Guía de 9 pasos para elegir el mejor software de verificación de identidad

Si usted le pregunta a cualquier experto forense cómo verificar documentos de identidad de forma confiable, probablemente le dará la siguiente respuesta: ante todo, asegúrese de tener el documento físico a mano. Sin embargo, la realidad suele estar muy lejos de ese ideal. Frente a la transformación digital, el proceso de captura determina en gran medida la credibilidad de la comprobación.

En la etapa de captura, una solución de verificación de identidad debería manejar dos cosas:

• reconocer el documento enviado

• y evaluar su calidad.

El problema es que las soluciones de software utilizan las capacidades del dispositivo del usuario y dependen de la precisión del usuario al tomar fotos. Una cámara de baja calidad, iluminación deficiente, reflejos o una imagen inclinada dificultan la lectura de la información. Esto puede provocar errores o hacer que se pida a los usuarios volver a tomar fotos una y otra vez hasta cumplir los requisitos de calidad.

Las mejores soluciones pueden evaluar la calidad de una imagen y ajustarla si es necesario: corregir brillo o contraste, eliminar reflejos o enderezar la foto si fue tomada en ángulo.

En cuanto al reconocimiento del tipo de documento, en su mayoría es una cuestión de UX. Lamentablemente, muchas soluciones de verificación de identidad aún agregan dos pasos adicionales en el recorrido del usuario: “elija su tipo de documento” y “elija su país”.

Usted puede evitar que sus usuarios tengan que hacer clics adicionales y escribir información al elegir una solución que identifique el tipo de documento y su país de origen. Por simple que parezca, estas capacidades requieren que el proveedor invierta mucho tiempo, dinero y esfuerzo en crear una base de datos integral de plantillas de documentos (lo analizaremos en detalle en el Paso 5). Por ahora, dejemos una nota mental: idealmente, su solución de verificación de identidad debería hacer la mayor parte del trabajo de forma automática.

• ¿Su solución identifica el tipo de documento automáticamente?

• ¿Evalúa la calidad de la imagen del documento? ¿Cuáles son los criterios?

• ¿Puede mejorar la calidad de la imagen para aumentar la legibilidad de los datos?

Las soluciones de verificación de identidad deben cumplir con las directrices de la OACI y del BSI para comprobar documentos internacionales, visas, etc. Sin embargo, para los documentos de identidad nacionales puede haber variantes propias en la implementación de elementos de seguridad que requieren comprobaciones específicas.

Idealmente, una solución de verificación de identidad debería ofrecer una comprobación para cada aspecto: tanto las características internacionales estandarizadas como las particularidades locales. Cuanto más densa sea la cobertura de comprobaciones, más creíble será la conclusión sobre la autenticidad y validez del documento.

Usted puede considerar que un proveedor ofrece un desempeño de primera clase cuando su solución realiza una larga lista de comprobaciones y, además, ejecuta comprobaciones cruzadas masivas que comparan los datos de distintos elementos para asegurarse de que coincidan.

• Identificación automática del tipo de documento

• Verificación de la zona de inspección visual

• Validación de la MRZ

• Lectura y validación del tipo y formato de códigos de barras

• Comprobación liveness de documentos (incluye comprobaciones de hologramas y detección de capturas de pantalla)

• Detección y lectura del chip RFID

• Comprobaciones cruzadas de los datos obtenidos de distintos elementos

Descargue la lista completa de comprobaciones de documentos requeridas [PDF, 6 páginas, 337Kb, idioma inglés]

Un chip de identificación por radiofrecuencia — o simplemente RFID — es un dispositivo diminuto que contiene los documentos de identidad electrónicos modernos. Los chips RFID almacenan los datos del titular del documento. La OACI (Organización de Aviación Civil Internacional) regula estrictamente la lista exacta de datos codificados en el chip.

Por lo general, leer esta información implica utilizar lectores especiales de pasaportes o tecnología NFC integrada en teléfonos móviles. Usted debe ser especialmente cuidadoso si se trata de lo segundo. En un proceso remoto, existe el riesgo de que los defraudadores intercepten y modifiquen los resultados de la verificación. Por eso, un buen proveedor debe aplicar un enfoque de cero confianza en dispositivos móviles.

En la práctica, es necesario volver a verificar los datos para asegurarse de que el chip no haya sido clonado ni que su información haya sido manipulada.

A continuación, se muestra un ejemplo de cómo Regula aborda este tema. Las sesiones RFID pueden volver a verificarse del lado del servidor, además de las comprobaciones realizadas en los dispositivos móviles. Gracias a esto, es imposible comprometer los datos de la comprobación. Todo esto se hace estrictamente in situ: los resultados de la sesión de verificación se almacenan en el servidor del cliente, por lo que es posible consultarlos posteriormente. Este enfoque se considera la forma más confiable y segura de verificar un documento con un chip NFC.

• ¿Su solución de verificación de identidad lee y verifica un chip RFID?
• ¿Puede leer la información codificada en el chip?
• ¿Aplica un enfoque de cero confianza en dispositivos móviles? Si es así, ¿cómo funciona exactamente en su solución?

Validar el documento de identidad es solo una parte de la verificación de identidad. La otra parte consiste en asegurarse de que la persona que lo presenta sea el titular legítimo. Esto se realiza con ayuda de comprobaciones biométricas.

La biometría es un término amplio que puede implicar una amplia gama de comprobaciones: rostro, huellas dactilares, voz o incluso reconocimiento de iris. La mayoría de ellas es excesiva para el onboarding digital de un negocio común, pero las autoridades estatales pueden exigirlas, por ejemplo, al solicitar una visa. La forma más común de realizar una comprobación biométrica en el ámbito empresarial es mediante biometría facial.

El proceso es simple: el usuario se toma una selfie; luego, la tecnología compara esa foto con las fotos del documento de identidad enviado (por ejemplo, en la zona de inspección visual y en el chip RFID) y marca si hay algo incorrecto.

La característica esencial de un módulo adecuado de reconocimiento facial es la prueba de vida. Esto significa que usted no solo necesita determinar que se trata de la misma persona en las fotografías, sino también asegurarse de que la selfie sea real. A veces, los atacantes intentan hacer pasar una foto editada como si fuera una selfie real. A veces, pueden usar distintas máscaras e incluso tecnología deepfake. Una buena solución de verificación de identidad debería poder detectar estos casos.

Existen dos tipos de verificación de prueba de vida: pasiva y activa. Una comprobación pasiva implica el uso de una selfie estática, mientras que la prueba de vida activa requiere que el usuario realice una serie de movimientos simples: girar la cabeza, acercarse o alejarse, etc. Naturalmente, una prueba de vida activa es un método más avanzado y confiable.

• ¿Usted ofrece autenticación biométrica?
• ¿Qué componentes incluye (detección facial, comprobación de los rostros, búsqueda facial, verificación de edad, etc.)?
• ¿Usted proporciona comprobaciones de prueba de vida activa o pasiva?
• ¿De qué tipos de PAD (fraude biométrico) protege?

Las tecnologías de vanguardia por sí solas no son suficientes para una verificación de identidad exhaustiva. La verificación de identidad más confiable requiere un conocimiento profundo de los documentos de identidad. Esto suele presentarse en forma de una base de datos de plantillas de documentos que contiene información detallada de cada documento: diseño, campos, métodos de registro de datos, elementos de seguridad y más.

Reunir una colección de este tipo requiere enormes recursos y una sólida experiencia en análisis forense de documentos.

Idealmente, su proveedor debería contar con expertos forenses experimentados en su equipo para garantizar la integridad de las plantillas y un mantenimiento competente de la base de datos. La importancia de esto no puede exagerarse. Si el proveedor ha examinado a fondo miles de tipos de documentos, sus soluciones de software pueden distinguir fácilmente uno de otro, leerlos completamente y extraer los datos necesarios y, por lo tanto, verificarlos de manera efectiva.

La base de datos debe ser extensa, ya que incluso dentro de un mismo país pueden existir múltiples versiones de un documento según la fecha de emisión. Considerando la renovación y reemisión frecuente de documentos de identidad, la base de datos también debe actualizarse con regularidad.

La cooperación con organizaciones internacionales y agencias de seguridad también es un punto a favor del proveedor. Las relaciones establecidas les ayudan a ampliar regularmente la base de datos con nuevos tipos de documentos y a compartir mejores prácticas en la detección de fraude documental.

• ¿Cuánto tiempo lleva operando en la industria de verificación de identidad?
• ¿Hay expertos en su equipo con experiencia práctica como analistas forenses?
• ¿Usted tiene una base de datos de plantillas de documentos? ¿Cuántos elementos incluye?
• Si un documento no está en la base de datos, ¿cuánto tiempo tarda en añadirse?
• ¿Es propietaria o se compra a terceros?

La confiabilidad y la exhaustividad de las comprobaciones están muy bien, pero no serán de ayuda si el proceso de integración se prolonga demasiado y dispara su presupuesto. La presión proviene de varios frentes.

Por un lado, están los reguladores, cuyos requisitos conviene cumplir lo antes posible. Por otro lado, también están su producto y sus flujos de trabajo, que probablemente exigirán cierta personalización por parte de la solución de verificación de identidad. A esto se suma una curva de aprendizaje que, para algunas soluciones, puede ser bastante pronunciada y, por lo tanto, prolongada.

• ¿Es posible integrar su solución en una aplicación web?
• ¿Qué tan rápido podremos estar operando?
• ¿Cómo es el proceso de integración?
• ¿Qué opciones de personalización ofrece su solución? ¿Están disponibles de forma inmediata o requerirán configuración/costos adicionales?

Independientemente del sector, proteger los datos de los clientes es de suma importancia. Por lo tanto, es crucial averiguar cómo su proveedor de verificación de identidad aborda este tema. Cuando se trabaja con información de identificación personal (PII) de los clientes durante la verificación de identidad, existen dos enfoques principales:

1. Un escenario de Software como Servicio (SaaS), en el que los proveedores gestionan el almacenamiento y el procesamiento de los datos de los clientes en su propia infraestructura.

2. Un enfoque on-premises, en el que usted almacena y procesa la PII de sus clientes dentro de su propio perímetro seguro.

Si bien el caso de uso SaaS puede ahorrarle tiempo y los gastos asociados con proteger los datos por su cuenta, es aún más crítico examinar a fondo los procedimientos del proveedor en materia de seguridad y protección de los datos del cliente. Las filtraciones de datos no son poco comunes.

Una opción in situ pone mayor énfasis en la privacidad y la seguridad de los datos. Dado que terceros no tienen acceso a la PII, se reduce el riesgo de filtraciones. Sin embargo, la protección adicional tiene un costo. El mantenimiento de la infraestructura y la confiabilidad para seguir las políticas de seguridad recaen en usted, por lo que necesitará presupuestar recursos para ingeniería y capacitación en seguridad para los empleados.

• ¿Qué tipo de solución ofrece: en la nube o en situ?
• ¿Usted recopila y almacena los datos personales de los usuarios finales?

Si es nube…

• ¿Qué certificaciones tiene su servicio? (por ejemplo, SOC1 tipo 2, HIPAA, etc.)
• ¿Dónde puedo leer su política de seguridad?
• ¿Cuál es el tiempo de disponibilidad de su servicio?

Los vendedores pueden ser muy receptivos antes de concretar la venta, pero la verdadera cara de una empresa se ve cuando un cliente enfrenta dificultades o tiene una solicitud. Si un proveedor puede ofrecer soporte técnico rápido y profesional, usted ahorra mucho tiempo, esfuerzo y dolores de cabeza.

Idealmente, es bueno contar con más de una forma de contactar al soporte: por teléfono, correo electrónico, chat en vivo o mensajería. En la mayoría de las empresas, los canales de comunicación adicionales vienen con la opción de soporte premium. Dicho soporte puede incluir un gerente dedicado y la posibilidad de comunicarse con el equipo del proveedor en tiempo real, 24/7.

Si esta opción no está disponible, preste atención al SLA de tiempo de respuesta. Este es el tiempo en el que el proveedor se compromete a responder al problema de un cliente. Por lo general, se define en la política de soporte.

En cuanto a los casos en los que un cliente necesita asistencia fuera del horario laboral, el sitio web del proveedor debe ofrecer todas las instrucciones esenciales, guías y preguntas frecuentes. Una documentación integral debería responder al 90% de las preguntas, así que preste atención a qué tan completa es, si incluye ejemplos de demostración, con qué frecuencia se actualiza y si está localizada a su idioma.

• ¿Cuál es su tiempo de respuesta para solicitudes de soporte?
• ¿Usted tiene una opción de soporte premium?
• ¿La documentación de soporte es completa y fácil de navegar?

Si usted completó los ocho pasos anteriores, puede confiar con seguridad en los resultados. Aun así, siempre es una buena idea buscar pruebas sociales adicionales de empresas que ya han tenido éxito en lo que usted intenta lograr. 

Aquí, le recomendamos realizar su propia investigación y encontrar tantas reseñas sobre el proveedor como sea posible. La primera fuente de información suele ser la sección de casos de estudio en el sitio web del proveedor. Allí, usted puede buscar historias de clientes de su sector y encontrar casos de uso relevantes. Por ejemplo, si usted es una plataforma cripto que busca implementar KYC, entonces casos relacionados con KYC de bancos también le brindarán información valiosa.

Además, preste atención a quiénes son los clientes actuales del proveedor. La presencia de nombres reconocidos es una buena señal. Si el proveedor tiene organizaciones a nivel estatal y agencias de seguridad, como controles fronterizos, entre sus clientes, también es muy positivo, porque tienen los requisitos más estrictos para la verificación de identidad.

Asimismo, usted puede investigar qué dice la prensa sobre distintos proveedores. Considere explorar no solo recursos denominados de primer nivel, como The New York Times o Business Insider, sino enfocarse más en publicaciones específicas del sector que se especializan en cubrir la verificación de identidad y la ciberseguridad. Este enfoque ampliará su investigación y proporcionará una comprensión más completa de la reputación de distintos proveedores. Entre estos medios se encuentran:

• Biometric Update

• Help Net Security

• Infosecurity Magazine

• Source Security

• BetaNews

• Identity Week

• Find Biometrics, entre otros.

• ¿Existen referencias disponibles en fuentes abiertas de clientes de mi industria? ¿El proveedor puede proporcionar esas referencias a solicitud?
• ¿Existen casos de uso relevantes en las historias de éxito de clientes del proveedor?
• ¿Hay menciones del proveedor en medios del sector y/o de primer nivel?

Ahí lo tiene: nuestra guía de 9 pasos para elegir el mejor software de verificación de identidad. Ahora, nos gustaría escucharle. 

¿Hay aspectos complejos con los que usted esté teniendo dificultades?

¿O quizá ya completó algunos de los pasos y elaboró una lista corta de proveedores? 

De cualquier manera, háganoslo saber poniéndose en contacto en LinkedIn o haciendo clic en “Contáctenos” aquí mismo.