Administración electrónica CSUC: Servicio de evidencias electrónicas

Administración electrónica CSUC

Servicio de evidencias electrónicas

Albert Portugal Brugada

Responsable Administración Electrónica CSUC

[email protected]

https://es.linkedin.com/in/albertportugal

@Albert_Portugal

10 de marzo del 2016

Consorci de Serveis Universitaris de Catalunya

Consorcio público creado el 1991 e integrado por:

• Generalitat de Catalunya• Universitat de Barcelona• Universitat Autònoma de Barcelona• Universitat Politècnica de Catalunya• Universitat Pompeu Fabra• Universitat de Lleida• Universitat de Girona• Universitat Rovira i Virgili• Universitat Oberta de Catalunya• Universitat Ramon Llull• Universitat de Vic

Infraestructura científica y tecnológica singular (ICTS) des del 2000

Hasta el 2011, Centre de Supercomputació de Catalunya

Hasta el 2013, Centre de Serveis Científics i Acadèmics de Catalunya

Desde la supercomputación de 1991…

... hasta los servicios del 2016

Mapa consorciado de servicios e-Administración para las universidades

Nor

mat

iva

e-A

dmin

istr

ació

n

Cu

adro

de

ind

ica

dore

s

Mat

eria

les

form

ativ

os

Ca

tálo

go

de p

roce

dim

ien

tos

Cu

adro

de

inte

rop

era

bilid

ad

Normativa y documentación Servicios comunes

Reg

istr

o d

e p

roce

dim

ient

os

Vot

o e

lect

róni

co

Reg

istr

o

He

rram

ient

as g

est

ión

docu

men

tal

Arc

hivo

Evi

denc

ias

ele

ctró

nica

s

Po

rtaf

irmas

Se

rvic

ios

de

cust

odia

de

fir

mas

Fed

era

ció

n de

iden

tidad

es

Tab

lón

de

anu

ncio

s

Ges

tor

de

form

ula

rios

Có

dig

o se

guro

de

verif

icac

ión

Tab

lón

de

anun

cio

s

Ca

rpet

a un

ive

rsita

ria

Servicios de terceros

Ser

vici

o d

e va

lidac

ión

y se

llo

de t

iem

po

E-F

actu

ra

No

tific

acio

nes

tele

mát

ica

s

Ges

tión

de

repr

esen

taci

one

s

Co

ntra

taci

ón e

lect

rón

ica

Per

fil d

el c

ont

rata

nte

Plataforma interoperabilidad universitaria

Ámbito normativoBus SOA (Via Oberta,

S@ra)Catálogo de servicios Normativización de datos

Servicios universidadesPlataforma interoperabilidad

interna BUS SOA Catálogo de servicios Normativización de datos

Tra

mita

dor

Est

ado

de

tram

itaci

ón

Firm

a el

ectr

óni

ca

eDig

italiz

ació

n

Pag

os

ele

ctró

nico

s

Back office e-Administración

Cer

tific

ació

n d

igita

l

Exp

edi

ent

e el

ect

rón

ico

de

cont

rata

ción

Se

de e

lect

rón

ica

Nor

ma

tiva

y pu

blic

acio

nes

Qu

eja

s y

suge

ren

cias

Trá

mite

s y

pro

cedi

min

eto

s

Inst

anci

a g

enér

ica

Front office e-Administración

Sistemas información

universidades

e-A

dm

inis

tra

ció

n c

on

sorc

iad

a e-

Ad

min

istr

ació

n u

niv

ers

idad

Servicios e-Administración no consorciados

Registro

Portafirmas

Tablón de anuncios

Código seguro de verificación

Perfil contratante

Notificación electrónica

Herramientas de gestión documental

Otros servicios

Servicio eLogs (evidencias electrónicas)

Descripción• Plataforma para el almacenaje de evidencias electrónicas. • Dispone de agentes con integración SOA, BBDD, logs.• Permite la generación de evidencias electrónicas certificadas

para presentación en sede judicial.• Parte de un estudio legal de las evidencias a almacenar en

diferentes procesos de la e-Administración.• El CSUC se establece como tercero de confianza.

Retos• Identificar de los diferentes sistemas de información gestionados las evidencias electrónicas a

almacenar así como su contenido. • Adecuación a los cambios legales.• Nuevas especificaciones para la implantación de nuevos productos y desarrollos.

Beneficios• Centraliza en una sola plataforma evidencias funcionales y tecnológicas de los

sistemas de información.• Sistema agnóstico de alta versatilidad.


Que es una evidencia electrónica?

• Son datos almacenados en soporte digital• Ha estado recolectada a metodos técnicos especializados auditables, reproducibles y

defendibles • Los procesos de recolección tienen que

contemplar la identificación, recolección / adquisición y la conservación / preservación.

• Se tiene que asegurar la evidencia no ha podido ser modificada

• Tienen una finalidad de prueba fehaciente


Marco legal

• Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal• Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección

de Datos de Carácter Personal• Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico• Ley 59/2003, de 19 de diciembre, de firma electrónica.• Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los Servicios Públicos.• Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica.• Real Decreto 4/2010 Esquema Nacional de Interoperabilidad.• Resolución de 19 de julio de 2011 (BOE de 30 de julio), de la Secretaría de Estado para la Función Pública, por la que se aprueba la Norma Técnica de

Interoperabilidad de Documento Electrónico• Resolución de 19 de julio de 2011 (BOE de 30 de julio), de la Secretaría de Estado para la Función Pública, por la que se aprueba la Norma Técnica de

Interoperabilidad de Expediente Electrónico• Resolución de 19 de julio de 2011 (BOE de 30 de julio), de la Secretaría de Estado para la Función Pública, por la que se aprueba la Norma Técnica de

Interoperabilidad de Política de Firma Electrónica y de certificados de la Administración• Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas.• Ley 40/2015, , de 1 de octubre, de Régimen Jurídico del Sector Público.

Estándares

• ISO / IEC 27037:2012 Directrices de gestión de evidencias electrónicas• UNE 71505-1:2013 Buenas prácticas en la gestión de evidencias electrónicas


La prueba en soporte electrónico

• La exposición de motivos de la Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil (LEC), equipara los instrumentos de archivos con los documentos al decir que "la utilización de nuevos instrumentos probatorios, como soportes hoy no convencionales, de datos cifras y cuentas, a los que, en definitiva haya de otorgarles una consideración análoga a la de las pruebas documentales".

• Según el art. 319.1 LEC, que recoge la generalidad de los documentos públicos, respecto a la fuerza probatoria de los documentos públicos, harán prueba plena del hecho, acto o estado de cosas que documenten, de la fecha en que se produce esa documentación y de la identidad de los fedatarios y demás personas que, en su caso, intervengan en ella.

• La exposición de motivos de la Ley 59/2003, de 19 de diciembre, de firma electrónica, indica que "La firma electrónica constituye un instrumento capaz de permitir una comprobación de la procedencia y de la integridad de los mensajes intercambiados a través de redes de telecomunicaciones, ofreciendo las bases para evitar el repudio, si se adoptan las medidas oportunas basándose en fechas electrónicas".


Las evidencias electrónicas en juicio

• Los jueces someten a las evidencias electrónicas a la valoración de la prueba, pudiendo requerir la participación de peritos. Esto incide en que el resultado de la valoración y por tanto tiene un resultado incierto a priori.

• Los documentos digitales son intangibles y fácilmente reproducibles afectando a la valoración de la prueba.

• La preconstitución de la evidencia electrónica por medio de terceros de confianza refuerza el valor de prueba de la evidencia.

• Si el proceso de preconstitución de la evidencia está definido, con un resultado previsible y auditable permite la protocolización notarial del mismo.

• Es aconsejable que los datos de la evidencia contengan datos en su formato original pudiéndose incorporar datos complementarios que le aporten un mayor valor probatorio.

• Es preferible que la recolección de evidencias sea cercana al origen de los datos y de forma estandarizada minimizando los riesgos de manipulación.


Tipologías de evidencias electrónicas

• La tipologías de evidencias posibles son múltiples• El proyecto incide en aquellas evidencias relevantes para la e-Administración• Se contemplan datos específicos para cada una de ellas

Publicación web

Notificación

Registro de negocio

Registro técnico

Plataforma evidencias

electrónicas


Características de la plataforma

• Integridad: facilitando la detección de cambios en la evidencia.• Preservación: aportando mecanismos que permiten independizarse de la caducidad de certificados o de algoritmos criptográficos.• Localización: mediante la disponibilidad de un servicio de consultas avanzadas y la asociación biunívoca de la evidencia a una referencia

universal y su publicación mediante un localizador único (URL).• Verificabilidad: ofreciendo un método para verificar la autenticidad de la evidencia generada.• Trazabilidad del origen: garantizar que la evidencia se puede asociar a su autor y detectar suplantaciones.• Fechado: asociando de forma segura la evidencia a un momento temporal.• Secuencialidad: aplicando un orden y mecanismo comprobación del encadenamiento de distintos eventos de tal forma que pueda

detectarse la inserción o el borrado de un evento entre dos ya existentes.• Custodia: facilitando un archivo seguro, que garantiza la disponibilidad íntegra de la evidencia junto con un control de acceso.• Confidencialidad: La información puede ser cifrada en tránsito o en almacenamiento mediante un algoritmo de cifrado con clave simétrica

o pública.


Generación de la evidencia

• La plataforma sella, custodia y permite la consulta de evidencias almacenadas en la plataforma


Correlación de evidencias tecnológicas y negocio en la prueba fehaciente

• Las evidencias relacionadas con acciones de negocio sobre actos administrativos correlacionadas con evidencias tecnológicas refuerzan el valor de prueba fehaciente.

• La correlación requiere de elementos significativos en los datos de la evidencia que permitan la correlación.

Servidor web

Servidor de aplicaciones

Servicio de autentificación

Aplicación de negocio

Plataforma evidencias electronicas

Correlación

Petición

Sesión

Credenciales

Operación

Evidencia

Timestamp


Incorporación de datos de identificación

• Incorporación de datos de identificación del actor que realiza la acción (credenciales de autentificación del contexto de seguridad).

• Correlación de datos de identificación del actor y las acciones realizadas.

• Requiere de aportación de datos por parte de las aplicaciones de negocio.


Servicio de autentificación

Aplicación de negocio

Usuario/ClaveCertificado digital

Contexto deseguridad

LDAP, BBDD, ..

Identificador del usuario

Contexto seguridad

Registro validación


Proximidad del agente con el origen de los datos

• Refuerza el valor de la prueba.

• Facilita la obtención de datos en formato original.

• Mejora la gestión de perdidas de connexión con el servidor de evidencias mediante buffering.

• Facilita la generación de datos para la correlación de evidencias.

• Permite la integración del agente dentro de la política de monitorización del organismo.

Entornos del organismo

Agente

Aplicaciones Sistemas

Agente externo


Generación de la evidencia

• Generación de las evidencias por parte de los sistemas (cuando se realiza la acción) vs recopilación de evidencias a partir del resultado de acciones (una vez generada la acción)

Cuando se realiza acción Una vez generada acción

• Immediatez• Seguridad• Mayor control sobre las evidencias

• Adaptación de sistemas• Coste• Menor reutilización

• Coste menor• Reutilización• No requiere adaptación de sistemas

• Planificación recolección• Coste• Menor adecuación de los datos de la evidencia

Sistema

Agente

Acción

Comunicación

Sistema

Agente

Acción

Recolección


Arquitectura

Agentes

Agente de base de datos

Agente de generico

Agente logs

Agente de publicación

Aplicaciones

Sistemas

Agente personalizado


Transmisión seguraTolerante a fallos

Sellado

Custodia

Consulta

Generación prueba

fehaciente


Arquitectura

Organismo 1

Plataforma evidencias electronicasCESCA

Agentes

Organismo 2

Agentes

Organismo 3

Agentes


Agentes

Organismo 1

Agentes

Organismo 2

Agentes Organismo 3

Agentes

Tipos agentes:• Agentes WebServices• Agentes de Base de Datos• Agentes ficheros de log• Agentes SysLog• Agentes de publicación (futuro)

Modalidades implantación:• Entorno virtualización / appliance• Servidor de aplicaciones• Integración sistemas información


Tecnologías utilizadas

Rabbit MQ:• Cola de mensajes open source • Implementa AMQP

Mongo DB:• Base de datos no SQL

orientado a documentos.• Estructuras de datos JSON

Elastic Search:• Servidor de búsqueda distribuido • Basado en Apache Lucene

Redis:• Base de datos en memoria• Base de datos clave valor


Configuración del Agente

• Creación del agente• Un agente por nodo.• Identificación única. Clave público-privada compartida con el nodo donde

se ha creado.• Definición puertos comunicación.

• Definición origen de recolección de evidencias• Múltiples opciones de orígenes de datos.• Se pueden crear, editar y eliminar tantos orígenes de datos como se

requiera.


Perfiles de evidencias

• Creación de perfiles• Un perfil por servicio.• Definición de los campos que contiene la evidencia.• Necesario para asociarlo al tratamiento posterior de la evidencia.• Definición de tipos de datos a recolectar en la evidencia.

* Un perfil de evidencias es aquel que define qué tipo de datos y que periodo de custodia de las evidencias queremos recolectar referente a un servicio en concreto.


Tratamiento de evidencias

• Creación de parsers• Un parser por servicio.• Definición de los campos a tratar que se han definido en el perfil de

evidencias.• Necesario para determinar los datos que contiene cada campo de la

evidencia.


Reglas de tratamiento de evidencias

• Creación de reglas• Necesarias para que eLogs sepa aplicar el parser adecuado a cada tipo

de evidencia que se recolecta por el agente.• Definición de los campos a tratar que se han definido en el perfil de

evidencias.• Expresiones regulares, salto por etiqueta, aplicación de regla según

origen de datos, etc... que permiten definir el flujo de tratamiento para construir la evidencia definitiva.


Gestor de colas (RabbitMQ) - Monitorización

• Gestión en tiempo real de los mensajes en cada una de las colas.• Cada elemento del sistema se comunica con el RabbitMQ para procesar las

evidencias de forma independiente.• Alta disponibilidad.


Matriz de comunicaciones

Shipper Redis MongoDB Elastic Search RabbitMQ Object Store

WebSite

WebSite Daemon

Parser

Indexer

Shipper

Flujo de la evidencia

Servicio eLogs – Modelo de servicio

Evidencias

AdministradorEvidenciasUniversidad

Monitorización y

soporte

Administracióny

Generación de affidavits

Nivel 1

Nivel 2ANS CSUC-

Instituciones

Nivel 3ANS

Proveedor

Usuario

Institución

CSUC

Soporte a los usuarios finales

Soporte a los administradores de elecciones de la

institución

Monitoritzación y gestión

Resolución de incidencias técnicas

Soporte técnico

Escalado de incidencias funcionales

Mant. correctivo

Mant. evolutivo

Soporte para la

resolución de

incidencias

Servicio eLogs – Modelo de servicio de soporte

Se contemplan dos tipos de soporte: elección normal y elección crítica

Servicio voto electrónico – Indicadores

•Instituciones• UPF• UPC• UDL• URV• CSUC

•Las aplicaciones que se han dado de alta en los distintos agentes para recolectar evidencias son:

• Registro de entrada y salida.(UPF,UPC,UDL,URV,CSUC - BBDD)• Aplicación de recibos de registro de entrada y salida.(UPF - WS)• Voto electrónico.(CSUC - BBDD)• Archivo electrónico.(CSUC - BBDD)• Aplicación middleware.(CSUC - BBDD)• Solicitud datos usuario. (CSUC - WS)

Indicadores

• Agentes desplegados• elog-agent-upf• elog-agent-upc• elog-agent-udl• elog-agent-urv• elog-agent-csuc

• Nº evidencias por Site168.47216.56392.775104.152182.791

Servicio eLogs – Retos del servicio e-Logs

• Analizar todos los procesos de administración electrónica para identificar las evidencias significativas del proceso.

• Definir el conjunto de elementos funcionales, tecnológicos que permitan la constitución de la evidencia y su correlación.

• Integrar todos los servicios de e-Administración en la plataforma.

• Establecer nuevos mecanismos de incorporación de evidencias (captura de publicación de datos en sede, envío de correo electrónico, …)

Criterios selección herramientas

Antecedentes• Las universidades catalanas disponen de un histórico

de componentes de e-Administración integrados con sus sistemas actuales. • Algunos componentes tienen una integración fuerte con los sistemas de

información.• El contexto económico obliga a la racionalización de recursos.

Principio de diseño para los servicios consorciados• Definición del acuerdo de nivel de servicio,• Orientación a servicio.• Servicio integral.• Interfaces de acceso a los sistemas independientes del componente tecnológico.

Criterios selección• Mayor grado de implantación del componente.• Ahorro de costes de licencia, mantenimiento y soporte.• Consenso entre las universidades.• Facilidad de implantación y sobretodo integración.• Grupos de trabajo para la selección de herramientas.

Retos de la e-Admnistración

Retos

• Orientación a servicio.• No pensar en tecnología y pensar en servicio.

• Rápida adaptación a los cambios legales y tecnológicos.

• Incrementar el uso de los sistemas de e-Administración.• Reutilización de componentes.• Minimizar la brecha digital.

• Incrementar la confianza en los canales electrónicos.• Privacidad y seguridad.• Comprobantes. • Superar el recelo a la gestión sin papel.

• Interoperabilidad.• Intercambio de datos para facilitar la gestión y la relación

con los interesados.

Objetivos e-Administración CSUC

Objetivos

• Coordinación de la implantación de la e-Administración en las universidades asociadas.

• Disponer de aquellos elementos de e-Administración según criterios de eficiencia y estandarización.

• Fomentar el uso/reutilización de plataformas existentes ofrecidas para la e-Administración.

• Realizar asesoramiento, observación tecnológica de las iniciativas de e-Administración y participar en diferentes grupos de trabajo.

• Ser facilitador en la relación con terceros.

• Realizar la gestión, implantación, mantenimiento, soporte y evolución de los componentes existentes.

Gracias por su atención

Administración electrónica CSUC: Servicio de evidencias electrónicas

Technology

Transcript of Administración electrónica CSUC: Servicio de evidencias electrónicas