Los servicios de confianza digital son un conjunto de soluciones que garantizan la seguridad y el intercambio de información y documentos en formato electrónico. Incluyen firmas electrónicas reconocidas, los sellos electrónicos cualificados y sellos de tiempo cualificados. Según la ley, estas herramientas garantizan a los documentos integridad y autenticidadla integridad del documento, es decir, que el contenido del documento no ha sido alterado y que se ha verificado la identidad de los firmantes. Gracias al reglamento eIDAS, las firmas electrónicas tienen la misma fuerza legal que las manuscritas, lo que hace posible el uso de documentos electrónicos en pie de igualdad con los documentos en papel en todos los países de la UE.
Ejemplos de servicios de confianza son la emisión de certificados de firma cualificados, los servicios de creación y verificación de firmas electrónicas, los servicios de sellado de tiempo o de entrega electrónica cualificada. El uso creciente de estos servicios en las empresas y la administración se debe al ahorro de tiempo y dinero que ofrecen los documentos digitales. Un documento electrónico con firma reconocida o firma electrónica puede sustituir a un documento en papel en muchos procedimientos, siempre que su fiabilidad se mantenga a lo largo del tiempo. Por tanto, el reto clave pasa a ser el mantenimiento a largo plazo de la validez de dichas firmasespecialmente en el contexto del archivo de documentos electrónicos.
Una firma electrónica cualificada se basa en un certificado cualificado emitido por un proveedor de servicios de confianza certificado por un periodo de tiempo determinado - normalmente 1 año, 2 años o 3 años. Durante este periodo, el certificado es válido y se considera que cualquier documento firmado durante este periodo lleva una firma válida. Los sistemas de verificación pueden confirmar fácilmente la validez de una firma sólo durante el periodo de validez del certificado. Tras la expiración del certificado la situación se complica - el el documento sigue estando legalmente firmadoporque la firma era válida en el momento de la firma, pero probar este hecho años después puede ser difícilsi no existen garantías adicionales.
En la práctica, esto significa que si firmamos electrónicamente un contrato y luego el caduca el certificado de firmaentonces, años después, las herramientas de verificación pueden indicar que la firma es "no válida" (por ejemplo, debido a un certificado no válido o a la falta de listas de revocación actualizadas). Una situación así le ocurrió al Sr. Jan, que firmó un contrato electrónico con una firma válida y guardó el documento en un archivo, pero olvidó renovar el certificado. Cuando, un año más tarde, tuvo que litigar con el contratista, resultó difícil demostrar ante los tribunales que el contrato se había firmado en un momento en el que el certificado de Jan era válido. En otras palabras, la falta de preparación del documento para su almacenamiento a largo plazo minó su fuerza probatoria.
Este ejemplo muestra el principal reto: ¿cómo garantizar la validez a largo plazo de una firma electrónica? La solución es utilizar mecanismos de seguridad adicionales para los documentos firmados electrónicamente. El más importante de ellos es el sello de tiempo cualificadoque confirma inequívocamente la fecha y hora de la firma. Si el Sr. Jan hubiera estampado el sello de tiempo en el contrato, no se habría planteado el problema de determinar la fecha de la firma.
Sello de tiempo cualificado es un servicio que confirma la existencia de un documento en un momento determinado adjuntándole una firma temporal procedente de una fuente de tiempo fiable. El proveedor del sello de tiempo utiliza una fuente de tiempo independiente y sincronizada, que garantiza la objetividad de esta fecha. La inclusión de un sello de tiempo en un archivo firmado permite determinar con precisión la fecha de firma de un documento electrónicoincluso si la firma cualificada o el certificado de sello pierden su validez posteriormente.
La marca de tiempo "congela" el estado del documento y la firma en el momento en que se aplicó. De este modo, cuando haya que verificar una firma muchos años después, podremos demostrar que la firma existía y era válida en el momento en que se selló. Esto es crucial para validez jurídica de los documentos electrónicos almacenados durante mucho tiempo. En la práctica, una buena regla general es añadir un sello de tiempo directamente durante la firma del documento - así confirmamos que el documento se firmó dentro del periodo de validez del certificado. Si tenemos previsto almacenar documentos electrónicos durante muchos años (por ejemplo 5 años o más), el uso de un sello de tiempo y otras actividades de mantenimiento se hacen incluso necesarias.
Cabe destacar que sello de tiempo cualificado es en sí mismo un servicio fiduciario - es emitido por un proveedor cualificado y, por tanto, goza de una presunción de corrección. Constituye la base del proceso de mantenimiento de la firma, que describimos a continuación.
El mantenimiento de la firma electrónica no es más que el uso ampliado de sellos de tiempo en el ciclo de vida de la firmacon el objetivo de mantener la validez y el poder probatorio de una firma durante un largo periodo de tiempo. En definición, se trata de un sellado de tiempo más avanzadopara confirmar que el certificado reconocido era válido en el momento en que se firmó el documento electrónico. En otras palabras, la conservación proporciona la prueba de que la firma se realizó dentro del periodo de validez del certificado, aunque hayan pasado muchos años desde entonces. Este servicio es especialmente útil para archivar un gran número de ficheros almacenados durante mucho tiempo - por ejemplo, en archivos corporativos u oficiales, donde los documentos deben mantener su validez durante 5, 10 o incluso 50 años.
En el curso del mantenimiento de la firma electrónica, tiene lugar lo siguiente adición cíclica y automática de marcas de tiempo a los documentos ya firmados a intervalos estrictamente definidos (por ejemplo, cada año). Cada sello de tiempo sucesivo vuelve a certificar el estado actual de la firma y el certificado, ampliando así el periodo durante el cual el documento puede verificarse de forma segura. Esto facilita enormemente el mantenimiento de archivos electrónicos de documentos cuya cuya validez no puede cuestionarse incluso al cabo de los años. En la práctica, el mantenimiento implica no sólo añadir etiquetas, sino también verificación del estado de los certificados (comprobar si han sido revocados, por ejemplo mediante CRL o servicios OCSP) y almacenamiento seguro de documentos en repositorios de archivo. La combinación de estas medidas garantiza que la firma electrónica conserve su fiabilidad criptográfica y jurídica durante todo el periodo de archivo.
Es importante destacar que el mantenimiento profesional suele implicar el uso de las normas criptográficas más actualizadas. Cada sello de tiempo posterior se basa en algoritmos y claves actualmente seguros, lo que protege la firma de futuros descifrados (violación de la seguridad) o de la integridad de los datos.. Incluso si el algoritmo de firma original se debilitara con el tiempo (por ejemplo, si surgieran métodos para descifrarlo), los sellos de tiempo posteriores se mantendrían intactos. sellos de tiempo que utilicen algoritmos más modernos protegerán el documento. De este modo, los documentos firmados electrónicamente pueden seguir siendo válidos durante periodos de tiempo muy largos, aunque los mecanismos criptográficos originales ya no sean seguros.
En resumen, la conservación de firmas cualificadas es una buena práctica de archivo, especialmente para documentos de gran importancia probatoria o jurídica para una empresa u oficina. Como señalan los expertos, el mantenimiento periódico de las firmas -por ejemplo, añadiendo sellos de tiempo y utilizando otros mecanismos de seguridad- es clave para evitar problemas legales y garantizar la autenticidad de los documentos durante muchos años.
Estos "otros mecanismos" pueden incluir:
La validez a largo plazo de las firmas electrónicas es tan importante que se ha incluido en las normas técnicas internacionales. Las normas europeas (ETSI) definen formatos específicos para firmas electrónicas diseñadas para validación y archivo a largo plazo. Entre las más importantes están los perfiles XAdES-A y PAdES-LTV:
Cabe señalar que los perfiles mencionados (XAdES-A, PAdES-LTV) están oficialmente aprobados por la normativa eIDAS y soportados por el software de los proveedores de servicios de confianza. Además de estos, existen soluciones análogas para otros formatos, por ejemplo CAdES-A (perfil de firma de archivo con formato CMS/PKCS#7) o contenedores ASiC Contenedores ASiC contenedores que vinculan documentos a firmas. Todos ellos tienen un objetivo común preservar la firma electrónica en un estado verificable a pesar del paso del tiempo y los cambios tecnológicos. El uso del formato adecuado (XAdES, PAdES) depende del tipo de documento; por ejemplo, para PDF se preferirá PAdES, y para XML u otros datos, XAdES o CAdES. No obstante, cada una de estas normas, en su versión archivada, es una herramienta de mantenimiento de firmas a nivel técnico.
La validez a largo plazo de los documentos electrónicos es de vital importancia siempre que estos documentos sirvan como prueba jurídica o contable. Las empresas y las instituciones públicas están obligadas a conservar determinados documentos (contratos, facturas, expedientes de personal, decisiones administrativas, etc.) durante muchos años. Si estos documentos están en formato electrónico, hay que asegurarse de que dentro de 5, 10 o 20 años todavía será posible verificar su firma y reconocerlos como auténticos e íntegros. El mantenimiento cualificado de la firma es precisamente el mecanismo que lo hace posible.
La falta de mantenimiento adecuado puede provocar que una firma electrónica deje de ser verificable tras un largo periodo de tiempo. la firma electrónica deja de ser verificable - por ejemplo, el software mostraría un error o una advertencia de que la firma es insegura. Dicho documento perdería prácticamente su valor probatorioaunque fuera totalmente válido en el momento de la firma. Desde una perspectiva jurídica y empresarial, se trata de un riesgo inaceptable. El mantenimiento regular de las firmas es la clave para evitar estos problemas. Garantiza que, incluso muchos años después de que se realizara la firma, el documento electrónico conserva el mismo valor jurídicoque tenía inmediatamente después de la firma.
Por tanto, la conservación de firmas es importante para garantizar la continuidad jurídica de los documentos digitalizados. Garantiza que el archivo digital de una empresa u oficina sea tan fiable como un archivo tradicional en papel. También facilita el cumplimiento de los requisitos normativos y de auditoría: en caso de auditoría, podemos demostrar que los documentos electrónicos están debidamente protegidos y son verificables. En tiempos de transformación digital, cuando cada vez más procesos se trasladan al mundo online, servicios de confianza digital (incluidas las firmas cualificadas, los sellos y los sellos de tiempo) se están convirtiendo en la base de la confianza en los documentos. Sin embargo, solo su conservación y archivo adecuados garantiza que esta confianza no se pierda con el paso del tiempo.
En resumen, la validez a largo plazo de los documentos electrónicos no es sólo una cuestión de comodidad, sino sobre todo de seguridad jurídica. El uso del mantenimiento de firmas cualificadas garantiza que contratos, decisiones y otros documentos electrónicos seguirán siendo pruebas irrefutables en el futuro. Invertir en mecanismos de archivo adecuados (sellos de tiempo, sistemas de conservación de firmas) se traduce en tranquilidad y certezade que la digitalización de documentos no compromete su validez sino que, al contrario, la refuerza con modernas tecnologías criptográficas.
El proceso para garantizar la validez a largo plazo de los documentos electrónicos puede describirse en varios pasos. A continuación se describe un típico proceso de archivo con mantenimiento de firma cualificada:
Estas medidas garantizarán que el documento electrónico archivado no pierda su validez o fiabilidad. Muchos de estos pasos (añadir etiquetas, comprobar certificados) están automatizados y son invisibles para el usuario final. sistemas de archivo específicos que ofrecen los proveedores de servicios de confianza. Por ejemplo, un proveedor puede ofrecer un servicio de mantenimiento de firmas "basado en la nube", en el que el usuario envía sus documentos al archivo y el propio sistema se encarga de protegerlos periódicamente con sellos de tiempo.
Cabe señalar que, con arreglo a este procedimiento, incluso muchos años después de que se haya firmado un documento, podemos proporcionar un conjunto completo de pruebas de su autenticidad: la firma cualificada original junto con una secuencia de sellos de tiempo consecutivos y certificados que demuestran una validez ininterrumpida. Este documento tendrá la misma validez jurídica que el original. De este modo, las organizaciones pueden digitalizar la documentación sin miedosabiendo que, al conservar una firma cualificada, sus archivos electrónicos seguirán siendo seguros y fiables en los años venideros.
Los servicios de confianza digitales desempeñan un papel clave para garantizar que la circulación de documentos digitales sea fiable y sostenible. Sin embargo, una firma electrónica cualificada por sí sola es sólo el principio, ya que su fuerza legal resista la prueba del tiempodebe aplicarse un proceso de mantenimiento de la firma. El mantenimiento de firmas cualificadas, basado en marcas de tiempo i normas de validación a largo plazo (XAdES-A, PAdES-LTV), permite archivar de forma segura los documentos electrónicos sin temor a que caduquen. De este modo, las empresas y las autoridades pueden aprovechar todas las ventajas de la digitalización de documentos, combinando la comodidad de la firma electrónica con la la certeza de su permanencia. En una era en la que aumenta el número de documentos electrónicos, este cuidado por la validez a largo plazo no es sólo una recomendación de buenas prácticas, sino en realidad una necesidad para la continuidad y la seguridad de la información en un mundo digital.
