Hace casi veinte años dediqué una parte de mi tesis a una cuestión bastante concreta: la importancia de "tener el software en regla".
En aquel momento el problema aparecía principalmente asociado a propiedad intelectual, licencias y costos. Hoy agregaría una dimensión que entonces tenía mucho menos desarrollo en mi análisis: una organización no solamente necesita adquirir software legítimamente. Necesita gobernarlo durante todo su ciclo de vida.
La licencia es una parte de esa gobernanza.
Saber qué tenemos y con qué derecho lo usamos
El primer problema del cumplimiento de licencias no aparece cuando llega un reclamo. Aparece mucho antes, cuando la organización no puede responder con certeza qué software utiliza.
Un inventario adecuado debería permitir relacionar, al menos, el software instalado o contratado con las condiciones que habilitan su utilización: licencia, suscripción, contrato, cantidad o tipo de derechos adquiridos y activos sobre los cuales se utiliza.
Esa relación es importante porque inventariar software y gestionar licencias no son exactamente lo mismo.
Puedo saber que una aplicación está instalada en cien equipos y todavía no saber si tengo derecho a utilizarla en cien equipos.
También puedo estar pagando licencias que nadie utiliza.
El problema tiene entonces dos caras: cumplimiento y eficiencia.
De la licencia al Software Asset Management
La disciplina de Software Asset Management (SAM) lleva esa pregunta más lejos.
No se limita a detectar instalaciones. Busca gestionar el software durante su ciclo de vida: adquisición, despliegue, utilización, derechos de uso, contratos y eventual retiro.
La familia de estándares ISO/IEC 19770 incorpora esta lógica dentro de la gestión de activos tecnológicos y contempla específicamente la gestión de los derechos de uso asociados a las licencias.
Esto cambia la perspectiva.
"Tener el software en regla" deja de ser una comprobación ocasional para convertirse en un proceso: saber qué tenemos, qué derecho tenemos a utilizarlo y si ambas cosas coinciden.
El encuadre jurídico argentino
En Argentina, los programas de computación están expresamente comprendidos entre las obras protegidas por la Ley 11.723.
La Ley 25.036 incorporó además disposiciones específicas sobre software, incluyendo aspectos vinculados con su titularidad, reproducción y licenciamiento. El artículo 55 bis reconoce expresamente los contratos de licencia para uso o reproducción como una de las formas de explotación de la propiedad intelectual sobre programas de computación.
Por eso una instalación no autorizada no es solamente una irregularidad administrativa interna. Puede implicar utilización o reproducción de software fuera de los derechos concedidos por su titular.
Pero el control jurídico no debería empezar cuando aparece la infracción.
Debería empezar cuando se decide adquirir, instalar o habilitar el software.
No confundir licencia, soporte y seguridad
Gestionar correctamente las licencias también permite ordenar otros riesgos tecnológicos, pero conviene no confundirlos.
Un software puede estar perfectamente licenciado y encontrarse desactualizado o fuera de soporte. Otro puede presentar vulnerabilidades aun utilizando su versión legítima. Y una instalación no autorizada puede, además, haber sido modificada o provenir de una fuente insegura.
Licenciamiento, gestión de vulnerabilidades, soporte y ciclo de vida son controles diferentes.
Lo importante es que todos necesitan partir de algo común: un inventario confiable del activo tecnológico.
Por eso el mismo mapa que permite detectar una diferencia entre instalaciones y licencias también puede alimentar decisiones sobre actualización, obsolescencia, contratación y retiro.
Cuando la licencia entra en GRC
Visto desde GRC, el problema resulta bastante menos administrativo.
Gobernanza significa definir quién puede incorporar software, mediante qué procedimiento y con qué responsabilidades.
Gestión de riesgos significa identificar las consecuencias jurídicas, económicas y operativas de utilizar activos fuera de las condiciones autorizadas.
Cumplimiento significa poder demostrar que los derechos adquiridos son consistentes con el uso real.
Y todo eso necesita evidencia.
No alcanza con conservar una factura o afirmar que "siempre se compró así". Una organización madura debería poder reconstruir qué software utiliza, qué derechos adquirió, qué condiciones los limitan y quién es responsable de mantener esa información actualizada.
Tener el software en regla, veinte años después
La idea que me interesaba hace casi veinte años sigue siendo válida, pero hoy la formularía de otra manera.
El problema no es solamente evitar software "pirata". Tampoco consiste en acumular licencias por precaución.
Consiste en gobernar un activo durante todo su ciclo de vida.
Eso permite detectar tanto aquello que se utiliza sin derechos suficientes como aquello por lo que se sigue pagando sin necesidad, anticipar renovaciones, identificar tecnologías que deben retirarse y producir evidencia frente a una auditoría.
Tener el software en regla ya no significa solamente poder demostrar que fue adquirido legalmente. Significa saber qué tenemos, con qué derecho lo usamos y quién se ocupa de que ambas cosas sigan coincidiendo.