Confianza (digital) rota

El término “ecosistema” se ha puesto de moda en varios sectores nacionales, tanto públicos como privados, y se suele usar para denotar, con cierta sofisticación, que existe algún nivel de coordinación entre varios actores involucrados con un asunto específico. El “ecosistema” ha vuelto al estrado a propósito del lamentable robo de datos personales que se produjo la semana pasada, vía una intrusión digital de delincuentes informáticos –no identificados aún– que quebraron los niveles de seguridad de repositorios públicos conformantes de lo que algunos funcionarios estatales llaman “ecosistema digital”.

La Asociación de Bancos (Asbanc) pudo dar la alerta, ante la ausencia de alguna señal diligente de parte de los agentes del ecosistema digital público, y advirtió sobre la existencia de una vulneración en todos los niveles de autenticación que se supone protegen el acceso a nuestra data sensible. En términos simples, los repositorios públicos donde se almacena parte de nuestra vida son altamente vulnerables y claramente generan desconfianza.

Paradójicamente, el fatídico suceso ha desembocado en entredichos públicos entre el Registro Nacional de Identificación y Estado Civil (Reniec) y la oficina ad hoc de la PCM –la Secretaría de Gobierno y Transformación Digital (SGTD)– que solo denotan que, si algo ofrece el “ecosistema digital” peruano, es poca o muy baja confianza inter pares. La paradoja llega también a las medidas de solución que ha planteado la PCM, que dado el robo de datos privados ha anunciado la creación de una Unidad Funcional de Confianza Digital (¿?).

Al igual que con las relaciones interpersonales, donde la confianza es algo que se construye en base a hechos y evidencias, no podemos predicar confianza –digital– sobre infraestructuras y repositorios si estos no garantizan fehacientemente que están aptos para lograrlo. La confianza digital no es un buen deseo, es algo factual, que radica en el diseño mismo de las arquitecturas digitales y de cada uno de los componentes que la conforman.

En ese sentido, la denuncia de Reniec, que involucra poner en cuestionamiento la robustez de la denominada Plataforma de Interoperabilidad del Estado Peruano (PIDE), es muy grave.

Sin ánimo de ponernos muy técnicos, que un actor del ecosistema digital como Reniec deslice que esa pasarela de interacciones que es la PIDE sea frágil y endeble, no solo nos debe preocupar. Sobre todo, debería interesarnos a saber más sobre qué pasa en esa PIDE.

La SGTD es la entidad encargada de gestionar la PIDE y, en su defensa, ha indicado que es imposible que la intrusión y el consecuente robo de datos se haya producido desde ahí, dado que la plataforma de interoperabilidad no almacena datos. Lo que no se ha dicho es que esa pasarela no necesita almacenar los datos para generar desconfianza, porque lo que hace es facilitar el acceso a distintos repositorios de datos desde donde sí se pueden producir vulneraciones.

Las administraciones públicas modernas requieren de pasarelas (PIDE) singulares, sólidas, pero sobre todo homogéneas en sus estándares básicos que permitan el desarrollo de servicios digitales accesibles. Imaginemos que deseamos proteger a un niño de una electrocución que se produce cuando coloca sus dedos en un tomacorriente. Imaginemos además que la casa donde está este infante no tiene solo un tipo de tomacorriente, sino miles y todos distintos. Definir normas de seguridad para evitar una desgracia con ese niño será más fácil si podemos impedir que coloque sus dedos dentro de tal o cual agujero, según un modelo dominante. Pero si cada tomacorriente es distinto y con diferentes diseños, la posibilidad de controlar las situaciones perniciosas será más compleja.

Algo así está pasando con la PIDE y el acceso a repositorios públicos de datos personales. No solo se trata de garantizar un acceso adecuado a la puerta principal (PIDE), sino también a las siguientes puertas –las de cada uno de los repositorios que interconecta la plataforma de interoperabilidad–. Se trata de empezar a trabajar en niveles de homogenización en la infraestructura digital misma que puedan protegernos de huecos en las garantías, dada la gran diversidad de estructuras involucradas y los altos niveles de conductas humanas oportunistas.