martes, 1 de agosto de 2017

Brecha de seguridad en LexNET

El viernes pasado, a través del Decano del Colegio de Abogados de Murcia, tuvimos conocimiento de la existencia de una brecha de seguridad en el sistema de comunicación procesal LexNET por la que cualquier usuario del programa podía, cambiando su ID por la de otro usuario, acceder a cualquier expediente judicial. Este fallo de seguridad se produce, además, a las puertas del inicio del mes de agosto que sigue siendo inhábil desde el punto de vista procesal afectando, precisamente, a la realización de la mayoría de actos de comunicación y a la presentación de escritos, demandas y documentación

Este hecho, grave desde el punto de vista de la protección de datos personales, ha puesto en jaque el desarrollo del proyecto de Justicia digital y ha demostrado que quienes denunciábamos la obsolescencia e insuficiencia de los programas de gestión procesal del Ministerio de Justicia no íbamos muy desencaminados.

Para contextualizar lo que ha sucedido debemos tener en cuenta tres cuestiones: LexNET no es obra de un sólo Gobierno por lo que utilizarlo políticamente puede ser legítimo pero también puede restar credibilidad a algunas de las posiciones, LexNET es un programa obsoleto y viejo que no sirve para lo que se exige en una Administración pública moderna y LexNET se ha impuesto sin transparencia alguna y sin analizar las alternativas.



Aun cuando ha sido este Gobierno quien ha impulsado y extendido su uso, LexNET no nació en 2016 con el papel cero. Una de las conclusiones del Libro blanco de la Justicia elaborado por el CGPJ en el año 1999 y que luego fue recogido por el pacto de la Justicia del año 2000, fue la introducción de las llamadas "nuevas" tecnologías en la Administración de Justicia. Es cierto que, en esa fecha, se estaba generalizando el uso de ordenadores en los órganos judiciales y oficinas fiscales, es decir, se estaba informatizando la Justicia; pero los dos documentos abogaban por la comunicación electrónica y, a largo plazo, por lo que ahora conocemos por digitalización.

En ese contexto nace LexNET como herramienta informática de actos de comunicación entre la Administración de Justicia y los Procuradores fundamentalmente a través de un correo electrónico securizado. Así se fue extendiendo su uso, muy lentamente, versión tras versión con gobiernos de distinto signo político que apostaron por este programa. Ninguno de ellos ha facilitado información alguna sobre quien diseñó y quien está detrás del desarrollo e implantación de LexNET (como de ningún otro programa de gestión procesal en funcionamiento en el ámbito del Ministerio de Justicia) más allá del organigrama del Ministerio de Justicia y el rastreo de cómo se ha invertido el dinero en LexNET (según se dice unos 7 millones de euros sólo en los últimos años) es complicado.

En el año 2015, el Ministerio de Justicia decidió imponer el denominado "papel cero" basando su implantación en el desarrollo de LexNET que se convirtió no sólo en la herramienta de realización de actos de comunicación sino también de presentación de escritos y documentos. No todas las CCAA acogieron este programa pues algunas, como Cantabria y Navarra, desarrollaron un sistema de gestión procesal propio en el que integraron un módulo de comunicaciones propio con un concepto muy distinto al de LexNET, sin correos electrónicos considerando a todos los agentes jurídicos como usuarios del sistema que acceden al mismo en virtud de sus acreditaciones para realizar y recibir los actos de comunicación del Juzgado como para presentar y recibir los escritos y documentos.

Desde un primer momento fueron varias las voces que mostramos desacuerdo con este sistema y que denunciamos las deficiencias de un programa vetusto, de código cerrado, basado en una tecnología obsoleta y desarrollado en el más absoluto de los secretos, que obligaba a la Administración y a los profesionales a relacionarse a través de un correo electrónico cuando, en la vida cotidiana, los ciudadanos estamos empezando a relacionarnos con empresas e incluso con la Administración de forma mucho más directa considerados como usuarios del propio sistema tal y como ocurre, por ejemplo, con nuestro respectivo banco... o en la Administración de Justicia de Cantabria y Navarra.

Lo sorprendente y significativo es que el Ministerio no apostaba por LexNET (y por el resto de programas de su ámbito) porque fuera el mejor sino porque, como decía cuando se le interpelaba por la cuestión, era lo que había en esos momentos y se había gastado mucho dinero en él como para dejarlo aparcado. Es decir, una mezcla de resignación y fatalidad que, por un lado, impedía buscar una alternativa y que, por otro, no se sostenía pues seguir gastando en un programa que no sirve era una solución peor que dejarlo aparcado y buscar esa alternativa que, por otro lado, existía.

Llegados a este punto, tras detectarse la brecha de seguridad, la primeras reacciones del Ministerio vía twitter no eran muy convincentes. Daban la sensación de ser improvisadas lo que acrecentaba el asombro y la indignación de los usuarios. Se decía que no se habían detectado accesos indebidos cuando estaba claro que para detectar el fallo había que probar que se podía acceder con una ID diferente a la propia, es decir, se estaba accediendo indebidamente (si bien es cierto que, en los casos que se han hecho públicos se solicitaba permiso al titular del buzón).

La realidad es que, por el momento, el Ministerio de Justicia no es capaz de dar datos sobre la dimensión del problema (tiempo en el que ha existido esa brecha, quien ha accedido, cuando y a qué buzones etc...). Imagino que de eso se habrá hablado en el Gabinete de crisis pero nada ha trascendido de forma oficial salvo un escueto comunicado de prensa.

Ayer día 31 de julio son varios los órganos judiciales que no pudieron utilizar LexNET (actualizado con el parche de seguridad implementado durante el fin de semana) con normalidad porque la realidad es tozuda: LexNET no sirve como no sirven otros programas de gestión procesal del ámbito del Ministerio que por no cumplir, no cumplen ni el antiguamente conocido test de compatibilidad del CGPJ, ahora en manos del CETEAJE, que permite asegurar la interoperabilidad de los programas de gestión procesal.

Es necesario, pues, cambiar la forma de hacer las cosas. Es necesario abrir el debate con la participación de todos los operadores jurídicos y profesionales de forma abierta y sin imposiciones sobre aspectos concretos en materia de nuevas tecnologías y con el tiempo tasado para evitar más retrasos. Se trata de decidir qué modelo de Administración de Justicia digital es necesario, hasta que nivel es necesario compartir información judicial, quien, como y cuando puede acceder a qué información, quien debe gestionar los datos judiciales, quien se encarga de la seguridad de esos datos y de la tramitación de los procedimientos y como lo hace, como se va a afrontar de forma seria la gestión del cambio para lograr la implicación de la mayoría de los agentes que van a utilizar ese programa o programas... etc..

La Administración de Justicia necesita una herramienta informática abierta, segura y moderna que integre  o pueda integrar en el futuro todas las utilidades necesarias para tramitar digitalmente los expedientes judiciales o varias pero que permitan su interoperabilidad directa sin subterfugios. ¿Se están dando los pasos adecuados para ello?. Tengo mis dudas que expondré en otro artículo.





No hay comentarios:

Publicar un comentario