Quién escribe las normas.

ISO, ETSI, CEN, IETF, W3C y los foros de la industria: el mapa de la normalización.

Octubre de 20267 min de lectura

Las leyes dicen qué efecto tiene una firma. Las normas técnicas dicen cómo se hace. Entre una cosa y la otra hay un ecosistema de organismos, comités y foros que pocas veces aparece en los titulares, pero que decide si una firma hecha en un país puede verificarse en otro, si un documento podrá leerse en veinte años o si dos sistemas pueden hablar entre sí. Conocer ese mapa ayuda a leer cualquier propuesta técnica con criterio.

Por qué hacen falta normas

Una ley que exige que una firma permita "detectar cualquier alteración posterior" no dice qué algoritmo usar, en qué formato guardar la firma ni cómo validar un certificado. Si cada proveedor lo resolviera a su manera, ningún documento sería verificable fuera del sistema que lo creó. Las normas técnicas son el idioma común que convierte una exigencia jurídica en algo que cualquier programa puede comprobar.

Los organismos y lo que hacen

Organismo	Qué es	Aportes clave para la firma
UIT	Agencia de las Naciones Unidas para las telecomunicaciones.	La recomendación X.509, origen del formato de certificado que se usa en todo el mundo.
IETF	Comunidad abierta que define los protocolos de internet.	El perfil de certificados y revocación (RFC 5280), los sellos de tiempo (RFC 3161), la sintaxis de mensajes firmados (CMS) y la consulta de estado en línea (OCSP).
ISO e IEC	Organismos internacionales de normalización, con comités conjuntos para tecnologías de la información.	El formato PDF (ISO 32000), el PDF para conservación (ISO 19005), la seguridad de la información (ISO/IEC 27001) y los marcos de identidad.
ETSI	Instituto europeo de normas de telecomunicaciones.	Su comité de firmas electrónicas e infraestructuras redacta los formatos de firma avanzada (PAdES, CAdES, XAdES), la validación y los requisitos para prestadores de confianza.
CEN	Comité europeo de normalización.	Requisitos para dispositivos de creación de firma y para sistemas de firma en servidor.
W3C	Consorcio que define los estándares de la web.	La firma XML y el modelo de credenciales verificables.
OASIS	Consorcio de estándares abiertos.	Protocolos para servicios de firma y verificación.

Los foros de la industria

Junto a los organismos formales hay foros donde la industria acuerda reglas comunes con gran impacto práctico.

El CA/Browser Forum. Reúne a autoridades de certificación y fabricantes de navegadores y sistemas operativos. Fija los requisitos mínimos para los certificados que esos programas aceptan, y su influencia se extiende a la confianza en general.
El Cloud Signature Consortium. Definió una interfaz común para la firma remota en la nube, de modo que una aplicación pueda pedir firmas a distintos prestadores de la misma forma.
La PDF Association. Promueve las normas del PDF, incluida su capa de firmas, y la interoperabilidad entre lectores.

La ley dice qué se exige. La norma técnica dice cómo comprobarlo. Sin la segunda, la primera no sale del papel.

Cómo se relacionan

La ley fija la exigencia. Por ejemplo, que una firma avanzada detecte alteraciones.
Un acto de aplicación remite a normas. Muchos reglamentos citan normas concretas como forma de cumplir.
Las normas se apoyan unas en otras. Un formato del ETSI usa certificados X.509, la sintaxis del IETF y el PDF de ISO.
Las auditorías verifican el cumplimiento. Y las listas de confianza publican el resultado.

Una pregunta útil

Ante cualquier producto o propuesta, pregunte: ¿qué normas implementa, en qué versión y quién lo verificó? Una respuesta concreta, con números de norma, suele ser señal de solidez. Una respuesta genérica, como "seguridad de nivel bancario", no dice nada.

Para recordar

Las firmas electrónicas dependen de un ecosistema de normalización: la UIT y el IETF para certificados y protocolos, ISO e IEC para formatos y gestión, el ETSI y el CEN para el marco europeo, el W3C y OASIS para la web, y foros como el CA/Browser Forum o el Cloud Signature Consortium. Las leyes remiten a ellas, y la interoperabilidad depende de que se apliquen.

Fuentes

← Todas las notas