SERVICIO DE FIRMA ELECTRÓNICA 26/05/05 1 / 5 Dentro del Sistema de Firma Electrónica Desatendido para Entidades Jurídicas denominamos Servicio de Firma Electrónica a un conjunto de funciones (o actividades) muy concretas, que se realizan de manera totalmente automática, coordinada y segura, entre determinadas aplicaciones corporativas de la entidad, conjuntamente con un sistema corporativo existente para todo el Grupo Mapfre denominado: Plataforma de Firma Electrónica. Dichas funciones tienen por objeto firmar electrónicamente documentos concretos de negocio, de tal manera que dichos documentos firmados con un certificado digital aporte exactamente la misma garantía al cliente de Mapfre, que si el documento fuera firmado en papel. No obstante es importante destacar, que en el Sistema de Firma Electrónica de MAPFRE para dar las mayores garantías posibles sobre la veracidad de la firma realizada a los clientes del servicio, no tiene porque existir o establecerse una correspondencia biunívoca entre una función concreta de firma, o lo que es lo mismo, la firma electrónica de un solo fichero, y la garantía de firma de un documento de negocio. Ya que para dar la mayor garantía posible a este último, la firma del documento del negocio puede requerir varias funciones de firma electrónica sobre ficheros, algunos de los cuales quedarán como trazas (log) de actividades realizadas. Esto determinará parte de las características de la seguridad del servicio. En general, todo documento firmado por la Plataforma de Firma Electrónica para un servicio seguirá los procedimientos, operativa y practicas de seguridad que a continuación se especifican: En primer lugar, las Prácticas de Seguridad de la Plataforma, donde se describen las estructuras, las medidas, los procedimientos y la operativa de seguridad aplicada en la plataforma en su conjunto, y que son comunes a todos los servicios de firma de ficheros. En segundo lugar, las Prácticas de Seguridad del Servicio que se describen en este documento, y que son un conjunto de normas y operaciones aplicables exclusivamente a este servicio, que son relevantes desde el punto de vista de la seguridad, y mediante el cual se firman determinados documentos que son enviados y recogidos por determinadas aplicaciones corporativas de negocio desde las Entidades de Mapfre de manera totalmente automática y desatendida. 1. Practicas de Seguridad de la Plataforma de Firma Electrónica. Las prácticas de seguridad de la plataforma, que es donde se definen: las infraestructuras de hardware, software y comunicaciones; las medidas implantadas; los procedimientos utilizados y la operativa de seguridad aplicada en su conjunto en el sistema denominado como: Plataforma Desatendida de Firma Electrónica para Entidades Jurídicas de Mapfre, es donde se soportan las PRACTICAS DE SEGURIDAD Fecha: Hoja:
SERVICIO DE FIRMA ELECTRÓNICA 26/05/05 2 / 5 prácticas de seguridad que se están describiendo en este documento, para dar cobertura de seguridad a este servicio. Las mismas están disponibles a disposición de los clientes y pueden ser consultadas en: ----------------------------------------------------------------------------- 2. Descripción del Servicio desde el punto de vista del negocio. Actualmente una de las funcionalidades del sistema de Suscripción de Riesgos de Mapfre Caución y Crédito, es la generación de documentos de Suplementos de Riesgos en formato papel, los cuales son enviados a los clientes mediante correo certificado, al objeto de darles información y/o confirmación relativa a sus peticiones de riesgo. Certificación sobre exclusiones y/o concesiones totales o parciales. Este servicio sustituye el procedimiento de información descrito anteriormente, para aquellos clientes del Sistema Web de Crédito, denominado Clavemap, que lo soliciten. El mismo se refiere a la generación y firma electrónica (certificado digital) de ficheros PDF, con información relativa a los Suplementos de Riesgos anteriormente indicados. De tal forma, que puedan ser descargados por el cliente desde el servicio Clavemap. Así como que dichos ficheros firmados, tengan la misma validez y garantía para el cliente, que el suplemento en papel enviado por correo. 3. Aplicaciones Corporativas de negocio de la Entidad que intervienen en la firma de documentos A grandes rasgos, los pasos que se siguen en la compañía para la generación de los suplementos firmados en formato digital, son los siguientes: La información de los Suplementos de Riesgos de Crédito es generada desde el aplicativo corporativo de Suscripción de Riesgo de la compañía, al momento de evaluar la petición de los clientes. Mediante un proceso a fin del día, todos los suplementos generados son transformados a formato PDF. Siendo enviados posteriormente para su certificación digital a la Plataforma de Firma Electrónica. Con posterioridad el propio aplicativo de Suscripción de Riesgos deja los ficheros PDF firmados en la aplicación de Servicios WEB de Clavemap, quedando disponibles para ser descargados por el cliente usuario del mismo. PRACTICAS DE SEGURIDAD Fecha: Hoja:
SERVICIO DE FIRMA ELECTRÓNICA 26/05/05 3 / 5 4. Estructura del Servicio. En el Sistema de Firma Electrónica Desatendida de Mapfre la estructura de un servicio viene determinada por: Una configuración de tres conjuntos de carpetas o buzones: un buzón de entrada; un buzón de errores y varios buzones de salida. Un conjunto de elementos que configuran el servicio, cada uno con sus correspondientes parámetros, entre los que cabe destacar, para cada elemento, el tipo de operación y los buzones de salida correspondientes al mismo. Cada uno de estos elementos está asociado a un tipo de operación que debe realizar la Plataforma de Firma Corporativa con los ficheros que detecta en el buzón de entrada específico del servicio, y que correspondan a dicho elemento. Como resultado del tratamiento del fichero enviado, el / los ficheros firmados electrónicamente quedarán en el buzón/buzones especificados para dicho elemento del servicio. En caso de detectar la plataforma de firma un error o anomalía en la operación, el fichero de entrada quedará en el buzón de error del servicio. Respecto al servicio que nos ocupa, los elementos que conforman el mismo, son los siguientes: Existe un elemento, que permite realizar la operación de firma electrónica sobre un fichero XML, que contiene los datos del certificado de riesgo, y es también el origen del documento de negocio. Se firma al objeto de asegurar posteriormente, por su existencia, la validez del fichero PDF firmado para el Cliente. Todo fichero firmado para el Cliente, que no tenga su correspondiente XML firmado no es válido, de cara a mostrarselo. Existe un elemento, que permite realizar la operación de firma electrónica sobre un fichero PDF, que contiene el certificado de riesgo (que es el documento de negocio) para el Cliente.
SERVICIO DE FIRMA ELECTRÓNICA 26/05/05 4 / 5 Por otra parte, existe otro elemento del servicio, que firma electrónicamente un fichero XML, generado y relacionado con el momento de lectura del PDF por parte del cliente, a través de la Extranet de MAPFRE. De esta manera, el servicio realiza la firma electrónica de los tipos de ficheros siguientes: (A) Documentos PDF firmados (documento de negocio). (B) Fichero XML firmado, con información sobre el proceso de firma del fichero PDF anterior, generado de manera simultánea con el (A). (C) Fichero XML firmado, generados al momento de leer el cliente el PDF en la Extranet. Estos elementos están directamente asociados con tres carpetas de salida, donde las aplicaciones podrán recoger los ficheros firmados, y el correspondiente fichero de control asociado a cada uno de ellos. 5. Registros de Trazas (log) del Servicio. Con vistas a establecer más seguridad en el proceso y en las operaciones de la Plataforma de Firma Electrónica Desatendida para este servicio, y por tanto, dar mayores garantías al cliente sobre la seguridad de la firma electrónica de los documentos de negocio realizada, se establecen los siguientes archivos de registros de trazas (log) específicos para este servicio: Archivo de registros XML de datos firmado, origen del documento PDF. Archivo de registros XML de trazas (log), generados al momento de leer el cliente el PDF en la Extranet. Estos registros de trazas (log) del servicio, son complementarios a los generales de análisis forense que existen dentro de la plataforma.
SERVICIO DE FIRMA ELECTRÓNICA 26/05/05 5 / 5 6. Validez de los Documentos de Negocio firmado. Para dar una mayor garantía a las operaciones y los documentos de negocio firmados por este servicio, las condiciones que se deben cumplir, de manera inexorable, en los ficheros de salida de la Plataforma de Firma, para considerar auténtica la firma electrónica realizada sobre los ficheros de entrada, bien para garantizar documentos u operaciones de negocio en este servicio, serán las siguientes: Solo son válidos los documentos firmados electrónicamente PDF (Certificados de Riesgos), que tengan asociado su correspondiente fichero firmado de XML. Debiendo corresponder los datos existentes en los ficheros de control adjuntos a cada uno de los ficheros. Los datos de control deben cumplir los siguientes requisitos: tener la misma referencia del negocio; tener los mismos datos de información y control de la entrada; igual fecha y la hora de salida; las mismas IP de las máquinas de firma; los buzones de salida de cada fichero debe corresponder con los definidos en el elemento correspondiente. Se ha realizado la operación de lectura del documento de negocio firmado electrónicamente en formato PDF, en la Extranet (aplicación ClaveMap), si existe un fichero XML firmado electrónicamente al momento de lectura del mismo, en el buzón de salida correspondiente a dicho elemento del servicio, y que el mismo se corresponda con la existencia, en forma y tiempo, de los ficheros correspondientes del apartado anterior. Debiendo existir además coherencia en los datos del fichero de control adjunto al fichero XML log firmado.