En una institución, hacerlo bien no basta: hay que poder demostrar quién lo autorizó.

El problema

Una institución no parte de cero: hereda. Hereda sistemas de hace doce años que nadie se atreve a tocar porque sostienen un trámite que la ciudadanía usa a diario, contratos con proveedores que ya no existen, servidores en una sala que no aparece en ningún inventario y credenciales compartidas entre personas que rotaron tres veces. Cambiar cualquier cosa exige entender antes qué depende de qué, y esa documentación normalmente no existe.

El segundo problema es que la continuidad del servicio es innegociable. Una empresa privada puede cerrar el sitio una noche para migrar. Un registro civil, un sistema de emergencias, un servicio de agua o un portal de trámites no puede permitirse que el ciudadano se quede sin acceso, y tampoco puede explicar una interrupción con la ligereza con que se explica en el sector privado. Toda intervención tiene que planificarse con marcha atrás probada.

El tercero es la trazabilidad. En lo público, cualquier actuación técnica puede ser revisada meses o años después por una auditoría, un órgano de control, un tribunal o la prensa. Y entonces la pregunta no es solo si la decisión fue correcta, sino quién la autorizó, con qué mandato, con qué alcance y qué se hizo exactamente. Si eso no está escrito y fechado en su momento, el funcionario que actuó de buena fe queda expuesto.

Y el cuarto es la suplantación institucional. Dominios parecidos al oficial que piden datos y pagos a los ciudadanos, correos falsos con el membrete de la entidad, perfiles que publican comunicados inventados. El daño lo sufre la ciudadanía, pero la responsabilidad de reaccionar es de la institución, que suele enterarse tarde y sin evidencia conservada.

Cómo lo resolvemos

• Inventario y Mapa de Dependencias. Levantamiento de activos, sistemas, integraciones, proveedores con acceso y responsables reales de cada pieza. Sin este documento, cualquier plan de seguridad es una hipótesis.
• Mandato Documentado de Actuación. Antes de tocar nada, se define y se firma por escrito el alcance: qué se puede intervenir, qué no, en qué ventana, con qué autorización y con qué criterio de reversión. Cada actuación posterior se registra contra ese mandato. Es la protección tanto de la institución como de la persona que autoriza.
• Cadena de Custodia de Evidencia. Registros, imágenes de sistema y documentos relevantes se sellan con huella SHA-256 y sello temporal anclado en Bitcoin vía OpenTimestamps mediante Veritas UGC, con certificado firmado y verificación pública. Cualquier tercero puede comprobar después que el material no ha sido alterado, sin depender de la institución ni de nosotros.
• Endurecimiento con Continuidad. Plan de corrección por fases, con prueba en entorno equivalente, ventana pactada, criterio de éxito y procedimiento de reversión definido antes de cada cambio. Prioridad a lo que reduce riesgo sin comprometer el servicio.
• Plan de Respuesta y Continuidad. Runbook con árbol de decisión, portavoz designado, criterios de notificación y comunicación a la ciudadanía ya redactada por escenario. Con ensayo en mesa junto al equipo, porque un plan que nunca se ha practicado no es un plan.
• Vigilancia de Suplantación Institucional. Detección de dominios y perfiles que imitan a la entidad, con expediente probatorio sellado. La actuación jurídica —requerimientos, procedimientos sobre dominios, denuncias— la ejecuta Veritas Nexus Legal LLC.

Qué te llevas

• Inventario de activos y mapa de dependencias, con responsable identificado por sistema.
• Documento de mandato de actuación, firmado, con alcance y límites explícitos.
• Registro fechado de cada intervención realizada, contrastable contra el mandato.
• Certificados de custodia de evidencia emitidos por Veritas UGC, verificables públicamente.
• Plan de endurecimiento por fases, con ventana, criterio de éxito y procedimiento de reversión.
• Runbook de respuesta e informe del ensayo en mesa, con acciones correctivas detectadas.
• Panel de vigilancia de dominios y perfiles suplantadores, con expediente listo para reclamar.
• Informe ejecutivo apto para presentar ante órganos de control.

Preguntas frecuentes

¿Podéis trabajar sobre sistemas antiguos que no se pueden actualizar? Sí, y es lo más frecuente. Cuando un sistema no se puede actualizar, el trabajo consiste en aislarlo: reducir su exposición, controlar quién y desde dónde accede, vigilar su comportamiento y documentar el riesgo residual por escrito para que la decisión de convivir con él sea consciente y esté respaldada.

¿Cómo se garantiza que no se interrumpe el servicio? No existe el riesgo cero en ningún cambio técnico, y decir lo contrario sería falso. Lo que sí se hace es reducirlo con método: prueba previa en entorno equivalente, ventanas de baja demanda, cambios por fases, criterio de éxito definido y reversión preparada y probada antes de ejecutar.

¿Por qué insistís tanto en el mandato escrito? Porque en el ámbito público la revisión llega siempre, y llega tarde. Un mandato firmado con alcance y límites convierte una actuación técnica en una decisión administrativa documentada. Protege a la institución, protege al funcionario que autoriza y evita discusiones sobre lo que se hizo y con qué permiso.

¿Podéis participar en un proceso de contratación pública? Podemos aportar la documentación técnica, la descripción de alcance y las referencias que el procedimiento exija. Los requisitos formales, plazos y condiciones de cada convocatoria los fija el órgano de contratación, y nos ajustamos a ellos. La parte contractual y societaria la acompaña Veritas Nexus Legal LLC.