Decreto 2628/2002 (B.O. 20.12.2002) FIRMA DIGITAL . REGLAMENTACIÓN DE LA LEY 25506

Bs. As., 19/12/2002

VISTO la Ley N° 25.506, el Decreto N° 427 del 16 de abril de 1998, el Decreto N° 78 del 10 de enero de 2002, el Decreto N° 333 del 19 de febrero de 1985 y sus modificatorios y la Resolución N° 194 del 27 de noviembre de 1998 de la ex SECRETARIA DE LA FUNCIÓN PUBLICA, y

CONSIDERANDO:

Que la sanción de la Ley N° 25.506 de firma digital representa un avance significativo para la inserción, de nuestro país en la sociedad de la información y en la economía digital, brindando una oportunidad para el desarrollo del sector productivo vinculado a las nuevas tecnologías.

Que otros países ya han normado sobre la materia, con positiva repercusión tanto en el ámbito privado como público.

Que con la sanción de la citada Ley N° 25.506, de firma digital se reconoce el empleo de la firma, digital y de la firma electrónica y su eficacia jurídica en las condiciones que la misma ley establece.

Que dicho reconocimiento constituye un elemento esencial para otorgar seguridad a las transacciones electrónicas, promoviendo el comercio electrónico seguro, de modo de permitir la identificación en forma fehaciente de las personas que realicen transacciones electrónicas.

Que asimismo, la sanción de la Ley N° 25.506 otorga un decisivo impulso para la progresiva despapelización del Estado, contribuyendo a mejorar su gestión, facilitar el acceso de la comunidad a la información pública y posibilitar la realización de trámites por Internet en forma segura.

Que la reglamentación de la Ley N° 25.506 permitirá establecer una Infraestructura de Firma Digital que ofrezca autenticación, y garantía de integridad para los documentos digitales o electrónicos y constituir la base tecnológica que permita otorgarles validez jurídica.

Que debe regularse el funcionamiento de los certificadores licenciados de manera de garantizar la adecuada prestación de los servicios de certificación.

Que resulta necesario crear un Ente Administrador de Firma Digital, encargado de otorgar las licencias a los certificadores, supervisar su actividad y dictar las normas tendientes a asegurar el régimen de libre competencia en el mercado de los prestadores y protección de los usuarios de Firma Digital.

Que la citada Ley contempla la creación de una Comisión Asesora para la Infraestructura de Firma Digital, conformada por un equipo multidisciplinario de especialistas en la materia, con el fin de asesorar y recomendar a la Autoridad de Aplicación estándares tecnológicos, y otros aspectos que hacen al funcionamiento de la mencionada Infraestructura, por lo cual deben establecerse las bases para su formación y adecuado funcionamiento.

Que el Decreto N° 427 del 16 de abril de 1998 ha sido una de las normas pioneras a nivel nacional e internacional en reconocer la validez jurídica de la firma digital, para lo cual creó una Infraestructura de Firma Digital para el Sector Público Nacional bajo la dependencia de la JEFATURA DE GABINETE DE MINISTROS.

Que esta experiencia ha sido un antecedente fundamental para la incorporación de la tecnología en la gestión pública, constituyendo una fuente de consulta para distintas jurisdicciones nacionales y provinciales.

Que dado que la Ley N° 25.506 establece una Infraestructura de Firma Digital de alcance federal, a fin de optimizar el aprovechamiento de los recursos y las experiencias desarrolladas, resulta conveniente subsumir la mencionada Infraestructura del Sector Público Nacional dentro de la creada a nivel federal por la Ley citada.

Que a tal fin, corresponde derogar el Decreto N° 427/98, por el cual se reconoce el empleo de la firma digital en el ámbito de la Administración Pública Nacional, ya que la Ley N° 25.506 cubre los objetivos y el alcance del mencionado Decreto.

Que ha tomado intervención el servicio jurídico competente.

Que la presente medida se dicta en virtud lo dispuesto por el artículo 49 de la Ley N° 25.506, y por el artículo 99, inciso 2, de la Constitución de la Nación Argentina.

Por ello,

EL PRESIDENTE DE LA NACIÓN ARGENTINA

DECRETA:

CAPITULO I

CONSIDERACIONES GENERALES

Artículo 1° — Objeto. La presente reglamentación regula el empleo de la firma electrónica y de la firma digital y su eficacia jurídica.

En los casos contemplados por los artículos 3°, 4° y 5° de la Ley N° 25.506 podrán utilizarse los siguientes sistemas de comprobación de autoría e integridad:

a) Firma electrónica,

b) Firma electrónica basada en certificados digitales emitidos por certificadores no licenciados en el marco de la presente reglamentación, (Inciso sustituido por art. 5° del Decreto 724/2006)

c) Firma digital basada en certificados digitales emitidos por certificadores licenciados en el marco de la presente reglamentación,

d) Firma digital basada en certificados digitales emitidos por certificadores extranjeros que hayan sido reconocidos en los siguientes casos:

1. En virtud de la existencia de acuerdos de reciprocidad entre la República Argentina y el país de origen del certificador extranjero.

2. Por un certificador licenciado en el país en el marco de la presente reglamentación y validado por la Autoridad de Aplicación.

Art. 2° — Validez de los certificados, digitales emitidos por certificadores no licenciados. Los certificados digitales emitidos por certificadores no licenciados serán válidos para producir los efectos jurídicos que la ley otorga a la firma electrónica.

Art. 3° — Certificados digitales emitidos por certificadores licenciados. Los certificados digitales contemplados, en el artículo 13 de la Ley N° 25.506 son aquellos cuya utilización permite disponer de una firma digital amparada por las presunciones de autoría e integridad establecidas en los artículos 7° y 8° de la ley citada.

CAPITULO II

DE LA AUTORIDAD DE APLICACIÓN

Art. 4° — Normas técnicas. Facúltase a la JEFATURA DE GABINETE DE MINISTROS, a determinar las normas y los procedimientos técnicos para la generación, comunicación, archivo y conservación del documento digital o electrónico, según lo previsto en los artículos 11 y 12 de la Ley N° 25.506.

Art. 5° — Conservación. El cumplimiento de la exigencia legal de conservar documentos, registros o datos, conforme a la legislación vigente a la materia, podrá quedar satisfecha con la conservación de los correspondientes, documentos digitales firmados digitalmente. Los documentos, registros o datos electrónicos, deberán ser almacenados por los intervinientes o por terceros confiables aceptados por los intervinientes, durante los plazos establecidos en las normas específicas.

Se podrán obtener copias autenticadas a partir de los originales en formato digital firmado digitalmente. La certificación de autenticidad se hará de conformidad a los procedimientos legales, vigentes para el acto de que se trate, identificando el soporte que procede la copia.

Art. 6° — Regulación. Facúltase a la JEFATURA DE GABINETE DE MINISTROS a establecer:

a) Los estándares tecnológicos y de seguridad aplicables en consonancia con estándares internacionales.

b) Los procedimientos de firma y verificación en consonancia con los estándares tecnológicos definidos conforme el inciso precedente.

c) Las condiciones mínimas de emisión de certificados digitales.

d) Los casos en los cuales deben revocarse los certificados digitales.

e) Los datos considerados públicos contenidos en los certificados digitales.

f) Los mecanismos que garantizarán la validez y autoría de las listas de certificados revocados.

g) La información que los certificadores licenciados deberán publicar por internet.

h) La información que los certificadores licenciados deberán publicar en el Boletín Oficial.

i) Los procedimientos mínimos de revocación de certificados digitales cualquiera que sea la fuente de emisión, y los procedimientos mínimos de conservación de la documentación de respaldo de la operatoria de los certificadores licenciados, en el caso que éstos cesen su actividad.

j) El sistema de auditoría, incluyendo las modalidades de difusión de los informes de auditoría y los requisitos de habilitación para efectuar auditorías.

k) Las condiciones y procedimientos para el otorgamiento y revocación de las licencias.

l) Las normas y procedimientos para la homologación de los dispositivos de creación y verificación de firmas digitales.

m) El reglamento de funcionamiento de la Comisión Asesora para la Infraestructura de Firma Digital.

n) El procedimiento de instrucción sumarial y lagradación de sanciones previstas en la Ley N° 25.506, en virtud de reincidencia y/u oportunidad.

o) Los procedimientos aplicables para el reconocimiento de certificados extranjeros.

p) Las condiciones de aplicación de la presente ley en el Sector Público Nacional, incluyendo la autorización para prestar servicios de certificación

digital para las entidades y jurisdicciones de la Administración Pública Nacional.

q) Los contenidos mínimos de las políticas de certificación de acuerdo con los estándares nacionales e internacionales y las condiciones mínimas que deberán cumplirse en el caso de cese de actividades de un certificador licenciado.

r) Los niveles de licenciamiento.

s) Reglamentar el uso y los alcances de los certificados de firma digital emitidos por los Registros Públicos de Contratos.

t) Exigir las garantías y seguros necesarios para prestar el servicio previsto.

u) Las condiciones de prestación de otros servicios en relación con la firma digital y otros temas cubiertos en la ley.

CAPITULO III

DE LA COMISIÓN ASESORA PARA LA INFRAESTRUCTURA DE FIRMA DIGITAL

Art. 7° — Comisión Asesora para la Infraestructura de Firma Digital. En el ámbito de la JEFATURA DE GABINETE DE MINISTROS funcionará la Comisión Asesora para la Infraestructura de Firma Digital, que se constituirá de acuerdo a lo dispuesto por el artículo 35 de la Ley N° 25.506.

Art. 8° — Integración. La Comisión Asesora para la Infraestructura de Firma Digital estará integrada multidisciplinariamente por profesionales de carreras afines a la actividad, de reconocida trayectoria y experiencia, provenientes de organismos del Estado Nacional, Universidades, Cámaras, Colegios u otros entes representativos profesionales. Para integrar la Comisión Asesora para la Infraestructura de Firma Digital se deberán reunir los siguientes requisitos:

a) Poseer título universitario, expedido por Universidad Nacional o privada reconocida por el Estado, correspondiente a carrera profesional de duración no inferior a CUATRO (4) años, con incumbencias relacionadas con la materia.

b) Antecedentes académicos y/o profesionales o laborales en la materia.

Art. 9° — Ejercicio de funciones. El ejercicio de las funciones como miembro de la Comisión Asesora para la Infraestructura de Firma Digital será ad honorem.

Art. 10. — Consulta Pública. La Comisión Asesora para la Infraestructura de Firma Digital establecerá los mecanismos que permitan mantener un intercambio de información fluido con organismos públicos, Cámaras, usuarios y asociaciones de consumidores sobre los temas que se está tratandoa los efectos de recibir aportes y opiniones. Para cumplir con este cometido podrá implementar consultas públicas presenciales, por escrito o mediante foros virtuales, abiertos e indiscriminados, o cualquier otro medio que la Comisión considere conveniente o necesario.

CAPITULO IV

DEL ENTE ADMINISTRADOR DE FIRMA DIGITAL

Art. 11. — Ente Administrador de Firma Digital. Créase el Ente Administrador de Firma Digital dependiente de la JEFATURA DE GABINETE DE MINISTROS, como órgano técnico, administrativo encargado de otorgar las licencias a los certificadores y de supervisar su actividad, según las exigencias instituidas por el presente decreto y las normas reglamentarias, modificatorias o de aplicación que se dicten en el futuro y de dictar las normas tendientes a asegurar el régimen de libre competencia, equilibrio de participación en el mercado de los prestadores y protección de los usuarios.

El Decreto 1028/2006 disolvio el Ente Administrador de Firma Digital creado en el presente articulo)

Art. 12. — Autoridades del Ente Administrador de Firma Digital. El Ente Administrador de Firma Digital será conducido por un Directorio integrado por TRES (3) miembros, designados por el JEFE DE GABINETE DE MINISTROS, previo concurso. Hasta tanto, sea realizado el concurso el JEFE DE GABINETE DE MINISTROS designará a los integrantes del Directorio, uno de los cuales ocupará el cargo de Presidente del Ente. El gerenciamiento del Ente estará a cargo del Coordinador Ejecutivo designado por el JEFE DE GABINETE DE MINISTROS.

Art. 13. — Funciones del Ente Administrador.

Son funciones del Ente Administrador:

a) Otorgar las licencias habilitantes para acreditar a los certificadores en las condiciones que fijen el presente decreto y las normas reglamentarias, modificatorias o de aplicación que se dicten en el futuro.

b) Fiscalizar el cumplimiento de las normas legales y reglamentarias en lo referente a la actividad de los certificadores licenciados.

c) Denegar las solicitudes de licencia a los prestadores de servicios de certificación que no cumplan con los requisitos establecidos, para su licenciamiento.

d) Revocar las licencias otorgadas a los Certificadores licenciados que dejen de cumplir con los requisitos establecidos para su licenciamiento.

e) Aprobar las políticas de certificación, el manual de procedimiento, el plan de seguridad, de cese de actividades y el plan de contingencia, presentado por los certificadores solicitantes de la licencia o licenciados.

f) Solicitar los informes de auditoría en los casos que correspondiere.

g) Realizar inspecciones a los certificadores licenciados por sí o por terceros.

h) Homologar los dispositivos de creación y verificación de firmas digitales, con ajuste a las normas y procedimientos establecidos por la presente reglamentación.

i) Disponer la instrucción sumarial, la aplicación de sanciones e inhabilitar en forma temporal o permanente a todo certificador o licenciado que no respetare o incumpliere los requerimientos y disposiciones de la Ley N° 25.506, el presente decreto y las normas complementarias.

j) Publicar en Internet o en la red de acceso público de transmisión o difusión de datos que la sustituya en el futuro, en forma permanente e ininterrumpida, los domicilios, números telefónicos, direcciones de internet y certificados digitales de los certificadores licenciados.

k) Publicar en internet o en la red de acceso público de transmisión o difusión de datos que la sustituya en el futuro, en forma permanente e ininterrumpida, los domicilios, los números telefónicos, direcciones de internet y certificados digitales de los certificadores cuyas licencias han sido revocadas.

I) Publicar en Internet o en la red de acceso público de transmisión o difusión de datos que la sustituya en el futuro, en forma permanente e ininterrumpida, el domicilio, números telefónicos, direcciones de internet y certificados digitales del Ente Administrador.

m) Administrar los recursos generados de acuerdo con lo dispuesto por el artículo 16 de la presente reglamentación, provenientes de las distintas fuentes de financiamiento.

n) Fijar el concepto y los importes de todo tipo de aranceles y multas previstos en la Ley N° 25.506 y en el artículo 16 de la presente reglamentación.

o) Solicitar la ampliación o aclaración sobre la documentación presentada por el certificador.

p) Dictar las normas tendientes a asegurar el régimen de libre competencia, equilibrio de participación en el mercado de los prestadores y protección de los usuarios.

Art. 14. — Obligaciones del Ente Administrador.

El Ente Administrador tiene idénticas obligaciones que los titulares, de certificados y que los Certificadores Licenciados, en su caso, y además debe:

a) Permitir el acceso público permanente a la nómina actualizada de certificadores licenciados con los datos correspondientes.

b) Supervisar la ejecución del plan de cese de actividades de los Certificadores licenciados que discontinúan sus funciones;

c) Registrar las presentaciones que le sean formuladas, así como el trámite conferido a cada una de ellas.

d) Supervisar la ejecución de planes de contingencia de los certificadores licenciados.

e) Efectuar las tareas de control del cumplimiento de las recomendaciones formuladas por el Ente Administrador para determinar si se han tomado las acciones correctivas correspondientes.

f) Recibir, evaluar y resolver los reclamos de los usuarios de certificados digitales relativos a la prestación del servicio por parte de certificadores licenciados.

Art. 15. — Organización del Ente Administrador. Dentro del plazo de SESENTA (60) días corridos de la fecha de constitución del Directorio, el ENTE ADMINISTRADOR DE FIRMA DIGITAL elevará para su consideración al JEFE DE GABINETE DE MINISTROS la propuesta de su estructura organizativa y de su reglamento de funcionamiento.

Art. 16. — Recursos del Ente Administrador. El Ente Administrador podrá arancelar los servicios que preste para cubrir total o parcialmente sus costos. Los recursos propios del Ente Administrador se integrarán con:

a) Los importes provenientes de los aranceles que se abonen por la provisión de los siguientes servicios:

1.- Servicios de certificación digital,

2.- Servicios de certificación digital de fecha y hora,

3.- Servicios de almacenamiento seguro de documentos electrónicos,

4.- Servicios prestados por autoridades de registro,

5. – Servicios prestados por terceras partes confiables,

6. – Servicios de certificación de documentos electrónicos firmados digitalmente

7.- Otros servicios o actividades relacionados a la firma digital.

b) Los importes provenientes de los aranceles de homologación de dispositivos de creación y verificación de firmas digitales.

c) Los importes provenientes de los aranceles de certificación de sistemas que utilizan firma digital.

d) Los importes provenientes de los aranceles de administración del sistema de auditoría y las auditorías que el organismo realice por sí o por terceros.

e) Los subsidios, herencias, legados, donaciones o transferencias bajo cualquier título que reciba.

f) El producido de multas.

g) Los importes que se le asignen en el cálculo de recursos de la respectiva ley de presupuesto para la administración nacional.

h) Los demás fondos, bienes, o recursos que puedan serle asignados en virtud de las leyes y reglamentaciones aplicables.

Art. 17. — Financiamiento del Ente Administrador. Instrúyese a la JEFATURA DE GABINETE DE MINISTROS para que proceda a incluir en su presupuesto los fondos necesarios para que el Ente Administrador pueda cumplir adecuadamente sus funciones.

Transitoriamente, desde la entrada en vigencia de la presente reglamentación y hasta que se incluyan las partidas necesarias en el Presupuesto Nacional los costos de financiamiento del Ente Administrador serán afrontados con el crédito presupuestario correspondiente a la JEFATURA DE GABINETE DE MINISTROS.

CAPITULO V

DEL SISTEMA DE AUDITORIA

Art. 18. — Precalificación de entidades de auditoría. La JEFATURA DE GABINETE DE MINISTROS convocará a concurso público para la precalificación de entidades de auditoría entre las universidades y organismos científicos y/o tecnológicos nacionales o provinciales, los Colegios y Consejos profesionales, que acrediten experiencia profesional acorde en la materia, interesadas en prestar el servicio de auditoría de entidades prestadoras de servicios de certificación digital. A tal fin, elaborará un Pliego Estándar de Precalificación de Entidades de Auditoría, y determinará la periodicidad de la convocatoria.

Art. 19. — Informe de auditoría. El informe de auditoría evaluará los sistemas utilizados por el certificador de acuerdo con los requerimientos de la Ley N° 25.506, el presente decreto y las normas complementarias.

Art. 20. — Conflicto de intereses. Para garantizar la objetividad e imparcialidad de la actividad de auditoría no podrán desempeñarse en la prestación de servicios de auditoría aquellas entidades o personas vinculadas con prestadores de servicios de certificación, lo que será establecido en el Pliego Estándar de Precalificación de Entidades de Auditoría previsto en el artículo 18 del presente decreto.

Art. 21. — Deber de confidencialidad. Las entidades auditantes y las personas que efectúen las auditorías deben mantener la confidencialidad sobre la información considerada amparada bajo normas de confidencialidad por el Certificado Licenciado.

CAPITULO VI

DE LOS ESTÁNDARES TECNOLÓGICOS

Art. 22. — Aplicación provisoria de los estándares vigentes. Hasta tanto la JEFATURA DE GABINETE DE MINISTROS apruebe los Estándares Tecnológicos de Infraestructura de Firma Digital en consonancia con estándares tecnológicos internacionales, mantendrán su vigencia los establecidos en la Resolución N° 194/98 de la ex Secretaría de la Función Publica.

CAPITULO VII

DE LA REVOCACIÓN DE CERTIFICADOS DIGITALES

Art. 23. — Revocación de certificados. Se deberán revocar los certificados digitales emitidos en los siguientes casos:

a) A solicitud del titular del certificado digital

b) Si se determina que un certificado digital fue emitido en base a una información falsa que en el momento de la emisión hubiera sido objeto de verificación.

c) Si se determina que los procedimientos de emisión y/o verificación han dejado de ser seguros.

d) Por condiciones especiales definidas en las Políticas de Certificación.

e) Por Resolución Judicial o de la Autoridad de Aplicación debidamente fundada.

f) Por fallecimiento del titular.

g) Por declaración judicial de ausencia con presunción de fallecimiento del titular.

h) Por declaración judicial de incapacidad del titular.

i) Si se determina que la información contenida en el certificado ha dejado de ser válida.

j) Por el cese de la relación de representación respecto de una persona.

CAPITULO VIII

DE LOS CERTIFICADORES LICENCIADOS

Art. 24. — Obtención de la licencia. Para obtener una licencia, los proveedores de servicios de certificación deberán particularizar las actividades para las cuales requieren la licencia y acreditar por los medios que este determine ante el Ente Administrador de Firma Digital:

a) Documentación que demuestre:

1.- En el caso de personas jurídicas, su personería.

2.- En el caso de registro público de contratos, tal condición

3.- En el caso de organización pública, la autorización de su máxima autoridad para iniciar el proceso de licenciamiento y la correspondiente aprobación de la JEFATURA DE GABINETE DE MINISTROS, de acuerdo con lo dispuesto en el artículo 41 de la presente reglamentación.

b) El cumplimiento de las condiciones establecidas en la ley; este decreto y las normas complementarias.

c) Las políticas de certificación para las cuales solicita licencia que respaldan la emisión de sus certificados, Manual de Procedimientos, Plan de Seguridad, Plan de Cese de Actividades y Plan de Contingencia satisfactorias de acuerdo con las normas reglamentarias.

d) Toda aquella información o requerimiento, que demande la Autoridad de Aplicación.

Art. 25. — Efectos del licenciamiento. El otorgamiento de la licencia no implica que el Ente Administrador de la Infraestructura de Firma Digital, la JEFATURA DE GABINETE DE MINISTROS, las entidades auditantes o cualquier organismo del Estado garantice la provisión de los servicios de certificación o los productos provistos por el Certificador Licenciado.

Art. 26. — Duración de la licencia. Las licencias tendrán un plazo de duración de CINCO (5) años y podrán ser renovadas.

Los certificadores licenciados deberán efectuar anualmente una declaración jurada en la cual conste el cumplimiento de las normas establecidas en la Ley N° 25.506, en el presente decreto y en las normas complementarias.

Los certificadores licenciados serán sometidos a auditorías anuales.

Art. 27. — Causales de caducidad de la licencia. El Ente Administrador podrá disponer de oficio, y en forma preventiva la caducidad de la licencia en los siguientes casos:

a) Falta de presentación de la declaración jurada anual.

b) Falsedad de los datos contenidos en la declaración jurada anual.

c) Dictamen desfavorable de auditoría basado en causales graves.

d) Informe de la inspección dispuesta por el Ente Administrador desfavorable basado, en causales graves.

e) Cuando el certificador licenciado no permita la realización de auditorías o inspecciones dispuestas por el Ente Administrador.

Art. 28. — Reconocimiento de certificados extranjeros. De acuerdo a lo establecido en el artículo 6° de la presente reglamentación, facúltase a la JEFATURA DE GABINETE DE MINISTROS a elaborar y firmar acuerdos de reciprocidad con gobiernos de países extranjeros, a fin de otorgar validez, en sus respectivos territorios, a los certificados digitales emitidos por certificadores de ambos países, en tanto se verifique el cumplimiento de las condiciones establecidas por la Ley N° 25.506 y su reglamentación para los certificados emitidos por certificadores nacionales.

Los certificadores licenciados no podrán reconocer certificaciones emitidas por certificadores extranjeros correspondientes a personas con domicilio o residencia en la República Argentina. El Ente Administrador de Firma Digital establecerá las relaciones que los certificadores licenciados deberán guardar entre los certificados emitidos en la República Argentina y los certificados reconocidos de certificadores extranjeros.

Art. 29. — Políticas de Certificación. La JEFATURA DE GABINETE DE MINISTROS definirá el contenido, mínimo de las políticas de certificación de acuerdo con los estándares nacionales e internacionales vigentes, las que deberán contener al menos la siguiente información:

a) Identificación del certificador licenciado.

b) Política de administración de los certificados y detalles de los servicios arancelados.

c) Obligaciones de la entidad y de los suscriptores de los certificados.

d) Tratamiento de la información suministrada por los suscriptores, y resguardo de la confidencialidad en su caso.

e) Garantías que ofrece para el cumplimiento de las obligaciones que se deriven de sus actividades.

Art. 30. — (Artículo derogado por art. 1° del Decreto 724/2006)

Art. 31. — Responsabilidad de los certificadores licenciados. En ningún caso, la responsabilidad que pueda emanar de una certificación efectuada por un certificador licenciado, público o privado, comprometerá la responsabilidad pecuniaria del Estado en su calidad de Ente Administrador de la Infraestructura de Firma Digital.

Art. 32. — Recursos de los certificadores licenciados. Para el desarrollo adecuado de las actividades de certificación, el certificador deberá acreditar que cuenta con un equipo de profesionales, infraestructura física tecnológica y recursos financieros, como así también procedimientos y sistemas de seguridad que permitan:

a) Generar en un ambiente seguro las firmas digitales propias y todos los servicios para los cuales solicite licencia.

b) Cumplir con lo previsto en sus políticas y procedimientos de certificación.

c) Garantizar la confiabilidad de los sistemas de acuerdo con los estándares aprobados por la Autoridad de Aplicación.

d) Expedir certificados que cumplan con:

1.- Lo previsto en los artículos 13 y 14 de la Ley N° 25.506.

2.- Los estándares tecnológicos aprobados por la JEFATURA DE GABINETE DE MINISTROS.

e) Garantizar la existencia de sistemas de seguridad física y lógica que cumplimenten las normativas vigentes.

f) Proteger el manejo de la clave privada de la entidad mediante un procedimiento de seguridad que impida el acceso a la misma a personal no autorizado.

g) Proteger el acceso y el uso de la clave privada mediante procedimientos que exijan la participación de más de una persona.

h) Registrar las transacciones realizadas, a fin de identificar el autor y el momento de cada una de las operaciones.

i) Utilizar con exclusividad los sistemas que cumplan las funciones de certificación con ese propósito, sin que se les asigne ninguna otra función.

j) Proteger a todos los sistemas utilizados directa o indirectamente en la función de certificación con procedimientos de autenticación y seguridad de alto nivel de protección, que deban ser actualizados de acuerdo a los avances tecnológicos para garantizar la correcta prestación de los servicios de certificación.

k) Garantizar la continuidad de las operaciones mediante un Plan de Contingencia actualizado y aprobado.

l) Disponer de los recursos financieros adecuados al tipo de actividad de certificación que desarrolla, acorde con los niveles de responsabilidad derivados de la misma.

Art. 33. — Servicios de Terceros. En los casos en que el certificador licenciado requiera o utilice los servicios de infraestructura tecnológicos prestados por un tercero, deberá prever dentro de su Plan de Contingencia los procedimientos a seguir en caso de interrupción de estos servicios, de modo tal que permita continuar prestando sus servicios de certificación sin ningún perjuicio para los suscriptores.

Los contratos entre el certificador licenciado y los proveedores de servicios o infraestructura deberán garantizar la ejecución de los procedimientos contemplados en el Plan de Cese de actividades aprobado por el Ente Licenciante. El certificador licenciado o en proceso de licenciamiento deberá facilitar al Ente Licenciante toda aquella información obrante en los contratos vinculada a la prestación de servicios de certificación y a la implementación del Plan de Cese de actividades y el Plan de Contingencia.

La contratación de servicios o infraestructura no exime al prestador de la presentación de los informes de auditoría, los cuales deberán incluir los sistemas y seguridades del prestador contratado.

Art. 34. — Obligaciones del certificador licenciado. Además de lo previsto en el artículo 21 de la Ley N° 25.506, los certificadores licenciados deberán:

a) Comprobar por sí o por medio de una Autoridad de Registro que actúe en nombre y por cuenta suya, la identidad y cualquier otro dato de los solicitantes considerado relevante para los procedimientos de verificación de identidad previos a la emisión del certificado digital, según la Política de Certificación bajo la cual se solicita.

b) Mantener a disposición permanente del público las Políticas de Certificación y el Manual de Procedimientos correspondiente.

c) Cumplir cabalmente con las políticas de certificación acordadas con el titular y con su Manual de Procedimientos.

d) Garantizar la prestación establecida según los niveles definidos en el acuerdo de servicios pactados con sus usuarios, relativo a los servicios para los cuales solicitó el licenciamiento.

e) Informar al solicitante de un certificado digital, en un lenguaje claro y accesible, en idioma nacional, respecto de las características del certificado solicitado, las limitaciones a la responsabilidad, si las hubiere, los precios de los servicios de certificación, uso, administración y otros asociados, incluyendo cargos adicionales y formas de pago, los niveles de servicio al proveer, las obligaciones que el suscriptor asume como usuario del servicio de certificación, su domicilio en la República Argentina y los medios a los que el suscriptor puede acudir para solicitar aclaraciones, dar cuenta del mal funcionamiento del sistema o presentar sus reclamos.

f) Disponer de un servicio de atención a titulares y terceros, que permita evacuar las consultas y la pronta solicitud de revocación de certificados.

g) Garantizar el acceso permanente, eficiente y gratuito de los titulares y terceros al repositorio de certificados revocados.

h) Mantener actualizados los repositorios de certificados revocados por el período establecido por el Ente Administrador.

i) Abstenerse de generar, exigir, tomar conocimiento o acceder bajo ninguna circunstancia a la clave privada del suscriptor.

j) Informar al Ente Administrador de modo inmediato la ocurrencia de cualquier evento que comprometa la correcta prestación del servicio.

k) Respetar el derecho del titular del certificado digital a no recibir publicidad de ningún tipo por su intermedio, salvo consentimiento expreso de éste.

l) Publicar en el Boletín Oficial durante UN (1) día, el certificado de clave pública correspondiente a la política para la cual obtuvo licenciamiento;

m) Cumplir las normas y recaudos establecidos para la protección de datos personales.

n) En los casos de revocación de certificados contemplados en el apartado 3 del inciso e) del artículo 19 de la Ley N° 25.506, deberá sustituir en forma gratuita aquel certificado digital que ha dejado de ser seguro por otro que sí cumpla con estos requisitos.

El Ente Administrador deberá establecer el proceso de reemplazo de certificados en estos casos. En los casos en los que un certificado digital haya dejado de ser seguro por razones atribuibles a su titular, el certificador licenciado no estará obligado a sustituir el certificado digital.

o) Enviar periódicamente al Ente Administrador, informes de estado de operaciones con carácter de declaración jurada.

p) Contar con personal idóneo y confiable, con antecedentes profesionales acordes a la función desempeñada.

q) Responder a los pedidos de informes por parte de un tercero respecto de la validez y alcance de un certificado digital emitido por él.

Art. 34 bis.— Aceptación por parte de terceros usuarios de documentos electrónicos firmados digitalmente. Los terceros usuarios que sean personas jurídicas que implementen aplicaciones que requieran firma digital, tienen la facultad de definir las características y requerimientos que deben cumplir las Políticas de Certificación, a los efectos de aceptar documentos electrónicos firmados digitalmente utilizando certificados digitales amparados por dichas Políticas. Dichas características y requerimientos deben ser manifestados previamente en forma clara y transparente a los titulares de certificados que pretendan operar con ellos.”

(Articulo incorporado por art. 4° del Decreto 724/2006)

CAPITULO IX

DE LAS AUTORIDADES DE REGISTRO

Art. 35. — Funciones de las Autoridades de Registro. Los Certificadores Licenciados podrán delegar en Autoridades de Registro las funciones de validación de identidad y otros datos de los suscriptores de certificados y de registro de las presentaciones y trámites que les sean formuladas, bajo la responsabilidad del Certificador Licenciado, cumpliendo las normas y procedimientos establecidos por la presente reglamentación.

Una autoridad de Registro es una entidad responsable de las siguientes funciones:

a) La recepción de las solicitudes de emisión de certificados.

b) La validación de la identidad y autenticación de los datos de los titulares de certificados.

c) La validación de otros datos de los titulares de certificados que se presenten ante ella cuya verificación delegue el Certificador Licenciado.

d) La remisión de las solicitudes aprobadas al Certificador Licenciado con la que se encuentre operativamente vinculada.

e) La recepción y validación de las solicitudes de revocación de certificados; y su direccionamiento al Certificador Licenciado con el que se vinculen.

f) La identificación y autenticación de los solicitantes de revocación de certificados.

g) El archivo y la conservación de toda la documentación respaldatoria del proceso de validación de identidad, de acuerdo con los procedimientos establecidos por el certificador licenciado.

h) El cumplimiento de las normas y recaudos establecidos para la protección de datos personales.

i) El cumplimiento de las disposiciones que establezca la Política de Certificación y el Manual de Procedimientos del Certificador Licenciado con el que se encuentre vinculada, en la parte que resulte aplicable.

Art. 36. — Responsabilidad del certificador licenciado respecto de la Autoridad de Registro. Una Autoridad de Registro puede constituirse como una única unidad o con varias unidades dependientes jerárquicamente entre sí, pudiendo, delegar su operatoria en otras autoridades de registro, siempre que medie la aprobación del Certificador Licenciado. El Certificador, Licenciado es responsable con los alcances establecidos en la Ley N° 25.506, aún en el caso de que delegue parte de su operatoria en Autoridades de Registro, sin perjuicio del derecho del certificador de reclamar a la Autoridad de Registro las indemnizaciones por los daños y perjuicios que aquél sufriera como consecuencia de los actos y/u omisiones de ésta.

CAPITULO X

DISPOSICIONES PARA LA ADMINISTRACIÓN PUBLICA NACIONAL

Art. 37. — Despapelización del Estado. Sin perjuicio de la aplicación directa de la ley en lo relativo a la validez jurídica de la firma electrónica, de la firma digital y de los documentos digitales, la implementación de las disposiciones de la ley y del presente decreto para la digitalización de procedimientos y trámites internos de la Administración Pública Nacional, de las Administraciones Públicas Provinciales, y de los Poderes Legislativos y Judiciales del orden nacional y provincial, así como los vinculados a la relación de las mencionadas jurisdicciones y entidades con los administrados, se hará de acuerdo a lo que fijen reglamentariamente cada uno de los Poderes y Administraciones.

Art. 38. — Las entidades y jurisdicciones pertenecientes a la Administración Pública Nacional podrán ser certificadores licenciados emitir certificados para agentes y funcionarios públicos y particulares, tanto sean personas físicas como jurídicas. Dichos certificados deberán ser provistos en forma gratuita.

En aquellas aplicaciones en las que la Administración Pública Nacional interactúe con la comunidad, solamente se admitirá la recepción de documentos digitales firmados digitalmente utilizando certificados emitidos por certificadores licenciados o certificados extranjeros reconocidos en los términos del artículo 16 de Ley 25.506.

(Artículo sustituido por art. 2° del Decreto 724/2006)

Art. 39. — Autoridades de Registro pertenecientes a la Administración Pública Nacional. En las entidades y jurisdicciones pertenecientes a la Administración Pública Nacional, las áreas de recursos humanos cumplirán las funciones de Autoridades de Registro para los agentes y funcionarios de su jurisdicción. En el caso, y si las aplicaciones de que se trate lo requieren, la máxima autoridad del organismo podrá asignar, adicionalmente, a otra unidad las funciones de Autoridad de Registro.

Art. 40. — Agentes y funcionarios. La Autoridad de Aplicación podrá requerir para el cumplimiento de lo establecido en la presente reglamentación la adscripción de agentes y funcionarios pertenecientes a las entidades y jurisdicciones comprendidas en el artículo 8° de la Ley N° 24.156 y sus modificatorias.

Art. 41. — Utilización por las entidades y jurisdicciones de la Administración Pública Nacional. La JEFATURA DE GABINETE DE MINISTROS, establecerá las normas de aplicación de la presente reglamentación en la Administración Pública Nacional, que deberán contemplar:

a) Las acciones tendientes a promover el uso masivo de la firma digital con el fin de posibilitar el trámite de los expedientes en forma simultánea, búsquedas automáticas de información, seguimiento y control por parte de los interesados.

b) Las acciones tendientes a implementar la progresiva despapelización del Estado, a fin de contar en un plazo de CINCO (5) años con la totalidad de la documentación administrativa en formato digital.

c) La interoperabilidad entre aplicaciones.

d) La autorización para solicitar el licenciamiento como certificador ante el Ente Administrador de la Infraestructura de Firma Digital para las entidades y jurisdicciones de la Administración Pública Nacional.

e) La participación del Cuerpo de Administradores Gubernamentales a los fines de difundir el uso de la firma digital y facilitar los procesos de despapelización.

Art. 42. — Presentación de documentos electrónicos. Los organismos de la Administración Pública Nacional deberán establecer mecanismos que garanticen la opción de remisión, recepción, mantenimiento y publicación de información electrónica, siempre que esto sea aplicable, tanto para la gestión de documentos entre organismos como para con los ciudadanos.

Art. 43. — Normas para la elaboración y redacción de la documentación administrativa. Lo dispuesto en la presente reglamentación constituye una alternativa a lo establecido por el Decreto N° 333/85 y sus modificatorios.

Art. 44. — Glosario. Apruébase el glosario que obra como Anexo I del presente Decreto.

Art. 45. — Derogación. Derógase el Decreto N° 427/98.

Art. 46. — Comuníquese, publíquese, dése a la Dirección Nacional del Registro Oficial y archívese. — DUHALDE. — Alfredo N. Atanasof. — Juan J. Alvarez.

ANEXO I

GLOSARIO

1.- Firma Electrónica: Se entiende por firma electrónica al conjunto de datos electrónicos integrados, ligados o asociados de manera lógica a otros datos electrónicos, utilizados por el signatario como su medio de identificación, que carezca de algunos de los requisitos legales para ser considerada firma digital. En caso de ser desconocida la firma electrónica corresponde a quien la invoca acreditar su validez (artículo 5°, Ley N° 25.506).

2.- Firma digital: Se entiende por firma digital al resultado de aplicar a un documento digital un procedimiento matemático que requiere información de exclusivo conocimiento del firmante, encontrándose ésta bajo su absoluto control. La firma digital debe ser susceptible de verificación por terceras partes, tal que dicha verificación simultáneamente permita identificar al firmante y detectar cualquier alteración del documento digital, posterior a su firma.

Los procedimientos de firma y verificación a ser utilizados para tales fines serán los determinados por la Autoridad de Aplicación en consonancia con estándares tecnológicos internacionales vigentes (artículo 2°, Ley N° 25.506).

3.- Documento Digital o Electrónico: Se entiende por documento digital a la representación digital de actos o hechos, con independencia del soporte: utilizado para su fijación, almacenamiento archivo. Un documento digital también satisface el requerimiento de escritura (artículo 6°, Ley N° 25.506).

4.- Certificado Digital: Se entiende por certificado digital al documento digital firmado digitalmente por un certificador, que vincula los datos de verificación de firma a su titular (artículo 13, Ley N° 25.506).

5.- Certificador Licenciado: Se entiende por certificador licenciado a toda persona de existencia ideal, registro público de contratos u organismo público que expide certificados, presta otros servicios en relación con la firma digital y cuenta con una licencia para ello, otorgada por el ente licenciante.

La actividad de los certificadores licenciados no pertenecientes al sector público se prestará en régimen de competencia. El arancel de los servicios prestados por los certificadores licenciados será establecido libremente por éstos (artículo 17, Ley N° 25.506).

6.- Política de Certificación: Conjunto de criterios que indican la aplicabilidad de un certificado a un grupo de usuarios en particular o a un conjunto de aplicaciones con similares requerimientos de seguridad. En inglés Certification Policy (CP).

7.- Manual de Procedimientos: Conjunto de prácticas utilizadas por el certificador licenciado en la remisión y administración de los certificados. En inglés Certification Practice Statement (CPS).

8.- Plan de Seguridad: Conjunto de políticas, prácticas y procedimientos destinados a la protección; de los recursos del certificador licenciado.

9.- Plan de Cese de Actividades: conjunto de actividades a desarrollar por el certificador licenciado en caso de finalizar la prestación de sus servicios.

10.- Plan de Contingencias: Conjunto de procedimientos a seguir por el certificador licenciado ante situaciones de ocurrencia no previstas que comprometan la continuidad de sus operaciones.

11.- Lista de certificados revocados: Lista de certificados que han sido dejados sin efecto en forma permanente por el Certificador Licenciado, la cual ha sido firmada digitalmente y publicada por el mismo. En inglés Certificate Revocation List (CRL).

12.- Certificación digital de fecha y hora: Indicación de la fecha y hora cierta, asignada a un documento o registro electrónico por una tercera parte confiable y firmada digitalmente por ella.

13.- Terceras partes confiables: Entidades independientes que otorgan seguridad y confiabilidad al manejo de la información.

14.- Proveedor de servicios de certificación digital: Entidad que provee el servicio de emisión y administración de certificados digitales.

15.- Homologación de dispositivos de creación y verificación de firmas digitales: Proceso de comprobación efectuado para establecer la adecuación de los dispositivos a requerimientos mínimos establecidos.

16.- Certificación de sistemas que utilizan firma digital: Proceso de comprobación efectuado para establecer la adecuación de un sistema o aplicación a requerimientos mínimos establecidos.

17.- Suscriptor o Titular de certificado digital: Persona a cuyo nombre se emite un certificado y posee una clave privada que se corresponde con la clave pública contenida en el mismo.

18. Tercero Usuario: persona física o jurídica que recibe un documento firmado digitalmente y que genera una consulta para verificar la validez del certificado digital correspondiente. (Punto incorporado por art. 3° del Decreto 724/2006)

LEY 25506 DE FIRMA DIGITAL

SANCIONADA EL 14.11.2001

PROMULGADA DE HECHO EL 11.12.2001

PUBLICADA EN BOLETIN OFICIAL EL 14.12.2001

Dictamen contenido en la Orden del Dia N° 2651/01

de la H.Cámara de Diputados de la Nación

Media Sanción en Diputados: 15 de agosto de 2001

Dictamen de las Comisiones

Honorable Cámara:

Las Comisiones de Comunicaciones e Informática y de Legislación General han considerado el proyecto de ley del señor diputado Fontdevila y otros señores diputados, y han tenido a la vista el proyecto de ley del señor diputado Corchuelo Blasco y otros señores diputados, el proyecto de ley de la señora diputada Puiggrós, el proyecto de ley del señor diputado Cardesa y otros señores diputados y el proyecto de ley del señor diputado Atanasof y de la señora diputada Camaño, G., por el que se establece el régimen de habilitación y regulación del empleo de la firma digital; y por las razones expuestas en el informe que se acompaña y las que dará el miembro informante, aconsejan la sanción del siguiente

Proyecto de ley

El Senado y la Cámara, etc.

LEY FIRMA DIGITAL

CAPITULO I

CONSIDERACIONES GENERALES

ARTICULO 1.- Objeto. Se reconoce el empleo de la firma electrónica y de la firma digital y su eficacia jurídica en las condiciones que establece la presente ley.

ARTICULO 2.- Firma Digital. Se entiende por firma digital al resultado de aplicar a un documento digital un procedimiento matemático que requiere información de exclusivo conocimiento del firmante encontrándose esta bajo su absoluto control. La firma digital debe ser susceptible de verificación por terceras partes tal que dicha verificación simultáneamente permita identificar al firmante y detectar cualquier alteración del documento digital posterior a su firma.

Los procedimientos de firma y verificación a ser utilizados para tales fines serán los determinados por la Autoridad de Aplicación en consonancia con estándares tecnológicos internacionales vigentes.

ARTICULO 3.- Del requerimiento de firma. Cuando la ley requiera una firma manuscrita, esa exigencia también queda satisfecha por una firma digital. Este principio es aplicable a los casos en que la ley establece la obligación de firmar o prescribe consecuencias para su ausencia.

ARTICULO 4.- Exclusiones. Las disposiciones de esta ley no son aplicables:

a) a las disposiciones por causa de muerte;

b) a los actos jurídicos del derecho de familia;

c) a los actos personalísimos en general;

d) a los actos que deban ser instrumentados bajo exigencias o formalidades incompatibles con la utilización de la firma digital, ya sea como consecuencia de disposiciones legales o acuerdo de partes.

ARTICULO 5.- Firma electrónica. Se entiende por firma electrónica al conjunto de datos electrónicos integrados, ligados o asociados de manera lógica a otros datos electrónicos, utilizado por el signatario como su medio de identificación, que carezca de alguno de los requisitos legales para ser considerada firma digital. En caso de ser desconocida la firma electrónica corresponde a quien la invoca acreditar su validez.

ARTICULO 6.- Documento digital. Se entiende por documento digital a la representación digital de actos o hechos, con independencia del soporte utilizado para su fijación, almacenamiento o archivo. Un documento digital también satisface el requerimiento de escritura.

ARTICULO 7.- Presunción de autoría. Se presume, salvo prueba en contrario, que toda firma digital pertenece al titular del certificado digital que permite la verificación de dicha firma.

ARTICULO 8.- Presunción de integridad. Si el resultado de un procedimiento de verificación de una firma digital aplicado a un documento digital es verdadero, se presume, salvo prueba en contrario, que este documento digital no ha sido modificado desde el momento de su firma.

ARTICULO 9.- Validez. Una firma digital es válida si cumple con los siguientes requisitos:

haber sido creada durante el periodo de vigencia del certificado digital válido del firmante;

ser debidamente verificada por la referencia a los datos de verificación de firma digital indicados en dicho certificado según el procedimiento de verificación correspondiente;

que dicho certificado haya sido emitido o reconocido, según el artículo 16 de la presente, por un certificador licenciado.

ARTICULO 10.- Remitente. Presunción. Cuando un documento digital sea enviado en forma automática por un dispositivo programado y lleve la firma digital del remitente se presumirá, salvo prueba en contrario, que el documento firmado proviene del remitente.

ARTICULO 11.- Original. Los documentos electrónicos firmados digitalmente y los reproducidos en formato digital firmados digitalmente a partir de originales de primera generación en cualquier otro soporte, también serán considerados originales y poseen, como consecuencia de ello, valor probatorio como tales, según los procedimientos que determine la reglamentación.

ARTICULO 12.- Conservación. La exigencia legal de conservar documentos, registros o datos, también queda satisfecha con la conservación de los correspondientes documentos digitales firmados digitalmente, según los procedimientos que determine la reglamentación, siempre que sean accesibles para su posterior consulta y permita determinar fehacientemente el origen, destino, fecha y hora de su generación, envío y/ o recepción.

CAPITULO II

DE LOS CERTIFICADOS DIGITALES

ARTICULO 13.- Certificado digital. Se entiende por certificado digital al documento digital firmado digitalmente por un certificador, que vincula los datos de verificación de firma a su titular.

ARTICULO 14.- Requisitos de validez de los certificados digitales. Los certificados digitales para ser válidos deben:

a) Ser emitidos por un certificador licenciado por el Ente Licenciante;

b) Responder a formatos estándares reconocidos internacionalmente fijados por la Autoridad de Aplicación y contener, como mínimo, los datos que permitan:

identificar indubitablemente a su titular y al certificador licenciado que lo emitió, indicando su período de vigencia y los datos que permitan su identificación única;

ser susceptible de verificación respecto de su estado de revocación;

Diferenciar claramente la información verificada de la no verificada incluidas en el certificado;

contemplar la información necesaria para la verificación de la firma;

identificar la política de certificación bajo la cual fue emitido.

ARTICULO 15.- Período de vigencia del certificado digital. A los efectos de esta ley, el certificado digital es válido únicamente dentro del período de vigencia, que comienza en la fecha de inicio y finaliza en su fecha de vencimiento, debiendo ambas ser indicadas en el certificado digital, o con su revocación si fuere revocado.

La fecha de vencimiento del certificado digital referido en el párrafo anterior en ningún caso puede ser posterior a la del vencimiento del certificado digital del certificador licenciado que lo emitió.

La Autoridad de Aplicación podrá establecer mayores exigencias respecto de la determinación exacta del momento de emisión, revocación y vencimiento de los certificados digitales.

ARTICULO 16.- Reconocimiento de certificados extranjeros. Los certificados digitales emitidos por certificadores extranjeros podrán ser reconocidos en los mismos términos y condiciones exigidos en la ley y sus normas reglamentarias cuando:

reúnan las condiciones que establece la presente ley y la reglamentación correspondiente para los certificados emitidos por certificadores nacionales y se encuentre vigente un acuerdo de reciprocidad firmado por la República argentina y el país de origen del certificador extranjero, o;

tales certificados sean reconocidos por un certificador licenciado en el país, que garantice su validez y vigencia conforme a la presente ley. A fin de tener efectos, este reconocimiento deberá ser validado por la Autoridad de Aplicación.

CAPITULO III

DEL CERTIFICADOR LICENCIADO

ARTICULO 17.- Del certificador licenciado. Se entiende por certificador licenciado a toda persona de existencia ideal, registro público de contratos u organismo público que expide certificados y presta otros servicios en relación con la firma digital y cuenta con una licencia para ello, otorgada por el Ente Licenciante.

La actividad de los certificadores licenciados no pertenecientes al Sector Público se prestará en régimen de competencia. El arancel de los servicios prestados por los Certificadores Licenciados será establecido libremente por éstos.

ARTÍCULO 18.- Certificados por profesión. Las entidades que controlan la matricula, en relación a la prestación de servicios profesionales, podrán emitir certificados digitales en lo referido a esta función, con igual validez y alcance jurídico que las efectuadas en forma manuscrita. A ese efecto deberán cumplir los requisitos para ser certificador licenciado.

ARTICULO 19.- Funciones. El certificador licenciado tiene las siguientes funciones:

a) recibir una solicitud de emisión de certificado digital, firmada digitalmente con los correspondientes datos de verificación de firma digital del solicitante;

b) emitir certificados digitales de acuerdo a lo establecido en sus políticas de certificación, y a las condiciones que la Autoridad de Aplicación indique en la reglamentación de la presente ley;

c) identificar inequívocamente los certificados digitales emitidos;

d) mantener copia de todos los certificados digitales emitidos, consignando su fecha de emisión y de vencimiento si correspondiere, y de sus correspondientes solicitudes de emisión;

e) revocar los certificados digitales por él emitidos en los siguientes casos, entre otros que serán determinados por la reglamentación:

a solicitud del titular del certificado digital

si determinara que un certificado digital fue emitido en base a una información falsa, que en el momento de la emisión hubiera sido objeto de verificación;

si determinara que los procedimientos de emisión y/o verificación han dejado de ser seguro;

por condiciones especiales definidas en su política de certificación.

por resolución judicial o de la Autoridad de Aplicación.

f) informar públicamente el estado de los certificados digitales por él emitidos. Los certificados digitales revocados deben ser incluidos en una lista de certificados revocados indicando fecha y hora de la revocación. La validez y autoría de dicha lista de certificados revocados deben ser garantizadas.

ARTICULO 20.- Licencia. Para obtener una licencia el certificador debe cumplir con los requisitos establecidos por la ley y tramitar la solicitud respectiva ante el Ente Licenciante, el que otorgará la licencia previo dictamen legal y técnico que acredite la aptitud para cumplir con sus funciones y obligaciones. Estas licencias son intransferibles.

ARTICULO 21.- Obligaciones. Son obligaciones del certificador licenciado:

a) informar a quien solicita un certificado con carácter previo a su emisión y utilizando un medio de comunicación las condiciones precisas de utilización del certificado digital, sus características y efectos, la existencia de un sistema de licenciamiento y los procedimientos, forma que garantiza su posible responsabilidad patrimonial y los efectos de la revocación de su propio certificado digital y de la licencia que le otorga el Ente Licenciante. Esa información deberá estar libremente accesible en lenguaje fácilmente comprensible. La parte pertinente de dicha información estará también disponible para terceros;

b) abstenerse de generar, exigir, o por cualquier otro medio tomar conocimiento o acceder bajo ninguna circunstancia, a los datos de creación de firma digital de los titulares de certificados digitales por él emitidos;

c) mantener el control exclusivo de sus propios datos de creación de firma digital e impedir su divulgación;

d) operar utilizando un sistema técnicamente confiable de acuerdo con lo que determine la Autoridad de Aplicación;

e) notificar al solicitante las medidas que está obligado a adoptar para crear firmas digitales seguras y para su verificación confiable y de las obligaciones que asume por el solo hecho de ser titular de un certificado digital;

f) recabar únicamente aquellos datos personales del titular del certificado digital que sean necesarios para su emisión, quedando el solicitante en libertad de proveer información adicional;

g) mantener la confidencialidad de toda información que no figure en el certificado digital;

h) poner a disposición del solicitante de un certificado digital toda la información relativa a su tramitación;

i) mantener la documentación respaldatoria de los certificados digitales emitidos, por DIEZ (10) años a partir de su fecha de vencimiento o revocación;

j) incorporar en su política de certificación los efectos de la revocación de su propio certificado digital y/o de la licencia que le otorgara la Autoridad de Aplicación;

k) publicar en Internet o en la red de acceso público de transmisión o difusión de datos que la sustituya en el futuro, en forma permanente e ininterrumpida, la lista de certificados digitales revocados, las políticas de certificación, la información relevante de los informes de la última auditoria de que hubiera sido objeto, su manual de procedimientos y toda información que determine la Autoridad de Aplicación;

l) publicar en el Boletín Oficial aquellos datos que la Autoridad de Aplicación determine;

m) registrar las presentaciones que le sean formuladas, así como el trámite conferido a cada una de ellas;

n) informar en las políticas de certificación si los certificados digitales por él emitidos requieren la verificación de la identidad del titular;

o) verificar, de acuerdo con lo dispuesto en su manual de procedimientos, toda otra información que deba ser objeto de verificación, la que debe figurar en las políticas de certificación y en los certificados digitales;

p) solicitar inmediatamente al Ente Licenciante la revocación de su certificado, o informarle la revocación del mismo, cuando existieren indicios de que los datos de creación de firma digital que utiliza hubiesen sido comprometidos o cuando el uso de los procedimientos de aplicación de los datos de verificación de firma digital en él contenida haya dejado de ser seguro;

q) informar inmediatamente al Ente Licenciante sobre cualquier cambio en los datos relativos a su licencia;

r) permitir el ingreso de los funcionarios autorizados de la Autoridad de Aplicación, del Ente Licenciante o de los auditores, a su local operativo, poner a su disposición toda la información necesaria y proveer la asistencia del caso;

s) emplear personal idóneo que tenga los conocimientos específicos, la experiencia necesaria para proveer los servicios ofrecidos y en particular, competencia en materia de gestión, conocimientos técnicos en el ámbito de la firma digital y experiencia adecuada en los procedimientos de seguridad pertinentes;

t) someter a aprobación del Ente Licenciante el manual de procedimientos, el plan de seguridad y el de cese de actividades, así como el detalle de los componentes técnicos a utilizar;

u) constituir domicilio legal en la República Argentina;

v) disponer de recursos humanos y tecnológicos suficientes para operar de acuerdo a las exigencias establecidas en la presente ley y su reglamentación;

w) cumplir con toda otra obligación emergente de su calidad de titular de la licencia adjudicada por el Ente Licenciante.

ARTICULO 22.- Cese del certificador. El certificador licenciado cesa en tal calidad:

a) por decisión unilateral comunicada al Ente Licenciante;

b) por cancelación de su personería jurídica;

c) por cancelación de su licencia dispuesta por el Ente Licenciante.

La Autoridad de Aplicación determinará los procedimientos de revocación aplicables en estos casos.

ARTICULO 23.- Desconocimiento de la validez de un certificado digital. Un certificado digital no es válido si es utilizado:

a) para alguna finalidad diferente a los fines para los cuales fue extendido;

b) para operaciones que superen el valor máximo autorizado cuando corresponda;

c) una vez revocado.

CAPITULO IV

DEL TITULAR DE UN CERTIFICADO DIGITAL

ARTICULO 24.- Derechos del titular de un certificado digital. El titular de un certificado digital tiene los siguientes derechos:

a) a ser informado por el certificador licenciado, con carácter previo a la emisión del certificado digital, y utilizando un medio de comunicación sobre las condiciones precisas de utilización del certificado digital, sus características y efectos, la existencia de este sistema de licenciamiento y los procedimientos asociados. Esa información deberá darse por escrito en un lenguaje fácilmente comprensible. La parte pertinente de dicha información estará también disponible para terceros;

b) a que el certificador licenciado emplee los elementos técnicos disponibles para brindar seguridad y confidencialidad a la información proporcionada por él, y a ser informado sobre ello;

c) a ser informado, previamente a la emisión del certificado, del precio de los servicios de certificación, incluyendo cargos adicionales y formas de pago;

d) a que el certificador licenciado le informe sobre su domicilio en la República Argentina, y sobre los medios a los que pueda acudir para solicitar aclaraciones, dar cuenta del mal funcionamiento del sistema, o presentar sus reclamos;

e) a que el certificador licenciado proporcione los servicios pactados, y a no recibir publicidad comercial de ningún tipo por intermedio del certificador licenciado.

ARTICULO 25.- Obligaciones del titular del certificado digital. Son obligaciones del titular de un certificado digital:

a) mantener el control exclusivo de sus datos de creación de firma digital, no compartirlos, e impedir su divulgación;

b) utilizar un dispositivo de creación de firma digital técnicamente confiable;

c) solicitar la revocación de su certificado al Certificador Licenciado ante cualquier circunstancia que pueda haber comprometido la privacidad de sus datos de creación de firma;

d) informar sin demora al certificador licenciado el cambio de alguno de los datos contenidos en el certificado digital que hubiera sido objeto de verificación.

CAPITULO V

DE LA ORGANIZACIÓN INSTITUCIONAL

ARTICULO 26- Infraestructura de Firma Digital. Los certificados digitales regulados por esta ley deben ser emitidos o reconocido, según lo establecido por el artículo 16, por un certificador licenciado.

ARTICULO 27.- Sistema de Auditoria. La Autoridad de Aplicación, con el concurso de la Comisión Asesora para la Infraestructura de Firma Digital, diseñará un sistema de auditoria para evaluar la confiabilidad y calidad de los sistemas utilizados, la integridad, confidencialidad y disponibilidad de los datos, como así también el cumplimiento con las especificaciones del manual de procedimientos y los planes de seguridad y de contingencia aprobados por el Ente Licenciante.

ARTICULO 28.- Comisión Asesora para la Infraestructura de Firma Digital. Créase en el ámbito jurisdiccional de la Autoridad de Aplicación, la Comisión Asesora para la Infraestructura de Firma Digital.

CAPÍTULO VI

DE LA AUTORIDAD DE APLICACIÓN

ARTICULO 29.- Autoridad de Aplicación. La Autoridad de Aplicación de la presente ley será la JEFATURA DE GABINETE DE MINISTROS

ARTICULO 30.- Funciones. La Autoridad de Aplicación tiene las siguientes funciones:

dictar las normas reglamentarias y de aplicación de la presente;

a) establecer, previa recomendación de la Comisión Asesora para la Infraestructura de la Firma Digital, los estándares tecnológicos y operativos de la Infraestructura de Firma Digital;

b) determinar los efectos de la revocación de los certificados de los certificadores licenciados o del Ente Licenciante;

c) instrumentar acuerdos nacionales e internacionales a fin de otorgar validez jurídica a las firmas digitales creadas sobre la base de certificados emitidos por certificadores de otros países;

d) determinar las pautas de auditoria, incluyendo los dictámenes tipo que deba emitirse como conclusión de las revisiones;

e) actualizar los valores monetarios previstos en el régimen de sanciones de la presente ley;

f) determinar los niveles de licenciamiento.

g) otorgar o revocar las licencias a los certificadores licenciados y supervisar su actividad, según las exigencias instituidas por la reglamentación;

h) fiscalizar el cumplimiento de las normas legales y reglamentarias en lo referente a la actividad de los certificadores licenciados;

i) homologar los dispositivos de creación y verificación de firmas digitales, con ajuste a las normas y procedimientos establecidos por la reglamentación;

j) aplicar las sanciones previstas en la presente ley;

ARTICULO 31.- Obligaciones. En su calidad de titular de certificado digital, la Autoridad de Aplicación tiene las mismas obligaciones que los titulares de certificados y que los Certificadores Licenciados. En especial y en particular debe:

a) abstenerse de generar, exigir, o por cualquier otro medio tomar conocimiento o acceder bajo ninguna circunstancia, a los datos utilizados para generar la firma digital de los Certificadores Licenciados;

b) mantener el control exclusivo de los datos utilizados para generar su propia firma digital e impedir su divulgación;

c) revocar su propio certificado frente al compromiso de la privacidad de los datos de creación de firma digital;

d) publicar en Internet o en la red de acceso público de transmisión o difusión de datos que la sustituya en el futuro, en forma permanente e ininterrumpida, los domicilios, números telefónicos y direcciones de Internet tanto de los certificadores licenciados como los propios y su certificado digital;

e) supervisar la ejecución del plan de cese de actividades de los Certificadores Licenciados que discontinúan sus funciones;

ARTICULO 32.- Arancelamiento. La Autoridad de Aplicación podrá cobrar un arancel de licenciamiento para cubrir su costo operativo y de las auditorias realizadas por sí o por terceros contratados a tal efecto.

CAPÍTULO VII

DEL SISTEMA DE AUDITORÍA

ARTICULO 33.- Sujetos a auditar. El Ente Licenciante y los Certificadores Licenciados, deben ser auditados periódicamente, de acuerdo al sistema de auditoria que diseñe y apruebe la Autoridad de Aplicación.

La Autoridad de Aplicación podrá implementar el sistema de auditoria por sí o por terceros habilitados a tal efecto. Las auditorias deben como mínimo evaluar la confiabilidad y calidad de los sistemas utilizados, la integridad, confidencialidad y disponibilidad de los datos, como así también el cumplimiento con las especificaciones del manual de procedimientos y los planes de seguridad y de contingencia aprobados por el Ente Licenciante.

ARTICULO 34.- Requisitos de habilitación. Podrán ser terceros habilitados para efectuar las auditorias las Universidades y organismos científicos y/o tecnológicos nacionales o provinciales, los Colegios y Consejos profesionales, que acrediten experiencia profesional acorde en la materia.

CAPÍTULO VIII

DE LA COMISIÓN ASESORA PARA LA INFRAESTRUCTURA DE FIRMA DIGITAL

ARTICULO 35.- Integración y funcionamiento. La Comisión Asesora para la Infraestructura de Firma Digital estará integrada multidisciplinariamente por un máximo de 7 (siete) profesionales de carreras afines a la actividad de reconocida trayectoria y experiencia, provenientes de Organismos del Estado Nacional, Universidades Nacionales y Provinciales, Cámaras, Colegios u otros entes representativos de Profesionales.

Los integrantes serán designados por el Poder Ejecutivo Nacional por un período de cinco (5) años renovables por única vez.

Se reunirá como mínimo trimestralmente. Deberá expedirse prontamente a solicitud de la Autoridad de Aplicación y sus recomendaciones y disidencias se incluirán en las actas de la Comisión.

Consultará periódicamente mediante audiencias públicas con las cámaras empresarias, los usuarios y las asociaciones de consumidores y mantendrá a la Autoridad de Aplicación regularmente informada de los resultados de dichas consultas.

ARTICULO 36.- Funciones. La Comisión debe emitir recomendaciones por iniciativa propia o a solicitud de la Autoridad de Aplicación, sobre los siguientes aspectos:

a) estándares tecnológicos;

b) sistema de registro de toda la información relativa a la emisión de certificados digitales;

c) requisitos mínimos de información que se debe suministrar a los potenciales titulares de certificados digitales de los términos de las políticas de certificación;

d) metodología y requerimiento del resguardo físico de la información;

e) otros que le sean requeridos por la Autoridad de Aplicación.

CAPITULO IX

RESPONSABILIDAD

ARTICULO 37.- Convenio de partes. La relación entre el certificador licenciado que emita un certificado digital y el titular de ese certificado se rige por el contrato que celebren entre ellos, sin perjuicio de las previsiones de la presente ley y demás legislación vigente.

ARTICULO 38.- Responsabilidad de los certificadores licenciados ante terceros.

El Certificador que emita un Certificado Digital, o lo reconozca en los términos del art. 16 de la presente ley, es responsable por los daños y perjuicios que provoque, por los incumplimientos a las previsiones de la ésta, por los errores u omisiones que presenten los certificados digitales que expida, por no revocarlos en legal tiempo y forma cuando así correspondiere y por las consecuencias imputables a la inobservancia de procedimientos de certificación exigibles. Corresponderá al prestador del servicio, demostrar que actuó con la debida diligencia.

ARTICULO 39.- Limitaciones de responsabilidad. Los Certificadores Licenciados no son responsables en los siguientes casos:

a) por los casos que se excluyan taxativamente en las condiciones de emisión y utilización de sus certificados y que no estén expresamente previstos en la ley;

b) por los daños y perjuicios que resulten del uso no autorizado de un certificado digital, si en las correspondientes condiciones de emisión y utilización de sus certificados constan las restricciones de su utilización;

c) por eventuales inexactitudes en el certificado que resulten de la información facilitada por el titular que, según lo dispuesto en las normas y en los manuales de procedimientos respectivos, deba ser objeto de verificación, siempre que el certificador pueda demostrar que ha tomado todas las medidas razonables.

CAPITULO X

SANCIONES

ARTICULO 40.- Procedimiento. La instrucción sumarial y la aplicación de sanciones por violación a disposiciones de la presente ley será realizada por el Ente Licenciante. Es aplicable la Ley de Procedimientos Administrativos Nº 19.549 y sus normas reglamentarias.

ARTICULO 41.- Sanciones. El incumplimiento de las obligaciones establecidas en la presente ley para los certificadores licenciados dará lugar a la aplicación de las siguientes sanciones:

a) apercibimiento;

b) multa de pesos diez mil ($ 10.000) a pesos quinientos mil ($ 500.000);

c) caducidad de la licencia.

Su gradación según reincidencia y/u oportunidad será establecida por la reglamentación.

El pago de la sanción que aplique el Ente Licenciante no relevará al certificador licenciado de eventuales reclamos por daños y perjuicios causados a terceros y/o bienes de propiedad de éstos como consecuencia de la ejecución del contrato que celebren y/o por el incumplimiento de las obligaciones asumidas conforme al mismo y/o la prestación del servicio.

ARTICULO 42.- Apercibimiento. Podrá aplicarse sanción de apercibimiento en los siguientes casos:

emisión de certificados sin contar con la totalidad de los datos requeridos, cuando su omisión no invalidare el certificado;

no facilitar los datos requeridos por el Ente Licenciante en ejercicio de sus funciones;

cualquier otra infracción a la presente ley que no tenga una sanción mayor.

ARTICULO 43.- Multa. Podrá aplicarse sanción de multa en los siguientes casos:

incumplimiento de las obligaciones previstas en el artículo 21;

si la emisión de certificados se realizare sin cumplimentar las políticas de certificación comprometida y causaren perjuicios a los usuarios, signatarios o terceros, o se afectare gravemente la seguridad de los servicios de certificación;

omisión de llevar el registro de los certificados expedidos;

omisión de revocar en forma o tiempo oportuno un certificado cuando así correspondiere;

cualquier impedimento u obstrucción a la realización de inspecciones o auditorías por parte de la Autoridad de Aplicación y del Ente Licenciante;

incumplimiento a las normas dictadas por la Autoridad de Aplicación;

Reincidencia en la comisión de infracciones que dieran lugar a la sanción de apercibimiento;

ARTICULO 44.- Caducidad. Podrá aplicarse la sanción de caducidad de la licencia en caso de:

a) no tomar los debidos recaudos de seguridad en los servicios de certificación;

b) expedición de certificados falsos;

c) transferencia no autorizada o fraude en la titularidad de la licencia;

d) reincidencia en la comisión de infracciones que dieran lugar a la sanción de multa;

e) quiebra del titular.

La sanción de caducidad inhabilita a la titular sancionada y a los integrantes de órganos directivos por el término de 10 años para ser titular de licencias.

ARTICULO 45.- Recurribilidad. Las sanciones aplicadas podrán ser recurridas ante los tribunales federales con competencia en lo Contencioso Administrativo correspondientes al domicilio de la entidad, una vez agotada la vía administrativa pertinente.

La interposición de los recursos previstos en este capítulo tendrá efecto devolutivo.

ARTICULO 46.- Jurisdicción. En los conflictos entre particulares y certificadores licenciados es competente la Justicia en lo Civil y Comercial Federal. En los conflictos en que sea parte un organismo público certificador licenciado, es competente la Justicia en lo Contencioso Administrativo Federal.

CAPITULO XI

DISPOSICIONES COMPLEMENTARIAS

ARTICULO 47.- Utilización por el Estado Nacional. El Estado Nacional utilizará las tecnologías y previsiones de la presente ley en su ámbito interno y en relación con los administrados de acuerdo con las condiciones que se fijen reglamentariamente en cada uno de sus Poderes.

ARTICULO 48.- Implementación. El Estado Nacional, dentro de las jurisdicciones y entidades comprendidas en el artículo 8 de la Ley N° 24.156, promoverá el uso masivo de la firma digital de tal forma que posibilite el trámite de los expedientes por vías simultáneas, búsquedas automáticas de la información y seguimiento y control por parte del interesado, propendiendo a la progresiva despapelización.

En un plazo máximo de 5 (cinco) años contados a partir de la entrada en vigencia de la presente ley, se aplicará la tecnología de firma digital a la totalidad de las leyes, decretos, decisiones administrativas, resoluciones y sentencias emanados de las jurisdicciones y entidades comprendidas en el artículo 8° de la Ley N° 24.156.

ARTICULO 49.- Reglamentación. El Poder Ejecutivo Nacional deberá reglamentar esta ley en un plazo no mayor a los 180 (ciento ochenta) días de su publicación en el Boletín Oficial de la Nación.

ARTICULO 50.- Invitación. Invítase a las jurisdicciones provinciales a dictar los instrumentos legales pertinentes para adherir a la presente ley.

ARTICULO 51.- Equiparación a los efectos del derecho penal. Incorpórase el siguiente texto como art. 78 (bis) del Código Penal: “Los términos firma y suscripción comprenden la firma digital, la creación de una firma digital o firmar digitalmente. Los términos documento, instrumento privado y certificado comprenden el documento digital firmado digitalmente.”

ARTICULO 52.- Autorización al Poder Ejecutivo. Autorízase al Poder Ejecutivo Nacional para que por la vía del artículo 99 inciso 2 de la Constitución Nacional actualice los contenidos del Anexo de la presente ley a fin de evitar su obsolescencia.

ARTICULO 53.- Comuníquese al PODER EJECUTIVO NACIONAL.

ANEXO

INFORMACIÓN: conocimiento adquirido acerca de algo o alguien.

PROCEDIMIENTO DE VERIFICACIÓN: proceso utilizado para determinar la validez de una firma digital. Dicho proceso debe considerar al menos:

que dicha firma digital ha sido creada durante el periodo de validez del certificado digital del firmante;

que dicha firma digital ha sido creada utilizando los datos de creación de firma digital correspondientes a los datos de verificación de firma digital indicados en el certificado del firmante;

la verificación de la autenticidad y la validez de los certificados involucrados.

DATOS DE CREACION DE FIRMA DIGITAL: datos únicos, tales como códigos o claves criptográficas privadas, que el firmante utiliza para crear su firma digital.

DATOS DE VERIFICACION DE FIRMA DIGITAL: datos únicos, tales como códigos o claves criptográficas públicas, que se utilizan para verificar la firma digital, la integridad del documento digital y la identidad del firmante.

DISPOSITIVO DE CREACION DE FIRMA DIGITAL: dispositivo de hardware o software técnicamente confiable que permite firmar digitalmente.

DISPOSITIVO DE VERIFICACIÓN DE FIRMA DIGITAL: dispositivo de hardware o software técnicamente confiable que permite verificar la integridad del documento digital y la identidad del firmante.

POLITICAS DE CERTIFICACIÓN: reglas en las que se establecen los criterios de emisión y utilización de los certificados digitales.

TECNICAMENTE CONFIABLE: cualidad del conjunto de equipos de computación, software, protocolos de comunicación y de seguridad, y procedimientos administrativos relacionados, que cumpla los siguientes requisitos:

1.resguardar contra la posibilidad de intrusión y/o de uso no autorizado;

2.asegurar la disponibilidad, confiabilidad, confidencialidad y correcto funcionamiento;

3.ser apto para el desempeño de sus funciones específicas;

4.cumplir las normas de seguridad apropiadas, acordes a estándares internacionales en la materia;

5.Cumplir con los estándares técnicos y de auditoria que establezca la Autoridad de Aplicación.

CLAVE CRIPTOGRÁFICA PRIVADA: En un criptosistema asimétrico, es aquella que se utiliza para firmar digitalmente.

CLAVE CRIPTOGRÁFICA PÚBLICA: En un criptosistema asimétrico, es aquella que se utiliza para verificar una firma digital.

INTEGRIDAD: Condición que permite verificar que una información no ha sido alterada por medios desconocidos o no autorizados.

CRIPTOSISTEMA ASIMÉTRICO: Algoritmo que utiliza un “par de claves”, una “clave privada” para firmar digitalmente y su correspondiente “clave pública” para verificar dicha “firma digital”.

Sala de las Comisiones,

INFORME

Las Comisiones de Comunicaciones e Informática y de Legislación General han considerado el expediente N° 3534-D-2.000, con el proyecto de ley del señor diputado Fontdevila y otros señores diputados, y han tenido a la vista los proyectos de la señora diputada Puiggros, del señor diputado Cardesa y otros señores diputados, del señor diputado Corchuelo Blasco y otros señores diputados, del señor diputado Atanasof y la señora diputada Camaño, por el que se habilita y regula el empleo de la firma digital.

Es indiscutible que las nuevas tecnologías de la información se presentan como una oportunidad para que los países menos desarrollados puedan achicar la brecha que los separa con los denominados países del primer mundo. Esta oportunidad es única y tal vez irrepetible, es responsabilidad de la clase dirigente hacer uso de ella.

En éste marco, los señores diputados concluyeron que el avance hacia una progresiva digitalización, como consecuencia del desarrollo y convergencia de la computación y las telecomunicaciones, es un fenómeno mundial incontenible e insoslayable. Por otra parte, este proceso de digitalización y la existencias de redes abiertas – tal como Internet – exigen poder identificar en forma fehaciente a las personas de modo tal de permitirles realizar todo tipo de transacciones que van desde el comercio electrónico, efectuar gestiones ante distintos organismos del Estado, trabajar en forma remota y hasta ejercer el derecho democrático de votar.

Es indudable que el Estado tiene un rol de liderazgo que cumplir en la incorporación de la cultura digital en la sociedad argentina.

Algunos esfuerzos aislados se realizaron, pero, indudablemente son insuficientes.

Las experiencias en la Argentina del uso de firma digital por parte de organismos públicos y privados que se pueden citar son: por ejemplo el sistema interbancario y bancos diversos, la Caja de Valores, la Comisión Nacional de Valores, empresas de telefonía, PAMI, ANMAT, etc.

Esto sucedió a pesar de que la única legislación vigente ha sido el decreto 427/98, que esencialmente equiparó los efectos de la firma digital con la firma ológrafa en el ámbito de la Administración Pública Nacional.

También se pueden citar como antecedentes la Resolución MTSS 555/97 del Ministerio de Trabajo y Seguridad Social que determina los procedimientos para la incorporación de documentos digitales y la firma digital; la Resolución N° 45/97, 212/97 y 194/98 de la Secretaría de la Función Pública que reglamentó la incorporación de la tecnología de la firma digital, estándares e infraestructura de la misma, en la Administración Pública Nacional, y la resolución SAFJP Nº 293/97 de la Superintendencia de Administradoras de Fondos de Jubilaciones y Pensiones, de Incorporación del Correo Electrónico con Firma Digital.

Por último se puede citar como antecedente el Decreto 677/2.001, que establece el Régimen de Transparencia de la Oferta Pública”, que acepta la posibilidad de celebrar reuniones de directorio y asambleas a través de medios no presenciales y modifica la Ley Nº 24.083 y se establece una serie de pautas referidas a la designación de la COMISION NACIONAL DE VALORES como autoridad de aplicación del Decreto, otorgando a ese organismo expresas facultades para establecer regímenes de información y requisitos diferenciales, previendo el sistema de la firma digital.

Atento a estas consideraciones sobre la importancia de la materia a legislar, la Comisión de Comunicaciones e Informática constituyó en su seno una “Subcomisión Especial de Firma Digital”.

Esta subcomisión se integró con asesores de los señores diputados de la Comisión de Comunicaciones, asesores de diputados autores de los proyectos considerados que pertenecen a otras Comisiones, asesor del Senador Nacional Pedro del Piero autor de un proyecto presentado en esa honorable Cámara y representantes del Poder Ejecutivo Nacional.

La primera actividad que desarrolló la subcomisión especial fue el llamado a una Audiencia Pública.

El 20 de septiembre de 2.000, los Diputados de la Comisión de Comunicaciones e Informática recibieron las ponencias presentadas por: el Lic. Leandro Popik de la Subsecretaría de la Gestión Pública; el Lic. Andrés Hall, de la Comisión Nacional de Valores; el Dr. Mauricio Devoto, del Consejo Federal del Notariado Argentino; el Dr. Guillermo Cosentino, del Superior Tribunal de la provincia de Chubut; el Lic. Francisco Díaz, decano de la Facultad de Informática de la Universidad de La Plata; el Ing. Pablo Viale del COPITEC; la Dra. Beatriz García, del Banco Central de la RA; el Dr. Hugo Scolnik, Profesor Titular del Dpto. de Computación de la UBA e integrante del Centro de Investigaciones en Información y Tecnología; el Lic. Ricardo Rivara, de la Administración Nacional de Medicamentos, Alimentos y Tecnología Médica y el Dr. Eduardo Molinero de la Cámara Argentina de Comercio Electrónico.

Durante aproximadamente seis meses trabajó semanalmente la subcomisión especial, con algunas jornadas de más de 10 horas de reunión, las ponencias de la Audiencia Pública fueron valiosos insumos para la redacción del dictamen. A fines del primer trimestre del presente año la subcomisión presentó ante la Comisión de Comunicaciones e Informática un primer borrador de dictamen. Los aportes recibidos por parte de los integrantes de la precitada Comisión, fueron incorporados al borrador. Por último se consensuó con representantes de la Secretaría de Comunicaciones de la Nación el texto definitivo del proyecto de Dictamen.

Puede afirmarse que el de Dictamen de la Ley de Firma Digital sigue en líneas generales los parámetros establecidos en las principales regulaciones internacionales dictadas en la materia.

En efecto, La Ley Modelo aprobada por la Comisión de las Naciones Unidas para el Derecho Mercantil Internacional, UNCITRAL, es un modelo de referencia que tiene en miras fomentar la armonización y unificación progresivas del derecho mercantil, garantizando la seguridad jurídica y proveyendo una legislación que facilite el uso del comercio electrónico en los Estados con sistemas jurídicos diferentes, propiciando el reconocimiento jurídico de los documentos electrónicos, estableciendo estándares mínimos de requisitos de forma, dejando librado al acuerdo entre las partes las especificaciones técnicas a través de las cuales se cumplen los requisitos mínimos establecidos, y estableciendo definiciones referidas al proceso de comunicación de “mensaje de datos”.

Las recomendaciones de UNCITRAL prevé en su artículo 7 (Firma) que cuando la ley requiera la firma de una persona, ese requisito quedará satisfecho en relación con un mensaje de datos cuando:

a) se utilice un método para identificar a esa persona y para indicar que esa persona aprueba la información que figura en el mensaje de datos; y

b) ese método sea tan fiable y apropiado para los fines para los que se generó o comunicó el mensaje de datos, a la luz de todas las circunstancias del caso, incluido cualquier acuerdo pertinente. Estos requisitos están contemplados en el dictamen en los artículos 2° y 3°.

El dictamen de firma digital intenta legislar para el presente y para el futuro, evitando el condicionamiento a la tecnología que se utiliza hoy en día pues ello llevaría a tener que modificarla a quizás breve plazo atento que la rama de la Ciencia que estudia estos temas es la Criptografía y, contra lo que habitualmente se supone, existe un marco teórico muy desarrollado con respecto a los esquemas de firma digital no relacionados a un caso particular que es el de la tecnología actualmente vigente.

El proyecto que sometemos a vuestra consideración instituye una organización institucional que prevé la existencia de una Autoridad de Aplicación en sede de la Jefatura de Gabinete de Ministros, una Comisión asesora integrada por representantes provenientes de organismos del Estado Nacional, Universidades Nacionales, Colegios Profesionales; y la existencia de Certificadores Licenciados que expedirán los Certificados y prestarán otros servicios en relación con la firma digital.

Se prevé, además, que la actividad de los certificadores licenciados no pertenecientes al Sector Público, presten el servicio en régimen de competencia.

A fin de facilitar el comercio electrónico internacional, se reconoce la validez de certificados digitales emitidos por certificadores extranjeros cuando los mismos reúnan las condiciones que establece ésta ley y se encuentre vigente un convenio de reciprocidad firmado por la República Argentina y el país de origen del certificador extranjero, o los certificados sean reconocidos por un certificador licenciado en el país que garantice su validez y vigencia.

A fin de promover la masificación del uso de ésta herramienta e impulsar la despapelización creciente del Sector Público Nacional, el artículo 48 establece un plazo máximo de 5 años para que se aplique la tecnología de firma digital a la totalidad de las leyes, decretos, decisiones administrativas, resoluciones y sentencias emanadas de las respectivas jurisdicciones.

Por los motivos expuesto y otros que el miembro informante desarrollará es que solicitamos la aprobación del presente proyecto

Resolución N° 212/98 de la Secretaria de la Función Pública de la Presidencia de la Nación (B.O. 6.1.99)

APRUEBA LA POLÍTICA DE CERTIFICACIÓN DE LA FIRMA DIGITAL EN EL AMBITO DEL SECTOR PUBLICO

Apruébase la Política de Certificación que establece los criterios para el licenciamiento de las Autoridades Certificantes y los requisitos y condiciones para la emisión de los certificados de clave pública utilizados en el proceso de verificación de firmas digitales en el ámbito del Sector Público Nacional.

Bs. As., 30/12/98

VISTO lo dispuesto por el Decreto Nro. 427 del 16 de abril de 1998, por el cual se aprueba la Infraestructura de Firma Digital para el Sector Público Nacional, y

CONSIDERANDO:

Que la SECRETARIA DE LA FUNCION PUBLICA de la JEFATURA DE GABINETE DE MINISTROS es la Autoridad de Aplicación del régimen de Firma Digital aprobado por el citado Decreto y el Organismo Licenciante de las Autoridades Certificantes Licenciadas en el ámbito de la Administración Pública Nacional.

Que en ese carácter, la SECRETARIA DE LA FUNCION PUBLICA de la JEFATURA DE GABINETE DE MINISTROS se encuentra facultada para aprobar la Política de Certificación (“Certification Policy”) que establece los criterios para el licenciamiento de las Autoridades Certificantes y los requisitos y condiciones para la emisión de los certificados de clave pública utilizados en el proceso de verificación de firmas digitales en el ámbito del Sector Público Nacional.

Que dentro de los lineamientos de la Infraestructura de Firma Digital aprobados por el Decreto 427/98, profesionales y técnicos de la Subsecretaría de Tecnologías Informáticas han preparado el cuerpo normativo de la aludida política, compendiada bajo el título “Politice de Certificación (-Certification Policy-): Criterios para el licenciamiento de las Autoridades Certificantes de la Administración Pública Nacional”, y elevándolos para su aprobación e inmediata puesta en vigencia.

Por ello,

LA SECRETARIA DE LA FUNCION PUBLICA DE LA JEFATURA DE GABINETE DE MINISTROS

RESUELVE:

Artículo 1°— Apruébase la “Política de Certificación (“Certification Policy”): Criterios para el licenciamiento de las Autoridades Certificantes de la Administración Pública Nacional”, que figura en el Anexo de la presente, reguladora de la relación entre el Organismo Licenciante y los organismos de la Administración Pública Nacional que actúen en el carácter de Autoridades Certificantes Licenciadas, y establece los requisitos y condiciones para la emisión de los certificados de clave pública utilizados en el proceso de verificación de firmas digitales en el ámbito del Sector Público Nacional.

Art. 2°— Comuníquese, publíquese, dése a la Dirección Nacional del Registro Oficial y archívese.

Claudia Bello.

ANEXO

POLITICA DE CERTIFICACION

Criterios para el licenciamiento de las Autoridades Certificantes de la Administración Pública Nacional

Organismo Licenciante

Secretaría de la Función Pública

Diciembre, 1998

INDICE

1- AMBITO DE APLICACION

2- SUJETOS

3- OBJETO

4- CONTACTOS – SUGERENCIAS

5- RESPONSABILIDAD DEL ORGANISMO LICENCIANTE

5-1 Responsabilidades asumidas por el Organismo Licenciante al emitir un certificado

6- INTERPRETACION

7- PUBLICACION – REPOSITORIOS

7-1 Frecuencia de la publicación

7-2- Acceso

7-3- Confidencialidad

8 – IDENTIFICACION Y AUTENTICACION

8-1- Iniciación del tramite

8-2- Validación de la información presentada

8-3- Solicitudes de renovación

8-4- Período de validez

9 – REQUISITOS OPERATIVOS

9-1- Requerimiento

9-2- Emisión del certificado

9-3- Contenido del certificado

9-4- Condiciones de validez del certificado de clave pública

9-5- Revocación de certificados

9-5-1- Clases de revocación

9-5-1-1- Revocación voluntaria

9-5-1-2- Revocación obligatoria

9-5-2- Autorizados a requerir la revocación

9-5-3- Procedimiento para solicitar la revocación

9-5-4- Actualización de repositorios :

9-5-5- Emisión de listas de certificados revocados

9-6- Auditoría – Procedimientos de seguridad

9-7- Archivos

9-7-1- Información a ser archivada

9-7-2- Plazo de conservación

9-7-3- Protección de archivos

9-7-4- Archivos de resguardo

9-8- Planes de Emergencia

9-8-1- Plan de recuperación ante desastres

9-8-2- Plan de protección de claves

9-8-3- Cese de operaciones del Organismo Licenciante

10 – CONTROLES DE SEGURIDAD

10-1- Controles de seguridad física

10-1 -1- Control de acceso

10-2- Controles funcionales

10-2-1- Determinación de roles

10-2-2- Separación de funciones

10-3- Controles de seguridad personal

10-3-1- Calificación del personal

10-3-2- Antecedentes

10-3-3- Entrenamiento

10-4- Controles de seguridad técnica

10-4-1- Generación e instalación de claves

10-4-1-1- Generación

10-4-1-2- Envío de la clave pública

10-4-1-3- Características criptográficas

10-4-2- Protección de la clave privada

10-4-2-1- Estándares criptográficos

10-4-2-2- Copias de resguardo

10-4-2-3- Destrucción de la clave privada

10-4-3- Otros aspectos del manejo de claves

10-4-3-1- Reemplazo de claves

10-4-3-2- Restricciones al uso de claves privadas

10-4-4- Controles de seguridad del computador

10-4-5- Controles de seguridad de conectividad de red

11- CERTIFICADOS Y LISTAS DE CERTIFICADOS REVOCADOS – CARACTERISTICAS

12 – ADMINISTRACION DE ESTA POLITICA

12-1- Cambios de política

12-1-1- Listado de propuestas

12-1-2- Período de prueba

12-2- Publicación y notificación

GLOSARIO

Referencias

Política de Certificación

1- Ámbito de aplicación

Esta política de certificación define los términos y condiciones que rigen la relación entre la Secretaría de la Función Pública en su carácter de Organismo Licenciante y los Organismos de la Administración Pública Nacional que actúen como Autoridades Certificantes Licenciadas.

En ella se especifican los requisitos a tener en cuenta para la emisión y administración de los certificados de clave pública utilizados en el proceso de verificación de firmas digitales de Autoridades Certificantes Licenciadas en el ámbito de la Administración Pública Nacional, otorgando confiabilidad a la Infraestructura de Firma Digital del Sector Público Nacional en razón de que las partes involucradas puedan asegurarse de la autenticidad e integridad de los documentos digitales firmados.

El presente forma parte de la serie “B” de documentos emitidos por el Organismo Licenciante

2- Sujetos

Esta política es aplicable por:

2.1 – La Secretaría de la Función Pública, en su carácter de Organismo Licenciante, que otorga licencias habilitantes a las dependencias de la Administración Pública Nacional que actúen como Autoridades Certificantes Licenciadas y emite certificados de clave pública que permitan verificar las firmas digitales de los certificados que éstas emitan.

2-2 – La Contaduría General de la Nación que cumple funciones de Organismo Auditante de los demás Organismos regulados por esta política.

2-3- Las Autoridades Certificantes Licenciadas en su carácter de suscriptoras de los certificados que emita el Organismo Licenciante.

La descripción detallada de los procedimientos utilizados por el Organismo Licenciante para implementar los requerimientos de esta política se encuentra incluida en el manual de procedimientos, el cual coplementa el presente documento y forma parte de la serie “C” de documentos emitidos por el Organismo Licenciante.

3- Objeto

Esta política regula el empleo de la firma digital en la instrumentación de los actos internos del Sector Público Nacional que no produzcan efectos individuales en forma directa.

4- Contactos – Sugerencias

Esta política es administrada por el Organismo Licenciante, cuyas funciones son ejercidas por la Secretaría de la Función Pública.

Para consultas o sugerencias, por favor dirigirse a:

E-mail:

Sr.

Roque Sáenz Peña 511 – 5° piso

Capital Federal

TE:

5- Responsabilidad del Organismo Licenciante

Como Organismo Licenciante, la Secretaría de la Función Pública es responsable de todos los aspectos relativos a la emisión y administración de los certificados correspondientes a las Autoridades Certificantes Licenciadas en el ámbito de la Administración Pública Nacional, incluyendo:

· El proceso de postulación de la Autoridad Certificante.

· El proceso de identificación y autenticación.

· La emisión de certificados.

· La administración de certificados.

· La resolución de las contingencias que eventualmente se susciten respecto a la Infraestructura de Firma Digital de la Administración Pública Nacional.

5-1- Responsabilidades asumidas por el Organismo Licenciante al emitir un certificado

Al emitir un certificado, el Organismo Licenciante garantiza:

· Que el certificado contiene información que el Organismo Licenciante considerada fehaciente al momento de la emisión.

· Que el certificado satisface todos los requisitos exigidos por el Decreto N°427/98

5-2- Responsabilidades asumidas por el Organismo Licenciante al publicar un certificado

Al publicar un certificado en su repositorio, el Organismo Licenciante garantiza:

· Que la información contenida en el certificado y por él verificada es correcta.

· Que ha cumplido con las exigencias del Decreto N°427/98 referidas a la emisión del certificado.

· Que el certificado contiene información suficiente y necesaria en relación a los algoritmos criptográficos empleados.

· Que el suscriptor ha aceptado el certificado.

6- Interpretación

La interpretación, obligatoriedad, diseño y validez de esta política se encuentran sometidos a lo establecido por el Decreto N°427/98. Las definiciones y regulaciones indicadas en el decreto mencionado son parte de esta política.

7- Publicación – Repositorios

La Secretaría de la Función Pública opera un repositorio en línea de acceso Público que contiene:

· Certificados emitidos que hagan referencia a esta política.

· Listas de certificados revocados o bien información en tiempo real del estado de los certificados.

· El certificado de clave pública del Organismo Licenciante.

· Versiones anteriores y actualizadas del manual de procedimientos.

· Copia de esta política.

· Toda otra información referida a certificados que hace referencia a esta política.

El repositorio se encuentra disponible en la siguiente dirección:

http://ol.pki.gov.ar

7-1 – Frecuencia de la publicación

Toda información que corresponda incluir en el repositorio debe serlo inmediatamente de conocida por el Organismo Licenciante, en un plazo no superior a las veinticuatro (24) horas.

Los certificados emitidos por el Organismo Licenciante que hacen referencia a esta política se publicarán inmediatamente de ser aceptados.

Se entiende por aceptación al retiro del certificado por la Autoridad Certificante Licenciada.

7-2- Acceso

El repositorio se encuentra disponible para uso público durante veinticuatro (24) horas diarias trescientos sesenta y cinco (365) días al año, sujeto a un razonable calendario de mantenimiento.

El Organismo Licenciante no puede poner restricciones al acceso a esta política, a su certificado de clave pública y a versiones anteriores y actualizadas del manual de procedimientos.

7-3- Confidencialidad

Toda información referida a Autoridades Certificantes que sea recibida por el Organismo Licenciante en los requerimientos será confidencial y no puede hacerse pública sin su consentimiento previo, salvo que sea requerida legalmente.

Lo indicado no es aplicable cuando se trate de información que se transcriba en el certificado o sea obtenida de fuentes públicas.

8 – Identificación y Autenticación

8-1- Iniciación del trámite

Sujeto a los requerimientos indicados en este capítulo, los requerimientos recibidos por la Secretaría de la Función Pública en su carácter de Organismo Licenciante pueden ser comunicados por el solicitante:

· Vía e-mail o web-site

· Telefónicamente

· Por correo

· Personalmente

En todos los casos, el representante autorizado por el organismo o dependencia que solicite la correspondiente licencia, debe concurrir personalmente a fin de proceder a su identificación. (ver posible intervención de escribano para certificar identidad)

8-2- Validación de la información presentada

Cuando el Organismo Licenciante reciba un requerimiento de parte de un organismo o dependencia, está obligado a confirmar:

· Que la información contenida en el requerimiento sea correcta.

· Que la organización exista y desarrolle sus funciones en el domicilio indicado en el requerimiento.

· Que el requerimiento sea firmado por un representante debidamente autorizado a ese fin por la máxima autoridad competente.

A fin de efectuar esta investigación, el Organismo Licenciante puede acudir a registros de reparticiones oficiales o a los medios de validación que estime más adecuados.

8-3- Retiro y aceptación del certificado

El requerimiento remitido por el representante autorizado del organismo o dependencia se verifica de la siguiente forma:

· Si el requerimiento se recibe a través de la interfaz web utilizando SSL u otro protocolo similar, por medio de una identificación secreta (por ejemplo: PIN number) que será comunicado al solicitante por un medio de comunicación confiable, como parte del proceso de autenticación.

· En cualquier otro caso, debe acreditar que es el poseedor de la clave privada.

8-4- Solicitudes de renovación

Dentro de los tres (3) meses anteriores a la expiración del período operacional de un certificado emitido según los lineamientos de ésta política, una Autoridad Certificante Licenciada puede solicitar al Organismo Licenciante la emisión de un nuevo certificado con un nuevo par de claves. Puede hacerlo siempre que el certificado original no haya sido revocado.

La solicitud puede hacerse a través de un requerimiento firmado digitalmente utilizando la clave privada del certificado original.

El Organismo Licenciante debe proceder a verificar nuevamente los datos de identificación del solicitante como si se tratara de la emisión original.

8-5- Período de validez

Los certificados tienen un período de validez de tres (3) años desde la fecha de emisión.

9 – Requisitos operativos

9-1- Requerimiento

Todo organismo o dependencia que se postule para obtener un certificado debe completar un requerimiento, el que estará sujeta a revisión y aprobación por el Organismo Licenciante.

El proceso de solicitud puede ser iniciado sólamente por el representante autorizado de la dependencia u organismo.

9-2- Emisión del certificado

Cumplidos los recaudos del proceso de identificación y autenticación de acuerdo con esta política y una vez completada y aprobada la solicitud, el Organismo Licenciante debe emitir el correspondiente certificado, notificar al representante autorizado y poner dicho certificado a su disposición. Debe establecer un procedimiento tal que asegure que el certificado sea enviado al solicitante.

9-3- Aceptación del certificado

Al emitir el certificado, el Organismo Licenciante debe exigir al representante de la Autoridad Certificante Licenciada que expresamente indique su aceptación o rechazo, de acuerdo a lo establecido en el manual de procedimientos.

Un certificado emitido y no aceptado en un plazo de cinco (5) días será revocado automáticamente.

9-4- Contenido del certificado

El certificado de clave pública debe contener como mínimo los siguientes datos:

· Nombre de la Autoridad Certificante Licenciada.

· Clave pública de la Autoridad Certificante Licenciada.

· Algoritmos que deben utilizarse en la clave pública en él contenida.

· Número de serie del certificado.

· Período de vigencia del certificado.

· Nombre del Organismo Licenciante emisor del certificado.

· Firma digital del Organismo Licenciante que emite el certificado identificando los algoritmos utilizados.

· Todo otro dato relevante para la utilización del certificado según disponga el manual de procedimientos del Organismo Licenciante.

9-5- Condiciones de validez del certificado de clave pública

El certificado de clave pública correspondiente a una Autoridad Certificante Licenciada es válido únicamente si:

· Ha sido emitido por el Organismo Licenciante.

· No ha sido revocado.

· No ha expirado su período de vigencia.

9-6- Revocación de certificados

9-6-1- Clases de revocación

9-6-1-1- Revocación voluntaria

Una Autoridad Certificante Licenciada puede solicitar la revocación de su certificado por cualquier motivo y en cualquier momento. La solicitud de revocación debe estar firmada por el representante autorizado o por la máxima autoridad competente.

9-6-1-2- Revocación obligatoria

Una Autoridad Certificante Licenciada debe solicitar la inmediata revocación de su certificado:

· Cuando se produzcan cambios en la información que el certificado contiene o ésta se desactualice.

· Cuando la clave privada asociada al certificado de clave pública, o el medio en que se encuentre almacenada, se encuentren comprometidos o corran peligro de estarlo.

· Cuando el organismo o dependencia haya dejado de funcionar.

El Organismo Licenciante debe revocar el certificado:

· A solicitud de la Autoridad Certificante Licenciada.

· Ante incumplimiento por parte de la Autoridad Certificante Licenciada de las obligaciones establecidas por el Decreto N°427/98, por esta política, el manual de procedimientos o cualquier otro acuerdo, regulación o ley aplicable al certificado.

· Ante incumplimiento por parte de la Autoridad Certificante Licenciada de las observaciones efectuadas por las auditorías que le fueran practicadas, siempre que no medie justificación admisible para dicho incumplimiento.

· Si toma conocimiento de que existe sospecha de que la clave privada de la Autoridad Certificante Licenciada se encuentra comprometida.

· Si el Organismo Licenciante determina que el certificado no fue emitido de acuerdo a los lineamientos del Decreto N°427/98, de esta política o del manual de procedimientos.

Si cumplido el plazo establecido por el Decreto N°427/98 no se continuara con la aplicación de este sistema, el Organismo Licenciante dejará automáticamente de emitir certificados. Unicamente mantendrá su función de revocación y las Autoridades Certificantes Licenciadas podrán seguir operando bajo su responsabilidad hasta la extinción o revocación de sus certificados.

9-6-2- Autorizados a requerir la revocación

Sólo están autorizados a solicitar la revocación de un certificado emitido según esta política:

· La Autoridad Certificante Licenciada a través de su máxima autoridad competente o de su representante autorizado.

· El Organismo Licenciante.

9-6-3- Procedimiento para solicitar la revocación

La solicitud de revocación de certificado de una Autoridad Certificante Licenciada debe ser comunicada en forma inmediata al Organismo Licenciante. Puede presentarse vía correo electrónico o interfaz web, si se encuentra firmada digitalmente con la clave privada del suscriptor o representante de la organización.

También puede solicitarse acudiendo personalmente ante el Organismo Licenciante y acreditando debidamente su identificación o por cualquier otro medio que garantice fehacientemente su identidad.

9-6-4- Actualización de repositorios

Una vez recibida la solicitud de revocación, la lista de certificados revocados o el estado de los certificados en la base de datos del Organismo Licenciante deben actualizarse de inmediato, dentro de un plazo no superior a las veinticuatro (24) horas de recibida.

Todas las solicitudes y la información acerca de los procedimientos cumplimentados serán archivadas.

9-6-5- Emisión de listas de certificados revocados

El Organismo Licenciante debe emitir listas de certificados revocados. Debe efectuar como mínimo una actualización semanal. En caso de producirse una revocación debe, además, emitir una actualización dentro de las veinticuatro (24) horas de que esta haya sido recibida y tramitada.

9-6-6- Disponibilidad de archivo de estado de certificados

De existir el servicio de consulta en línea, debe encontrarse disponible y actualizado, informando en forma permanente sobre el estado de los certificados.

9-6-7- Auditoría – Procedimientos de seguridad

Todos los hechos significativos que afecten la seguridad del sistema del Organismo Licenciante deben ser grabados en archivos de auditoría (logs).

Serán conservados en el ámbito del Organismo Licenciante al menos durante un año.

Posteriormente serán archivados en un lugar físico protegido durante diez (10) años.

9-7- Archivos

9-7-1- Información a ser archivada

El Organismo Licenciante debe conservar información acerca de:

· Solicitudes de certificados y toda información que avale el proceso de identificación.

· Certificados emitidos y listas de certificados revocados.

· Archivos de auditoría.

· Toda comunicación relevante entre el Organismo Licenciante y las Autoridades Certificantes Licenciadas.

9-7-2- Plazo de conservación

La información acerca de los certificados debe conservarse por un plazo mínimo de diez (10) años.

9-7-3- Protección de archivos

Los medios de almacenamiento de la información deben ser protegidos física y lógicamente, utilizando criptografía cuando fuera apropiado.

9-7-4- Archivos de resguardo

Es obligación del Organismo Licenciante la implementación de procedimientos para la emisión de copias de resguardo actualizadas, las cuales deben encontrarse disponibles a la brevedad en caso de pérdida o destrucción de los archivos.

9-8- Planes de Emergencia

9-8-1- Plan de recuperación ante desastres

El Organismo Licenciante debe implementar un plan de recuperación ante desastres. Este debe garantizar el mantenimiento mínimo de la operatoria (recepción de solicitudes de revocación y consulta de listas de certificados revocados actualizadas) y su puesta en operaciones dentro de las cuarenta y ocho (48) horas de producirse una emergencia.

El plan debe ser conocido por todo el personal que cumpla funciones en el Organismo Licenciante y debe incluir una prueba completa de los procedimientos a utilizar en casos de emergencia, por lo menos una vez al año.

9-8-2- Plan de protección de claves

El Organismo Licenciante debe implementar un plan que determine los procedimientos a seguir cuando su clave privada se vea comprometida. Incluirá las medidas a tomar para revocar los certificados emitidos y notificar a las Autoridades Certificantes Licenciadas.

9-8-3- Cese de operaciones del Organismo Licenciante

En caso de que el Organismo Licenciante cese en sus funciones, todas las Autoridades Certificantes deben ser notificadas de inmediato.

Será de aplicación lo dispuesto en 9-6-1-2 último párrafo.

10 – Controles de Seguridad

10-1- Controles de seguridad física

10-1-1- Control de acceso

El Organismo Licenciante debe implementar controles apropiados que restrinjan el acceso a los equipos, programas y datos utilizados para proveer el servicio de certificación, solamente a personas debidamente autorizadas.

Consistirán en controles electrónicos de acceso, llaves de seguridad u otros medios adecuados, debiendo verificarse su funcionamiento permanentemente.

10-2- Controles funcionales

10-2-1- Determinación de roles

Todo el personal que tenga acceso o control sobre operaciones criptográficas que puedan afectar la emisión, utilización o revocación de los certificados, incluyendo modificaciones en el repositorio, debe ser confiable. Incluirá, entre otros, administradores del sistema, operadores, técnicos y supervisores de las operaciones del Organismo Licenciante.

10-2-2- Separación de funciones

Con e fin de asegurar que ninguna persona pueda individualmente violar las medidas de seguridad, las funciones en el Organismo Licenciante deben separarse entre múltiples roles e individuos, llevados a cabo por distintos responsables.

10-3- Controles de seguridad personal

10-3-1- Calificación del personal

El Organismo Licenciante debe seguir una política de administración de personal que provea razonable seguridad de la confiabilidad y competencia del personal para el adecuado cumplimiento de sus funciones.

10-3-2- Antecedentes

El Organismo Licenciante debe realizar una adecuada investigación sobre el personal que cumpla funciones críticas, debiendo verificar su confiabilidad y competencia de acuerdo a los requerimientos de esta política.

Todo el personal que no cumpla las exigencias establecidas, no podrá desempeñar funciones en el Organismo Licenciante.

10-3-3- Entrenamiento

Todo el personal del Organismo Licenciante debe tener acceso a manuales que determinarán los procedimientos para la emisión, actualización y revocación de los certificados, así como aspectos funcionales del sistema informático.

10-4- Controles de seguridad técnica

10-4-1- Generación e instalación de claves

10-4-1-1- Generación

El par de claves de la Autoridad Certificante Licenciada debe ser generado de manera tal que la clave privada sólo sea conocida por el agente autorizado para actuar como su representante, quien es considerado como titular del par de claves.

El responsable de la Autoridad Certificante Licenciada debe generar su propio par de claves en un sistema confiable, no debe revelar bajo ninguna circunstancia su clave privada y debe almacenarla en un medio que garantice su confidencialidad e integridad.

10-4-1-2- Envío de la clave pública

La clave pública de la Autoridad Certificante Licenciada debe ser transferida al Organismo Licenciante de manera tal que asegure que:

· No pueda ser cambiada durante la transferencia.

· El remitente posea la clave privada que corresponde a la clave pública transferida.

· El remitente de la clave pública sea el responsable de la Autoridad Certificante Licenciada.

El formato del requerimiento debe ser PKCS#10.

10-4-1-3- Características criptográficas

La Secretaría de la Función Pública, en su carácter de autoridad de aplicación, define:

· Los tipos de algoritmos aceptables:

· RSA o DSA como algoritmo asimétrico

· MD5 o SHA-1 como algoritmo de digesto de mensaje seguro.

· MD5 con RSA o SHA-1 con RSA como algoritmo de firma para operar con el Organismo Licenciante.

· La longitud mínima de clave de la Autoridad Certificante Licenciada (2048 bits).

· La longitud mínima de clave privada del Organismo Licenciante (2048 bits, tal como se define en el estándar PKCS#1).

En caso de conocerse un mecanismo que vulnere un algoritmo de las longitudes indicadas, es obligación del Organismo Licenciante revocar todos los certificados comprometidos y notificar a las Autoridades Certificantes Licenciadas.

10-4-2- Protección de la clave privada

El Organismo Licenciante debe proteger su clave privada de acuerdo con lo previsto en esta política.

10-4-2-1- Estándares criptográficos

La generación y almacenamiento de claves y su utilización deben efectuarse utilizando un equipamiento que cumpla con los estándares aprobados por la Secretaría de la Función Pública para la Administración Pública Nacional.

10-4-2-2- Copias de resguardo

El Organismo Licenciante puede optar por efectuar un back-up de su clave privada.

También puede archivarla, siempre que se asegure:

· Un adecuado control de acceso al medio de almacenamiento.

· Que los responsables del uso de la clave privada sean notificados de cualquier intento de acceso no autorizado a la mencionada copia.

10-4-2-3- Destrucción de la clave privada

Si por cualquier motivo deja de utilizarse la clave privada del Organismo Licenciante para crear firmas digitales, todas las copias de la misma deben ser destruidas.

10-4-3- Otros aspectos del manejo de claves

10-4-3-1- Reemplazo de claves

El par de claves del Organismo Licenciante debe ser reemplazado cuando hayan sido vulneradas o exista presunción en tal sentido.

10-4-3-2- Restricciones al uso de claves privadas

La clave privada del Organismo Licenciante empleada para emitir certificados según los lineamientos de esta política debe utilizarse sólo para firmar certificados a Autoridades Certificantes Licenciadas y, opcionalmente, para firmar listas de certificados revocados.

10-4-4- Controles de seguridad del computador

Todos los servidores del Organismo Licenciante deben incluir los controles propios del sistema operativo.

10-4-5- Controles de seguridad de conectividad de red

Los servicios que provee el Organismo Licenciante y que deben estar conectados a una red de comunicación pública deben ser protegidos por la tecnología apropiada que garantice que dicho servicio es seguro y que no es posible acceder a ningún servicio sin la debida autorización.

11- Certificados y listas de certificados revocados – Características

Todos los certificados que hacen referencia a esta política se emitirán en formato X509 versión 3 o superior e incluirán una referencia que identifique la política aplicable.

Las listas de certificados revocados serán emitidas en formato X509 versión 2.

12 – Administración de esta política

12-1- Cambios de política

12-1-1- Listado de propuestas

Todos los cambios propuestos a esta política que se encuentren a consideración del Organismo Licenciante y que puedan afectar a las Autoridades Certificantes Licenciadas, serán publicados y puestos en conocimiento de éstas.

12-1-2- Período de prueba

Las Autoridades Certificantes Licenciadas pueden enviar comentarios acerca de los cambios en la política que se encuentren a consideración del Organismo Licenciante dentro de los cuarenta y cinco (45) días de que éstos les fueran notificados. Si los cambios propuestos fueran modificados como consecuencia de estos comentarios, esta situación les será comunicada a las Autoridades Certificantes Licenciadas.

12-2- Publicación y notificación

Resolución 194/98 de la Secretaría de la Función Pública de la Jefatura de Gabinete de Ministros (B.O. 4.12.98). Apruéba los estándares aplicables a la “Infraestructura de Firma Digital para el Sector Público Nacional”, a que alude el Decreto N° 427/98.

VISTO lo dispuesto por el Artículo 1° del Decreto N° 427 del 16 de abril de 1998, por el cual se aprueba la infraestructura de Firma Digital para el Sector Público Nacional, y

CONSIDERANDO:

Que conforme el Artículo 6° de la misma norma se ha dispuesto que la SECRETARIA DE LA FUNCION PUBLICA de la JEFATURA DE GABINETE DE MINISTROS sea su Autoridad de Aplicación.

Que en ese carácter, la SECRETARIA DE LA FUNCION PUBLICA se encuentra facultada para dictar los estándares sobre tecnología de firma digital a ser aplicados por las Autoridades Certificantes Licenciadas y por los Organismos Licenciante y Auditante previstos en la Infraestructura de Firma Digital para el Sector Público Nacional aprobada por el Artículo 1° del Decreto N° 427 del 16 de abril de 1998, cuyos contenidos deben reflejar el último estado del arte en esa materia.

Que dentro de estos lineamientos, profesionales técnicos de esta Secretaría han proyectado la definición de las bases de los aludidos estándares, y practicado consultas a expertos en el tema, tarea que ha quedado plasmada en el documento denominado “Estándares sobre Tecnología de Firma Digital para la Administración Pública Nacional”, elevado para su aprobación e inmediata puesta en vigencia.

Por ello,

LA SECRETARIA DE LA FUNCION PUBLICA DE LA JEFATURA DE GABINETE DE MINISTROS

RESUELVE:

ARTICULO 1°.- Apruébanse los estándares aplicables a la “Infraestructura de Firma Digital para el Sector Público Nacional” a que alude el Artículo 6° del Decreto N° 427/98 y Anexo I, los cuales se enuncian en el Anexo de la presente bajo la denominación “ESTANDARES SOBRE TECNOLOGIA DE FIRMA DIGITAL PARA LA ADMINISTRACION PUBLICA NACIONAL”.

ARTICULO 2°.- Comuníquese, publíquese, dése a la Dirección Nacional del Registro Oficial y archívese.- Claudia E. Bello.

ANEXO

ESTANDARES SOBRE

TECNOLOGIA DE FIRMA DIGITAL PARA LA

ADMINISTRACION PUBLICA NACIONAL

Organismo Licenciante

Secretaría de la Función Pública

Noviembre, 1998

Versión 1.00

INDICE

1 – INTRODUCCION

2 – CONSIDERACIONES

2.1. – Ambito

2.2. – Tecnología

2.3. – Seguridad

2.4. – Interoperabilidad

3 – INFRAESTRUCTURA DE FIRMA DIGITAL DE LA ADMINISTRACION PUBLICA NACIONAL (IFDAPN)

3.0.1 – Oficial Certificador

3.1. – Organismo Licenciante

3.1.1.- Certificado del OL

3.1.2.- Sobre Autoridades Certificantes

3.1.3. – Obtención de un certificado para una Autoridad Certificante.

3.1.4. – Revocación y Listas de Certificados Revocados (CRLs)

3.2. – Autoridad Certificante Licenciada

3.2.1 – Certificado

3.2.2 – Servicios Mínimos

3.2.3 – Emisión de un Certificado a un usuario

3.2.4 – Obtención de un Par de claves y de un certificado por parte del titular o suscriptor.

3.2.5 – Revocación de un certificado de usuario

3.2.6 – Renovación de un Certificado

3.3 – Titulares de Certificados

4 – ESTANDARES TECNOLOGICOS

4.1 – Seguridad

4.1.1 – Algoritmos Criptográfico

4.1.2 – Almacenamiento de claves y certificados

4.1.3 – Generación del par de claves

4.1.4 – Usuarios

4.1.4.1 – Responsabilidades

4.1.5 – Autoridades Certificantes Licenciadas

4.1.5.1 – Auditorías

4.1.6. – Servicio de Directorio

4.1.7. – Seguridad Informática

4.1.8. – Seguridad física de los equipos

4.2 – Firma Digital

4.2.1 – Tecnología de Clave Pública

4.2.1.1 – Par de claves

4.2.1.2 – Firmas Digitales

4.2.1.3 – Algoritmos de Encriptado

4.2.2 – Certificados

4.2.2.1 – Tipos

4.2.2.2 – Datos Básicos

4.2.2.3 – Extenciones

4.2.2.4 – Formatos

4.2.2.5 – Identificación única

4.2.2.6 – Número de Serie

4.2.2.7 – Período de validez

4.2.2.8 – Titular

4.2.2.9 – Emisor

4.2.3 – Solicitudes de certificados

4.2.4 – Lista de Certificados Revocados (CRL)

4.2.5 – Tipos de dispositivos utilizados para almacenar las claves privadas

4.2.6 – Comunicación

4.2.7 – Servicios de Directorio

4.2.8 – Otros servicios

4.2.8.1 – Time Stamp

4.2.8.2 – Key Recovery

4.2.8.3 – Servicios de notariado

A – INFORMACION

A.1 – Organizaciones Internacionales

A.1.1 – International Telecommunications Union

A.1.2 – Internet Engeneering Task Force (IETF) Working Group

A.1.3 – National Institute of Standards and Technology (NIST)

A.2 – Consideraciones generales

A.2.1 – Key Recovery

A.2.2 – Data Recovery

A.3 – Importancia de la Clave Privada en función de la jerarquía

A.4 – Medios de Almacenamiento

A.4.1 – Sobre Smart Cards – interoperabilidad

A.5 – Navegadores generadores de Par de Claves

A.6 – Extenciones X.509 v3

A.7 – Servicios de Directorios

A.7.1 – X.500

A.7.2 – LDAP

A.8 Verificación de una firma y refirmado de documentos

B – ESTRUCTURA DE LA IFDAPN

C – GLOSARIO

D – REFERENCIAS

1 -INTRODUCCION

El presente documento describe las especificaciones técnicas, obligaciones y recomendaciones que deben seguir tanto el Organismo Licenciante (OL) como las Autoridades Certificantes Licenciadas (ACLs) para integrar la Infraestructura de Firma Digital de la Administración Pública Nacional (IFDAPN), tal como lo detalla el Decreto Nº 427/98 (en adelante “Decreto”).

Este documento se encuentra complementado por la Política de Certificación (Serie B) y por los Procedimientos de Certificación (Serie C) que deben seguir todas las Autoridades Certificantes (ACs) para obtener una licencia por parte del OL, y que deben ser obedecidos para que dicha licencia no sea revocada.

Para la redacción del mismo se han tenido en cuenta lo determinado por el Decreto antes mencionado así como los estándares sobre la Tecnología de Firma Digital que han sido desarrollados por grupos internacionales de trabajo y organismos internacionales de estandarización.

Las recomendaciones presentes deben ser seguidas para la selección o implementación de los componentes de la IFDAPN frente a otras alternativas, salvo circunstancias particulares, las cuales deben ser sometidas a la aprobación de la Autoridad de Aplicación.

En el presente documento se enuncian obligaciones y recomendaciones que deben ser tenidas en cuenta por las ACLs con respecto a la seguridad informática de los equipos involucrados en la Infraestructura de Firma Digital. El Organismo Auditante (OA) evaluará el ambiente de control antes de producir un informe positivo que permita emitir el certificado correspondiente. La seguridad física, lógica y de operación y la selección del personal que participe en tareas relacionadas a las ACLs es tema de crucial importancia para la confiabilidad del sistema.

Los estándares tecnológicos, obligaciones y recomendaciones enunciados en el presente documento serán actualizados periódicamente para adecuarlos a los cambios emergentes de la tecnología y para su adaptación a los procedimientos involucrados en la Administración Pública Nacional, respetando el espíritu del decreto de formar un programa piloto para incorporar esta tecnología en la gestión pública.

Este documento forma parte de la Serie A de documentos emitidos por el Organismo Licenciante.

2 -CONSIDERACIONES

Los temas que se enuncian a continuación son considerados críticos para la redacción de los estándares y deben ser tenidos en cuenta como parámetro de evaluación de futuras modificaciones o agregados que sean necesarios.

2.1 – Ambito

El Decreto Nº 427/98 marca las obligaciones, necesidades y estructura general que deben cumplir las Autoridades Certificantes Licenciadas (ACLs), el Organismo Licenciante (OL) y los suscriptores o titulares de certificados. Dicha estructura es estática, solo variable en la cantidad de ACLs y certificados emitidos por éstas. No existe interacción entre ninguna de estas Autoridades o el Organismo Licenciante con organizaciones del ámbito privado.

2.2 – Tecnología

Es importante que los estándares especificados en el presente documento sean apropiados, efectivos, maduros, de ágil disponibilidad y confiables y consistentes con aquellos que se encuentran ampliamente difundidos y que cuentan con aceptación internacional.

Por las características de esta tecnología, en ocasiones no es posible indicar estándares emitidos por organismos de estandarización. Sin embargo, es posible encontrar grupos internacionales de trabajo que son los generadores de estudios previos a dichas normas. Parte de la documentación enunciada ha sido generada y es mantenida por dichos grupos.

2.3 – Seguridad

Para proveer a los usuarios de esta tecnología de un nivel apropiado de seguridad y confianza, es necesario que todos los elementos involucrados en el desarrollo y mantenimiento de la Infraestructura de Firma Digital de la Administración Pública Nacional (IFDAPN) exhiban un nivel verificado de seguridad acorde con estándares internacionales vigentes.

2.4 – Interoperabilidad

La interoperabilidad es uno de los aspectos cruciales que deben formar parte del objetivo de los estándares adoptados. Por tal motivo se enuncian los estándares tecnológicos que deben ser seguidos por todas las ACLs. Sin embargo, aquellos aspectos que no se encuentren contemplados deben ser consistentes con los conceptos presentes en 2.2 – Tecnología.

3 – INFRAESTRUCTURA DE FIRMA DIGITAL DE LA ADMINISTRACION PUBLICA NACIONAL (IFDAPN)

La IFDAPN se encuentra conformada por:

· Organismo Licenciante (OL)

* Organismo Auditante (OA)
* Autoridades Certificantes Licenciadas (ACLs)
* Suscriptores. Son agentes o funcionarios de los organismos de la Administración Pública Nacional. Es posible incorporar a ciudadanos que, mediante un acuerdo entre partes con el organismo emisor del certificado, acuerden utilizar esta tecnología para la firma de documentos digitales.

Otros componentes, tales como Autoridades Certificantes del ámbito privado o ciudadanos que no prestan funciones dentro de la Administración Pública Nacional, son tratados como externos a la IFDAPN, y no se encuentran alcanzados ni regulados por este estándar. Sin embargo, no se excluye la posibilidad de interactuar con ellos, siempre y cuando se tengan en consideración los aspectos enunciados en el presente documento.

Las ACLs pueden modularizar su operatoria creando Autoridades de Registración que realicen las tareas de recepción y verificación de las solicitudes. Estas entidades serán consideradas como parte de la ACL con la que operan y deben respetar los estándares y requisitos de seguridad exigidos para ella.

3.0.1 – Oficial certificador

El OL y cada ACL deben contar con uno o varios responsables que cumplen la función de Oficial Certificador, encargado de la clave privada. Su tarea es firmar los certificados emitidos por la ACL o por el OL, según el caso. También puede utilizar dicho par de claves para firmar las Listas de Certificados Revocados (Certificate Revocation Lists – CRLs) salvo que se haya dispuesto utilizar un par de claves distintas para esta tarea.

Esta responsabilidad puede ser dividida entre varias personas si los procedimientos utilizados por la ACL así lo requieren. De ser así, la clave privada puede ser dividida entre los responsables y requerir una cantidad mínima de ellos para realizar cualquier operación. Esta división puede ser llevada a cabo físicamente (división de la clave privada en tramos disjuntos) u operacionalmente (si el sistema utilizado requiere de todos los componentes para poder operar). En ambos casos debe indicarse en el Manual de Procedimientos de la ACL qué mecanismos son utilizados para llevar a cabo las tareas del Oficial Certificador.

3.1 – Organismo Licenciante

El OL es el encargado de emitir los certificados para las ACLs a fin de que éstas puedan operar dentro de la IFDAPN. Los procedimientos necesarios para obtener un certificado emitido por este organismo se encuentran detallados en el Manual de Procedimientos correspondiente y el tipo de certificado, datos relativos al mismo, y demás aspectos se encuentran en su Política de Certificación.

Es obligación del OL mantener el más alto grado de seguridad en sus procedimientos de acceso y acreditación de certificados, ya que de encontrarse comprometida su clave privada, se vería afectada toda la IFDAPN.

El Organismo Licenciante, en su rol de Autoridad Certificante de las ACLs de la Administración Pública Nacional, debe cumplir las mismas obligaciones que éstas en lo que respecta a la verificación de los datos de

los certificados que emite, la revocación de los mismos y demás situaciones que tengan lugar en el ciclo de vida de un certificado.

El OL solo se encuentra habilitado a emitir certificados a ACs, no a personas. Las garantías que el OL ofrece a las ACLs, así como las obligaciones y derechos que éstas tienen se encuentran detalladas en la Política de Certificación del OL.

Tanto los certificados emitidos como las Listas de Certificados Revocados (CRLs) deben encontrarse accesibles públicamente, y se debe ofrecer un servicio de directorio tal como se indica en 4.2.7 – Servicios de Directorio.

Asimismo, el OL está obligado a diseñar un plan de contingencias que permita la continuidad de sus servicios, circunstancia que debe estar prevista en su Manual de Procedimientos. Dicho plan debe ser aprobado por el OA.

3.1.1 – Certificado del OL

El OL posee un par de claves y un certificado autofirmado. Dicho certificado es público y debe encontrarse accesible en todo momento.

La clave privada es entregada al responsable o responsables de cumplir con la función de Oficial Certificador, y solo será empleada para firmar los certificados emitidos a las ACLs y las CRLs correspondientes. Dichos responsables deben proteger dicha clave de accesos no autorizados utilizando los medios sugeridos en el presente documento (ver 4.1.2 – Almacenamiento de claves y certificados).

El certificado del OL cumple con los estándares enunciados en 4.2 – Firma Digital y cuenta con los siguientes atributos:

Titular	(CN)	Organismo Licenciante de la Administración Pública Nacional
Organización	(O)	Organismo Licenciante de la Administración Pública Nacional
Correo Electrónico	(EA)
Localidad	(L)	Ciudad de Buenos Aires
Provincia	(P)	Buenos Aires
País	(C)	Argentina

El par de claves del OL es generada por el algoritmo RSA (Rivest Shamir Adleman) con una longitud (modulus) de 2048 bits [PKCS#1].

El periodo de validez de dicho certificado es de 10 años a partir de su fecha de emisión.

El algoritmo de firma utilizado para firmar el certificado del Organismo Licenciante así como los certificados emitidos por éste es md5WithRSAEncryption.

3.1.2 – Sobre Autoridades Certificantes

Todas las ACs que deseen operar dentro de la IFDAPN deben cumplimentar los pasos indicados en Manual de Procedimientos del Organismo Licenciante, y someterse a los requisitos indicados en dicho manual.

Los certificados que se les emitan se encuentran regulados por la Política de Certificación correspondiente publicada por el Organismo Licenciante.

3.1.3 – Obtención de un certificado para una Autoridad Certificante

Una AC debe obtener un certificado emitido por el OL para poder operar dentro de la Administración Pública Nacional y lograr que los certificados emitidos por ella sean aceptados por cualquier otro titular o usuario dentro de la IFDAPN.

Los pasos que debe cumplimentar se encuentran detallados en el Manual de Procedimientos del OL y la política que rige al certificado emitido se encuentra descripta dentro de la Política de Certificación de dicho organismo. En 4.2.3.1 – Solicitud de una AC al OL se encuentran detallado el estándar tecnológico que deben seguir las solicitudes remitidas al OL.

3.1.4 – Revocación y Listas de Certificados Revocados (CRLs)

El OL debe proveer los medios técnicos necesarios para permitir que los responsables de las ACLs completen una solicitud de revocación. Debe garantizar la verificación de la identidad del solicitante del requerimiento de revocación para impedir fraudes.Dicho procedimiento debe estar indicado en el Manual de Procedimientos del OL.

Los plazos que median entre la recepción de una solicitud de revocación y su efectivización deben ser lo más breves posibles. Dichos plazos se encuentran expresados en la Política de Certificación según el tipo de certificado. Los pedidos de revocación que vengan firmados digitalmente con la clave privada correspondiente al certificado a revocar deben ser aceptados de inmediato.

La revocación de un certificado debe ser seguida de la emisión de una nueva CRL que incluya el número de certificado revocado. Sin perjuicio de ello, el Manual de Procedimientos del OL indica la periodicidad con que deben emitirse las CRLs.

El OL tiene la obligación de mantener una copia de cada uno de las CRLs emitidas así como de los certificados emitidos.

3.2 – Autoridad Certificante Licenciada

Las Autoridades Certificantes Licenciadas (ACLs) están habilitadas para emitir certificados a agentes o funcionarios que se encuentren dentro de su ámbito de competencia. Para emitir dichos certificados debe obtener un certificado emitido por el OL cumplimentando los pasos descriptos en el Manual de Procedimientos de dicho organismo. Puede emitir certificados a personas que no se encuentran en su ámbito de competencia, indicando tal circunstancia en la Política de Certificación propia del tipo de certificado emitido.

Las ACLs no se encuentran habilitadas para emitir certificados a otras Autoridades Certificantes, sólo a personas. Para lograr que esta jerarquía se mantenga y no permita más niveles de los establecidos es necesario que las aplicaciones de ACLs soporten las extensiones de certificados diseñadas a tal efecto (ver 4.2.2.3 – Extensiones).

Las garantías que las ACLs ofrecen a los titulares de certificados emitidos por ésta, así como las obligaciones y derechos de estos últimos frente a la ACL se encuentran detallados en la Política de Certificación para cada tipo de certificado emitido.

Las ACLs deben mantener apropiados niveles de seguridad en sus redes de computadoras, sus instalaciones físicas y en el manejo de su clave privada (ver 4.1 – Seguridad). Para su operatoria deben mantener un nivel de servicios mínimo frente a sus usuarios tal como se detalla en 3.2.2 – Servicios mínimos.

3.2.1 – Certificado

La longitud del par de claves de una ACL debe ser de 2048 bits (RSA). Puede utilizarse una longitud menor siempre y cuando argumenten alguna necesidad particular, pero siempre debe ser igual o superior a 1024 bits (RSA).

Los certificados emitidos por una ACL deben cumplir los pasos indicados en su Manual de Procedimientos. Una ACL puede emitir diferentes tipos de certificados, cada uno con atributos propios y para ser utilizados en distintos aplicaciones o funciones, pero en todos los casos debe contar con un detalle de los procedimientos y con una Política de Certificación propia para cada tipo de certificado.

3.2.2 – Servicios mínimos

Una ACL puede ofrecer distintos servicios y mecanismos para recibir un requerimiento de certificado y para otorgar el mismo a su titular. Estos mecanismos se encuentran descriptos en detalle en el Manual de Procedimientos de la ACL, el cual ha sido aprobado por el OL y por el OA.

La recepción de solicitudes de revocación y la publicación periódica de la CRL, tal como lo estipula la Política de Certificación de cada tipo de certificado, son servicios obligatorios que debe ofrecer una ACL. Debe garantizar el acceso permanente a dichos servicios, proponiendo una solución para una eventual contingencia.

El plan de contingencias de una ACL debe ser aprobado por el OA a fin de emitir el informe necesario para poder ser certificada por el OL.

3.2.3 – Emisión de un Certificado a un usuario

Una Autoridad Certificante Licenciada debe redactar y publicar un Manual de Procedimientos y una Política de Certificación para cada uno de los tipos de certificados que emita, detallando los pasos que deben ser seguidos para la emisión de un certificado y las responsabilidades, derechos y demás aspectos relativos a la emisión.

Los manuales deben ser puestos a disposición del OL para que sean evaluados y aprobados antes de poder emitir un certificado.

En dichos manuales se deben contemplar:

· Características del certificado a emitir, es decir, los atributos a ser incluidos, periodo de validez, longitud mínima de la clave a ser utilizada, algoritmos permitidos, etc.

* Procedimiento de verificación de identidad del titular y de los atributos incluidos en el certificado.
* Procedimiento para la revocación del certificado, así como personas legalmente autorizadas a solicitar dicha revocación.
* Mecanismo de consulta de las CRLs emitidas y directorio de certificados.

3.2.4 – Obtención de un par de claves y de un certificado por parte del titular o suscriptor

A continuación se describen los pasos que un titular debe seguir para obtener un certificado. Dicho certificado debe ser emitido por una ACL para que sea válidamente aceptado en la IFDAPN.

Los pasos que un suscriptor debe seguir son:

1.- Generar un par de claves

El par de claves debe ser generado por un algoritmo aceptable y con una longitud mínima que garantice que no existen riesgos de que sea vulnerable. Estas especificaciones se deben encontrar detalladas en la Política de Certificación del tipo de certificado a ser solicitado.

El par de claves puede ser generado por distintos medios, como se indica más adelante, pero en ningún caso la ACL debe conocer ni tomar contacto con la clave privada.

2.- Remitir la clave pública con sus datos personales a la ACL y cumplimentar los controles necesarios para verificar su identidad.

Es obligación de la ACL cumplimentar los pasos indicados en el Manual de Procedimientos. Una vez aprobada la solicitud, se debe generar un certificado, remitirlo a su titular (o informarle que debe pasar a retirarlo) y publicarlo en un repositorio de certificados emitidos (Ver 4.2.7 – Servicios de Directorio).

3.- Retirar el certificado

Dependiendo de la aplicación y del formato de exportación del certificado, el titular del mismo incorporará dicho certificado en el medio de almacenamiento correspondiente.

3.2.5 – Revocación de un certificado de usuario

En todo momento el titular debe contar con la posibilidad de solicitar la revocación de su certificado. La ACL debe detallar en su Manual de Procedimientos los medios y pasos que debe seguir un usuario para solicitar la revocación, la cual no necesariamente será inmediata, ya que puede ser necesario verificar si el solicitante se encuentra habilitado a tal efecto. Una vez revocado, el certificado debe ser incluido en la CRL que periódicamente debe emitir dicha autoridad.

La revocación de un certificado debe ser seguida de manera inmediata de la emisión de una CRL que incluya el número de certificado revocado. El Manual de Procedimientos de la ACL debe indicar la frecuencia de emisión de las CRLs.

3.2.6 – Renovación de un Certificado

Las ACLs pueden ofrecer el servicio de renovación de certificados (tal como se indica en los estándares X.509 [PKIX1]). Este procedimiento debe encontrarse incluido en el Manual de Procedimientos.

La ACL, antes de renovar un certificado, debe recibir una solicitud de renovación por parte del suscriptor.

3.3 – Titulares de Certificados

Las Autoridades Certificantes Licenciadas (ACLs) emiten certificados para titulares.

Las obligaciones y derechos de dichos titulares de certificados se encuentran detallados en la Política de Certificación del tipo de certificado emitido.

Los titulares de los certificados deben cumplir con las indicaciones de la ACL a fin de proteger su clave privada de posibles compromisos. Tal como lo indica el Decreto Nº 427/98, es responsabilidad del titular “Mantener el control de su propia CLAVE PRIVADA e impedir su divulgación”. Si la clave privada se ve comprometida debe iniciar la revocación del certificado correspondiente en forma inmediata. El resguardo de su clave privada debe mantenerse aunque el certificado se encuentre expirado.

Un titular no debe utilizar su clave privada para firmar documentos si el certificado correspondiente se encuentra expirado.

Para los titulares de certificados se recomienda utilizar una longitud igual o superior a 1024 bits (RSA o DSA) , aunque nunca inferior a 512 bits (RSA o DSA). Una longitud de 512 bits (RSA o DSA) puede ser aceptada por una ACL siempre y cuando garantice un uso limitado de los certificados para aplicaciones no críticas y un periodo de validez corto (no superior a 1 año). Dicha longitud de clave no se encuentra comprometida en la actualidad y es posible su uso tal como se referencia en:

http://www.rsa.com/rsalabs/pubs/techreports/security_estimates.pdf .

4 – ESTANDARES TECNOLOGICOS

En la presente sección se enuncian los estándares tecnológicos que deben cumplir los productos, instalaciones y protocolos que sean utilizados dentro de la IFDAPN.

Esta sección se compone de requisitos para obtener y mantener la licencia y de recomendaciones que pueden ser seguidas para lograr un mayor grado de compatibilidad en las aplicaciones de distintos organismos dentro de la Administración Pública Nacional. Las recomendaciones presentes deben ser seguidas para la selección o implementación de los componentes de la IFDAPN frente a otras alternativas, salvo circunstancias particulares, las cuales deben ser sometidas a la aprobación de la Autoridad de Aplicación.

4.1 – Seguridad

El nivel de seguridad requerido para una ACL es función de los tipos de certificados que emita, y se encuentra establecido en la Política de Certificación correspondiente a cada tipo. Dicho es evaluado durante la auditoría que el OA efectúa como requisito para el licenciamiento de la Autoridad Certificante solicitante.

4.1.1 – Algoritmos Criptográfico

Un aspecto crítico relacionado con la tecnología de firma digital y la seguridad es la selección de los algoritmos criptográficos empleados, tanto aquellos utilizados para firmar un documento como para mantener protegida la clave privada. En 4.2.1 – Tecnología de Clave Pública se enuncian los algoritmos estándar a utilizar dentro de la IFDAPN.

4.1.2 – Almacenamiento de claves y certificados

Las claves privadas de cada una de las entidades de la IFDAPN deben ser almacenadas en dispositivos que garanticen su integridad. Es prioritario, por lo tanto, emplear los medios necesarios para asegurar que dichas claves no sean comprometidas en ningún momento, es decir, que se encuentren protegidos frente a accesos indebidos por parte de otros usuarios o aplicaciones.

Los certificados del OL, o de las ACL que sean utilizados para la verificación de una firma deben ser almacenados en dispositivos que garanticen su integridad. Debe prevenirse la posibilidad de sustituir el certificado del OL por un certificado falso.

Es responsabilidad del titular de una clave privada y de una Autoridad Certificante Licenciada “Mantener el control de su propia CLAVE PRIVADA e impedir su divulgación” (Decreto Nº 427/98, Anexo I).

Si la clave de un usuario se ve comprometida, éste debe solicitar la revocación del certificado correspondiente de forma inmediata, siendo él mismo el principal perjudicado de ocurrir un ilícito. Sin embargo, si la clave comprometida corresponde a una ACL todos los certificados emitidos por ésta podrían verse comprometidos. Es natural entonces que se empleen mayores y mejores recursos para mantener segura la clave de una ACL que la de un usuario, dado que una habilita el uso de la otra. (ver A.3 – Importancia de la Clave Privada en función de la jerarquía)

Las claves privadas de las ACLs y de los suscriptores deben encontrarse siempre resguardadas por un mecanismo criptográfico simétrico que las proteja (ver 4.2.1.3 – Algoritmos de Encriptado). El formato de almacenamiento de la clave privada depende del dispositivo utilizado. En caso de ser necesaria su extracción del dispositivo, es necesario que el formato utilizado corresponda a alguno de los estándares enunciados. Sin embargo, es recomendable utilizar dispositivos que no requieran su extracción y que realicen las operaciones criptográficas dentro de los mismos.

Es recomendable emplear el mayor grado de seguridad en la selección del algoritmo, en la longitud de la clave, en el medio de almacenamiento de la clave privada y en la implementación de los algoritmos empleados. Sin embargo no todos los documentos firmados o las aplicaciones que utilicen esta tecnología poseen similar criticidad o importancia. No se encuentra dentro del alcance de este documento la determinación del grado de seguridad aplicable a cada documentos a ser firmado digitalmente, y es tarea de cada uno de los organismos determinar el nivel de seguridad que deberá utilizar en sus aplicaciones en lo que respecta al almacenamiento y la longitud de la clave a emplear, respetando siempre los requisitos mínimos establecidos en este documento.

Deben seguirse las siguientes indicaciones para el uso de esta tecnología dentro de la IFDAPN:

Los agentes o funcionarios deben emplear claves de 1024 bits (RSA o DSA) de longitud o superior para firmar documentos.

Las ACLs deben poseer claves de 1024 bits o superiores para firmar los certificados de los usuarios.

Se permite el uso de claves iguales o superiores a 512 bits (RSA o DSA) de longitud para aplicaciones particulares que no requieran niveles elevados de seguridad tal como se indica en 3.3 – Titulares de Certificados.

Las ACLs deben garantizar un almacenamiento confiable de toda la información relativa a los certificados emitidos y de la información respaldatoria que garantiza que se han seguido los procedimientos de autenticación para la emisión de cada certificado.

El plan de contingencias y de seguridad presentado ante el OL debe contemplar los pasos a seguir para evitar que dicha información sea destruida. (ver A.4 – Medios de Almacenamiento)

4.1.3 – Generación del par de claves

Las etapas de generación del par de claves, almacenamiento de la clave privada en un dispositivo (encriptada por alguno de los algoritmos enunciados en 4.2.1.3 – Algoritmos de Encriptado) y generación del pedido de certificado deben ser llevadas a cabo por el titular de dicho par de claves o por el representante de la ACL.

Dicho par de claves debe corresponder a un algoritmo aceptable dentro de las actuales especificaciones técnicas (ver 4.2.1.2 – Firmas Digitales), y debe ser de una longitud adecuada para el tipo de certificado que se solicite. Esta información se encuentra indicada en la Política de Certificación del certificado solicitado.

Una ACL puede rechazar la solicitud de un certificado si considera que el par de claves no ha sido generado utilizando un mecanismo seguro, o si no cumple con algunos de los requisitos indicados en el Manual de Procedimientos o en la Política de Certificación correspondiente.

Para la generación de números aleatorios empleados en los presentes algoritmos de generación de claves deben ser tenido en cuenta las recomendaciones presentes en [RFC1750].

4.1.4 – Usuarios

El procedimiento y los mecanismos empleados para que un usuario opere con su clave privada, ya sea para firmar o para autenticarse, son elementos fundamentales para la seguridad de la firma digital.

Un usuario debe confiar en las aplicaciones que utiliza, y es responsabilidad de quienes diseñan e implementan tales aplicaciones transmitir dicha confianza a los usuarios.

Es responsabilidad del titular de una clave privada “Mantener el control de su propia CLAVE PRIVADA e impedir su divulgación” (Decreto Nº 427/98, Anexo I).

4.1.4.1 – Responsabilidades

Todas las aplicaciones que utilicen esta tecnología deben garantizar que la clave privada no se encuentra comprometida en ningún momento y sus responsables deben responder por las pérdidas que esto puede ocasionar de no cumplir con los procedimientos correspondientes.

Por otro lado, será responsable el usuario si es éste quien no cumple las recomendaciones y procedimientos indicados a los efectos de proteger dicha clave.

4.1.5 – Autoridades Certificantes Licenciadas

Las ACLs deben ofrecer un alto grado de seguridad en relación a los equipos informáticos y de comunicación empleados, al personal empleado para operar la ACL, a los responsables de operar la clave privada de la ACL y a los procedimientos utilizados para la autenticación de los datos a ser incluidos en los certificados.

Todos estos procedimientos están sujetos a auditorías tal como lo indica el Decreto Nº 427/98.

4.1.5.1 – Auditorías

Una ACL es auditada periódicamente según lo establece el Decreto Nº 427/98. Los informes de auditoría deben ser tenidos en cuenta para permitir el licenciamiento, en caso de tratarse de una AC en proceso de licenciamiento, y para que pueda continuar su operatoria.

Las recomendaciones surgidas de las auditorias sobre problemas de seguridad u operatoria en la ACL deben ser atendidos en el menor plazo posible, consecuente con la complejidad del problema y acordando dicho plazo con el OL.

4.1.6 – Servicio de Directorio

La integridad del directorio de certificados y CRLs debe estar permanentemente asegurada. Es responsabilidad de la ACL garantizar la disponibilidad de este servicio y las calidad de los datos suministrados por éste.

4.1.7 – Seguridad Informática

Las computadoras involucradas en el procesamiento, autenticación, verificación y emisión de los certificados deben cumplir con las especificaciones del “Libro Rojo” (Red Book) del Centro Nacional de Seguridad de Computación de los Estados Unidos (US National Computer Security Center), clase C2.

Las redes de comunicación empleadas para el procesamiento, autenticación, verificación y emisión de los certificados deben ser protegidas de accesos externos por medio de controles físicos y lógicos apropiados, permitiendo solamente la prestación de aquellos servicios relativos a las tareas de la ACL. Debe contarse con una política de seguridad implementada para proteger dicho equipamiento de accesos no autorizados.

4.1.8 – Seguridad física de los equipos

Las equipos de computación empleados en el procesamiento, autenticación, verificación y emisión de los certificados deben encontrarse físicamente protegidos del acceso por parte del personal no autorizado.

Los medios aplicados para restringir dicho acceso pueden ser complementados por otros mecanismos de seguridad que garanticen un nivel apropiado de seguridad acorde a la información crítica de la ACL.

4.2 – Firma Digital

Los presentes especificaciones se basan en estándares tales como ITU-T X.509 [ISO94-8], ANSI [X9.55], [X9.57] y [X9.62] y en los documentos de trabajo sobre PKIX del Internet Engineering Task Force (IETF) [PKIX1] y [PKIX3].

Con respecto a las características criptográficas, debido a la gran cantidad de algoritmos disponibles, es necesario seleccionar un estándar que garantice la interoperabilidad dentro de la IFDAPN. Los algoritmos y protocolos sobre los cuales se requiere un estándar son:

· Firma digital.

* Manejo de claves.
* Funciones de Hash seguro.
* Generación de claves.

La seguridad aportada a los usuarios dentro de la IFDAPN está fuertemente relacionada con la selección de dichos algoritmos y con la longitud de sus claves. Por otro lado, la incorporación rápida de esta tecnología a los servicios con los que actualmente se cuentan se verá condicionada por la disponibilidad y soporte técnico apropiados.

Por lo tanto, los siguientes factores deben ser tenidos en cuenta para la selección de los algoritmos incorporados en los estándares de la IFDAPN:

· Aceptabilidad internacional del Algoritmo.

* Disponibilidad de aplicaciones o bibliotecas (libraries) que faciliten su uso.
* Reconocimiento internacional de su aceptación en medios especializados.

4.2.1 – Tecnología de Clave Pública

4.2.1.1 – Par de claves

La generación del par de claves mediante alguno de los algoritmos autorizados es una etapa crucial en el mecanismo de obtención de un certificado. El producto utilizado para esta tarea debe ser altamente confiable, no sólo su origen (es decir, el proveedor de dicho software) sino también de su capacidad técnica. Un usuario no debe confiar en cualquier software para generar su par de claves, y menos aún utilizar intencionalmente un par de claves ya generado por otro usuario.

En todo momento la clave privada del par de claves debe estar permanentemente protegida. Esto se logra utilizando medios físicos que prevengan un acceso indebido y encriptando su contenido por medio de un algoritmo simétrico (ver 4.2.1.3 – Algoritmos de Encriptado). (ver A.5 – Navegadores generadores de Par de Claves)

El par de claves generado debe pertenecer a alguno de los algoritmos enunciados en 4.2.1.2 – Firmas Digitales.

4.2.1.2 – Firmas Digitales

El conjunto de algoritmos preferidos para firma digital es md5WithRSAEncryption [PKCS#1] con una longitud de clave igual a superior a 1024 bits (RSA).

Es igualmente aceptable sha1WithDSAEncryption [FIPS180] [FIPS186] con la misma longitud de clave del algoritmo DSA.

4.2.1.3 – Algoritmos de Encriptado

Es necesario en todo momento mantener encriptada la clave privada del titular, de la ACL y del OL. Es posible utilizar algoritmos tales como Triple DES [X9.52] en sus distintos modos de operación [FIPS 81] CBC, CFB, OFB con longitudes de claves de 112 y 168 bits.

Otro algoritmo aceptado para este fin es IDEA [IDEA] con bloques de 128 bits e idénticos modos.

Se podrán incorporar otros algoritmos al presente estándar siempre y cuando cumplan con las premisas enunciadas en 2.2 – Tecnología.

4.2.2 – Certificados

La IFDAPN utiliza certificados X.509 versión 3 tal como se indica en el estándar ISO/IEC/ITU X.509 [IETF1]. Este estándar pertenece a un grupo de estándares definidos en ITU-T X.500 Directory Service Standards.

4.2.2.1 – Tipos

Una ACL puede emitir distintos tipos de certificados. Estos pueden ser diferenciados por el grado de compromiso empleado en la verificación de cada uno de los datos que contienen, y por los datos contenidos (diferentes

atributos en su Nombre Distinguido ,”Distinguished Name” en adelante DN, diferentes algoritmos y diferentes extensiones).

A cada tipo de certificado le corresponde una Política de Certificación propia.

El uso de cada tipo de certificado se encuentra descripto en la Política de Certificación correspondiente y las aplicaciones que se desarrollen a tal efecto.

4.2.2.2 – Datos Básicos

Los certificados emitidos poseen los siguientes campos (como mínimo):

Versión		Número de versión del formato X.509
Número de Serie (Serial Number)		Unico número identificador del certificado generado por el emisor del mismo.
Firma (Signature)		ID del Algoritmo	Algoritmo usado para firmar el certificado
Emisor (Issuer)		Nombre del emisor del certificado (en formato X.500)
Validez (Validity)		No antes de (Not Before)	Fecha de inicio de validez
		No después de (Not After)	Fecha de finalización
Titular (Subject)		Nombre del titular del certificado (en formato X.500)
Información de la clave pública del Titular		ID del Algoritmo	Algoritmo de firma del titular
	Parámetros	Parámetros aplicables a la clave pública
	Clave Pública	Clave Pública del titular
Extensiones		Opcional)	Extensiones agregadas a los certificados tal como lo indica el estándar.
Firma del Emisor		ID del Algoritmo	Algoritmo usado para esta firma
		Encriptado de resultado de la función de Hash sobre el certificado

4.2.2.3 – Extensiones

Es recomendable que los certificados emitidos por las ACLs incorporen aquellas extensiones que imponen restricciones en el uso de los certificados (key usage, basic constraints) y aquellas que informan sobre la política de certificación correspondiente (certificate policies). (ver A.6 – Extensiones X.509 v3).

4.2.2.4 – Formatos

Los certificados emitidos por las ACLs y por el OL deben ser entregados en formato PEM o DER [ISO25-1] para poder ser incorporados a las aplicaciones que requieran su uso.

4.2.2.5 – Identificación única

Es necesario que cada titular de certificado sea distinguido unívocamente. Cada usuario tiene un simple DN, que debe ser compatible con el estándar X.520 [ISO9594-6].

Se recomienda incluir en cada DN de usuario los siguientes datos como mínimo:

Nombre y apellido completo, según figure en su Documento Nacional de Identidad, libreta de enrolamiento o libreta cívica, o en su caso, Cédula de Indentidad o Pasaporte.

Organismo donde desempeña sus funciones, u organismo emisor del certificado en caso de tratarse de un usuario externo a la Administración Pública Nacional.

Localidad, Provincia y País de residencia habitual.

Un identificador único utilizado por la ACL para evitar conflictos con otros certificados emitidos.

4.2.2.6 – Número de Serie

El número de serie será un número entero único asignado por cada ACL a cada certificado emitido. Estos números son correlativos y se incluirán en las CRLs si el certificado es revocado.

4.2.2.7 – Periodo de Validez

Los campos que indican el periodo de validez (“no antes de” y “no después de”) detallan fecha y hora. Los valores incluidos en estos campos se encuentran expresados en Coordinated Universal Time (UTC).

4.2.2.8 – Titular

Es un identificador del titular del certificado en formato X.520. Debe ser único dentro de la ACL que emita el certificado. Los atributos que lo componen son aquellos indicados en la Política de Certificación correspondiente a este tipo de certificados.

4.2.2.9 – Emisor

Es un identificador, o DN, del emisor del certificado en formato X.520, que se encuentra en el certificado que posee dicho emisor.

4.2.3 – Solicitudes de Certificados

Para emitir un certificado es necesario contar con una solicitud, la cual debe contener la clave pública de quien solicita dicho certificado (o en su caso de la Autoridad Certificante a licenciar) junto a otros datos del mismo. Dicha solicitud debe encontrarse firmada utilizando la clave privada correspondiente a la clave pública incluida en la solicitud.

Siguiendo los pasos indicados en el Manual de Procedimientos para el tipo de certificado solicitado, la ACL (o en su caso el OL) procede a emitir el certificado correspondiente.

Para verificar la posesión de la clave privada correspondiente se utilizan utilizan los mecanismos que se describen en la sección 2.3 (Proof of Possession (POP) of Private Key) en Internet X.509 Public Key Infrastructure Certificate Management Protocols [PKIX-CMP].

4.2.3.1 – Solicitud de una AC al OL

Las Autoridades Certificantes que deseen ser licenciadas por el OL deben remitir una solicitud de certificado en formato PKCS#10 [PKCS#10].

Dicho requerimiento puede ser transmitido en formato DER o PEM [ISO25-1], dependiendo del producto generador del requerimiento.

4.2.3.2 – Solicitud de un Titular a una ACL

Las solicitudes de los usuarios hacia una ACL pueden ser remitidas en formato PKCS#10 [PKCS#10].

Pueden utilizarse otros formatos o mecanismos, principalmente aquellos desarrollados para ser solicitados utilizando los Navegadores de Internet, siempre y cuando se pueda garantizar que el solicitante posee la clave privada correspondiente a la clave pública incluida en la solicitud (ver A.5 – Navegadores generadores de Par de Claves).

4.2.3.3. – Certificados para Servidores

Los certificados para servidores (para ser utilizados en el protocolo HTTPS u otros servicios utilizando protocolo TLS o SSL v3) pueden ser emitidos por las ACLs para aquellos servidores que se encuentren dentro de su ámbito de aplicación. Debe garantizarse el derecho al uso del denominador utilizado (nombre del servidor) por parte del ente que posea la autoridad sobre la zona del Dominio de Nombres correspondiente [RFC1034][RFC1035].

Debe nombrarse un responsable de la clave privada correspondiente al certificado emitido al servidor correspondiente.

4.2.4 – Lista de Certificados Revocados (CRL)

La IFDAPN utiliza Lista de Certificados Revocados X.509 versión 2 tal como se indica en el estándar ISO/IEC/ITU X.509 [IETF1]. Este estándar pertenece a un grupo de estándares definidos en ITU-T X.500 Directory Service Standards.

4.2.5 – Tipos de dispositivos utilizados para almacenar las claves privadas

Es responsabilidad del organismos que incorpore la presente tecnología a sus procedimientos la selección del almacenamiento apropiado para cada aplicación, garantizando siempre el mayor grado de seguridad sobre las

claves privadas de los usuarios. En

A.4 – Medios de Almacenamiento

se encuentra una lista de dispositivos que pueden ser utilizados con una descripción de sus características más relevantes en lo que respecta al uso de esta tecnología.

Tal como se indica en el Decreto Nº 427/98, es responsabilidad de la ACL dar a conocer a los usuarios las responsabilidades y obligaciones que contrae por el hecho de ser titular de un certificado correspondiente a su clave privada. De la misma manera debe instruir a dichos usuarios sobre la mejor manera de proteger dicha clave de accesos indebidos.

Es recomendable que las claves privadas sean almacenadas en Smart Cards (Tarjetas Inteligentes) u otros dispositivos removibles de manera tal de garantizar su seguridad física. Es posible hacer uso de otro tipo de dispositivos para aplicaciones o funciones, garantizando siempre la integridad y seguridad de la clave privada.

Es recomendable que las Smart Cards que sean incorporadas en la IFDAPN soporten PKCS#11 ya que permite un nivel de seguridad apropiado y asegura interoperabilidad. Sin embargo, es posible utilizar el estándar definido como CryptoAPI si la plataforma operativa es un entorno Windows. En ambos casos el proveedor de Smart Cards debe ofrecer una o ambas interfaces cumpliendo los estándares sobre algoritmos, longitud de clave y encriptado de claves indicados. El estándar ISO7816 debe ser soportado estos dispositivos que sean incorporados a la IFDAPN. Asimismo, deben ofrecer conectividad utilizando la última versión del estándar PC/SC definido en [PCSC]. (ver A.4.1 – Sobre Smart Cards – interoperabilidad)

4.2.6 – Comunicación

4.2.6.1 – Comunicación segura en línea

Se recomienda utilizar el protocolo Transport Layer Security (TLS) para establecer una comunicación segura entre aplicaciones [PKIX-TLS], o bien SSL versión 3.

TLS es el estándar resultante del protocolo Secure Socket Layer (SSL). Permite autenticar tanto al servidor como al cliente de una aplicación utilizando certificados X.509.

4.2.6.2 – Formato de transferencia de Correo Electrónico (Email).

Es recomendable que las aplicaciones de correo electrónico que utilicen esta tecnología cumplan con el estándar S/MIME para la transmisión de mensajes.

S/MIME es una iniciativa de RSA Data Security Inc. que actualmente es un estándar de internet definido en [SMIME]. Especifica una mensajería electrónica segura.

4.2.7 – Servicios de Directorio

Las ACLs y el OL deben ofrecer un servicio de directorio compatible con el protocolo LDAP y permitir que las aplicaciones accedan a los certificados emitidos y a las CRLs. Este servicio se debe encontrar actualizado con la frecuencia indicada en las Políticas de Certificación de cada tipo de certificado. (ver A.7 – Servicios de Directorios)

La implementación de un servicio de estas características debe soportar la inclusión de certificados de usuario, certificados de ACLs y CRLs.

Junto al Servicio de Directorio se puede disponer del servicio de consulta en línea del estado de un certificado. Dicho servicio se encuentra definido en [PKIX-OSCP].

4.2.8 – Otros servicios

No se encuentran contemplados en el Decreto N° 427/98 como obligaciones de las ACLs otros servicios relacionados a la presente tecnología. Sin embargo, pueden ser incorporados siempre que no se comprometa el nivel de seguridad necesaria o se dejen de cumplir con los estándares de la IFDAPN.

4.2.8.1 – TimeStamp

El servicio de TimeStamp permite adicionar a un documento un sello de fecha y hora seguro. Este sello es emitido por una Autoridad de Sellado de Fecha (Time Stamp Authotiry, TSA), que es una entidad confiable similar a una ACL. Una TSA que ofrezca los servicios dentro de la Administración Pública Nacional debe cumplir con el estándar definido en [PKIX-TS].

4.2.8.2 – Key Recovery

El Decreto Nº 427/98 no contempla las características de encriptado que posibilita esta tecnología. (ver A.2.1 – Key Recovery)

4.2.8.3 – Servicios de notariado

El Servicio de Notariado se encuentra definido en el estándar Internet X.509 Public Key Infrastructure Data Certification Server Protocols [PKIX-DCS].

Al igual que el servicio de TimeStamp, puede ser implementado por una institución u organismo. Sin embargo, no se encuentra contemplado dentro del Decreto Nº 427/98.

A – INFORMACION

A.1 – Organizaciones Internacionales

A.1.1 – International Telecommunications Union

ITU es el responsable de los estándares X.509 para formato y directorio de certificados. http://www.itu.ch

A.1.2 – Internet Engeneering Task Force (IETF) Working Group

El “Internet Engeneering Task Force Working Group” es un grupo de trabajo organizado para producir técnicas y otro tipo de contribuciones a la ingeniería y evolución de Internet y sus tecnologías. Se encuentra abierto a cualquier individuo interesado y su tarea principal es la producción de nuevas especificaciones de estándares para Internet. El IETF no es una organización dedicada a la producción de estándares, aunque muchas de las especificaciones producidas por dicho grupo han sido adoptadas como tales.

El IETF Simple Public Key Infraestructure (SPKI) Working Group se encuentra desarrollando un estándar para un formato de certificado de clave pública, firma asociada y otros formatos y protocolos de adquisición de claves. Es intención que el SPKI provea mecanismos para soportar seguridad en un amplio rango de aplicaciones sobre Internet, incluyendo Internet Protocol Security Evaluation Criteria (IPSEC), correo electrónico encriptado y documentos en WWW, protocolos de pago y otras aplicaciones que requieren certificados para acceder.

A.1.3 – National Institute of Standards and Technology (NIST)

El NIST fue creado por el Congreso de los EE.UU. para apoyar a la industria en el desarrollo de las tecnologías necesarias para mejorar la calidad de los productos, para modernizar sus procesos de fabricación, para asegurar su confiabilidad y para facilitar su rápida comercialización en base a los últimos avances científicos.

http://www.itl.nist.gov

A.2 – Consideraciones generales

A.2.1 – Key Recovery

El Decreto Nº 427/98 prohibe expresamente que una ACL tome contacto con una clave privada perteneciente al titular de un certificado emitido por ella misma o por otra ACL. Esto también rige para el OL con respecto a las ACLs.

Por tal motivo este servicio no puede ser ofrecido por el OL ni por las ACLs que operan dentro de la IFDAPN. Los titulares de certificados que pierdan la clave privada correspondiente a la clave pública presente en el certificado deben solicitar la revocación inmediata del mismo a fin de evitar posibles fraudes.

Las ACLs y los titulares de certificados deben utilizar medios alternativos de resguardo para garantizar la recuperación de su clave privada si esta se viese destruida por algún motivo.

A.2.2 – Data Recovery

Dado que es posible utilizar el mismo mecanismo para mantener comunicaciones encriptadas, y que es necesaria la clave privada del receptor para la lectura de la información encriptada (ya sea para recuperar la clave simétrica de sesión con la que se encriptó la comunicación, o porque se utilizó un mecanismo asimétrico de encriptado), la pérdida de dicha clave, de no tomarse los recaudos necesarios, imposibilitará la recuperación de información.

Es recomendable que se utilice un par de claves diferente para encriptar los documentos a aquel utilizado para firmar. Para dicho par de claves se puede emplear un mecanismo de key recovery de tal manera que, en caso de pérdida, puede ser recuperada la clave privada.

A.3 – Importancia de la Clave Privada en función de la jerarquía

Al comprometer la clave privada de un usuario es posible que otro individuo impersone al titular de dicha clave, utilizándola para firmar documentos digitalmente o altere de manera indetectable uno previamente firmado. De esta manera se está comprometiendo la confiabilidad del sistema ya que es imposible determinar el firmante real del documento, es decir, no es posible distinguir al titular de la clave privada del impostor. Según se indica en el Decreto Nº 427/98, el titular de la clave privada es el responsable de todo acto en el que intervenga la misma, y en caso de verse comprometida debe informar de inmediato a la ACL emisora para que su certificado sea revocado.

Una tarea similar debe seguir una ACL si considera que su clave privada se ha visto comprometida. Pero en este caso los afectados son todos los certificados que han sido emitidos por dicha ACL si no es posible determinar el momento a partir del cual dicha clave se vio comprometida.

Es natural, por lo tanto, emplear mayores y mejores recursos para proteger la clave de una ACL que la de un usuario, lo cual no implica una mayor importancia sino la necesidad de evitar consecuencias operativas más graves.

A.4 – Medios de Almacenamiento

Existen actualmente diversos medios disponibles para el almacenamiento de la clave privada, tanto de las ACLs como de los titulares de certificados. La lista que se transcribe a continuación no es exhaustiva ya que pueden surgir nuevas tecnologías que serán oportunamente incorporados al presente documento.

· Diskette

Presenta características que lo hacen, por el momento, el medio más práctico y económico: se puede leer en todas las computadoras, es fácilmente transportable y permite almacenar un gran volumen de información. Sin embargo no es un medio confiable ya que su uso intensivo puede causar pérdida de información. En caso de utilizarse se recomienda realizar copias de resguardo de la clave privada del titular.

· Disco Rígido

Al igual que el diskette se encuentra en todos los equipos aunque es más confiable con respecto al mantenimiento de la información. Sin embargo cuenta con varias desventajas:

· no es transportable, lo que implica que el usuario sólo puede utilizar su clave privada desde una sola estación de trabajo,

* la mayoría de los equipos no cuentan actualmente con un Sistema Operativo que impida el acceso de usuarios no habilitados a los archivos donde se almacene la clave privada. Aunque esta clave se encuentra protegida por un sistema criptográfico que restringe su uso al titular de la misma, no puede evitarse su destrucción voluntaria o involuntariamente.

Es recomendable contar con una política de seguridad para los equipos, no sólo a nivel de red, si se desea utilizar este tipo de dispositivos.

Los discos rígidos removibles solucionan el problema de la seguridad, pero igualmente deben ser utilizados personalmente.

· Smart Cards

Los Smart Cards (Tarjetas Inteligentes) son los dispositivos mejor considerados para esta tarea. Cuentan con varias características que hacen apropiado su uso para almacenar las claves privadas: son fácilmente transportables y seguros.

Incluso es posible incorporar dentro de estos dispositivos los algoritmos necesarios para la generación del par de claves, la firma y la verificación de manera tal de proteger la clave privada de todo acceso externo.

El inconveniente actual es la poca disponibilidad de lectores instalados sobre el parque actual de computadoras personales. Dichos lectores pueden ser incorporados a las computadoras de manera externa o interna. Es posible el uso de un dispositivo que es incorporado dentro del lector de diskette.

Con respecto a la seguridad de estos dispositivos algunas tarjetas tienen características que deben evitarse:

· Baja entropía utilizada para la generación de los números primos a ser utilizados para la generación del par de claves. Se deben utilizar algoritmos con las carácterísticas que se enuncian en 4.1.3 – Generación del par de claves.

* La protección de la clave privada se realiza utilizando una clave de solo 4 dígitos, algo que es fácilmente detectable con un ataque de fuerza bruta. Se deben evitar este tipo de mecanismos para la protección de una clave privada.

En A.4.1 – Sobre Smart Cards – interoperabilidad se enuncian los actuales estándares del mercado en lo que respecta a lectores de este tipo de tarjetas.

· Tarjetas de memoria

Estas tarjetas permiten solamente almacenar información, sin ninguna capacidad criptográfica. Cuenta con las mismas limitaciones que los Smart Cards en lo que respecta a los lectores y al almacenamiento seguro de la información. Es recomendable, por lo tanto, el uso de Smart Cards en lugar de estos dispositivos.

· Módulos Criptográficos en hardware

Estos dispositivos permite almacenar la clave privada y realizar todos los cálculos criptográficos dentro del mismo. Su capacidad, tanto en seguridad como en velocidad de cálculo, es superior a la una implementación y ejecución por software, lo que lo hacen apropiados para aplicaciones críticas, de máxima seguridad donde se requiera dicha capacidad. Sin embargo, no son apropiados para almacenar las claves privadas de los usuarios ya que no son transportables.

A.4.1 – Sobre Smart Cards – interoperabilidad

La interoperabilidad en sus distintos niveles – físico, lógico de acceso y de estructura de datos – entre distintas Smart Cards debe ser considerada al incorporar dicha tecnología en los sistemas o aplicaciones que operen dentro de la IFDAPN

Con el objetivo de permitir la interoperabilidad entre tarjetas y lectores, la International Standard Organization (ISO) definió en 1996 el estándar 7816 [ISO7816] para tarjetas con circuitos integrados con contactos. Este se encuentra focalizado en lograr interoperabilidad en niveles físico, eléctrico y de protocolos de transferencia de datos.

En Mayo de 1996 se formó el grupo de trabajo PC/SC (PC/SC Workgroup) con participación de fabricantes de PC (Personal Computers) y Smart Cards. El objetivo del mismo es definir un estándar para superar el problema del acceso a los datos desde plataformas heterogéneas. En diciembre de 1997, dicho grupo de trabajo publicó la primera versión del estándar [PCSC].

No existe un estándar que defina el formato de la información (de carácter criptográfico) que es almacenada dentro de un Smart Card. Dicha información es dependiente de cada una de las aplicaciones que hagan uso de la misma. Es recomendable, teniendo en cuenta el limitado espacio de almacenamiento disponible, que antes de generar dicha estructura sean considerados todos los sistemas y aplicaciones sobre los cuales la misma tarjeta será utilizada.

PKCS#11 (Cryptographic Token Interface) es un estándar mantenido y publicado por RSA Data Security Inc. y ampliamente aceptado por la industria. Especifica un estándar de bajo nivel para acceder a dispositivos criptográficos desde cualquier plataforma.

Describe una interfaz normalizada para acceder a motores criptográficos, conocidos como Tokens. Cada Token es capaz de almacenar información sensitiva y no sensitiva, manejar permisos de acceso y realizar operaciones criptográficas. Una aplicación puede consultar a un Token sobre las capacidades que soporta, por lo tanto, no todos tienen que ofrecer necesariamente el mismo grado de funcionalidad.

Las aplicaciones pueden utilizar esta interfaz para acceder o almacenar las claves privadas o las funcionalidades criptográficas necesarias sin importar si estas han sido desarrolladas por software o hardware.

Microsoft Comp. provee una arquitectura de servicio criptográfico sobre sus sistemas operativos Windows 95, Windows 98 y Windows NT utilizando una interfaz llamada CryptoAPI. De esta manera, cualquier aplicación requiriendo un servicio criptográfico lo puede solicitar por medio de esta interfaz. Este servicio permite a las aplicaciones comunicarse con módulos criptográficos llamados Cryptographic Service Providers (CSP). Un CSP preinstalado por el sistema operativo se encuentra presente, con las limitaciones criptográficas impuestas por la legislación de EEUU al respecto de estos módulos.

Los CSPs ofrecen información sobre sus capacidades a las aplicaciones que lo requieran. Pueden desarrollarse CSPs propios para acceder a las capacidades criptográficas que ofrecen las Smart Cards.

Es necesario que dichos CSPs cumplan con los estándares expuestos en el presente documento con respecto a los algoritmos habilitados y sus longitudes de clave. Dichos CSPs deben encontrase firmados digitalmente por Microsoft Comp. para que puedan ser incorporados dentro de la arquitectura del sistema operativo.

A.5 – Navegadores generadores de Par de Claves

En la actualidad las claves son generadas en su mayoría por los Navegadores de Internet (Netscape Communicator e Microsoft Internet Explorer), los cuales cuentan con la limitación de generar solo claves de longitud igual o inferior a 512 bits (algoritmo RSA).

Esta limitación se encuentran determinada por las restricciones de exportación que actualmente aplica el gobierno de Estados Unidos a los productos que contienen componentes criptográficos.

Se encuentra en la actualidad en estudio un estándar para el acceso e interacción con Autoridades Certificantes utilizando el protocolo HTTP [PKIX-WEB].

A.6 – Extensiones X.509 v3

El estándar X.509 enumera cada una de las extensiones que pueden ser incluidas en los certificados. Algunas de ellas deben ser consideradas “críticas” ya que de no incluirse en los certificados emitidos puede verse afectado el funcionamiento de algunas aplicaciones.

Las extensiones estándar se encuentran definidas en [PKIX1], aunque es posible incorporar nuevas extensiones que hayan sido registradas ante autoridades apropiadas, por ejemplo la ISO.

Las extensiones estándar incorporadas hasta el momento se pueden dividir en las siguientes grupos:

· Información sobre la clave.

Existen cuatro extensiones relacionadas con información relativa al uso del certificado y del par de claves. Esta son: authority key identifier, subject key identifier, key usage y privake key usage period.

· Información sobre Política de Certificación.

Estas extensiones proveen a las ACLs un mecanismo para distribuir información relacionada con las políticas de certificación aplicadas a cada tipo de certificado emitido. Estas son: certificates policies y policy mapping.

· Atributos de usuarios y Autoridades Certificantes.

Este tipo de extensiones aportan información adicional para la identificación de los titulares de los certificados y de las ACs. Entre ellas se encuentran: subject alternative name, issuer alternative name, subject directory attributes.

· Restricciones de certificación.

Estas extensiones ofrecen a las ACs un mecanismo para limitar y controlar a otras ACs certificadas por estas. Son: basic constraints, name constraints y policy constraint.

A.7 – Servicios de Directorios

El servicio de directorio permite acceder a información relativa al certificado que no se encuentra incluida en el mismo, como por ejemplo si ha sido revocado,a las Listas de Certificados Revocados (CRLs) que debe emitir una ACL de acuerdo a la Política de Certificación de cada tipo de certificado.

Las características relevantes de este servicio son:

Debe permitir el acceso a los certificados en función de la identificación única del titular del certificado o del número de serie del mismo.

Debe permitir un control de acceso a los datos contenidos en él, de tal manera de hacer públicos sólo aquellos datos que se encuentren en el certificado.

Debe utilizar un protocolo estándar internacionalmente aceptado y de disponibilidad local.

A.7.1 – X.500

El estándar X.500 integra un conjunto de protocolos y modelos de información con el objetivo de implementar un servicio de directorio global.

El modelo X.500 es jerárquico y permite mantener una parte de dicho directorio global. La conexión con otros servidores de directorio ofrece al usuario un mecanismo único para la búsqueda de información.

A.7.2 – LDAP

LDAP (Lightweight Directory Access Protocol) es un protocolo de acceso a directorios de información. LDAP fue desarrollado como un subconjunto de operaciones sobre el protocolo definido en el estándar X.500 llamado DAP (Discretionary Access Protocol).

LDAP opera sobre redes TCP/IP y se encuentra publicado (versión 2) como un estándar de internet en [RFC1777].

A.8 Verificación de una firma y refirmado de documentos

En un certificado X.509 v3 se encuentra indicado su periodo de validez. Un titular no debe utilizar su clave privada para firmar documentos si el certificado correspondiente se encuentra expirado.

La verificación de una firma se debe hacer teniendo en cuenta si en el momento de la firma el certificado correspondiente a la clave privada empleada se encontraba vigente. De esta manera se garantiza que el firmante se encuentra habilitado para utilizar su clave privada.

Sin embargo, es posible que la clave privada empleada para firmar se encuentre expuesta con el tiempo a ser descubierta. Por ello, y a los fines de evitar fraudes, es necesario que los documentos que han sido firmados con anterioridad sean refirmados utilizando un par de claves nuevas y un certificado con vigencia actual.

B – ESTRUCTURA DE LA IFDAPN

C – GLOSARIO

Término	Expansión / Traducción	Definición
AC	Autoridad Certificante	Es una Autoridad Certificante que no se encuentra regulada por el Decreto Nº 427/98, y que debe solicitar un certificado al OL para integrar la IFDAPN.v
ACL	Autoridad Certificante Licenciada	Autoridad Certificante Licenciada por el Organismo Licenciante de acuerdo al Decreto Nº 427/98.
Certificado		Un conjunto de información que se encuentra firmado digitalmente por una AC de tal manera que pueda ser reconocido por la comunidad de usuarios que confíen en dicha autoridad.
Certificado de Clave Pública	Public Key Certificate	Un certificado firmado digitalmente por una Autoridad Certificante que confirma la correspondencia entre la identidad y otros datos de la persona titular de la clave privada correspondiente a la clave pública que se encuentra en el certificado.
CRLs	Lista de Certificados Revocados Certificate Revocation List	Lista de los certificados que han sido revocados, que se encuentra firmada digitalmente por una ACL o el OL. Esta lista tiene una fecha segura de creación y es actualizada periódicamente.
DER	ASN.1 Distinguished Encoding Rules	Estándar definido que permite la codificación de estructuras definidas en ASN1. Se encuentra definido en el estándar X.208.
Firma Digital	Digital Signature	Es un dato digital utilizado para verificar simultaneamente la identidad del autor de un documento digital y que este no ha sido modificado.DEF. ANEXO II: “Resultado de una transformación de un DOCUMENTO DIGITAL empleando un CRIPTOSISTEMA ASIMETRICO y un DIGESTO SEGURO, de forma tal que una persona que posea el DOCUMENTO DIGITAL inicial y la CLAVE PUBLICA del firmante pueda determinar con certeza :Si la transformación se llevó a cabo utilizando la CLAVE PRIVADA que corresponde a la CLAVE PUBLICA del firmante, lo que impide su repudio 2. Si el DOCUMENTO DIGITAL ha sido modificado desde que se efectuó la transformación, lo que garantiza su integridad. La conjunción de los dos requisitos anteriores garantiza su NO REPUDIO y su INTEGRIDAD.”
HTTP	Hyper Text Transport Protocol	Protocolo de transporte utilizado para acceder a objetos a partir de un identificador referencial universal.
FDAPN	Infraestructura de Firma Digital de la Administración Pública Nacional	Representa todos los elementos parte de la infraesctructura: OL, ACLs, OA y titulares de certificados regulados por el Decreto Nº 427/98 y por los presentes estándares.
Oficial Certificador	Oficial Certificador	Responsable o responsables de la clave privada del Organismo Licenciante o de las Autoridades Certificantes Licenciadas.
PEM	Privacy Enhanced Mail	Un conjunto de estándares propuestos en Internet. Indican el formato de información.
PKI	Infraestructura de Clave Pública Public Key Infrastructure	Hardware, software, canales de comunicación y procedimientos necesarios para proveer un servicio de certificación.
OL	Organismo Licenciante	Organismo Licenciante de acuerdo al Decreto Nº 427/98.
Usuario	Titular de un certificado y su correspondiente clave privada	Titular de un par de claves y un certificado emitido a su nombre que interactua con uno o varios sistemas que utilizan esta tecnología dentro de la IFDAPN.
X.509	Formato de Certificado	X.509 es el formato de certificado más extensamente reconocido. Se encuentra definido en el estándar ISO/IEC/ITU X.509. Actualmente se encuentra definida la versión 3.

D – REFERENCIAS

[FIPS180]v	FIPS PUB 180-1, Secure Hash Standard, NIST, April 1995. Disponible en: http://www.itl.nist.gov/div897/pubs/fip180-1.htm
[FIPS186]	FIPS PUB 186, Digital Signature Standard, NIST, May 1994. Disponible en: http://www.itl.nist.gov/div897/pubs/fip186.htm
[FIPS 46]	FIPS PUB 46-2, Data Encryption Standard, December 1993. Disponible en: http://www.itl.nist.gov/div897/pubs/fip46-2.htm
[FIPS 81]	FIPS PUB 81, DES Modes of Operations, June 1981. Disponible en: http://www.itl.nist.gov/div897/pubs/fip81.htm
[ISO25-1]	ISO/IEC 8825-1 (1994), Information Technology – ASN.1 Encoding Rules – Specification of Basic Encoding Rules (VER), Canonical Encoding Rules (CER) and Distinguished Encoding Rules (DER).
[ISO7816]	ISO 7816 (parts 1-3). Asynchronous smartcard information. International Standard Institute. (1996)
[ISO9594-6]	ISO/IEC 9594-6 (1992), Selected Attribute Types.
[PCSC]	Interoperability Specification for ICCs and Personal Computer Systems, PC/SC Working Group, Dic 1997. Disponible en: http://www.smartcardsys.com/
[PKCS#1]	PKCS #1: RSA Encryption Standard, Version 1.4, RSA Data Security, Inc., 3 June 1991. Disponible en: http://www.rsa.com/pub/pkcs/
[PKCS#9]	PKCS #9: Selected Attribute Types, Version 1.1, RSA Data Security, Inc., 1 November, 1993. Disponible en: http://www.rsa.com/pub/pkcs/
[PKCS#10]	PKCS #10: Certification Request Syntax Standard, Version 1.0, RSA Data Security, Inc., 1 November, 1993. Disponible en: http://www.rsa.com/pub/pkcs/
[PKIX1]	Internet Draft, Internet Public Key Infrastructure Part I: X.509 Certificate and CRL Profile, R Housley, W. Ford and D. Solo, July 1997. Working draft “in progress” disponible en: http://www.ietf.org /internet-drafts/draft-ietf-pkix-ipki-part1-04.txt
[PKIX3]	Internet Draft, Internet Public Key Infrastructure Part III: Certificate Management Protocols, C. Adams and S. Farrell, June 1997. Working draft “in progress” disponible en: http://www.ietf.org/internet-drafts/draft-ietf-pkix-ipki3cmp-02.txt
[PKIX-CMP]	Internet Draft, Internet X.509 Public Key Infrastructure Certificate Management Protocol, C. Adams and S. Farrell, May 1998. Disponible en: http://www.ietf.org/internet-drafts/draft-ietf-pkix-ipki3cmp-08.txt
[PKIX-DCS]	Internet Draft, Internet X.509 Public Key Infrastructure Data Certification Server Protocols, C. Adams and R. Zuccherato, Sep 1998. Disponible en: http://www.ietf.org/internet-drafts/draft-ietf-pkix-dcs-00.txt
[PKIX-TS]	Internet Draft, Internet X.509 Public Key Infrastructure Time Stamp Protocols, C. Adams, P. Cain, D Pinkas and R. Zuccherato, Sep 1998. Disponible en: http://www.ietf.org/internet-drafts/draft-ietf-pkix-time-stamp-00.txt
[PKIX-OSCP]	Internet Draft, X.509 Internet Public Key Infrastructure Online Certificate Status Protocol, Michael Myers, Rich Ankney, Ambarish Malpani, Slava Galperin and Carlisle Adams, Sep 1998. Disponible en: http://www.ietf.org/internet-drafts/draft-ietf-pkix-ocsp-06.txt
[PKIX-TLS]	Internet Draft, The TLS Protocol Version 1.0, Tim Dierks, Consensus Development and Christopher Allen, Nov 1997. Disponible en: http://www.ietf.org/internet-drafts/draft-ietf-tls-protocol-05.txt
[PKIX-WEB]	Internet Draft, WEB based Certificate Access Protocol– WebCAP/1.0, Surendra Reddy, April 1998. Disponible en: http://www.ietf.org/internet-drafts/draft-ietf-pkix-webcap-00.txt
[RFC822]	RFC 822, Standard for the Format of ARPA Internet Text Messages, David H. Crocker, August 13, 1982.
[RFC1034]	RFC 1034, Domain Names – Concepts and Facilities, P. Mockapetris, Nov 1987.
[RFC1035]	RFC 1035, Domain Names – Implementation and Specitication, P. Mockapetris, Nov 1987.
[RFC1750]	RFC 1750, Ramdomness Recomendations for Security, D. Eastlake, S Crocker, J. Schiller. December 1995. Disponible en: ftp://ftp.isi.edu/in-notes/rfc1750.txt
[RFC1777]	RFC 1777, Lightweight Directory Access Protocol, Ed Yeoung, Howes, and Killie. March 1995. Disponible en: ftp://ftp.isi.edu/in-notes/rfc1777.txt
[SMIME]	RFC 2311, S/MIME Version 2 Message Specification. Network Working Group. Mar 1998. Disponible en: ftp://ftp.isi.edu/in-notes/rfc2311.txt y http://www.imc.org/ietf-smime/
[X9.52]	Draft American National Standard X9.52-1998, Triple Data Encryption Algorithm Modes of Operation, Revision 6.0, May, 1996
[X9.55]	Draft American National Standard X9.55-1995, Public Key Cryptography for the Financial Services Industry: Extensions to Public Key Certificates and Certificate Revocation Lists, Nov. 11, 1995

Régimen al que se ajustará el empleo de la firma digital en la instrumentación de los actos internos, que no produzcan efectos jurídicos individuales en forma directa, que tendrá los mismos efectos de la firma ológrafa. Autoridad de aplicación.

VISTO los Decretos Nros. 660 del 24 de junio de 1.996 y 998 del 30 de agosto de 1.996, la Resolución Nº 45 del 17 de marzo de 1.997 de la SECRETARIA DE LA FUNCION PUBLICA de la JEFATURA DE GABINETE DE MINISTROS, y

CONSIDERANDO:

Que la necesidad de optimizar la actividad de la Administración Pública Nacional adecuando sus sistemas de registración de datos, tendiendo a eliminar el uso del papel y automatizando sus circuitos administrativos, amerita la introducción de tecnología de última generación, entre las cuales se destacan aquellas relativas al uso de la firma digital, susceptible de la misma o superior garantía de confianza que la firma ológrafa.

Que la Resolución Nº 45 del 17 de marzo de 1.997 de la SECRETARIA DE LA FUNCION PUBLICA de la JEFATURA DE GABINETE DE MINISTROS ha constituido un hito importante en tal dirección, al autorizar su empleo en todo el ámbito del Sector Público Nacional.

Que se considera necesario estimular la difusión de las citadas tecnologías a través del dictado de una norma de jerarquía superior, que promueva la extensión del uso de la firma digital a todo el ámbito del Sector Público Nacional.

Que la tecnología aquí propuesta ya ha sido incorporada en la legislación de otros países, con positiva repercusión tanto en el ámbito privado como público.

Que el mecanismo de la firma digital cumple con la condición de no repudio, por la cual resulta posible probar inequívocamente que una persona firmó efectivamente un documento digital y que dicho documento no fue alterado desde el momento de su firma, siempre que su implementación se ajuste a los procedimientos aquí descriptos.

Que es indispensable establecer una Infraestructura de Firma Digital para el Sector Público Nacional con el fin de crear las condiciones de un uso confiable del documento suscripto digitalmente.

Que la presente normativa fue concebida con el propósito de crear una alternativa valida a la firma ológrafa para el Sector Público Nacional.

Que resulta conveniente, en virtud del grado de especialidad alcanzado con la puesta en práctica de la reglamentación del Artículo 49 de la Ley Nº 11.672 (t.o. 1.997); que las funciones del Organo Auditante recaigan en la CONTADURIA GENERAL DE LA NACION, dependiente de la SUBSECRETARIA DE PRESUPUESTO de la SECRETARIA DE HACIENDA del MINISTERIO DE ECONOMIA Y OBRAS Y SERVICIOS PUBLICOS.

Que las disposiciones de la presente normativa complementan las disposiciones del Decreto Nº 333 del 19 de febrero de 1.985 y sus modificatorios.

Que dada su índole, se ha considerado conveniente y necesario que la autorización del empleo de la tecnología de la firma digital en el ámbito del Sector Público Nacional se sujete a un término de vigencia, que permita evaluar, a partir de su efectiva utilización, tanto su funcionamiento en las diferentes jurisdicciones cuanto el grado de confiabilidad y seguridad del sistema.

Que en mérito a tales circunstancias se prevé expresamente en la presente normativa la elaboración, por la Autoridad de Aplicación, de un informe acerca de los resultados del empleo de la firma digital a fin de que, sobre la base de las conclusiones emergentes, la JEFATURA DE GABINETE DE MINISTROS proponga al PODER EJECUTIVO NACIONAL las medidas tendientes a fijar un régimen definitivo en la materia.

Que asimismo y con idéntico fundamento, se delega en la JEFATURA DE GABINETE DE MINISTROS la facultad de prorrogar, por una única vez, el plazo del Artículo 1º del presente Decreto.

Que la presente medida se dicta en uso de las facultades conferidas por el Artículo 99 inciso 1º de la CONSTITUCION NACIONAL.

Por ello,

EL PRESIDENTE DE LA NACION ARGENTINA

DECRETA:

Artículo 1º- Autorízase por el plazo de DOS (2) años, a contar del dictado de los manuales de procedimiento y de los estándares aludidos en el artículo 6º del presente Decreto, el empleo de la firma digital en la instrumentación de los actos internos del Sector Público Nacional, que no produzcan efectos jurídicos individuales en forma directa, en las condiciones definidas en la Infraestructura de Firma Digital para el Sector Público Nacional que como Anexo I integra el presente Decreto. En el régimen del presente Decreto la firma digital tendrá los mismos efectos de la firma ológrafa, siempre que se hayan cumplido los recaudos establecidos en el Anexo I y dentro del ámbito de aplicación definido en el artículo 3.

Nota: Mediante la Decisión Administrativa 102/2000 de la Jefatura de Gabinete de Ministros (B.O. 25.01.2000) se prorrogo por dos años o sea hasta el 30 de Diciembre de 2002 el plazo establecido en el artículo 1

Art. 2º- Los términos de este reglamento tendrán los alcances definidos en el Glosario que como Anexo II integra el presente Decreto.

Art. 3º- Las disposiciones del presente Decreto serán de aplicación en todo el ámbito del Sector Público Nacional, dentro del cual se comprende la administración centralizada y la descentralizada, los entes autárquicos, las empresas del Estado, Sociedades del Estado, Sociedades Anónimas con participación estatal mayoritaria, los bancos y entidades financieras oficiales y todo otro ente, cualquiera que sea su denominación o naturaleza jurídica, en que el Estado Nacional o sus organismos descentralizados tengan participación suficiente para la formación de sus decisiones.

Art. 4º- Los organismos del Sector Público Nacional deberán arbitrar los medios que resulten adecuados para extender el empleo de la tecnología de la firma digital, en función de los recursos con los que cuenten y en el más corto plazo posible.

Art. 5º- La correspondencia entre una clave pública, elemento del par de claves que permite verificar una firma digital, y el agente titular de la misma, será acreditada mediante un certificado de clave pública emitido por una Autoridad Certificante Licenciada. Los requisitos y condiciones para la vigencia y validez de los certificados de clave pública (emisión, aceptación, revocación, expiración y demás contingencias del procedimiento), así como las condiciones bajo las cuales deben operar las Autoridades Certificantes Licenciadas integrantes de la Infraestructura de Firma Digital para el Sector Público Nacional, quedan establecidas en el citado Anexo I.

Art. 6º- Dispónese que la Secretaría de la Función Pública, dependiente de la Jefatura de Gabinete de Ministros, sea la Autoridad de Aplicación del presente Decreto, estando facultada, además, para dictar los manuales de procedimiento de las Autoridades Certificantes Licenciadas y de los Organismos Auditante y Licenciante, y los estándares tecnológicos aplicables a las claves, los que deberán ser definidos en un plazo no mayor de CIENTO OCHENTA (180) DIAS corridos, y cuyos contenidos deberán reflejar el último estado del arte. Los organismos del Sector Público Nacional deberán informar a la Autoridad de Aplicación, con la periodicidad que ésta establezca, las aplicaciones que concreten de la tecnología autorizada por el presente Decreto.

Art. 7º- Dispónese que el presente Decreto establece una alternativa a las estipulaciones pertinentes del Decreto Nº 333 del 19 de febrero de 1.985 y sus modificatorios, respecto de los actos alcanzados por el artículo 1º.

Art. 8º- La Secretaria de la Función Pública de la Jefatura de Gabinete de Ministros cumplirá las funciones de Organismo Licenciante con los alcances definidos en el Anexo I del presente Decreto.

Art. 9º- La Contaduría General de la Nación, dependiente de la Subsecretaría de Presupuesto de la Secretaría de Hacienda del Ministerio de Economía y Obras y Servicios Públicos, cumplirá las funciones de Organismo Auditante en los términos de lo establecido en el Anexo I del presente Decreto.

Art. 10.- CIENTO OCHENTA (180) días corridos antes de la finalización del plazo establecido en el artículo 10, la Autoridad de Aplicación definida en el artículo 6º del presente Decreto deberá elaborar y remitir a la Jefatura de Gabinete de Ministros un informe acerca de los resultados que la aplicación del sistema autorizado hubiere tenido en las respectivas jurisdicciones. La Jefatura de Gabinete de Ministros examinará dicho informe y propondrá al Poder Ejecutivo el régimen definitivo a adoptar en la materia.

Art. 11.- Delégase en la Jefatura de Gabinete de Ministros la facultad de prorrogar, por una única vez, el plazo establecido en el Artículo 1º del presente Decreto.

Art. 12.- Comuníquese, publíquese, dése a la Dirección Nacional del Registro Oficial y archívese. – MENEM. – Jorge A. Rodríguez. – Raúl E. Granillo Ocampo.

ANEXO I

INFRAESTRUCTURA DE FIRMA DIGITAL PARA EL SECTOR PUBLICO NACIONAL

ORGANISMO LICENCIANTE

Funciones:

1. Otorga las licencias habilitantes para acreditar a las autoridades certificantes y emite los correspondientes CERTIFICADOS DE CLAVE PUBLICA, que permiten VERIFICAR LAS FIRMAS DIGITALES de los CERTIFICADOS que éstas emitan;

2. Deniega las solicitudes de licencias a las autoridades certificantes que no cumplan con los requisitos establecidos para su autorización;

3. Revoca las licencias otorgadas a las AUTORIDADES CERTIFICANTES LICENCIADAS que dejan de cumplir con los requisitos establecidos para su autorización;

4. Verifica que las AUTORIDADES CERTIFICANTES LICENCIADAS utilicen sistemas TECNICAMENTE CONFIABLES;

5. Considera para su aprobación el manual de procedimientos, el plan de seguridad y el de cese de actividades presentados por las autoridades certificantes;

6. Acuerda con el ORGANISMO AUDITANTE el plan de auditoria para las AUTORIDADES CERTIFICANTES LICENCIADAS;

7. Dispone la realización de auditorias de oficio;

8. Resuelve los conflictos individuales que se susciten entre el SUSCRIPTOR de un

CERTIFICADO y la AUTORIDAD CERTIFICANTE LICENCIADA emisora del mismo;

9. Resuelve todas aquellas contingencias respecto a la Infraestructura de FIRMA DIGITAL.

Obligaciones:

En su calidad de SUSCRIPTOR de CERTIFICADO y de autoridad certificante, el ORGANISMO LICENCIANTE tiene idénticas obligaciones que las A[UTORIDADES CERTIFICANTES LICENCIADAS, y además debe:

1. Abstenerse de generar, exigir, o por cualquier otro medio tomar conocimiento o acceder bajo ninguna circunstancia, a la CLAVE PRIVADA de cualquier SUSCRIPTOR de los CERTIFICADOS que emita;

2. Mantener el control de su propia CLAVE PRIVADA e impedir su divulgación;

3. Revocar su propio CERTIFICADO DE CLAVE PUBLICA frente al compromiso de su CLAVE PRIVADA;

4. Permitir el acceso público permanente a los CERTIFICADOS DE CLAVE PUBLICA que ha emitido en favor de las AUTORIDADES CERTIFICANTES LICENCIADAS, y a la LISTA DE CERTIFICADOS REVOCADOS, por medio de conexiones de telecomunicaciones públicamente accesibles. Esto también se aplica a la información sobre direcciones y números telefónicos de las AUTORIDADES CERTIFICANTES LICENCIADAS;

5. Permitir el Ingreso de los funcionarios autorizados del ORGANISMO AUDITANTE a su local operativo, poner a su disposición toda la información necesaria, y proveer la asistencia del caso;

6. Publicar su propio CERTIFICADO DE CLAVE PUBLICA en el Boletín Oficial, y en DOS (2) diarios de difusión nacional, durante TRES (3) días consecutivos a partir del día de su emisión;

7. Revocar los CERTIFICADOS emitidos en favor de las AUTORIDADES CERTIFICANTES LICENCIADAS incursas en causales de revocación de licencia, o que han cesado sus actividades;

8. Revocar los CERTIFICADOS emitidos en favor de las AUTORIDADES CERTIFICANTES LICENCIADAS, cuando las CLAVES PUBLICAS que en ellos figuran dejan de ser TECNICAMENTE CONFIABLES;

9. Supervisar la ejecución del plan de cese de actividades de las AUTORIDADES CERTIFICANTES LICENCIADAS que discotinúan sus funciones;

10. Registrar las presentaciones que le sean formuladas, así como el trámite conferido a cada una de ellas.

ORGANISMO AUDITANTE

Funciones:

1. Audita periódicamente al ORGANISMO LICENCIANTE y a las AUTORIDADES CERTIFICANTES LICENCIADAS;

2. Audita a las autoridades certificantes previo a la obtención de sus licencias;

3. Acuerda con el ORGANISMO LICENCIANTE el plan de auditoria para las AUTORIDADES CERTIFICANTES LICENCIADAS;

4. Audita a las AUTORIDADES CERTIFICANTES LICENCIADAS a solicitud del ORGANISMO LICENCIANTE:

5. Efectúa las revisiones de cumplimiento de las recomendaciones formuladas en las auditorias.

Obligaciones:

El ORGANISMO AUDITANTE debe:

1. Utilizar técnicas de auditoria apropiadas en sus evaluaciones;

2. Evaluar la confiabilidad y calidad de los sistemas utilizados, la integridad, confidencialidad, y disponibilidad de los datos, como así también el cumplimiento con las especificaciones del manual de procedimientos y el plan de seguridad aprobados por el ORGANISMO LICENCIANTE.

3. Verificar que se utilicen sistemas TECNICAMENTE CONFIABLES;

4. Emitir informes de auditoria con los hallazgos, conclusiones y recomendaciones en cada caso;

5. Realizar revisiones de seguimiento de las auditorias, para determinar si el organismo auditado ha tomado las acciones correctivas que surjan de las recomendaciones;

6. Emitir informes con las conclusiones de las revisiones de seguimiento de auditorias;

7. Intervenir en los simulacros de planes de contingencia;

8. Dar copia de todos los informes de auditoría por él emitidos al ORGANISMO LICENCIANTE.

AUTORIDAD CERTIFICANTE LICENCIADA

Funciones:

1. Emite CERTIFICADOS DE CLAVE PUBLICA;

Para emitir CERTIFICADOS DE CLAVE PUBLICA, la AUTORIDAD CERTIFICANTE LICENCIADA debe:

a) recibir del agente requirente una solicitud de EMISION DE CERTIFICADO DE CLAVE PUBLICA, la cual deberá estar firmada digitalmente con la correspondiente CLAVE PRIVADA;

b) verificar fehacientemente la información identificatoria del solicitante, la cual deberá estar siempre incluida en el CERTIFICADO, y toda otra información que según lo dispuesto en el manual de procedimientos de la AUTORIDAD CERTIFICANTE LICENCIADA, deba ser objeto de verificación, lo cual deberá realizarse de acuerdo a lo dispuesto en el citado manual;

c) numerar correlativamente los certificados EMITIDOS;

d) Mantener copia de todos los CERTIFICADOS emitidos, consignando su fecha de emisión.

La AUTORIDAD CERTIFICANTE LICENCIADA puede, opcionalmente, incluir en un CERTIFICADO información no verificada, debiendo indicar claramente tal cualidad.

2. Revoca CERTIFICADOS DE CLAVE PUBLICA;

La AUTORIDAD CERTIFICANTE LICENCIADA revocará los CERTIFICADOS DE CLAVE PUBLICA por ella emitidos:

a) por solicitud de su SUSCRIPTOR; o

b) por solicitud de un TERCERO; o

c) si llegara a determinar que un CERTIFICADO fue emitido en base a una información falsa, que en el momento de la EMISION hubiera sido objeto de verificación; o

d) si llegara a determinar que las CLAVES PUBLICAS contenidas en los CERTIFICADOS dejan de ser TECNICAMENTE CONFIABLES; o

e) si cesa en sus actividades y no transfiere los CERTIFICADOS emitidos por ella a otra

AUTORIDAD CERTIFICANTE LICENCIADA;

La solicitud de REVOCACION DE UN CERTIFICADO debe hacerse en forma personal o por medio de un DOCUMENTO DIGITAL FIRMADO. Si la revocación es solicitada por el SUSCRIPTOR, ésta deberá concretarse de inmediato. Si la revocación es solicitada por un TERCERO, tendrá lugar dentro de los plazos mínimos necesarios para realizar las verificaciones del caso.

La revocación debe indicar el momento desde el cual se aplica y no puede ser retroactiva o a futuro. El CERTIFICADO revocado deberá incluirse inmediatamente en la LISTA DE CERTIFICADOS REVOCADOS, y la lista debe estar firmada por LA AUTORIDAD CERTIFICANTE LICENCIADA. Dicha lista debe hacerse pública en forma permanente, por medio de conexiones de telecomunicaciones públicamente accesibles.

La AUTORIDAD CERTIFICANTE LICENCIADA debe emitir una constancia de la revocación para el solicitante.

3. Provee, opcionalmente, el servicio de SELLADO DIGITAL DE FECHA Y HORA.

Obligaciones:

Adicionalmente a sus obligaciones emergentes como SUSCRIPTORA de su CERTIFICADO emitido por el ORGANISMO LICENCIANTE, la AUTORIDAD CERTIFICANTE LICENCIADA debe:

1. Abstenerse de generar, exigir, o por cualquier otro medio tomar conocimiento o acceder bajo ninguna circunstancia, a la CLAVE PRIVADA del SUSCRIPTOR;

2. Mantener el control de su CLAVE PRIVADA e impedir su divulgación;

3. Solicitar inmediatamente la REVOCACION DE SU CERTIFICADO, cuando tuviera sospechas fundadas de que su CLAVE PRIVADA ha sido comprometida;

4. Solicitar al ORGANISMO LICENCIANTE la revocación de su CERTIFICADO cuando la CLAVE PUBLICA en él contenida deje de ser TECNICAMENTE CONFIABLE;

5. Informar inmediatamente al ORGANISMO LICENCIANTE sobre cualquier cambio en los datos contenidos en su CERTIFICADO, o sobre cualquier hecho significativo que pueda afectar la información contenida en el mismo;

6. Operar utilizando un sistema TECNICAMENTE CONFIABLE;

7. Notificar al solicitante sobre las medidas necesarias que éste está obligado a adoptar para crear FIRMAS DIGITALES seguras y para su VERIFICACION confiable; y de las obligaciones que éste asume por cl solo hecho de ser SUSCRIPTOR de un CERTIFICADO DE CLAVE PUBLICA;

8. Recabar únicamente aquellos datos personales del SUSCRIPTOR del CERTIFICADO que sean necesarios y de utilidad para la emisión del mismo, quedando el solicitante en libertad de proveer información adicional. Toda información así recabada, pero que no figure en el CERTIFICADO, será de trato confidencial por parte de la AUTORIDAD CERTIFICANTE LICENCIADA;

9. Poner a disposición del SUSCRIPTOR de un CERTIFICADO emitido por esta AUTORIDAD CERTIFICANTE LICENCIADA, toda la información relativa a la tramitación del CERTIFICADO;

10. Mantener la documentación respaldatoria de los CERTIFICADOS emitidos por DIEZ (10) años a partir de su fecha de vencimiento o revocación;

11. Permitir el acceso público permanente a los CERTIFICADOS que ha emitido, y a la LISTA DE CERTIFICADOS REVOCADOS, por medio de conexiones de telecomunicaciones públicamente accesibles;

12. Publicar su dirección y sus números telefónicos;

13. Permitir el ingreso de los funcionarios autorizados del ORGANISMO LICENCIANTE o del ORGANISMO AUDITANTE a su local operativo, poner a su disposición toda la información necesaria, y proveer la asistencia del caso;

14. Registrar las presentaciones que le sean formuladas, así como el trámite conferido a cada una de ellas.

Cese de Actividades:

Los CERTIFICADOS emitidos por una AUTORIDAD CERTIFICANTE LICENCIADA que cesa en sus funciones se revocarán a partir del día y la hora en que cesa su actividad, a menos que sean transferidos a otra AUTORIDAD CERTIFICANTE LICENCIADA. La AUTORIDAD CERTIFICANTE LICENCIADA notificará mediante la publicación por TRES (3) días consecutivos en el Boletín Oficial, la fecha y hora de cese de sus actividades, que no podrá ser anterior a los NOVENTA (90) días corridos contados desde la fecha de la última publicación. La notificación también deberá hacerse individualmente al ORGANISMO LICENCIANTE.

Cuando se hayan emitido CERTIFICADOS a personas ajenas al Sector Público Nacional, la AUTORIDAD CERTIFICANTE LICENCIADA publicará durante TRES (3) días consecutivos en uno o más diarios de difusión nacional, el cese de sus actividades.

La AUTORIDAD CERTIFICANTE LICENCIADA podrá disponer de medios adicionales de comunicación del cese de sus actividades a los SUSCRIPTORES de CERTIFICADOS que son ajenos al Sector Público Nacional.

Si los CERTIFICADOS son transferidos a otra AUTORIDAD CERTIFICANTE LICENCIADA, toda la documentación pertinente también deberá ser transferida a ella.

Requisitos para obtener la licencia de autoridad certificante:

La autoridad certificante que desee obtener una licencia deberá:

1. Presentar una solicitud;

2. Contar con un dictamen favorable emitido por el ORGANISMO AUDITANTE;

3. Someter a aprobación del ORGANISMO LICENCLANTE el manual de procedimientos, el plan de seguridad y el de cese de actividades, así como el detalle de los componentes técnicos a utilizar;

4. Emplear para el ejercicio de las actividades de certificación, personal técnicamente idóneo y que no se encuentre incurso en los supuestos de inhabilitación para desempeñar funciones dentro del Sector Público Nacional;

5. Presentar toda otra información relevante al proceso de otorgamiento de licencias que sea exigida por el ORGANISMO LICENCIANTE.

SUSCRIPTOR DE CERTIFICADO DE CLAVE PUBLICA

Obligaciones del SUSCRIPTOR:

El SUSCRIPTOR de un CERTIFICADO DE CLAVE PUBLICA debe:

1. Proveer todos los datos requeridos por la AUTORIDAD CERTIFICANTE LICENCIADA bajo declaración jurada;

2. Mantener el control de su CLAVE PRIVADA e impedir su divulgación;

3. Informar inmediatamente a la AUTORIDAD CERTIFICANTE LICENCIADA, sobre cualquier circunstancia que pueda haber comprometido su CLAVE PRIVADA;

4. Informar inmediatamente a la AUTORIDAD CERTIFICANTE LICENCIADA cuando cambie alguno de los datos contenidos en el CERTIFICADO que hubieran sido objeto de verificación.

CERTIFICADOS DE CLAVE PUBLICA

Contenido del CERTIFICADO DE CLAVE PUBLICA:

El CERTIFICADO DE CLAVE PUBLICA contendrá, como mínimo, los siguientes datos:

1. Nombre del SUSCRIPTOR del CERTIFICADO:

2. Tipo y número de documento del SUSCRIPTOR del CERTIFICADO, o número de licencia, en el caso de CERTIFICADOS emitidos para AUTORIDADES CERTIFICANTES LICENCIADAS;

3. CLAVE PUBLICA utilizada por el SUSCRIPTOR;

4. Nombre del algoritmo que debe utilizarse con la CLAVE PUBLICA en el contenida;

5. Número de serie del CERTIFICADO;

6. PERIODO DE VIGENCIA del CERTIFICADO;

7. Nombre de la AUTORIDAD CERTIFICANTE LICENCIADA emisora del CERTIFICADO;

8. FIRMA DIGITAL de la AUTORIDAD CERTIFICANTE LICENCIADA que emite el CERTIFICADO, identificando los algoritmos utilizados;

9. Todo otro dato relevante para la utilización del CERTIFICADO, se explicitará en el manual de procedimientos de la AUTORIDAD CERTIFICANTE LICENCIADA emisora.

Condiciones de Validez del CERTIFICADO DE CLAVE PUBLICA:

El CERTIFICADO DE CLAVE PUBLICA es valido únicamente si:

1. ha sido emitido por una AUTORIDAD CERTIFICANTE LICENCIADA;

2. no ha sido revocado;

3. no ha expirado.

GLOSARIO

ANEXO II

AUTORIDAD CERTIFICANTE LICENCIADA:

Organo administrativo que emite CERTIFICADOS DE CLAVE PUBLICA.

CERTIFICADO O CERTIFICADO DE CLAVE PUBLICA:

DOCUMENTO DIGITAL emitido y firmado digitalmente por una AUTORIDAD CERTIFICANTE LICENCIADA, que asocia una CLAVE PUBLICA con su SUSCRIPTOR durante el PERIODO DE VIGENCIA del CERTIFICADO, y que asimismo hace plena prueba dentro del Sector Público Nacional, de la veracidad de su contenido.

CLAVE PRIVADA:

En un CRIPTOSISTEMA ASIMETRICO, es aquella que se utiliza para firmar digitalmente

CLAVE PUBLICA:

En un CRIPTOSISTEMA ASIMETRICO, es aquella que se utiliza para verificar una FIRMA DIGITAL.

COMPUTACIONALMENTE NO FACTIBLE:

Dícese de aquellos cálculos matemáticos asistidos por computadora que para ser llevados a cabo requieren de tiempo y recursos informáticos que superan ampliamente a los disponibles en la actualidad.

CORRESPONDER:

Con referencia a un cierto PAR DE CLAVES, significa pertenecer a dicho par.

CRIPTOSISTEMA ASIMETRICO:

Algoritmo que utiliza un PAR DE CLAVES, una CLAVE PRIVADA para firmar digitalmente y su correspondiente CLAVE PUBLICA para verificar esa FIRMA DIGITAL. A efectos de este Decreto, se entiende que el CRIPTOSISTEMA ASIMETRICO deberá ser TECNICAMENTE CONFIABLE.

DIGESTO SEGURO (Hash Result):

La secuencia de bits de longitud fija producida por una FUNCION DE DIGESTO SEGURO luego de procesar un DOCUMENTO DIGITAL.

DOCUMENTO DIGITAL:

Representación digital de actos, hechos o datos jurídicamente relevantes.

DOCUMENTO DIGITAL FIRMADO:

DOCUMENTO DIGITAL al cual se le ha aplicado una FIRMA DIGITAL

EMISION DE UN CERTIFICADO:

La creación de un CERTIFICADO por parte de una AUTORIDAD CERTIFICANTE LICENCIADA.

ORGANISMO AUDITANTE:

Organo administrativo encargado de auditar la actividad del ORGANISMO LICENCIANTE y de las AUTORIDADES CERTIFICANTES LICENCIADAS.

ORGANISMO LICENCIANTE:

Organo administrativo encargado de otorgar las licencias a las autoridades certificantes y de supervisar la actividad de las AUTORIDADES CERTIFICANTES LICENCIADAS.

FIRMA DIGITAL:

Resultado de una transformación de un DOCUMENTO DIGITAL empleando un CRIPTOGRAMA ASIMETRICO y un DIGESTO SEGURO, de forma tal que una persona que posea el DOCUMENTO DIGITAL inicial y la CLAVE PUBLICA del firmante pueda determinar con certeza:

1. Si la transformación se llevo a cabo utilizando la CLAVE PRIVADA que corresponde a la CLAVE PUBLICA del firmante;

2. Si el DOCUMENTO DIGITAL ha sido modificado desde que se efectuó la transformación.

La conjunción de los dos requisitos anteriores garantiza su NO REPUDIO y su INTEGRIDAD.

FUNCION DE DIGESTO SEGURO:

Es una función matemática que transforma un DOCUMENTO DIGITAL en una secuencia de bits de longitud fija, llamada DIGESTO SEGURO, de forma tal que:

1. Se obtiene la misma secuencia de bits de longitud fija cada vez que se calcula esta función respecto del mismo DOCUMENTO DIGITAL;

2. Es COMPUTACIONALMENTE NO FACTIBLE inferir o reconstituir un DOCUMENTO DIGITAL a partir de su DIGESTO SEGURO;

3. Es COMPUTACIONALMENTE NO FACTIBLE encontrar dos DOCUMENTOS DIGITALES diferentes que produzcan el mismo DIGESTO SEGURO.

INTEGRIDAD:

Condición de no alteración de un DOCUMENTO DIGITAL.

LISTA DE CERTIFICADOS REVOCADOS:

Es la lista publicada por la AUTORIDAD CERTIFICANTE LICENCIADA, de los CERTIFICADOS DE CLAVE PUBLICA por ella emitidos cuya vigencia ha cesado antes de su fecha de vencimiento, por acto revocatorio.

NO REPUDIO:

Cualidad de la FIRMA DIGITAL, por la cual su autor no puede desconocer un DOCUMENTO DIGITAL que el ha firmado digitalmente.

PAR DE CLAVES:

CLAVE PRIVADA y su correspondiente CLAVE PUBLICA en un CRIPTOSISTEMA ASIMETRICO, tal que la CLAVE PUBLICA puede verificar una FIRMA DIGITAL creada por la CLAVE PRIVADA.

PERIODO DE VIGENCIA (de un CERTIFICADO):

Periodo durante el cual el SUSCRIPTOR puede firmar DOCUMENTOS DIGITALES utilizando la CLAVE PRIVADA correspondiente a la CLAVE PUBLICA contenida en el CERTIFICADO, de modo tal que la FIRMA DIGITAL no sea repudiable.

El PERIODO DE VIGENCIA de un CERTIFICADO comienza en la fecha y hora en que fue emitido por la AUTORIDAD CERTIFICANTE LICENCIADA, o en una fecha y hora posterior si así lo especifica el CERTIFICADO, y termina en la fecha y hora de su vencimiento o revocación.

REVOCACION DE UN CERTIFICADO:

Acción de dejar sin efecto en forma permanente un CERTIFICADO a partir de una fecha cierta, incluyéndolo en la LISTA DE CERTIFICADOS REVOCADOS.

SELLADO DIGITAL DE FECHA Y HORA:

Acción mediante la cual la AUTORIDAD CERTIFICANTE LICENCIADA adiciona la fecha, hora, minutos y segundos (como mínimo) de su intervención, a un DOCUMENTO DIGITAL o a su DIGESTO SEGURO. La información resultante del proceso antes descripto es firmada digitalmente por la AUTORIDAD CERTIFICANTE LICENCIADA.

SISTEMA CONFIABLE:

Equipos de computación, software y procedimientos relacionados que:

1. Sean razonablemente confiables para resguardar contra la posibilidad de intrusión o de uso indebido;

2. Brinden un grado razonable de disponibilidad, confiabilidad, confidencialidad y correcto funcionamiento;

3. Sean razonablemente aptos para el desempeño de sus funciones específicas:

4. Cumplan con los requisitos de seguridad generalmente aceptados.

SUSCRIPTOR:

Persona:

1. A cuyo nombre se emite un CERTIFICADO, y

2. Que es titular de la CLAVE PRIVADA correspondiente a la CLAVE PUBLICA incluida en dicho CERTIFICADO.

TECNICAMENTE CONFIABLE

Dícese de los SISTEMAS CONFIABLES que cumplen con los estándares tecnológicos que al efecto dicte la Secretaría de la Función Pública de la Jefatura de Gabinete de Ministros.

TERCERO:

Todo aquel que ostenta un derecho subjetivo o interés legítimo.

VERIFICACION DE UNA FIRMA DIGITAL:

En relación a un DOCUMENTO DIGITAL, su FIRMA DIGITAL, el correspondiente CERTIFICADO DE CLAVE PUBLICA y la LISTA DE CERTIFICADOS REVOCADOS, es la determinación fehaciente de que:

1. El DOCUMENTO DIGITAL fue firmado digitalmente con la CLAVE PRIVADA correspondiente a la CLAVE PUBLICA incluida en el CERTIFICADO;

2. El DOCUMENTO DIGITAL no fue alterado desde que fue firmado digitalmente.

Para aquel documento cuya naturaleza pudiera exigir la necesidad de certificación de fecha cierta, o bien ésta fuere conveniente dado sus efectos, deberá determinarse adicionalmente que el mismo fue firmado digitalmente durante el PERIODO DE VIGENCIA del correspondiente CERTIFICADO.

RESOLUCIÓN 45/97 (B.O. 24.3.97) del 17 de Marzo de 1997 de la Secretaría de la Función Pública de la Jefatura de Gabinete de Ministros que autoriza el empleo de la firma digital en todo el ámbito del Sector Público Nacional

VISTO el Decreto Nº 660 del 24 de Junio de 1996, el Decreto Nº 998 del 30 de Agosto de 1996, el Acta de fecha 30 de Diciembre de 1996 del SUBCOMITE DE CRIPTOGRAFIA Y FIRMA DIGITAL, integrante del COMITE DE USUARIOS DE PROCESAMIENTO DE IMAGENES (C.U.P.I.), y

CONSIDERANDO:

Que dentro de las acciones asignadas a la competencia de la SECRETARIA DE LA FUNCION PUBLICA de la JEFATURA DE GABINETE DE MINISTROS, se encuentran las de promover el estudio y el análisis del valor legal de los documentos electrónicos y el de los sistemas tendientes a resguardar la seguridad y la privacidad de la información contenida en medios electrónicos, como así también las de proponer las medidas y dictar las normas que promuevan el perfeccionamiento de la organización y el adecuado funcionamiento de la Administración Pública Nacional. .

Que en virtud de la competencia atribuida por el Decreto Nº 660/96, modificado por el Artículo 2º del Decreto Nº 998/96, la Dirección Nacional de Coordinación e Integración Tecnológica de la SECRETARIA DE LA FUNCION PUBLICA de la JEFATURA DE GABINETE DE MINISTROS ha participado en el Subcomité de Criptografía y Firma Digital, creado en Julio de 1996 e integrado por funcionarios de distintos organismos de la Administración Pública Nacional, cuya misión ha sido analizar y proponer medidas relacionadas con la incorporación de la tecnología de firma digital a los procesos de información del sector público, y los aspectos legales vinculados. .

Que como resultado de dicho análisis, se elaboró el documento por el cual se aprobaron las conclusiones finales acerca de las pautas técnicas a tener en cuenta en una normativa de firma digital, que figura en el Anexo a la presente, el que debe ser utilizado como base fundamental para una normativa útil y eficiente para la difusión del empleo de la firma digital en el sector público. .

Que la Administración Pública Nacional no puede permanecer ajena a los avances tecnológicos y al empleo de los nuevos medios que provee el mercado, especialmente cuando contribuyen a aumentar la productividad de sus organismos, a optimizar el manejo de la información y reducir los costos de almacenamiento y el traslado de papel. .

Que la tecnología necesaria para otorgar seguridad a los documentos digitales, así como el intercambio de información digital, se encuentra actualmente disponible, habiendo alcanzado un razonable grado de confiabilidad y seguridad. .

Que resulta conveniente brindar el marco normativo que favorezca el empleo y difusión de aquellas tecnologías en el ámbito de la Administración Pública Nacional. .

Que es competencia de la SECRETARIA DE LA FUNCION PUBLICA de la JEFATURA DE GABINETE DE MINISTROS, dictar el marco regulatorio para el establecimiento de las políticas sobre tecnologías referidas a informática, teleinformática, tecnologías multimedios, instalaciones y comunicaciones asociadas y otros medios y sistemas electrónicos, conforme a lo establecido en el Anexo II del Decreto Nº 660/96, modificado por el Artículo 2º del Decreto Nº 998/96. .

Por ello,

LA SECRETARIA DE LA FUNCION PUBLICA DE LA JEFATURA DE GABINETE DE MINISTROS RESUELVE:

ARTICULO 1º.- : Adherir y adoptar como propias las conclusiones aprobadas mediante el acta de fecha 30 de Diciembre de 1996 por el SUBCOMITE DE CRIPTOGRAFIA Y FIRMA DIGITAL DEL COMITE DE USUARIOS DE PROCESAMIENTO DE IMAGENES (C.U.P.I.), y que como Anexo es parte integrante de la presente Resolución. :

ARTICULO 2º.- : Autorizar al empleo en el ámbito de la Administración Pública Nacional de la tecnología enunciada en el Anexo aludido en el artículo precedente, para la promoción y difusión del documento y firma digitales, en los términos y con los alcances allí definidos. :

ARTICULO 3º.- Comuníquese, publíquese conjuntamente con su Anexo, dese a la Dirección Nacional de Registro Oficial y archívese.

APROBADO POR LA CÁMARA DE SENADORES DE LA NACIÓN EL 28.11.2007 Y DEVUELTO a la CÁMARA DE DIPUTOS

APROBADO POR LA CAMARA DE DIPUTADOS Y SANCIONADO COMO LEY 26388 EL 5.6.2008

DICTAMEN DE COMISIONES

Honorable Senado:

Vuestras comisiones de Justicia y Asuntos Penales y de Sistemas, Medios de Comunicación y Libertad de Expresión, han considerado los expedientes CD 109/06 Proyecto de ley en revisión por el cual se incorporan las nuevas tecnologías como medios de comisión de distintos tipos previstos en el Código Penal; S 1751/06 Proyecto de ley de los senadores Giustiniani e Ibarra, modificando diversos artículos del Código Penal en relación al uso privado del correo electrónico; S 1875/06 Proyecto de ley del senador Saadi, incorporando a la legislación argentina la regulación del correo electrónico o e mail y modificando las penas establecidas para la comisión de delitos tipificados en los artículos 153, 154, 155, 156, 157 y 157 bis del Código Penal; S 4417/06 Proyecto de ley de la senadora Bortolozzi, estableciendo penas para los delitos electrónicos y tecnológicos; y teniendo a la vista los expedientes S 1281/06 Proyecto de ley del senador Pichetto, modificando el art. 128 del Código Penal acerca de la protección de los niños en Internet; S 1628/06 Proyecto de ley del senador Jenefes y otros senadores, sobre regulación y protección jurídica del correo electrónico; S 2127/06 Proyecto de ley de la senadora Fellner, modificando el art. 128 del Código Penal, respecto de establecer las penas por pornografía infantil; S 2218/06 Proyecto de ley del senador Jenefes, modificando el art. 128 del Código Penal, en lo que respecta a la pornografía infantil; S 3373/06 Proyecto de ley del senador Saadi, sustituyendo el art. 128 del Código Penal a fin de establecer las penas por el delito de pornografía infantil; S 323/07 Proyecto de ley del senador Basualdo y otros senadores, modificando el art. 128 del Código Penal, respecto a la pornografía infantil; S 465/07 Proyecto de ley de la senadora Escudero, reproduciendo el proyecto de ley sobre modificación del art. 128 del Código Penal fijando las penas por la difusión de la pornografía infantil (Ref.: S 1610/05); S 520/07 Proyecto de ley del senador Jenefes, modificando el Código Penal respecto a las penas por delitos informáticos; S 809/07 Proyecto de ley de la senadora Giusti, modificando el Código Penal, respecto a las penas por pornografía infantil; S 823/07 Proyecto de ley de la senadora Giusti, modificando el Código Penal respecto a las penas por violación de correo electrónico; S 2021/07 Proyecto de ley de la senadora Bortolozzi, sobre tipificación de delitos cometidos por medios electrónicos e informáticos; S 2575/07 Proyecto de ley de la senadora Viudes, modificando diversos aspectos del Código Penal, en relación a los delitos contra la privacidad; y, por las razones que dará el miembro informante, os aconsejan la aprobación del siguiente

PROYECTO DE LEY
El Senado y Cámara de Diputados de la Nación Argentina, reunidos en Congreso,
sancionan con fuerza de ley

Artículo 1°. Incorpóranse como últimos párrafos del artículo 77 del Código Penal, los siguientes:
“El término “documento” comprende toda representación de actos o hechos, con independencia del soporte utilizado para su fijación, almacenamiento, archivo o transmisión.
Los términos “firma” y “suscripción” comprenden la firma digital, la creación de una firma digital o firmar digitalmente.
Los términos “instrumento privado” y “certificado” comprenden el documento digital firmado digitalmente.”

Art. 2°. Sustitúyese el artículo 128 del Código Penal, por el siguiente:
“Artículo 128. Será reprimido con prisión de seis meses a cuatro años el que produjere, financiare, ofreciere, comerciare, publicare, facilitare, divulgare o distribuyere, por cualquier medio, toda representación de un menor de dieciocho años dedicado a actividades sexuales explícitas o toda representación de sus partes genitales con fines predominantemente sexuales, al igual que el que organizare espectáculos en vivo de representaciones sexuales explícitas en que participaren dichos menores.
Será reprimido con prisión de cuatro meses a dos años el que tuviere en su poder representaciones de las descriptas en el párrafo anterior con fines inequívocos de distribución o comercialización.
Será reprimido con prisión de un mes a tres años el que facilitare el acceso a espectáculos pornográficos o suministrare material pornográfico a menores de catorce años.”

Art. 3°. Sustitúyese el epígrafe del Capítulo III, del Título V, del Libro II del Código Penal, por el siguiente:
“Violación de Secretos y de la Privacidad.”

Art. 4°. Sustitúyese el artículo 153 del Código Penal, por el siguiente:
“Artículo 153. Será reprimido con prisión de quince días a seis meses el que abriere o accediere indebidamente a una comunicación electrónica, una carta, un pliego cerrado, un despacho telegráfico, telefónico o de otra naturaleza, que no le esté dirigido; o se apoderare indebidamente de una comunicación electrónica, una carta, un pliego, un despacho u otro papel privado, aunque no esté cerrado; o indebidamente suprimiere o desviare de su destino una correspondencia o una comunicación electrónica que no le esté dirigida.
En la misma pena incurrirá el que indebidamente interceptare o captare comunicaciones electrónicas o telecomunicaciones provenientes de cualquier sistema de carácter privado o de acceso restringido.
La pena será de prisión de un mes a un año, si el autor además comunicare a otro o publicare el contenido de la carta, escrito, despacho o comunicación electrónica.
Si el hecho lo cometiere un funcionario público que abusare de sus funciones, sufrirá además, inhabilitación especial por el doble del tiempo de la condena.”

Art. 5°. Incorpórase como artículo 153 bis del Código Penal, el siguiente:
“Artículo 153 bis. Será reprimido con prisión de quince días a seis meses, si no resultare un delito más severamente penado, el que a sabiendas accediere por cualquier medio, sin la debida autorización o excediendo la que posea, a un sistema o dato informático de acceso restringido.
La pena será de un mes a un año de prisión cuando el acceso fuese en perjuicio de un sistema o dato informático de un organismo público estatal o de un proveedor de servicios públicos o de servicios financieros.”

Art. 6°. Sustitúyese el artículo 155 del Código Penal, por el siguiente:
“Artículo 155. Será reprimido con multa de pesos UN MIL QUINIENTOS ($1.500) a PESOS CIEN MIL ($100.000), el que hallándose en posesión de una correspondencia, una comunicación electrónica, un pliego cerrado, un despacho telegráfico, telefónico o de otra naturaleza, no destinados a la publicidad, los hiciere publicar indebidamente, si el hecho causare o pudiere causar perjuicios a terceros.
Está exento de responsabilidad penal el que hubiere obrado con el propósito inequívoco de proteger un interés público.”

Art. 7°. Sustitúyese el artículo 157 del Código Penal, por el siguiente:
“Artículo 157. Será reprimido con prisión de un mes a dos años e inhabilitación especial de uno a cuatro años, el funcionario público que revelare hechos, actuaciones, documentos o datos, que por ley deben ser secretos.”

Art. 8°. Sustitúyese el artículo 157 bis del Código Penal, por el siguiente:
“Artículo 157 Bis. Será reprimido con la pena de prisión de un mes a dos años el que:
1. A sabiendas e ilegítimamente, o violando sistemas de confidencialidad y seguridad de datos, accediere, de cualquier forma, a un banco de datos personales;
2. Ilegítimamente proporcionare o revelare a otro información registrada en un archivo o en un banco de datos personales cuyo secreto estuviere obligado a preservar por disposición de la ley.
3. Ilegítimamente insertare o hiciere insertar datos en un archivo de datos personales.
Cuando el autor sea funcionario público sufrirá, además, pena de inhabilitación especial de uno a cuatro años.”

Art. 9°. Incorpórase como inciso 16 del artículo 173 del Código Penal, el siguiente:
“Inciso 16. El que defraudare a otro mediante cualquier técnica de manipulación informática que altere el normal funcionamiento de un sistema informático o la transmisión de datos.”

Art. 10. Incorpórase como segundo párrafo del artículo 183 del Código Penal, el siguiente:
“En la misma pena incurrirá el que alterare, destruyere o inutilizare datos, documentos, programas o sistemas informáticos; o vendiere, distribuyere, hiciere circular o introdujere en un sistema informático, cualquier programa destinado a causar daños.”

Art. 11. Sustitúyese el artículo 184 del Código Penal, por el siguiente:
“Artículo 184. La pena será de tres meses a cuatro años de prisión, si mediare cualquiera de las circunstancias siguientes:
1. Ejecutar el hecho con el fin de impedir el libre ejercicio de la autoridad o en venganza de sus determinaciones;
2. Producir infección o contagio en aves u otros animales domésticos;
3. Emplear substancias venenosas o corrosivas;
4. Cometer el delito en despoblado y en banda;
5. Ejecutarlo en archivos, registros, bibliotecas, museos o en puentes, caminos, paseos u otros bienes de uso público; o en tumbas, signos conmemorativos, monumentos, estatuas, cuadros u otros objetos de arte colocados en edificios o lugares públicos; o en datos, documentos, programas o sistemas informáticos públicos;
6. Ejecutarlo en sistemas informáticos destinados a la prestación de servicios de salud, de comunicaciones, de provisión o transporte de energía, de medios de transporte u otro servicio público.”

Art. 12. Sustitúyese el artículo 197 del Código Penal, por el siguiente:
“Artículo 197. Será reprimido con prisión de seis meses a dos años, el que interrumpiere o entorpeciere la comunicación telegráfica, telefónica o de otra naturaleza o resistiere violentamente el restablecimiento de la comunicación interrumpida.”

Art. 13. Sustitúyese el artículo 255 del Código Penal, por el siguiente:
“Artículo 255. Será reprimido con prisión de un mes a cuatro años, el que sustrajere, alterare, ocultare, destruyere o inutilizare en todo o en parte objetos destinados a servir de prueba ante la autoridad competente, registros o documentos confiados a la custodia de un funcionario público o de otra persona en el interés del servicio público. Si el autor fuere el mismo depositario, sufrirá además inhabilitación especial por doble tiempo.
Si el hecho se cometiere por imprudencia o negligencia del depositario, éste será reprimido con multa de SETECIENTOS CINCUENTA PESOS a DOCE MIL QUINIENTOS PESOS.”

Art. 14. Deróganse el artículo 78 bis y el inciso 1° del artículo 117 bis del Código Penal.

Art. 15. Comuníquese al Poder Ejecutivo.

De acuerdo con las disposiciones pertinentes del reglamento del H. Senado, este dictamen pasa directamente al orden del día.
Sala de las comisiones, 13 de noviembre de 2007.

Fundamentos para el dictamen del CD 109/06

Sr. Presidente:

Nuestro Código Penal es un sistema riguroso y cerrado de normas que no resiste ni admite ningún tipo de integración, extensión y analogía, que tiendan a completar los elementos ausentes de los tipos penales; ello en virtud de los principios de legalidad y de prohibición de analogía, emanados del artículo 18 de la Constitución Nacional.

Por ello ocurre que algunos ataques a determinados bienes jurídicos tradicionalmente protegidos por el derecho penal no alcanzan a ser punidos, porque los tipos penales no expresan en su letra los adelantos científicos y técnicos que sucedieron con posterioridad a la sanción de la norma.

Esto es advertido por la doctrina y jurisprudencia penal, destacando la falta de tipicidad de las acciones relacionadas con las nuevas tecnologías.

Precisamente, la presente propuesta pretende actualizar el Código Penal incorporando a sus normas las nuevas tecnologías surgidas desde mediados del siglo pasado.

Las comisiones de Justicia y Asuntos Penales y de Sistemas, Medios de Comunicación y Libertad de Expresión han estudiado los textos de los proyectos de ley con estado parlamentario sobre el tema, con el objeto de procurar un consenso sobre cuáles son los bienes jurídicos que hoy se encuentran desprotegidos frente a acciones desarrolladas mediante nuevas tecnologías.
Los proyectos que se han considerado y tenido a la vista son los expedientes CD 109/06, S 1751/06 de los senadores Giustiniani e Ibarra, S 1875/06 del senador Saadi, S 4417/06 de la senadora Bortolozzi, S 1281/06 del senador Pichetto, S 1628/06 del senador Jenefes y otros senadores, S 2127/06 de la senadora Fellner, S 2218/06 del senador Jenefes, S 3373/06 del senador Saadi, S 323/07 del senador Basualdo y otros senadores, S 465/07 de la senadora Escudero, S 520/07 del senador Jenefes, S 809/07 de la senadora Giusti, S 823/07 de la senadora Giusti, S 2021/07 de la senadora Bortolozzi, S 2575/07 de la senadora Viudes y el expediente S 1896/07 de la senadora Perceval.

En la elaboración de este dictamen han participado especialistas en la materia, cuya colaboración constituyó un valioso aporte para brindar una solución legal al problema suscitado por la ausencia de normas específicas sobre esta temática. En este sentido se hace un deber agradecer el aporte que han brindado el Dr. Pablo Palazzi, autor de numerosas publicaciones doctrinarias, el Dr. Ricardo Saenz, Presidente de la Asociación de Fiscales y Funcionarios de la República Argentina y miembro integrante de la Comisión Interministerial de Delitos Informáticos, la Dra. Nora Cherñavsky, Asesora de la Secretaría de Política Criminal y Asuntos Penitenciarios del Ministerio de Justicia y Derechos Humanos y miembro integrante de la Comisión Interministerial de Delitos Informáticos y funcionarios de la Oficina Nacional de Tecnologías de Información (ONTI), su Director, el Lic. Carlos Achiary, la Directora de Aplicaciones, CP. Patricia Prandini y los asesores legales, Dra. Leonor Guini y Dr. Lisandro Teszkiewicz.

Analizando el contenido del dictamen aprobado por las comisiones intervinientes del Senado, cabe señalar que se realizaron algunas modificaciones a la sanción dada por la Cámara de Diputados, las que se indicarán seguidamente.

Con respecto a la significación de conceptos se consideró de adecuada técnica legislativa unificar en una sola norma los artículos 3° y 17 del proyecto venido en revisión, y redefinir el concepto de documento, a fin de que resulte comprensivo de toda representación de actos o hechos, con independencia del soporte utilizado para su fijación, almacenamiento, archivo o transmisión.

Se consideró conveniente omitir la referencia a comunicación electrónica que la sanción de Diputados traía en su artículo 3°, por considerar sobreabundante su incorporación a la parte general, por cuanto las modificaciones propuestas incluyen expresamente en los tipos penales de la parte especial del Código Penal aquella protección.

En lo que hace a los delitos contra la integridad sexual, específicamente respecto del elemento del tipo penal del artículo 128 actual, se sustituyó imágenes pornográficas por “toda representación de un menor de dieciocho años dedicado a actividades sexuales explícitas o toda representación de sus partes genitales con fines predominantemente sexuales”, tomando la definición del Protocolo Facultativo de la Convención sobre los Derechos del Niño relativo a la venta de niños, la prostitución infantil y la utilización de niños en la pornografía, aprobada por Ley 25.763 (Artículo 2. A los efectos del presente Protocolo: c) Por pornografía infantil se entiende toda representación, por cualquier medio, de un niño dedicado a actividades sexuales explícitas, reales o simuladas, o toda representación de las partes genitales de un niño con fines primordialmente sexuales).

Asimismo, se conserva en la redacción del tipo penal la conducta del que organizare espectáculos en vivo con escenas pornográficas en que participaren dichos menores, que había sido suprimida por la sanción de la Cámara de Diputados del primer párrafo del artículo 128, sustituyendo escenas pornográficas por representaciones sexuales explícitas en que participaren dichos menores.

No se consideró conveniente reprimir con la misma pena a quién distribuya representaciones de las descriptas en el párrafo anterior como a quien las tenga en su poder, ya que son ilícitos de diferente peligrosidad, y asimismo, se vigorizó la idea, en salvaguarda del principio de reserva, de requerir en forma inequívoca la finalidad por parte del autor de proceder ulteriormente a su distribución o comercialización.

Se coincidió con conservar la propuesta de ampliar el ámbito de punibilidad del capítulo III, del título V, de la parte especial del Código Penal, incluyendo a la “privacidad” como bien jurídico protegido, sobre todo a tenor de lo prescripto por el inciso 3 del artículo 157 (“3. Ilegítimamente insertare o hiciere insertar datos en un archivo de datos personales”), ya que la norma se entiende más como afectación a la intimidad que al bien jurídico “secreto”.

Con respecto al actual artículo 153 del Código Penal, última parte del primer párrafo (… suprimiere o desviare de su destino una correspondencia que no le esté dirigida) es razonable la propuesta de la Cámara de origen de incorporar no sólo la comunicación electrónica sino también la expresión “indebidamente” en el tipo, para que no le queden dudas al intérprete respecto a requerir la finalidad dolosa del autor del delito, y evitar cualquier hermenéutica tendiente a considerar comprendidos en el tipo a quienes en procura de mejorar el servicio que prestan a sus usuarios, activan mecanismos de protección, tales como antivirus, filtros o algoritmos de desvío de correo electrónico para evitar se conoce como spam, o la recepción de correos no deseados por sus clientes.

La norma contenida en el artículo 6° del proyecto aprobado por la Cámara de origen fue cuestionada, porque se infiere de la misma la punición de las cámaras ocultas, lo que se consideró merecedor de otro debate en cuanto no se encuentra directamente vinculado a la materia de esta iniciativa: incorporar las nueva tecnologías al Código Penal.

Asimismo, el texto de este artículo mereció observaciones respecto de la introducción del verbo típico “obtuviere” por cuanto ello implicaría extender la punición a límites exagerados, ya que en tanto no sea difundido, revelado o cedido el dato o hecho captado, la lesión al bien jurídico protegido es prácticamente insignificante.

Con respecto a los artículos 9° y 10 del proyecto venido en revisión, se consideró de adecuada técnica legislativa unificar los artículos en una sola norma, ya que ambos refieren a modificaciones del artículo 157 bis Código Penal.

A tenor de la incorporación en el artículo 157 bis de la conducta consistente en insertar o hacer insertar datos en un archivo de datos personales, y teniendo en cuenta la similar regulación del artículo 117 bis, inciso 1°, en Título Delitos contra el Honor (Será reprimido con la pena de prisión de un mes a dos años el que insertara o hiciera insertar a sabiendas datos falsos en un archivo de datos personales) se consideró acertado modificar la ubicación metodológica dentro del Código Penal, ya que en una ulterior revisión del tema se llegó a la conclusión que la norma se encuentra mal ubicada dentro de los delitos contra el honor. Así lo desarrolla un reciente fallo: “Pareciera que la conducta reprochada podría encontrarse alcanzada por las previsiones legales del artículo 117 bis. Sin embargo, si bien este artículo en su inciso 1° reprime con pena de prisión de un mes a dos años al que “…insertara o hiciera insertar a sabiendas datos falsos en un archivo de datos personales.”, no puede soslayarse su ubicación sistemática dentro del Código Penal, por lo que si tenemos en cuenta el bien jurídico protegido por el título la nueva figura parece limitarse sólo a la inserción de datos falsos que disminuyan el honor. Por tal motivo, la única interpretación adecuada del citado artículo, es la de considerar que contempla las acciones que desacreditan o deshonran, pese a que ello no surge del texto de la ley”. CCC Fed. Sala I 17.4.2007 “MARTINEZ RODRIGUEZ, Hugo R. y otros…”

Adhiriendo a este razonamiento, y para no incurrir en redundancias penales, ya que la amplitud del nuevo tipo penal proyectado abarca la tipicidad de la conducta expresada por el inciso 1° del artículo 117 bis del Código Penal, se consideró pertinente su derogación.

Con relación al “fraude informático” existió coincidencia en cuanto a la conveniencia de incorporarlo dentro del capítulo sobre las defraudaciones, y despejar definitivamente las dudas suscitadas en los tribunales sobre en qué tipos de delitos contra la propiedad debe subsumirse la conducta.

Se conservó la redacción de la sanción de Diputados con dos supresiones: “actuado sin autorización del legítimo usuario”, porque se entendió que agrega un elemento al tipo que resulta confuso e innecesario, ya que la autorización no podría excluir la ilicitud de la conducta de defraudar; y “luego de su procesamiento”, porque no se encontró el justificativo de fijar el momento técnico de una etapa de la transmisión de datos. Por ello, en el artículo 1° del presente dictamen no se discriminan esos momentos, dando al juzgador precisión normativa y evitando elementos típicos que lo pudieran hacer incurrir en confusión.

Se coincidió en incorporar el “daño informático” al Código Penal, pero con la pena prevista en la figura básica del delito de daño, ya que ni el medio técnico utilizado para dañar ni el objeto sobre el que recae, pueden ser considerados por si solos un elemento agravante. Salvo, claro está, que se trate de un daño contra un determinado bien que merezca especial protección, circunstancia que ameritaría introducirlo en las previsiones del artículo 184 Código Penal con una pena agravada.

Por las mismas razones de técnica legislativa ya expresadas, se unifica en una sola norma las previsiones de los artículos 13 y 14 de la sanción de Diputados, ya que ambas versan sobre modificaciones al artículo 184 Código Penal.

Sabemos que la tarea que nos convoca, cual es la de introducir esta novedosa temática a la legislación penal, es un gran desafío para el legislador; por ello, se buscó incansablemente llegar a un consenso plasmado en el presente dictamen , con los distintos actores involucrados en la actuación judicial, doctrinarios y funcionarios del Poder Ejecutivo, expresando su adhesión el Dr. Alejandro W. Slokar, Secretario de Política Criminal y Asuntos Penitenciarios del Ministerio de Justicia y Derechos Humanos (nota SPCyAP N° 175/07).

Se tuvieron en cuenta las previsiones del Convenio de Cybercriminalidad de Budapest del 23 de noviembre de 2001, aunque aún no haya sido suscripto por nuestro país, como también la labor de la Comisión Redactora de un anteproyecto de Ley de Delitos Informáticos creada en el año 2005 por resolución de los Ministros de Justicia y Derechos Humanos y de Relaciones Exteriores, Comercio Internacional y Culto, y los avances registrados en el derecho comparado.

Esta reforma probablemente requerirá en el futuro de nuevos debates y actualizaciones, se irá enriqueciendo en el transcurso del tiempo con su aplicación a la realidad fáctica, y surgirán novedades doctrinarias y jurisprudenciales y, sobre todo, nuevas necesidades de regulación legal.

Sancionada: Mayo 18 de 2005

Promulgada de Hecho: Junio 16 de 2005

ARTICULO 1° — La búsqueda, recepción y difusión de información e ideas de toda índole, a través del servicio de Internet, se considera comprendido dentro de la garantía constitucional que ampara la libertad de expresión.

ARTICULO 2° — La presente ley comenzará a regir a partir del día siguiente al de su publicación en el Boletín Oficial.

ARTICULO 3° — Comuníquese al Poder Ejecutivo.

Declara comprendido en la garantía constitucional que ampara la libertad de expresión al servicio de INTERNET.