Las personas suelen usar comprobación de identidad y verificación de identidad como sinónimos. No diríamos que están equivocadas, ya que, en realidad, hay una línea muy fina entre ambos términos.
Veámoslo.
Suscríbase para recibir un resumen quincenal del blog de Regula
Definición de comprobación de identidad
La comprobación de identidad es el proceso de asegurarse, con el mayor nivel de confianza posible, de que la persona que solicita un servicio, intenta cruzar una frontera, etc., es quien dice ser. Deben evaluarse muchos aspectos para prevenir todo tipo de amenazas a la comprobación de identidad, aunque el proceso generalmente requiere dos elementos clave:
Un solicitante real que proporciona sus atributos de identidad. Los atributos son determinadas características asociadas a una persona: nombre completo, fecha de nacimiento, dirección, etc. Las huellas dactilares y la biometría facial también son atributos de identidad.
Evidencia o prueba que conecte esos atributos con el individuo. Esto puede ser un pasaporte emitido por una autoridad, una tarjeta nacional de identidad, una eID o una firma digital. Según el contexto, también puede usarse otra evidencia, por ejemplo, información de identidad obtenida de un banco.
Dadas las distintas condiciones en las que se realiza la comprobación de identidad, puede presentarse en diferentes formatos específicos del contexto, tales como:
Requerir la presencia física de un solicitante. Por ejemplo, ese es el caso cuando usted quiere obtener una firma digital.
Formato remoto asistido, en el que un solicitante se comunica en tiempo real con un oficial de registro. Un ejemplo de esto son las entrevistas por video que algunos bancos realizan antes de abrir una cuenta.
Formato remoto no asistido. No hay comunicación en tiempo real, pero el proceso igualmente puede implicar operaciones manuales del lado del oficial. Ese puede ser el caso con procedimientos digitales de KYC: la información personal del cliente se procesa y verifica en modo automático, pero si el sistema detecta alguna irregularidad, avisa a un operador humano para que intervenga.
Todos los formatos anteriores pueden implicar una cantidad diferente de operaciones manuales: desde un proceso completamente manual, hasta un proceso híbrido (como cuando un oficial de control fronterizo tiene un lector de documentos al alcance de la mano), hasta un modo totalmente automatizado (el mismo control fronterizo, pero pasando por puertas automáticas).
¿Cuál es la diferencia entre comprobación de identidad y verificación de identidad?
Es una buena pregunta, porque ambos términos suelen usarse de manera intercambiable. Así es como los tratamos en Regula.
Comprobación de identidad es un término más oficial que se usa para describir el proceso inicial de establecer la identidad. Normalmente lo usan organizaciones de autoridad, como ETSI, que mencionamos antes, o Gartner. Esta última publica guías anuales de compra sobre comprobación de identidad.
En este sentido, la verificación de identidad es más bien un proceso técnico, una suma de varias operaciones necesarias para validar la identidad de alguien (por ejemplo, ID más selfie), mientras que la comprobación de identidad es más bien el resultado de esa verificación.
Además, cuando se trata de verificación de identidad, a menudo se confunde con “autenticación” y “autorización”. Puede leer más sobre esto en nuestro artículo explicativo anterior ¿Qué es la verificación de identidad y cómo se realiza?
Proceso de comprobación de identidad
El proceso de comprobación de identidad, independientemente de su tipo, consta de cinco tareas:
Inicio
Recopilación de atributos y evidencias
Verificación de atributos y evidencias
Vinculación con el solicitante
Emisión del resultado de la comprobación de identidad
Estos pasos no siempre ocurren uno después del otro. Pueden ocurrir al mismo tiempo, como cuando usted recopila información de una tarjeta de identidad y a la vez la usa para comprobar si esa tarjeta es válida.
1. Inicio de la comprobación de identidad
En pocas palabras, este es el punto de partida. La razón para iniciar una comprobación de identidad son los requisitos legales orientados a la seguridad pública. Así, cuando un ciudadano solicita un nuevo pasaporte, esa es la señal para que la maquinaria burocrática se ponga en marcha y se asegure de que ese pasaporte no caerá en manos equivocadas.
En este paso, la parte inspectora debe asegurarse de que el solicitante conozca el propósito de la comprobación de identidad y esté de acuerdo con él. También es su responsabilidad proporcionar a los solicitantes orientación clara sobre el proceso.
2. Recopilación de atributos y evidencias
Los atributos y evidencias requeridos pueden variar según si el solicitante es una persona física o jurídica y, naturalmente, según la legislación de un país determinado.
Por ejemplo, los atributos (identificadores únicos) de las personas jurídicas pueden ser su número nacional de registro, número fiscal, número de IVA o LEI (Legal Entity Identifier), mientras que, en el caso de una persona física, normalmente se requiere su nombre completo.
La recopilación de evidencias suele implicar la presentación de documentos de identidad físicos o digitales que contienen la foto del solicitante. El uso de firmas digitales como evidencia impone requisitos respecto al uso de certificados de seguridad adecuados.
Según el contexto, puede ser necesario recopilar múltiples evidencias: primarias y complementarias. Algunos documentos pueden tener una vigencia larga (por ejemplo, 10 años) o incluso no tener fecha de vencimiento, por lo que los atributos de identidad obtenidos de esa evidencia (por ejemplo, el apellido) pueden haber cambiado desde su emisión. Este problema se resuelve usando evidencia complementaria, como un certificado de cambio de nombre.
3. Verificación de atributos y evidencias
Una vez recopilados los datos, es necesario verificarlos.
En este paso, es importante comprobar que la evidencia enviada sea del tipo adecuado para el caso de uso de comprobación de identidad, así como que sea auténtica, no haya sido alterada o, en algunos casos, no sea una copia del original.
Además, se revisa su fecha de vencimiento y se verifican los datos personales mediante todo tipo de validaciones cruzadas entre distintos elementos.
4. Vinculación con el solicitante
Aunque los datos y las evidencias enviadas parezcan correctos, todavía es necesario asegurarse de que la persona que solicita sea la titular legítima de esa evidencia y de que realmente la tenga en su posesión. Esto se llama vinculación.
La vinculación se realiza con mayor frecuencia mediante biometría facial, comparando la apariencia física del solicitante con su foto en los documentos. Puede hacerse de forma manual por un oficial humano de registro o de forma automática con ayuda de sistemas de reconocimiento facial. Se considera que esta última opción es más segura, ya que incorpora protección adicional contra ataques de deepfake o morphing facial.
Una parte importante del proceso de vinculación durante la comprobación de identidad remota es la prueba de vida. Con este término, nos referimos a asegurarse de que haya una persona real frente a la cámara, y no un video pregrabado.
Por último, una nota sobre el equipo utilizado. En el caso de la comprobación de identidad remota, por ejemplo con el dispositivo móvil de un usuario, este solo se usa para capturar datos y para una evaluación preliminar de la calidad de los datos. Todas las operaciones de verificación deben realizarse dentro de un perímetro seguro controlado por la parte inspectora.
Naturalmente, si la comprobación de identidad se realiza con la presencia física del solicitante, la parte inspectora debe usar equipos debidamente protegidos para leer el documento de identidad presentado y tomar una foto de su rostro.
5. Emisión del resultado de la comprobación de identidad
No existen requisitos estrictos sobre el formato en que debe presentarse el resultado de la comprobación de identidad. Puede ser un documento PDF, un archivo XML o JSON con datos estructurados, o una aserción de identidad (por ejemplo, OIDC o SAML). Incluso puede ser simplemente una etiqueta de “aprobado” o “rechazado”.
Sin embargo, sea cual sea el resultado, debe entregarse de forma segura. Puede firmarse digitalmente, cifrarse y transmitirse por un canal de comunicación seguro. Estas medidas permiten que todas las partes se aseguren de que el resultado no sea interceptado ni manipulado y de que sea confiable.
Cómo implementar una comprobación de identidad efectiva
Durante muchos años, establecer confianza en las identidades se ha basado en información de identificación personal (PII) ingresada por el usuario, que luego se contrastaba con fuentes estáticas. Lamentablemente, este método puede quedarse corto a la hora de garantizar que la persona detrás de esos datos de identidad del mundo real esté realmente presente en la interacción en línea.
Para abordar esos riesgos, el paradigma cambió hacia un enfoque de comprobación de identidad centrado en documentos. A continuación, hemos preparado algunos consejos que puede considerar al implementar su flujo de comprobación de identidad.
1. Automatice siempre que sea posible
En el ámbito de la comprobación de identidad, la automatización es una gran aliada. No solo acelera el proceso de verificación, sino que también mejora significativamente la precisión. Hay una buena razón por la cual los oficiales de control fronterizo cuentan con varios lectores de documentos capaces de detectar al instante incluso las irregularidades más pequeñas, como discrepancias en tipografías u hologramas, que pueden escapar a la observación humana.
Además, la verificación automatizada cambia por completo las reglas del juego en escenarios remotos, como la incorporación de clientes en industrias reguladas (aviación, banca, fintech, etc.). Minimiza el tiempo y el esfuerzo requeridos por parte de los usuarios, aumenta la precisión y reduce drásticamente los costos operativos.
2. Apóyese en experiencia experta en documentos de identidad
La capacidad de autenticar y verificar de forma confiable un documento de identidad es una piedra angular de la comprobación de identidad. Pero existen miles de documentos en el mundo, cada uno con sus propias características y medidas de seguridad. Crear y mantener una base de datos así no es una tarea menor.
Por eso, es aconsejable asociarse con un proveedor especializado en forensia documental. Un socio así no solo cuenta con un amplio repositorio de documentos de referencia, sino también con la capacidad de actualizarlo rápidamente para mantenerse vigente en un entorno que evoluciona con rapidez.
3. Encuentre un socio que pueda cubrir todos los puntos de contacto principales
La comprobación de identidad es un proceso multifacético que con frecuencia involucra varios puntos de contacto cruciales: autenticación y validación de documentos, así como comprobaciones biométricas y pruebas de vida. Para simplificar y agilizar los flujos de comprobación de identidad, es mejor colaborar con un solo proveedor que ofrezca una solución integral que cubra estos aspectos esenciales.
No solo es más fácil implementar y mantener una solución de una sola fuente, sino que también garantiza un enfoque cohesivo de la verificación de identidad, reduciendo las posibilidades de vulnerabilidades derivadas de sistemas inconexos.
