Source: http://www.informatica-juridica.com/etiqueta/certificados/
Timestamp: 2018-02-23 20:02:53+00:00

Document:
certificados Archivos - Informática Jurídica
Informática Jurídica > certificados
11Sep/00
Decreto 1747 Certificados y Firmas Digitales
11 Septiembre, 2000 Colombia, Decretocertificados, Firma digitalJosé Cuervo
Diario Oficial (Colombia)
Decreto 1747 por el cual se reglamenta parcialmente la ley 527 de 1999, en lo relacionado con las entidades de certificación, los certificados y las firmas digitales
en ejercicio de las facultades constitucionales y legales, en especial de las conferidas en el numeral 11 del artículo 189 de la Constitución Política y en desarrollo de lo previsto en la ley 527 de 1999,
REPOSITORIO: Sistema de información utilizado para almacenar y recuperar certificados y otra información relacionada con los mismos.
CLAVE PRIVADA: Valor o valores numéricos que, utilizados conjuntamente con un procedimiento matemático conocido, sirven para generar la firma digital de un mensaje de datos.
ENTIDAD DE CERTIFICACIÓN CERRADA: Entidad que ofrece servicios propios de las entidades de certificación sólo para el intercambio de mensajes entre la entidad y el suscriptor, sin exigir remuneración por ello.
ENTIDAD DE CERTIFICACIÓN ABIERTA: La que ofrece servicios propios de las entidades de certificación, tales que:
Recibe remuneración por éstos.
DECLARACIÓN DE PRÁCTICAS DE CERTIFICACIÓN (DPC): Manifestación de la entidad de certificación sobre las políticas y procedimientos que aplica para la prestación de sus servicios.
SISTEMA CONFIABLE. Los sistemas utilizados para el ejercicio de las actividades de certificación se considerarán confiables si satisfacen los estándares establecidos por la Superintendencia de Industria y Comercio.
ACREDITACIÓN DE REQUISITOS DE LAS ENTIDADES DE CERTIFICACIÓN CERRADAS. Quienes pretendan realizar las actividades propias de las entidades de certificación cerradas deberán acreditar ante la Superintendencia de Industria y Comercio que:
Los administradores y representantes legales no están incursos en las causales de inhabilidad previstas en el literal c del artículo 29 de la ley 527 de 1999; y
Están en capacidad de cumplir los estándares mínimos que fije la Superintendencia de Industria y Comercio de acuerdo a los servicios ofrecidos.
INFORMACIÓN EN CERTIFICADOS. Los certificados emitidos por las entidades de certificación cerradas deberán indicar expresamente que sólo podrán ser usados entre la entidad emisora y el suscriptor. Las entidades deberán informar al suscriptor de manera clara y expresa, previa expedición de los certificados, que éstos no cumplen los requisitos del artículo 15 del presente decreto.
ACREDITACIÓN DE REQUISITOS DE LAS ENTIDADES DE CERTIFICACIÓN ABIERTAS. Quienes pretendan realizar las actividades propias de las entidades de certificación abiertas deberán particularizarlas y acreditar ante la Superintendencia de Industria y Comercio:
Personería jurídica o condición de notario o cónsul;
Que los administradores y representantes legales no están incursos en las causales de inhabilidad previstas en el literal c del artículo 29 de la ley 527 de 1999.
Declaración de Prácticas de Certificación (DPC) satisfactoria, de acuerdo con los requisitos establecidos por la Superintendencia de Industria y Comercio.
Patrimonio mínimo de 400 salarios mínimos mensuales legales vigentes al momento de la autorización.
Infraestructura y recursos por lo menos en la forma exigida en el artículo 9 de este decreto.
Informe inicial de auditoria satisfactorio a juicio de la misma Superintendencia.
Un mecanismo de ejecución inmediata para revocar los certificados digitales expedidos a los suscriptores, a petición de estos o cuando se tenga indicios de que ha ocurrido alguno de los eventos previstos en el artículo 37 de la lley 527 de 1999.
PARÁGRAFO PRIMERO: La Superintendencia de Industria y Comercio tendrá la facultad de solicitar ampliación o aclaración sobre los puntos que estime conveniente.
PARÁGRAFO SEGUNDO: Sí se solicita autorización para certificaciones reciprocas, se deberán acreditar adicionalmente la entidad reconocida, los certificados reconocidos y el tipo de certificados al cual se remite, la vigencia y los términos del reconocimiento.
DECLARACIÓN DE PRÁCTICAS DE CERTIFICACIÓN (DPC). La Superintendencia de Industria y Comercio definirá el contenido de la Declaración de Prácticas de Certificación DPC, la cual deberá incluir, al menos lo siguiente:
Identificación de la entidad de certificación.
Política de manejo de los certificados.
Obligaciones de la entidad y de los suscriptores del certificado y precauciones que deben observar los terceros.
Manejo de la información suministrada por los suscriptores.
Límites de responsabilidad por el ejercicio de su actividad.
Tarifas de expedición y revocación de certificados.
Procedimientos de seguridad para el manejo de los siguientes eventos:
Cuando la seguridad de la clave privada de la entidad de certificación se ha visto comprometida.
Cuando el sistema de seguridad de la entidad de certificación ha sido vulnerado.
Cuando se presenten fallas en el sistema de la entidad de certificación que comprometan la prestación del servicio.
Cuando los sistemas de cifrado pierdan vigencia por no ofrecer el nivel de seguridad contratados por el suscriptor.
El plan de contingencia encaminado a garantizar la continuidad del servicio de certificación.
Modelos y minutas de los contratos que utilizarán con los usuarios.
Política de manejo de otros servicios que fuere a prestar, detallando sus condiciones.
PATRIMONIO MÍNIMO. Para determinar el patrimonio mínimo, sólo se tomarán en cuenta las cuentas patrimoniales de capital suscrito y pagado, reserva legal, superávit por prima en colocación de acciones y se deducirán las pérdidas acumuladas y las del ejercicio en curso.
Tratándose de entidades públicas, por medio del proyecto de gastos y de inversión que generará la actividad de certificación, conjuntamente con los certificados de disponibilidad presupuestal que acrediten la apropiación de recursos para dicho fin.
Para las sucursales de entidades extranjeras, por medio del capital asignado.
GARANTÍAS. La entidad debe contar con al menos una de las siguientes garantías:
Ser expedidos por una entidad aseguradora autorizada para operar en Colombia. En caso de no ser posible lo anterior, por una entidad aseguradora del exterior que cuente con la autorización previa de la Superintendencia Bancaria.
Cubrir todos los perjuicios contractuales y extracontractuales de los suscriptores y terceros de buena fe exenta de culpa derivados de errores y omisiones, o de actos de mala fe de los administradores, representantes legales o empleados de la certificadora en el desarrollo de las actividades para las cuales solicita autorización o cuenta con autorización.
Cubrir los anteriores riesgos por una cuantía asegurada por evento igual o superior al mayor entre:
7.500 salarios mínimos mensuales legales por evento; o
el límite de responsabilidad definido en las prácticas de certificación
Incluir cláusula de restitución automática del valor asegurado.
Incluir una cláusula que obligue a la entidad aseguradora a informar previamente a la Superintendencia de Industria y Comercio la terminación del contrato o las modificaciones que reduzcan el alcance o monto de la cobertura.
Tener como objeto exclusivo el cubrimiento de las pérdidas sufridas por los suscriptores y terceros de buena fe exentos de culpa, que se deriven de los errores y omisiones o de actos de mala fe de los administradores, representantes legales o empleados de la certificadora en el desarrollo de las actividades para las cuales solicita o cuenta con autorización.
Contar con recursos suficientes para cubrir pérdidas por una cuantía por evento igual o superior al mayor entre:
Que los fideicomitentes se obliguen a restituir los recursos de la fiducia en caso de una reclamación, por lo menos hasta el monto mínimo exigido en el punto anterior.
Que la fiduciaria se obligue a obtener permiso de la Superintendencia de Industria y Comercio, previamente a cualquier cambio en los reglamentos, disminución en el monto o alcance de la cobertura, así como para el retiro de fideicomitentes y para la terminación del contrato.
Que las inversiones estén representadas en títulos de renta fija, alta seguridad y liquidez emitidos o garantizados por la Nación, el Banco de la República o calificados como de mínimo riesgo por las sociedades calificadoras de riesgo.
INFRAESTRUCTURA Y RECURSOS. En desarrollo de lo previsto en el literal b del artículo 29 de la ley 527 de 1999, la entidad deberá contar con un equipo de personas, una infraestructura física y tecnológica y unos procedimientos y sistemas de seguridad, tales que:
Puedan generar las firmas digitales propias y todos los servicios para los que soliciten autorización.
Se pueda calificar el sistema como confiable de acuerdo con lo señalado en el artículo 2 del presente decreto.
Lo previsto en el artículo 35 de la ley 527 de 1999; y
Alguno de los estándares de certificados que admita de manera general la Superintendencia de Industria y Comercio.
El manejo de la clave privada de la entidad esté sometido a un procedimiento propio de seguridad que evite el acceso físico o de otra índole a la misma, a personal no autorizado.
Los sistemas que cumplan las funciones de certificación sólo sean utilizados con ese propósito y por lo tanto no puedan realizar ninguna otra función.
Todos los sistemas que participen directa o indirectamente en la función de certificación estén protegidos por sistemas y procedimientos de autenticación y seguridad de alto nivel de protección, que deben ser actualizados de acuerdo a los avances tecnológicos para garantizar la correcta prestación del servicio.
INFRAESTRUCTURA PRESTADA POR UN TERCERO. Cuando quiera que la entidad de certificación requiera o utilice infraestructura o servicios tecnológicos prestados por un tercero, los contratos deberán prever que la terminación de los mismos está condicionada a que la entidad haya implementado o contratado una infraestructura o servicio tecnológico que le permita continuar prestando sus servicios sin ningún perjuicio para los suscriptores. Si la terminación de dichos contratos supone el cese de operaciones, el prestador de infraestructura o servicios no podrá interrumpir sus servicios antes de vencerse el plazo para concluir el proceso previsto en el procedimiento autorizado por la Superintendencia de Industria y Comercio. Estos deben ser enviados con los demás documentos de la solicitud de autorización y remitidos cada vez que sean modificados.
INFORME DE AUDITORIA. El Informe de auditoria dictaminará que la entidad de certificación actúa o está en capacidad de actuar, de acuerdo con los requerimientos de la ley 527 de 1999, lo previsto en este decreto y en las normas que los sustituyan, complementen o reglamenten. Así mismo, evaluará todos los servicios a que hace referencia el literal d del artículo 2 de la ley 527 de 1999 y que sean prestados o pretenda prestar la entidad de certificación.
REQUISITOS DE LAS FIRMAS AUDITORAS. La auditoría deberá ser realizada por una entidad del sistema nacional de normalización, certificación y metrología acreditada para el efecto por la Superintendencia de Industria y Comercio.
En caso de que no existan en el país al menos dos entidades acreditadas para llevar a cabo estas auditorías, las entidades de certificación nacionales podrán hacer uso de firmas de auditoría extranjeras, siempre y cuando el informe cumpla con las instrucciones impartidas por la Superintendencia de Industria y Comercio y la firma auditora se encuentre facultada para realizar este tipo de auditorías en su país de origen.
DEBERES. Además de lo previsto en el artículo 32 de la ley 527 de 1999, las entidades de certificación deberán:
Comprobar por sí o por medio de una persona diferente que actúe en nombre y por cuenta suya, la identidad y cualesquiera otras circunstancias de los solicitantes o de datos de los certificados, relevantes para los fines propios de su procedimiento de verificación previo a su expedición.
Mantener a disposición permanente del público la Declaración de Prácticas de Certificación.
Cumplir cabalmente con las políticas de certificación acordadas con el suscriptor y con su Declaración de Prácticas de Certificación (DPC).
Garantizar la prestación permanente e ininterrumpida de los servicios autorizados, salvo las interrupciones que autorice la Superintendencia de Industria y Comercio.
Informar a la Superintendencia de manera inmediata la ocurrencia de cualquier evento establecido en la Declaración de Prácticas de Certificación, que comprometa la prestación del servicio.
Mantener actualizado el registro de los certificados revocados. Las entidades de certificación serán responsables de los perjuicios que se causen a terceros por incumplimiento de esta obligación.
Garantizar el acceso permanente y eficiente de los suscriptores y de terceros al repositorio de la entidad.
Disponer de una línea telefónica de atención permanente a suscriptores y terceros, que permita las consultas y la pronta solicitud de revocación de certificados por los suscriptores.
Garantizar la confidencialidad de la información que no figure en el certificado.
Conservar la documentación que respalda los certificados emitidos, por el término previsto en la ley para los papeles de los comerciantes y tomar las medidas necesarias para garantizar la integridad y la confidencialidad que le sean propias.
Informar al suscriptor dentro de las 24 horas siguientes, la suspensión del servicio o revocación de sus certificados.
Capacitar y advertir a los suscriptores de firmas y certificados digitales, sobre las medidas de seguridad que deben observar para la utilización de estos mecanismos.
Mantener el control exclusivo de su clave privada y establecer las seguridades necesarias para que no se divulgue o comprometa.
Remitir oportunamente a la Superintendencia de Industria y Comercio, la información prevista en este decreto.
Remover en el menor término que el procedimiento legal permita, a los administradores o representantes que resulten incursos en las causales establecidas en el literal c del artículo 29 de la ley 527 de 1999.
Informar a los suscriptores o terceros que lo soliciten, sobre el tiempo y recursos computacionales requeridos para derivar la clave privada a partir de la clave pública contenida en los certificados en relación con las firmas digitales que expide la entidad.
Mantener actualizada la información registrada en la solicitud de autorización y enviar la información que la Superintendencia de Industria y Comercio establezca.
Cumplir con las demás instrucciones que establezca la Superintendencia de Industria y Comercio.
CERTIFICACIONES RECÍPROCAS. El reconocimiento de los certificados de firmas digitales emitidos por entidades de certificación extranjeras, realizado por entidades de certificación autorizadas para tal efecto en Colombia, se hará constar en un certificado expedido por éstas últimas.
USO DEL CERTIFICADO DIGITAL. Cuando quiera que un suscriptor firme digitalmente un mensaje de datos con su clave privada, y la respalde mediante un certificado digital, se darán por satisfechos los atributos exigidos para una firma digital en el parágrafo del artículo 28 de la ley 527 de 1999, sí:
El certificado fue emitido por una entidad de certificación abierta autorizada para ello por la Superintendencia de Industria y Comercio.
Dicha firma se puede verificar con la clave pública que se encuentra en el certificado con relación a firmas digitales, emitido por la entidad de certificación.
La firma fue emitida dentro del tiempo de validez del certificado, sin que éste haya sido revocado.
El mensaje de datos firmado se encuentra dentro de los usos aceptados en la DPC, de acuerdo al tipo de certificado.
UNICIDAD DE LA FIRMA DIGITAL. No obstante lo previsto en el artículo anterior, una firma digital en un mensaje de datos deja de ser única a la persona que la usa si, estando bajo su control exclusivo, dada la condición del numeral 3 del parágrafo del artículo 28 de la lley 527 de 1999, la probabilidad de derivar la clave privada, a partir de la clave pública, no es o deja de ser remota.
DECISIÓN. En la resolución de autorización expedida por la Superintendencia de Industria y Comercio, se precisarán las actividades y servicios que puede prestar la entidad de certificación. En todo caso, la entidad de certificación podrá solicitar autorización para prestar actividades y servicios adicionales.
RESPONSABILIDAD. Las entidades de certificación responderán por todos los perjuicios que causen en el ejercicio de sus actividades.
CESACIÓN DE ACTIVIDADES. La cesación de actividades de una entidad de certificación sin la autorización de la Superintendencia de Industria y Comercio o la continuación de actividades después de producida ésta, la hará responsable de todos los perjuicios que cause a sus suscriptores y a terceros y la hará acreedora a las sanciones que imponga la Superintendencia.
RESPONSABILIDAD DERIVADA DE LA ADMINISTRACIÓN DE LOS REPOSITORIOS. Cuando las entidades de certificación contraten los servicios de repositorios, continuarán siendo responsables frente a sus suscriptores y terceros por el mismo.
INFORMACIÓN PERIÓDICA Y ESPORÁDICA. La información prevista en los artículos 3, 5, 6, 7, 8, 9, 10 y 11 del presente decreto, deberá actualizarse ante la Superintendencia de Industria y Comercio cada vez que haya cambio o modificación de algunos de los datos suministrados. La Superintendencia señalará, además, la forma y periodicidad en que se debe demostrar el continuo cumplimiento de las condiciones de que se ocupan los artículos señalados.
RESPONSABILIDAD DERIVADA DE LA NO REVOCACIÓN. Una vez cumplidas las formalidades previstas para la revocación, la entidad será responsable por los perjuicios que cause la no revocación.
De los certificados digitales INFORMACIÓN RELATIVA A LA REVOCACIÓN. Cada certificado revocado debe indicar si el motivo de revocación incluye la pérdida de control de la clave privada, evento en el cual, las firmas generadas con dicha clave privada carecerán del atributo de unicidad previsto en el numeral 1 del parágrafo del artículo 28 de la lley 527 de 1999, salvo que se demuestre lo contrario, mediante un mecanismo adicional que pruebe inequívocamente que el documento fue firmado digitalmente en una fecha previa a la revocación del certificado.
REGISTRO DE CERTIFICADOS. Toda entidad de certificación autorizada deberá llevar un registro de público acceso que contenga todos los certificados emitidos y sus fechas de emisión, expiración o revocación.
INFORMACIÓN. Las entidades de certificación estarán obligadas a respetar las condiciones de confidencialidad y seguridad, de acuerdo con las normas vigentes respectivas.
FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO SUSPENSIÓN Y REVOCACIÓN DE AUTORIZACIÓN. Cuando quiera que la Superintendencia de Industria y Comercio ejerza la facultad contenida en el numeral 4 del artículo 41 de la ley 527 de 1999, ordenará a la entidad de certificación la ejecución de medidas tendientes a garantizar la integridad, seguridad y conservación de los certificados expedidos, así como la compensación económica que pudiera generar la cesación de actividades.
ESTÁNDARES. La Superintendencia de Industria y Comercio determinará los estándares admisibles con respecto a los cuales las entidades de certificación deberán acreditar el cumplimiento de los requisitos relativos a:
La generación de pares de claves,
La generación de firmas,
Los certificados,
Los sistemas de cifrado,
La seguridad de los sistemas de información y de las instalaciones, o
Cualquier otro aspecto que redunde en la confiabilidad y seguridad de los certificados, o de la información que repose en la entidad de certificación.
FACULTADES. Las atribuciones otorgadas a la Superintendencia de Industria y Comercio en el presente decreto, se ejercerán conforme a las facultades establecidas en los artículos 41 de la ley 527 de 1999 y en los decretos 2269 de 1993 y 2153 de 1992.
VIGENCIA. El presente decreto rige a partir de la fecha de su publicación y deroga las disposiciones que le sean contrarias.
Dado en Bogotá D.C., a 11 de septiembre de 2000
MINISTRO DE DESARROLLO ECONÓMICO : AUGUSTO RAMÍREZ OCAMPO
MINISTRA DE COMERCIO EXTERIOR: MARTA LUCÍA RAMÍREZ DE RINCÓN
MINISTRA DE COMUNICACIONES: MARIA DEL ROSARIO SINTES ULLOA

References: artículo 189
 artículo 29
 artículo 15
 artículo 29
 artículo 9
 artículo 37
 artículo 29
 artículo 2
 artículo 35
 artículo 2
 artículo 32
 artículo 29
 artículo 28
 artículo 28
 resolución 
 artículo 28
 artículo 41