Certificació digital i serveis AOC

Introducción a la certificación digital y los servicios AOC

En el ámbito de la informática y la seguridad de la información, la certificación digital es una herramienta esencial para garantizar la autenticidad, integridad y no repudio de los documentos electrónicos. En este curso, exploraremos los conceptos clave relacionados con los certificados T‑CAT (tarjeta) y T‑CAT P (software), el proceso de solicitud y entrega, los roles involucrados y las normativas que regulan su uso, especialmente en el contexto del servicio de Autoridad de Certificación (AOC) de la Generalitat de Catalunya.

1. Certificados T‑CAT y T‑CAT P: diferencias fundamentales

Los certificados T‑CAT pueden emitirse en dos formatos:

• T‑CAT (tarjeta): se almacena en una tarjeta criptográfica física. Permite generar firmas cualificadas, que tienen el máximo nivel de garantía legal según el Reglamento eIDAS.
• T‑CAT P (programa): es una solución basada en software que, sin necesidad de un dispositivo físico, solo puede generar firmas avanzadas. Estas firmas garantizan la vinculación del firmante con los datos, pero no alcanzan el nivel de firma cualificada.

Esta distinción es crucial porque determina el tipo de transacciones que pueden realizarse con cada certificado. Por ejemplo, la firma de documentos oficiales que requieran la máxima seguridad debe realizarse con la tarjeta T‑CAT.

2. Acciones permitidas y prohibidas con un certificado T‑CAT de pseudónimo

Un certificado T‑CAT de pseudónimo está diseñado para proteger la identidad del titular mientras permite realizar ciertas operaciones electrónicas. Sin embargo, no todas las acciones están autorizadas:

• Está permitido usarlo para autentificarse en portales de la EACAT y para acceder a servicios de autenticación del servicio AOC.
• Está prohibido acceder a servicios de autenticación del servicio AOC con un certificado de pseudónimo, ya que estos servicios requieren la identificación real del usuario.

Entender estas limitaciones ayuda a evitar vulnerabilidades y a cumplir con la normativa de protección de datos.

3. Proceso de solicitud y entrega de certificados T‑CAT P

El tiempo de entrega es un aspecto operativo importante:

• Una vez recibida la documentación completa, el certificado T‑CAT P se entrega en 16 días laborables desde la recepción.

Este plazo garantiza que el proceso de verificación de datos y la generación del certificado se realicen con la debida diligencia.

4. Roles y responsabilidades en la gestión de certificados

Varios actores participan en el ciclo de vida de un certificado:

• Certificador de datos: es el responsable de verificar que los datos del titular del certificado sean correctos. Esta función es crítica para asegurar la validez legal del certificado.
• Solicitante de certificados personales, editor de solicitudes y responsable del servicio son roles complementarios que facilitan la tramitación, pero la verificación final recae en el certificador.

5. Auditoría de certificados personales

En una auditoría, la normativa establece un muestreo mínimo para garantizar la representatividad:

• Se debe mostrar entre 5% y 10% del total de los certificados personales, con un mínimo de 10 certificados. Este rango permite una revisión exhaustiva sin generar una carga desproporcionada.

6. Conservación de la documentación generada

Según la Ley 6/2020, la documentación asociada a la gestión de certificados debe conservarse durante al menos 15 años desde la caducidad del certificado. Este periodo asegura que la información esté disponible para posibles revisiones legales o auditorías posteriores.

7. Emisión de certificados con firma avanzada sin dispositivo físico

En el contexto del servicio AOC, el organismo que puede emitir certificados digitales con firma avanzada sin necesidad de un dispositivo físico es el Consorci AOC, a través del certificado T‑CAT P. Esta capacidad facilita la adopción de la firma electrónica en entornos donde la infraestructura de tarjetas criptográficas no está disponible.

8. Gestión de incidencias: solicitud que no aparece en la carpeta del subscriptor

Si una solicitud de certificado no se visualiza en la carpeta del subscriptor, el Responsable del Servicio debe:

• Verificar que la solicitud se haya registrado correctamente en EACAT. Esta acción implica revisar los registros internos y, de ser necesario, contactar con el soporte técnico para corregir cualquier error de registro.

Esta práctica garantiza la trazabilidad y la correcta gestión de las solicitudes.

9. Resumen de conceptos clave

• Los certificados T‑CAT (tarjeta) generan firmas cualificadas; los T‑CAT P (software) generan firmas avanzadas.
• El plazo de entrega de un certificado T‑CAT P es de 16 días laborables.
• El certificador de datos verifica la exactitud de la información del titular.
• En auditorías, se muestra entre 5% y 10% de los certificados, con un mínimo de 10.
• La documentación debe conservarse 15 años después de la caducidad del certificado.
• El Consorci AOC puede emitir certificados con firma avanzada sin dispositivo físico.
• Ante una solicitud faltante, el responsable debe comprobar el registro en EACAT.

10. Buenas prácticas para usuarios y administradores

Para maximizar la seguridad y el cumplimiento normativo, se recomiendan las siguientes acciones:

• Mantener actualizada la documentación de los titulares y validar su exactitud antes de la emisión.
• Utilizar siempre el tipo de certificado adecuado según la necesidad de firma (cualificada vs. avanzada).
• Realizar auditorías periódicas siguiendo el rango de muestreo establecido.
• Almacenar la documentación en un repositorio seguro durante al menos 15 años después de la caducidad.
• Documentar cualquier incidencia y seguir el procedimiento de verificación en EACAT.

Con este conocimiento, los profesionales de la informática y la gestión documental podrán implementar y mantener sistemas de certificación digital robustos, cumpliendo con la normativa vigente y garantizando la confianza en los procesos electrónicos.