Quién ve qué, quién hizo qué y cómo se demuestra después

Un permiso aquí no es un interruptor grande. Son 315 permisos repartidos en 66 módulos, que se dan y se quitan de uno en uno: quién ve qué cámara, quién exporta video, quién no puede hacer nada más que mirar. Ocho perfiles vienen ya hechos —administrador, operador, auditor, supervisor, técnico y algunos más—, y quien necesite otro duplica uno y lo recorta, sin límite. Encima del permiso está el alcance: sobre qué sitio, sobre qué cámara, sobre qué caso, con fecha de vencimiento y con aviso una semana antes. Y hay una regla escrita en la propia pantalla: si un grupo niega algo, esa negación gana siempre, aunque el perfil lo conceda. Es lo que permite dar un perfil amplio y recortarlo para un grupo concreto sin inventarse un perfil nuevo.

Al registro de auditoría nada más se le agrega: se escribe y ya no se toca. Eso no lo promete el programa, lo impone el propio almacén de datos, que rechaza cualquier intento de modificar o de borrar un asiento a mano, venga de quien venga. Cada asiento guarda 27 datos —quién, qué, sobre qué, desde qué dirección, cómo estaba antes y cómo quedó después— y se ata al anterior con una huella. En una instalación corriendo eso son 489 acciones distintas registradas: entradas y salidas, cambios de permiso, la apertura de una grabación, el movimiento de una cámara, exportaciones, cambios de configuración. Un botón recorre la cadena completa y contesta si está íntegra o en qué asiento y en qué fecha se rompió. El registro se sella además por períodos, para que dentro de dos años se pueda contrastar el estado que tenía hoy.

Los datos personales se tratan por tipo, no en bloque. Cada tabla lleva su plazo con su motivo escrito al lado, y una pasada nocturna lo aplica sola y deja rastro de lo que borró; antes de ponerla a correr se puede probar en seco, que no borra nada y enseña lo que caería. Los siete tipos de solicitud que puede presentar una persona —acceso, corrección, supresión y los demás— tienen su pantalla, su plazo y su aviso cuando el vencimiento se acerca, y cualquier usuario presenta la suya desde su perfil. Una brecha de seguridad se abre con su propio reloj a la vista, con el plazo que tu organización haya fijado, y el panel destaca las que ya lo pasaron. Las zonas privadas de una cámara van en negro para todos, y descubrirlas exige motivo escrito, una segunda persona que lo apruebe y un tiempo limitado. Los datos biométricos llevan plazo propio, separado del video, y la pantalla avisa por escrito de que alargarlo aumenta tu exposición, en vez de dejar que se alargue sin que nadie diga nada.

El cumplimiento se lleva como una lista, no como un discurso. Están los 93 controles del anexo A de la norma ISO 27001, que es internacional y significa lo mismo en cualquier país, y los 79 del Esquema Nacional de Seguridad de nivel alto, que es el reglamento de seguridad del Estado español: aquí no es una casilla que se marque, es una auditoría de estado más dura que la de casi cualquier licitación, y por eso se enseña como evidencia de rigor y no como sello local. Cada control lleva su estado, sus evidencias, la fecha de la última revisión y quién la hizo; los dos marcos van cruzados, así que una sola declaración de aplicabilidad contesta a las dos auditorías. Hay además un registro de los sistemas de inteligencia artificial en uso y una fila donde una persona revisa decisiones de la máquina y las confirma, las anula o las escala. Y conviene decir lo que esto no es: IRIS está hecho para ayudar a cumplir esos marcos, pero no está certificado ni homologado en ninguno. Quien se certifica es la organización que opera el sistema, con sus procesos y sus instalaciones; lo que aporta el producto son las pruebas para conseguirlo. La única homologación de un tercero que sí tenemos es la del conteo de personas ante el Centro Español de Metrología, el instituto nacional de metrología de España, y no equivale a ninguna certificación estadounidense.

La falla que sale cara es la que se descubre el día que hace falta el video. De ahí el panel que clasifica cada cámara —conecta, sin imagen, apagada a propósito, sin medir, sin vigilar— y dice desde cuándo está así, cuántos cortes lleva en las últimas 24 horas y en los últimos siete días, y cuál fue el más largo. Con los servicios y los servidores el criterio es el mismo: cuando algo falla no se prende un icono rojo, se escribe el motivo, y el motivo distingue entre no está corriendo, lleva horas sin refrescarse, responde pero no produce y se apagó a propósito. Hay además un diagnóstico que caza las fallas mudas, las que nunca dan error: dos servicios peleando por el mismo puerto, un cambio de base de datos sin aplicar, un proceso de vigilancia detenido. Y una decisión que dice mucho del producto: cuando algo no se midió, la pantalla no lo pinta en verde. No es lo mismo que no haya fallas que no haber podido comprobarlo, y aquí se separan las dos cosas.

Toda la configuración vive dentro del sistema y se toca desde el navegador: 1,524 valores repartidos en 44 servicios —cámaras, almacenamiento, red, plazos, idiomas y husos horarios— sin un solo archivo que editar y sin entrar al servidor. Cada cambio guarda quién lo hizo y cuándo, y cada parámetro está documentado dentro de la propia plataforma: qué gobierna, en qué unidad, cuál es su valor de fábrica y qué pasa si se pone a cero, que no siempre significa infinito. El inventario de certificados es de la misma escuela: los enumera todos, avisa de los que vencen y levanta por su cuenta dos advertencias que casi nadie escribe en un folleto: que se está sirviendo con el certificado de fábrica, que es el mismo en todas las instalaciones, y que hay direcciones de la máquina que no figuran en ningún certificado. Renovar uno vuelve a pedir la contraseña del administrador, porque tener la sesión abierta no basta para sustituir un certificado, y antes de tocar nada se guarda copia de lo que había. Son detalles chicos, y son justo los que se extrañan a los seis meses.