Grzegorz Świderski Grzegorz Świderski
97
BLOG

KSeF, Taxilla i mgła dezinformacji

Grzegorz Świderski Grzegorz Świderski Polityka Obserwuj notkę 3
BLOG
O tym, jak Gadowski pomylił middleware z państwowym rdzeniem!

Na kanale youtubowym "Nam Zależy" Witold Gadowski postawił następującą tezę:

"...tym bardziej, że metadanymi z systemu KSeF zarządza na przykład firma Taxilla. Zadałem sobie trud, żeby sprawdzić, czym jest firma Taxilla. Firma Taxilla jest zarejestrowana w stanie Delaware w Stanach Zjednoczonych. To jest taki raj podatkowy, podobny jak kanton Zuk w Szwajcarii. Jest to firma, która siedzibę operacyjną ma w Indiach i to w jakimś takim pod jakimś dość podejrzanym adresem. Jest wymieniony tylko szef tej firmy. Nie, nie mamy struktury udziałowców tej firmy. Firma jest praktycznie, można powiedzieć, firmą "krzak" z punktu widzenia formalnego, jeżeli chcemy ją sprawdzić. I teraz ta firma będzie zarządzała wszystkimi metadanymi pochodzącymi z krajowego systemu e-faktur. Proszę mi powiedzieć, czy to jest bezpieczne?"

  To, że Witold Gadowski nie zweryfikował faktów, które można sprawdzić w kilka minut, kompromituje jego warsztat dziennikarza śledczego. W sprawie KSeF pomieszał dwa różne poziomy problemu: systemowe ryzyko wynikające z architektury państwowej oraz poboczny temat prywatnych dostawców oprogramowania.

  Taka narracja nie wyjaśnia afery, lecz ją zaciemnia. W efekcie istotny problem, jak choćby możliwość budowania mapy polskiej gospodarki na podstawie metadanych czy analiza architektury przepływu danych przez francusko-amerykańsko-izraelską Impervę, zostaje przykryty chaosem, półprawdami i nieistotnymi dygresjami o jednej z wielu prywatnych firm. Niezależnie od intencji autora, skutek jest jeden: ułatwia to ośmieszanie i podważanie merytorycznych obaw dotyczących KSeF.

Dziennikarstwo śledcze czy produkcja mgły?

  Dziennikarz, który nie odróżnia państwowego rdzenia KSeF od prywatnego oprogramowania typu middleware, nie prowadzi śledztwa — on produkuje mgłę. A mgła w takich sprawach działa zawsze na korzyść tych, którzy chcą, by opinia publiczna przestała rozumieć, gdzie leży realne ryzyko. Nie twierdzę, że Gadowski świadomie dezinformuje — on opowiada o sprawie krytycznie ważnej dla państwa językiem człowieka, który nie zadał sobie trudu, by poprawnie rozpoznać architekturę systemu.

  Nie trzeba być niczyim agentem, by odegrać rolę użyteczną dla dezinformacji. Wystarczy pomylić rzeczy ważne z pobocznymi. Właśnie tak zabija się debatę o cyfrowym bezpieczeństwie państwa: nie przez frontalne zaprzeczenie zagrożeniom, lecz przez zalanie ich mieszaniną faktów, skrótów myślowych i zwykłych bzdur.

Co faktycznie powinien był ustalić dziennikarz śledczy?

  Punktem wyjścia powinno być ustalenie rzeczy podstawowej. Taxilla nie jest częścią państwowej infrastruktury KSeF i nie występuje w publicznie dostępnych materiałach KSeF jako operator tego systemu. W istocie państwo udostępnia API KSeF 2.0, publikuje dokumentację techniczną i wprost zachęca firmy oraz dostawców oprogramowania do integracji. To oznacza, że prywatni vendorzy istnieją obok KSeF jako warstwa pośrednia, a nie jako państwowy rdzeń systemu.

  Taxilla sama przedstawia się właśnie jako taki prywatny dostawca typu RegTech. Oferuje platformę pośredniczącą, która pozwala firmom połączyć ich systemy ERP z rządowym API KSeF, zautomatyzować tworzenie e-faktur, walidację, raportowanie i dostosowanie do zmian regulacyjnych. Sama więc opisuje swoją rolę jako middleware do compliance i integracji, a nie jako operator państwowego systemu.

  Jeśli jakaś firma kupi oprogramowanie Taxilli i oprze na nim swoją komunikację z KSeF, to Taxilla może przetwarzać dane tej firmy. Nie wynika z tego jednak, że zarządza metadanymi całego KSeF. To są dwie zupełnie różne tezy. Pierwsza opisuje zwykłą relację klient–vendor. Druga byłaby twierdzeniem o pozycji systemowej wobec państwowej infrastruktury. Publicznie dostępne materiały nie dają podstaw do takiego przeskoku.

Delaware, Zug i publicystyczna mitologia

  Osobny poziom kompromitacji dotyczy opowieści Gadowskiego o Delaware i kantonie Zuk. Delaware nie jest żadną egzotyczną dziurą poza prawem ani dowodem na firmę krzak. To jedna z najbardziej typowych jurysdykcji inkorporacyjnych w USA. Stan Delaware wymaga od korporacji składania rocznych raportów i płacenia podatków. Delaware jest jurysdykcją szczególnie przyjazną biznesowi i to jest słuszne i godne pochwały. Robienie z tego sensacyjnego argumentu na poziomie "firma z Delaware", więc coś śmierdzi, jest po prostu kompromitujące.

  Podobnie z Zugiem. To kanton znany z niskich podatków i wysokiej atrakcyjności dla biznesu. Szwajcarskie źródła same piszą o jego rekordowo niskich stawkach i długiej reputacji miejsca przyjaznego podatkowo. Jednak nawet gdyby ktoś chciał to nazwać rajem podatkowym, nie byłby to jeszcze żaden argument kompromitujący. Byłaby to co najwyżej informacja, że dana jurysdykcja mniej rabuje podatników niż inne. Dla mnie to nie wada, tylko zaleta. Problemem nie są niskie podatki ani konkurencja jurysdykcji. Problemem jest używanie takich skojarzeń jako zasłony dymnej zamiast analizy technicznej architektury KSeF.

Czym Taxilla jest naprawdę?

  Według publicznie dostępnych materiałów firmowych Taxilla jest prywatnym dostawcą rozwiązań compliance i e-invoicing dla segmentu enterprise. Na swoich stronach komunikuje integracje z systemami takimi jak SAP, Oracle, Microsoft Dynamics czy NetSuite oraz przedstawia swoją ofertę jako bezpieczną, zautomatyzowaną i skalowalną. Deklaruje też standardy SOC 2 Type II i ISO 27001. Są to oczywiście deklaracje samej spółki, a nie niezależny audyt, ale pokazują one realny profil rynkowy firmy, a nie obraz anonimowego bytu wyjętego znikąd.

  To samo dotyczy jej pochodzenia. Publiczne profile i materiały firmowe wiążą Taxillę z rejestracją w Delaware oraz z zapleczem operacyjnym w Hyderabadzie w Indiach. Sama obecność w tych jurysdykcjach nie jest dowodem fikcyjności, przestępczości ani przejęcia polskiego systemu państwowego. Bardziej trafny opis brzmi: prywatny vendor RegTech działający międzynarodowo i sprzedający rozwiązania dla dużych organizacji.

  Założycielem i CEO Taxilli jest Pavan Peechara. Publiczne źródła wskazują, że jest osobą pochodzenia i najpewniej narodowości indyjskiej. Jego aktualnego obywatelstwa nie da się jednak rzetelnie potwierdzić na podstawie dostępnych publicznie źródeł.

Gdzie leży rzeczywisty ciężar sprawy?

  Sedno problemu KSeF nie leży w tym, że istnieją prywatni integratorzy. To jest zjawisko normalne i wręcz przewidziane przez sam model wdrożenia API. Sedno leży gdzie indziej: w obowiązkowej architekturze przepływu danych do państwowego systemu przez prywatną firmę Imperva, w warstwie brzegowej WAF obsługującej ten ruch, w jurysdykcji (amerykańsko-francuskiej) oraz w tym, jakie metadane są widoczne na tej ścieżce. To jest poziom systemowy. To jest poziom, który dotyczy wszystkich użytkowników KSeF, a nie tylko tych, którzy dobrowolnie wybiorą jakiegoś prywatnego vendora takiego jak Taxilla.

  Dlatego mieszanie państwowego rdzenia KSeF z jedną prywatną firmą middleware nie wyjaśnia sprawy, lecz ją rozmywa. Jeśli ktoś chce uczciwie opisać architekturę ryzyka, musi najpierw odróżnić poziom obowiązkowy od poziomu opcjonalnego. Musi odróżnić państwową platformę od rynku komercyjnych pośredników. Musi odróżnić infrastrukturę wspólną dla wszystkich od prywatnego narzędzia, z którego korzysta tylko część firm. Gadowski tego nie zrobił.

  Taxilla jest tylko jednym z wielu komercyjnych graczy w ekosystemie integracji z KSeF. Ministerstwo Finansów samo zakłada istnienie takiego rynku, publikując dokumentację, środowiska testowe i wsparcie dla integratorów. Sugerowanie, że Taxilla zarządza metadanymi całego państwowego systemu, jest równie sensowne jak twierdzenie, że producent klienta pocztowego zarządza całą infrastrukturą Internetu.

  Problem z wypowiedzią Gadowskiego polega na tym, że jest źle rozpoznana architektonicznie. A kiedy ktoś źle rozpoznaje architekturę problemu, to produkuje mgłę. I ta mgła staje się później najlepszym sprzymierzeńcem wszystkich tych, którzy chcą, by prawdziwe ryzyka KSeF utonęły w publicystycznym bełkocie. Gadowski po prostu uczestniczy w budowaniu fikcyjnego lasu, w którym będzie ukryty liść z prawdziwą aferą KSeF.

  To, co wyżej napisałem, to są fakty. A teraz moje spekulacje. Moim zdaniem Gadowski tego w ogóle nie zbadał, żadnego śledztwa nie przeprowadził, żadnego trudu sobie nie zadał, tylko dostał informację od swoich informatorów i ją powtarza. A to nie są jacyś bierni donosiciele, to są służby, które wrzucają takie cynki by manipulować opinią publiczną tak, by siać mgłę informacyjną, by istota problemu KSeF utonęła w setkach bzdurnych teorii spiskowych.

Grzegorz GPS Świderski

Najnowsze audyty

Seria "Niewidzialna pętla #KSeF"

Seria thrillerowa o KSeF:

__________________

SKANDAL! Donald Tusk ujawnił nielegalnie informacje o przelewach! <- poprzednia notka

na­stęp­na not­ka ->

__________________

Ta­gi: KSeF, gps65, go­spo­dar­ka, biz­nes, Im­pe­rva, c­yber­bez­pie­czeń­stwo, Pol­ska, wy­wiad

Grzegorz Świderski
O mnie Grzegorz Świderski

Bloger, sarmatolibertarianin, informatyk, żeglarz, futurysta AI, trajkkarz. Polemizuję, myślę, argumentuję, filozofuję, dyskutuję, uzasadniam, politykuję, prowokuję.

Nowości od blogera
Udostępnij Udostępnij Skomentuj3

Komentarze

Pokaż komentarze (3)

Inne tematy w dziale Polityka