Quién ve qué, quién hizo qué y cómo se demuestra después

Un permiso no es una llave de luz. Acá son 315, repartidos en 66 módulos, y se dan o se sacan de a uno: quién ve qué cámara, quién exporta video y quién no puede hacer nada más que mirar. Vienen ocho perfiles hechos —administrador, operador, auditor, supervisor, técnico y alguno más—, y quien precise otro los duplica y los recorta, sin límite. Arriba del permiso está el alcance: sobre qué sede, sobre qué cámara, sobre qué caso, con fecha de vencimiento y con aviso una semana antes de que venza. Y hay una regla escrita en la propia pantalla: si un grupo niega algo, esa negativa gana siempre, aunque el perfil lo conceda. Eso es lo que permite dar un perfil amplio y recortarlo para un grupo concreto sin inventar un perfil nuevo.

Se escribe y no se toca más: el registro de auditoría solo admite agregar. Y no lo promete el programa, lo impone el propio almacén de datos, que rechaza cualquier intento de modificar o borrar un asiento a mano, venga de quien venga. En una instalación andando eso son 489 acciones distintas que quedan escritas: entradas y salidas, cambios de permiso, la apertura de una grabación, el movimiento de una cámara, exportaciones, cambios de configuración. De cada una quedan 27 datos —quién, qué, sobre qué, desde qué dirección, cómo estaba antes y cómo quedó después—, y una huella la ata con la anterior. Un botón recorre la cadena entera y contesta si está íntegra o en qué asiento y en qué fecha se cortó. Y el registro se sella por períodos, para que dentro de dos años se pueda contrastar el estado que tenía hoy.

Los datos personales se tratan por tipo, no en bloque. Cada tabla lleva su plazo con su base legal escrita al lado, y una pasada de madrugada los aplica sola y deja rastro de lo que borró; antes de armarla se puede correr en simulacro, que no borra nada y muestra lo que caería. Las siete solicitudes que puede presentar una persona —acceso, rectificación, supresión y las demás— tienen su pantalla, su plazo y su aviso cuando el vencimiento se acerca, y cualquier usuario presenta la suya desde su perfil. Una brecha de seguridad se abre con su reloj de 72 horas a la vista, y el panel destaca las que ya lo pasaron. Las zonas privadas de una cámara van en negro para todos, y destaparlas pide motivo escrito, una segunda persona que lo apruebe y un tiempo limitado. Los datos biométricos llevan plazo propio, separado del video, y la pantalla avisa por escrito de que alargarlo aumenta la exposición legal, en vez de dejar que se alargue sin que nadie diga nada.

El cumplimiento se lleva como una lista, no como un discurso. De un lado, los 79 controles del Esquema Nacional de Seguridad de nivel alto, que es el marco de seguridad de la Administración pública española; del otro, los 93 del anexo A de ISO 27001, que es internacional. Cada control con su estado, sus evidencias, la fecha de la última revisión y el nombre de quien la hizo, y los dos marcos cruzados entre sí, así que una sola declaración de aplicabilidad contesta las dos auditorías. Están además el registro de los sistemas de inteligencia artificial en uso y una cola donde una persona revisa decisiones de la máquina y las confirma, las anula o las escala. Y conviene decir qué no es esto: el producto trae el trabajo hecho para ayudar a cumplir esos marcos, pero no está certificado ni homologado en ninguno. Se certifica la organización que explota el sistema, con sus procesos y sus instalaciones, y lo que aporta IRIS son las pruebas para lograrlo. La única homologación de un tercero que sí tenemos es la del conteo de personas ante el Centro Español de Metrología, el instituto nacional de metrología de España; eso no equivale a una homologación paraguaya y no lo presentamos como tal.

Descubrir la avería el día en que hace falta el video es lo que sale caro. Por eso hay un panel que clasifica cada cámara —conecta, sin imagen, apagada a propósito, sin medir, sin vigilar—, dice desde cuándo está así, cuántos cortes lleva en las últimas 24 horas y en los últimos siete días, y cuál fue el más largo. Con los servicios y los servidores el criterio es el mismo: cuando algo falla no se prende un ícono rojo, se escribe el motivo, y el motivo separa el no está en marcha del lleva horas sin refrescarse, del responde pero no produce y del se apagó a propósito. Hay además un diagnóstico para las fallas mudas, las que nunca dan error: dos servicios peleando por el mismo puerto, un cambio de base de datos sin aplicar, un proceso de vigilancia detenido. Y una decisión que dice mucho del producto: lo que no se midió no se pinta de verde. No es lo mismo que no haya averías que no haber podido comprobarlo, y acá las dos cosas se distinguen.

Toda la configuración vive adentro del sistema y se toca desde el navegador: 1.524 valores repartidos en 44 servicios —cámaras, almacenamiento, red, plazos, idiomas y zonas horarias— sin un solo archivo que editar y sin entrar al servidor. Cada cambio guarda quién lo hizo y cuándo, y cada parámetro está documentado adentro de la propia plataforma: qué gobierna, en qué unidad, cuál es su valor de fábrica y qué pasa si se pone en cero, que no siempre significa infinito. El inventario de certificados es de la misma escuela: los lista todos, avisa de los que vencen y levanta por su cuenta dos advertencias que casi nadie escribe en un folleto: que se está sirviendo con el certificado de fábrica, que es el mismo en todas las instalaciones, y que hay direcciones de la máquina que no figuran en ningún certificado. Renovar uno vuelve a pedir la contraseña del administrador, porque tener la sesión abierta no alcanza para cambiar un certificado, y antes de tocar nada se guarda copia de lo que había. Son detalles chicos, y son justo los que se extrañan a los seis meses.