Código de buenas prácticas en medios de pago


En ocasiones recibo consultas por parte de responsables de medios de pago de entidades financieras o de comercios que aceptan tarjetas sobre las responsabilidades de cada uno de los intervinientes en una transacción.

Aunque la normativa de las marcas de tarjetas sobre la adopción de la tecnología EMV (Europay, Mastercard,  VISA specification) en emisores y adquirentes está introduciendo algunos cambios que serán definitivos una vez que en enero de 2008 entren en vigor los compromisos del sector financiero en relación con la SEPA (Single Euro Payment Area), en general las responsabilidades se dirimen en los organismos de resolución de controversias de los que se han dotado las entidades financieras y que toman la forma de diversos comités operativos y mixtos.

En estos comités participan representantes de las entidades financieras que actúan mediante principios de arbitraje de equidad en un contexto en el que los participantes son grandes conocedores de la normativa privada de aplicación desarrollada en el ámbito de las diferentes entidades procesadoras de medios de pago (Sistema 4B, SERMEPA y Euro6000)  bajo las directrices que emanan de los procedimientos definidos por VISA y Mastercard especialmente.

A estos comités llegan operaciones presentadas tanto por emisores como por adquirentes (sobre todo por estos últimos) cuando la actuación no está claramente enmarcada en los procedimientos operativos habituales. La entidad que presenta el dilema, explica el contexto de la operación, las actuaciones de cada parte y la solución propuesta. La otra entidad involucrada expresa su punto de vista. Los miembros del comité piden información adicional a cada parte para valorar mejor la situación y las posibles responsabilidades, especialmente en lo que se refiere a un concepto ambiguo como es «actuar con la debida diligencia» . Los miembros del comité valoran la operación y finalmente votan todos salvo los representantes de las entidades involucradas. Las entidades aceptan el resultado de la votación que habitualmente consiste en definir la entidad que debe asumir el quebranto.

En este contexto, la regla general es que si la operativa del comercio es correcta (verificación de parámetros de seguridad, consulta de límites y lista negra, verificación de firma y contraste con un documento de identidad), la responsabilidad de la operación es del emisor.  Si puede demostrarse o colegirse una actuación incorrecta del comercio, la responsabilidad de la operación es del adquirente.

En general, las entidades suelen tener cobertura contractual de forma que se adeude al comercio o al titular según corresponda. Por criterios  comerciales, las entidades no suelen adeudar al titular de tarjeta en la  primera operación sospechosa aunque sí en las siguientes.

No necesariamente una operación sin buen fin con responsabilidad del titular es sospechosa, ya que hay ciertas condiciones de aplicación del código de buenas prácticas en medios de pago, que siguen rigurosamente la  Recomendación de la Comisión de 30 de julio de 1997 relativa a las  transacciones efectuadas mediante instrumentos electrónicos de pago, en
particular, las relaciones entre emisores y titulares de tales instrumentos.

Una nota del Banco de España explica sumariamente un conjunto de pautas de actuación ante el uso fraudulento de las tarjetas de crédito.

Las buenas prácticas en gestión de medios de pago quedan resumidas en la mencionada Recomendación de la Comisión de 30 de julio de 1997 relativa a las transacciones efectuadas mediante instrumentos electrónicos de pago, en particular, las relaciones entre emisores y titulares de tales instrumentos.

Eventos 2006


Estos son los eventos en los que he colaborado en el 2006.

Son tantos que ya casi me es imposible actualizar correctamente esta sección

Gracias, Melchor, Gaspar y Baltasar


Este año que pasa he debido ser un chico bueno porque sus majestades han sido muy generosas conmigo. Todavía estoy abriendo paquetes. Una PDA con GPS, un sensor GPS con Bluetooth para PC, un scanner de alta resolución, un ordenador portátil de 12″, un media center para el salón, una corbata y unos calcetines. La vida es como una caja de bombones: nunca sabes por donde te va a salir.

Chaquetas Grabba para dispositivos móviles


Cada vez hay más aplicaciones móviles, cada vez hay más aplicaciones que aprovechan la firma electrónica y cada vez hay más aplicaciones en torno al DNI electrónico.

Lo lógico es que vayan aumentando las aplicaciones móviles que aprovechan la firma electrónica en torno al DNI electrónico.

Ya hace 2 años que Albalia Interactiva colaboró con Movistar para desarrollar un proyecto piloto que mostrara la viabilidad de la idea, que ya se ha incorporado a la oferta de seguridad de Movistar. En un post anterior ya describí la pequeña epopeya que supuso la posibilidad de usar los prototipos del DNI electrónico en la firma electrónica por el teléfono móvil celular.

En aquel proyecto contactamos con la empresa australiana Grabba  que disponía del único lector de tarjetas chip existente en forma de «camisa» (a veces se la llama también «chaqueta» por «jacket» utilizado en inglés) adaptada al teléfono-PDA TSM-500. La «camisa» no se utilizó en todo el proyecto porque en ese momento no estaba aún disponible el driver PC/SC para Windows CE.

Pero ahora, la gama de soluciones ha evolucionado mucho.

Con el tiempo, en Albalia Interactiva nos hemos convertido en los distribuidores para España de Grabba, en un momento en el que sus «camisas» se adaptan a prácticamente cualquier PDA o teléfono móvil inteligente. Se da soporte a los sistemas operativos derivados de Windows CE,  PalmOS y Linux, se pueden leer tarjetas de banda magnética, de código de barras, de chip y de RFID. El lector de código de barras se utiliza en todo tipo de aplicaciones de movilidad y el modelo utilizado en las «camisas» es de una gran calidad, lo que permite leer los códigos en las condiciones más difíciles.

En esta lista de productos puede apreciarse que hay versiones para Palm®, Tungsten T5, E2 y TX, Treo 650, 700p, 700w y 750v, para HP iPAQ serie h2210, para smartphones hw6510 and hw6515 y PDAs  rx3415, rx3417 and rx3715, para HP iPAQ serie hx2000 modelos hx2100, hx2400 and hx2700, para la serie de PDA y Smartphones hw 6500 y rx3000, para las series de iPAQ hx2100, hx2400 y hx2700, para los Pocket PC de iMate/O2 Xda /Qtek/ Audiovox/ T-mobile, para la PDA Sharp Zaurus (con Linux), para las PDA Dell Axim x50 and Axim x51.

Y más en camino. El interfaz principal se desarrolla a través de la conexión para la cuna (craddle) de que dispone la PDA o el teléfono inteligente, lo que ha obligado a resolver el problema técnico de hacer que un interfaz diseñado para comunicar en un sentido comunique en el sentido contrario.

Creo que con estos dispositivos tienen sentido muchas aplicaciones en movilidad que en ocasiones solo parecen viables sobre el papel.

Banca electrónica en Argentina


Me considero un pionero de la Banca Electrónica por Internet, ya que tuve la oportunidad de crear los primeros servicios bancarios allá por 1995, cuando estaba en Banesto.

El proyecto inicial era el de una página informativa de los servicios del banco, sobria (el banco todavía estaba saliendo del proceso de la intervención y no era momento de triunfalismos), y tranquilizadora para los clientes, de forma que se fuera recuperando la confianza que afortunadamente en estos momentos está fuera de toda controversia.

1995 fue además el del quinto tour de Miguel Induráin, paisano mío y deportista universal. Recuerdo que me pegué aquel verano actualizando diariamente los resultados de las etapas para los pocos visitantes que en aquel momento tenía el web de Banesto. Todo el web, incluyendo un pequeño video y unas cuantas fotos del equipo ciclista de Banesto («el primer web multimedia e interactivo de España», decíamos) cabía en tres diskettes de 1,44 Mb.

Hace ahora 10 años, Miguel Induráin anunciaba su retirada del cliclismo. En el año y medio transcurrido desde que ganó su último tour hasta dicho anuncio, en Banesto pusimos en marcha el primer «servidor seguro» de España (3 meses tardé en lograr que Verisign nos firmara el certificado para SSL), los primeros servicios interactivos (aprovechando las funcionalidades del Centro Autorizador Tandem), y el primer TPV virtual. Recuerdo que en el lanzamiento de Infovía por parte de Telefónica, el 15 de diciembre de 1995, D. José María Fuster anunció que ya estaban disponibles los primeros servicios de banca electrónica de Banesto por Internet y por Infovía, lo que en aquella época llamábamos «Ciberbanking».

Bueno, toda esta larga introducción, pretende constatar que se ha desarrollado un largo camino de servicios de banca electrónica en la práctica totalidad de las entidades financieras españolas (algunos colegas dudaban en 1995 y 1996 de que los clientes de las entidades financieras fueran a utilizar ese tipo de servicios, dada la escasa base instalada de ordenadores y lo complicado que resultaba acceder a Internet).

Y también en las latinoamericanas. Supongo que de los servicios financieros españoles hablaré en más ocasiones (de hecho, es un tema que ya he tratado con anterioridad en algunos aspectos especializados), pero quisiera hacer mención de un interesante trabajo que resume el estado de la situación de la banca electrónica en Argentina.

En el Web de Patricio Cañete, es artícul0 Home Banking es imperdible para conocer el desarrollo de este sector en Argentina.

http://www.pcanete.com.ar/leer.asp?idx=579

DNI electrónico como activador en Banca


Llevo varios años evangelizando sobre la necesaria adecuación de las entidades financieras al DNI electrónico. Colaboré con  Caixa Galicia hace 3 años en un proyecto orientado a analizar en qué aspectos tiene que afectar la disponibilidad del DNI electrónico a la organización de los servicios bancarios. Y la lista de aspectos a revisar es bastante impresionante.

Lo cierto es que hasta el 2006 no se ha visto la llegada del DNI electrónico como una realidad y será en el 2007 cuando las entidades financieras lo tomen en serio.

De momento, los servicios centrales de las entidades han comunicado a las sucursales a través de las habituales circulares de tecnología, organización y seguridad la existencia del nuevo medio de identificación y sus peculiaridades físicas o sus medidas de seguridad. Ya lo he comprobado en varias entidades financieras, tanto del entorno de cajas de ahorros como de bancos.

Esto significa que el nuevo DNI, por lo menos, será tan útil para identificar físicamente al ciudadano como su predecesor.

Pero pocas entidades están rediseñando los procedimientos para sacar partido a este instrumento. A título de ejemplo, y sin pretender ser exhaustivo, citaré algunos de los aspectos a revisar:

  • Contratación. Ya es posible la contratación presencial y a distancia, sin necesidad de soporte en papel. Los puestos de oficina deberían tener lectores múltipes de tarjeta chip que permitan la firma electrónica simultánea del cliente y del apoderado de la entidad.
  • Identificación. En ventanilla se debería poder insertar el DNI electrónico y validarlo con el PIN para las diferentes funciones de ventanilla, incluyendo retirar dinero.
  • Cajeros automáticos. El lector de DNI debería ser una ranura diferenciada del lector normal de tarjetas, en la que sobresalga el DNI, de forma que no exista la posibilidad de privar al cliente de su documento de identidad.
  • Banca electrónica. El coste de un lector de tarjetas chip es de unos 20 euros o menos en cantidades grandes. Estos dispositivos podrían estar disponibles en las sucursales a petición de los clientes, a los que se les podría cargar una comisión nominal por soliciarlo. Es una gran barrera contra el phishing.
  • Compras. Un simple adeudo, formalizado como una  orden de pago (o transferencia) amparada por la firma electrónica del ordenante podría permitir pagos online en comercio presencial y a distancia

Confío en que en el 2007 los servicios de consultoría de Albalia Interactiva, en relación con la adecuación de entidades financieras al DNI electrónico experimenten un empujón. De hecho estamos reclutando desarrolladores y consultores especializados en firma electrónica, timestamping y validación, para reforzar nuestro equipo.

Comprar y vender en Internet


Afortunadamente, conforme aumenta la alfabetización digital es menos necesario ir aclarando algunas cosas, pero a veces es útil que alguien haga un pequeño resumen.

¿Es seguro comprar en Internet? ¿Es seguro vender en Internet? Desde luego, desde el punto de vista de la seguridad física, no hay ninguna duda: al no tener que desplazarse disminuye cualquier riesgo físico. Desde el punto de vista de los productos que se compran y se venden, el enfoque no es muy distinto de cualquiera referido a la venta a distancia, a la que se asemeja mucho.

En cuanto a la seguridad de los pagos, el sistema de tarjetas de crédito protege a los titulares (“tarjetahabientes”). Si se detecta que una operación reflejada en el extracto de compras realizadas con tarjeta no la ha llevado a cabo el titular, éste puede contactar con su entidad financiera, firmar la reclamación y verificar el reembolso en su cuenta.

Por el contrario, cuando el comercio recibe la reclamación de su entidad financiera (entidad adquirente) debe aportar los datos que permitan confirmar la identidad del comprador. Lo que será virtualmente imposible en el caso de compras por Internet. Y le será retirada de su cuenta la cuantía correspondiente a la operación reclamada. Por resumir, no existe ningún problema para quienes compran y sí pueden existir problemas para quienes venden.

Desde hace unos años, las marcas de tarjetas de crédito están trabajando en el desarrollo de sistemas que aseguren también las transacciones para los comercios. Por eso, desarrollaron el sistema SET (Secure Electronic Transactions), hoy abandonado, y más recientemente el “3D Secure” que se identifica con las marcas “Verified by Visa” y “Mastercard Securecode”.

España es el país del mundo en el que el despliegue de estos sistemas de protección está más desarrollado, y cuenta con el impulso de Sistema 4B, Servired y Euro 6000, lo que pone este tipo de infraestructura al alcance de todas las entidades financieras y de sus clientes.

En este caso, el comercio que opera por internet debe solicitar de forma expresa a su entidad financiera que desea que se le equipe con un TPV (Terminal Punto de Venta) virtual que tenga habilitada la función CES (Comercio Electrónico Seguro) y deshabilitada cualquier modalidad “no segura”. De esta forma, aunque pierda transacciones (todas aquellas en la que el titular no conozca su código de autorización de internet), se asegura en el resto que la entidad emisora de la tarjeta garantiza el pago.

En España todas las entidades permiten a sus clientes la activación de la función de pago por internet en sus tarjetas, normalmente a través del servicio de “banca electrónica” de la entidad. Para ello, el usuario ha de utilizar una clave de operaciones de pago por internet (que en el caso de algunas entidades puede coincidir con la de acceso al servicio de banca electrónica)

La operativa de pago no es muy diferente a la tradicional: el comprador selecciona los productos en la tienda virtual y los incorpora en su lista de compra (lo que habitualmente se denomina el “carrito de la compra”). Cuando decide concluir, completa los datos de un formulario entre los que se incluye la dirección de entrega del producto, la modalidad de envío y aspectos tales como embalaje o texto de acompañamiento.

A continuación elige la forma de pago. Si el pago es con tarjeta de crédito, teclea sus datos principales (número, fecha de caducidad y nombre del titular) y pulsa al botón continuar. A partir del número de tarjeta, la tienda identifica a la entidad emisora y abre una ventana emergente con la pantalla en la que dicha entidad aloja su procedimiento de verificación de identidad del titular, que habitualmente es una clave de operaciones. Si la verificación es satisfactoria, la entidad envía al comercio un código de validación. El comercio solicita autorización a la pasarela de pagos que pone a su disposición su entidad adquirente, indicando la cuantía, los datos de la tarjeta y el código de validación. Si la tarjeta no está en lista negra y el importe de la operación se encuentra dentro de los límites adecuados, el sistema autoriza la operación, y el comercio tiene la certeza de que cobrará el importe de la transacción una vez deducidas la comisiones pactadas.

En este contexto, la tienda enviará los productos por el sistema solicitado por el cliente y habitualmente pondrá a su disposición un sistema de atención post-venta por si hubiera que resolver algún incidente.

De modo que cada vez se va mejorando en la seguridad no para los titulares (que siempre la han tenido, aunque ahora lo perciban mejor) sino para los comercios.

José San Juan, nuevo director general de Visa Europe en Reino Unido


Visa ha nombrado nuevo director general de Visa Europe en Reino Unido a José San Juan , que hasta ahora era el máximo responsable de Visa Europe en España y Portugal, en sustitución de Colin Grannell.

San Juan cuanta con una dilatada expeciencia en la industria de las tarjetas de pago, gestionando durante los últimos seis años áreas importantes del negocio de Visa Europe en el Norte y centro del continente. Anteriormente, ocupó varios puestos ejecutivos en Banesto EFT y Sistema 4B, al tiempo que fue miembro de los comités europeo e internacional de asesores de marketing y productos de tarjetas de Visa.

El presidente y consejero delegado de Visa Europe, Peter Ayliffe, destacó que Reino Unido es el mercado más grande de Visa en Europa, por lo que la experiencia, el conocimiento y «el estilo dinámico» de José San Juan es «la mezcla perfecta para asegurar el liderazgo en el mercado británico», añadió.

José San Juan sustituirá en el cargo a Colin Grannell, que pasa a ocupar el cargo de vicepresidente ejecutivo de Alianzas de Marketing. Su labor se centrará en los patrocinios y los acuerdos de colaboración de Visa Europe, especialmente en el patrocinio de los Juegos Olímpicos de Londres 2012.

Ver Nota de Prensa de Visa Europe.

El 90% de los expertos jurídicos europeos equipara la validez del correo electrónico, la factura y la firma electrónicas con la de la prueba tradicional


Un informe elaborado por Cybex, y presentado el pasado 14 de diciembre de 2006 el colaboración del Consejo General del Poder Judicial (CGPJ), Consejo General de la Abogacía Española (CGAE), la Dirección General de la Policía y Guardia Civil, el Ministerio de Justicia de Francia, refleja algunas interesantes valoraciones de los juristas. El informe, titulado ‘La admisibilidad de la prueba electrónica ante los Tribunales’ (Admision of Electronic Evidence in Court, AEEC), ha supuesto un año una investigación en forma de estudio comparado de Derecho procesal y pretende servir como un instrumento útil para combatir los delitos tecnológicos.

Según este informe,

  • El 77,8% de los juristas europeos consultados, entre los que se encuentran los españoles, reclaman que se establezca un marco normativo europeo específico que regule la prueba electrónica para combatir el ciberdelito
  • Los empresarios proponen la creación de protocolos informáticos y planes de formación en la obtención y presentación de la prueba digital en los juicios
  • El 61,8% de los profesionales del Derecho sostiene que el empleo de la prueba digital acelera el procedimiento judicial aunque el 37% se siente incómodo al usarla
  • El 89,5% de los expertos jurídicos consultados en España y en otros 15 países europeos –fiscales, jueces, abogados, representantes del Consejo General del Poder Judicial (CGPJ) y notarios- considera que la validez de la prueba electrónica es equivalente a la tradicional en los procesos judiciales.

La prueba electrónica es cualquier información obtenida a través de un dispositivo electrónico o medio digital que sirve para adquirir convencimiento de la certeza de un hecho en un juicio (e-mail, la firma y la factura digital). Se considera prueba tradicional informaciones tangibles (documentos en papel, audiovisuales, pruebas científicas como ADN) usadas en los juicios.

Ausencia de regulación específica de la prueba digital y demanda de un marco normativo europeo

La investigación incluye un análisis comparativo de 78 normas legislativas de los países analizados. Esta comparación refleja que en ninguno de sus ordenamientos jurídicos hay referencias específicas a la prueba electrónica. Esta ausencia implica que la utilización de la prueba digital en un proceso judicial se rige por una interpretación jurídica analógica de la prueba tradicional.

El 61% de los expertos entrevistados con perfil jurídico opina que en Europa el sistema normativo que regula la prueba electrónica necesita cambios al no adaptarse a la realidad tecnológica. Una de las soluciones propuestas por este colectivo es establecer un marco jurídico europeo que regule la prueba electrónica. De ellos, el 77,8% considera necesario fijar normas internacionales que homogeneicen el tratamiento procesal de la prueba electrónica para mejorar la cooperación transnacional entre los agentes sociales que intervienen en la erradicación del ciberdelito. El principal objetivo de esta reivindicación es hacer frente a la dimensión transnacional de los delitos tecnológicos. Por contrapartida, el 22,2% de los entrevistados mantiene que la regulación de la prueba digital debe competer exclusivamente a los Estados y no debe de ser una norma europea.

Los empresarios demandan prevención, formación y legislación

La mayoría del sector empresarial consultado propone la creación de protocolos informáticos de actuación estándar en relaciones laborales. También solicitan planes de asesoramiento y formación en la obtención, conservación y presentación de las pruebas digitales en los procesos judiciales. Los empresarios solicitan la necesidad de reformar y clarificar la legislación en torno a la prueba electrónica. Proponen incrementar la seguridad de las comunicaciones electrónicas, la implementación de la firma electrónica y la reducción del tiempo de almacenamiento de los documentos.

Ventajas e inconvenientes de la prueba electrónica

El 61,8% de los expertos del Derecho consultados indica que la aplicación de la prueba digital acelera el procedimiento procesal en los tribunales. Entre las otras ventajas que exponen, se encuentran la exactitud, veracidad, objetividad (en comparación, por ejemplo con testigos) y la fiabilidad que ofrece este argumento judicial, así como la utilidad que supone disponer de una información, hasta ahora imposible de obtener, en las investigaciones y en los procesos jurídicos en los que aparecían dispositivos electrónicos. Por otra parte, el temor a la vulnerabilidad, su alto grado de la volatilidad y la facilidad con la que la prueba electrónica se puede manipular son los principales inconvenientes que perciben los juristas entrevistados. Además, citan la dificultad para la preservación y almacenamiento de la prueba. El 37,3% se siente incómodo al trabajar con pruebas electrónicas debido a la falta de un sistema normativo específico que las regule. De este dato porcentual, una cuarta parte corresponde a respuestas de juristas españoles.

Tipología de delitos tecnológicos

El informe recoge también la experiencia de expertos europeos en informática forense. Según estos profesionales, los casos de jurisprudencia más comunes en el mundo empresarial corresponden a fraudes bancarios y económicos a través de la red (phising, pharming), el uso incorrecto de los recursos electrónicos en ámbito laboral, espionaje industrial y problemas de seguridad de datos tanto digitales como documentales. Estos profesionales reclaman que se cumplan las disposiciones de la Convención de Budapest sobre Cybercrimen del Consejo de Europa.

Autoridad competente para la admisibilidad de la prueba digital

Según este estudio, la autoridad máxima competente en Europa para determinar la admisión a trámite de la prueba electrónica es el juez, una figura que en Grecia y Luxemburgo comparte esta competencia con el fiscal general. En Austria, Dinamarca, Suecia y Finlandia la admisibilidad de la prueba digital sólo depende de la valoración subjetiva del juez, mientras que en los otros 12 países estudiados la máxima autoridad judicial se basa en la legalidad del argumento electrónico, su fiabilidad y pertinencia, el respeto de los derechos fundamentales en la obtención de la información, su utilidad, y la originalidad y la efectividad de la prueba.

Sin embargo, en la obtención y presentación de la prueba electrónica, el informe revela que en la práctica judicial se incumplen con mayor frecuencia las normas sobre protección de datos y de los derechos de los trabajadores, lo que provoca que se rechacen estas pruebas a menudo. En cuanto al incumplimiento de los requisitos técnicos, la comprobación de su autenticidad, la inalterabilidad del documento digital enviado a través del correo electrónico, y la ausencia de la firma electrónica suelen ser los principales detonantes de la pérdida total de la fuerza probatoria ante los tribunales de la prueba electrónica.

Programa AGIS

El informe se enmarca en el programa de la Comisión Europea AGIS, e incluye una revisión comparativa de las legislaciones vigentes de 16 países europeos: España, Alemania, Austria, Bélgica, Dinamarca, Finlandia, Francia, Grecia, Holanda, Irlanda, Italia, Luxemburgo, Portugal, Reino Unido, Rumanía y Suecia. Un equipo de investigadores multidisciplinares de estos países realizó 125 entrevistas a los principales expertos europeos sobre la validez de la prueba electrónica en los procesos judiciales, entre los que se encuentran juristas, representantes del CGPJ de los 16 países, empresarios, policías y expertos en informática forense.

Proyecto AEQUITAS

Durante los años 1998 y 1999 se desarrolló otro proyecto semejante que dirigió el profesor D. Fernando Galindo en el marco del Programa Infosec (Security of Telecommunications and Information Systems), una de las acciones de la iniciativa European Trusted Services (ETS) de la DG XIII de la Unión Europea.

El Proyecto AEQUITAS elaboró el informe «The Admission as Evidence in Trials of Penal Character of Electronic Products Signed Digitally» disponible junto a otros informes igualmente interesantes en el marco de los estudios y proyectos ETS.

Estos trabajos influyeron en el desarrollo de la Directiva 99/93 de Firma Electrónica, y por otro lado condujeron a la creación de FESTE, la Fundación para el Estudio de la Seguridad de las Telecomunicaciones que tuve el honor de gerenciar.