Certificados digitales en la AA.PP. ¿Quién firmó qué?
La Administración Pública española lleva años avanzando en su transformación digital, una transformación orientada tanto a mejorar la accesibilidad a los trámites por parte de los ciudadanos, como a la gestión interna, que permita a las instituciones un control más exhaustivo sobre los numerosos procesos que cada día se generan en este tipo de entidades.
Un proceso en el que, además, saber en cada momento quién y cuándo autorizó una compra o un contrato en nombre de una institución pública resulta vital de cara a una mayor transparencia de la gestión pública y sus actuaciones.
Cualquier tipo de organismo público, bien sea un ayuntamiento, una agencia ministerial, gobiernos de las Comunidades Autónomas, etc. cuenta con un elevado número de empleados, aplicaciones y redes que requieren un control y una gestión ordenada y segura, especialmente en lo que se refiere a los certificados digitales que utilizan a diario los empleados públicos en su trabajo, así como sobre los procesos automatizados que de ellos dependen.
Disponer de ese control sobre su uso es la mejor manera de prevenir posibles riesgos, tales como la suplantación de identidad y el fraude, o la imposibilidad de que los usuarios accedan a sus servicios online, lo que podría dificultar diferentes trámites administrativos y dañar la reputación de la organización en cuestión.
Por otro lado, la administración española ha de cumplir con las normativas europeas vigentes que, en el caso de la identidad digital y la firma electrónica, viene regulado por el reglamento eIDAS.
El eIDAS define los estándares y normas para la firma electrónica, ya sea simple, avanzada o cualificada, así como para la emisión de certificados cualificados y los servicios de confianza online, a la vez que regula las transacciones electrónicas y su gestión.
Certificados digitales: qué son y para qué se usan en la Administración
Los certificados digitales son archivos informáticos que se utilizan para proporcionar una identidad digital a una persona, organización o dispositivo electrónico.
Son emitidos por Autoridades de Certificación (AC) reconocidas – a menudo los mismos organismos públicos se establecen como tales, como en el caso de AOC, IZENPE o ISTEC, por ejemplo- y se basan en criptografía asimétrica. Es decir, contienen una clave pública y una privada. La primera está disponible para todos, mientras que la segunda solo la conoce el titular del certificado. De esta forma, se garantiza la privacidad de la información intercambiada entre dos usuarios.
Las Autoridades de Certificación, sean de origen privado o público, son las responsables de expedir certificados de firma electrónica para funcionarios, personal laboral, estatutario y personal autorizado al servicio de la Administración Pública, órgano, organismo público o entidad de derecho público, en el ejercicio de sus funciones para el suscriptor del certificado.
El certificado digital agiliza la realización de diferentes trámites a través de Internet, lo que reduce tiempos, y permite realizar todo tipo de gestiones por parte de los empleados públicos: desde el cierre de un contrato público formalizándolo mediante Firma Digital, hasta cualquier transacción financiera que requiera identificación, acceso a determinadas plataformas con información sensible que esté condicionada a un acceso seguro y acreditado, etc.
Pero en ocasiones, las organizaciones no cuentan con las herramientas que les permitan saber de forma rápida y sencilla “quién firmó qué”, con los consiguientes problemas de control y seguridad que esto supone. Para ello, es recomendable el uso de soluciones de gestión integral de Certificados Digitales y Firma Electrónica Remota que permiten a cada empleado autorizado utilizar sus certificados digitales asignados para autenticar y firmar, así como para realizar diferentes tareas corporativas, evitando el riesgo de uso incorrecto y de fraude.
Ventajas de la gestión centralizada de certificados
Disponer de una solución de gestión centralizada de certificados digitales y firma electrónica remota aporta numerosas ventajas a las instituciones, ya que permite:
- Emitir y administrar certificados digitales cualificados sin tener que instalarlos manualmente en cada dispositivo, además de poder gestionar certificados de terceros. Su administración se realiza mediante los roles de administrador, propietario de certificado, auditor, usuario final o administrador de alcance, permitiendo a los usuarios trabajar con los certificados como si estuvieran instalados en sus propias estaciones de trabajo.
- Controlar su uso (quién los ha utilizado, cuándo, desde qué dispositivo, dónde y para qué), así como su renovación y revocación.
- Implementar políticas estrictas de uso para los certificados en función de usuarios o grupos de directorios, fecha y hora, origen de la IP, programa o URL de acceso, etc. advirtiendo sobre el propósito de uso del certificado y con posibilidad de solicitar referencias en el procesamiento de la firma.
- Limitar las pérdidas económicas debida a fallos en el cumplimiento y continuidad de las operaciones a causa de certificados caducados, gestionando avisos para su renovación y control del ciclo de vida.
De esta forma, las organizaciones pueden tener el control de todos sus certificados con el mayor grado de seguridad y fiabilidad.
Rocío Motilla, directora comercial de Víntegris.
