OEA descarta un sabotaje o intento de fraude en elecciones de febrero en RD

1. La ejecución de un proceso de personalización de urnas carente de un adecuado control de integridad de la información (debido a un defecto del software), es la causa raíz del primer incidente, que desencadenó en una sucesión de acciones e imprecisiones que derivaron finalmente en la suspensión de las elecciones. El defecto no se detectó durante la fase de prueba, debido a que no se realizó un adecuado testing del software. Ya durante la personalización de las urnas, se materializó la falla, puesto que al no contar con el control de integridad, dicho proceso permitió personalizar urnas con la oferta electoral incompleta (no incluía a todos los candidatos). Es por esta razón que el día de las elecciones muchos equipos no contaban con todos los candidatos en el sistema. Cabe señalar que no se hizo un control de calidad antes del despliegue, lo que hubiese permitido detectar la falla oportunamente (antes que se enviasen los equipos a los recintos).

2. La no estandarización de las imágenes coadyuvó a la falla y representa una mala práctica en la gestión de la oferta electoral de procesos con voto electrónico (denominado voto automatizado por la JCE). La oferta electoral a descargar desde los servidores a las urnas durante la personalización era en algunos casos de gran tamaño en bytes.
3. No haber analizado la capacidad de las redes e infraestructura para personalizar el número de urnas previsto (en pocas horas), y el recurrir posteriormente a modalidades no contempladas ni probadas para esta tarea, como el uso de conexiones inalámbricas mediante módems USB, precipitó la falla. La inclusión inicialmente de seis módems 3g afectó a un número menor de urnas y, pese a que no se pudo reproducir la falla durante la auditoría, hay evidencias de que la falta de control de la integridad impidió detectar fallas en la personalización con esta tecnología.
4. Permitir posteriormente el uso de una tecnología inalámbrica como módems 4g sin controles previos ni solicitud de soporte al proveedor, existiendo un antecedente de falla en la personalización de las elecciones primarias (que, según la JCE, fue resuelto en dicha oportunidad como se expresa en el hallazgo 6), resultó determinante para la materialización de la falla. Durante la auditoría, se comprobó un elevado número de personalizaciones incorrectas, fruto del empleo de dicha tecnología; así como también se pudo comprobar la persistencia de la falla  reproduciéndola en múltiples ocasiones. Se reitera, no obstante, que si el procedimiento hubiese contado con el control de integridad, el empleo de esta tecnología no hubiese impactado en el resultado de la personalización.
5. Una vez detectada la falla en la oferta electoral se buscó remediar. Esta actividad fue interrumpida a solicitud de los partidos políticos. Fue un error estratégico estimar que de 5:00 a.m. a 7:00 a.m. del domingo se podía revisar la oferta electoral del voto automatizado en todo el país y remediar las que estuviesen incorrectas.
6. El inicio de la votación con la oferta electoral incorrecta en un grupo importante de colegios electorales demostró una falencia en la comunicación, falta de coordinación del personal a cargo del operativo y una deficiente estrategia de mitigación. Esto configuró una situación insalvable para este grupo importante de mesas que inevitablemente debían anularse posteriormente.
7. La falla en la mitigación, que ocasionó la incorrecta re-personalización al descargar datos de otro colegio electoral en lugar del esperado, terminó por configurar un escenario de desconcierto en el personal técnico; esto, sumado a lo señalado en párrafos precedentes, culminó en la suspensión de las elecciones. Esta falla en la mitigación no fue expuesta a la sociedad, tampoco a los observadores internacionales, ni se incluyó en la relatoría por parte de los técnicos de la JCE. Fue reconocida por el personal técnico de la JCE, luego de que el equipo auditor le comunicase el hallazgo.
8. El limitado porcentaje de colegios electorales que logró iniciar la votación correctamente (sin fallas), sumado a los pocos que pudieron remediar la oferta electoral e iniciar posteriormente, dejó expuesta la incapacidad técnica de mitigar la falla en la totalidad de las urnas ante las situaciones planteadas.
9. Pese a frustrarse el consenso con delegados de los partidos políticos, no existe justificación alguna para no haber implementado un protocolo de control de calidad que contemplase el clonado y la personalización de las urnas. Tampoco hay explicación para la inexistencia de un plan de pruebas (testing) adecuado, que pudo haber detectado la falla a tiempo y, así, evitar esta situación inédita para el país.
10. Los cambios en las candidaturas y la participación activa de las agrupaciones políticas en la definición de los protocolos (no exenta de largas discusiones que en ocasiones  abortaron reuniones importantes), limitó indudablemente las facultades de la Dirección de Informática para la creación unilateral de procedimientos.
11. Fueron analizados los antecedentes, logs, registros de auditoría especiales, configuraciones, control perimetral e informes de seguridad. No se hallaron evidencias de ataques externos.
12. Una vez concluidas las tareas de auditoría en campo y las entrevistas, se analizaron los resultados obtenidos junto a los indicios y evidencias que surgen de la investigación, pudiendo concluir que no se hallaron indicios de sabotaje.

12. El tenor de las fallas y el estado en que se presentaba la oferta electoral (incompleta), no es compatible con un intento de fraude, por lo que se descarta tal intencionalidad.
13. El diseño, desarrollo, prueba y liberación del sistema de voto automatizado, es facultad del área informática de la Junta Central Electoral, así como la ejecución del proceso de personalización de las urnas (incluyendo los recursos humanos y redes involucradas en el mismo). Tanto la materialización de la falla (producto de un defecto de software), que afectó la integridad y la disponibilidad de la información, como el despliegue de equipos en esas condiciones, es por lo tanto responsabilidad de la Dirección de Informática.
14. Existieron otros inconvenientes tecnológicos durante las elecciones municipales. Estos fueron derivados, en su mayoría de los motivos expresados en los hallazgos, como por ejemplo, la falta de procedimientos de control. Entre estos problemas, mencionados anteriormente, se destaca el reporte de que una impresora emitió un voto sin datos impresos (en blanco) y bloqueos de pantalla táctil.

VII.Recomendaciones

Tomando en consideración los hallazgos de esta auditoría, el equipo auditor considera acertada la decisión de no utilizar el sistema de voto automatizado para las elecciones municipales extraordinarias celebradas el 15 de marzo de 2020. Bajo ese mismo criterio, se recomienda no utilizarlo en las próximas elecciones presidenciales programadas para este año.Con el objetivo de mejorar los procedimientos de diseño, desarrollo e implementación de software, así como la gestión de procesos informáticos de la Junta Central Electoral, el equipo de auditoría brinda las siguientes recomendaciones, cuyo cumplimiento será esencial para evitar la ocurrencia de hechos como los acaecidos en el proceso electoral municipal.

1. Crear un proceso formal para el desarrollo y liberación del software;
2. Elegir un estándar que permita documentar el ciclo de vida del software;
3. Seleccionar un estándar o desarrollar un proceso que facilite la identificación de defectos de software y documente su ciclo de vida;
4. Fortalecer la calidad del software, dado que los principales determinantes de la calidad del software se logran principalmente antes de que comience el testeo.
5. Establecer un procedimiento de testing de software acorde a las aplicaciones críticas que se desarrollan y emplean en la JCE. Se debe capacitar al personal y dotar al área de los recursos necesarios.
6. Determinar los mecanismos de seguridad, niveles de servicio, y requisitos de gestión de todos los servicios de red, generando un adecuado acuerdo de nivel servicios con las empresas proveedoras.
7. Los sistemas a emplear en la JCE deben poseer controles que aseguren tanto la disponibilidad como la integridad de la información en forma continua. En el mediano plazo se deberá establecer, implementar, mantener y mejorar de manera continua un sistema de gestión de continuidad de las operaciones. Esto permitirá a la JCE protegerse, reducir la probabilidad de ocurrencia, prepararse, responder, y recuperarse de incidentes disruptivos cuando acontezcan.
8. Establecer un procedimiento de preservación de todos los artefactos de software a emplear en la elección y sus ítems de configuración. Se debe designar un agente de custodia para guardar los artefactos del sistema de votación (que cuente con el acuerdo de las agrupaciones políticas) y que permita una custodia confiable e independiente.
9. La implementación paulatina de innovaciones tecnológicas, basada en un desarrollo formal del software, acompañada por un riguroso proceso de testing y liberación del sistema, permitiendo que tanto la autoridad electoral como los partidos y la sociedad (con la debida divulgación y capacitación) estén preparados para cambios de tal envergadura.
10. Desarrollar auditorías y evaluaciones independientes como parte de un proceso formal, conocido y debidamente programado, y no como un recurso al que se apela solo ante aquellos eventos que cuestionan la transparencia o efectividad de un sistema informático. Estos ejercicios se deben realizar con suficiente antelación para que puedan realizarse todas las pruebas necesarias para garantizar la robustez y fiabilidad de los sistemas a implementar.

Para leer completo el informe dar clic AQUI