Mejores Practicas Globales sobre los Requisitos de

 Mejores Practicas Globales sobre los Requisitos de
Seguridad de Productos De Tecnología de la Información
Marzo 2014
Por cuanto el gobierno del Perú se encuentra considerando una normativa de seguridad para
los productos de tecnología de la información (TI), representando la industria global de TI
DIGITALEUROPE, el Consejo de Industria de Tecnología de Información (ITI), y la Asociación
Japonesa de Electrónicos e Industria de Tecnología de Información (JEITA) se permiten
recomendar las siguientes mejores prácticas globales:
Normas mundiales de referencia
1. La reglamentación debiera hacer referencia a la norma sobre seguridad de producto de la
Comisión Electrotécnica Internacional (IEC, por sus siglas en ingles) (60950-1, segunda ed.),
que cuenta con aceptación mundial.
o
o
La norma internacional de seguridad de producto para equipo de tecnología de la
información (ETI) tiene antecedentes desde hace varios años. La norma IEC 950 en su
primera edición se publicó por primera vez en 1986 (IEC 950, primera edición). En
1999 fue reemplazada por la IEC 60950. Desde entonces, la mayoría del mundo ha
armonizado sus normas nacionales en base a la norma IEC 60950-1, ed.2. Deseamos
alentar a Perú a que adopte esta edición de la norma y a sincronizarse con la
incorporación mundial de revisiones futuras. Las diversas revisiones y suplementos de
la norma cuentan con la participación y el aporte de expertos técnicos dedicados de
todo el mundo con el objeto de garantizar que los requisitos de seguridad tengan una
sólida fundamentación en la ciencia y la ingeniería y a la vez se basen en las
condiciones del mundo real.
A raíz de que actualmente los entes reguladores están considerando la aprobación de
la nueva norma de seguridad, basada en el riesgo, la IEC 62368-1, recomendamos un
período de transición de cinco años de la segunda edición de la IEC 60950-1 a la
segunda edición de la norma IEC 62368-1, que actualmente está en proceso de
finalización para su publicación.
2. Asimismo, se desea alentar al Gobierno del Perú a que trate a los ETI como de bajo riesgo y
acepte la declaración de conformidad de los proveedores y los informes de ensayos del
Esquema CB.
o
En razón del reducido retiro del mercado de productos de TI por razones de
seguridad en un plazo de más de veinte años, muchos entes reguladores de la
seguridad consideran que los productos ETI presentan un bajo riesgo de seguridad.
Esto ha quedado demostrado por la gran cantidad de países que no regulan la
www.digitaleurope.org
www.itic.org
www.jeita.or.jp
o
o
o
o
seguridad de producto de los ETI, así como por los países que permiten el acceso al
mercado de los productos ETI mediante un programa de declaración de conformidad
del proveedor (también conocido como SDoC-Supplier’s Declaration of Conformity).
El proceso de Marca CE de la Unión Europea presenta un excelente ejemplo de
proceso SDoC exitoso. Los entes reguladores que comenzaron con los esquemas de
certificación, después de cierto tiempo, a menudo instituyeron un proceso de
declaración de conformidad, ya que consideraron que este modelo es proporcional al
riesgo, requiere menos recursos de parte del regulador y ha resultado efectivo en el
logro de sus objetivos.
Los países miembro1 de la Unión Europea y los que se guían por el marco regulatorio
de la UE permiten que los productos de TI ingresen a sus mercados mediante la
declaración de conformidad del proveedor con la norma europea equivalente, la EN
60950-1.
Otros países2 también permiten el acceso al mercado de muchos productos de TI
mediante la declaración de conformidad del proveedor con la norma IEC 60950.
El perfil de riesgo de seguridad de producto que presenta un producto de TI y sus
antecedentes de funcionamiento son significativamente diferentes de los respectivos
de los tipos de productos de otros sectores industriales (ej.: electrodomésticos), por lo
cual no necesariamente debieran ser regulados con el mismo método que estos otros
productos.
La SDoC le ofrece al Perú una manera menos restrictiva de que sus reguladores cumplan con
sus objetivos, que exigir que sus productos de TI sigan los modelos de Certificación de
Seguridad o de Confirmación de Seguridad Autoregulatoria. Estos últimos dos modelos
pueden causar un incremento del precio de los productos o la limitación de su disponibilidad
en el mercado peruano a raíz de los mayores costos y las demoras en el tiempo de salida al
mercado.
3. Finalmente, el ente regulador debiera aceptar los informes de ensayos de los laboratorios
del fabricante y de los laboratorios que funcionen en virtud del Esquema CB de la IECEE.
Como opción adicional para las aprobaciones, la industria recomienda el reconocimiento de
los informes de ensayos de seguridad realizados por un organismo de certificación de tercera
parte que opere bajo el mismo Esquema CB de IECEE. El Esquema CB de IECEE facilita el
comercio, promoviendo la armonización de las normas nacionales con las normas
internacionales y la cooperación entre los organismos de certificación aceptados en todo el
Países que incluyen a Alemania, Austria, Bélgica, Bulgaria, Chipre, Dinamarca, Eslovenia, España, Estonia,
Finlandia, Francia, Grecia, Hungría, Irlanda, Islandia, Italia, Letonia, Liechtenstein, Lituania, Luxemburgo, Malta,
Noruega, Países Bajos, Portugal, Reino Unido, República Checa, República Eslovaca, Rumania, Suecia, Suiza.
2
Países que incluyen, sin carácter taxativo, Australia y Nueva Zelanda, Egipto, Emiratos Árabes Unidos, Israel,
Japón, Jordania, Marruecos, Turquía. 1
www.digitaleurope.org
www.itic.org
www.jeita.or.jp
mundo. Asimismo, el Esquema CB incluye la aceptación de los informes de ensayo de los
laboratorios de ensayo de los fabricantes reconocidos que se encuentran bajo supervisión.
Mientras que Perú no es un participante directo del Esquema CB, alentamos a sus reguladores
a reconocer los informes y los certificados de CB sin necesidad de realizar ensayos adicionales,
lo que de otro modo resultaría redundante y oneroso.
Etiquetado / m arcas de productos
Siendo que los consumidores ya se encuentran confundidos por las diversas marcas de
conformidad que aparecen en los productos y el tamaño físico cada vez más pequeño de gran
cantidad de productos de TI, la exigencia de varias marcas representa un desafío en la
práctica. Recomendamos que el Gobierno del Perú no exija una marca adicional para la
seguridad de producto propiamente dicha. Esta información se puede comunicar en otro
lado, inclusive por medios electrónicos, mediante un enlace a un sitio en Internet que
suministre el fabricante.
Si el Gobierno del Perú considera necesario solicitar una marca de seguridad, la industria
recomienda que contenga los siguientes atributos:
• Solo gráfica. Sin información innecesaria, incluidos los datos variables (alfanuméricos),
sin número de serie, sin identificación del proveedor.
• Información mínima en idioma local.
• Tamaño mínimo (el tamaño real puede variar según el del producto).
• Sin exigencias de impresión en color o especial.
• Que permita que la marca se produzca en masa con mano de obra mínima (ej.: moldeo)
por parte del fabricante sin comunicaciones previas con el ente regulador.
• Que permita alternativas de lugar de colocación de la marca en el embalaje del
producto o en la documentación del usuario.
• La industria también recomienda que se exija la marca en el embalaje o en el producto,
pero no en ambos.
Exceptuar a los equipos profesionales altam ente especializados / productos
com erciales
La instalación, la operación y el mantenimiento de los equipos altamente especializados,
incluidos los productos de uso comercial o industrial, están en manos de profesionales, y no
debieran ser regulados de la misma manera que los productos para el consumidor, ya que no
representan un riesgo significativo para el público en general.
Evitar la reiteración de ensayos / hom ologaciones
A fin de minimizar las restricciones al comercio, concordamos con equilibrar requisitos previos
a la salida al mercado limitados con una vigilancia razonable posterior a la comercialización.
Por ejemplo, la vigilancia anual del mercado que podría implicar la reemisión de certificados
www.digitaleurope.org
www.itic.org
www.jeita.or.jp
resulta innecesaria dado el rápido ciclo de innovación de los productos de TI. Al fin y al cabo,
el costo agregado del cumplimiento de este requisito se transferiría al consumidor final del
producto. La reiteración de la homologación de los certificados sólo se exigiría cuando se
introdujeran nuevas líneas de producto. Además, las opciones de sanciones y la ejecución de
la norma debieran ser proporcionales. Agradeceríamos la oportunidad de conversar en mayor
detalle sobre opciones adicionales para garantizar la continuidad del cumplimiento (ej.:
frecuencia de renovación, aprovechamiento de los servicios de seguimiento en comparación
con las auditorías en fábrica, etc.).
Parte responsable
Recomendamos que la parte responsable de la presentación de productos para su aprobación
debiera ser el titular del diseño o marca, en lugar de la fábrica donde se fabrica un producto.
Al contrario del titular del diseño o marca, las fábricas tienen una capacidad limitada de
brindar la información necesaria para verificar el cumplimiento de la norma.
Período de transición y productos legados
La industria desearía proponer que se apliquen los nuevos requisitos de seguridad con un
período de transición de dos años, tal como es la práctica común a nivel internacional, para
darles a los fabricantes tiempo de implementar los requisitos de manera correcta. Dada la
complejidad de las cadenas de abastecimiento globales, este tiempo resulta esencial para
garantizar el cumplimiento de la norma y una transición sin sobresaltos.
Asimismo, la industria sugiere que los productos que ya se encuentran en el mercado o en
fabricación previo a la fecha de inicio de la validez de la norma, y durante el período de
transición, estén exentos de estos requisitos. La industria recomienda que este período de
exención sea indefinido, ya que la transición de los productos sucede desde los estantes de las
tiendas de venta.
DIGITALEUROPE, ITI, y JEITA y sus miembros agradecen esta oportunidad de trabajar en
conjunto con el Gobierno del Perú en la consideración de opciones para encarar la seguridad
de producto para ETI. Ofrecemos nuestros recursos y experiencia globales para ayudar al
Gobierno del Perú a alcanzar sus metas y garantizar una transición sin sobresaltos hacia la
implementación de los requisitos, sin alterar el acceso del consumidor peruano a estos
productos vitales para el desarrollo de la economía digital.
www.digitaleurope.org
www.itic.org
www.jeita.or.jp