Sobre el caso BOSCO: Software propietario no auditable pagado con tus impuestos

Este es una de las newsletters antiguas que se enviaron de forma exclusiva a los miembros del Club Negocios Seguros, y que se liberan públicamente un mes más tarde.

El Club Negocios Seguros está actualmente, y de forma temporal, cerrado, por lo que no se admiten nuevos miembros

*******

Negocios Seguros

Newsletter 928

********

Voy al grano.

La Audiencia Nacional ha dictaminado (ES) que el gobierno no tiene por qué hacer público el código fuente de BOSCO, el algoritmo que decide quién recibe el bono social para pagar la luz y el agua.

Es, de hecho, el segundo varapalo legal que recibe la petición de Civio, que ya lleva unos años (desde 2018 (ES)) exigiendo que este programa sea auditable por terceros.

¿De dónde viene todo esto?

Muy sencillo.

BOSCO es el sistema encargado, como te decía, de decidir quién recibe las prestaciones económicas para la ayuda del pago de facturas de luz, agua y gas en España.

Ya hace unos años se calculaba que, aunque en principio 5,5 millones de personas deberían tener derecho a esta ayuda, solo la habían recibido una quinta parte, 1,1 millones de españoles.

Entre las razones, que casi hay que estudiar un máster para pedirla, y que quien lo gestionan son… ¡las propias eléctricas!

Vamos, que incentivos, precisamente, no es que existan en concederlas.

Eso y que, en su día, CIVIO descubrió que el sistema tenía un error que hacía que una viuda que pidiera dicha ayuda, al estar obligada a marcar que es pensionista, aunque cumpliera los requisitos, directamente le daba un error de «Imposibilidad de cálculo».

Esto era fácilmente auditable desde la propia interfaz de petición, pero claro… A saber cuántos más casos hay de supuestos errores que desde fuera, sin revisar el código, no podemos saber a qué es debido.

Así pues, y como te decía, esta organización pro-transparencia decidió llevar a juicio al gobierno para exigir que un algoritmo pagado por lo público, y que gestiona además algo tan crítico como la decisión de a quién se le dan o no ayudas (también públicas) fuera auditable por cualquier ciudadano español interesado.

¿Qué ha pasado desde entonces?

En 2022 el Juzgado Central de lo Contencioso-Administrativo desestima la impugnación, alegando que de liberar el código, se estaría contraviniendo los derechos de propiedad intelectual del mismo, y que además esto supondría, para variar, un problema de seguridad pública.

Es decir, que un algoritmo pagado por todos nosotros no puede ser revisado por cualquiera de nosotros ya que con ese dinero se ha pagado a una empresa para que lo desarrolle, y de liberarlo, estaríamos atacando a la propiedad intelectual de dicho algoritmo.

Es más: Al hacerlo, esto podría llegar a afectar a la defensa nacional.

Porque claro, imagínate tú el peligro para la integridad de toda la nación que supondría que el ciudadano pudiera saber qué criterios sigue la Administración a la hora de conceder ayudas a sus propios ciudadanos… con el dinero de sus propios impuestos.

Obviamente, CIVIO recurrió la apelación, pero estos días la Audiencia Nacional llega a las mismas conclusiones.

Cito textualmente, que este apartado merece punto y aparte:

«[La liberación del código fuente de BOSCO] supondría un daño a la propiedad intelectual, la protección de los datos personales que usa, la seguridad de prácticamente todos los sistemas informáticos de la administración y prácticamente todos los límites a la transparencia de la ley».

El «peligro» de que el ciudadano sepa cómo se gestiona su dinero

Según la Audiencia Nacional, si se liberase el código fuente un agente malicioso podría llegar incluso a hacer blackmail, phishing, o ¿minar criptomonedas?

Vamos, que es un peligro para la ya manida Seguridad Nacional.

Y que, además, sigue incumpliendo la propiedad intelectual del algoritmo.

Sin olvidarnos de la guinda del pastel: Porque al parecer, también podría suponer un abuso de la Ley de Transparencia.

La misma ley creada por el Gobierno, y obligado a cumplir por parte de la UE, para… pues eso, ser más transparentes.

El juez señala específicamente un caso en el que la liberación de ese código fuente podría suponer que un tercero llegase a obtener datos de la Agencia Tributaria. Es decir, que, de liberarlo, cualquiera podría llegar a comprobar el nivel de renta de un ciudadano.

Sin embargo, es que esto es imposible, básicamente porque BOSCO, para llegar a tomar esos datos, hace uso de una Plataforma de Intermediación. El algoritmo no tiene acceso directo a dichos datos, y por tanto no es posible acceder sin los credenciales oportunos.

Sobre lo de que un agente malicioso pueda minar criptomonedas, lanzar campañas de phishing o hacer blackmail, pues poco se puede decir… Más que nada porque la defensa no da argumentos ningunos para demostrarlo.

Un ataque contra el software libre (y la financiación pública)

Más allá de lo absurdo de todo esto (y lo preocupante que es el hecho de que dos jueces hayan tragado toda esta tontería sin sentido alguno técnico), situaciones como la del BOSCO son un aviso para navegantes del riesgo que supone depender de software propietario para gestionar cuestiones de índole público.

A día de hoy, es literalmente imposible saber si ese software, que recordemos, lo hemos pagado entre todos, está o no funcionando correctamente (todo apunta a que no), al menos desde el punto de vista objetivo (no el de las eléctricas, o ya puestos, el del Gobierno).

Todo pese a que la Ley de Transparencia exige al Gobierno ofrecer garantías de que sus sistemas informáticos no tienen sesgos ni potenciales intereses en conflicto.

Hay algo terriblemente podrido en todo este asunto. Y solo espero que el tiempo (esto es, que se dé con un juez con dos dedos de frente) acabe dándonos la razón…