Gestión documental electrónica

Transcripción

1 Gestión documental electrónica

2 1 Índice Prólogo... 3 capítulo 1 Introducción a la gestión documental... 3 > Sistemas de digitalización (OCR) o reconocimiento de caracteres... 7 > Workflow de procesos de negocio... 8 BPEL: La integración de los procesos de negocio capítulo 2 El certificado digital en la gestión de la seguridad > La firma electrónica en los procesos de negocio > Custodia de documentos digitales > E-archivo - Digitalización certificada capítulo 3 Por qué implantar un sistema de gestión documental certificada >> Gestión documental electrónica

3 COPYRIGHT El copyright de este documento es propiedad de Camerfirma. No está permitido su reproducción total o parcial ni su uso con otras organizaciones para ningún otro propósito, excepto autorización previa por escrito.

4 3 Prólogo Cada vez más la gestión documental se está convirtiendo en una necesidad imprescindible para empresas, organismos e instituciones. La posibilidad de mantener disponible la información de una manera inmediata resulta fundamental, pero cada vez más están surgiendo nuevas necesidades que hacen de la seguridad un requisito indispensable en estas herramientas de gestión: Autenticidad e integridad de la documentación a lo largo del tiempo. Las principales necesidades de estas herramientas se ven representadas en gastos en locales y almacenes, infraestructuras para garantizar el estado de conservación, tiempo dedicado a la organización y búsqueda de documentos, duplicados, gastos de fotocopias, fax, etc. Aunque lo que no se ha tenido en cuenta hasta ahora es la autenticidad e integridad de los documentos almacenados a través de este tipo de aplicaciones, así como el acceso seguro a las mismas, aquí es donde los certificados digitales tienen mucho que decir y que aportar a este tipo de soluciones. La mayoría de las organizaciones necesitan acceder y consultar de forma frecuente la información archivada. En otros es la importancia de los documentos o el volumen de información lo que estimula a buscar nuevas soluciones innovadoras que ofrezcan ventajas y valor añadido sobre los sistemas tradicionales de archivo y almacenamiento. La firma electrónica incorporada en parte de los procesos de gestión documental posibilita, aparte de garantizar la seguridad de los documentos almacenados, la fecha de almacenamiento y la autoría. Esto podría permitir eliminar los originales a través de procesos de digitalización certificada o al menos garantizar la integridad y autenticidad de los documentos digitalizados. Incluso podría garantizarse la confidencialidad de los archivos y documentos almacenados gracias a los certificados digitales de Camerfirma de cifrado. >> La firma electrónica incorporada en los procesos de gestión documental posibilita, aparte de garantizar la seguridad de los documentos almacenados, la fecha fehaciente y la autoría La necesidad de garantizar el acceso a los sistemas de gestión documental por parte de las personas adecuadas obliga a adaptar las aplicaciones empresariales al empleo de certificados digitales de vinculación empresarial o de atributos que permitan conocer con exactitud las personas que acceden así como su cargo y empresa, dotándole al sistema de garantías de autenticación de doble factor 1. 1 Sistema de identificación de doble factor algo que tenemos (clave criptográfica privada) y algo que sabemos (PIN de activación de la clave). >> Gestión documental electrónica

5 4 1. Introducción a la gestión documental Toda empresa, organismo o institución durante su existencia como entidad acumula grandes cantidades de documentos que constituyen por un lado una obligación y por otro un importante capital intelectual que debe de ser almacenado y/o custodiado. Además, hay que tener en cuenta que toda esta documentación debe de ser explotada de la manera más eficiente posible pero siempre teniendo en cuenta la seguridad como elemento fundamental. Es por ello que los documentos o cualquier tipo de registro ha de hacerse electrónico (a ser posible dotándole de las garantías de autenticidad e integridad) para que mediante formato digital pueda ser gestionado de la manera más eficiente y segura posible. La implantación de sistemas de gestión documental como elementos clave en la actividad de la empresa se ha introducido en la cultura empresarial y ha dejado de ser un simple método de archivo masivo para convertirse en una herramienta de análisis de información y gestión del conocimiento, con una creciente demanda no sólo en grandes corporaciones sino también en las pymes. Su implantación permite, desde el punto de vista económico, una importante reducción de costes en recursos humanos e instalaciones y el retorno inmediato de la inversión. El objetivo es resolver los problemas derivados del exceso de información a tratar, bien por la gran cantidad de papel que debe ser manejado así como por el almacenamiento de otros objetos de información de uso corporativo como pueden ser ficheros ofimáticos, informes de la propias aplicaciones de gestión empresarial, imágenes, sonidos, vídeo, , faxes, etc. Gestión electrónica de documentos y archivo electrónico da respuesta a cualquier necesidad de archivo electrónico sea cual sea el origen de la información. No solamente mediante el archivo, sino que dicha información pueda seguir circuitos de aprobación y verificación antes de ser almacenada cumpliendo las más estrictas normas de confidencialidad y seguridad. Un sistema de gestión documental es un sistema utilizado para la búsqueda y almacenamiento de documentos electrónicos y/o de imágenes de documentos soportados en papel. El término puede ser relacionado con conceptos como sistemas de administración de contenido (CMS) y es comúnmente visto como un sistema de administración de contenido corporativo y relacionado con el término Digital Asset Management (DAM). Digital Asset Management (DAM) o gestión de activos digitales se define como la actividad orientada a facilitar la creación, captura, catalogación, recuperación, exportación, transformación y distribución de dichos activos a través de canales diversos. Las aplicaciones de gestión de activos digitales (DAM) se caracterizan por integrar un conjunto de tecnologías que, coordinadas entre sí, hacen posible una gestión eficaz de los contenidos digitales, lo que para muchas organizaciones se traduce en ahorro de tiempo y dinero. >> Un sistema de gestión documental es un sistema utilizado para la búsqueda y almacenamiento de documentos electrónicos y/o de imágenes de documentos soportados en papel capítulo 1. Introducción a la gestión documental

6 5 Un sistema de gestión documental tiene que tener en cuenta los siguientes aspectos: almacenamiento, recuperación, clasificación, seguridad, retención, distribución, creación y autenticación. > Almacenamiento. Grupo de dispositivos de hardware o software dedicados a guardar datos. Hay dos clases, almacenamiento primario, que son los que usa la CPU directamente (memoria principal, memoria caché, etc.) y el almacenamiento secundario, a los cuales la CPU no accede directamente, como son los discos magnéticos, ópticos, cintas magnéticas, tambores magnéticos, etc. Por tanto, habrá que tener en cuenta cuestiones como: Dónde guardaremos nuestros documentos? Qué espacio ocupan?, etc. > Recuperación. En la recuperación intervienen dispositivos hardware y software que se dedican a administrar y buscar la información o datos. Se debe tener en cuenta: Cómo puede la gente encontrar documentos necesarios? Cuánto tiempo se puede pasar buscándolo? Qué opciones tecnológicas están disponibles para la recuperación? > Clasificación. Se debe definir un conjunto de mecanismos de control apropiados y las medidas de protección especiales. Los datos que conforman la estructura de los sistemas y la información obtenida de los mismos, deben ser clasificados y administrados indicando la necesidad, prioridad y grados de protección, considerando grados de sensibilidad y criticidad. Algunos datos e información pueden requerir un nivel adicional de protección o tratamiento especial, como por ejemplo accesos no autorizados o daños a la información. > Seguridad. Teniendo en cuenta la definición o clasificación realizada, habrá que definir la seguridad en el tratamiento y acceso a la información por parte de los usuarios Cómo evitamos la perdida de documentos? Cómo evitar la violación de la información? Se puede garantizar la integridad? Quién puede realizar la destrucción de documentos? Cómo mantenemos la información delicada oculta? > Retención. Existen documentos que bien por ley o por confidencialidad han de ser conservados a lo largo del tiempo durante una duración determinada Cómo decidimos qué documentos conservar? Cuánto tiempo deben ser guardados? Cuál es el procedimiento de eliminación una vez cumplido el plazo? > Distribución. Ha de existir un medio electrónico a través del cual podamos ser capaces de distribuir los documentos o la información en base a la clasificación realizada, a las medidas de seguridad implantadas y al modo de autenticación establecido. Podrán existir permisos que habrá que obtener para poder acceder a determinada información, por tanto definiremos: Cómo distribuimos documentos a la gente que la necesita? Cuánto podemos tardar para distribuir los documentos? Y el canal de comunicación seleccionado? > Workflow. Si los documentos necesitan pasar de una persona a otra, habrá que definir cuáles son las reglas para el flujo de estos documentos, las reglas de aprobación, de aceptación, etc. Todo este procedimiento deberá estar reglado y deberá ser integrado en las aplicaciones Web que permitan el tratamiento electrónico de las operaciones para que los procedimientos sean 100% electrónicos. >> Gestión documental electrónica

7 6 > Creación y firma. Puede ser que más de una persona esté implicada tanto en la creación de un documento o procedimiento como en su modificación. Habrá que tener en cuenta, por tanto, las acciones colaborativas, el control o gestión de las distintas versiones, etc. Dentro del procedimiento de generación puede ser necesaria la firma electrónica, tanto de manera unitaria como a través de firmas múltiples dentro del proceso de Workflow. > Autenticación. Cómo proporcionamos los requisitos necesarios para la validación legal acerca de la originalidad de los documentos (autenticidad, integridad y no repudio) y cumplimos sus estándares para la autentificación? Se dispone de una evidencia legal en cuanto a formatos de firma de larga duración que incorporen un sellado de tiempo que garantice la fecha de firma y la firma? capítulo 1. Introducción a la gestión documental

8 7 1.1 Sistemas de digitalización (OCR) o reconocimiento de caracteres Dentro de las herramientas de gestión documental, el software de reconocimiento óptico de caracteres, OCR (Optical Character Recognition), resulta fundamental ya que muchos de los documentos que actualmente se manejan son en formato papel y estos deben de ser tratados mediante un proceso de digitalización. Estos sistemas consiguen extraer de una imagen los caracteres que componen un texto para almacenarlos (metadatos) en un formato con el cual puedan interactuar otros programas y sistemas de gestión. A partir de ahí el texto es reconocido como texto, de modo que se pueden buscar en él cadenas de caracteres, exportar el texto a un editor de textos o a otras aplicaciones, etc. El reconocimiento preciso en textos mecanografiados con escritura en caracteres latinos se considera un problema resuelto en la gran mayoría de sus aspectos. Aunque el reconocimiento de la impresión manual, es decir, aquella que proviene del puño de los usuarios, es donde realmente el OCR debe de ofrecer soluciones avanzadas de reconocimiento inteligente y autocorrección. Esta variedad de OCR se conoce comúnmente en la industria como ICR (Intelligent Character Recognition). Por tanto, el reconocimiento de palabras enteras que se encuentran, previamente, clasificadas en un diccionario es un problema más fácil de resolver que tratar de analizar, de manera individual, los caracteres de la escritura. El conocimiento de la sintaxis gramatical de una lengua, que es explorada, puede también ayudar para determinar si una palabra es más probable que sea un verbo o un sustantivo permitiendo, de esta manera, una mayor exactitud. >> Los sistemas OCR consiguen extraer de una imagen los caracteres que componen un texto para almacenarlos (metadatos) en un formato con el cual puedan interactuar otros programas y sistemas de gestión. Existen soluciones avanzadas de reconocimiento inteligente y autocorrección >> Gestión documental electrónica

9 8 1.2 Workflow de procesos de negocio El Flujo de Trabajo (Workflow en inglés) es el estudio de los aspectos operacionales de una actividad de trabajo: cómo se estructuran las tareas, cómo se realizan, cuál es su orden correlativo, cómo se sincronizan, cómo fluye la información que soporta las tareas y cómo se hace el seguimiento del cumplimiento de las tareas. Si bien el concepto de Flujo de Trabajo no es específico a la tecnología de la información, una parte esencial del software para trabajo colaborativo (groupware) es justamente el flujo de trabajo. Una aplicación de Flujos de Trabajo (Workflow) automatiza la secuencia de acciones, actividades o tareas utilizadas para la ejecución del proceso, incluyendo el seguimiento del estado de cada una de sus etapas y la aportación de las herramientas necesarias para gestionarlo. El uso de soluciones BPM (Business Process Management) nos permite ayudar a las organizaciones a simplificar y optimizar complejos procesos de negocio históricamente basados en el flujo de documentos en papel. Con estas herramientas de Workflow podemos automatizar los flujos de trabajo gestionando documentos, datos y procesos de negocio, permitiendo a varias personas participar en el proceso con un control mucho mayor de las tareas realizadas. Se pueden distinguir tres tipos de actividad: > Actividades colaborativas: Un conjunto de usuarios trabaja sobre un mismo repositorio de datos para obtener un resultado común. Tiene entidad el trabajo de cada uno de ellos en sí mismo. > Actividades cooperativas: Un conjunto de usuarios trabaja sobre su propio conjunto particular, estableciendo los mecanismos de cooperación entre ellos. No tiene entidad el trabajo de ninguno de ellos si no es visto desde el punto de vista global del resultado final. > Actividades de coordinación. El objetivo de esa tecnología es mejorar la eficiencia a través de la gestión sistemática de los procesos de negocio. Como su nombre sugiere, Business Process Management (BPM) se enfoca en la administración de los procesos del negocio. A través del diseño y mapeado de los procesos logramos un mejor entendimiento del negocio y muchas veces, esto presenta la oportunidad de mejorarlos. La automatización de los procesos reduce errores, asegurando que los mismos se comporten siempre de la misma manera y dando elementos que permitan visualizar el estado de los mismos. La administración de los procesos nos permite asegurarnos de que los mismos están ejecutándose eficientemente y obtener información que luego puede ser usada para mejorarlos (por ejemplo, la existencia de cuellos de botella). A través de la información que se obtiene de la ejecución diaria de los procesos se pueden identificar posibles ineficiencias en los mismos y, de esta forma, optimizarlos. capítulo 1. Introducción a la gestión documental

10 9 Principales objetivos de un sistema de Workflow: > Reflejar, mecanizar y automatizar los métodos y organización en el sistema de información. > Establecer los mecanismos de control y seguimiento de los procedimientos organizativos. > Independizar el método y flujo de trabajo de las personas que lo ejecutan. > Facilitar la movilidad del personal. > Soportar procesos de reingeniería de negocio. > Agilizar el proceso de intercambio de información y agilizar la toma de decisiones de una organización, empresa o institución. >> La automatización de los procesos reduce errores, asegurando que los mismos se comportan siempre de la misma manera y dando elementos que permiten visualizar el estado de los mismos. A través de la información se obtiene de la ejecución diaria de los procesos se pueden identificar posibles ineficiencias en los mismos (por ejemplo, la existencia de cuellos de botella) y de esta forma optimizarlos >> Gestión documental electrónica

11 BPEL: La integración de los procesos de negocio Los procesos de negocios (BPM) y su integración en las aplicaciones y sistemas sigue siendo un hándicap para las organizaciones que pretenden lograr aprovechar al máximo su infraestructura de Tecnologías de la Información (TI) y conseguir la alineación con sus necesidades de negocios, para no depender de lenguajes y herramientas propietarias que dificultan y encarecen la tarea. Es por ello que el objetivo del nacimiento del BPEL (Business Process Execution Language) es la de integración de procesos, mediante el empleo de estándares sin tener que depender de soluciones propietarias. Entendiendo que los procesos no están aislados, sino que, por el contrario, requieren de una constante interacción y validación entre aplicaciones, bases de datos, personas y distintos servicios Web, las empresas comienzan a tomar conciencia de la necesidad de BPEL: sistemas heterogéneos y separados, incluso fuera de la organización, deben interactuar armónicamente para ejecutar muchas veces un proceso único. La integración de aplicaciones y los servicios Web se ha convertido en los últimos años en términos ampliamente conocidos por las empresas, en la medida que no sólo requieren integrar sus procesos de negocios sino también interactuar en tiempo real con sus socios, proveedores y clientes a través de Internet. En ese escenario, y debido al auge que ha alcanzado la arquitectura orientada a servicios (SOA, Services Oriented Architecture), los estándares se han convertido en elementos indispensables para facilitar el desarrollo de funcionalidades Web sin limitaciones. En este contexto BPEL es la piedra angular en los estándares para que los negocios basados en servicios Web operen y se integren. Se trata de un estándar diseñado para integrar una variedad de aplicaciones y conseguir los objetivos de negocio independiente de las plataformas y tecnologías con mayor escalabilidad y flexibilidad. BPEL o Lenguaje de Ejecución de Procesos de Negocio puede definirse como un estándar basado en XML diseñado para la "orquestación" de servicios Web. Esto significa que permite el control centralizado de la invocación de diferentes servicios Web con cierta lógica de negocios, definiéndose cuál, cómo y cuándo se ejecutará un proceso determinado. Este lenguaje fue escrito originalmente por compañías como BEA Systems, IBM y Microsoft, con el apoyo de OASIS (Organization for the Advancement of Structured Information Standards). En términos simples, BPEL es un lenguaje XML que define cómo un proceso de negocios puede ser ejecutado usando servicios Web. Cuando un proceso de negocios es ejecutado por servicios Web, significa que gracias a BPEL existirá una interfaz única para soportar mensajes XML, independiente de las plataformas asociadas, con lo cual se evita tener que usar múltiples protocolos y formatos e interfaces distintas. Y, aunque no todas las actividades están actualmente implementadas como servicios Web en las organizaciones, sus efectos a nivel interno son tangibles, puesto que ayudan a simplificar y hacer más veloz la interacción y la ejecución de un proceso de negocio. En términos más técnicos, BPEL es un lenguaje de flujo de procesos, el cual se desarrolla normalmente usando un editor visual para crear un diagrama de flujo. Lo anterior incluye esperar por un evento, transformarlo en mensaje, definir la trayectoria y momento en el que proceso se ejecutará, invocar un servicio externo y esperar respuesta, capítulo 1. Introducción a la gestión documental

12 11 advertir alguna falla y definir un proceso compensatorio si corresponde. El proceso compensatorio es muy importante porque, durante un proceso de negocios, un servicio externo puede ser llamado y dicho servicio completará y hará los cambios necesarios en caso de que el estado siguiente del proceso falle, realizándose otras transacciones para solucionar el problema eventual. Lo anterior se debe a que BPEL es suficiente para definir cualquier flujo de procesos con una lógica, de manera que los procesos de negocios puedan implementarse a partir de dicha definición. En resumen, BPEL puede tener un alto impacto en solucionar la compleja integración tecnológica de las empresas, contribuir a definir procesos con mayor dinamismo y de acuerdo a la lógica de cada negocio, monitorear procesos y obtener, como consecuencia de lo anterior, un máximo aprovechamiento de la infraestructura de TI, una mayor flexibilidad y escalabilidad de los sistemas y, por sobre todo, una importante protección de la inversión en tecnología, ya que se basa en estándares. >> Gestión documental electrónica

13 12 2. El certificado digital en la gestión de la seguridad El certificado digital como elemento de control de riesgo es muy efectivo en diferentes aspectos de la gestión de la seguridad en los sistemas de gestión documental así como en cualquier sistema informático. Autenticación: Para acceso físico a los equipos (móviles o de sobremesa). Para ello, contamos con sistemas de Smatcardlogon que se pueden configurar en redes corporativas, siempre que el certificado esté incorporado en una tarjeta o en un dispositivo USB. El certificado puede identificar y cifrar canales de comunicación empleando protocolos SSL. Este protocolo es el usado en muchos servicios de páginas Web mediante accesos HTTPS. El certificado de servidor asegura la identidad del sitio Web y el cifrado del canal de datos. Este mecanismo es importante cuando recogemos datos personales por ejemplo en formularios Web. El certificado puede no solo identificar al sitio Web sino que también puede hacerlo con el usuario que accede. Mediante la configuración de nuestro servidor de páginas Web podemos pedir una identificación mediante certificado digital a nuestro visitante en áreas restringidas de nuestro servicio. De esta forma, en un sitio Web podríamos tener la identificación del servidor la identificación del usuario y el canal de datos cifrado. Firma electrónica: El certificado digital es actualmente la referencia principal de la firma electrónica. Deberemos distinguir varios aspectos y tipos de firma ya que, en este caso, existen implicaciones jurídicas a la hora de utilizar uno u otro tipo. > Firma electrónica avanzada: ofrece garantías técnicas de origen e integridad de los documentos o transacciones electrónicas firmadas, aunque no tiene valor jurídico directo sino que debe argumentarse la prueba en caso de un proceso legal. > Firma electrónica reconocida o cualificada: ofrece garantías de origen e integridad de los documentos o transacciones electrónicas firmadas. Tiene valor jurídico equivalente a la firma manuscrita. >> Podemos emplear la firma electrónica para garantizar la integridad de los ficheros, documentos, transacciones y validaciones capítulo 2. El certificado digital en la gestión de la seguridad

14 13 Cifrado: Otro aspecto importante que nos ofrecen los certificados digitales es la posibilidad de cifrar información. El cifrado de información es un proceso delicado y con alto riesgo, ya que si no somos cuidadosos podemos perder fácilmente la información cifrada. Se utiliza la clave pública asociada al certificado para cifrarlos, luego necesitaremos la clave privada para recuperarlos y, por lo tanto, es fundamental tener acceso a esta en todo momento, para lo cual realizaremos copias de seguridad. Es altamente recomendable usar un certificado expresamente emitido para este uso y disponer de una autoridad de certificación que custodie las claves y permita recuperar dichas claves de cifrado. >> Gestión documental electrónica

15 La firma electrónica en los procesos de negocio Un proceso de negocio debe permitir que los diferentes participantes puedan interactuar y gestionar toda la información y documentación intercambiada de forma electrónica. Para ello se debería permitir la autenticación y firma electrónica mediante el uso de certificados digitales. La incorporación de la firma electrónica y la encriptación en cualquier estado del proceso (generación, tramitación y conservación) evita la necesidad de impresión para su firma antes de continuar con el siguiente estado. Los documentos firmados almacenados deberán garantizar una validez de larga duración. Para ello es importante utilizar estándares, como es el estándar de firma electrónica XML Signature Advanced (XADES), con las diferentes extensiones que dotarán al archivo electrónico de una total validez a lo largo del tiempo, tales como XADES-T, mediante la aplicación del timestamping y XADES-C, consulta de la CRL (OCSP). La operación de firma electrónica de los documentos debe permite la firma on-line de cualquier tipo de archivo (PDF, WORD, XML, AVI, AUDIO ) sin tener que realizar ninguna operación de conversión, ya que como hemos contado un sistema de gestión documental es aquel que permite el almacenamiento de objetos de información de uso corporativo, como pueden ser ficheros ofimáticos, reports de las propias aplicaciones de gestión empresarial, imágenes, sonidos, video, , faxes, etc. El servicio de Time Stamping o sellado de tiempos permite visar cualquier tipo de archivo informático. De este modo, el usuario puede acreditar el día y la hora en que un archivo informático fue recibido o enviado incorporando la firma digital. El servicio de Time Stamping está basado en la tecnología PKI. Esta tecnología se fundamenta en la existencia de dos claves únicas (pública y privada) y un certificado digital, en este caso, emitido por Camerfirma. Este es un archivo informático que vincula la información a una fecha y una hora. Esta vinculación se produce a través de un sistema seguro de tiempo sincronizado con la Escala de Tiempo Universal (UTC). El aumento de uso de documentos electrónicos y la necesidad de establecer relaciones entre un documento y su tiempo de generación, modificación, firma, etc., lleva a la necesidad de crear evidencias de la posesión de esos datos en un momento determinado. Es muy importante la utilización de ciertas funciones matemáticas (funciones hash), para desligar la emisión del sello temporal de la naturaleza específica del documento electrónico, de modo que se obtiene una representación o "resumen" de dicho documento, a partir del cual en ningún caso, es posible obtener el documento original o cualquier información sobre el mismo. De esta forma, al sellar esta representación resumida del documento, realmente se está sellando el documento original, además se consiguen otros servicios como la confidencialidad de la información. >> Para el almacenamiento temporal de documentos digitales resulta fundamental incorporar la firma electrónica y el sello de tiempo a esos archivos para garantizar la vigencia de esos documentos y su posterior validez capítulo 2. El certificado digital en la gestión de la seguridad

16 15 Además, para el almacenamiento temporal de documentos digitales resulta fundamental incorporar el sello de tiempo a esos archivos para garantizar la vigencia de esos documentos y su posterior validez. El Time Stamping o sellado de tiempo es el complemento ideal a la seguridad que ofrecen los certificados digitales. Mediante la aplicación del sellado de tiempo garantizamos el momento exacto en el tiempo en que la firma de un documento se produjo. De este modo, el sellado de tiempo se convierte en un elemento imprescindible en determinados procedimientos, que exigen en la mayoría de las ocasiones la constatación de la fecha y hora exactas en la que el acto jurídico tuvo lugar. Actualmente el servicio de sincronización de tiempos de Camerfirma está compuesto por tres fuentes distintas: > NTP del ROA (Real Observatorio de la Armada, que establece el tiempo de referencia en España). > GPS sincronizado con tres satélites. Precisión milisegundos. > Sincronización de tiempos vía Radio DCF77 con la estación transmisora en Mainflingen (Frankfurt). La precisión 10 mseg. El sistema calcula el tiempo en base a estas tres fuentes. El reloj del ordenador se controla de acuerdo con los algoritmos de selección y sincronización de la RFC1305 (NTP v3). Camerfirma es la entidad emisora de sellos digitales de tiempo de esta infraestructura de clave pública -PKI- Time-Stamping Authority (TSA). El empleo de este tipo de formatos de firma incorporando el sellado de tiempo permite garantizar la autenticidad, no repudio, confidencialidad y conservación a largo plazo, así como la reproducción futura de los documentos. Además se deben incorporar, en caso de que los documentos sean impresos, las marcas gráficas PDF417, que contendrán las firmas electrónicas del documento, disponiendo de un documento físico con validez jurídica. A continuación se muestra un ejemplo de cómo podría quedar un documento impreso con dos firmas electrónicas: >> Gestión documental electrónica

17 Custodia de documentos digitales En el espíritu de las inquietudes de archivo digital, subyace la necesidad de la custodia. Es decir, que el tercero se responsabilice de "guardar con cuidado y vigilancia" (definición de custodiar de la Real Academia Española) el documento, y permitir posteriormente su recuperación con determinados efectos legales. Un servicio de custodia documentos digitales debe cubrir las siguientes necesidades: > Custodia de documentos con datos tanto criptográficos (firmados digitalmente y/o cifrados) como no criptográficos. > Fechado digital de los documentos, Time Stamping o sellado de tiempo. > Garantizar que el documento custodiado mantiene a lo largo del tiempo (corto, medio y largo plazo) el mismo valor legal. La conservación de los documentos puede que requiera no solamente su integridad, sino que el acceso a los mismos deba garantizarse mediante cifrado. Los documentos confidenciales pueden almacenarse en el servidor cifrados electrónicamente. Se pueden combinar métodos de cifrado, tanto simétricos como asimétricos, aprovechando las ventajas que ofrecen cada uno de los métodos, por una lado la rapidez de los métodos simétricos y por otro la seguridad de los métodos asimétricos. Los documentos se cifrarían así previamente con un algoritmo simétrico (AES, 3DES, etc.) y posteriormente, la clave utilizada se cifraría con la clave pública del certificado digital del propietario o propietarios del mismo, o en su caso del sello de la empresa o departamento. Con este método conjugado se consigue explotar la velocidad de los métodos simétricos y la seguridad de los métodos asimétricos de cifrado. Este sistema permite compartir documentos entre grupos. Sólo los propietarios de los certificados digitales con permisos podrán visualizar los documentos almacenados en el servidor. Así, como ya hemos visto, se utilizarían las funcionalidades de autenticación y cifrado de los certificados digitales. Accediendo a los sistemas de gestión documental autenticándose mediante Web Services Segure y utilizando certificados digitales, los poseedores de la clave privada accederían exclusivamente a los sistemas. Pero además, para poder descifrar la información contenida en los sistemas de gestión documental, se necesitaría disponer nuevamente del certificado digital de los usuarios para poder descifrar el contenido. capítulo 2. El certificado digital en la gestión de la seguridad

18 E-archivo - Digitalización certificada Un sistema de e-archivo que permita el empleo de firma electrónica consiste en un sistema de gestión documental avanzado que incorpora la firma electrónica a una solución instalada en los clientes encargados de la digitalización de los documentos. Es necesario llevar a cabo el siguiente procedimiento: digitalización, firma con certificado digital, OCR y archivo. El sistema OCR funciona mediante la creación de plantillas de documentos en los que se especifican los campos a recuperar. >> Tras la digitalización hay que firmar el documento. Un proceso complementario es la aplicación de sistemas OCR (reconocimiento de caracteres óptico) que permite extraer las palabras del documento, con lo que se facilita la búsqueda posterior. En este caso, se utiliza una modalidad de firma denominada firma completa que incluye información del momento de la verificación de validez del certificado y de la respuesta de Camerfirma al consultar sobre dicha vigencia, Time Stamp + validación A través del sistema de reconocimiento de caracteres (OCR), una vez digitalizados los documentos y llevada a cabo la recuperación de metadatos de los documentos digitalizados, a través de plantillas, será firmada electrónicamente la imagen generada y por otro lado, mediante el sistema OCR de los datos que conformarán los metadatos del documento, a través de la plantilla, se firmarán también electrónicamente. Con esta información se construirá automáticamente el mensaje SOAP, que realizará la llamada al Webservice del archivo, que publicará dicho documento en el sistema de custodia documental o e-archivo. Todo este proceso puede ser realizado de forma automática una vez que el usuario deje los documentos en la bandeja del escáner y ponga en marcha el sistema. Sistema Cliente PDF, GIF, TIFF Batch Server XMLDSIG XADES Envío WebService Archivo OCR XML con metadatos >> Gestión documental electrónica

19 18 Existen casos en que los sistemas OCR, como ya hemos comentado, deben apoyarse en soluciones que permitan poder obtener la información de datos manuscritos, a través del puño y letra de los usuarios. Para ello, se utilizan sistemas DDP - Librería de reconocimiento. Se trata de un Sistema de Reconocimiento Óptico de Caracteres con Corrección de Errores. El sistema está compuesto de dos núcleos básicos: el motor OCR (Reconocimiento de Caracteres) y el motor ML (Modelado de Lenguaje o Corrector Ortográfico). De manera resumida, el proceso global consiste en, dado un formulario y su especificación de campos, se produce una salida final del sistema que consiste en, para cada hoja de un formulario, la serie de cadenas de texto asociadas a cada campo a reconocer, cada una de ellas acompañada de un índice de fiabilidad del reconocimiento. Dado que los formularios pueden constar de una o más páginas, y que también puede aparecer una página que no se corresponda con ninguna de las del formulario, la primera etapa en el proceso de reconocimiento de todo formulario es la de identificar el número de página que corresponde a la imagen en proceso. Gracias a unas marcas de identificación definidas en la especificación del formulario para cada una de las páginas, el sistema es capaz de realizar esta tarea. Mediante cuatro marcas de registrado definidas en la especificación de formulario para cada una de las páginas, el sistema es capaz de alinear aquellas imágenes que se correspondan con alguna de las especificadas en el formulario. De esta forma, se resuelven los problemas de desplazamientos, rotaciones y deformaciones que presentan cada una de las imágenes adquiridas respecto a la imagen que se utilizó en la especificación de formulario como plantilla. MODELOS OCR Entradas GUI ESCANER + AXIS 7000 Adquisición Identificación de página EJECUCIÓN DE TRABAJOS TRATAMIENTO DE EVENTOS MODELO REGISTRADO Registrado de imagen Corrección ASCEE MODELOS ML ESPECIFICACIÓN FORMULARIO Supresión de celdas Supresión segmentos aislados PREPROCESO CLASIFICACIÓN OCR Validación por scripts VALIDACIÓN CONTEXTUAL SCRIPTS DE VALIDACIÓN OCR-FORMS Nivel 1 DATOS TPM IMÁGENES DATOS TPM TEXTO MÓDULO EJECUCIÓN DE TRABAJOS (Versión 0) RESULTADOS capítulo 2. El certificado digital en la gestión de la seguridad

20 19 El motor OCR que incorpora el sistema permite reconocer caracteres manuscritos aislados. Gracias a la especificación de formulario y al registrado de la imagen realizado en la etapa anterior, es posible recortar exactamente las zonas de la imagen (celdas) que contienen los caracteres pertenecientes a los campos de interés. Para cada imagen procedente de una celda, se obtiene un carácter reconocido con cierta probabilidad. La concatenación de las celdas de un campo proporciona la cadena resultado de la etapa de OCR para ese campo del formulario. Las cadenas resultantes de la etapa de OCR no son siempre las que finalmente ofrece el sistema, sino que normalmente se aplica un proceso de verificación y/o corrección de cadenas. Se dispone de dos alternativas para llevar a cabo esta corrección: los modelos de lenguaje y los guiones de validación. Modelos de lenguaje Este módulo realiza una verificación o corrección (según el caso) de errores implementado mediante un Análisis Sintáctico Corrector de Errores Estocástico de acuerdo a un modelo de lenguaje representado como un Modelo de Estados Finitos. Durante la especificación de un formulario se asigna a cada campo el modelo correspondiente en función del contenido del mismo: nombre, apellidos o dirección, por ejemplo. Guiones de validación Este módulo realiza una verificación del contenido del campo en función de alguna regla simple que pueda ser especificada mediante un guión de validación. Por ejemplo, un NIF puede ser fácilmente validado ya que la letra final depende del resto de caracteres del mismo. También existe la posibilidad de validar un campo contra una tabla. Por ejemplo, es posible comprobar si la cadena reconocida en la etapa de OCR se encuentra en la tabla asignada para validar dicho campo. >> Gestión documental electrónica