La resiliencia de la infraestructura crítica en Argentina está en el centro del debate corporativo. Las directrices nacionales de ciberseguridad, las normativas sectoriales y los marcos de gestión de riesgos están transformando la manera en que las organizaciones de sectores estratégicos abordan la seguridad. Y en el centro de esa matriz de riesgo, cada vez con mayor peso, están las personas.


La pregunta que hoy se formulan líderes de seguridad, Compliance y Recursos Humanos no es solo si sus sistemas informáticos y procesos cumplen con los estándares técnicos esperados. La pregunta es cómo traducir esas exigencias en decisiones de contratación, medidas de seguridad del personal y gestión del riesgo humano, de manera escalable y sostenida en el tiempo. Los controles de ciberseguridad tradicionales —firewalls, segmentación de redes, monitoreo de eventos— resuelven una parte del problema, pero no alcanzan por sí solos para abordar riesgos asociados a accesos privilegiados, error humano, amenazas internas (Insider Risk) o personal de contratistas y terceros con ingreso a sistemas sensibles.


De la ciberseguridad técnica a la seguridad del personal

Sectores como el financiero, la energía, las telecomunicaciones, el transporte, la salud, el agua y otros servicios esenciales comparten una característica: dependen de personas —empleados directos, contratistas, consultores de TI y proveedores externos— con acceso a sistemas informáticos críticos, entornos industriales, cuentas privilegiadas, información confidencial e instalaciones sensibles. Una estrategia de ciberseguridad que solo contempla la dimensión tecnológica deja sin cubrir una parte relevante de la superficie de riesgo: quién tiene esos accesos, cómo fueron evaluados antes de otorgárselos y si esa evaluación sigue siendo válida con el paso del tiempo.


En Argentina, este enfoque se apoya en un entramado regulatorio sectorial. En el sector bancario, la Comunicación "A" 7724 del Banco Central de la República Argentina (BCRA) establece lineamientos para la gestión de riesgos de tecnología, ciberseguridad y delegación de servicios, donde el control sobre accesos privilegiados y la debida diligencia de personal ocupan un lugar relevante. A nivel nacional, las directrices del CERT.ar y del BA-CSIRT promueven la resiliencia en infraestructuras estratégicas e instan a las organizaciones a gestionar el riesgo interno. La Ley 27.401 de Responsabilidad Penal Empresaria exige, en el marco de sus Programas de Integridad, que las empresas evalúen la idoneidad de directivos y terceros. Y todo proceso de debida diligencia sobre el personal debe ejecutarse conforme a la Ley N.º 25.326 de Protección de Datos Personales, bajo las pautas de la Agencia de Acceso a la Información Pública (AAIP). Estas referencias no implican que exista una obligación uniforme de background screening para toda organización argentina: el alcance concreto de cada exigencia depende del sector, la actividad y el marco regulatorio aplicable a cada entidad.


Verificar antes de contratar, y revisar durante el empleo

Dentro de este enfoque, conviene distinguir dos momentos complementarios. El Pre-Employment Screening es la verificación proporcional que se realiza antes de que una persona se incorpore a la organización, ajustada al nivel de acceso y responsabilidad del puesto. El In-Employment Screening, en cambio, es la re-verificación basada en riesgo que algunas organizaciones aplican de forma periódica y proporcional para posiciones particularmente sensibles durante la relación laboral —no una exigencia de monitoreo continuo o idéntico para toda la plantilla, sino un control reservado a los roles donde el nivel de acceso o la criticidad de la función lo justifican.


Ese mismo criterio debería extenderse a contratistas, consultores de TI, personal de outsourcing y proveedores tecnológicos externos que también acceden a sistemas o información sensible, documentando cada proceso de verificación para poder responder ante una auditoría interna o regulatoria.


Las tres brechas más frecuentes

La mayoría de las grandes empresas en Argentina cuenta con algún proceso formal de selección y solicita requisitos básicos de ingreso. Sin embargo, son pocas las que disponen de un esquema de Human Risk Management estructurado, escalable y auditable, y menos aún las que logran extender ese control de manera efectiva hacia contratistas, freelancers y proveedores de TI.


Esta brecha suele manifestarse en tres dimensiones. La primera es la cobertura: existen controles al momento del ingreso, pero prácticamente ningún monitoreo o re-verificación durante el resto de la relación laboral. La segunda es la profundidad: las verificaciones realizadas suelen ser genéricas, sin calibrarse según el nivel de sensibilidad o el volumen de accesos privilegiados asociados al cargo. La tercera es la trazabilidad: los resultados quedan dispersos en carpetas o correos electrónicos, en lugar de integrarse en un proceso consistente y auditable. Para organizaciones responsables de infraestructura crítica o servicios esenciales, estas brechas no son un detalle administrativo: son puntos ciegos concretos en la gestión del riesgo.


Un enfoque de ciclo de vida, no de trámite único

La seguridad del personal en infraestructuras críticas no es un ejercicio de verificación puntual, sino una disciplina de gestión continua. Un colaborador que superó una revisión de ingreso años atrás puede presentar hoy una matriz de riesgo distinta; un contratista habilitado para un proyecto puntual puede haber pasado a un rol con acceso a entornos industriales o financieros críticos. Por eso, una gestión efectiva del riesgo humano abarca todo el ciclo de vida del colaborador —reclutamiento, onboarding, empleo activo y offboarding— con controles adaptados de manera proporcional al riesgo real de cada posición, y no aplicados de forma idéntica a toda la organización.


Terceros y cadena de suministro: el riesgo no termina en la nómina

El riesgo de personal no se limita a los empleados directos. Contratistas, freelancers, empresas de outsourcing, consultores tecnológicos y otro personal externo con acceso a entornos sensibles forman parte de la misma ecuación de riesgo, un enfoque conocido como Third Party Risk Management. Las organizaciones que operan infraestructura crítica en Argentina rara vez trabajan de manera aislada: sus cadenas de suministro son globales, sus proveedores de tecnología son internacionales y su talento está cada vez más distribuido. Mantener un estándar de verificación consistente en cada eslabón de esa cadena, respetando al mismo tiempo la normativa de protección de datos de cada jurisdicción, se convierte en una necesidad operativa central.


El rol de un especialista en Human Risk Management

En este escenario operan proveedores especializados en Background Screening y Human Risk Management, como Validato, con presencia en más de 200 países y certificación ISO 27001. Su enfoque combina más de 18 módulos configurables de verificación para procesos de Pre-Employment Screening, esquemas de In-Employment Screening para re-verificación periódica del personal activo, y background checks de contratistas y proveedores externos, todo respaldado por informes auditables que documentan cada etapa del proceso.

Un elemento central de este tipo de soluciones es la metodología Human-in-the-Loop: la tecnología acelera la recolección y el cruce de datos, mientras que analistas capacitados contextualizan los hallazgos, distinguen falsos positivos por homonimia e interpretan la relevancia real de cada alerta, algo que la automatización por sí sola no puede resolver de manera confiable. "La tecnología permite escalar el proceso, pero es la revisión humana la que determina si un hallazgo realmente importa para esa posición en particular", señala Guido Schenone, Comercial & Growth Manager de Validato.


Integrar personas, procesos y tecnología

La ciberresiliencia de la infraestructura crítica argentina no depende exclusivamente de la solidez técnica de sus sistemas. Depende también de que las organizaciones comprendan y gestionen el riesgo humano asociado a las personas y a los terceros que pueden acceder a sus activos más sensibles. Ninguna herramienta de Human Risk Management reemplaza los controles de ciberseguridad, la gestión de accesos, los controles internos o el cumplimiento regulatorio: los complementa. Una estrategia de seguridad verdaderamente resiliente es aquella que integra personas, procesos, tecnología y gobernanza como partes de un mismo sistema, y no como capas independientes que operan por separado.


Fuentes y marco normativo consultado:

  1. Banco Central de la República Argentina (BCRA), Comunicación "A" 7724, gestión de riesgos de tecnología y ciberseguridad.
  2. CERT.ar (Dirección Nacional de Ciberseguridad) y BA-CSIRT, lineamientos de resiliencia para infraestructuras estratégicas.
  3. Ley N.º 27.401 de Responsabilidad Penal Empresaria, Programas de Integridad.
  4. Ley N.º 25.326 de Protección de Datos Personales y Agencia de Acceso a la Información Pública (AAIP).
  5. Norma ISO/IEC 27001 — certificación de Validato.