Quién ve qué, quién hizo qué y cómo se demuestra después

Un permiso acá no es un interruptor grande: son 315, repartidos en 66 módulos, y se dan y se quitan uno por uno. Con eso se decide quién alcanza qué cámara, quién puede exportar video y quién no puede hacer nada más que mirar. Para no empezar de cero vienen ocho perfiles hechos —quien administra, quien opera, quien audita, quien supervisa, quien da soporte técnico y algunos más—, y quien necesite otro duplica uno y lo recorta, sin límite. Encima del permiso viene el alcance: sobre qué sede, sobre qué cámara, sobre qué caso, con fecha de vencimiento y con aviso una semana antes. Y hay una regla escrita en la propia pantalla, que es la que hace todo esto manejable: cuando un grupo deniega algo, esa denegación gana siempre, aunque el perfil lo conceda. Así se da un perfil amplio y se recorta para un colectivo concreto sin inventar un perfil nuevo.

Escribir sí, tocar no: el registro de auditoría solo admite agregar. Y eso no es una promesa del programa, es una regla del propio almacén de datos, que rechaza cualquier intento de modificar o de borrar un asiento a mano, venga de quien venga. Cada asiento se ata al anterior con una huella y guarda 27 datos: quién, qué, sobre qué, desde qué dirección, cómo estaba antes y cómo quedó después. En una instalación corriendo eso son 489 acciones distintas registradas —entradas y salidas, cambios de permiso, la apertura de una grabación, el movimiento de una cámara, exportaciones, cambios de configuración—. Un botón recorre la cadena completa y contesta si está íntegra o en qué asiento y en qué fecha se rompió. Y el registro se sella por períodos, para que dentro de dos años se pueda contrastar el estado que tenía hoy.

Acá los datos personales no se tratan en bloque: se tratan por tipo, y cada tabla lleva su plazo con su base legal escrita al lado. Una pasada de madrugada los aplica sola y deja traza de lo que borró; y antes de armarla se puede lanzar en simulacro, que no borra nada y enseña lo que caería. Las siete solicitudes que puede presentar una persona —acceso, rectificación, supresión y las demás— tienen cada una su pantalla, su plazo y su aviso cuando el vencimiento se acerca, y cualquier usuario presenta la suya desde su propio perfil. Una brecha de seguridad se abre con su reloj de 72 horas a la vista, y el panel destaca las que ya lo pasaron. Las áreas privadas de una cámara van en negro para todo el mundo, y descubrirlas exige motivo escrito, una segunda persona que lo apruebe y un tiempo limitado. Y los datos biométricos llevan plazo propio, separado del video: la pantalla avisa por escrito de que alargarlo aumenta la exposición legal, en vez de dejar que se alargue sin que nadie lo diga.

El cumplimiento se lleva como una lista, no como un discurso. Están los 79 controles del Esquema Nacional de Seguridad de nivel alto —que es el marco español— y los 93 del anexo A de la norma ISO 27001, cada uno con su estado, sus evidencias, la fecha de la última revisión y quién la hizo; los dos marcos van cruzados, así que una sola declaración de aplicabilidad responde a las dos auditorías. Hay además un registro de los sistemas de inteligencia artificial en uso y una fila donde una persona revisa decisiones de la máquina y las confirma, las anula o las escala. Y conviene decir lo que esto no es: acá el diseño ayuda a cumplir esos marcos, pero el producto no está certificado ni homologado en ninguno de ellos. Quien se certifica es la organización que opera el sistema, con sus procesos y sus instalaciones; lo que aporta el producto son las pruebas para conseguirlo. La única verificación de un tercero que sí existe es la del conteo de personas con el Centro Español de Metrología, el instituto nacional de metrología de España, que no es una homologación guatemalteca ni la sustituye.

La falla que sale cara es la que se descubre el día que hace falta el video. Por eso hay un panel que clasifica cada cámara —conecta, sin imagen, apagada a propósito, sin medir, sin vigilar— y dice desde cuándo está así, cuántos cortes lleva en las últimas 24 horas y en los últimos siete días, y cuál fue el más largo. Con los servicios y los servidores pasa igual: cuando algo falla no se pinta un ícono rojo, se escribe el motivo, y el motivo distingue entre no está corriendo, lleva horas sin refrescarse, responde pero no produce y se apagó a propósito. Hay además un diagnóstico que caza las fallas mudas, las que nunca dan error: dos servicios peleando por el mismo puerto, un cambio de base de datos sin aplicar, un proceso de vigilancia detenido. Y una decisión que dice mucho del producto: cuando algo no se midió, la pantalla no lo pinta en verde. No es lo mismo que no haya fallas que no haber podido comprobarlo, y acá se distinguen las dos cosas.

Nada de esto pide entrar al servidor. Los 1,524 valores de configuración repartidos en 44 servicios —cámaras, almacenamiento, red, plazos, idiomas y husos horarios— viven adentro del sistema y se tocan desde el navegador, sin un solo archivo que editar. Cada cambio guarda quién lo hizo y cuándo, y cada parámetro está documentado en la propia plataforma: qué gobierna, en qué unidad, cuál es su valor de fábrica y qué ocurre si se pone en cero, que no siempre quiere decir infinito. El inventario de certificados es de la misma escuela: los enumera todos, avisa de los que vencen y levanta por su cuenta dos advertencias que casi nadie escribe en un folleto —que se está sirviendo con el certificado de fábrica, que es el mismo en todas las instalaciones, y que hay direcciones de la máquina que no figuran en ningún certificado—. Renovar uno vuelve a pedir la contraseña de quien administra, porque tener la sesión abierta no basta para sustituir un certificado, y antes de tocar nada se guarda copia de lo que había. Son detalles chiquitos, y son justo los que se extrañan a los seis meses.