Escucha este artículo
Audio generado con IA de Google
0:00
/
0:00
Paola Herrera estrenó columna en Cambio con un justificado reclamo al derecho que tenemos de controlar las elecciones para comprobar que nuestro voto se cuenta por quien lo damos y que se hace con garantía de secreto. Comparto completamente sus preguntas, pido un cambio de cultura en la Organización Electoral y rechazo la liviandad de la respuesta de Indra.
Su columna se basa en un hecho irrefutable: hubo manipulación de resultados electorales en 2014. Efectivamente, en 2018 el Consejo de Estado (radicado 11001-03-28-00-2014-00117-00) devolvió tres curules al Partido Mira porque, entre otras cosas, pudo comprobar problemas en el software de escrutinio.
En su demanda el Partido Mira mostró que hubo diferencias entre los formularios que llenaron los jurados de votación (E14) y los que llenaron las comisiones escrutadoras (E24) que terminaban en cambios injustificados en el acta de consolidación de resultados. Es decir, los votos y el escrutinio no coincidían y en el medio estaba el software.
Tanto el Consejo Nacional Electoral (CNE) como en la Registraduría, en su momento, hicieron eco del informe del Cuerpo Técnico de Investigaciones (CTI) que concluyó que no era posible establecer si el sistema impedía manipulación externa. Aun así, para el Consejo de Estado si bien no era posible determinar exactamente la manipulación, los logs del sistema sí permitían determinar hallazgos que servían de evidencia de sabotaje.
El Consejo de Estado también ordenó que la Organización Electoral adquiera la capacidad para controlar la tecnología: deberá contar con toda la infraestructura completa y necesaria para resguardar la información de la actividad electoral y así poder reconstruir lo sucedido de manera veraz, ágil y fidedigna. Para ello pidió adquirir en propiedad el software de escrutinio.
En cumplimiento de una parte de esta sentencia, en diciembre de 2021 la Registraduría contrató con Indra, en un proceso express, la adquisición del software de escrutinio nacional para la Organización Electoral. Pero no es el único contrato que tiene de software de escrutinios: con Unión Temporal Disproel (que es para todos los softwares del proceso electoral menos el de Indra) está el de escrutinio de niveles inferiores.
Es decir, desde 2022 tenemos dos softwares de escrutinios: uno que cuenta los votos en las regiones y otro que consolida la votación a nivel nacional. Uno que controla Disproel y otro que controla Indra. Uno que cuenta los E14 y los E24 zonales y municipales y otro que se ocupa de los E24 de nivel departamental o distrital, de los datos de consulados y de generar las actas de consolidación de resultados.
Entonces, no sólo es legítima sino también razonable la preocupación de la periodista, incluso si tiene algunas imprecisiones técnicas. El registrador debe garantizar que haya controles externos sólidos, debe asegurarse de que “los softwares” que contrató y adquirió superen controles externos y ofrecer el tiempo suficiente para realizar las pruebas que sean necesarias sobre su uso y eficiencia, de forma que podamos confiar en su utilización.
A la columna de Herrera respondió Indra -que al fin y al cabo es la que hace y controla el software- pero no explicando cómo son las pruebas y mostrando los resultados. Su respuesta fue afirmar que tiene experiencia, que no ha tenido problemas en el pasado y que cumple con los estándares de seguridad, de modo que el software tendrá integridad, confidencialidad, disponibilidad, autenticidad y trazabilidad. Es decir: nos promete que todo está bien y nos pide que tengamos fe.
El problema es que el derecho al voto no puede depender de un acto de fe. La Organización Electoral (la Registraduría, pero también el CNE) están obligadas a decir cómo garantizan la integridad y el secreto de cada voto y a ofrecer transparencia. También importa quién lo haga.
Con tecnología no bastan controles de tipo observación “al ojo” -como observaciones técnicas en tiempo real, que es lo que tenemos desde hace unos años y que la Registraduría confusamente llama auditoría-. Necesitamos también espacios para que los diversos expertos puedan confirmar que la cosa marcha como está previsto, para que puedan advertir sobre problemas concretos y sugerir ajustes -auditorías independientes, técnicas, externas y que responden a la ciudadanía, eso hasta ahora no lo hay-.
Por otra parte, la respuesta de Indra es un despropósito. Configuró el ejemplo de manual para hablar del “tabú de la vulnerabilidad”. Según la OCDE tienen este tabú las organizaciones que se aproximan a la seguridad digital como “un estado ideal en el que no hay vulnerabilidades. Hacen afirmaciones de marketing de que sus productos o sistemas son seguros y protegidos; por tanto, clientes y personas usuarias deberían confiar en ellas”. ¿No les suena parecido?
Para la OCDE el éxito de la transformación digital supone superar ese tabú, cambiarlo por una cultura que reconozca los tres aspectos fundamentales de la seguridad digital: (1) todos los productos que contienen código también tienen vulnerabilidades, (2) todos los sistemas de información tienen una alta probabilidad de contener vulnerabilidades relacionadas con mala configuración o software sin parches y (3) es una ilusión creer que los productos o sistemas digitales pueden ser perfectamente seguros. El cambio cultural modifica la aproximación al reporte de vulnerabilidades. Ya no es una amenaza: es cooperación. Ese es el estándar internacional promovido por la OCDE.
Del lado de la demanda (las personas usuarias, las audiencias, la ciudadanía) la OCDE dice que también hay que cambiar, dejar de creer en afirmaciones poco realistas de “seguridad y protección”. Si las personas cambian, las organizaciones proveedoras de los sistemas lo harán, dejarán de esconderse tras una promesa que no tiene sentido.
Si desde diferentes ángulos del espectro ideológico se advierte que puede haber fraude, y aumentan las peticiones por controles, es hora de intentar otra aproximación. El acto de fe ya no convence; hay que superar el tabú, demostrar los cuidados y abrazar los controles.
Nota. A menos de dos meses de los comicios sabemos tan poco de los controles que el registrador delegado Farfán dijo que la Universidad Nacional acompañaría la auditoría interna del contrato de Indra. Sin embargo, cuando le preguntamos, esa Universidad nos respondió que no tenían ningún acuerdo con Indra. ¿Cuál será la institución educativa entonces?