kontekst, czyli NIP firmy, w której imieniu działasz. Tu zaczyna się problem. Wyobraźcie sobie księgowego, który pracuje na przykład w gminie albo dużej spółce, a po godzinach dorabia w małej firmie.

W obu ma dostęp do ksefu. W tej mniejszej firmie jego certyfikat jest zapisany na stałe w programie księgowym, no bo wiadomo, tak jest szybciej i przecież wszyscy tak robią. I teraz ta firma technicznie może użyć tego certyfikatu, zalogować się jako ten pracownik i po prostu wybrać kontekst tej pierwszej organizacji, a system to łyka. No i całe bezpieczeństwo Opiera się jedynie na założeniu, że ludzie nie będą leniwi i nieuczciwi. Co, umówmy się, jest myśleniem życzeniowym. I teraz najlepsze. Ksef ma obsługiwać nie tylko małe firmy, ale też podmioty krytyczne. Oficjalna narracja jest taka, że system jest bezpieczny, wystarczy dobrze nadawać rolę i nie udostępniać swojego certyfikatu. Tylko, że jeśli bezpieczeństwo państwowego systemu opiera się na pyk-pyk jako tako i fajrand, no to trochę... niefajnie.