El Centro Criptológico somete a Indra a una doble auditoría para garantizar la limpieza del 28-M

El Centro Criptológico Nacional, dependiente del Centro Nacional de Inteligencia, ha sometido a una doble auditoría al software que la empresa Indra empleará para la obtención y difusión provisional de los datos del escrutinio de las elecciones municipales y autonómicas del 28 de mayo, con el objetivo de despejar cualquier duda y tener las máximas garantías de fiabilidad. Se trata de unos comicios que marcarán un punto de inflexión antes de las generales de diciembre.

Según el CCN, el sistema «reúne, desde el punto de vista de la seguridad de las TIC (las tecnologías de la información y la comunicación), las condiciones organizativas, de procedimiento y técnicas para manejar información sensible y grado de conformidad con el ENS (en alusión al Esquema Nacional de Seguridad) en el nivel alto dentro del contexto de ciberinteligencia analizado y la posible potencial amenaza».

Así consta en la documentación remitida por el subdirector general del Centro Criptológico Nacional, Luis Jiménez, a la directora general de Política Interior del departamento de Fernando Grande-Marlaska, Carmen López García, a petición de ésta. Documentación a la que tuvo acceso El Debate.

El aumento del control del Gobierno de Pedro Sánchez sobre Indra Soluciones Tecnológicas de la Información (posee el 25,2 % de las acciones, a través de la SEPI) ha dado pábulo a algunas especulaciones sobre su papel en la jornada electoral, en todo momento desmentidas por el Ejecutivo y por la Junta Electoral Central, como publicó este periódico.

La SEPI es el primer accionista de Indra. El segundo es el fondo de inversión estadounidense Fidelity Management & Research, que posee el 10 %, y el tercero es Prisa: su presidente, Joseph Oughourlian, compró el 5,1 % del accionariado de Indra en representación del fondo Amber Capital (y tiene autorización para llegar hasta el 9,9 %). Hace un mes, la tecnológica anunció el relevo de su consejero delegado, Ignacio Mataix, después de dos años de disputas. Dejando el camino libre al presidente de Indra, Marc Mutra, hombre de Pedro Sánchez.

Para zanjar las desconfianzas, Interior solicitó al CCN dos informes sobre la tecnología empleada por Indra. Puesto que la compañía no solo va a encargarse de recopilar los datos del escrutinio correspondientes a las elecciones de mayo, sino también a las próximas generales. El Gobierno pagará a la empresa por este megacontrato 13,31 millones de euros, IVA ya incluido.

El procedimiento

Indra ha explicado en múltiples ocasiones que no cuenta votos, sino que recibe los datos de las mesas electorales y los sirve. En el escrutinio existe la figura del representante de la Administración. Estos tienen una serie de mesas asignadas. Son ellos quienes se encargan de trasladar el recuento de cada una de esas mesas al Centro de Proceso de Datos. Una vez allí, a los resultados electorales se le aplican las «fórmulas correspondientes para la atribución de escaños, cálculo de porcentajes de participación y comparación con los datos de anteriores procesos equivalentes», según explica la Dirección General de Política Interior. Esa información es la que se ofrece después al público.

El Centro Criptológico Nacional fue también el que descubrió, en mayo de 2022, que los teléfonos de Pedro Sánchez y Margarita Robles habían sido infectados con el sistema Pegasus. Aunque, según la versión que dio el propio Gobierno entonces, se percataron un año después del hackeo, que se produjo entre mayo y junio de 2021. Y nunca pudo averiguar por orden de quién ni qué contenían los 2,6 gigas de información que los hackers robaron del teléfono del presidente.

La auditoría del CCN al sistema de Indra incluye un test de intrusión realizado a los dispositivos móviles que serán empleados para la recogida y transmisión de la información desde las mesas electorales al Centro de Procesamiento de Datos, como también a las aplicaciones que contengan. Esos móviles no estarán expuestos a redes abiertas, como Internet, para garantizar la «integridad y confidencialidad de la información». En total, Interior estima que ese día habrá al menos 23.000 dispositivos repartidos por toda España. En los lugares donde no puedan utilizarse esos dispositivos por falta de cobertura o cualquier otro motivo, la comunicación con el Centro de Procesamiento de Datos será por vía telefónica.

Además, el departamento de Grande-Marlaska ha ordenado a Indra hacer dos pruebas: una a no más de 30 días de la jornada electoral y otra cuando falten aproximadamente dos semanas. Esta última será una especie de ensayo general, desde el proceso de grabación hasta la difusión final de los resultados.

El Ministerio del Interior cambió de un día para otro las condiciones del concurso público sobre el escrutinio de los próximos procesos electorales para garantizarse que la adjudicataria sería Indra, por su amplia experiencia en procesos electorales.

Como desveló El Debate a finales de diciembre, la compañía no entregó a tiempo toda la documentación durante el concurso público, pero la Dirección General de Política Interior fue indulgente y decidió abrir un nuevo plazo de presentación de ofertas para asegurarse de que Indra resultaba ser la adjudicataria. De todas formas, era la única que se presentó. Interior resolvió el concurso el 23 de febrero, aunque la adjudicación no se formalizó hasta el 25 de marzo.