Archivo de la categoría: Blockchain

El Grupo de Expertos de la Comisión Europea sobre los obstáculos normativos a la innovación financiera insta a la UE para que empiece las reformas legales ya


El Grupo de Expertos de la Comisión Europea sobre los obstáculos reglamentarios a la innovación financiera (Expert Group on Regulatory Obstacles to Financial Innovation – ROFIEG)  insta a la reforma de la normativa financiera de la UE para fomentar la innovación en el sector de las finanzas.

El pasado 13 de diciembre de 2019 se ha publicado su esperado informe sobre cómo mejorar y fortalecer el panorama europeo del sector FinTech y sobre como fomentar una mayor inversión e innovación, además de poner fin a la fragmentación normativa y establecer un marco regulatorio más sólido.

Compuesto por expertos del sector, representantes de  instituciones financieras, académicos y juristas, junto con observadores de organismos como la ABE, la AEVM y el BCE, el Grupo de Expertos ha estado trabajando desde junio de 2018 en la creación de un marco de adaptación para el sector FinTech en la UE. El informe contiene 30 recomendaciones de medidas legislativas y no legislativas para abordar los problemas que actualmente obstaculizan la adopción o la ampliación del sector FinTech en toda la UE. Entre ellas se incluyen acciones para facilitar el uso de la IA (Inteligencia Artificial) y las tecnologías asociadas, las DLT (tecnologías de tipo blockchain) y los criptoactivos  e impulsar ámbitos conexos como RegTech y SupTech. También se recomiendan acciones para fortalecer el marco de acceso, intercambio y procesamiento de datos.

“En general, las recomendaciones tienen por objeto apoyar un marco más flexible y tecnológicamente neutro para el sector FinTech en toda la UE, que permita aprovechar las ventajas de las tecnologías afines al sector financiero y, al mismo tiempo, mitigar eficazmente el riesgo”, nos explica Elisabeth Noble, Asesora Principal de Políticas de la EU Banking Authority (Autoridad Bancaria de la UE) y uno de los miembros del Grupo de Expertos.

Actualmente, la UE acoge sólo el 5% del valor global de las empresas tecnológicas, frente al 65% de Estados Unidos y el 35% de China, y el grupo ha criticado el marco regulatorio actual tildándolo de “ausente, fragmentado o poco claro” que impide que los mercados financieros de la UE pongan en valor los beneficios de los avances tecnológicos. “La competitividad y la soberanía regulatoria en relación con un sector financiero que hiciera un mayor uso de la tecnología requieren un marco considerablemente más armonizado sobre la base de los axiomas regulatorios existentes que el que existe actualmente en la UE”, advierte el informe.

El informe propone la creación de una “agenda exhaustiva y ambiciosa” para apoyar la adopción de tecnologías digitales por reguladores y supervisores en lo que se denomina  RegTech (tecnología en el ámbito de la regulación financiera) y SupTech (tecnología en el ámbito de la supervisión financiera) para enmarcar el impulso al sector financiero,  así como la adopción de una estrategia para hacer que los procesos de envíos de informes al regulador y al supervisor y las obligaciones de cumplimiento legal cuenten con versiones procesables por máquina así como destinadas a la lectura por humanos.

También recomienda el establecimiento de cámaras de compensación regulatorias para centralizar la difusión de las normas a las entidades reguladas, recibir información sobre incidentes e informes regulatorios y recopilar datos de mercado, junto con la creación de una nueva “regulatory sandbox” (entorno de pruebas supervisado por el regulador)  a nivel de la UE para apoyar la innovación y la estandarización.

Según el grupo de expertos, los procesos KYC (Know Your Customer, conoce a tu cliente) deberían armonizarse plenamente en todos los Estados miembros,  mientras que la diligencia debida con respecto a los clientes (CDD, customer due diligence) y la incorporación de éstos a las propias entidades financieras y Fintech (lo que se denomina “client onboarding”)  también podrían regularse y se podría introducir legislación expresa como ya ocurre en algunos países como España, sobre la verificación de la identidad digital. Entre las recomendaciones se incluyen  aspectos sobre el intercambio y procesamiento de datos proponiendo el uso obligatorio de interfaces estandarizadas de intercambio de datos.

Desde el punto de vista regulatorio, el informe subraya que, si bien la legislación de la UE sobre servicios financieros debería ser “tecnológicamente neutra, suficientemente preparada para el futuro y apta para su finalidad”, no tiene mucho sentido crear marcos específicos para la tecnología (como una “reglamentación de la cadena de bloques” blockchain) y la cuestión debería abordarse en cambio desde una perspectiva temática. Hay cinco temas sobre los que se sugieren recomendaciones:  la comprensión de la tecnología y su impacto, la ciberresiliencia (resistencia los ataques cibernéticos), la subcontratación, la gobernanza de las redes financieras distribuidas (incluyendo el marco legal para los cripto-activos), y la estandarización en lo que respecta a RegTech y SupTech.

En el espacio RegTech, es notable que entre 2008-2016, hubo un aumento del 500% en los cambios regulatorios en los mercados desarrollados, lo que evidencia la necesidad de soluciones RegTech escalables, fiables y eficientes. A medida que las empresas buscan reducir las cargas de cumplimiento legal y minimizar las sanciones regulatorias, las investigaciones predicen que en los próximos años el gasto en RegTech crecerá en un 48% anual, pasando de 10.600 millones de dólares en 2017 a 76.300 millones en 2022. Y eso que, según el grupo de expertos, “el marco actual es ineficiente”, particularmente en lo que se refiere a los requisitos de presentación de informes.

“Un enfoque proactivo para aportar claridad sobre las expectativas de regulación y supervisión de la adopción de FinTech en el sector financiero puede fomentar la inversión al proporcionar la tan deseada certidumbre”, afirma la señora Noble. “Al crear estas condiciones que permitan a las empresas escalar más fácilmente a nivel transfronterizo, las empresas estarán mejor situadas para aprovechar el mercado local y convertirse potencialmente en campeonas no sólo de la UE, sino también del mundo”.

El informe recomienda la introducción de pautas legislativas legibles y ejecutables por máquina, incluyendo la estandarización de instrucciones regulatorias en una versión ejecutable por máquina que pueda facilitar la generación de informes a los supervisores automatizada. Este aspecto posiblemente requiera el desarrollo de un lenguaje de especificaciones para generación de informes que sirva de base a este tipo de iniciativas. También deben considerarse soluciones automatizadas y de Inteligencia Artificial para la entrada, agregación y análisis de datos, incluyendo soluciones que permitan el “procesamiento directo” de las declaraciones reglamentarias. Y las cámaras de compensación regulatorias ya mencionadas deberían trabajar en la vinculación entre la regulación, los procesos de cumplimiento y la elaboración de informes a los supervisores para fomentar que estos sean más rápidos, precisos y de menor coste, haciendo que la  regulación y la supervisión sean más eficaces.

“La adopción de soluciones RegTech y SupTech comunes basadas en normas técnicas ayudaría a las empresas (por ejemplo, en la información regulatoria diaria), a los supervisores (por ejemplo, en el análisis de informes sobre transacciones sospechosas, datos notificados y datos compartidos a nivel transfronterizo) y a las AES, Agencias Supervisoras Europeas, European Supervisory Agencies  (por ejemplo, en el contexto de la notificación de datos para los ejercicios de pruebas de estrés  y la supervisión de los riesgos macroprudenciales)”, concluye.

Entre las recomendaciones también se incluyen: una taxonomía común que permita armonizar diferentes clasificaciones de servicios, un enfoque reglamentario unificado y una norma que establezca la precedencia normativa que ayude a minimizar situaciones de conflicto de leyes para los cripto-activos; la supervisión de la subcontratación externa por parte de las instituciones financieras de servicios esenciales a fin de mitigar los riesgos de concentración; la elaboración de un nuevo marco de pruebas de ciberresiliencia para el sector financiero; y la publicación de pautas orientativas sobre normas para la tecnología de la inteligencia artificial.

“Ninguna de nuestras recomendaciones son soluciones rápidas”, advierte el presidente del Grupo de Expertos Philipp Paech. “Algunas incluso pueden ser bastante complejas en términos de implementación. Aún así, estamos convencidos de que la UE no debería restringir sus iniciativas hacia los objetivos que parecen más al alcance de la mano, sino que debería apostar por por una visión a largo plazo que logre de forma sostenida  que su sector financiero sea competitivo en todo momento, lo que beneficiará a los ciudadanos”.

Los miembros del Grupo de Expertos son:
Type A – Individual expert appointed in his/her personal capacity

Name Nationality Professional Title Membership Status
Philipp Paech Germany Director Law and Financial Markets Project Member

Type B – Individual expert appointed as representative of a common interest

Name Nationality Professional Title Membership Status
Sofie Van de Velde Belgium Head of Legal support Member
Thomas Jantsch Germany Attorney-at-Law Member
Simon Maisey United Kingdom Managing Director and Global Head of Business Development Member

Type C – Organisation

Name of Organisation Category Countries/Areas represented Membership Status
AXA Banks/Financial Institutions
France
Member
BANCO BILBAO VIZCAYA ARGENTARIA (BBVA) Banks/Financial Institutions
Spain
Member
Barclays PLC Banks/Financial Institutions
United Kingdom
Member
Deutscher Sparkassen-und Giroverband (DSGV) Banks/Financial Institutions
Germany
Member
FinLeap GmbH Companies/Groups
Austria
Member
France Fintech Banks/Financial Institutions
France
Member
ING Group Banks/Financial Institutions
Netherlands
Member
London Stock Exchange Group (LSEG) Banks/Financial Institutions
United Kingdom
Member
Università Cattolica del Sacro Cuore (UCSC) Academia, Research Institute and Think Tanks
Italy
Member
University College Cork, National University of Ireland, Cork (UCC) Academia, Research Institute and Think Tanks
Ireland
Member

Type E – Other public entity

Name of Organisation Entity type Countries/Areas represented Membership Status
Committee on Payments and Market Infrastructures International/Intergovernmental Organisations
European
Observer
European Banking Authority EU Institutions/Bodies
European
Observer
European Central Bank EU Institutions/Bodies
European
Observer
European Insurance and Occupational Pensions Authority EU Institutions/Bodies
European
Observer
EUROPEAN SECURITIES & MARKETS AUTHORITY EU Institutions/Bodies
European
Observer

 

 

Jornada ‘Tecnologías Emergentes, ciberseguridad y Blockchain’ en el Senado


El pasado 24 de octubre de 2019 se celebró en el Senado la II Jornada Tecnológica sobre Tecnologías Emergentes, Ciberseguridad y Blockchain, que ha organizado la Fundación Big Data

Durante la jornada se ha hablado acerca de la estrategia en Blockchain tanto en España como en la Comunidad Europea y su relación con la Ciberseguridad con el fin de implantar de forma coherente y estructurada acciones de prevención, defensa, detección y respuesta frente a las ciberamenazas.

El acto se ha celebrado en la sala Manuel Giménez Abad y se ha transmitido en streaming desde la página web de la Cámara Alta.

El Secretario Segundo del Senado, D. Rafael Antonio Hernando Fraile, ha sido el encargado de la apertura de la jornada.

Han intervenido en el acto ponentes destacados de primer nivel:

  • Jaime Sánchez Revenga, Presidente Director de la Fábrica Nacional de Moneda y Timbre‐Real Casa de la Moneda (FNMT);
  • Javier González Marcos, Vice President Executive Partner, Gartner Executive Programs;
  • Fabio Chesini, Gartner Research Director Banking;
  • Ángel Laín Caba, Director de Sistemas de información FNMT;
  • Jesús Fernández, Teniente Coronel. Unidad de Ciberterrorismo de la Guardia Civil;
  • José Ángel Alonso López, Director TIC del Senado;
  • Miguel Ángel Amutio en representación de Fernando de Pablo Martín, Secretario General de Administración Digital;

La Fundación Big Data estuvo representada por su Vicepresidente, Fernando Martín Moreno y por su Presidente, Francisco Javier Antón Vique.

Francisco Javier Antón Vique, ha puesto de manifiesto la importancia de la formación en materias de tecnologías emergentes y ha destacado la contribución de la Fundación en la creación de casi 80 puestos de trabajo nuevos dirigidos al empleo juvenil. En su charla ha elaborado una radiografía acerca de cómo han evolucionado las compañías multinacionales durante los últimos años y cómo las compañías tecnológicas han desplazado a las empresas tradicionales de los primeros cinco puestos en cuanto a capitalización.

“La transformación digital ha dejado de ser una opción para convertirse en una obligación que puede venir dada por diferentes ramas: Big Data, BlockChain, IoT, Inteligencia Artificial, robótica o realidad aumentada. Esas son las tecnologías en torno a las que va a girar la estrategia del mundo empresarial durante los próximos años, por lo que su conocimiento y dominio deben pasar a ser una de las prioridades en cualquier corporación”, ha comentado Antón Vique.

El Presidente Director de la Fábrica Nacional de Moneda y Timbre‐Real Casa de la Moneda (FNMT), Jaime Sánchez Revenga, destacó que la FNMT sigue elaborando los productos tradicionales en papel que requieren autenticidad como las quinielas, loterías, etc. y, al mismo tiempo, se encuentra en la vanguardia de las tecnologías de identidad digital tanto de personas como de servidores y, de cara a las generaciones de jóvenes como los llamados millenials y generación Z, están trabajando en nuevos productos del futuro como el Blockchain.

Javier González Marcos, Vice President Executive Partner de Gartner Executive Programs,  destacó el cambio continuo en el que estamos inmersos y que uno de los retos más importantes es el de concienciar a los ejecutivos sobre la importancia de la ciberseguridad. Una disciplina que necesita “un millón y medio de profesionales”, que en ocasiones se deberán preparar a partir de una estrategia de “formación del personal interno de la organización”.

Un tema que hace reflexionar sobre las contradicciones del ser humano es el de la inteligencia artificial ya que, por un lado, ya la utilizamos para temas auxiliares como los mapas para deplazamientos y, por otro, la tememos ante la expectativa de que pueda acabar con ciertos
puestos de trabajo.

Las relaciones de confianza en la vida de las personas y su extrapolación al mundo del Blockchain han tratadas por Fabio Chesini, Gartner Research Director Banking, que ha reflexionado sobre como la aparición de Internet ha revolucionado el mundo de las relaciones personales. Comparando los modelos evolutivos de Internet que ha pasado de un modelo pseudoanárquico a ser regido por unas pocas grandes organizaciones ha extrapolado con referencia a anuncios recientes sobre el posible proceso de evolución de la gobernanza en Blockchain.

El Director de Sistemas de Información de la FNMT, Ángel Laín Caba, comentó el nuevo proyecto Blockchain que la FNMT está acometiendo para proporcionar futuros servicios a las Administraciones Públicas en consonancia con el proyecto europeo cuya red estará operativa con 6 nodos durante el mes noviembre de 2019 y que prevé su implantación a principios del año 2010. En este proyecto europeo que contempla todo el ciclo Blockchain se desarrolla el “Customer Journey” de una persona virtual denominada “Eva”, de nacionalidad belga, y que va a España a estudiar, lugar donde obtiene credenciales y crea una startup incluyendo las fases de constitución notarial y financiación.

La relación entre el Blockchain y la ciberseguridad en sus diversos aspectos como el hacktivismo, el ciberdelito, el ciberterrorismo, el ciberespionaje y la ciberguerra fueron los ejes de la intervención de Jesús Fernández, Teniente Coronel de la Unidad de Ciberterrorismo de la Guardia Civil, que puso énfasis en la necesidad de logra la concienciación de losciudadanos ante las amenazas a las infraestructuras críticas y los riesgos de desestabilizacion.

Miguel Ángel Amutio, Director de la División de Planificación y Coordinación de Ciberseguridad de la Secretaria General de Administración Digital comentó la importancia de las tecnologías emergentes para los ciudadanos. Destacó un reciente informe europeo que clasifica a España en las primeras posiciones en la adopción de la administración digital, y el despliegue de servicios pra los ciudadanos, si bien reconoción que queda margen de mejora, especialmente en competencias digitales, a nivel personal y como sociedad.

José Ángel Alonso López, Director TIC del Senado, realizó el resumen de la II Jornada Tecnológica, agradeciendo a los ponentes sus aportaciones.


La Fundación Big Data es una organización privada sin ánimo de lucro que tiene como misión fundamental impulsar la innovación tecnológica y contribuir al éxito de un modelo de crecimiento económico sostenible basado en el incremento de la competitividad y la productividad, la promoción de la igualdad social y regional, el diseño para todos y la mejora del bienestar y calidad de vida de los ciudadanos y las organizaciones de España e Hispanoamérica.

No es DLT: es RJT, o mejor, simplemente Blockchain


Ya he comentado en este blog que en contextos de Blockchain (y otros) no es recomendable realizar traducciones de términos usando los “falsos amigos de la traducción” sino que resulta preferible expresar los conceptos con los términos correctos en español.

Un caso de “falso amigo” es la palabra “constipation” que muchos traducirían por “constipado” pero que significa “estreñimiento”.

Otro caso es la “self sovereign identity” que yo traduzco por Identidad Juan Palomo. Una modalidad de gestión de identidades basada en Blockchain

Otro término generalizado que es incorrecto es DLT: “Distributed Ledger Technology”.

RJT-Replicated-Journal-Technology

Ni siquiera es correcta en inglés, como para pensar que pueda ser correcta en español.

El término “cadena de bloques” o “blockchain” es una metonimia del tipo “designación de la parte por el todo”, y por tanto una sinécdoque. Su extensión y amplitud de significado ha llevado a que se haya convertido en la antonomasia de varias tecnologías.

En efecto. Aunque la cadena de bloques es solo uno de los componentes de la tecnología (la parte que guarda información con ciertas medidas de seguridad) el término engloba también la función de aprobación de bloques para la construcción de la cadena, la función de creación de una cartera que conlleva la generación de una pareja de claves pública y privada para criptografía asimétrica (utilizada en la firma electrónica), la función de firma electrónica que se realiza en la cartera electrónica para transferir valor, la función de comprobación de firma que realizan los mineros para verificar las transacciones que pueden formar parte de un bloque, la verificación de saldos que se realiza para comprobar si una transacción transfiere cantidades menores que las que ha recibido previamente su remitente, la gestión de colas de transacciones, a la espera de confirmación, la replicación de bloques confirmados, la ejecución de condiciones asociadas a transacciones (scripts o smartcontracs),…

Por tanto, podemos aceptar blockchain como un concepto que engloba varias tecnologías.

Pero DLT (Distributed Ledger Technology) como sinónimo de Blockchain es un término incorrecto por varias razones:

  • Solo se referiría a usos de blockchain que registren valores contabilizables.
  • Ledger significa “libro mayor” lo que conlleva la estructuración de la información por sus cuenta contables. Aunque algunas blockchain permiten hacer “instantáneas” del estado de todas las cuentas en un momento dado, lo que en verdad se registra son las transacciones individuales incluidas en los bloques ordenados cronológicamente por orden de confirmación. Es decir, lo que se denomina “Libro Diario” en contabilidad. Por tanto el término correcto sería Journal.
  • La información de los bloques no está distribuida, sino replicada. Todas las cadenas tienen toda la información. Hay carteras gestionadas con parte de la información en servidores (precisamente para evitar tener que replicar toda la cadena de bloques) pero los sistemas que conservan la cadena de bloques, la tienen completa. No existe el concepto de base de datos distribuida en el que unos datos se guardan en unos sistemas y otros datos en otros sistemas.
  • Excluye conceptualmente otros elementos tecnológicos que sí se admiten como subsumidos en blockchain (criptografía de curva elíptica, firma electrónica,…)

Por tanto el término correcto para sustituir a DLT es RJT Replicated Journal Technology.

En este tipo de tecnologías lo que está distribuido o “descentralizado” es la potestad de confirmar bloques, algo que puede llevar a cabo cualquier nodo de confirmación, los nodos denominados “mineros”, que reciben un premio por resolver un acertijo de cálculo de valores resumen (hash) antes que los demás, lo que es un reto que se renueva con cada bloque confirmado para tratar de confirmar el siguiente.

Aunque el concepto de RJT es más correcto que el de DLT, todavía faltaría por dirimir si contiene en su significado el resto de componentes de la tecnología, que se entiende subsumidos en “Blockchain“.

Por cierto, en ocasiones se he matizado el significado de “Blockchain” como un sistema de creencias de cipherpunks, resistentes a la autoridad, y defensores del “Proof of Work” lo que justificaría un término diferente que para cuando la tecnología se use en contextos más dóciles y con algoritmos de aprobación de bloques variopintos. Si en algún momento eso fue así, en la actualidad el término ha superado a sus promotores iniciales y ya no es necesario usar otros términos para designar variantes.

John Cock-pigeon Identity – Blockchain


Las denominaciones de los sistemas y de las tecnologías deberían ser significativas para los usuarios.

Traigo el tema a colación de la denominación “Self Sovereign Identity” que suele traducirse como “identidad autosoberana” trasladando a un contexto jurídico continental principios de gestión de identidad que nos son ajenos y responden a necesidades de países que adoptan el derecho de la “Common Law”, tan diferente del nuestro. Es un tipo de propuesta, normalmente basada en infraestructuras de tipo Blockchain, que encuentra eco en nuestra sociedad.

En España, acreditar la identidad a distancia es sumamente sencillo, con el DNI electrónico, si bien, hay que reconocer que algo falla cuando el uso actual de esta posibilidad es tan escaso.

En países en los que no existe el DNI se opta por emitir un “carné de conducir de no conductores” que no deja de ser un documento de identidad expedido por el estado.

Pero en muchos contextos, uno acredita su identidad con lo que puede: contratos en los que se indica el nombre y apellidos y la otra parte los admite, facturas en las que figuran datos de identificación y de dirección de suministro (agua, gas, electricidad, teléfono fijo)…

En el fondo, no hay un buen sistema de gestión de identidad y se recurre a empresas como Experian y Equifax (o Dun & Bradstreet  en el caso de empresas) que recopilan datos de identidad y de comportamiento de pagos para refrendar la identidad alegada.

Que en esos contexto se propongan sistemas de tipo SSI (“Self Sovereign Identity”) o similares (caso de Sovrin o uPort) es una consecuencia lógica de la carencia que tratan de resolver.

Sin embargo, en nuestro contexto, la gestión de la identidad no tiene nada que ver con la soberanía (mucho menos a nivel individual) por lo que sistemas de base tan primitiva la podríamos llamar “Identidad Juan Palomo” (“yo me lo guiso, yo me lo como) y todo el mundo entendería la base de la propuesta: acreditamos un dato que nos pidan con algún “papel” que nos haya expedido un tercero tras cumplir ciertos requisitos (el carné del videoclub, una factura, un título universitario,…).

No es que en España no se use la “Identidad Juan Palomo”, lo que sucede es que la demostración más sencilla y eficaz de la identidad a secas la proporciona el DNI:

El DNI tiene suficiente valor, por sí solo, para acreditar la identidad y los datos personales de su titular que en él se consignen, así como la nacionalidad española del mismo. (RD 1553/2005)

Los servicios de Equifax y Experian siguen siendo útiles en la prevención del fraude (como ya expliqué en los artículos de “Documentos Perdidos/Sustraídos” y “Documentos Robados/Extraviados“) pero no se consideran una primera referencia para la gestión de identidad.

De modo que si nos llega a parecer que la denominación “John Cock-pigeon Identity” no es la mejor traducción del concepto para un angloparlante, quizá debamos cuestionar si la denominación “Identidad autosoberana” significa lo mismo en español.

Digital por diseño


Va llegando el momento de abandonar el término “transformación digital” que transmite la idea de que hay que cambiar los procesos de las organizaciones, conforme avanza la digitalización de la sociedad y la adopción masiva de las tecnologías de la información.

Con el estado actual de la tecnología y de la legislación, no tiene sentido diseñar procesos de información, contratación o mero trámite que no estén diseñados desde el principio pensando en el valor probatorio de los registros digitales administrados con ayuda de la criptografía.

En todo caso, cualquier concesión a procedimientos o actuaciones arcaicos debe ser en atención a la experiencia de usuario.

Uno de los aspectos claves del nuevo paradigma es la gestión de la identidad digital de las personas con las que se relacionan las entidades que debería tener en cuenta la posibilidad de acceso de personas de diversa procedencia y medios de identificación.

Las “piezas de lego” que facilitan la gestión digital por diseño de los procedimientos preservando la seguridad jurídica son componentes como las firmas electrónicas de persona, los sellos electrónicos de empresa, los sistemas de conservación digital de documentos electrónicos (incluso con códigos seguros de verificación) y evidencias electrónicas, los sellos de tiempo electrónicos, los sistemas de gestión de información de representación (de otras personas o de empresas) los sistemas que permiten comprobar la validez de las firmas y de los sellos, los que permiten gestionar mecanismos de identificación y de firmas y sellos “en la nube”, los que permiten realizar la digitalización certificada de documentos, los que permiten la identificación remota co y los que permiten acreditar las notificaciones electrónicas.

En la actualidad. el Reglamento (UE) Nº 910/2014, de 23 de julio, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior (eIDAS), ofrece una buena base para construir sistemas digitales con valor legal admisibles en todos los países miembros, sea cual sea el país de origen, de entre los europeos.

Un aspecto clave en la digitalización por diseño es que la experiencia de usuario debe ser una de las principales prioridades en el diseño de los procesos, para evitar repetir errores de usabilidad  que en el pasado no contribuyeron a poner en valor tecnologías como el DNI electrónico, que se expide desde 2006.

El despliegue de sistemas digitales de gestión debería preservar principios esenciales como el “soporte duradero” o la “simetría probatoria” (igualdad de armas) para que los usuarios de las plataformas cuenten con la misma posición respecto a la prueba digital que los promotores de las plataformas.

El conocimiento técnico y legal de estos principios de despliegue digital ayudará a las entidades a diseñar sistemas digitales eficientes, sencillos y con valor probatorio por lo que es útil contar con especialistas a los que consultar.

Los sistemas de gestión de identidad disponibles ya contemplan la interoperabilidad entre países con “nodos eIDAS” como el español que se instancia a través del sistema “Cl@ve“.

 

Smart Degrees y los eTítulos


SmartDegrees es una plataforma española que facilita la gestión digital de títulos y certificados académicos, y que utiliza como mecanismo de gestión de evidencias electrónicas el registro en blockchain.

Entre otros aspectos, cuenta con Apps para móvil (Android e iOS) y se integra fácilmente con LinkedIn y en otras plataformas de búsqueda de empleo.

De momento, la Universidad Carlos III ya ofrece conexión con SmartDegrees y otras universidades se irán añadiendo en el futuro.

SmartDegrees utiliza la blockchain Quorum, para la anotación de evidencias electrónicas relacionadas con la expedición de títulos.

Quorum™ es una implementación de código abierto de la Blockchain de Ethereum, desarrollada por JP Morgan Chase que mejora aspectos como la velocidad en la gestión de transacciones. La red Ethereum se caracteriza por dar soporte a SmartContracts (contratos inteligentes) más sofisticados que los disponibles en la red Bitcoin, para los que se utiliza el lenguaje Solidity, similar al JavaScript.

Esta iniciativa se suma a la desarrollada por Ibermática y las tres universidades de CEU en Madrid, Valencia y Barcelona y que mencioné en el artículo sobre Gestión de eTítulos universitarios mediante Blockchain

La normativa más importante sobre los requisitos de expedición de títulos universitarios oficiales es el Real Decreto 1002/2010, de 5 de agosto, sobre expedición de títulos universitarios oficiales.

Su artículo 16 trata sobre el Soporte documental o físico y requisitos y dice lo siguiente:

  1. La cartulina soporte de los títulos, de idéntico tamaño para todos ellos, será de material especial con determinadas claves de autenticidad, normalizado en formato UNE A-3, de acuerdo con las prescripciones técnicas y de seguridad determinadas en el Anexo XI. Por Resolución del Director General de Política Universitaria se determinarán las condiciones de suministro de dichas cartulinas a las universidades.
  2. Las cartulinas llevarán incorporado el Escudo Nacional en el ángulo superior izquierdo. Estarán numeradas mediante serie alfanumérica, cuyo control corresponderá a las unidades responsables del proceso de expedición de los títulos.
  3. Las universidades adoptarán, para los títulos que expidan, los atributos, colores, orlas y demás grafismos que estimen convenientes, sin más limitaciones que las establecidas en este real decreto. Asimismo, podrán incorporar a los títulos que expidan su propio escudo u otros, nunca en mayor tamaño que el Escudo Nacional.
  4. Los títulos llevarán impreso todo su texto, así como la firma del rector o rectores de las universidades correspondientes. No se permitirá la incorporación de inscripción alguna no impresa, salvo la firma del interesado y la del responsable de la unidad de títulos oficiales de la universidad.
  5. Cada universidad, previamente a su entrega al interesado, efectuará en el título una estampación en seco de su sello oficial, igual para todos los títulos que expida. Remitirá muestra de dicho motivo a la Subdirección General de Títulos y Reconocimiento de Cualificaciones de este Departamento, a efectos de conocimiento y control de autenticidad.

Es interesante que aunque este artículo parece dar a entender que los título se tienen que expedir en soporte papel, en realidad no es así, ya que la normativa administrativa (Ley 39/2015) permite realizar copias auténticas en soporte papel.

La primera copia auténtica en papel sería la que requeriría dar cumplimiento a los indicados requisitos, mientras que el documento original expedido por la universidad sería el electrónico, y sería posible crear copias auténticas en papel adicionales a la primera, que sería la única dotada de solemnidades especiales.

En concreto, el artículo 27 indica

(…)

2. Tendrán la consideración de copia auténtica de un documento público administrativo o privado las realizadas, cualquiera que sea su soporte, por los órganos competentes de las Administraciones Públicas en las que quede garantizada la identidad del órgano que ha realizado la copia y su contenido.

Las copias auténticas tendrán la misma validez y eficacia que los documentos originales.

(…)

c) Las copias en soporte papel de documentos electrónicos requerirán que en las mismas figure la condición de copia y contendrán un código generado electrónicamente u otro sistema de verificación, que permitirá contrastar la autenticidad de la copia mediante el acceso a los archivos electrónicos del órgano u Organismo público emisor.

En el caso de las universidades privadas, su procedimiento es similar, pero basado en el Reglamento europeo UE 910/2014 (EIDAS) que en su artículo 46 indica:

No se denegarán efectos jurídicos ni admisibilidad como prueba en procedimientos judiciales a un documento electrónico por el mero hecho de estar en formato electrónico.

 

 

Gestión de eTítulos universitarios mediante Blockchain


Se ha llevado a cabo en España un uso pionero de blockchain para la gestión inter-universitaria de títulos, desarrollada por Ibermática y las tres universidades de CEU en Madrid, Valencia y Barcelona, asociadas a @Alastria Blockchain Ecosystem. Surge de un planteamiento de transformación digital desde el laboratorio universitario Blockchain & DLT Lab CEU.

Aunque la acreditación curricular de las titulaciones oficiales se basa en la posesión física de un documento en soporte cartáceo al que se le deben incorporar medidas de seguridad para evitar la falsificación, debido a los requisitos formales definidos en el Real Decreto 1002/2010, de 5 de agosto, sobre expedición de títulos universitarios oficiales, el desarrollo de la normativa orientada a la digitalización de las administraciones públicas abre otras opciones a la gestión de su autenticidad.

Los sistemas probatorios digitales como la firma electrónica o los códigos seguros de verificación facilitan la creación de documentos electrónicos con consideración de original, aunque se facilite su transcripción a documentos en soporte papel como medio de presentación en contextos desconectados.

En los sistemas de tipo blockchain se combinan habitualmente técnicas de firma electrónica junto con otras de preservación digital, lo que permite usarlos en contextos diferentes a la gestión de ciberdivisas.

Las entidades citadas han puesto en funcionamiento el primer sistema interuniversitario de gestión, acreditación y reconocimiento de titulaciones universitarias mediante la tecnología Blockchain, destinado a dar soporte a la autenticidad de los títulos por vía electrónica.

La posibilidad de falsificar títulos, los complejos procedimientos probatorios para demostrar la formación recibida en el acceso a Másteres oficiales y a Doctorado (tanto para los grados oficiales como para cualquier otra formación complementaria), los potenciales casos de fraude, y el creciente interés por los denominados Grados Abiertos, plantean retos para cuya resolución pueden utilizarse mecanismos digitales.

Entre ellos, cabe destacar las potenciales ventajas de las tecnologías DLT (Distributed Ledger Technologies) o RJT (Replicated Journal Technologies) entre las que se encuentra la conocida como blockchain.

Tras analizar los retos y las posibles soluciones, Ibermática y el Grupo de Universidades CEU, ambos miembros de ALASTRIA -la red nacional de Blockchain-, han trabajado en el desarrollo de un sistema sobre la plataforma chainTalent junto con el Blockchain & DLT Lab de la Universidad CEU San Pablo, dirigido por José Luis Roig y Ricardo Palomo.

Este innovador sistema de gestión de titulaciones permitirá que los estudiantes añadan, de forma complementaria a su acreditación formativa convencional, un registro distribuido que aporta verificabilidad inmediata y que se integra en su identidad digital, salvaguardando los requerimientos de la normativa de protección de datos.

La aplicación de este sistema de gestión universitaria es ampliable a muchos procesos administrativos de su entorno. Es destacable su potencial en el contexto del Espacio Europeo de Educación Superior y de la movilidad internacional de los estudiantes, por lo que esta primera aplicación supone un paso decisivo en el establecimiento de los criterios estandarizados para el intercambio de datos académicos, no sólo entre universidades, sino también con empresas e instituciones. El sistema, bajo el estándar openbadges, permite incluir también la acreditación de competencias y habilidades formativas, así como formación extracurricular o prácticas.

UNIA-eTitulo-BlockchainEn este sentido, tanto ALASTRIA como la Conferencia de Rectores Universitarios de España CRUE (igualmente miembro de ALASTRIA) han organizado en los meses anteriores diversos encuentros universitarios para avanzar en este campo.

Pablo Carretero, director de Estrategia Blockchain de Ibermática, considera que “el gran reto de chainTalent es convertirse en una plataforma para el tratamiento y gestión del talento de las personas, poner en valor la información curricular como un activo de gran importancia en el presente y futuro de las personas”. “En este camino por recorrer, es primordial para Ibermática la creación de un ecosistema, no sólo de instituciones académicas, sino también de cualquier compañía pública y privada que sume en la identidad de un individuo”, explica.

Ricardo Palomo es Catedrático de la Universidad CEU San Pablo, vicepresidente de la Fundación para la Innovación Financiera y la Economía Digital (FIFED) y miembro de la Comisión de Investigación y Transformación Tecnológica (ITT) de Alastria. A su juicio, “la certificación mediante blockchain supone la irrupción de una verdadera transformación digital del S. XXI en la gestión universitaria, que va más allá de su vertiente administrativa, pues aporta a los estudiantes la inmediatez y garantía de veracidad que demandan las empresas; y permite incluir no sólo calificaciones y títulos, sino también las competencias y capacidades que adquieren en su proceso de formación universitaria y postuniversitaria. Por otra parte, el paso de los estudiantes por la universidad es un buen momento para arrancar con el uso de su primera identidad digital sobre la que blockchain añadirá capas de valor y de utilidad”.

Con el nacimiento de chainTalent, los alumnos de CEU y de todas aquellas universidades que se unan a este ecosistema podrán participar en los procesos de selección de profesionales con la garantía de estar compartiendo su información curricular en un entorno fiable y transparente. Los usuarios de chainTalent podrán compartir sus titulaciones en otras redes sociales del ámbito profesional referenciando el link que la aplicación les proporciona para su validación. En este sentido, desde Ibermática y el CEU ya trabajan conjuntamente para conseguir la regulación y legitimidad de los títulos, tanto públicos como privados, en plataforma blockchain.

VI Curso experto legal en blockchain, smart contracts e ICOS


Los próximos días 28, 29 y 30 de noviembre de 2018 el Instituto Jurídico de Blockchain organiza un curso de ‘Experto legal en Blockchain, Smart Contracts e ICOS, que se celebrará en la sede del Consejo General de la Abogacía (Paseo de Recoletos, 13. Madrid). 

El curso está dirigido a abogados y profesionales del Derecho, miembros de la Administración Pública, académicos y docentes y empresas que estén valorando el lanzamiento de un proyecto de blockchain y se divide en cinco módulos.

  • ‘Tecnología blockchain, bitcoin, ethereum y principales retos jurídicos’,
  • ‘Identidad digital’,
  • Smart Contracts’,
  • ‘ICOS’ y
  • ‘Tokenización de activos. Aspectos jurídicos’.

La formación teórica se completará con distintas actividades prácticas, como la exploración de transacciones en una blockchain o la programación de un Smart Contract en Solidity.

Yo impartiré el módulo de Identidad Digital.

He mencionado en otras ocasiones alguna de las ediciones anteriores.

Vulnerabilidades de entornos Blockchain


Aunque los entornos Blockchain gozan de mecanismos  de “seguridad por diseño” para algunas funcionalidades, son un queso de gruyere para otras, especialmente cuando los usuarios no conocen bien cuales son sus responsabilidades en el mantenimiento de prácticas de uso seguras.

Uno de los aspectos críticos es la protección de la clave privada de la “cartera” o del mecanismos para solicitar transacciones al sistema, que se basa en criptografía de clave pública, pero con mecanismos mucho más primitivos que los que se usan en los contextos de “firma electrónica cualificada”.

Eso sin contar con que en muchos proyectos se introducen vulnerabilidades por defectos en la implementación.

Bitcoin y Ethereum, por ejemplo, han experimentado importantes episodios de explotación de vulnerabilidades que han tenido cierto eco y que han revelado debilidades inherentes de seguridad de blockchain que deben ser entendidas.

Los mecanismos de incorporación de código fuente a Github crean un vector de ataque que se puede abrir intencionadamente o por descuido cuando se hace necesario añadir una funcionalidad o corregir un error. Aunque hay muchos ojos comprobando que el software “está limpio”, también hay otros que identifican vulnerabilidades y no las comunican a la comunidad pensando en explotarlas más adelante.

Cada nuevo proyecto puede reaprovechar trabajos ya realizados y añadir nuevas funcionalidades pero la complejidad crece tan deprisa que es muy difícil cubrir todos los flancos, y, a veces se producen errores de regresión porque vuelven a aparecer vulnerabilidades identificada que ya se parchearon en ocasiones anteriores. No puede darse por sentado que las funcionales del punto de partida ya eran seguras en todos sus aspectos.

Aspectos de implementación como carteras autónomas (con copia propia de la cadena de bloques y protección de claves privadas) o servicios de cartera en web (delegando a un servidor remoto el almacenamiento de la copia propia de la cadena de bloques o de la clave privada) presentan retos diferentes sobre la forma de gestionar la seguridad y su implementación y administración deberían ser revisadas.

Estos son solo algunos de los problemas que una empresa debe considerar para garantizar la seguridad de blockchain. Existen grandes diferencias de funcionamiento entre las implementaciones, no solo en los detalles de la tecnología, sino también en el entorno de seguridad general de la empresa de la organización. Estas preocupaciones deben ser consideradas cuidadosamente.

 

Auditoría de Smart Contracts y Oráculos


Los contratos inteligentes (Smart Contracts) pueden integrarse en un proyecto con blockchain y tecnologías conexas para automatizar  procesos de negocios.

Smart-contracts.gif

Las partes contratantes que prevén el uso de un smart contract pueden contratar a un auditor especializado que se cerciore de que los contratos inteligentes se implementan con la lógica comercial correcta.

Además, el auditor puede cerciorarse de que la interfaz entre los contratos inteligentes y las fuentes de datos externas que desencadenan eventos comerciales (los oráculos) están apropiadamente diseñadas e implementadas.

Sin una evaluación independiente, los usuarios de tecnologías blockchain y conexas (carteras, sistemas de firma electrónica, …)  se arriesgan a que diferentes tipos de errores o vulnerabilidades se pasen por alto.

Soluciones tradicionales como mecanismos de pruebas previas de integración, pases a producción controlados y check lists exhaustivos (listas de comprobación tan completas como puedan desarrollarse para cada proyecto) minimizan los fallos que pueden llegar a arruinar importantes proyectos empresariales.

Un auditor de blockchain y tecnologías conexas requiere habilidades específicas entre las que se incluye el conocimiento de la criptografía y de las técnicas de firma electrónica, cierta competencia relativa a lenguajes de programación (especialmente los utilizados en los smartcontracts), conocimientos sobre el código fuente  de las funciones de la tecnología blockchain adoptada, incluyendo el manejo de repositorios de Github y una adecuada recopilación de incidentes de seguridad ya identificados junto con sus causas y mecanismos de resolución.

Aunque una auditoría de proyectos blockchain no garantiza que no pueda aparecer algún problema nuevo, al menos es una forma de minimizar el riesgo de repetir problemas ya conocidos.

Por otro lado, los smart contracts a veces se reutilizan por entidades diferentes a las que los desarrollaron inicialmente. Incluso es posible que la implementación inicial del smart contract esté auditada. Así y todo, para reutilizar un smart contract hay asegurarse de que se entiende bien y que se programa adecuadamente la parte de personalización, ya que no es posible (en general) exigir ninguna responsabilidad a quien ofreció la muestra de referencia de smart contract.

En todo caso, los proyectos serios de Blockchain deberían considerar la realización de auditorías por equipos de auditores que no hayan participado en el proyecto, para evitar sesgos derivados de la involucración de los desarrolladores o de su  esquema mental de presunciones , para no dar por sobreentendido ningún riesgo ni la gestión de su tratamiento.