Sistema de Certificado de Origen Digital SCOD RESUMEN. (Rev. 1.1) ALADI/PPCOD/EDP/SCOD/003/2009 (01/04/2009)

Transcripción

1 Sistema de Certificado de Origen Digital SCOD (Rev. 1.1) RESUMEN ALADI/PPCOD/EDP/SCOD/003/2009 (01/04/2009)

2 Tabla de Contenido DEFINICIÓN Y ALCANCE DEL SCOD...3 MODULOS DEL SISTEMA...5 MODULO DEL DIRECTORIO SEGURO...6 Función de réplica...6 Generación de trazas de auditoría...6 MODULO ADMINISTRATIVO...7 Diagrama lógico por país...7 Procedimientos administrativos...7 Requerimiento de información inicial para los países...8 Detalle de la información inicial requerida...9 Registro de la información inicial recibida de los países...10 FUNCIONALIDADES...10 AUDITORIAS...11 Auditoría del Sistema...11 Auditoría de Registros...11 ESTADÍSTICAS...11 De gestión...11 De rendimiento

3 DEFINICIÓN Y ALCANCE DEL SCOD El Sistema de Certificación de Origen Digital (SCOD) es una aplicación informática que permite: 1. Asegurar la validez del FH y la vigencia de su CID, para la validación del COD por parte de las Aduanas. 2. El reemplazo paulatino del procedimiento actual de validación de certificación del origen, basado en la firma autógrafa y el documento en papel, por uno nuevo, basado en el documento electrónico y la firma digital, posibilitando dentro de la normativa vigente, dar un paso muy importante en la tarea de control e informatización de los COD. El SCOD es un facilitador en el proceso de emisión, circulación, reconocimiento y aceptación de los COD. Es además una herramienta de soporte informático que aporta seguridad a la validación y aceptación del documento digital por parte de las Aduanas, brindando las garantías y la neutralidad necesarias en la determinación de la vigencia de las facultades del FH que los firma en nombre de su EH. Adicionalmente, y como servicio de valor agregado, el SCOD permite al Importador la validación del FH que firma el COD recibido, aportándole de este modo un mecanismo de seguridad adicional, previo al proceso de declaración de importación ante la correspondiente Aduana de ingreso de su mercadería. El alcance del SCOD está determinado por lo siguiente: 1. En el proceso de validación de los COD, cada una de las Aduanas necesita, en forma obligatoria, un mecanismo para establecer la validez del FH y la vigencia de su CID al momento de la firma del COD. 2. Los controles que los diferentes países tienen establecidos o establezcan en el futuro sobre las autorizaciones que se concedan u otorguen a entidades y/o funcionarios de las mismas, para intervenir en el proceso del COD y/o interactuar con el SCOD, no son parte de la funcionalidad del SCOD, y deben operar en forma previa al ingreso de información al sistema. 3. Cualquier normativa que paralelamente a la implementación del SCOD sea requerida por los países o sus instituciones para la aceptación general de la validez de las consultas realizadas al sistema, está fuera del alcance del sistema informático propiamente dicho. Dentro del alcance definido, el SCOD comprende: 3

4 1. Una base de datos donde las autoridades gubernamentales rectoras de cada país informarán las entidades, organizaciones e instituciones públicas y/o privadas autorizadas para emitir los COD, así como la información relativa a los funcionarios que los firman. a) Para ello están previstos los procedimientos necesarios para que realicen las respectivas altas, bajas y modificaciones, los procedimientos de control de las mismas y las pautas de seguridad acordes a tales requerimientos. b) Paralelamente, el SCOD brinda información estadística para que los países y sus instituciones puedan, si fuera su decisión, establecer sus propios procedimientos de control. c) La base de datos conforma el Directorio Seguro (DS), que contiene la trazabilidad de todos los eventos ocurridos en el mismo, como base para procedimientos de auditoria. 2. Procedimientos de consulta de los COD en base a los requerimientos de las Aduanas y los importadores, en cuanto a la validez del FH y la vigencia de su CID. Dichas consultas se podrán realizar de la siguiente manera: a) Por parte de las aduanas Vía Web Service (WS), Validación Local en un Archivo de Réplica (VLAR) de la información relevante contenida en el DS, descargada desde el servidor central del SCOD. b) Por parte de los importadores: Existirá una aplicación pública disponible para aquellos que quieran consultar la validez del FH firmante del COD recibido y la vigencia de su CID, previo a su presentación ante la Aduana de su país. 4

5 MODULOS DEL SISTEMA SCOD Consultas Administración DS El SCOD está compuesto por tres módulos básicos: El Módulo del DS, comprende la Base de Datos, la función de réplica y la generación de las trazas de auditoria. El Módulo Administrativo, constituido por los procedimientos para la administración de las entidades y actores del sistema, así como la seguridad, control, estadísticas y auditoria del mismo. El Módulo de Consulta y Verificación, que asegura la comunicación efectiva y eficiente de las Aduanas y otros usuarios con el contenido del DS, con el objetivo de verificar la validez de los FH firmantes de los COD y la vigencia de sus CID. 5

6 MODULO DEL DIRECTORIO SEGURO El modulo del DS contiene: La administración de la Base de Datos El control de sincronización con la Base de Datos de respaldo La función de réplica La generación de las trazas de auditoría Función de réplica Cuando una Aduana decida realizar la validación de los COD en forma local, deberá verificar la información de los FH a partir del contenido de la réplica del DS, y será responsable de mantenerla actualizada mediante la descarga de los sucesivos "deltas" que se generen. El SCOD genera mensualmente en forma automática una réplica del contenido del DS con la información necesaria para la VLAR por las Aduanas. Dicha réplica contiene los datos de los FH. Todos los archivos generados por el SCOD son firmados digitalmente, para que la Aduana pueda verificar la autenticidad de los mismos. Durante el tiempo que media entre cada réplica total se generan archivos parciales ( deltas ) que contienen la información necesaria para actualizar los datos correspondientes a la réplica anterior que hayan sufrido cambios y/o modificaciones desde la generación del último delta o de la réplica total. El formato a utilizado para esta operativa es XML. Estos archivos deltas se generan cada vez que ocurre una modificación del DS y están disponibles para su descarga por las Aduanas en forma segura (FTPS) inmediatamente después de ser creados y firmados. Son numerados en forma correlativa, con el formato siguiente: aaaaxxxxxxxx.dta, donde aaaa corresponde al año en curso y xxxxxxxx es un número entero correlativo con el formato Se dispone de un Web Service para la descarga de dichos deltas. La responsabilidad de mantener actualizada la información obtenida por este medio, es de cada Aduana que utilice el procedimiento. Generación de trazas de auditoría El SCOD permite el seguimiento y reconstrucción de las transacciones realizadas, mediante trazas de auditoría expresamente definidas. Además, ninguna información es eliminada de la Base de Datos, aún cuando la misma haya sido dada de baja de la aplicación activa, lo que junto con una bitácora de actividades sobre el DS por usuario, por institución y por país, facilita el análisis y seguimiento de cualquier transacción y sus efectos. Se dispondrá asimismo de la historia de los sucesivos estados de cualquier usuario desde la fecha de su registro en el SCOD. 6

7 MODULO ADMINISTRATIVO Diagrama lógico por país Procedimientos administrativos El sistema no designa los funcionarios. Los funcionarios son registrados en el sistema por decisiones de las entidades de cada país. El AG registra en el SCOD: las Aduanas de cada país y el primer usuario (UA) de cada una de ellas; las AH de cada país y el primer FA de cada una de ellas; las AC aceptadas para la emisión de los CID; La información es comunicada previamente a la SG ALADI tal como se explica en Requerimiento de información inicial para los países (Ver página siguiente). El FA ingresa en el SCOD según corresponda, otros FA dentro de su misma AH, las EH autorizadas a emitir COD y da de alta al primer FE de cada una de ellas. El FA es responsable de mantener actualizado el huso horario respecto de GMT de la localidad/ciudad/país de cada EH bajo su jurisdicción. El FE, dentro de su propia EH, ingresa a otros FE según corresponda y mantiene actualizada la información de los FH. La aprobación de un FH por parte de las AH es configurable dentro del SCOD. En todos los casos de altas de usuarios, el SCOD genera en forma automática su clave de acceso, la que es comunicada vía al usuario que fue dado de alta. En la misma comunicación recibe las instrucciones para el cambio de la clave si fuera su decisión hacerlo. Respecto del tratamiento del alta de un FH por un FE, el SCOD permite las siguientes configuraciones: 7

8 1. Considerar el FH ingresado en estado Activo lo que significa que no será necesaria ninguna aprobación posterior. 2. Requerir la aprobación de un FA de la AH correspondiente. En tal caso el alta dada por el FE deja al FH en condición Pendiente y el sistema envía automáticamente un mensaje por a la AH correspondiente para que cualquier FA de la misma se pronuncie en cuanto a su aprobación o rechazo. Tal requisito tiene un plazo fijado en días para su respuesta. Dicho plazo también es configurable por cada país. La aprobación cambia el estado del FH a Activo mientras que el rechazo conduce a que el FH pase a la condición de Inhabilitado. Vencido el plazo establecido sin que el sistema reciba la respuesta de la AH, el FH será cambiado de categoría a Activo o Inhabilitado, o bien mantenido en la categoría Pendiente, según haya sido la configuración elegida. Cualquier cambio en la referida configuración, deberá ser solicitada por la misma vía que la información inicial. Los FA pueden visualizar en el SCOD, y en todo momento, la lista de FH en categoría Pendiente bajo su jurisdicción (AH). Toda revocación de un CID correspondiente a un FH deberá ser comunicada inmediatamente al FE, para que éste la ingrese de inmediato al SCOD. Requerimiento de información inicial para los países La carga inicial, así como el mantenimiento de determinada información, debe ser dada de alta en el SCOD por el Administrador General (AG). El AG es el responsable de ingresar al sistema las AC, las AH y su primer FA y las Aduanas y su primer UA. Una vez iniciada la operación, el SCOD está en condiciones de permitir la actualización de la información de entidades y usuarios de cada país, la cual se constituirá en parte de los registros del Directorio Seguro (DS). Esta actualización se hará en forma de cascada, mediante derechos otorgados a los distintos usuarios en concordancia con su perfil, permitiendo así la realización de altas, bajas y modificaciones en forma directa. Se describe a continuación la información inicial que los países deben enviar a la SG ALADI. La forma de comunicación de dicha información será a través de las Representaciones Permanentes o cualquier otra que los países acuerden con la SG ALADI. Para la fase de pruebas técnicas, se podrá enviar la información inicial de las AH directamente a la SG ALADI a través de las direcciones electrónicas tic@aladi.org y/o netmasters@aladi.org de acuerdo a los detalles que se especifican en la siguiente página. 8

9 Detalle de la información inicial requerida País Opción elegida en cuanto a aprobación de las altas de los FH: FA confirma al FH? Si /No Lapso de tiempo para la confirmación. Días: Nuevo estado del FH al vencimiento del tiempo sin respuesta: Activo Inhabilitado Pendiente Observaciones Autoridades Habilitantes AH Nombre de cada una de las AH. Dirección Localidad Correo electrónico URL Teléfonos Funcionarios Administradores FA AH a la que pertenece Nombre del Funcionario Administrador (FA) Nombre de usuario ante el SCOD. Correo electrónico Teléfonos. Certificado de Identificación Digital del FA (en formato.pem) Aduanas Denominación de la Aduana del país. Localidad URL Usuario de Aduana UA Aduana a la que pertenece Nombre del Usuario de Aduana (UA) Nombre de usuario ante el SCOD Correo electrónico Teléfonos Restricción de IP (opcional) Autoridad Certificadora AC Nombre de la AC Correo electrónico Teléfonos URL 9

10 CRL OCSP Certificado Raíz Registro de la información inicial recibida de los países 1. Recibida y procesada por la SG ALADI, la información requerida que se describió, será ingresada al SCOD por el AG. 2. El SCOD asignará una clave de acceso tanto para el FA como para el UA. Dichas claves serán comunicadas por el SCOD vía correo electrónico a cada usuario, quienes podrán cambiarla a su voluntad. 3. El FA estará habilitado para iniciar la cascada que se describe en el Diagrama Lógico por País bajo el título Módulo Administrativo. 4. De igual modo, el UA podrá proceder al ingreso de otros UA para su misma Aduana, y dar de alta a otras Entidades Aduaneras (EA) y sus primeros usuarios (FEA) FUNCIONALIDADES La carga de los FH se podrá hacer opcionalmente en forma automática vía Web Service (WS). Los CID deberán cumplir con el estándar X.509.V3 y estar comprimidos en Base 64 (.pem) Opcionalmente, y para su interacción con el SCOD, las Aduanas podrán definir restricciones de IP, razón por la cual las mismas se han requerido junto a la información inicial que necesita el AG para darles el alta en el sistema. Los procedimientos internos de cada país implemente para que un FH pueda firmar un COD deberán asegurar que previamente éste fuera dado de alta en el SCOD. Si aún así se produjera la consulta de un COD antes que el FH fuera dado de alta en el sistema por el FE correspondiente, el SCOD devolverá el código de error de FH inexistente. Aunque la omisión de inhabilitar un FH a causa de la revocación de su CID no debería suceder, a efectos de minimizar la ventana de riesgo se ha diseñado un proceso que periódicamente revisa las listas de revocación (CRL) de las AC registradas en el SCOD. Si se detectaran casos de este tipo, el SCOD enviará una comunicación (mensaje de alerta) a la AH y la EH correspondientes. Para el SCOD, un FH estará inhabilitado a partir de la fecha en que el FE lo ponga en esa condición, o sea, que haya sido detectado en una CRL u OCSP. Debido a que las AC generan las CRL con una frecuencia y/o periodos que no se consideran ideales a los efectos del SCOD; y por otro lado, la operación de validar la vigencia de los CID mediante el protocolo OCSP que disponen las AC puede tener un costo monetario adicional, se procederá de la siguiente forma: se utilizará como primario el servicio OCSP para todas las AC que lo brindan sin cargo, y para el resto se controlarán las revocaciones a partir de las CRL. 10

11 11

12 AUDITORIAS Auditoría del Sistema El SCOD está sujeto a los procedimientos de auditoría de sistemas que la SG ALADI determine, ya sea el que tenga vigente para el resto de sus aplicaciones o cualquier otro que desee efectuar. Para ello cuenta con la documentación y manuales técnicos y los códigos fuentes. Auditoría de Registros Cualquier país puede realizar una auditoría de la información contenida en el sistema. La misma deberá ser solicitada ante la SG ALADI, y una vez aprobada estará limitada a la información de su propio país, para lo cual se le asignará un Perfil Auditor con derechos solamente de lectura. ESTADÍSTICAS De gestión Evento Clasificación Consultas realizadas por Aduanas Por país Por aduanas Por resultado obtenido (código de respuesta) Consultas realizadas por Instituciones no aduaneras (Modo Manual en la Web) Por país emisor Por resultado obtenido (código de respuesta) De rendimiento Estadísticas de cantidad de consultas Estadísticas de tiempo de respuesta a las consultas 12