Riesgos de usar certificados ajenos en el entorno laboral

El uso de certificados digitales ajenos en el entorno laboral plantea riesgos técnicos, legales y operativos que pueden afectar a la seguridad de la organización y a la validez de trámites y firmas electrónicas. Compartir o utilizar credenciales que no pertenecen al usuario que realiza una acción rompe principios básicos de control de identidad y trazabilidad, y puede generar consecuencias indeseadas para empleados, clientes y administraciones con las que se interactúa.

¿Qué significa usar un certificado ajeno?

Usar un certificado ajeno implica emplear una clave privada o un archivo de firma que ha sido emitido a nombre de otra persona o entidad para autenticar, firmar o acceder a servicios. Esto puede ocurrir de varias formas: introducir el PIN de otra persona en un lector compartido, importar un fichero .p12/.pfx que contiene la clave privada, usar un token físico perteneciente a otro empleado o aprovechar una sesión autenticada donde no se ha cerrado la sesión del titular real.

Riesgos principales

• Pérdida de trazabilidad: las acciones dejan registros que apuntan al titular del certificado, no a quien realmente realizó la operación. Esto impide identificar responsables reales y dificulta investigaciones internas.
• Compromiso de no repudio: la garantía de no repudio (que alguien no pueda negar haber firmado) se ve perjudicada si la firma fue realizada por una persona distinta del titular del certificado.
• Incumplimiento normativo y contractual: muchos procesos exigen identificar de forma inequívoca al firmante o al solicitante. Usar credenciales ajenas puede poner en riesgo el cumplimiento de requisitos contractuales o de procedimientos internos.
• Exposición a fraude: terceros podrían usar certificados compartidos para realizar transacciones no autorizadas o acceder a información sensible.
• Riesgo de propagación: un certificado cuya clave privada ha sido divulgada puede emplearse en distintos sistemas (correo, sede electrónica, firma de documentos), amplificando el daño.
• Problemas de revocación y gestión: si el titular necesita revocar su certificado por compromiso, todas las operaciones firmadas pueden quedar en duda o requerir revisión.
• Impacto en la ciberseguridad: compartir llaves privadas suele acompañarse de malas prácticas (envío por correo, almacenamiento en ubicaciones no seguras) que facilitan ataques.

Consecuencias prácticas y legales

Desde el punto de vista práctico, usar certificados ajenos puede invalidar procesos internos, complicar auditorías y generar costes de remediación (revocación, reemisión, investigación). En el ámbito legal, existe riesgo de impugnaciones sobre la validez de documentos firmados, disputas contractuales y responsabilidades disciplinarias o laborales hacia quienes facilitan el acceso.

Además, el tratamiento de datos personales conectado a operaciones firmadas con credenciales ajenas puede plantear problemas de protección de datos. Conviene comprobar las obligaciones concretas del sector o de la sede electrónica con la que se interactúa, y, de ser necesario, solicitar asesoramiento jurídico o administrativo.

Errores habituales que favorecen el uso indebido

• Compartir archivos PFX/P12: enviar el archivo con la clave privada por correo o almacenamiento compartido y compartir la contraseña.
• Uso de tokens físicos sin control: dejar tarjetas o smartcards en lectores accesibles o sin custodia.
• Sesiones abiertas: no cerrar sesión en aplicaciones o gestores de firma, permitiendo a la siguiente persona operar con la identidad abierta.
• Falta de separación de roles: no distinguir entre identidades técnicas y personales, o dar privilegios excesivos a perfiles que no deben firmar.
• Ausencia de registro: no dejar constancia documental del permiso expreso del titular para que otro realice una firma o actuación en su nombre.
• Importar claves en dispositivos inseguros: instalar claves privadas en máquinas sin cifrar o en equipos compartidos.

Comprobaciones técnicas antes de usar un certificado que no es propio

Si por motivos operativos se contempla que una persona realice una acción en nombre de otra (por ejemplo, por ausencia justificada), conviene seguir una serie de comprobaciones previas y condiciones estrictas:

• Autorización por escrito: disponer de una autorización documentada y firmada por el titular que explique alcance, duración y propósito.
• Verificar el alcance del certificado: revisar el campo de uso de la clave (Key Usage y Extended Key Usage) para comprobar que el certificado permite la operación prevista.
• Comprobar la validez y estado: verificar fecha de validez, cadena de certificación y estado frente a CRL u OCSP para asegurar que no está revocado o caducado.
• Confirmar identidad del titular: asegurarse de que la autorización procede del titular real y no de un intermediario que se hace pasar por él.
• Registrar la operación: dejar constancia en el sistema y en registros internos con hora, motivo y responsable que realizó la acción.
• Limitar el uso: restringir la acción al mínimo necesario y, cuando sea posible, preferir delegaciones administrativas formales en vez de compartir claves.

Buenas prácticas organizativas y técnicas

Para reducir la tentación o la necesidad de recurrir a certificados ajenos, conviene implantar controles y políticas claras:

• Política de gestión de identidades y certificados: definir quién puede solicitar, usar y revocar certificados; establecer procesos de autorización y registro.
• Evitar compartir claves privadas: prohibir por norma el intercambio de archivos que contengan claves privadas y el intercambio de PIN/contraseñas.
• Uso de dispositivos hardware: preferir smartcards, tokens USB o HSM para almacenar claves privadas, ya que dificultan la exportación.
• Herramientas de firma con delegación: adoptar soluciones que permitan delegar firma sin transferir la clave privada (plataformas de firma en la nube o sistemas de representación autorizada).
• Control y auditoría: mantener registros de acceso y firmas, y realizar auditorías periódicas para detectar usos indebidos.
• Formación y concienciación: informar a empleados sobre consecuencias de compartir certificados y buenas prácticas en protección de claves.
• Rotación y revocación ágil: procesos para revocar rápidamente un certificado comprometido y emitir uno nuevo con mínima fricción.
• Separación de funciones: diseñar roles que eviten dar a una misma persona el control exclusivo sobre emisión y validación de documentos críticos.

Procedimiento recomendado si se detecta uso indebido

• Bloquear o revocar el certificado afectado tan pronto como exista indicio de compromiso.
• Registrar la incidencia, identificar qué operaciones se hicieron y determinar alcance (datos afectados, trámites iniciados, firmas realizadas).
• Notificar a responsables internos de seguridad y, si procede, al responsable de protección de datos o a la autoridad correspondiente según procedimientos internos.
• Iniciar la investigación técnica para determinar cómo se produjo la exposición (p. ej. correo, almacenamiento compartido, dispositivo no protegido).
• Reemplazar credenciales y revisar permisos y políticas para evitar repetición.
• Si hay dudas sobre la validez de documentos firmados con la credencial comprometida, consultarlo con el órgano receptor o asesoría jurídica y documentar las comunicaciones.

Casos prácticos y recomendaciones concretas

Acceso a sedes electrónicas

Al operar con sedes electrónicas de administraciones públicas, es habitual que cada certificado esté ligado a una persona. Usar la credencial de otro puede invalidar comunicaciones o solicitudes. Cuando exista necesidad legítima de actuación en nombre de otro, usar mecanismos de representación admitidos por la sede electrónica o solicitar que el propio organismo registre la delegación.

Firmas de documentos

Si un documento debe estar firmado por una persona concreta, no sustituir la firma por la de otro con su certificado. En tareas internas, valora soluciones que permitan firmar en nombre del cargo (certificados de entidad o de representación) en lugar de compartir certificados personales.

Acceso a servicios corporativos

Para sistemas internos, implantar autenticación basada en identidad federada o SSO combinada con MFA evita la necesidad de compartir certificados personales. Controlar el ciclo de vida de certificados y aplicar caducidades cortas reduce el impacto de una posible fuga.

Checklist rápida antes de autorizar el uso de un certificado ajeno

• ¿Existe autorización escrita y comprobable del titular?
• ¿El certificado permite la operación (Key Usage/EKU)?
• ¿Se ha verificado que no esté revocado ni caducado?
• ¿La acción quedará registrada y trazable?
• ¿Se limitará la duración y el alcance del uso autorizado?
• ¿Se ha optado por alternativas sin transferir la clave privada (delegación, soluciones centralizadas)?

Usar certificados ajenos puede parecer una solución puntual para resolver urgencias, pero los riesgos superan con frecuencia los beneficios aparentes. Implementar controles técnicos, procedimientos de delegación y formación reduce la probabilidad de incidentes y protege tanto a las personas como a la organización. Cuando existan dudas sobre requisitos de representación o validez en un trámite concreto, conviene verificar la información en la sede electrónica o con el organismo correspondiente antes de proceder.