KSeF - czy dane firm są naprawdę bezpieczne?

Wraz ze startem Krajowego Systemu e-Faktur wiele firm zaczęło zastanawiać się, jak wygląda kwestia bezpieczeństwa danych przesyłanych do systemu państwowego. Skala projektu jest ogromna, a KSeF ma stać się jednym z kluczowych elementów cyfrowej infrastruktury kraju. W przestrzeni publicznej pojawiło się sporo wątpliwości - od lokalizacji infrastruktury po sposób przetwarzania danych. Część dyskusji została dodatkowo podsycona dezinformacją dotyczącą tego, gdzie faktycznie przechowywane są dane.

Co to oznacza dla firm? Paradoksalnie największe ryzyko nie leży w samym KSeF, ale w tym, jak firmy integrują swoje systemy ERP z platformą. Najczęściej wskazywane problemy to: - brak kontroli nad uprawnieniami do faktur, - integracje API, które nigdy nie przeszły audytu, - brak monitoringu zdarzeń bezpieczeństwa. Co powinien zrobić CTO lub manager IT? Jeśli Twoja firma łączy się z KSeF, zadbaj o: oddzielenie integracji od sieci OT, monitoring API i logów integracyjnych, ograniczenie dostępu do danych finansowych zgodnie z zasadą least privilege. Dla wielu organizacji KSeF stanie się kolejnym elementem infrastruktury krytycznej IT. Więcej: https://demagog.org.pl/analizy_i_raporty/system-ksef-czy-nasze-dane-sa-bezpieczne/

AI zmienia zasady gry w bezpieczeństwie

Badacze z Truffle Security opisali ciekawy (i niepokojący) problem związany z kluczami API Google. Przez lata programistom powtarzano, że klucze API Google nie są sekretami i mogą być publiczne. Wszystko zmieniło się wraz z pojawieniem się usług AI, takich jak Gemini. Okazało się, że stare klucze API mogą automatycznie uzyskać dostęp do nowych usług AI w ramach tego samego projektu. W praktyce oznacza to, że tysiące publicznie dostępnych kluczy mogło umożliwiać nieautoryzowany dostęp lub generować koszty.

Dlaczego to groźne?
To klasyczny przykład retroaktywnego rozszerzenia uprawnień. Kiedyś nieszkodliwy identyfikator, a dziś pełnoprawny klucz dostępu.

W przemyśle dotyczy to m.in.:

- integracji IoT,
- systemów raportowania energii,
- API chmurowych w systemach produkcyjnych.

Co zrobić?

- przeprowadzić audyt wszystkich kluczy API,
- rotować stare klucze,
- ograniczyć dostęp API tylko do niezbędnych usług.

Źródło: https://trufflesecurity.com/blog/google-api-keys-werent-secrets-but-then-gemini-changed-the-rules?

Cyberatak na polską energetykę - nowe zalecenia dla OZE

Pod koniec 2025 roku doszło do poważnego incydentu cybernetycznego wymierzonego w polski sektor energetyczny - od elektrociepłowni po instalacje OZE. Atak nie spowodował dużych zakłóceń, ale eksperci podkreślają, że jego celem mogła być destabilizacja systemu w środku zimy.
W odpowiedzi opublikowano nowe zalecenia bezpieczeństwa dla sektora OZE (CSIRT GOV, CSIRT NASK, Pełnomocnik Rządu ds. Cyberbezpieczeństwa): https://cyberdefence24.pl/cyberbezpieczenstwo/atak-na-polska-energetyke-sa-nowe-zalecenia-dla-sektora-oze

Najważniejsze rekomendacje:

• ograniczenie dostępu do urządzeń sterowania z internetu,
• zdalny dostęp wyłącznie przez VPN,
• obowiązkowe MFA,
• regularne kopie zapasowe konfiguracji,
• monitoring połączeń do systemów sterowania.

Eksperci podkreślają, że choć pojedyncza instalacja OZE ma niewielką moc, skoordynowany atak na wiele takich obiektów może poważnie wpłynąć na stabilność systemu energetycznego.

Podobne ryzyka dotyczą również:

• instalacji PV przy zakładach przemysłowych,
• systemów zarządzania energią,
• rozproszonych systemów sterowania produkcją.

Audyt cyberbezpieczeństwa: 3 rzeczy do sprawdzenia w tym miesiącu

Jeśli odpowiadasz za IT w firmie przemysłowej, zwróć szczególną uwagę na:

• dostęp z internetu do urządzeń przemysłowych,
• listę kluczy API i tokenów w systemach IT,
• integracje ERP – MES – systemy energetyczne – KSeF.

To obecnie jedne z najczęściej wykorzystywanych wektorów ataku.

Jeśli rozważasz profesjonalny audyt, zobacz, jak wygląda to w praktyce z JSW IT Systems: https://www.jswits.pl/oferta/cyberbezpieczenstwo/audyty-cyberbezpieczenstwa

I jak zwykle – możesz się z nami skontaktować pisząc do nas!  Twoje sugestie są dla nas cennym drogowskazem.

Zespół JSW IT Systems