Aegón

Portal del Mediador

Introducción
Aegón ya venía trabajando durante bastante tiempo con sus mediadores a través de Internet, bien con una aplicación a medida, bien con una aplicación Web, cuya solución de seguridad era lo más parecido a una red privada virtual. Aunque desde el punto de vista de la seguridad se conseguían los niveles máximos y es la solución más transparente de cara a las aplicaciones, contaba con un importante inconveniente: la instalación de una pieza software de seguridad en el ordenador del mediador, con los inconvenientes técnicos y económicos de despliegue y mantenimiento que esto suponía para Aegón.

La Solución de Aegón
Este hecho, junto con la inminente puesta en marcha de dos portales corporativos (www.e-business.aegon.es como portal de negocio y www.mediadores.aegon.es como portal para mediadores), obligó a rediseñar la solución de seguridad para el nuevo entorno puramente Web, en el se imponen los siguientes condicionantes:

· Solución de seguridad para Web, sin instalación de ningún componente de seguridad:

- Sin instalar la aplicación de seguridad cliente en el ordenador del usuario
- Sin instalar ningún certificado ni clave privada en ese ordenador

Para conseguir la ubicuidad y facilidad extrema de uso (lo que caracteriza el mundo Web).

· Con los niveles de seguridad máximos según el condicionante anterior:

- Autentificación fuerte del mediador a la entrada del portal, mediante firma digital
- Posibilidad de segundo factor de autentificación (contraseñas adicionales, tarjetas de password dinámica, etc)
- Control de la navegación del mediador una vez autentificado
- Firma digital de transacciones que se realicen, si se necesita

· Perfectamente integrado con la aplicación de negocio desarrollada, a través de servidores de aplicaciones habituales en el mercado.

Para ello, Aegón ha contado con el Grupo SIA para desplegar una solución de seguridad basada en Entrust TruePass, del fabricante canadiense Entrust (www.entrust.com).

Registro de mediadores
Aegón cuenta con un grupo de help desk para dar soporte a sus mediadores en la aplicación de seguridad. Este grupo se responsabiliza de dar de alta a los usuarios, lo que implica la generación de las credenciales y su almacenamiento en el repositorio centralizado custodiado por Entrust Roaming Server, así como de la resolución de las incidencias posteriores si aparecen. Para ambos cometidos utilizan la aplicación Entrust RA, que se encarga de administrar, de forma personalizada, todos los parámetros de Entrust Security Manager.

En el proceso de registro del mediador, desde Aegón se preconfigura un identificador de mediador así como un PIN de acceso a las credenciales recién generadas. Destacar que el PIN de protección de credenciales debe seguir la política corporativa de formato de PINs definida en Entrust Segurity Manager (normalmente se obliga un número mínimo de caracteres, una mayúscula, un número, etc) y evitar de esa forma la elección de contraseñas fácilmente adivinables.

Proceso de login Cuando el mediador desea entrar en la aplicación para profesionales de Aegón, necesita descargarse el applet TruePass. Para que esta descarga se realice de forma segura, previamente se debe establecer un canal seguro SSL con el fin de proteger tanto la descarga del propio applet como todos los mensajes posteriores intercambiados entre el applet y los servlets. Para el establecimiento de este canal SSL, sólo se requiere certificado de servidor Web.

Aegón, como viene siendo habitual, cuenta con los certificados de servidor Web de Entrust.net, (www.entrust.net), reconocidos de forma nativa por los navegadores habituales y con los que se pueden establecer canales de 128 bits.

El proceso de login del TruePass incluye dos pasos de autentificación:
1. Comprobación de validez de PIN y segundo factor de autentificación si lo hubiere.
2. Comprobación de no revocación del usuario y tenencia de claves privadas de firma mediante firma digital de números aleatorios.

Ambos procesos transparentes al usuario una vez que este introduce los datos necesarios.

Proceso de logout
Bien por que se cierre el navegador, bien porque se fuerce un logout, el applet, junto con las credenciales del mediador, desaparecen de la memoria de la máquina virtual Java. De esta forma, no se queda ni rastro del uso de la solución de seguridad.

Resultado Final
Para hacer llegar la solución a los más de 1.600 mediadores de Aegón, se ha necesitado un mes de desarrollo e integración y dos semanas de despliegue.

Con la nueva tecnología, la mejora en la calidad de servicio que perciben los mediadores, al utilizar aplicaciones fáciles y seguras, les posibilita optimizar su tiempo en realizar las labores propias de su profesión, sin malgastar su tiempo en problemas técnicos.

Del mismo modo, Aegón pone en marcha unas elevadas medidas de seguridad para las aplicaciones de mediadores reduciendo a la vez sus recursos, tanto materiales como humanos, empleados en dar soporte y mantenimiento de la solución de seguridad.

La solución de seguridad para mediadores que ya disfruta Aegón demuestra la idoneidad de los productos Entrust, en especial Entrust TruePass, para incorporar la seguridad necesaria en este tipo de entornos, donde los niveles de seguridad, facilidad de uso, integración con desarrollos Web y carga administrativa y de mantenimiento deben conseguir el equilibrio adecuado y realista.