¿Tenemos una Estrategia Nacional de Identidad Digital (eID)?

Si bien se ha avanzado en el uso de mecanismos de identidad digital, creo que estamos al debe, en tener una política pública de largo plazo al respecto.

La mayoría de los países de la región están desarrollados modelos de Identidad Digital, habitualmente conocida como eID. El desarrollo de una Política Pública en esta materia, tiene importantes desafíos en términos de establecer una estrategia nacional que considere diferentes aspectos (tecnologías, operaciones, modelo, proveedores, etc.), que a mi modo de ver los países de la región no han abordado adecuadamente, como si ha sido el caso en otras regiones, en particular, en la Unión Europea.

Si bien, se ha avanzado en el desarrollo de estos mecanismos, los que tuvieron un fuerte impulso durante la pandemia, porque nos vimos obligados a llevar muchas de las interacciones con los ciudadanos desde el canal presencial al online, el servicio de eID es un habilitante para los servicios digitales del Estado. Creo que nuestros países están al debe en establecer una estrategia clara para su desarrollo, e identificar una visión respecto de su evolución, más allá de lo que fue el exponencial crecimiento durante la pandemia.

Veamos algunas de sus dimensiones, me refiero a las más importantes y al menos que preguntas que la estrategia debiera responder.

Operaciones 

Las plataformas de eID tienen requisitos muy relevantes en términos de su operación, en particular respecto de:  i) soportar grandes niveles de escalabilidad, algunos números al respecto aquí, ya que estamos hablando de cientos de millones de transacciones, un hub transaccional de este tipo supera con creces a cualquier otro servicio público o privado, y ii) por otro lado requiere de elevados niveles de disponibilidad, ya que es un servicio que debe estar disponible 24 horas al día 7 días a la semana.  Es lo que podemos llamar un servicio de misión crítica.  En el pasado he reflexionados a torno a diferentes modelos operacionales que se pueden dar.

• ¿Contamos con un modelo operacional que permita escalar y entregar niveles de disponibilidad adecuados?
• ¿Nuestra estructura organizacional y operacional puede responder adecuadamente a un servicio de misión crítica?
• ¿Se cuenta con los recursos financieros necesarios para su operación y su crecimiento?
• ¿Quién debiera realizar el enrolamiento de los ciudadanos, tanto desde un punto de vista de ministro de fe como desde la perspectiva operacional?

Tecnología

Desde un punto de vista de la tecnología que se va a utilizar, para efectos de usar el mecanismo como medio de autenticación y poderlo llevar a actuaciones de mayor profundidad (autorización documental, consentimiento y firmado), se requieren tecnologías robustas, usables y seguras.  El mecanismo tecnológico debe ser capaz de incporado a procesos ya existentes, y que reemplace mecanisnos de autenticación que ya existían. Desde un punto de vista de seguridad y certeza jurídica, no basta con un identificador y una clave, como es el caso de la Clave Única en Chile al día de hoy.

• ¿Cual debiera ser la arquitectura tecnológica más adecuada?
• ¿Se debe utilizar segundos factores como una forma de robustecer el proceso?
• ¿Qué mecanismos de seguridad debiera tener?
• ¿Es necesario incorporar otros mecanismos de identificación, por ejemplo: biométricos?

Usos 

Desde un punto de vista de los usos (aquí algunas reflexiones en torno al uso del eID), el mecanismo de eID en general se ha establecido para el proceso de identificación en todos trámites con servicios públicos, algunos países lo han definido como su mecanismo privilegiado de autenticación.  Si el mecanismo utilizado se encuentra difundido, no sería razonable ampliar su cobertura, lo cual también plantea algunas dudas de carácter legal (contingencias legales). En este ámbito hemos tenido más bien un comportamiento errático, al menos en nuestro país, en la administración pasada se promovía su uso por parte de privados, en la presente, se restringe, más allá de las razones para una u otra posición, esto lo único que hace es generar confusión.

• ¿Se pueden incluir servicios privados que utilicen el mecanismo de eID para sus procesos de autenticación?
• ¿En caso de que exista un sólo prestador de servicio de carácter público, su uso por parte de privados debiera tener un costo?
• ¿Que responsabilidades asume el prestador frente a eventuales fraudes de identidad?

Prestadores de Servicio

En nuestros países en general se ha optado por un prestador único de carácter centralizado.  En algunos países se han establecido modelos de prestadores múltiples, tal es el caso de Canadá (más sobre el modelo canadiense), estableciendo un framework de operación (seguridad, arquitectura, …) al cual los prestadores deben adherir.

• ¿Es razonable que solo exista un prestador de servicios de eID?
• ¿Es factible un modelo con múltiples prestadores, adheridos a un conjuntos de estándares mínimos (operaciones, seguridad, tecnología) como es el caso de las empresas prestadoras de servicios de certificación?
• ¿Se puede desarrollar un área de negocios de prestadores de servicios de eID privados?

Como una forma de guiar el análisis, me parece relevante mirar otras experiencias y las definiciones que se están tomando al respecto, un caso interesante es lo que está ocurriendo con el eWallet en Europa..

eWallet – ¿Qué está pasando en otras regiones?

Un ejemplo interesante, es lo que está ocurriendo en la Unión Europea con el eWallet o cartera digital.  La Unión Europea cuenta hace ya un tiempo con  estrategia de eWallet, definiendo mútiples dimensiones de su operación, incluyendo el impacto en los procesos de eID para los ciudadanos europeos.  

Además, el año pasado dio inicio a importantes pilotos de uso en dicha región que operarán hasta 2025, siendo su fecha oficial de inicio en 2027, todo ello basado en su estándar eIDAS.  Algunos de los atributos del eWallet europeo son:

Todas estas preguntas, ameritan una profunda reflexión, de manera de diseñar e implementar una estrategia nacional, que de cuenta de una visión de largo plazo, y de paso mirar lo que está ocurriendo en otras latitudes.

Información Complementaria

• Reglamento de Identidad Digital – Europeo (2021)
• Anexo – Reglamento de Identidad Digital – Europeo (2021)

Foto de Gilles Lambert en Unsplash