Archivo de la categoría: Seguridad

Composición de los Grupos de Trabajo del Observatorio y Foro Blockchain de la Unión Europea


El Observatorio y Foro Blockchain de la Unión Europea nombra a los miembros de los Grupos de Trabajo centrales y anuncia su primer taller europeo de blockchain

logo-blockchain-observatory

El European Blockchain Observatory and Forum, lanzado en febrero de 2018, es una iniciativa europea para acelerar la innovación en tecnologías y servicios asociados a blockchain y para impulsar el ecosistema blockchain dentro de la UE y así ayudar a consolidar la posición de Europa como líder mundial en esta tecnología de moda.

El pasado 18 de mayo de 2018, el Observatorio y el Foro han comunicado los avances producidos en varias de sus iniciativas. Uno de ellos es la formación de dos grupos de trabajo que explorarán temas críticos en blockchain en Europa, así como el anuncio de su primer taller europeo de blockchain.

Grupos de trabajo

Los grupos de trabajo del Observatorio y del Foro identificarán e investigarán las iniciativas blockchain existentes dentro de la UE y en otros países, supervisarán y debatirán sobre desarrollos y desafíos técnicos, observarán las condiciones legales y normativas para ofrecer más seguridad jurídica, buscarán extraer lecciones y definirán áreas de acción potenciales a nivel europeo.

  • El Grupo de trabajo sobre políticas y condiciones marco de Blockchain (Blockchain Policy and Framework Conditions Working Group) examinará cuestiones tecnológicas horizontales e intersectoriales para definir las políticas, las condiciones legales y normativas necesarias para promover la previsibilidad legal y reglamentaria necesaria para la implementación a gran escala de las aplicaciones blockchain. Este análisis considerará temas que van desde contratos inteligentes y protección de datos personales hasta el reconocimiento legal de blockchains y economía de fichas de valor( (tokens). El Grupo de Trabajo también examinará cuestiones relacionadas con la tecnología y el desarrollo de los ecosistemas, incluida la interoperabilidad, la escalabilidad, la sostenibilidad, la ciberseguridad y la eficiencia energética.
  • El Grupo de Trabajo de Casos de Uso y Escenarios de Transición (Use Cases and Transition Scenarios Working Group) se enfocará en los casos de uso de las tecnologías de cadena de bloques más prometedores con énfasis en aplicaciones del sector público tales como servicios de gestión de identidad y de administración electrónica, salud, energía y trazabilidad ambiental. El Grupo de Trabajo también explorará casos de uso en otros sectores, tales como el de Fintech y servicios financieros, el de cadena de suministro, el de industrias creativas o el que abarca las actividades sin fines de lucro, y considerará escenarios de transición, por ejemplo, la integración y la convivencia con sistemas de tecnologías preexistentes.

Cada grupo de trabajo consta de 30 miembros elegidos entre más de 350 solicitudes recibidas por el Observatorio y el Foro durante la convocatoria abierta que tuvo lugar entre el 15 de marzo y el 9 de abril de 2018. El proceso de selección se centró en la experiencia y la experiencia.

La lista final, disponible más abajo, está formada por líderes del mundo empresarial, empresarios de blockchain, investigadores y autoridades públicas, que representan a 28 países. Las industrias representadas incluyen las tecnológicas, las de servicios financieros, el mundo académico, así como los ámbitos legal, de la energía, los medios de comunicación y las telecomunicaciones.

Tema inaugural: innovación de Blockchain en Europa

El Observatorio y Foro de Blockchain de la UE también tiene la tarea de llevar a cabo análisis e informes sobre una amplia gama de temas relativos a blockchain basados ​​en las aportaciones de sus Grupos de Trabajo y de otros posibles interesados.

En su tema inaugural, “La innovación de Blockchain en Europa” (“Blockchain innovation in Europe”), el Observatorio y el Foro examinan el estado actual del desarrollo blockchain en la UE a través de investigaciones originales y entrevistas con profesionales, académicos y otros expertos, catalogando las fortalezas de Europa yasí como los desafíos en el reto de desarrollar un ecosistema de blockchain efervescente y acelerar la adopción de la tecnología.

Este será el tema del primer taller del Observatorio y del Foro, que se celebrará en Viena el 22 de mayo de 2018. Uniendo a los miembros del Grupo de Trabajo con potenciales interesados, el taller inclirá un debate en profundidad sobre el tema. También dará a conocer el primer documento temático del Observatorio y Foro, que se publicará unas semanas después del evento.

Los resúmenes de video y los informes estarán disponibles después del evento.

Foro en línea

El Observatorio y Foro Blockchain de la UE también tiene como objetivo el de crear un foro atractivo en el que todos los interesados ​​en blockchain de Europa, desde líderes y emprendedores hasta los usuarios tempranos y el público en general, puedan compartir experiencias, y debatir y reflexionar sobre el futuro de esta tecnología.

El foro de discusión pública en línea ya está funcionando en la URL  eublockchain.mobilize.io y accesible para todos los interesados.

Junto con el Taller del 22 de mayo de 2018, el Observatorio y Foro también lanzarán una versión actualizada de su sitio web eublockchainforum.eu.

Este sitio web incluirá el lanzamiento de la versión inicial, “génesis” del Mapa Blockchain de la Unión Europea con las aportaciones y la participación de la comunidad.  El mapa mostrará de forma visualmente atractiva la actividad desarrollada en Europa en torno al las tecnologías de cadena de bloques.

Lista de miembros de los grupos de trabajo

“Blockchain Policy and Framework Conditions” 

  • Anastasios Antoniou (Antoniou McCollum & Co, Partner)
  • Dr. Roman Beck (European Blockchain Center, Professor)
  • Dr. Stefan Beyer (S2 Grupo, Head of R&D)
  • Jamie Burke (Outlier Ventures, Founder & CEO)
  • Cristina Cobos (Legal Counsel & Professor at IE Business school )
  • Savino Damico (Intesa Sanpaolo, Head of Fintech Ecosystem Monitoring)
  • Dr. Primavera De Filippi (Permanent research at CERSA/CNRS; Faculty Associate at the Berkman-Klein Center at Harvard)
  • Julio Faura (Banco Santander, Head of Blockchain)
  • Nadia Filali (Caisse des Dépôts, Head of blockchain)
  • Dr. Michèle Finck (Senior Research Fellow – Max Planck Institute for Innovation and Competition and Lecturer in EU Law, Keble College, University of Oxford)
  • Janis Graubins (Notakey, Co-Founder)
  • Dr. Dominique Guegan (University Pantheon-Sorbonne, Professor)
  • Marta Ienco (GSMA, Head of Government & Regulatory Affairs, Identity)
  • Luukas Ilves (Lisbon Council, Deputy Director and Senior Fellow)
  • Christoph Jentzsch (Slock.it, Founder)
  • Dr.hab Iwona Karasek (Jagiellonian University, Associate Professor of Law)
  • Ad Kroft (Dutch Blockchain Coalition, Program manager)
  • Arnaud Le Hors (IBM, Senior Technical Staff Member)
  • Leila Nassiri Jamet (Government Blockchain Association, VP Europe)
  • Marina Niforos (Visiting Faculty HEC, Blockchain Advisor to IFC/WBG)
  • Nejc Novak (Novak Law, Founder)
  • Isabella Porchia (Latham & Watkins, Counsel)
  • Dr. Andrea Renda (CEPS, Senior Research Fellow)
  • Dr. Philipp Sandner (Frankfurt School of Finance and Management, Head of Blockchain Center)
  • Javier Sebastián (BBVA research, Principal Economist Digital Regulation and Trends)
  • Dr. Nina-Luisa Siedler (DWF, Partner)
  • Ivona Skultetyova (Tilburg University, Lecturer/Researcher)
  • Thibault Verbiest (DS Avocats, Partner)
  • Gilbert Verdian (Quant Network AG, CEO)
  • Jean-Luc Verhelst (Author of Bitcoin, the Blockchain and Beyond)

“Use Cases and Transition Scenarios” 

  • Andrius Adamonis (Bank of Lithuania, Blockchain Project Manager )
  • Irina Albita (FilmChain, Co-founder)
  • Nicolas Bacca (Ledger, CTO)
  • Anja Bedford (Deutsche Bank, GTB Head of Blockchain)
  • Diana Biggs (HSBC, Head of Digital innovation)
  • Oliver Bussmann (Crypto Valley Association, President)
  • Tamás Chlepkó (Tax & Customs Administration of Hungary, Senior Project Manager)
  • Daniel Du Seuil (Flemish Government, Program manager)
  • Goncalo Fernandes (Emirates Integrated Telecommunications, Head of IoT and Blockchain)
  • Dr. Alexander Grech (Commonwealth Centre for Connected Learning, Director)
  • Bo Hembæk Svensson (Blockchain Advisor)
  • Dr. Julian Hosp (TenX, Co-founder & President)
  • Dr. Stefan Junestrand (Grupo Tecma Red, CEO)
  • Clément Lesaege (Kleros, CTO)
  • Manuel Machado (Worldline, Global Blockchain Solutions Manager)
  • Johan Mastenbroek (Ledger Leopard BV, Advisor)
  • Dr. Julie Maupin (IOTA Foundation, Director of Social Impact & Public Regulatory Affairs)
  • Martin Pospěch (Smart Contract Labs, Founder)
  • Simone Ravaioli (Digitary, Business Development Executive)
  • Sandra Ro (UWINCorp, Co-founder)
  • Dr. Plamen Russev (Webit.Foundation, Founder & Executive Chairman)
  • Ville Sointu (Nordea Bank, Head of DLT and Blockchain)
  • David Suomalainen (Land Registry Sweden, Legal advisor)
  • Jolanda Ter Maten (TerMaten Business Consultancy, Blockchain Trainer & Consultant)
  • Dr. Hitesh Tewari (Trinity College Dublin, Assistant Professor)
  • Nikica Tomasic (CRIB Consulting, CEO & Co-Founder)
  • Marcello Topa (Citi, Director, EMEA Market Policy & Strategy)
  • Dr. Konstantinos Votis (Centre for Research and Technology Hellas/Information Technologies Institute, Senior Researcher)
  • John Whelan (Santander, Blockchain Lab Director)
  • Vlad Zamfir (Ethereum, Researcher and Blockchain Architect)

Se espera que los colaboradores del Grupo de trabajo:

  • Contribuyan a la investigación del Observatorio y el Foro con análisis expertos y puntos de vista
  • Contribuyan al Mapa de iniciativas Blockchain europeo con casos de estudio
  • Participen en talleres temáticos seleccionados, que tendrán lugar en toda Europa
  • Revisen, comenten y enriquezcan los informes temáticos que entregará el Observatorio y Foro durante 2018 y 2019.
  • Interactúen con el Observatorio y Foro de forma continua, haciendo uso de su plataforma en línea

Los Grupos de Trabajo recibirán soporte por ConsenSys y otros contratistas del Observatorio y Foro. Los participantes no perciben remuneración.

Además de las actividades de los Grupos de Trabajo, el Observatorio y Foro de Blockchain de la UE colaborará con una amplia gama de partes interesadas, entre las que cabe mencionar agencias gubernamentales, socios académicos, asociaciones nacionales y expertos de Blockchain en todos los temas relevantes.

Este artículo se ha inspirado en “EU Blockchain Observatory and Forum names members to core Working Groups

Más pasos hacia el reconocimiento mutuo de los esquemas de identificación electrónica en Europa


En los últimos meses se observa un progreso notable hacia el reconocimiento mutuo de los esquemas de identificación electrónica en toda la Unión Europea. Cuatro países han realizado la notificación previa de sus esquemas de identificación electrónica: España, Luxemburgo, Estonia y Croacia, tras la la notificación previa de Italia en noviembre de 2017.

La notificación previa es el primero de tres pasos introducidos por el Reglamento (UE) n.º 910/2014 (EIDAS) sobre identificación electrónica y servicios de confianza para transacciones electrónicas en el mercado interno con el objetivo de generar confianza entre los Estados miembros y garantizar la interoperabilidad y la seguridad de los esquemas de identificación electrónica notificados.

Seis meses antes de la fecha en la que se pretende realizar la  notificación, los Estados miembros comparten información relacionada con sus esquemas de identificación electrónica, que incluyen: una descripción de la solución, información sobre el proveedor de identidad y el nivel estimado de aseguramiento de identidad, explicación sobre el régimen de responsabilidad atribuible a las autoridades en los potenciales incidentes, descripción del procedimiento para obtener y revocar una identificación electrónica y una descripción del proceso de autenticación en línea.

La información compartida por los Estados miembros contribuirá al proceso de revisión inter pares, permitiendo que el esquema de identificación electrónica se evalúe según los requisitos de calidad y seguridad establecidos por el Reglamento eIDAS.

El 20 de febrero de 2018, España realizó la notificación previa de su tarjeta de identificación electrónica para ciudadanos (DNI Electrónico) que presenta, en su última versión (3.0), un nuevo sistema operativo y un chip de doble interfaz. Esto permite que se realice la firma electrónica con dispositivo seguro de creación de firma (el chip) tanto usando un lector de tarjeta chip (mediante los contactos del chip) como mediante lectores NFC (por ejemplo los incluidos en los teléfonos móviles) en modo sin contacto. El DNIe es obligatorio para todos los ciudadanos españoles mayores de 14 años que residan en el país. La aceptación del e-DNI como medio de identificación es obligatoria para todos los servicios públicos electrónicos en España, ya sean nacionales, regionales y autonómicos o locales y también se puede utilizar para acceder a servicios privados en línea tales como operadores bancarios, de telecomunicaciones, etc.

eId1-anverso_DNI-e

El 26 de febrero de 2018, Luxemburgo realizó la notificación previa de su tarjeta de identificación electrónica para ciudadanos de Luxemburgo, que consiste en una tarjeta inteligente sin contacto. La tarjeta de identificación de Luxemburgo es obligatoria para todos los ciudadanos luxemburgueses mayores de 15 años que residan en el país. La activación de los certificados en la tarjeta de identificación nacional debe solicitarse específicamente cuando se obtenga. Los ciudadanos pueden usar este medio de identificación como una forma de acceder a los servicios en línea públicos y privados en Luxemburgo.

eId2-CNI_reference

El 27 de febrero de 2018, Estonia realizó la notificación previa de seis tipos de identificación electrónica estonia: la tarjeta de identificación, la tarjeta RP, la tarjeta de identidad diplomática, Digi-ID, e-Residency Digi-ID y Mobiil-ID. Los primeros tres medios son tanto documentos de identificación física como identidades digitales, mientras que los tres últimos son solo para identificación en línea. La tarjeta de identificación nacional es obligatoria para estonios mayores de 15 años. La identificación móvil es voluntaria, pero solo puede ser activada por los propietarios de una tarjeta nacional de dentificación electrónica. La solución móvil ha sido muy bien recibida por los ciudadanos, con una tasa de 12,2% de votantes que usan Mobile-ID.

eId3-Estonian_identity_card,_2007

El 28 de febrero de 2018, Croacia realizó la notificación previa de de su esquema de identificación electrónica, el Sistema Nacional de Identificación y Autenticación (NIAS,  National Identification and Authentication System) utilizando como identificación el documento de identidad personal croata (eOI). Los datos de identificación personal se imprimen en la tarjeta y se almacenan electrónicamente en el chip. El NIAS es parte del sistema de información del estado llamado e-Citizens que incluye el sistema del Portal del Gobierno Central (Gov.hr) que reúne todos los servicios públicos disponibles y el sistema de Carpeta de Usuario Personal (OKP).

eid4-Osobna_iskaznica_2015_-_prednja_strana

Por tanto, cinco países (si se incluye Italia) han iniciado recientemente un proceso de revisión por pares de tres meses, realizado de forma voluntaria por los Estados miembros que participan en la Red de Cooperación, al que seguirá la notificación formal. Se espera que en total seis esquemas de identificación electrónica (contando con la notificación de Alemania en septiembre de 2017) quedarán notificados en el marco del reglamento eIDAS antes del 29 de septiembre de 2018.

A partir de esta fecha,  todos los Estados miembros de la UE deberán reconocer los Sistemas de Identificación Electrónica (eID) notificados de otros Estados miembros para permitir el acceso al público de servicios en línea gubernamentales (administración electrónica) que ya admitan mecanismos de  identificación electrónica desplegados por el propio país.

Este artículo está basado en el publicado por la Unión Europea: Progress made towards mutual recognition of eID schemes in Europe

 

Políticas marco de firma electrónica


El 2 de diciembre de 2015, el Comité Técnico Estatal de la Administración Judicial Electrónica (CTEAJE) aprobó la Guía de Interoperabilidad y Seguridad (GIS) de Autenticación, Certificados y Firma Electrónica en la Administración de Justicia en España, que constituye de facto la “Política Marco de Firma Electrónica para la Administración de Justicia”.

El objeto de esta norma es servir como guía en lo relativo a la gestión de firmas electrónicas en el ámbito de la justicia, así como tomar en consideración los conceptos conexos de autenticidad de documentos electrónicos y uso de certificados en el marco de la identificación y autenticación de intervinientes cuando no se precise el uso de firma electrónica.

Es de aplicación a la Administración de Justicia, a los ciudadanos en sus relaciones con ella y a los profesionales que actúen en su ámbito, así como a las relaciones entre aquélla y el resto de Administraciones y organismos públicos.

La administración de Justicia es la estructura de la administración específica para el Poder Judicial, que es un poder diferente al Ejecutivo y lo es también la infraestructura administrativa que le da soporte.

En el ámbito de la Administración Pública, la Administración General del Estado ha desarrollado diversa normativa destinada  favorecer la digitalización de su funcionamiento. En su momento, uno de los hitos principales de ese proceso de digitalización lo constituyó la publicación de la Ley 11/2007 que suplementaba lo dispuesto en la Ley 30/1992. En el año 2015 se publicaron las leyes siamesas Ley 39/2015 y Ley 40/2015 (subsumiendo las dos leyes citadas), un año después de la publicación del Reglamento europeo UE 910/2014 (EIDAS) y teniendo ya en cuenta bastantes de los aspectos de la norma europea.

Por su lado, en la Administración de Justicia se ha desarrollado la Ley 18/2011 a semejanza de la Ley 11/2007 y se han modificado las leyes procesales, con cambios significativos en 2015.

AGE-AJU

En el ámbito de la AGE, dentro del Esquema nacional de Interoperabilidad  se ha desarrollado una política marco de firma electrónica que ha consolidado la experiencia de  las versiones 1.8 y 1.9. La actual, Política 2.0 se publicó en el BOE de 2 de noviembre de 2016.

En su contexto es muy importante una norma complementaria que ayuda a uniformizar la interoperabilidad de los certificados en España.

En el ámbito de la AJU, dentro de las Bases del Esquema Judicial de Interoperabilidad y Seguridad  se ha desarrollado la política marco de firma electrónica del CTEAJE citada al inicio:

Con sus similitudes y sus diferencias, ambas Políticas son referentes de sus respectivas administraciones.

DigiCert adquiere a Symantec su negocio de seguridad de sitios web y PKI


La operación está valorada en 950 millones de dólares y supone además la toma de una participación de Symantec en Digicert que poseerá el 30% de esta última .

La linea de negocio Website Security de Symantec ha pasado a manos de DigiCert junto soluciones PKI relacionadas.

El CEO de Symantec, Greg Clark y el de DigiCert, John Merrill, manifestaron las ventajas y oportunidades que supone la operación para las empresas en sí y para sus clientes.

Digicert se convierte con esta operación en el principal proveedor mundial de certificados SSL para sitios web y uno de los mayores especialista en gestión de identidad y servicios electrónicos de confianza.

Segunda directiva de servicios de pago (PSD2) y Regulatory Technical Standards


La DIRECTIVA (UE) 2015/2366 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 25 de noviembre de 2015 sobre servicios de pago en el mercado interior y por la que se modifican las Directivas 2002/65/CE, 2009/110/CE y 2013/36/UE y el Reglamento (UE) no 1093/2010 y se deroga la Directiva 2007/64/CE se publicó el Diario Oficial de la Unión Europea el 23 de diciembre de 2015. Deberá ser recogida por las leyes nacionales de los paises miembros de la UE a más tardar el 13 de enero de 2018.

Independiza la gestión de los servicios de pago de la titularidad de la cuenta, de forma que el cliente de varias entidades financieras podría utilizar un proveedor único para consolidar la información de todas sus cuentas bancarias y para iniciar operaciones, por ejemplo transferencias.

Estos proveedores especiales que acceden a las cuentas para obtener información y para realizar transferencias se denominan prestadores o proveedores de servicios de pago y deben adoptar prudentes medidas de seguridad, en especial para garantizar la debida autenticación de los usuarios. Además, deben contar con un adecuado mecanismo de notificación de incidentes de seguridad a a los supervisores  y a los usuarios.

Los servicios de pago previstos son:

  1. Servicios que permiten el depósito de efectivo en una cuenta de pago y todas las operaciones necesarias para la gestión de una cuenta de pago.
  2. Servicios que permiten la retirada de efectivo de una cuenta de pago y todas las operaciones necesarias para la gestión de una cuenta de pago.
  3. Ejecución de operaciones de pago, incluida la transferencia de fondos, a través de una cuenta de pago en el proveedor de servicios de pago del usuario u otro proveedor de servicios de pago: a) ejecución de adeudos domiciliados, incluidos los adeudos domiciliados no recurrentes, b) ejecución de operaciones de pago mediante tarjeta de pago o dispositivo similar, c) ejecución de transferencias, incluidas las órdenes permanentes.
  4. Ejecución de operaciones de pago cuando los fondos estén cubiertos por una línea de crédito abierta para un usuario de servicios de pago: a) ejecución de adeudos domiciliados, incluidos los adeudos domiciliados no recurrentes, b) ejecución de operaciones de pago mediante tarjeta de pago o dispositivo similar, c) ejecución de transferencias, incluidas las órdenes permanentes.
  5. Emisión de instrumentos de pago y/o adquisición de operaciones de pago.
  6. Envío de dinero.
  7. Servicios de iniciación de pagos.
  8. Servicios de información sobre cuentas.

Las entidades que se constituyan para prestar servicios de pagos deberán cumplir ciertos requisitos de capital en su constitución:  si la entidad de pago solo pretende prestar el servicio de pago del punto 6,  su capital  inicial deberá ser mayor de 20.000 EUR; si la entidad de pago solo pretende prestar el servicio de pago del punto 7, su capital inicial  deberá ser mayor de 50.000 EUR; si la entidad de pago pretende prestar cualquiera de los servicios de pago a que se refieren los puntos 1 a 5, su capital inicial deberá ser mayor de 125.000 EUR. Solo la prestación de Servicios de información sobre cuentas no impone requisitos especiales de capital inicial a las entidades que los presten.

Sin embargo, más importante que el importe de capital inicial son los fondos propios. Uno de los métodos de cálculo de fondos propios mínimos indicados en la directiva para las entidades de pago exige que superen el 10 % de sus gastos generales del año anterior o de los previstos en su plan de negocios, en caso de que no superen el año de actividad.

Para que la actividad de los nuevos prestadores de servicios de pago pueda desarrollarse sin fricciones de interoperabilidad es necesario que se estabilicen las normas técnicas impulsadas por la Autoridad Bancaria Europea (EBA European Banking Authority) “Regulatory Technical Standards“, en particular sobre los aspectos de “strong customer authentication” y “secure communication”

Sin embargo, los borradores publicados por la EBA se han visto como restrictivos con la competencia, en particular respecto a los nuevos modelos de negocio que pretende impulsar la Directiva 2015/2366.

En noviembre de 2016 los eurodiputados a cargo de la negociación con la EBA expresaron su preocupación por el hecho de que los proyectos de normas presentados por la Autoridad Bancaria Europea (EBA) para apoyar la innovación en el mercado de pagos serían restrictivos a los nuevos modelos de negocio.

En agosto de 2016, la EBA propuso los borradores de nuevas normas técnicas de reglamentación (RTS, Regulatory Technical Standards) sobre la autenticación fuerte de los clientes como parte de su mandato de establecer tales normas bajo la nueva Directiva de Servicios de Pagos (PSD2).

Estos RTS incluyen la “autenticación fuerte del cliente” que se deberán usar cuando sea necesario acceder a cuentas de pago en línea, o iniciar una operación de pago electrónico o “realizar cualquier acción a través de un canal remoto que pueda implicar un riesgo de fraude de pago u otros abusos”.

También se aplican a los casos en que los pagos se inician a través de proveedores de servicios de iniciación de pagos (PISP, payment initiation service providers) o cuando los titulares de cuentas solicitan información sobre sus cuentas a través de un proveedor de servicios de información de cuentas (AISP, account information service provider ).

En el borrador de la norma, la EBA establece que los PSP deberían tener la libertad de decidir si se habilitan los pagos o el acceso a la cuenta a través de una “interfaz dedicada”, que sería una interfaz común para el uso de la industria en su totalidad o a través de su propia interfaz de banca electrónica, lo cual implicará que los agregadores de información y los iniciadores de pagos tendrían que ir una por una adaptando las interficies a los requisitos de cada entidad financiera (desvirtuando el propósito de los RTS).

Sin embargo, en una carta a la EBA en nombre del Parlamento Europeo, los eurodiputados Markus Ferber y Antonio Tajani le transmitieron que “el equipo de negociación del Prlamento Europeo apoya el acceso directo por parte de los proveedores de servicios de iniciación de pagos (PISP, payment initiation service providers ) y de los de servicios de información de cuenta (AISP, account information service providers) a la cuenta del ordenante, sin que el proveedor de servicios de pago de cuentas (ASPSP, account servicing payment service provider) exija que utilice un modelo de negocio determinado para la prestación de su servicio, ya se base en el acceso directo o en el indirecto.

Feber y Tajani expresaron su preocupación de que permitir el empleo de una “interfaz dedicada” implica el riesgo de dar a los ASPSP la posibilidad de excluir o limitar el acceso directo a la cuenta del ordenante a través de las instalaciones bancarias en línea preexistentes.

Esta opción  sería contraria al principio establecido en la Directiva, que impone a la EBAel desarrollo de las RTS con el fin de asegurar y mantener una competencia leal entre todos los proveedores de servicios de pago y garantizar la neutralidad de la tecnología y los modelos de negocio.

Feber y Tajani dejaron claro que el Parlamento Europeo quiere que la EBA se asegure de que los PISP y los AISP puedan obtener acceso directo a cuentas a través de todas las interfaces orientadas al cliente proporcionadas por los ASPSP en todo momento.

La EBA también debe asegurar que los ASPSPs siguen rigurosamente las reglas impuestas por la Directiva PSD2 para permitir a los PISPs y a los AISPs el acceso seguro a las cuentas cuando dichas entidades usan las interfaces propias de los ASPSPs.

El pasado 23 de febrero de 2017 la Autoridad Bancaria Europea (EBA) publicó su borrador final de Normas Técnicas de Reglamentación (RTS) sobre la autenticación fuerte de los clientes y la comunicación común y segura. Estas RTS, establecidas en virtud de la Directiva sobre servicios de pago revisada (PSD2) y desarrolladas en estrecha cooperación con el Banco Central Europeo (BCE).

Draft Regulatory Technical Standards on Strong Customer Authentication and common and secure communication under Article 98 of Directive 2015/2366 (PSD2)

La EBA recibió 224 respuestas a su documento de consulta, en el que se plantearon más de 300 consideraciones o solicitudes de aclaraciones. En la tabla de comentarios publicada como parte de la RTS, la EBA ha resumido cada uno de ellos y ha proporcionado su evaluación sobre si se han realizado cambios en la RTS como resultado de tales consideraciones.

En particular, una de las principales preocupaciones tratadas en este proyecto final de RTS se refiere a las exenciones de la aplicación de la autenticación fuerte de los clientes en función del nivel de riesgo que implica el servicio prestado; la cantidad y recurrencia de la transacción; y el canal de pago utilizado para la ejecución de la transacción. A este respecto, la ABE ha introducido dos nuevas exenciones: una basada en el análisis de riesgo de transacción basada en niveles definidos de fraude y la otra en pagos en las denominadas «terminales sin vigilancia» para las tarifas de transporte o estacionamiento. La exención sobre el análisis del riesgo de transacción está vinculada a un nivel predefinido de fraude y está sujeta a una cláusula de revisión de 18 meses después de la fecha de solicitud de la RTS.

Además, la ABE ha aumentado también el umbral de las transacciones de pago a distancia de 10 a 30 euros y ha suprimido las referencias anteriores a la norma ISO 27001 ya otras características específicas de la autenticación fuerte de los clientes para garantizar la neutralidad tecnológica de la RTS y para facilitar futuras innovaciones.

Con respecto a la comunicación entre proveedores de servicios de pago de cuentas (ASPSP), proveedores de servicios de información de cuentas (AISP) y proveedores de servicios de iniciación de pagos (PISPs), la ABE ha decidido mantener la obligación de que los ASPSP ofrezcan al menos una interfaz para AISPs y PISP para acceder a la información de la cuenta de pago. Esto está vinculado al hecho de que el PSD2 ya no permite el acceso de terceros sin identificación (a veces denominado “simulación de usuario” o, en inglés”screen scraping”) una vez transcurrido el período de transición previsto en el PSD2 para la aplicación de las Normas Técnicas Regulatorias  Regulatory Technical Standards.

La Directiva PSD2 establece que las RTS se aplicarán 18 meses después de su adopción por la Comisión de la UE como un acto delegado, por lo que es preciso que estas RTS se referencien oficialmente en una norma publicada en el Diario Oficial de la Unión Europea.

En el desarrollo de las tecnologías de Strong Customer Authentication claramente juegan un rol relevante los Prestadores de Servicios Electrónicos de Confianza que como EADTrust (European Agency of Digital Trust) aplican lo previsto en el Reglamento EIDAS.

 

 

Documentos ISACA para asociados


Dentro del área de Publicaciones de la Asociación ISACA (que en el pasado eran las iniciales de Information Systems Audit and Control Association) se han publicación los CUADERNOS desarrollados por las diferentes Comisiones de Estudio e  Investigación del Capítulo de Madrid de  ISACA, en los últimos años.
Los socios de ISACA encontrarán varios cuadernos técnicos que recogen el resultado del trabajo realizado por las diferentes comisiones, en las que han trabajado profesionales de diferentes ámbitos de actividad.
Estos son los títulos de los cuadernos publicados:
  • Cuaderno_0008 – Nuevas Técnicas Avanzadas de Auditoria Continua.
  • Cuaderno_0007 – Internet de las Cosas
  • Cuaderno_0006 – Auditoría Continua sobre entorno GRC
  • Cuaderno _0005 – Computación en la Nube_Aspectos a considerar.
  • Cuaderno_0004 – Auditoría de la Capacidad Forense
  • Cuaderno_0003 – King III.
  • Cuaderno_0002 – Arquitectura de Empresa_Fase I
  • Cuaderno _0001 – Gobierno Corporativo IT Guía Breve de Autoevaluación (GBA)

Estos cuadernos han sido presentados en diferentes eventos organizados por ISACA, como la High Level Conference on Assurance 2016, anteriores Jornadas Técnicas, Jueves de ISACA y otros.

Nueva Junta Directiva de Isaca Madrid


El pasado 17 de noviembre, los socios de la Asociación ISACA (Information System Audit and Control Association) Capítulo de Madrid eligieron en Asamblea ordinaria su Junta Directiva para el periodo 2016-18.

Por unanimidad se aprobó el nombramiento de:

  • Presidente: D. Ricardo Barrasa – CISA, CISM
  • Vicepresidente: D. Antonio Ramos – CISA, CISM, CRISC
  • Secretario: D. José Miguel Cardona Pastor – CISA, CISM, CRISC
  • Tesorero: D. Joaquín Castillón – CISA, CGEIT
  • Vocal 1º: Relación con los asociados: D. Óscar Martín – CISA, CISM, CGEIT, CRISC
  • Vocal 2º: Coordinador de Certificaciones y Formación: D. Vicente Chiva-Carbonell – CISA
  • Vocal 3º: Programas: D. Pablo Blanco – CISA, CISM
  • Vocal 4º: Relaciones académicas: D. José A. Rubio – CISA, CRISC
  • Vocal 5º: Webmaster: D. Israel Hernández – CISA, CISM, CGEIT
  • Vocal 6º: Comunicaciones y Marketing: D. Enrique Turrillo – CISA, CISM, CRISC
  • Vocal 7º: Director de Investigación: D. Erik de Pablo – CISA, CRISC

En la reunión se aprobaron las cuentas del ejercicio y el Plan de actividades para 2017.

La nueva Junta Directiva se plantea seguir manteniendo una Asociación fuerte y sólida que continúe promoviendo en la sociedad el reconocimiento de los profesionales de auditoría de sistemas, ciberseguridad, gestión de riesgos y gobierno de las tecnologías.

Se va a  fomentar el desarrollo de Grupos de Trabajo que ayuden al intercambio de experiencias y a la mejora de las prácticas de auditoría de TI

Las actividades formativas y eventos seguirán recibiendo la atención de los años anteriores en linea con las necesidades del mercado, y como oportunidades de networking.

ISACA Madrid quiere dar las gracias a los miembros de la Junta Directiva 2014-2016, en especial a: Dña. Nuria Domínguez y Dña. María José Carmona.
El Capítulo de Madrid de la Asociación internacional ISACA ( http://www.isacamadrid.es ), es una asociación sin ánimo de lucro con más de 1.100 asociados, profesionales del ámbito de la Seguridad de la Información, lo que supone que sea el colectivo más representativo en esta materia.

El Capítulo realiza actividades de difusión, concienciación y formación, mediante conferencias, congresos anuales, boletines para sus asociados y cursos de formación para contribuir a la misión de ISACA.
ISACA® ( http://www.isaca.org ) ayuda a los profesionales globales a liderar, adaptar y asegurar la confianza en un mundo digital en evolución ofreciendo conocimiento, estándares, relaciones, acreditación y desarrollo de carrera innovadores y de primera clase.  Establecida en 1969, ISACA es una asociación global sin ánimo de lucro de140.000 profesionales en 180 países . ISACA también ofrece Cybersecurity Nexus™ (CSX), un recurso integral y global en ciberseguridad, y COBIT®, un marco de negocio para gobernar la tecnología de la empresa.
Adicionalmente, ISACA promueve el avance y certificación de habilidades y conocimientos críticos para el negocio, a través de las certificaciones globalmente respetadas: Certified Information Systems Auditor® (CISA®), Certified Information Security Manager® (CISM®), Certified in the Governance of Enterprise IT® (CGEIT®) y Certified in risk and Information Systems Control™ (CRISC™).

La asociación ISACA tiene más de 200 capítulos en todo el mundo.