El peligro de cumplir las nuevas normas de seguridad solo en los papeles

La Argentina encendió las alarmas digitales. El Gobierno nacional fijó un plazo perentorio de 180 días para que los organismos del Sector Público Nacional refuercen sus sistemas y fortalezcan su capacidad de respuesta ante incidentes tecnológicos. El desafío implica navegar un ecosistema de infraestructura heredada y arquitecturas descentralizadas, donde la burocracia del cumplimiento a menudo choca con la realidad de las amenazas persistentes.

Pero ¿es posible pasar de la teoría a la resiliencia operativa en apenas seis meses? Para entender cómo las entidades estatales pueden blindarse y dejar de ser un blanco fácil para el cibercrimen, iProfesional entrevistó a Germán Patiño, vicepresidente sénior de la empresa de seguridad digital Lumu Technologies para América latina.

-El Gobierno argentino estableció una disposición que fija un plazo de 180 días para que los organismos del Sector Público Nacional refuercen sus sistemas contra ciberataques y fallas críticas. Desde su experiencia, ¿qué tan realista es este plazo de seis meses para un Estado que suele lidiar con infraestructura heredada (“legacy”)?

-Por supuesto, en entornos con infraestructura legacy, seis meses probablemente no sean suficientes para transformar completamente la operación, pero sí para identificar el estado de compromiso de las redes, priorizar riesgos y fortalecer capacidades de continuidad y respuesta.

Aunque la disposición no se limita a exigir documentación, sino que también incorpora elementos como pruebas de recuperación, definición de objetivos de recuperación (RTO y RPO) y validación de capacidades operativas, es importante entender que sin la implementación de una práctica de evaluación intencional y continua del estado de compromiso de las redes, cualquier esfuerzo de recuperación significaría volver a abrirle la puerta a los atacantes. Lo cual va en contra del espiritu de resiliencia operativa que plantea la normativa.

-¿Cuáles son los riesgos de que los organismos intenten cumplir la norma solo de forma burocrática, sin cambiar su estrategia de fondo?

-El principal riesgo es asumir que la resiliencia puede resolverse mediante documentación o simple adquisición de tecnología, ya que la resiliencia es una capacidad operativa y tener planes de contingencia es importante, pero también lo es contar con visibilidad sobre las amenazas cibernéticas, capacidad de detección temprana de incidentes y procesos automatizados de respuesta. Si esos elementos no se incorporan en una estrategia de operación de ciberseguridad, las organizaciones pueden cumplir con los requisitos formales y aún así no reducir su exposición al riesgo.

-¿Por qué es tan crítica la visibilidad en redes tan complejas y descentralizadas como las de la administración pública?

-Porque no es posible defender lo que no se puede ver ni medir. Los entornos gubernamentales suelen estar compuestos por múltiples organismos, aplicaciones, proveedores y sistemas que han ido creciendo durante años, una complejidad que genera puntos ciegos que pueden ser aprovechados por los atacantes.

Por eso promovemos el enfoque Continuous Compromise Assessment (medición continua de compromiso, en español), que parte de una idea sencilla: no basta con monitorear eventos o alertas, también es necesario asumir que el adversario ya está dentro de la red y medir intencional y continuamente si existe evidencia de compromisos dentro de la organización.

Esta necesidad se vuelve especialmente relevante en el sector público, ya que según el Compromise Report 2026, las entidades gubernamentales registraron una presencia significativa de amenazas como ransomware, phishing e infostealers, siendo éstos últimos de particular interés, porque buscan obtener credenciales e información de acceso que posteriormente pueden ser utilizadas para comprometer cuentas legítimas. (…) Por ello, la visibilidad continua permite identificar cuándo, dónde y cómo la infraestructura se está comunicando con actores maliciosos, facilitando la detección temprana de compromisos antes de que generen una afectación significativa sobre servicios críticos.

-¿Por qué los organismos suelen tardar tanto actualmente en detectar actividad maliciosa en sus sistemas?

-Los atacantes ya tienen la capacidad de evadir casi cualquier herramienta de defensa perimetral, y los hallazgos de nuestro Compromise Report 2026 demuestran que los atacantes están migrando hacia tácticas mucho más silenciosas y persistentes, por lo que hoy observamos un mayor uso de herramientas legítimas, tráfico cifrado, VPN, DNS tunneling y técnicas Living-off-the-Land para ocultar actividad maliciosa dentro de las organizaciones.

Esto hace que las organizaciones deban enfocar su mirada al comportamiento de la red, ya que es lo único que los adversarios no pueden evitar usar y que además permite reducir drásticamente los tiempos de detección y respuesta ante incidentes.

-¿Cómo se posiciona la Argentina frente a países vecinos en materia de resiliencia digital del sector público?

-Más que una comparación entre países, observamos un desafío común en toda América latina. La transformación digital ha ampliado la superficie de ataque mientras las organizaciones continúan fortaleciendo capacidades de detección, respuesta y recuperación.

Sin embargo, (…) según el análisis expuesto en nuestro Compromise Report 2026, la Argentina aparece en el top 3 de países de Sudamérica con mayores detecciones de troyanos bancarios como Keitaro o grupos de “ransomware” como DeathRansom.

.¿Qué ciberataques específicos tienen hoy en la mira a las entidades gubernamentales latinoamericanas y de cuáles debería cuidarse la Argentina especialmente en estos 180 días?

-Los datos del Compromise Report 2026 muestran que el sector gubernamental continúa siendo uno de los más expuestos en la región, pues estamos observando campañas asociadas a infostealers, ransomware y mecanismos de anonimización diseñados para ocultar la actividad de los atacantes.

También vemos un crecimiento de técnicas que priorizan la persistencia y la evasión por encima de los ataques ruidosos, por lo que más que enfocarse en una amenaza puntual, las organizaciones deberían fortalecer su capacidad para identificar compromisos tempranos independientemente del vector de ataque utilizado.

Germán Patiño.

-¿Cómo cambia el paradigma cuando la estrategia se enfoca en la identificación temprana de compromisos, asumiendo que las redes eventualmente serán vulneradas?

-El cambio consiste en pasar de una lógica centrada exclusivamente en la prevención a una estrategia basada en resiliencia, pues durante muchos años la seguridad se construyó alrededor de impedir el acceso del atacante, pero hoy más organizaciones entienden que deben complementar esa visión con capacidades que les permitan identificar compromisos rápidamente, contenerlos y responder antes de que generen impactos mayores. La velocidad de detección y respuesta se convierte en un factor tan importante como la protección preventiva.

La propia disposición argentina refleja esta evolución al incorporar elementos como planes de contingencia, pruebas de recuperación, objetivos de recuperación (RTO y RPO) y validación de capacidades operativas, alineado con marcos internacionales como NIST e ISO, que promueven la resiliencia y la continuidad operativa como componentes fundamentales de la ciberseguridad.