Las 11 medidas de seguridad que le tenés que exigir a tu plataforma de firma
Todos los proveedores dicen que son seguros. La diferencia está en qué responden cuando les preguntás algo concreto: qué se cifra, quién puede ver qué, cuánto se retiene y cómo se exporta si te vas. Estas son las once medidas convertidas en checklist, con la pregunta exacta y cómo comprobar la respuesta.
Las once medidas de seguridad de una plataforma de firma se agrupan en cuatro capas: los datos (cifrado en tránsito, en reposo y gestión de claves), el acceso (doble factor, roles, sesiones), el documento (integridad verificable, registro de auditoría, enlaces con vencimiento) y la operación del proveedor (respaldos y continuidad, retención y borrado). Las once se auditan preguntando, no leyendo la home.
Por qué conviene mirarlas en cuatro capas
Una lista de once ítems sueltos no se puede auditar; cuatro capas sí.
Agrupadas, las medidas dejan de ser una enumeración técnica y se convierten en cuatro preguntas que cualquiera puede hacer: qué pasa con mis datos, quién puede entrar, qué protege al documento y qué pasa si el proveedor tiene un problema.
Una aclaración importante antes de entrar: esto es seguridad de la plataforma, no validez legal de la firma. Son dos cosas distintas. Una plataforma puede ser impecable en seguridad y no cubrir el nivel de firma que tu documento necesita. Ese eje está en firma digital vs firma electrónica.
Capa 1: los datos
1. Cifrado en tránsito
Protege el documento mientras viaja entre tu navegador y el servidor. Es la medida más básica y también la más fácil de verificar: si la URL no es HTTPS, no sigas.
2. Cifrado en reposo
Protege el documento mientras está guardado. Es la que más se omite y la que más importa: un contrato guardado sin cifrar es legible por cualquiera que llegue al disco, incluido un respaldo mal configurado.
3. Gestión de claves
Quién custodia las claves de cifrado y cómo se rotan. La pregunta útil: ¿las claves están separadas de los datos que protegen? Si viven en el mismo lugar, el cifrado aporta menos de lo que parece.
Capa 2: el acceso
4. Doble factor de autenticación
Para las cuentas de tu equipo es innegociable: son las que pueden crear y enviar contratos en nombre de la empresa. Para los firmantes externos, depende del riesgo del documento.
5. Roles y permisos
Que no todos puedan hacer todo. Quién puede crear plantillas, quién puede enviar, quién puede ver documentos de otras áreas. Es la medida que más se ignora al arrancar y la que más duele cuando la empresa crece.
6. Sesiones y expiración
Cuánto dura una sesión abierta, si se cierra sola, si se puede forzar el cierre remoto cuando alguien pierde una notebook. Detalles chicos con consecuencias grandes.
Capa 3: el documento
7. Integridad verificable
Que se pueda comprobar que el documento no cambió después de firmado, y que esa comprobación no dependa exclusivamente del panel del proveedor. Cómo funciona técnicamente está en la infraestructura detrás de la firma digital.
8. Registro de auditoría
Quién firmó, cuándo, con qué método de identificación, desde qué IP y sobre qué versión. Es lo que se presenta cuando alguien desconoce una firma, y por eso tiene que ser exportable y legible fuera de la plataforma. El detalle campo por campo está en qué guarda por dentro un contrato firmado.
9. Enlaces de firma con vencimiento
Que el enlace enviado a un firmante caduque y sea de un solo uso. Un enlace eterno reenviado por correo es un documento que cualquiera puede firmar meses después.
Firmá un documento de prueba y descargá el registro de auditoría: es la forma más rápida de auditar una plataforma.
Capa 4: la operación del proveedor
10. Respaldos y continuidad
Cada cuánto se respalda, dónde, si los respaldos también están cifrados y en cuánto tiempo se recupera el servicio. Preguntá por el último incidente real y cómo se resolvió: la respuesta dice más que cualquier folleto.
11. Retención, borrado y portabilidad
Cuánto se conservan los documentos, qué pasa si borrás una cuenta, si el borrado alcanza a los respaldos, y sobre todo cómo exportás todo si te vas. Es la pregunta que menos se hace al contratar y la que más cuesta después.
Esta capa se cruza con la normativa de protección de datos: la Ley 25.326 en Argentina y la Ley 18.331 en Uruguay imponen obligaciones sobre finalidad, conservación y resguardo que no desaparecen por tercerizar el servicio.
La checklist completa
Copiala y pasala igual por cada proveedor. La columna de la derecha es lo que hace la diferencia: no alcanza con que digan que sí.
| Medida | Qué preguntar | Cómo comprobarlo |
|---|---|---|
| 1 · Cifrado en tránsito | ¿Todo el tráfico va por HTTPS? | Miralo en la barra del navegador. |
| 2 · Cifrado en reposo | ¿Los documentos guardados están cifrados? | Pedilo por escrito, no de palabra. |
| 3 · Gestión de claves | ¿Dónde viven las claves y cada cuánto rotan? | Que estén separadas de los datos. |
| 4 · Doble factor | ¿Está disponible para todas las cuentas? | Activalo en la prueba. |
| 5 · Roles y permisos | ¿Se puede limitar quién envía y quién ve? | Creá dos usuarios distintos y probá. |
| 6 · Sesiones | ¿Expiran solas? ¿Se cierran remoto? | Dejá una sesión abierta y volvé al día siguiente. |
| 7 · Integridad | ¿Cómo compruebo que no se alteró? | Verificá un documento fuera de la plataforma. |
| 8 · Auditoría | ¿El registro se exporta y se entiende? | Descargalo y leelo completo. |
| 9 · Enlaces | ¿Caducan y son de un solo uso? | Firmá y volvé a abrir el enlace. |
| 10 · Respaldos | ¿Cada cuánto y en cuánto se recupera? | Pedí el detalle del último incidente. |
| 11 · Retención y salida | ¿Cuánto se guarda y cómo exporto todo? | Exportá tu cuenta durante la prueba. |
Si un proveedor no puede responder cinco de estas once por escrito, ya tenés la respuesta.
Una certificación de seguridad es buena señal, pero lo que importa es su alcance: puede cubrir la infraestructura corporativa y no el servicio que vas a usar. Pedí el alcance por escrito y hacé las once preguntas igual.
Lo que depende de vos, no del proveedor
Cuatro de las once medidas no las resuelve la plataforma: las configura tu equipo.
- Activar el doble factor en todas las cuentas del equipo, no solo en la del administrador.
- Definir roles reales en vez de darle permisos de administrador a todo el mundo “por ahora”.
- Dar de baja a quien se va el mismo día. Las cuentas huérfanas son la puerta más usada.
- Revisar cada tanto quién accede a qué. Una vez por trimestre alcanza.
Estas cuatro se vuelven críticas cuando el volumen crece y aparecen varias áreas usando la misma cuenta; ese punto está desarrollado en cómo escalar la firma digital sin que se rompa el circuito. Y si estás en la etapa de comparar proveedores, esta checklist se complementa con la de cómo elegir la solución de firma electrónica.
Por último: en sectores regulados, varias de estas medidas dejan de ser recomendables y pasan a ser exigibles. Es el caso de la firma electrónica en salud, donde el documento puede contener datos sensibles, y de las entidades financieras, con requisitos propios de su regulador. Que la plataforma de firma electrónica cubra las once desde el primer día evita tener que migrar después.
Preguntas frecuentes
¿Qué medidas de seguridad debe tener una plataforma de firma electrónica?
Once, agrupadas en cuatro capas: cifrado en tránsito, cifrado en reposo y gestión de claves para los datos; doble factor, roles y permisos y control de sesiones para el acceso; integridad verificable, registro de auditoría y enlaces con vencimiento para el documento; y respaldos con continuidad más políticas de retención y borrado para la operación del proveedor.
¿Cuál es la diferencia entre cifrado en tránsito y cifrado en reposo?
El cifrado en tránsito protege el documento mientras viaja por la red, para que nadie pueda interceptarlo en el camino. El cifrado en reposo lo protege mientras está guardado en los discos del proveedor y en sus copias de respaldo, para que alguien con acceso al almacenamiento no pueda leerlo. Hacen falta los dos: uno no reemplaza al otro.
¿Por qué importa el registro de auditoría?
Porque es lo que se presenta cuando alguien desconoce una firma. Un buen registro guarda quién firmó, cuándo, con qué método de identificación, desde qué dirección IP y sobre qué versión exacta del documento. Si ese registro no se puede exportar y leer fuera de la plataforma, el respaldo depende de que el proveedor exista y coopere.
¿Es necesario el doble factor de autenticación para firmar?
Para las cuentas del equipo que envía documentos, sí: son las que pueden crear, modificar y enviar contratos en nombre de la empresa. Para los firmantes externos depende del riesgo del documento; en circuitos de riesgo alto conviene sumar un segundo factor, y en documentos internos de bajo riesgo puede agregar fricción sin aportar demasiado.
¿Qué hay que preguntar sobre la retención de los documentos?
Cuánto tiempo se conservan después de firmados, qué pasa si se borra una cuenta, si el borrado alcanza también a las copias de respaldo y en cuánto tiempo. Y sobre todo: cómo se exporta todo si algún día cambiás de proveedor. Es la pregunta que menos se hace al contratar y la que más cuesta resolver después.
¿Alcanza con que el proveedor tenga una certificación de seguridad?
Una certificación es una buena señal pero no responde por sí sola las preguntas concretas: qué se cifra, quién puede ver qué, cuánto se retiene y cómo se exporta. Conviene pedir el informe o el alcance de la certificación y, además, hacer las once preguntas. Una certificación amplia con un alcance acotado no cubre necesariamente el servicio que vas a usar.
¿Qué medidas dependen de mí y no del proveedor?
Varias de la capa de acceso: activar el doble factor en las cuentas del equipo, definir bien los roles para que no todos puedan enviar cualquier documento, dar de baja a quien deja la empresa y revisar cada tanto quién tiene acceso a qué. La plataforma provee las herramientas, pero la configuración es responsabilidad de la organización.
Referencias
- Argentina — Ley 25.326 de Protección de los Datos Personales (InfoLEG).
- Uruguay — Ley 18.331 de Protección de Datos Personales (IMPO).
- Referencia técnica — NIST SP 800-53, controles de seguridad y privacidad.
Esta nota tiene fines informativos y no constituye asesoramiento legal ni una auditoría de seguridad. Para sectores regulados, consultá los requisitos específicos de tu actividad con tu equipo legal y de seguridad de la información.