Cómo ISO 27001 habría prevenido el incidente de la TGR

El incidente reportado a fines de abril de 2026 sobre la Tesorería General de la República tuvo un detalle especialmente revelador: las muestras filtradas no eran simplemente registros, eran respuestas de API obtenidas tras el aparente compromiso de credenciales de acceso administrativo. Eso convierte el caso en un manual de lo que los controles de ISO/IEC 27001:2022 están diseñados para prevenir. Acá te lo desglosamos.

Qué falló (o pudo fallar) en términos de controles

Según los reportes públicos, el actor "rutify" habría obtenido credenciales administrativas y, con ellas, acceso a APIs que devolvían datos personales de receptores de pagos del Estado. Los puntos críticos típicos de un incidente así son cinco:

1. Credenciales privilegiadas mal protegidas o reutilizadas.
2. Falta de autenticación reforzada en accesos a APIs internas.
3. Monitoreo ausente o pobre, que no detecta consultas anómalas masivas.
4. Permisos excesivos: roles administrativos que pueden leer datos en bloque.
5. Segmentación insuficiente entre entornos y entre datos sensibles y operacionales.

Cada uno tiene un control, o varios, en el Anexo A de ISO/IEC 27001:2022.

Los controles que habrían cambiado la historia

A.5.15: Control de acceso

Establece reglas formales de control de acceso basadas en requisitos del negocio y de seguridad. Aplicado a la TGR, eso significa documentar quién puede acceder a qué API, con qué propósito y bajo qué condiciones, definir reglas por rol (RBAC) o por atributos (ABAC) en lugar de usuario individual, y revisar formalmente los accesos otorgados.

A.5.18: Derechos de acceso

Obliga a aprovisionar, revisar y revocar accesos formalmente, con un flujo aprobado. La revisión periódica habría detectado credenciales con privilegios excesivos o usuarios desvinculados que aún tenían acceso. En la TGR, como en cualquier organismo grande, este control se viola por defecto: la gente cambia de cargo y los permisos se acumulan.

A.8.2: Privilegios de acceso privilegiado

Este es el control crítico para este incidente. La norma exige asignar privilegios solo a quien los necesita y solo cuando los necesita (just-in-time), usar cuentas separadas para tareas privilegiadas (no la misma cuenta para uso diario y administración), implementar una herramienta de PAM (Privileged Access Management) que registre, audite y rote credenciales, y aplicar MFA obligatorio para todo acceso administrativo.

Una herramienta PAM con bóveda de credenciales y MFA habría hecho que el robo de una contraseña administrativa no fuera suficiente para acceder a la API. Eso, por sí solo, habría detenido la cadena de ataque.

A.8.3: Restricción de acceso a la información

Limita el acceso a la información, no solo a los sistemas. En APIs que devuelven datos personales en bloque, eso se traduce en tokens con scope acotado (un token administrativo no debe poder leer datos de ciudadanos), throttling y rate-limiting estrictos, y filtrado por necesidad de saber con data masking en las respuestas.

A.8.5: Autenticación segura

MFA obligatorio para todo acceso a sistemas con datos personales o privilegios administrativos. La ANCI, el GDPR y la Ley 21.719 lo asumen como base, no como bonus.

A.8.16: Actividades de monitoreo

Acá está la otra pieza clave. Exige monitorear redes, sistemas y aplicaciones para detectar comportamientos anómalos. Aplicado a este incidente, un SIEM debería alertar ante consultas masivas inusuales a una API que devuelve datos personales, las descargas atípicas de información tendrían que generar tickets automáticos, y las anomalías de uso de credenciales privilegiadas deberían notificar en tiempo real a un SOC o CSIRT.

A.8.7 y A.8.8: Malware y vulnerabilidades

Aunque no hay información pública sobre el vector inicial, el parchado oportuno, la gestión de vulnerabilidades y el escaneo continuo habrían reducido la superficie inicial de ataque.

A.5.7: Inteligencia de amenazas

Establece un proceso para recopilar y analizar threat intel. Si la TGR consume estos feeds, una mención a su infraestructura en foros o canales de Telegram tendría que detonar respuesta inmediata, no esperar a un titular en CNN.

A.5.24 a A.5.28: Gestión de incidentes

Toda la familia de controles de gestión de incidentes (planificación, evaluación, respuesta, aprendizaje) define cómo detectar, contener y comunicar. Una respuesta robusta requiere un plan probado, roles claros entre técnicos, legales y comunicacionales, comunicación a la ANCI y a los titulares afectados dentro de los plazos legales (Ley 21.719), y lecciones aprendidas documentadas.

Lo que todo esto sumado significa

ISO/IEC 27001 no es un listado de tecnologías. Es un sistema de gestión que obliga a conocer qué activos de información tienes y qué riesgos enfrentan, decidir qué controles aplicar y por qué, operar esos controles con responsables, métricas y evidencia, y verificar auditando y mejorando.

Aplicado a un organismo como la TGR, cuya información es oxígeno para el fraude masivo, el sistema de gestión hace tres cosas concretas. Reduce probabilidad, porque hay menos puntos de entrada y los privilegios están acotados. Reduce impacto, porque aunque algo se filtre el alcance está limitado por segmentación, scope de tokens y data masking. Y acelera la respuesta, porque los procesos están escritos, ensayados y medidos.

ISO 27001 y Ley 21.719: el dúo que necesita el sector público

La nueva Ley 21.719 introduce obligaciones inéditas para todo responsable, incluyendo organismos públicos: principio de proactividad, medidas técnicas y organizativas adecuadas, notificación de brechas, registro de actividades, evaluaciones de impacto. ISO/IEC 27001 es hoy el marco de referencia más robusto para acreditar el cumplimiento de esa exigencia.

Para un organismo del Estado, certificarse no es un trofeo: es prueba reglamentada de que los controles existen, se operan y se mejoran. Y es la diferencia entre mitigar un incidente como el reportado o protagonizar la portada del próximo titular.

---

¿Tu institución necesita reforzar sus controles antes del próximo incidente? En FideliNorm acompañamos a organismos públicos y empresas de servicios masivos a hacer diagnósticos GAP contra ISO/IEC 27001:2022, diseñar e implementar controles de accesos privilegiados, construir el sistema de gestión que la norma exige y prepararse para la certificación. Conversemos y armemos un plan con prioridades, tiempos y responsables claros.