Iria Flavia Heredero Cruces, directora Fiscal Corporativo de ASISA.
La reinvención de la identidad digital en ASISA: de dos personas custodiando la firma de 7.500 empleados a una plataforma distribuida y segura
La aseguradora gestiona cada año más de 40.000 notificaciones electrónicas repartidas entre casi 70 sociedades del grupo.
ASISA ha pasado de que sus certificados digitales los manejaran sólo dos personas a extender el certificado de pertenencia a toda la plantilla.
Más información: El experto en fraude Simon Marchand: "No es cuestión de si sufriremos un robo de identidad, sino de cuándo"
Durante quince años, la aseguradora ASISA ha encarnado el camino más tortuoso y dificultoso en cuanto a la identidad digital se refiere: cuantos más organismos públicos exigían certificados para cualquier trámite, más se concentraba esa autoridad en un puñado de manos. Es cierto que el camino opuesto, el más común, suponía dar esos certificados a diestro y siniestro sin control alguno. Ambas aproximaciones, cuanto menos, extravagantes, y con multitud de escenarios de riesgo fáciles de imaginar.
Pero volviendo al caso de ASISA, la empresa acabó en un modelo que Iria Flavia Heredero Cruces, directora Fiscal Corporativo del grupo, define como "el gobierno de la identidad digital basado exclusivamente en que dos personas, una de mi equipo y yo, estuviéramos 24/7 manejando los certificados digitales enormes de la compañía".
Era una amenaza cotidiana latente, no sólo en términos de ciberseguridad, sino incluso de operativa cotidiana. "Yo puedo mañana tener un accidente yendo al trabajo y la gente tiene que poder seguir trabajando y siguiendo utilizando los certificados digitales de la compañía", explica Heredero Cruces. El respaldo ante cualquier imprevisto se resolvía, mientras tanto, con un método que hoy resultaría inconcebible para cualquier auditor: "El típico pendrive guardado en una caja fuerte por si el día de mañana efectivamente en el trabajo te pasaba algo".
Como decíamos, lo singular de ASISA es que invierte el planteamiento habitual del mercado. La mayoría de las compañías arrastran certificados dispersos en cientos de ordenadores, sin trazabilidad ni control real sobre quién los usa. La aseguradora había hecho justo lo contrario: concentrar tanto el uso que se convirtió en un obstáculo insalvable para un grupo con más de 7.000 empleados, cerca de 70 sociedades y más de 40.000 notificaciones electrónicas al año.
Iria Flavia Heredero reconstruye para DISRUPTORES - EL ESPAÑOL el desgaste que suponía sostener ese modelo desde dentro: "Prácticamente la persona de mi equipo estaba casi full time dedicada a esto y obviamente no era su función principal en ese momento". La carga, añade, no era solo de horas sino de presión constante: "Estás todo el día con una especie de yugo encima que también limita la usabilidad".
¿Por qué había apostado la firma por esta aproximación tan conservadora? La compañía no quería arriesgarse, como es menester en una enseña de este sector, a que sus certificados se movieran de forma indiscriminada dentro del grupo. "El certificado digital no entiende de poderes que hay por detrás", advierte la directiva de ASISA. "En cuanto yo te otorgo a ti un certificado digital, tú mañana puedes vender la compañía. Otra cosa es que luego la compañía puede ir contra ti porque tú no tienes poderes para poder hacerlo".
En busca de una solución tecnológica
La salida a este cuello de botella llegó por la vía menos glamurosa posible, el boca a boca profesional entre departamentos fiscales de distintas compañías, hasta dar con una solución tecnológica que cubriera de forma efectiva sus necesidades de identificación digital.
Esa distinción entre lo que el certificado permite técnicamente y lo que autoriza la estructura de poderes fue la que empujó a ASISA a tratar el proyecto como un reto de gobernanza y no como una simple actualización tecnológica. La compañía centralizó la custodia en Redtrust, definió políticas de acceso por rol y proceso concreto, y huyó de los accesos genéricos de modo que cada solicitud pasa por la intranet corporativa, requiere validación del responsable directo y se concede con un alcance y una duración determinados.
Así pues, implantar el nuevo modelo exigió algo más que una migración técnica y supuso un giro completo de función dentro del propio departamento fiscal, y así lo resume la directiva: "Antes hacías tú todo y ahora te encargas de que los demás puedan hacerlo". Lejos de simplificar el trabajo, la parametrización resultó más exigente que el modelo abierto, matiza: "Aquí es al contrario. Es verdad que pedimos la URL muy definida hasta el final y a veces también nos encontramos con muchas problemáticas de que las páginas no funcionan igual".
Iria Flavia Heredero Cruces, directora Fiscal Corporativo de ASISA.
La trazabilidad que aporta Redtrust permite hoy a ASISA reconstruir con precisión quién accedió a un certificado, cuándo, desde dónde y con qué finalidad, algo que resultaba imposible bajo el modelo anterior. Heredero Cruces subraya que esa capacidad ya ha evitado problemas serios: "Hemos hecho a lo largo de estos años como cuatro o cinco investigaciones que hubo que hacer porque nadie tenía el tracking de quién y dónde y cómo se había abierto una notificación", relata, y añade la magnitud del riesgo legal que había detrás de esos vacíos: "Podemos hablar de demandas de dos millones de euros de cosas que son muy sencillas".
Iria Flavia Heredero reconoce que su propio perfil personal ha marcado el rigor con el que ASISA ha desplegado el sistema. Y para muestra, un botón: "Soy una persona bastante celosa de la información. En ocasiones, un banco nos pide todos los días el impuesto de sociedades y yo digo que no, porque ahí va desde la fecha de nacimiento de los consejeros, desde su DNI, y tú al final con esos datos prácticamente puedes hacer su renta".
Ese criterio de mínimo privilegio no ha estado exento de fricciones internas, algo que la directiva no minimiza. "Ha causado un poco de incomodidad, porque no todo el mundo puede tener certificado. Por eso, divulgamos mucho el uso que puedes tener, el uso de ese certificado, y a través de este formulario nosotros te vamos a dar acceso al trámite que tú necesites".
Identidad digital a prueba de futuro
Por supuesto, esta aproximación a la identidad digital está diseñada a prueba de futuro, aunque ASISA se mantiene cautelosa en terrenos como los agentes autónomos y la adopción de la inteligencia artificial. "Nosotros tenemos una política interna conservadora en este sentido. No vamos a ser los primeros", sostiene su ejecutiva, al tiempo que justifica esa cautela por la naturaleza del negocio: "Esto es un grupo fundamentalmente de salud, entonces el dato es muy complejo y cargarlo ya en tu propio entorno interno da un poco de miedo".
Así que, en estos momentos, la hoja de ruta pasa por extender el certificado de pertenencia a empresa a toda la plantilla, comenzando por las nuevas incorporaciones y trasladando después el modelo a quienes ya forman parte de la compañía.
Heredero Cruces cierra, al respecto, nuestra conversación con una frase que condensa el equilibrio que persigue todo el proyecto: "Ambiciosos, porque no queremos quedarnos atrás, pero conservadores" -una máxima que atribuye tanto a la presión regulatoria de DORA como a la exigencia de un consejo que valora más las garantías que la velocidad.
