La utilización de servicios de firma electrónica en lugar de productos no es únicamente una decisión tecnológica o económica, si no entran en juego muchos más factores, quizás aún más importantes.
Desde un punto de vista técnico, la diferencia entre servicio y producto informático se podría resumir con la de cloud y software on-premise: el primero no está físicamente presente en el dispositivo (ordenador, tablet, móvil) y se basa en internet, mientras que el segundo es un programa que se instala en el dispositivo. Pero ya se ha hablado mucho sobre las ventajas e inconvenientes de consumir servicios en la nube frente a arquitecturas más tradicionales basadas en la instalación de software, y no es aquí donde nos ocuparemos de ellas.
Cuando hablamos de usar aplicaciones ofimáticas o CRMs en general, puede que los aspectos puramente tecnológicos y, por supuesto, de coste sean los más relevantes que entren en valoración. Pero cuando nos enfrentamos a procesos con un alto componente jurídico, como es el caso de la firma de los consentimientos informados, incluimos en la ecuación para evaluar la aplicación ofimática o CRM un tercer elemento, quizá el más importante de todos, el de la responsabilidad.
El uso de servicios de terceros para la formalización de transacciones de relevancia jurídica no es nuevo, los notarios llevan asumiendo ese papel desde hace cientos de años como prestador de servicios de confianza. La función tanto de los notarios, de los fedatarios (tanto públicos como privados) y de los modernos prestadores de servicios de confianza electrónica es la misma: aportar seguridad jurídica, garantía de neutralidad y asunción de responsabilidad a las partes.
Qué aportan los servicios de firma electrónica
Básicamente, los mismos elementos de confianza que apuntábamos anteriormente:
Seguridad jurídica
Seguridad jurídica, entendida esta como “la «certeza del derecho», tanto en el ámbito de su publicidad como en su aplicación, y que significa la seguridad de que se conoce, o puede conocerse, lo previsto como prohibido, ordenado o permitido por el poder público”[1].
Usar un servicio de firma electrónica en lugar de instalar un software aporta la seguridad de que hay un tercero, especialista en la materia que está respondiendo de la correcta adecuación a la normativa en cada momento y que, en caso de requerirles aportará las evidencias jurídicas suficientes
Poniendo un simple ejemplo, sería el equivalente a escribirte tú mismo un contrato o encargarle la redacción a un despacho de abogados. En ambos casos obtenemos el mismo resultado: un contrato. En ambos casos usamos la misma herramienta: un procesador de texto. Pero evidentemente obtenemos una mayor confianza, una mayor seguridad jurídica cuando el que lo redacta es un experto.
Neutralidad
Otro de los principio del derecho a tener en cuenta es el de la simetría probatoria, o dicho de forma más coloquial, no se debe ser juez y parte.
¿Estás seguro de que tu software de firma no es manipulable? ¿Consideras que un perito informático no puede poner en duda en juicio que siendo tú el custodio y operador del sistema no es posible manipular las pruebas presentadas y que has generado tú mismo?
Luego entraremos en los aspectos técnicos necesarios para forjar esa seguridad, pero sin duda, el uso de terceros ayuda a despejar esas incertidumbres.
Volviendo a los ejemplos, en el ordenamiento jurídico español (y en el de la mayoría de países) la forma más eficaz de dotar de fuerza probatoria a los documentos es acudiendo a un notario o fedatario privado y esto es así por el conocimiento legal del tercero (ver punto 1) y, sobre todo, por su posición de neutralidad.
Al contrario que en el mundo papel, que intrínsecamente ofrece ciertas garantías de no manipulación, en el mundo digital la no manipulación solo puede garantizarla quien controla el entorno. Es por ello que dado que no es aconsejable que el entorno lo controle una de las partes, la evolución normativa nos lleva cada vez más, en el ámbito tecnológico, al uso de terceras partes de confianza, como la conocida LSSICE o el reciente reglamento europeo eIDAS.
Responsabilidad
Derivado de los aspectos anteriores, probablemente el más valioso de los tres es el de la responsabilidad. ¿Si lo técnico falla? ¿Si el sistema no es jurídicamente tan robusto como nos habían vendido? ¿Quién asume la responsabilidad del proceso?
La asunción de responsabilidades es intrínseca a la prestación de servicios y esto es lo que le da valor: cuando confías tu dinero a un banco, este asume su responsabilidad como custodio de ese dinero, pondrá todas las medidas de seguridad necesarias para que no suceda nada, pero si algún día roban ese banco, debe asumir su responsabilidad en su justa medida.
Cuando te instalan una caja fuerte en tu casa y confías tu dinero a esa caja, pondrás todo tu esfuerzo en protegerla, de hecho cuanto más tiempo pase y tengas más que proteger cada vez irás gastando más dinero en servicios de seguridad (una alarma, un vigilante, …). Evidentemente hay cajas fuertes más seguras que otras y medidas de seguridad adicionales muy fuertes, pero… si hay un robo o un incendio ¿quién asume la responsabilidad? ¿Quién te devolverá el dinero? ¿El fabricante de la caja?
Gestión del riesgo
Cualquier producto de firma electrónica manuscrita o biométrica persigue un mismo objetivo: constituir una prueba lo suficientemente robusta que nos permita demostrar en caso de litigio que un determinado documento fue firmado por una determinada persona. La elección entre una solución y otra debería realizarse, como cualquier otro elemento de seguridad en base a un análisis de riesgos.
En un análisis de riesgos, una vez detectados los activos, sus amenazas y vulnerabilidades, hay que calcular el riesgo, obtenido de la multiplicación de la probabilidad de ocurrencia de la amenaza por el impacto de la ocurrencia:
- RIESGO=PROBABILIDAD*IMPACTO
El riesgo es por tanto la probabilidad de que se produzca un impacto determinado en un activo. Para el cálculo del riesgo es muy importante la evaluación del impacto. El nivel de riesgo depende de la vulnerabilidad y del impacto, aunque al impacto se le otorga un mayor peso a la hora de tomar la decisión para calcular el riesgo, ya que cualquier persona prefiere la combinación entre un impacto bajo aunque la potencialidad sea muy alta, a la de un impacto alto con una potencialidad baja[2].
En el caso que nos ocupa es muy importante reducir las vulnerabilidades del sistema implementando mecanismos que hagan a la firma una evidencia robusta, dado que a pesar de que la probabilidad no es muy alta, el impacto es alto, ya que en el peor de los casos, la ausencia o no admisión de una firma en un proceso como el de obtención de un consentimiento informado puede acarrear importantes responsabilidades jurídicas.
Consideramos que ViDSigner es hoy por hoy el sistema de firma electrónica manuscrita que aporta más elementos y de mayor calidad por encima de cualquier otro producto o servicio, lo que equivale a una menor vulnerabilidad y por tanto no es nada despreciable, pero sin duda el valor diferencial está, especialmente, en su aportación para la reducción del impacto.
Probabilidad: ¿Cómo ayuda ViDSigner a reducir las vulnerabilidades?
- Garantiza que lo que se ve es lo que se firma (WYSIWYS). la garantía de que lo que el firmante ve es lo que realmente está firmando es uno de los mayores quebraderos de cabeza de cualquier sistema de firma electrónica (manuscrita o no). En este punto es básico que el firmante vea lo que firma en el propio dispositivo de firma, por eso en ViDSigner se usan únicamente tablets y no periféricos de firma, pero eso no es suficiente.
La seguridad del sistema de firma no depende sólo de los algoritmos o tecnología empleada, sino también de la integridad de la plataforma sobre la que se despliega. Es necesario usar prestadores de servicios de confianza que sean capaces de garantizar que el documento que se le muestra al firmante es el que aparece y que cuando estampa su firma esa firma se corresponde con ese documento de forma inequívoca. ViDSigner mantiene el documento en custodia durante todo el proceso de firma, por lo que ninguna de las partes tiene acceso a él para su manipulación.
- Uso de estándares. ViDSigner emplea estándares internacionales en todas las fases tecnológicas. Recoge los datos biométricos y los codifica según la ISO/IEC 19794-7 y la ISO/IEC 29109-7:2011 y, en la parte de la firma electrónica que envuelve el documento utiliza el estándar PAdES LTV (Long Term Validation) de PDF, lo que garantiza que una vez realizadas las firmas los documentos son validables a largo plazo, por cualquier persona y con total independencia del prestador (no se requiere técnicamente a ViDSigner para nada).
- Cifrado de datos. el cifrado de datos biométricos es una “conditio sine qua non” que cualquier solución de firma biométrica debería cumplir. Pero la forma en que se realiza este procedimiento difiere entre las diferentes soluciones. ViDSigner se apoya en todo caso en terceros independientes para custodiar la clave de cifrado, la cual es renovada periódicamente para reducir el riesgo de ruptura, todo ello documentado y protocolizado.
- Firmas longevas. como se ha mencionado anteriormente ViDSigner emplea el estándar PAdES-LTV[3] de firmas longevas, lo que permite que los documentos firmados sean validables a lo largo del tiempo sin requerimientos adicionales.
- Certificados de un solo uso. ViDSigner emplea una clave y un certificado único para cada firma realizada emitido por el Prestador de Servicios de Certificación Firmaprofesional en exclusiva para nosotros. Desde el punto de vista de la seguridad permite diversificar el riesgo de ruptura de la clave privada de firma que, en caso de producirse afectaría únicamente a esa firma. Desde el punto de vista técnico son certificados incluidos en la lista de confianza de Adobe y se emiten personalizados para cada firmante (con su nombre y DNI), lo cual hace que el firmante se identifique con su firma.
- Sellos de tiempo. A parte de permitir la construcción de firmas longevas, los sellos de tiempo garantizan evidencia cierta del momento en el que se produjo la firma, lo cual tiene un importante valor como evidencia en sí misma y como garantía de que la firma no se produjo en un momento posterior a conveniencia del interesado. Como con los certificados, se utilizan sellos de tiempo de Firmaprofesional.
- Evidencias de contexto. La preparación de la prueba siguiendo las pautas anteriores ya supone por sí misma una prueba bastante robusta, dada la cantidad y calidad de evidencias recogidas y adecuadamente tratadas, pero además, ViDSigner recoge el momento exacto en el que se realizó la firma digitalizada y el dispositivo desde donde se realizó, versión del OS, versión de la app… pudiendo añadirse adicionalmente y de forma complementaria otras evidencias como la información de geolocalización, evidencias biométricas adicionales (oculares, dactilares, …) o sistemas de captura y validación de documentos físico oficiales (DNI, pasaporte, …).
Impacto: ¿Cómo ayuda ViDSigner a reducir el impacto?
Pregunta. ¿Qué ocurre si por un problema técnico los productos o servicios dejan de funcionar temporalmente? ¿Has calculado los costes derivados?
- SLA. El acuerdo de nivel de servicio, SLA por su denominación en inglés (Service Level Agreement) es un elemento de enorme valor que aporta confianza. En ViDSigner nos responsabilizamos del funcionamiento del servicio 24X7, autoimponiéndonos severas penalizaciones en caso de caída del servicio o indisponibilidad. Esto es algo que ningún producto software está en disposición de ofrecer porque no está bajo su control y que los prestadores de servicios suelen escatimar en caso de ofrecerlo.
Pregunta. ¿Cuánto tiempo tardarías en dar de alta un nuevo dispositivo de firma? ¿Y un nuevo centro? ¿Has calculado los costes derivados?
- Disponibilidad inmediata. ViDSigner no requiere instalaciones ni despliegues, sólo necesita descargar una app e introducir un código de enrollment para empezar a funcionar. Al estar basado en el Cloud, las máquinas se replican automáticamente absorben la demanda existente sin impacto para los sistemas. El impacto producido por la indisponibilidad del sistema ante un crecimiento rápido o un pico inesperado de firma puede ocasionar un riesgo importante.
Pregunta. ¿Puede el prestador del servicio o tus propios sistemas ofrecer las capacidades de una plataforma como MS Azure? ¿Has calculado lo que costaría disponer de una infraestructura similar “in house”?
- Microsoft Azure. Nuestros servicios se prestan en el Cloud de Microsoft Azure, lo cual no es casual. Azure, aparte de ser considerados por muchos el mejor servicio tecnológico, es el líder indiscutible en cuanto a seguridad y privacidad, fue la primera plataforma en obtener la aprobación de la Unión Europea en materia de protección de datos y en adoptar la ISO 27018 relativa a la privacidad de los sistemas Cloud. ViDSigner se ofrece en modo de alta disponibilidad y georedundada, el equivalente “on premise” dispararía los precios de la solución de un modo considerable
Pregunta. ¿Qué responsabilidad asume el fabricante del producto o prestador del servicio en caso de litigio?
- Responsabilidad. En ViDSigner contamos con un seguro de responsabilidad civil que para cubrir las posibles eventualidades que pudieran surgir.
Pregunta. ¿Dispone el fabricante de un informe de tercero que avale el sistema? ¿Está firmado por alguien de reconocido prestigio en el sector de la firma electrónica? ¿Has comprobado que lo que te van a implantar cumpla con lo que indica el informe del tercero?
- Informe jurídico emitido por un reconocido profesional. No es garantía de éxito, pero en caso de tener que acudir a juicio siempre es bueno tener el mejor respaldo documental posible.
Pregunta. ¿Dispone el fabricante de un equipo jurídico propio con experiencia para apoyarte en juicio si se requiere? ¿Te lo han ofrecido?
- Asistencia en juicio. Nuestro propio equipo jurídico se personará junto al cliente en caso de litigio para demostrar la validez del sistema, involucrando a los prestadores de servicios de certificación y, en su caso, notarios que han intervenido en el servicio.
Responsabilidades en caso de incidencia
¿Qué sucederá si tengo algún problema? Quién será el responsable de ello? Dependerá del tipo de problema, si es un problema técnico o legal. Veamos ambos casos.
PROBLEMA TÉCNICO
Solución “on premise”. si el problema es técnico, por ejemplo, que se estropee un servidor o que la nueva actualización del sistema operativo de los dispositivos no sea compatible con el cliente que te han instalado o cualquier otro problema que derive en una indisponibilidad tendrás que adquirir un nuevo equipo y hacer las reinstalaciones oportunas. El impacto en costes y tiempo es muy alto. Entre los costes ocultos que deberemos valorar en caso de incidencia se encuentran los del personal técnico implicado, el coste operativo de la indisponibilidad y el equipamiento de sustitución necesario.
Si la solución es en modo “appliance” ¿Cuánto tardará el fabricante en enviar, instalar y configurar un nuevo dispositivo? ¿Cuántos recursos requeriría por tu parte?
La responsabilidad por las pérdidas no previstas recaerá en todo caso en el departamento de sistemas.
ViDSigner. la probabilidad de incidencia técnica en ViDSigner es muy baja, ya que sólo depende de 2 elementos una tablet genérica de mercado (se recomienda tener una de repuesto ante posibles malfuncionamientos) y conexión a internet.
Si el servicio estuviera caído y derivase en indisponibilidad para el cliente, no sólo no producirá costes para el cliente, sino que ViDSigner asume unas penalizaciones muy severas en la factura del servicio.
Queda claro que el responsable en este caso es ViDSigner
PROBLEMA LEGAL
Solución “on premise”. si como causa de alguna de las vulnerabilidades detectadas (por ejemplo, que no haya forma de demostrar que lo que firmó una de las partes es realmente lo que él pensaba o que no se estén usando sellos de tiempo y no se pueda garantizar que la firma no se hizo en un momento posterior a conveniencia del interesado) un juez declara nula la prueba de firma de un consentimiento aportada, se le podrán exigir responsabilidades al fabricante, pero este siempre evitará la responsabilidad argumentando (como efectivamente sucede) que el sistema es seguro pero no controla el entorno de la instalación.
Por otro lado, las evidencias que no se hayan aportado en el momento de construcción de la prueba (cuando se realiza una firma) no se pueden aportar más adelante. En otras palabras, si el interesado, por ahorrar, dejó de usar sellos de tiempo, o firmas longevas o sistemas no robustos frente a la incertidumbre del WYSIWYS, en la fase probatoria no se pueden complementar, es decir, no podrás incluir un sello a la firma, ni el formato adecuado, ni reforzar el sistema. Y lo peor de todo, todas las firmas que se hayan hecho hasta la fecha podrán ser consideradas virtualmente inválidas, lo que convierte un riesgo con baja probabilidad en uno con muy alta probabilidad.
Probablemente el fabricante tampoco te acompañe en el litigio porque no ha asumido esa responsabilidad contractualmente y en caso de hacerlo se realizará por personas sin la adecuada cualificación.
La responsabilidad en este caso será íntegramente de la empresa que por su parte derivará en el departamento legal que dio el visto bueno al despliegue de una solución con un nivel de riesgo elevada.
ViDSigner. como se ha explicado, ViDSigner se posiciona en el nivel más alto de garantías técnico jurídicas, reduciendo las posibles vulnerabilidades al mínimo.
- ViDSigner cuenta con un informe realizado por el mayor experto desde el punto de vista jurídico en firma electrónica en España y uno de los más reconocidos internacionalmente, lo cual, de primeras ya aporta una evidencia documental en juicio.
- ViDSigner acompañará al cliente en caso de litigio cuando se nos requiera para reforzar el valor legal de la solución. El equipo legal de ViDSigner cuenta con una experiencia de dedicación exclusiva de más de 15 años a la materia de firma electrónica, cuenta con acreditación CISA en auditorías de seguridad.
- ViDSigner es el primer interesado en colaborar en juicio, para lo cual ha creado su propia herramienta forense de comparación de firmas biométricas en base al estándar ISO que pone a disposición de cualquier perito.
- ViDSigner dispone de un seguro de responsabilidad civil en caso de que todo lo demás falle.
No obstante somos conscientes de que pueden darse situaciones de riesgo desconocidas y por tanto no previstas, por lo que siempre acompañaremos al cliente en su resolución.
Conclusiones
La conclusión obvia de todo lo anterior es que no todos los sistemas deben ser medidos con el mismo rasero, especialmente cuando tratamos soluciones heterogéneas como la prestación de un servicio vs el suministro de un producto.
El coste es un factor importante a tener en cuenta, pero no debería ser el único, ni el principal, un simple análisis de riesgos debería poner sobre la mesa los costes ocultos y aquellos producidos por la consumación de un riesgo, en muchos casos importantes y cuya responsabilidad recaerá, inevitablemente en el propio cliente y, de forma implícita en aquellos que pudieron anticiparse al problema y que teniendo la información adecuada no la pusieron en valor.
