Firma digital

Firma digital Pág. 1 Resumen El papel continua siendo el medio más utilizado por todos nosotros para acompañar y transmitir la información, aun a pesar de las nuevas tecnologías. No obstante, los procesos de digitalización se están acercando rápidamente a las empresas, y son muchas las que han decidido reducir drásticamente el flujo de papel a través de éstas, conscientes de su elevado coste y su impacto negativo en la productividad del empleado. Pero ciertos documentos, los que acompañan a una firma manuscrita, han quedado fuera de este proceso de digitalización. Para hallar el motivo no hace falta más que recurrir a lo que decía la ley hasta hace poco sobre la firma digital o electrónica, es decir, nada. La digitalización de la firma históricamente ha carecido de apoyo jurídico y legal, la cual cosa obligaba a las empresas a mantener sus documentos y transacciones en formato papel. La aparición reciente de una nueva ley que regula de forma definitiva la firma digital o electrónica, abre multitud de puertas para favorecer esa nueva corriente de digitalización. Este proyecto trata de ofrecer una solución factible y segura, susceptible de ser certificada por el estado, para la digitalización de firmas manuscritas. Además, y como complemento, facilita una herramienta para la verificación automatizada de firmas, eliminando, por tanto, la responsabilidad actual de los empleados. Este proyecto cuenta con la experiencia adquirida en el departamento de I+D de Hewlett Packard, probando una de sus nuevas tecnologías llamada Digital Pen & Paper o también comunmente llamada HP FAS. El alcance de este proyecto se centra en el estudio, comprensión y definición de la solución, no procediendo por tanto a su implementación. Dejamos pues para otro proyecto más ambicioso, la implementación definitiva de la solución de digitalización y verificación de firmas. Pág. 2 Memoria Firma digital Pág. 3 ÍNDICE RESUMEN_______________________________________________________1 1. PREFACIO __________________________________________________9 1.1. Origen del proyecto...............................................................................................9 2. INTRODUCCIÓN ____________________________________________13 2.1. Objetivos del proyecto.........................................................................................13 2.2. Alcance del proyecto y metodología..................................................................14 3. ESTUDIO DEL MARCO LEGAL Y TECNOLÓGICO ________________17 3.1. Marco legal...........................................................................................................17 3.2. Marco tecnológico...............................................................................................19 4. DIGITALIZACIÓN DE LA FIRMA MANUSCRITA ___________________21 4.1. Archivística...........................................................................................................21 4.2. La firma digital.....................................................................................................22 4.3. Tecnologías de digitalización.............................................................................23 4.4. Almacenamiento de la firma digital...................................................................25 4.5. Esquema y definición de la solución general...................................................26 4.6. Encriptación.........................................................................................................33 Pág. 4 Memoria 4.7. Beneficios potenciales........................................................................................34 5. VERIFICACIÓN DE LA FIRMA MANUSCRITA____________________ 36 5.1. Introducción...........................................................................................................36 5.2. Variabilidad de la firma.......................................................................................38 5.3. Análisis de los métodos y parámetros para la verificación de la firma manuscrita ............................................................................................................39 5.3.1. Estudio de las funciones temporales .............................................................39 5.3.2. Estudio global..................................................................................................40 5.3.3. Estudio local....................................................................................................41 5.3.4. Estudio de las trayectorias .............................................................................44 5.3.5. Estudio estático..............................................................................................46 5.3.6. Otros parámetros ...........................................................................................47 5.3.7. Resumen de parámetros................................................................................48 5.4. Método propuesto................................................................................................49 5.4.1. Parámetros.....................................................................................................49 5.4.2. Captura...........................................................................................................50 5.4.3. Preproceso.....................................................................................................51 5.4.4. Extracción.......................................................................................................51 5.4.5. Fidelización.....................................................................................................52 5.4.6. Comparación..................................................................................................52 5.4.7. Decisión..........................................................................................................52 Firma digital Pág. 5 5.4.8. Simulación......................................................................................................53 5.5. Beneficios potenciales........................................................................................53 6. VIABILIDAD ECONÓMICA_____________________________________55 6.1. Análisis del entorno competitivo........................................................................55 6.2. Análisis de las ventajas y desventajas competitivas.......................................59 6.3. Análisis de al inversión.......................................................................................63 6.3.1. Introducción....................................................................................................63 6.3.2. Determinación de los flujos de caja...............................................................65 6.3.3. Justificación del precio de la solución............................................................70 CONCLUSIONES Y RECOMENDACIONES___________________________73 BIBLIOGRAFÍA__________________________________________________75 Referències bibliogràfiques..........................................................................................75 Otras referencias bibliográficas...................................................................................75 Firma digital Pág. 7 Firma digital Pág. 9 1. Prefacio 1.1. Origen del proyecto Por todos es sabida la cantidad ingente de documentos, facturas, formularios, etc., que se manipulan cada día en nuestros entornos habituales de trabajo o en nuestra vida cotidiana. Esta gran cantidad de documentos no resulta irrelevante para la empresa sino que conlleva altos índices de improductividad en sus procesos y entre sus empleados además de erigirse como una fuente inagotable de costes y problemas. Según un estudio de la conocida consultoría Cap Venture, el coste medio asociado a un formulario es de 0.90€. Pero cabe destacar que no es el propio coste del papel ni tan siquiera su impresión, lo que realmente lo encarece, son su manipulación, gestión, transporte y archivística en general lo que incrementa su coste desproporcionadamente. Así, el estudio determina que sólo estos últimos representan más del 90% del coste total. La verdadera problemática de la gestión de documentos reside en que las empresas desconocen por completo el impacto real que tiene. La incapacidad para imputar y calcular unos costes aproximados asociados al uso, gestión y manipulación del papel, hace que sea un gasto tremendamente peligroso. El escaso control que sobre él se tiene hace que en la mayoría de los casos se obvie su verdadera importancia y repercusión en el sí de la empresa y se asume sin más, como si se tratara de un lastre que las empresas están obligadas a arrastrar. Pero no termina todo aquí, la utilización de papel conlleva altos índices de improductividad e ineficiencia, enormes retrasos en la disposición de la información y otros tantos dolores de cabeza. ¿Cómo determinar su repercusión en el coste? Lo que es evidente es que el rendimiento de la empresa se ve claramente afectado. Por tanto, vemos que son muchos los factores que confluyen en el coste total de gestión documental y que muchos de ellos son difícilmente valorables. Firma digital Pág. 17 3. Estudio del marco legal y tecnológico 3.1. Marco legal La ley 59/2003, la cuál se halla detallada en su integridad en el Anexo, volumen I apartado B, tiene como objetivo principal el reforzamiento del marco jurídico existente, a través de la incorporación a su texto algunas novedades con respecto del Real Decreto Ley 14/1999, las mencionadas novedades pretenden dinamizar el mercado de la prestación de servicios de certificación y entre ellas destacan las siguientes: Denominación como firma electrónica reconocida de la firma electrónica que se equipara funcionalmente a la firma manuscrita, con lo que se aclara que no basta con la firma electrónica avanzada para la equiparación con la firma manuscrita; es preciso que la firma electrónica esté basada en un certificado reconocido y haya sido creada por un dispositivo seguro de certificación. Se elimina el registro de prestadores de servicios de certificación y se da paso al establecimiento de un mero servicio de difusión de información sobre: o Prestadores que operan en el mercado o Certificaciones de calidad o Características de los productos y servicios de la actividad Se modifica el concepto de certificación de prestadores de servicios de certificación con el objeto de otorgarle un mayor grado de libertad y dar más relevancia a la participación del sector privado, y por tanto se promueve la autorregulación del mercado. Pág. 18 Memoria La Ley clarifica la obligación de constitución de una garantía económica por parte de los prestadores de servicios que emitan certificados reconocidos Se regula el documento nacional de identidad electrónico y queda fijado su marco normativo básico con sus 2 características principales: o Acreditación de la identidad del titular en procedimientos administrativos o Permite la firma electrónica de documentos La ley exige una especial legitimación para que las personas físicas soliciten la expedición de certificados y obliga a los solicitantes responsabilizarse de la custodia de los datos de creación de firma electrónica asociados a dichos certificados, todo ello sin prejuicios de que puedan ser utilizados por otras personas físicas vinculadas a la entidad. De igual forma y siguiendo la pauta marcada por la ley 30/2002, de julio, de servicios de la sociedad de la información y de comercio electrónico, se incluye dentro de la modalidad de prueba documental el soporte en el que figuran los datos firmados electrónicamente, por tanto se concede mayor seguridad jurídica al empleo de la firma electrónica al someterla a las reglas de eficacia en juicio de la prueba documental. A continuación se muestran algunos de los párrafos más interesantes de la reciente ley: Ø ‘ La firma electrónica avanzada, basada en un certificado reconocido, producida por un dispositivo seguro de creación de firma tendrá, respecto de los datos consignados en forma electrónica, el mismo valor jurídico que la firma manuscrita, en relación con los consignados en papel, y los documentos que la incorporen serán admisibles como prueba en juicio’. Ø ‘Al documento que incorpore una firma electrónica que no reúna los requisitos previstos en el apartado anterior o no se base en un certificado expedido por un prestador de servicios que haya sido acreditado no se le Firma digital Pág. 19 negarán, por el mero hecho de presentarse en forma electrónica, efectos jurídicos ni será excluida como prueba en juicio’. Ø ‘A efectos de lo dispuesto en este artículo, cuando una firma electrónica se utilice conforme a las condiciones acordadas por las partes para relacionarse entre sí, se estará a lo estipulado entre ellas’. La ley 59/2003 entró en vigor en marzo del 2004, 3 meses después que apareciera en el BOE en diciembre del 2003. Un producto que reúna las características mencionadas en este proyecto será plenamente reconocido legal y jurídicamente en tanto goce de un certificado expedido por una empresa acreditada por el estado para su efecto. 3.2. Marco tecnológico ¿Qué tienen que decir las tecnologías actuales en todo esto? Son evidentes los múltiples avances tecnológicos producidos en las últimas décadas. Pero tales avances no sirven de nada si la ley no los tiene en cuenta y todos conocemos la lentitud que acaece sobre nuestra legislación. Como es normal, los avances tecnológicos preceden a las leyes, pero en la mayoría de los casos la demora es demasiado grande. Actualmente existen tecnologías alternativas al escaneo tradicional que, como ya se ha comentado, no se halla amparado por la legislación actual. Un claro ejemplo de estos dispositivos son las Tablets PC o las PDA’s. Estos dispositivos electrónicos permiten recoger cualquier información desde el propio panel o pantalla, de tal manera que la digitalización se produce de forma instantánea y dinámica. Otros dispositivos más actuales, son los bolígrafos electrónicos. Existen gran diversidad de modelos con más o menos las mismas prestaciones, a saber (Nokia, Logitech, Smart Pen, etc.). Estos dispositivos que posen una cámara integrada, permiten reproducir perfectamente el trazo del usuario. Estos dispositivos no solamente permiten digitalizar de una forma dinámica las firmas de un usuario cualquiera, además son capaces de aportar información sobre la evolución temporal de ésta en términos de posición y presión por ejemplo. Esta última característica les hace muy apropiados para el desarrollo del que será el segundo objetivo de este proyecto. Pág. 20 Memoria Así pues, parece ser que se dispone de herramientas tecnológicas suficientes para salir adelante con este proyecto. Véase cómo. Firma digital Pág. 21 4. Digitalización de la firma manuscrita El objetivo de este punto es ofrecer una solución plausible para la digitalización de firmas manuscritas. A lo largo de este punto, se aclararán los distintos conceptos relacionados con la firma digital, se explicarán los múltiples componentes que intervienen en la digitalización y sus respectivas funciones con todo detalle. 4.1. Archivística Si se piensa en una empresa de la administración pública, por ejemplo, la agencia tributaria ¿Cuántos recursos se emplean para la recepción, archivación y búsqueda de sus documentos? ¿Y qué hay del tiempo transcurrido? ¿Y del coste? Parece claro que tanto los tiempos como los costes son realmente desmesurados. Así se podrían citar otros ejemplos muy claros como son la banca, las aseguradoras y las empresas de servicios. Por norma general, la archivística, utiliza gran número de los recursos de una empresa en tareas como son la propia archivación, la recepción de documentos o la recuperación de éstos. Además estos procesos a la par que costosos suelen dilatarse mucho en el tiempo. Véase un ejemplo de una empresa que contrata determinado tipo de servicio y que tiene diferentes sucursales repartidas por el estado español. Las peticiones de alta las recepcionaría de forma distribuida en sus sucursales pero la administración de éstas se realizaría de forma centralizada ¿Cuánto tiempo transcurre desde que se recepciona la petición hasta que ésta es almacenada? ¿Es crítico para una empresa que contrata servicios? ¿Cuál es el coste? ¿El envío electrónico de estos documentos mejoraría el proceso? Parece que la última pregunta responde a todas las anteriores; efectivamente, si esta empresa pudiera enviar esos documentos electrónicamente de forma segura, reduciría drásticamente sus tiempos y sus costes y a la par ofrecería a sus clientes un servicio más rápido y eficaz. ¿Cuál es el problema entonces? A continuación se hablará Pág. 22 Memoria 4.2. La firma digital Se mencionaba anteriormente que por firma electrónica o digital se entiende, en la actualidad, aquella transacción realizada por un dispositivo seguro de creación de firma electrónica por la cuál se garantiza la identidad de la persona que la realiza; suele ser un método basado en claves públicas y suelen poseer un certificado que corrobora su seguridad y validez. Pero en el sentido más estricto, cuando hablamos de firma digital, uno se refiere a la imagen digital de una firma manuscrita. Por lo tanto y sirviendo como precedente, cualquier mención sobre la firma digital será en favor de esta última definición. Si actualmente existen multitud de transacciones como la que se citaba en el ejemplo anterior que no pueden acometerse de modo electrónico, es porque la firma digital no posee validez legal, es decir, el dispositivo o herramienta que la genera no está certificado. ¿Por qué? La explicación puede hallarse en el dispositivo de captura. El escáner es un elemento pasivo capaz de digitalizar imágenes siempre a posteriori, con completa ignorancia de aquello que está digitalizando, con escasa información sobre su recogida y habitualmente sujeto a problemas de resolución. Todo ello desemboca en una digitalización pobre y muy susceptible de ser manipulada. La solución pasa por utilizar dispositivos que digitalicen la firma en el mismo momento de su recogida y que no den por zanjada la transacción hasta que esta no se halla correctamente almacenada. Además debe tratarse de un dispositivo activo capaz de discernir y vincular los distintos elementos de una transacción, es decir, la firma y sus componentes contractuales, de forma unívoca. En tercer lugar, ofrecer más y mejor información sobre el mismo proceso de creación de una firma. Y en último lugar estar desvinculado de problemas que puedan afectar a la resolución como puede ser el tipo de papel, la suciedad o la propia tinta utilizada. En el siguiente punto se tratarán los distintos dispositivos de captura disponibles, así como de su funcionamiento. Firma digital Pág. 23 4.3. Tecnologías de digitalización Como ya se ha avanzado en el punto referente al marco tecnológico, se dispone fundamentalmente de dos tipos de tecnologías aparte de los propios escáneres ya descartados. Tales tecnologías son: las tabletas digitalizadoras y los bolígrafos electrónicos. Sobre las tabletas electrónicas se puede afirmar que poseen la gran ventaja de disponer en tiempo real de la firma digitalizada, eso es así gracias a los bolígraos ópticos que realizan la conversión analógico-digital de forma instantánea. Por otro lado suelen ser tecnologías caras con una funcionalidad muy superior a la requerida para este efecto. También poseen el inconveniente de no tener una interfaz demasiado sencilla para el usuario y requerir conocimientos técnicos mínimos para su uso. Sobre el aspecto legal podríamos decir que la firma se halla menos ligada al documento original y que es mayormente susceptible de ser falseada. Por otro lado existen los llamados bolígrafos electrónicos. Estos dispositivos, como su nombre indica, son aparentemente bolígrafos y de hecho pueden funcionar como tales pero poseen además una ventaja añadida, son capaces de ‘grabar’ aquello que escriben. Algunos se comunican con los PC’s a través de un cable USB y otros en cambio, mediante Bluetooth, es decir, sin cables. Se trata de dispositivos basados en el mismo principio, el patrón de Anoto. Expliquemos primero en qué consiste este patrón. Este patrón patentado por la empresa Anoto, no es más que un conjunto de puntos dispuestos sobre una matriz ortogonal, como se aprecia en la figura 2.1. Cada uno de estos puntos posee 4 posibles posiciones, encima, a la derecha, debajo y a la izquierda del nodo. Este conjunto de puntos se sobrepone al documento en aquellas zonas donde se desea realizar una captura de datos, por ejemplo, una firma. El bolígrafo que posee una cámara en su punta inferior y un sensor de presión que le indica cuando está escribiendo, es sensible al carbono de estos puntos, detectándolos y realizando fotos por allí por donde va pasando, hasta 75 fotos por segundo (75Hz). Teniendo en cuenta además que una rejilla 6x6 configura una posición única en el papel, Pág. 24 Memoria será posible reproducir posteriormente el camino que ha seguido el bolígrafo hasta reproducir perfectamente el trazo realizado (675dpi) En definitiva, gracias a esta peculiar tecnología es posible registrar la posición absoluta y la presión y lo mas importante, su evolución en el tiempo. No es necesario añadir la implicación que este hecho tiene, gracias a esta tecnología no solamente se puede disponer de una imagen exacta del documento y su firma, además se puede visualizar como se reproduce la firma en el tiempo, dato muy interesante y del que actualmente no se disponía. ¿Podríais decir ahora cuántas configuraciones distintas de la rejilla superior se pueden generar? Un numero descomunalmente grande y teniendo en cuenta que sólo es una rejilla de 1,8 x 1,8 mm. Además se puede utilizar la misma rejilla cambiándola de posición y ya tendré un documento nuevo; esta característica unida a un gestor de patrones, es decir un programa capaz de gestionar y controlar los patrones que se van suministrando, va a permitir crear documentos únicos cada vez, vinculando de esta manera toda la información contenida en una transacción de forma unívoca. Por ejemplo, cada vez que se genera un documento nuevo con DNI, nombre y apellidos, se vincula aun patrón distinto, de tal manera que a través del patrón siempre puedo recuperar el documento original. De hecho funciona como un sistema de firma digital clásico en el que una empresa tercera certifica que ese documento es el original facilitando una clave o Figura 5.1. Tecnología Anoto Firma digital Pág. 25 identificación para éste. En este primer objetivo la parte más importante es precisamente este patrón que actúa a modo de clave y nos permite por un lado recuperar el original y por otro lado controlar los cambios que sobre éste se realizan. HP FAS, un producto que HP ha desarrollado en colaboración con Anoto y Logitech, ofrece una solución conjunta a la gestión de formularios aunque no ha salvado aún la problemática de los documentos firmados y su almacenamiento. Este producto se ha utilizado en este proyecto para simular algunas fases de la solución expuesta. ¿Se trata de dispositivos de creación de firma suficientemente seguros? En primer lugar son dispositivos que digitalizan la información en el mismo momento de producirse, evitando manipulaciones posteriores del documento original. En segundo lugar son dispositivos activos, capaces de reconocer el documento sobre el que están escribiendo, estableciendo una relación unívoca entre todos los elementos de una transacción (nombre, DNI, firma, etc.). En tercer lugar son capaces de recoger datos muy significativos sobre la firma, como la evolución temporal de su posición absoluta y su presión. En último lugar son completamente ajenos a los problemas habituales de digitalización de documentos ya que lo que se obtiene es una reproducción secuencial de la firma. No obstante, serán necesarios otros elementos para poder asegurar que la transacción en su totalidad es del todo segura. 4.4. Almacenamiento de la firma digital Previo a ofrecer una herramienta capaz de garantizar si una firma es válida o no lo es, hay que ser capaz de garantizar que la información que se digitaliza es fidedigna y es susceptible de ser comprobada en un futuro por especialistas que puedan hacer juicios sobre su validez. Es decir, se debe hacer compatible legal y jurídicamente la firma digital. Actualmente los profesionales dedicados a la verificación de firmas manuscritas poseen muy poca información acerca de las mismas, ya que lo único de lo que disponen es de una imagen de ésta. Se basan en características como el grosor del trazo, su forma, su tendencia, las proporciones entre sus componentes, la forma de sus espirales, las conexiones entre las distintas letras (si tienen)… ¿Es posible aportar toda esta información? La respuesta es que sí. Los bolígrafos electrónicos descritos en el punto Pág. 32 Memoria La verificación si no se realiza ninguna modificación, será proporcionada por el empleado autorizado para ello, si bien es cierto que en el segundo objetivo se sentarán las bases de un módulo para el reconocimiento automatizado de firmas que libere al empleado de esta tarea. Esta autorización se produciría por ejemplo a través de una sencilla interfaz que preguntara simple y llanamente si la firma ha sido correctamente verificada y por tanto puede llevarse a cabo la transacción. En cualquier caso, se entiende que la responsabilidad de esta decisión recae, como de hecho ya lo hacía, sobre el empleado que autoriza la transacción. Es evidente que ésta no es la situación ideal y por ello en el segundo objetivo se tratará con mayor detalle de solucionar esta problemática. Aún así ¿Es posible realizar algún cambio para mejorar ese proceso de verificación manual? La respuesta, como ya uno se imagina es que sí. Sería tan sencillo como implementar un pequeño programa que presentara una pequeña interfaz dónde se pudiera ver en dos sencillas ventanas separadas y de forma simultánea, como se reproducen por un lado, la firma tipo del usuario en cuestión y por otro lado, la firma a validar. Eso sería posible ya que la evolución temporal de la firma es un parámetro conocido, tan sólo sería necesario recoger varias firmas de una misma persona y seleccionar una como modelo para posteriores comparaciones. Con esta sencilla mejora, no sólo se obtiene un proceso más seguro sino que además facilita bastante la tarea de los empleados disponiendo de toda la información necesaria en la misma aplicación. De una u otra manera, es en esta etapa donde se autoriza o se rechaza la transacción ya que a partir de aquí el proceso de almacenamiento y blindaje definitivo del documento es completamente automático. En caso que la se deniegue la autorización por ser no válida la firma, se romperá el blindaje y el patrón quedará liberado para ser utilizado en posteriores ocasiones. En ese momento la aplicación solicita un nuevo patrón y se imprime de nuevo el documento original para capturar la nueva firma y vuelta a empezar. Este proceso no se repetirá más de tres veces. Si al tercer intento la firma no ha sido autorizada, la firma quedará bloqueada por espacio de 24 horas, el patrón se liberará y el documento se eliminará. Firma digital Pág. 33 Almacenamiento En esta última fase, hay que asegurarse de almacenar correctamente ambos archivos de forma conjunta y unívocamente ligados y de bloquear el acceso a terceras personas no autorizadas a su gestión mediante la generación y distribución de los consiguientes permisos y licencias. 4.6. Encriptación La base de las firmas electrónicas es la criptografía, disciplina matemática que no sólo se encarga del cifrado de textos para lograr su confidencialidad, protegiéndolos de ojos indiscretos, sino que también proporciona mecanismos para asegurar la integridad de los datos y la identidad de los participantes en una transacción. El cifrado consiste en transformar un texto en claro (inteligible por todos) en un texto cifrado mediante el uso de algoritmos, gracias a una información secreta o clave de cifrado, que resulta ininteligible para todos excepto el legítimo destinatario del mismo. Se distinguen dos métodos generales de cifrado: Cifrado simétrico: cuando se emplea la misma clave en las operaciones de cifrado y descifrado, se dice que el criptosistema es simétrico o de clave secreta. Estos sistemas son mucho más rápidos que los de clave pública, y resultan apropiados para el cifrado de grandes volúmenes de datos. Ésta es la opción utilizada para cifrar el cuerpo de los mensajes en el correo electrónico o los datos intercambiados en las comunicaciones digitales. Para ello se emplean algoritmos como IDEA, RC5, DES, TRIPLE DES, etc. Cifrado asimétrico: cuando se utiliza una pareja de claves para separar los procesos de cifrado y descifrado, se dice que el criptosistema es asimétrico o de clave pública. Una clave, la privada, se mantiene secreta, mientras que la segunda clave, la pública, es conocida por todos. De forma general, las claves públicas se utilizan para cifrar y las privadas, para descifrar. El sistema posee la propiedad de que a partir del conocimiento de la clave pública no es posible determinar la clave privada ni descifrar el texto con ella cifrado. Los cripto-sistemas de clave pública, aunque más lentos que los Pág. 34 Memoria simétricos, resultan adecuados para los servicios de autenticación, distribución de claves de sesión y firmas digitales, como se explicará posteriormente. Se utilizan los algoritmos de RSA, Diffie-Hellman, etc. En general, el cifrado asimétrico se emplea para cifrar las claves de sesión utilizadas para cifrar el documento, de modo que puedan ser transmitidas sin peligro a través de la Red junto con el documento cifrado, para que en recepción éste pueda ser descifrado. La clave de sesión se cifra con la clave pública del destinatario del mensaje, que aparecerá normalmente en una libreta de claves públicas. El cifrado asimétrico se emplea también para firmar documentos y autenticar entidades, como se describe a continuación. En principio, bastaría con cifrar un documento con la clave privada para obtener una firma digital segura, puesto que nadie excepto el poseedor de la clave privada puede hacerlo. Posteriormente, cualquier persona podría descifrarlo con su clave pública, demostrándose así la identidad del firmante. En este caso concreto, se utilizarán claves de cifrado asimétrico para la comunicación entre el programa de gestión de patrones y el PC donde se genera el documento que deberá ser firmado. 4.7. Beneficios potenciales Es indudable la enorme implicación que tendría la posibilidad de archivar electrónicamente todos aquellos documentos firmados sin la necesidad de guardar una copia en formato papel. La solución planteada en este punto haría posible la creación de una empresa que facilitara el servicio de certificación de firmas para sus clientes, de modo que éstos pudieran acogerse a una certificación reconocida para la digitalización de sus documentos firmados. Más adelante se llevará a cabo un estudio más profundo de los beneficios y ahorros que comporta esta solución para las empresas interesadas, pero podemos adelantar a modo de resumen los siguientes: Disminución del coste asociado a su manipulación. Reducción del tiempo de archivación y recuperación de documentos. Firma digital Pág. 35 o Aumento de la seguridad en cada transacción. o Desaparición del espacio destinado a la archivación del papel. o Aumento de la confidencialidad. Pág. 36 Memoria 5. Verificación de la firma manuscrita Como ya se ha avanzado en el desarrollo del primer objetivo, la verificación de firmas es un proceso que actualmente queda delegado a los propios empleados autorizados a este fin. Por este motivo suele ser causa de estafas diversas y enormes pérdidas de tiempo. El objetivo que ocupa por tanto este segundo punto es el de facilitar las características mínimas que debería poseer un módulo para el reconocimiento automatizado de firmas. Para la consecución de este segundo objetivo se utilizará la misma tecnología explicada en el objetivo anterior. Antes de empezar con la definición del método propuesto, se hará un breve análisis del mundo de la verificación de firmas manuscritas. 5.1. Introducción Existen en la actualidad gran número de transacciones de todo tipo. En la mayoría de los casos, se precisa identificar a la persona que lleva a cabo la transacción, debiendo ser ésta verificada y posteriormente autorizada. Estas transacciones, se llevan a cabo, bien de forma electrónica a través de claves secretas, bien de forma manuscrita a través de firmas. En ambos casos, tal verificación es pobre cuando no engañosa y no garantiza en ningún caso la identidad de quien lleva a cabo tal operación. Es por ello que se precisa de métodos más eficientes que garanticen con fiabilidad la seguridad de este tipo de transacciones. La verificación de firmas manuscritas (VFM) puede dividirse fundamentalmente en dos grandes grupos: dinámicas (on-line) y estáticas (off-line). La gran diferencia entre los métodos dinámicos y los estáticos es que mientras que los estáticos se basan en la imagen de la firma para el proceso de verificación, los dinámicos se basan en la manera en que se reproducen las firmas. Con la aparición de distintos dispositivos electrónicos capaces de capturar datos dinámicos de una firma, los métodos biométricos (dinámicos) para la autenticación de la firma se han hecho cada vez más populares. ¿Por qué seguir contrastando sólo la imagen de las firmas si ahora poseemos de información más precisa y no visible? Estos dispositivos no sólo son capaces de reproducir la viva imagen de una firma sino que además graban su comportamiento en el tiempo. Firma digital Pág. 37 Así pues, una firma dinámica es recogida con uno dispositivo electrónico especial para ello y se compone de una secuencia de puntos que la reproducen. Estos puntos no son más que vectores cuyas componentes son la posición, el tiempo, la presión y en algunos casos el ángulo con que se sostiene el dispositivo. En función de la frecuencia del dispositivo electrónico, seremos capaces de recoger más o menos datos. Dada la multitud de datos obtenidos y su enorme variabilidad, será necesario extraer algunos parámetros característicos de la firma que permitan realizar una autenticación eficaz. Estos parámetros se pueden dividir en globales y locales. Los parámetros globales son calculados tomando la totalidad de la secuencia de puntos mientras que los parámetros locales se calculan atendiendo a un pequeño segmento de la firma. Los parámetros globales son infinitamente más sencillos de calcular y por tanto de procesar aunque, obviamente, ofrecen información más pobre. Por otro lado los parámetros locales aportan información más fidedigna pero el procesado de éstos es mucho más costoso y complejo. Los dos métodos más conocidos que se basan parámetros locales son el DTW (Dynamic Time Warping) y el HMM (Hidden Markov Model), este último muy utilizado en reconocimiento de voz. Estos modelos tratan básicamente de reducir una firma a un conjunto de puntos o segmentos característicos. Estos segmentos, también serán vectores y poseerán información sobre por ejemplo su longitud, su dirección, su velocidad, su presión, etc. Finalmente estos métodos realizan una comparación más o menos compleja de tales segmentos. De estos métodos se desprende que debe de producirse primero una normalización de los datos, ya que las muestras recogidas Figura 6.1 Metodologías de verificación Pág. 38 Memoria pueden ser muy distintas. En los anexos podréis encontrar más información sobre éstos y otros métodos propuestos por distintos autores. En los siguientes puntos se tratará de realizar un breve resumen de lo que han dado de sí los distintos métodos estudiados, hablaremos de los parámetros utilizados en cada uno de ellos, su cálculo y finalmente de su comportamiento. Hablemos primero un poco acerca de la variabilidad de las firmas. 5.2. Variabilidad de la firma Tome un papel y realice dos firmas ¿Se parecen? ¿Qué diferencias aprecia? Pruebe ahora de firmar de pie y luego en un recuadro muy pequeño ¿Existen diferencias acusadas respecto la original? ¿Por qué es tan variable una firma? El propio acto de firmar depende de multitud de factores: la posición, el bolígrafo, el medio sobre el que se firma, el estado de ánimo, el entorno, las prisas, el espacio destinado a la firma, etc. ¿En qué se basa una persona para emitir un veredicto sobre la veracidad de una firma? La mayoría de nosotros no firmamos dos veces de la misma manera, de hecho muchas veces probablemente sólo se parezcan Antes de empezar con el análisis de los distintos métodos estudiados en este proyecto me gustaría aclarar dos conceptos que mencionaré repetidas veces a lo largo de mi exposición. Ambos conceptos están relacionados con el tipo de error que se puede cometer al tratar de autenticar una firma. El primero es la Tasa de Rechazo de Firmas Genuinas (TRFG), es decir, el número de veces que una firma verdadera es juzgada como falsa; el segundo es la Tasa de Aceptación de Firmas Falsas (TAFF) o el número de veces que una firma falsa es considerada como verdadera. A partir de este momento, para mi mayor comodidad, me referiré a ellas atendiendo a sus siglas Firma digital Pág. 39 5.3. Análisis de los métodos y parámetros para la verificación de la firma manuscrita A continuación se expone un análisis de los diferentes métodos escrutados, resultados obtenidos y experiencia recogida durante prácticamente 3 meses de prueba con una de las tecnologías que actualmente se hallan en el mercado llamada HP FAS. Decir que HP FAS es una de las múltiples soluciones entorno a la concepción del bolígrafo electrónico. Su cámara integrada posee una frecuencia de 75Hz, es decir, es capaz de recoger 75 muestras por segundo. Esta es la información que recoge en cada muestra: o El tiempo. o La coordenada X e Y. o La presión ejercida sobre el papel. 5.3.1. Estudio de las funciones temporales En un principio se pensó en realizar un análisis espectral de la firma a partir de sus variables de presión, velocidad, aceleración y posición. Se pretendía hallar unas curvas representativas para cada firma que permitieran realizar una comparación fácil y eficaz. Pero enseguida apareció la primera dificultad, las muestras recogidas una y otra vez eran distintas. Pero ése no fue el único problema, enseguida se comprobó cuanta variabilidad cabía entre dos firmas de una misma persona. ¿Cómo solventar este primer reto? Está claro que primero se debía proceder a una normalización de los datos con el fin de poder ejercer una comparación justa entre firmas del mismo tamaño ¿Cómo dilatar o contraer una firma sin falsear la muestra? Lo cierto es que resulta extremadamente complicado. Las muestras no dejan de ser fotos, instantáneas por lo que se desconoce qué es lo que sucede entre dos de ellas consecutivas. Tan sólo queda extrapolar entre los extremos locales y añadir puntos o quitar en función de cual sea la necesidad. Una vez normalizadas las curvas, se dota a la firma genuina de un intervalo de confianza y se Pág. 40 Memoria realiza una comparación secuencial entre ambas punto a punto. Decir tan sólo que este método cuenta con una alta variabilidad y que la normalización de los datos resulta muchas veces poco fiable. 5.3.2. Estudio global Con el fin de poder comparar muestras del mismo tamaño y poder diluir en gran parte nuestra variabilidad, se pensó en prescindir de las funciones y trabajar con valores promedio y cambios de signo en las variables estudiadas. Ambos introducían la ventaja que eran muy fáciles de calcular y debían ser en principio bastante constantes e independientes del tamaño de la muestra. Parecía que se había solventado el problema del tamaño de las muestras. Para cada firma se obtenía un vector cuya composición se expone a continuación: Vector único o Duración total o Presión media o Velocidad media en X e Y o Aceleración media en X e Y o Cambios de signo en X e Y o Cambios de signo en la velocidad en X e Y o Cambios de signo en la aceleración en X e Y ¿Cuáles fueron los resultados obtenidos? Evidentemente el resultado dependía del intervalo de tolerancia que se definía, cuanto menor era el intervalo utilizado mayor era la Firma digital Pág. 41 tasa de rechazo de firmas genuinas (TRFG) y menor la tasa de aceptación de firmas falsas (TAFF). Todo lo contrario sucedía cuando se aumentaba el intervalo de tolerancia. Ajustando la tolerancia a un nivel medio se conseguió que las tasas (TRFG y TAFF) rondaran el 15%. Este resultado obviamente no era suficiente pero seguramente añadiendo algún otro parámetro que no se estaba teniendo en cuenta y prescindiendo de algún otro iba a mejorar. Aún así parecía claro que se podía hallar un método más preciso. El mayor defecto que poseen los métodos globales es que las posibles diferencias que puedan existir entre los distintos trazos o fases de la firma, quedan rápidamente enmascaradas por lo que los valores promedio aportan escasa información. Además habían otras complicaciones. Para el cálculo de cambios de signo se debía especificar unos intervalos que dieran cuenta de cuando se producía realmente un cambio de tendencia y no era simplemente una fluctuación debida a la variabilidad. Si el intervalo escogido para la variable en cuestión era demasiado pequeño, la variabilidad falseaba el resultado, si por otro lado, el intervalo era grande, se perdía información valiosa y crecía la probabilidad de errar en la verificación. ¿Por qué no segmentar las firmas? Se buscaba la manera de hallar tramos en la firma con información homogénea para que el cálculo de los valores promedio fuera lo más representativo posible ¿Por qué no descomponer la firma en sus respectivos trazos? 5.3.3. Estudio local Para introducir mayor precisión en nuestro estudio, se pensó en descomponer la firma en sus correspondientes trazos, analizando cada uno de ellos por separado. Un trazo no es más que el conjunto de puntos reproducidos en papel de forma continua, es decir, sin levantar el bolígrafo del papel. Cada trazo conformaba una unidad plenamente independiente en el sí de una firma. Aunque se le ha llamado estudio local y de hecho lo es en parte, en este caso la segmentación realizada es muy básica, sólo a nivel de trazos, mientras que en los métodos basados en parámetros locales la segmentación es infinitamente mayor. Es evidente que a mayor segmentación mayor homogeneidad pero descomponer una firma en segmentos demasiado pequeños conllevaba varias Pág. 48 Memoria 5.3.7. Resumen de parámetros Gracias a las etapas anteriores, se descubrió que se tenían un gran número de parámetros capaces de revelar si una firma era verídica o no, el problema era conseguir que las muestras a comparar fueran iguales. Así que se pensó que quizás tampoco era tan necesario disponer de tanta información y que si uno se centraba en algunos aspectos básicos como número de trazos, trayectorias, valores promedio y algún otro parámetro global habría suficiente para garantizar un método realmente eficaz. Véase un resumen de todos los parámetros: o Número de trazos o Duración total de trazado o Tiempo muerto total o Trayectoria inicial-final X e Y o Relación de avance X e Y o Desviación centro de masas X e Y o Desviación centro de velocidades X e Y o Presión media o Velocidades media X e Y o Cambios de signo en la velocidad X e Y o Cambios de signo en la aceleración X e Y Firma digital Pág. 49 o Verticalidad de la firma o Horizontalidad de la firma o Proporción largo-ancho 5.4. Método propuesto Tras el estudio de los diferentes métodos y parámetros, su evaluación y nuestra experiencia durante la duración de este proyecto, pasaremos a proponer un método para la verificación automatizada de firmas. 5.4.1. Parámetros De la lista de parámetros resultante del punto anterior se debía escoger aquellos que se mostraran más sólidos y al mismo tiempo aportaran más información sobre la firma. Para ello, se realizaron pruebas para recoger la variabilidad de los distintos parámetros y se contrastaron el grado de diferenciación de éstos respecto de otras firmas. Se quería un conjunto de parámetros, a poder ser reducido, que se mostrara por encima de todo fiable. La experiencia hizo descartar la mayoría de variables relacionadas con el eje Y, ya que la mayoría de firmas suelen ser longitudinales y por tanto la información sobre el eje Y no aportaba información valiosa. Al final se decidió tratar con los siguientes parámetros: Vector único o Número de trazos o Trayectoria inicial-final (para el eje X) o Presión media Pág. 50 Memoria o Tiempo total de trazado o Tiempo muerto o Relación de avance o Desviación centro de velocidades (para el eje X) o Cambios de signo de la velocidad (para el eje X) 5.4.2. Captura Como ya se ha comentado varias veces a lo largo de éste proyecto, para la captura de parámetros se ha utilizado el bolígrafo electrónico Digital Pen and Paper, el cual tiene una frecuencia de 75Hz. El bolígrafo en cuestión obtiene para cada muestra un vector formado por las siguientes componentes: o tiempo o coordenada X o coordenada Y o presión A partir de las cuáles, el cálculo de velocidades y aceleraciones es trivial. Firma digital Pág. 51 5.4.3. Preproceso Debido a que la tecnología presentada registra la posición absoluta en todo momento del bolígrafo sobre el papel, la primera muestra recogida en una firma siempre posee unas coordenadas distintas de 0 (siempre y cuando la firma no se inicie siempre en el origen de coordenadas). Debido a esta razón es necesario realizar una leve corrección de los datos recogidos ya que en caso contrario no podríamos realizar la comparación. Para ello restaremos a cada coordenada el valor de la coordenada inicial, de esta manera desplazaremos nuestro eje de coordenadas al punto inicial de la firma. Otro tipo de corrección que se realizará en esta fase de preproceso es suprimir los valores iniciales y finales de toda firma que suelen introducir a menudo problemas. Será suficiente con suprimir los dos o tres valores iniciales y finales para eliminar el ruido que éstos puedan crear. A veces también se opta por eliminar los valores picos y valle, pero en nuestro caso vamos a mantenerlos. 5.4.4. Extracción Tras el preproceso se procederá al cálculo de los 8 parámetros que se han definido anteriormente. Como unidad de tiempo usaremos la propia frecuencia del bolígrafo (1/75) para hacer más sencillos los cálculos. La mayoría de los parámetros a calcular son triviales, como el tiempo de trazado, el tiempo muerto, el número de trazos, la presión media o la trayectoria inicial-final, otros requiere algún cálculo un poco más costoso, como la relación de avance, la desviación del centro de velocidades o el número de cambios de signo de la velocidad para el eje X. En cualquier caso, su cálculo, está explicado en los puntos anteriores. Además en el anexo se adjunta el código donde se puede comprobar su cálculo. Una vez se han obtenido los 8 parámetros, éstos se disponen como componentes de un vector que se llamará M(muestra). Pág. 52 Memoria 5.4.5. Fidelización Es en esta etapa donde se deben recoger las muestras genuinas de los futuros usuarios o clientes para proceder en posteriores ocasiones a su verificación. En este proceso de fidelización hay que asegurarse que la muestra genuina es suficientemente representativa ya que en caso contrario las comparaciones no serán óptimas. Parece entonces claro que con una única muestra no será suficiente y que serán necesarias varias para conformar una muestra suficientemente representativa. En este caso se ha decidido que sean 5 las firmas a realizar por el futuro usuario. Para cada componente se calculará la media y la desviación tipo. Los valores medios se situarán en un vector que se llamará G (genuino) y las desviaciones en un vector que se llamará S. 5.4.6. Comparación Para la comparación de las firmas, será necesario calcular el vector diferencia D = G - M y normalizar D dividiendo cada componente por la correspondiente desviación tipo del vector S. Para el vector resultante R, se hallará la norma (raíz cuadrada de la suma de cuadrados de sus componentes). En caso que la desviación tipo de alguna de las componentes fuera 0, se tomaría como desviación tipo el 10% del valor medio de éste. 5.4.7. Decisión Calculada la norma del vector resultante solo queda compararlo con un determinado valor umbral que dependerá evidentemente de la aplicación que le queramos dar. Si la norma es menor o igual que este umbral, la firma será considerada como correcta, si el valor por otro lado es superior, entonces la persona deberá proceder a realizar otra firma. Este proceso deberá repetirse hasta que la firma se demuestre satisfactoria o en su defecto se hayan consumido 3 intentos. Si en el tercer intento la firma no es considerada correcta la transacción será cancelada y bloqueada por el espacio que se considere oportuno en cada aplicación. Tanto la TRFG como la TAFF son función de este umbral. Cuanto mayor es este umbral menor es la TRFG pero mayor es la TAFF, por lo que dependerá de su aplicación Firma digital Pág. 53 el optar por un valor u otro. Debido al corto plazo destinado a este proyecto no se pueden disponer de datos tabulados con el fin de apoyar esta elección, por lo que se recomienda se teste antes de tomar una decisión. La experiencia hace pensar que considerando que se barajan 8 parámetros, el valor óptimo de este umbral se debe hallar entre 8 y 16 y seguramente muy cercano al primer valor. De hecho cuantas más muestras tomemos en la fase de fidelización, más se acercará el valor a 8. 5.4.8. Simulación Si bien es cierto que se ha sentado las bases de un módulo para el reconocimiento automatizado de la firma definiendo cada una de las fases necesarias y determinando el cálculo de los parámetros, queda una ardua tarea que es simular su comportamiento. Sólo tras una buena simulación del método se estará en disposición de afinar y adelantar qué tasa de errores cabe esperar. De su simulación deberá desprenderse si el método es válido para la aplicación pensada. Se espera conseguir tras una correcta simulación y la determinación de un umbral adecuado un tanto por cierto de aciertos superior al 95%. 5.5. Beneficios potenciales Si bien la solución que se planteaba en el primer punto, a priori, conlleva una reducción de costes mucho más evidente, no deja de ser menos importante el ahorro que se deriva de esta segunda solución. Aunque el ahorro es tal vez menos visible, la repercusión que acaece sobre las empresas es muy grande. El dinero que anualmente las empresas pierden en concepto de estafas y fallos judiciales en su contra es muy grande y ello podría reducirse sensiblemente si fuera posible detectar las firmas falsas a tiempo. Como en el primer punto, se realizará un estudio más exhaustivo del verdadero ahorro que supone para las empresas la adopción de una solución de estas características, pero se pueden adelantar cuáles serán los beneficios esperados: o Incremento de la seguridad por transacción o Reducción del coste asociado al fraude Pág. 54 Memoria o Eliminación del factor humano Firma digital Pág. 55 6. Viabilidad económica 6.1. Análisis del entorno competitivo A continuación se procederá a realizar un análisis del entorno competitivo, basado en el modelo de Porter, bajo la perspectiva de una empresa cliente que pudiera beneficiarse de las soluciones planteadas en los puntos anteriores referentes a la certificación y a la verificación de firmas digitales. Es importante remarcar que para la consecución de este estudio se ha tenido en cuenta la siguiente hipótesis: Se ha supuesto la existencia de una empresa que facilita tanto el servicio de certificación como el de verificación de firmas para sus clientes. Este servicio estaría plenamente contemplado por la ley y por tanto amparado judicialmente. Proveedores Una empresa que desee adquirir un servicio de certificación de firmas, necesitará por un lado contratar este servicio a una empresa certificadora y por otro lado, adquirir el hardware necesario para llevar a cabo su digitalización. Por hardware necesario se entiende por un lado los bolígrafos electrónicos y por otro lado otros elementos que ya se le suponen como son PC’s e impresoras. Son bastantes los proveedores de este tipo de tecnología por lo que se espera que el poder de negociación de éstos sea realmente bajo y la empresa pueda obtener precios muy competitivos. Por otro lado, la adquisición del servicio es más crítica. Bajo la hipótesis citada anteriormente referente a la existencia de una empresa certificadora, ésta poseería un poder de negociación extraordinariamente alto sobre las empresas, debido a la carencia actual de empresas que ofrezcan este servicio. Evidentemente esta situación solo se produciría en una situación inicial, ya que una vez el estado acredita por vez primera una empresa para ofrecer este tipo de certificaciones, otras empresas podrían querer ofrecer este mismo servicio. También existen algunos productos o servicios que pudieran ser sustitutivos y de los cuáles se hablará posteriormente. Pág. 56 Memoria Por otro lado, el servicio de verificación de firmas no posee las limitaciones legales que se mencionaban en el caso anterior. Este servicio dependerá puramente de la decisión de las empresas. Por este motivo son varios los dispositivos que actualmente se hallan en el mercado y que ofrecen la posibilidad de verificar la identidad de la persona en cuestión. Por tanto podemos decir que la fuerza de negociación de los proveedores de estas soluciones será sustancialmente menor que en el caso anterior. Clientes Es indudable la enorme implicación que tienen a día de hoy las firmas. Prácticamente en cualquier transacción, contrato o acuerdo que comprometa a dos o más personas, se precisa de una rubrica o firma que las autorice. Sin embargo, sólo hace falta echar un rápido vistazo a los sistemas de seguridad empleados con el fin de garantizar la identidad de las personas, para darnos cuenta de lo vulnerables que resultan. ¿Quién no ha pensado nunca en lo fácil que resulta falsificar una firma? ¿Son necesariamente iguales dos firmas realizadas por la misma persona? La conclusión a ambas preguntas es aterradora, los sistemas de autorización resultan demasiado precarios. Por este motivo, cualquier sistema de seguridad que incorpore medidas para garantizar la identidad de las personas será bienvenido. La adquisición de un servicio de verificación para la empresa no resulta simplemente en un beneficio para la misma, en muchas ocasiones lo será tan bien por los clientes de la misma que verán con buenos ojos ese aumento de seguridad en sus operaciones. Ello es especialmente crítico en las entidades bancarias y en los comercios donde las estafas resultan extremadamente usuales. No obstante no parece que a priori pueda ser un servicio que pueda cobrarse a éstos. Cabe pensar también que la presión de la competencia en este sentido es muy alta y la adquisición de este servicio por parte de la empresa está plenamente justificada de todas formas como veremos más adelante. Por otro lado, el servicio de certificación, resulta completamente transparente para los clientes, teniendo un efecto meramente interno en los procesos de la empresa. De cara a los clientes el proceso de autorización continúa siendo esencialmente el mismo, por lo que el cliente no ejercerá ningún tipo de presión, ni positiva ni negativa, sobre su posible implementación. Firma digital Pág. 57 Competidores Es evidente que poseer todos los documentos de una empresa en formato electrónico sin duda conlleva grandes ventajas. Por ejemplo, si se piensa en una entidad bancaria, disponer de todos los documentos de contabilidad, las operaciones diversas y los contratos directamente en formato digital, sin duda, ahorra espacio, tiempo y dinero. ¿Qué sucede con aquellas empresas que quieren dar de alta un contrato comercial? ¿Cuánto tiempo pasa hasta que el contrato llega a la oficina central donde se da de alta? ¿Cuánto dinero se deja de ganar en ese plazo de tiempo? Disponer de toda la información en formato digital comporta indudablemente enormes beneficios para la empresa. Por tanto se podría decir que una empresa que gozara de un servicio de certificación que le permitiera tener toda la información en formato digital se hallaría en una clara ventaja respecto a la competencia. Sin duda, su capacidad de reacción sería mucho mayor y muchos de sus costes internos se verían sustancialmente reducidos. En cuanto a la verificación de firmas, podría darse el mismo caso que aconteció en su época con los cajeros automáticos y es que aunque es un servicio del que se puede prescindir, parece claro que representa una clara ventaja respecto a la competencia. Esto es mucho más acusado en los bancos, ya que la seguridad de las cuentas bancarias propias es algo que a todos preocupa. Productos sustitutivos En la actualidad existen algunas empresas que certifican cierto tipo de operaciones, como son aquellas englobadas bajo el nombre de comercio electrónico. Estas empresas, un ejemplo es Verisign, garantizan que el proceso de compra se está llevando a cabo de forma segura y correcta. No obstante, nunca pueden garantizar que la persona que lleva a cabo la compra sea quien dice. El otro gran problema de estos otros sistemas es que sólo se utilizan en el comercio a distancia ¿Qué sucede con el comercio in situ? ¿Cuál es la situación bancaria? En todos estos casos una firma sigue siendo requerida. Existen otros sistemas de identificación como son las huellas dactilares o la lectura del iris, pero son sólo sistemas de identificación, para la autorización la firma sigue siendo necesaria. Es muy probable que con el tiempo, la firma vaya perdiendo importancia Pág. 64 Memoria cantidad de papel sigue creciendo y ocupando cada vez más espacio. Generalmente, la información es difícil de encontrar; a veces la forma de buscar no es compatible con el sistema de archivo, otras veces el documento físico lo tiene otra persona, o bien la colocación del documento en el archivo ha sido involuntariamente errónea». Y es que la pérdida de hasta 500 horas laborales al año buscando documentos por parte de los profesionales son argumentos suficientes. Con todas estas cifras, los altos costes de una gestión de los documentos a la manera tradicional parecen quedar demostrados. Para Alberto Rodríguez, los beneficios de la gestión documental también son incontables. Desde el ahorro de espacio físicos y ahorro de papel de impresión, pasando por la rapidez en la localización de los documentos... «una compañía que invierta en gestión documental tiene asegurada una organización sólida que le va a permitir generar actividad en su negocio también con solidez; la documentación en las empresas es algo necesario, y si no se dedican recursos a su organización, todo se convierte en un lastre para el negocio. La documentación debe ser un elemento que contribuya y favorezca el negocio, no que lo entorpezca... y con la gestión documental esto se consigue». Seguidamente se llevará a cabo un análisis de inversiones de una empresa tipo que estuviera evaluando la posibilidad de hacerse sólo con el modelo de certificación. El escenario elegido es una oficina bancaria . Los precios que se han tenido en cuenta para el cálculo de los distintos costos, son los precios de algunos de los productos o servicios que actualmente se hallan en el mercado. En otros casos, como en los alquileres, se han realizado estimaciones a partir de casos similares. El siguiente análisis de inversiones ha sido realizado de la siguiente manera: o Cálculo de los fondos invertidos a un horizonte de 5 años vista o Cálculo de los fondos generados también a 5 años vista o Determinación de los flujos de caja como resta del primero menos el segundo Firma digital Pág. 65 o Análisis de los resultados obtenidos Se ha estimado una vida útil de los bolígrafos electrónicos y de las estaciones de descarga de 3 años. 6.3.2. Determinación de los flujos de caja Antes de resumir cuáles serán los flujos de caja, se especificarán las hipótesis sostenidas para este análisis. Destacar que toda la información incluida a continuación se ha extraído de casos reales similares y de la experiencia narrada de un director de oficina bancaria de la Caixa de Pensions. Estas son las hipótesis sostenidas: o Para este primer caso se ha tenido en cuenta una oficina bancaria de tamaño medio ubicada en una zona media de Barcelona. o Esta oficina tipo posee 8 empleados en plantilla. o La oficina bancaria ya dispone de PC’s e impresoras. o Se realizan 50.000 transacciones al cabo del año que requieren firma (200trans/día x 250 días) o En esta oficina se trabajan un total de 16.000 horas, el 5% de las cuáles (800 horas) se destinan a: clasificación, archivación, recuperación y distribución de documentos y autorización de transacciones que requieren fax y comprobación de firma. Aunque se cree que el tiempo dedicado a estas tareas es bastante superior en porcentaje al 5%, se ha querido utilizar finalmente éste como estimación a la baja. No hace falta resaltar la enorme importancia que poseen los documentos en una oficina bancaria y la extensa manipulación de éstos que se realiza. o El precio medio de la hora utilizado es de 25€/hora. Pág. 66 Memoria o La necesidad de realizar una copia de todos los documentos y transacciones hace que en esta oficina bancaria se impriman todos los años del orden de 125.000 hojas duplicadas (50.000 transacciones por 2,5 páginas de media). o Esta oficina imprime mayormente en blanco y negro a un coste de 0,015€/documento. o Se ha tenido en cuenta un coste del papel de 0,006€/hoja o El espacio destinado al archivo es de 15m2 contando el espacio ocupado por las estanterías e instalaciones varias. o El m2 en una zona media de Barcelona está sobre los15€, por lo que el coste anual en concepto de alquiler será de 2.700€ (15x15x12). o No se han tenido en cuenta costes como la preimpresión de documentos, el transporte de éstos, su deterioro, el coste asociado al almacenamiento de documentos como son carpetas, estanterías e instalaciones varias. Tampoco se han tenido e cuenta otros costes difícilmente estimables como son: la disminución en el tiempo de respuesta y/o de decisión, disposición de toda la información de forma compartida y simultanea, aumento de la rigurosidad asociada a las transacciones (una firma es requerida si o sí), aumento considerable en la seguridad (la firma es comprobada on-line), etc. o Se ha considerado el precio del servicio de certificación variable. ‘pt’ es la variable que da cuentas del precio transaccional cobrado por este servicio de certificación, mientras que ‘PT’ es el precio total al cabo de 50,000 transacciones (PT = 50,000 x pt) o Se han considerado beneficios y por tanto PT no puede ser mayor de 25,325 €, es decir, pt < 0.50 €/transacción. Firma digital Pág. 67 o ¿Qué inversión necesariamente debe hacer la oficina en cuestión para adquirir una solución de certificación de firmas? A continuación se detallarán y repasarán los distintos conceptos de inversión que se han tenido en cuenta: o El precio de los bolígrafos electrónicos necesarios para utilizar el servicio de certificación de firmas es de 200€/bolígrafo. También se han tenido en cuenta 168 horas de consultoría (50€/hora) para la implementación de la solución en el sí de la oficina. Bajo este concepto se hallan las siguientes tareas: o Asignación de patrón: Se deberá preparar cada uno de los documentos transaccionales de la oficina que vayan a requerir firma para que puedan ser utilizados por los bolígrafos electrónicos. Para ello se deberá asignar a la zona destinada a la firma un patrón variable. o Alta de los formularios electrónicos: Será preciso dar de alta cada uno de los documentos electrónicos para que el programa gestor de patrones los reconozca y les asigne correctamente un patrón. o Instalación y desarrollo de interfaces: En esta fase se realizarán las instalaciones pertinentes en cada uno de los PC’s y se desarrollarán los programas e interfaces necesarias para conectar la aplicación de certificación con el programa principal de la entidad bancaria. También se establecerán los protocolos de comunicación entre los distintos servidores, bases de datos y se definirán los lenguajes de encriptación utilizados. o Implementación de la impresión: Durante esta etapa se definirán y establecerán los controladores de impresión o ‘drivers’ necesarios para la impresión de documentos que contengan el patrón de puntos. Pág. 68 Memoria o Chequeo de la solución: Durante esta fase se asegurará el funcionamiento de la solución desde cada uno de los puestos de trabajo y para cada uno de los componentes que intervienen. Con el fin de garantizar el buen funcionamiento se realizará un piloto que simulará un día de funcionamiento continuo de la solución. o Puesta en marcha: En esta última etapa se iniciará el servicio de certificación bajo una supervisión continua que durará aproximadamente una semana. Asignación de patrón (h) 8 Alta de los formularios electrónicos (h) 15 Instalación y desarrollo de interfaces (h) 40 Implementación de la impresión (h) 15 Chequeo de la solución (h) 40 Puesta en marcha (h) 50 Total horas consultoría (h) 168 Es importante resaltar que se ha partido de la hipótesis que la oficina bancaria se encargará de digitalizar y diseñar correctamente todos aquellos documentos que no se hallen en formato digital o su formato no se adecue a las especificaciones. Para ello será Tabla 7.5 Desglose horas Firma digital Pág. 69 necesario que cada uno de los documentos que quiera ser utilizado disponga de un recuadro en la parte inferior derecha de dimensiones específicas que la empresa certificadora en cuestión solicitará. Véase el análisis de inversiones realizado. FONDOS INVERTIDOS AÑO 0 1 2 3 4 5 Bolígrafos electrónicos (€) 1.600 0 0 1.600 0 0 consultoría (€) 8.400 0 0 0 0 0 TOTAL INVERTIDO (€) 10.000 0 0 1.600 0 0 FONDOS GENERADOS AÑO 0 1 2 3 4 5 Ahorro de costes +Coste del papel (€) 750 750 750 750 750 +Coste de impresión (€) 1.875 1.875 1.875 1.875 1.875 +Coste espacio físico (€) 2.700 2.700 2.700 2.700 2.700 +Coste de búsqueda (€) 20.000 20.000 20.000 20.000 20.000 Total ahorro costes (€) 25.325 25.325 25.325 25.325 25.325 -Amortización (€) -533 -533 -533 -533 -533 -Costes variables (€) -PT -PT -PT -PT -PT B.A.I (€) 25.325 - PT 25.325 - PT 25.325 - PT 25.325 - PT 25.325 - PT B.D.I (€) 16.461 - 0.65PT 16.461 - 0.65PT 16.461 - 0.65PT 16.461 - 0.65PT 16.461 - 0.65PT Pág. 70 Memoria Amortizaciones (€) 533 533 533 533 533 TOTAL GENERADOS (€) 0 € 16.994-0,65PT 16.994-0,65PT 16.994-0,65PT 16.994-0,65PT 16.994-0,65PT FLUJO DE CAJA FLUJO DE CAJA (€) -10.000 16.994-0,65PT 16.994-0,65PT 15.394 - 0,65PT 16.994-0,65PT 16.994-0,65PT FLUJO DE CAJA ACUMULADO S FLUJO DE CAJA (€) -10.000 6.994 – 0,65PT 23.988 – 1,3PT 39.382 - 1,95PT 56.376 – 2,6PT 73.370 - 3,25PT En el siguiente punto se analizará el impacto de la variable PT en el resultado final y el valor que puede o debe adoptar ‘pt’ para que esta solución sea rentable para la oficina bancaria. Se analizará este último aspecto bajo dos conocidos indicadores: TIR y Payback. 6.3.3. Justificación del precio de la solución En las hipótesis barajadas para este escenario ya se avanzaba que el valor de la variable transaccional ‘pt’ debía ser inferior a 0.50 si se querían obtener beneficios año tras año y así liquidar la deuda contraída por la inversión. No obstante, ¿cuál es la rentabilidad financiera obtenida para los distintos valores de esta variable? El indicador financiero que se pretende evaluar es el TIR (tasa interna de retorno). El TIR no es más que un indicador financiero que da cuentas de la rentabilidad que supone una cierta inversión en determinado negocio. Para conocer el valor transaccional que estaría dispuesta a pagar una oficina bancaria por un servicio de certificación de firmas digitales, se deben comparar los beneficios netos que de su implantación se derivan, con la rentabilidad financiera que está dando el mercado actualmente por la misma cantidad invertida. En la tabla que se resume seguidamente se muestran los valores transaccionales máximos aceptados para los distintos valores de TIR contemplados. Tabla 7.6 Determinación flujo de caja Firma digital Pág. 71 TIR 6% 11% 15,5% 20% 24,5% PT (€) 22.000 21.500 21.000 20.500 20.000 pt (€) 0,44 0,43 0,42 0,41 0,4 Suponiendo que la rentabilidad financiera actual del mercado fuera de un 11%, la oficina bancaria en cuestión nunca pagaría más de 0,43 € por transacción realizada ya que en caso contrario, podría obtener un beneficio mayor invirtiendo el dinero en otro tipo de activos. Para esta rentabilidad financiera y para un precio transaccional de 0,43 €, la oficina bancaria obtendría unos beneficios al cabo de 5 años de 3.495 €. Si se considera que la oficina bancaria pertenece a la entidad ‘La Caixa’ y se tiene en cuenta que hay del orden de 5.000 oficinas en toda España, la implantación de un sistema de certificación de firmas digitales supondría unos beneficios totales de 171475.000 € (2.900 millones de las antiguas pesetas). Si el indicador a tener en cuenta es en cambio el Payback, que es el número de años en que queda liquidada la deuda contraída por la inversión, tan sólo hay que referirse al flujo de caja acumulado y obligar que para cada uno de los años el valor sea 0 y obtenemos lo siguiente: PAYBACK (años) 1 2 3 4 5 PT (€) 10.760 18.452 20.196 21.683 22.575 pt (€) 0,22 0,37 0,40 0,43 0,45 Tabla 7.7 TIR Tabla 7.8 Payback Pág. 72 Memoria Si lo que se pretende es liquidar la deuda en un solo año, el precio transaccional máximo aceptado será de 0,22 €/transacción, si en cambio, se pretende liquidar en un máximo de dos años, el precio transaccional aceptado aumenta hasta 0,37 €/transacción. Firma digital Pág. 73 Conclusiones y recomendaciones A lo largo de este proyecto final de carrera se ha insistido en la enorme implicación que tiene a todos los niveles la manipulación de documentación y como ésta a pesar de todo continúa siendo uno de los pilares más costosos e improductivos de la empresa. Esta paradoja acontece mayoritariamente por el desconocimiento e ignorancia del aparato legislativo que repite una vez tras otra de forma obstinada la necesidad de mantener los documentos firmados en formato papel. A pesar de los grandes avances hechos en los sistemas de información, en los sistemas de seguridad y en los equipos tecnológicos, la ley se ha resistido a contemplarlos alegando que los sistemas informáticos son demasiado vulnerables. La completa ignorancia es la única explicación plausible para ese miedo infundamentado por el mundo de la informática en general. No obstante, finalmente poseemos de una ley que regula y ampara la firma digital por lo que ya no existe motivo para no mejorar todos nuestros procesos internos. Ha quedado claro que existe tecnología suficientemente avanzada como para llevar a cabo este ambicioso proyecto. También se han detectado los costes asociados a la manipulación de documentos y se ha demostrado a través de un ejemplo clarificador el enorme impacto que tendría un sistema de digitalización en el sí de la empresa. Si bien este proyecto finaliza con el diseño y esquema de las soluciones propuestas, quedan pendientes las siguientes líneas de acción: Estudio de viabilidad para la creación de una empresa certificadora y/o verificadora. Estudio de mercado, cálculo de necesidades, previsión de gastos, etc. En caso de viabilidad, llegar a un acuerdo comercial con Anoto para poder utilizar el patrón de puntos en la solución propuesta ya que esta empresa posee la patente, implementar la o las soluciones, obtener la acreditación del estado para ejercer como empresa certificadora y creación de la empresa certificadora.