Una brecha de datos en el Departamento de Defensa de Estados Unidos volvió a poner en evidencia fallas estructurales en la gobernanza de información clasificada y sensible: según se informó, el incidente expuso debilidades en clasificación, ownership y controles de acceso sobre datos críticos, problemas que no son exclusivos del sector defensa.
El incidente, reportado en octubre de 2025 por CDO Magazine, involucra al Pentágono y apunta a brechas en la gestión interna de datos sensibles más que a un ataque sofisticado de origen externo. Según se informó, las fallas detectadas incluyen ausencia de clasificación sistemática de datos, controles de acceso inconsistentes y ownership difuso sobre conjuntos de información crítica. El caso reaviva un debate que los equipos de gobernanza de datos en el sector público y privado llevan postergando: sin un marco operativo claro, la seguridad perimetral no alcanza.
Qué falló: clasificación, ownership y ausencia de data stewardship
Desde la óptica de gobernanza de datos, los incidentes como el del Pentágono siguen un patrón identificable en el DAMA-DMBOK: ausencia de una política de clasificación de datos aplicada operativamente, roles de data steward no definidos o sin autoridad real, y catálogos de datos que no reflejan el inventario real de activos sensibles. Cuando no existe un responsable claro del dato —alguien con la autoridad y la rendición de cuentas de un data steward— los controles técnicos quedan sin ancla organizacional. El marco CDMC (Cloud Data Management Capabilities) del EDM Council, adoptado progresivamente por instituciones financieras de primer nivel, contempla explícitamente la gestión de datos sensibles como una capability diferenciada que requiere certificación.
El concepto de Non-Invasive Data Governance, desarrollado por Bob Seiner, es especialmente relevante para organismos públicos: plantea que la gobernanza efectiva no requiere grandes reorganizaciones, sino reconocer y formalizar las responsabilidades que ya existen informalmente. En entornos de alta complejidad como el sector defensa o la administración pública latinoamericana, este enfoque permite avanzar sin esperar transformaciones institucionales de largo aliento.
Argentina, Brasil y México: el mismo patrón, marcos regulatorios distintos
En América Latina, el problema de la gobernanza de datos sensibles en el sector público es igualmente crítico, aunque los marcos regulatorios varían. En Argentina, la Ley 25.326 de Protección de Datos Personales establece obligaciones de seguridad para bases de datos públicas, y la AAIP ha emitido disposiciones sobre medidas de seguridad mínimas; sin embargo, la aplicación de estándares de gobernanza internos —clasificación, data lineage, catálogos— sigue siendo discrecional en la mayoría de los organismos. En Brasil, la LGPD (Lei 13.709/2018) obliga a entidades públicas a designar un Encarregado (equivalente al DPO europeo) y a implementar medidas técnicas y administrativas proporcionales al riesgo; la ANPD ya ha iniciado procesos de orientación hacia el sector público. En México, el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) supervisa el cumplimiento de la LFPDPPP y sus equivalentes en el sector gubernamental, aunque la fragmentación entre poderes y niveles de gobierno genera vacíos comparables a los que este incidente ilustra.
Lo que el caso del Pentágono hace visible es que la gobernanza de datos sensibles no es un problema de ciberseguridad en primera instancia: es un problema de ownership, clasificación y accountability del dato. Un CDO o Data Governance Manager que enfrenta esta realidad en su organización debería priorizar, en el corto plazo, tres acciones concretas: auditar si existe una política de clasificación de datos vigente y aplicada (no solo documentada), identificar qué activos de datos sensibles carecen de un data steward designado con responsabilidad formal, y validar si el catálogo de datos refleja el inventario real de información crítica o es un artefacto desactualizado.
El próximo hito concreto para equipos en la región es el ciclo de revisión de medidas de seguridad que la ANPD brasileña tiene proyectado para el primer semestre de 2026, y que podría establecer referencia para otros reguladores latinoamericanos sobre estándares mínimos de gobernanza en el sector público.
