“No queremos que un logotipo sea nuestra prueba de seguridad. Queremos que lo sea nuestra arquitectura.”
Por eso HAL9000 no utiliza las certificaciones ISO/IEC 27001 ni ENS como reclamo comercial en esta web. Eso no significa que esas normas carezcan de valor ni que sus requisitos puedan ignorarse cuando resulten aplicables. Significa que queremos que nuestra seguridad se evalúe también por cómo está construido y operado el sistema.
ISO/IEC 27001
Un sistema de gestión, no una arquitectura concreta
ISO/IEC 27001 establece requisitos para un sistema de gestión de la seguridad de la información. La certificación acredita que una organización ha sido evaluada por una entidad certificadora frente a esos requisitos y dentro de un alcance determinado.
La propia ISO indica que la certificación de sus normas de sistemas de gestión no es obligatoria: una organización puede aplicar el estándar y beneficiarse de él sin certificarse. ISO tampoco realiza directamente las certificaciones; éstas las llevan a cabo organismos externos.
Nosotros hemos elegido no convertir ese sello en nuestra prueba principal de seguridad. Preferimos destinar recursos a infraestructura, desarrollo, controles técnicos, revisión continua y protección efectiva de la información.
Fuente oficial de ISO ↗Esquema Nacional de Seguridad
El ENS tiene su propio ámbito y reglas de conformidad
El ENS establece principios, requisitos mínimos y medidas de seguridad para los sistemas comprendidos en su ámbito de aplicación. No es simplemente un sello comercial.
El Real Decreto 311/2022 distingue además el mecanismo de conformidad según la categoría del sistema: los sistemas de categoría BÁSICA requieren una autoevaluación para su declaración de conformidad, mientras que los de categoría MEDIA o ALTA precisan auditoría para certificar su conformidad.
HAL9000 no presenta actualmente una certificación ENS como argumento comercial general. Cuando un servicio o contratación esté comprendido en el ámbito del ENS, se atenderán los requisitos que resulten aplicables al sistema y al servicio concreto.
Real Decreto 311/2022 (BOE) ↗Entonces, ¿en qué basamos nuestra seguridad?
En hechos que puedas preguntar y comprobar
HAL9000 ha sido diseñado bajo un principio fundamental: reducir al mínimo la exposición de la información del abogado y de sus clientes.
Queremos poder responder con precisión dónde se procesa la información y bajo qué infraestructura.
El control de accesos y la separación entre usuarios forman parte del diseño del servicio.
La arquitectura evita depender de APIs generalistas externas para procesar el contenido jurídico.
La política de tratamiento y retención debe poder explicarse de forma concreta, no mediante un eslogan.
Menos sellos. Más transparencia.
Una certificación puede ser una herramienta valiosa para muchas organizaciones y, en determinados entornos, puede ser exigible. Nuestra principal carta de presentación es explicar la arquitectura, la privacidad, el control de los datos y las medidas técnicas reales sobre las que construimos HAL9000.