Si un atacante compromete el catálogo de datos corporativo, no roba registros: roba el mapa completo de todo lo que la organización sabe sobre sus propios datos. Esa diferencia convierte a este tipo de incidente en una categoría aparte, y hace que la respuesta estándar —rotar credenciales, parchear el vector, cerrar el ticket— sea radicalmente insuficiente.
Un catálogo de datos centraliza la metadata técnica y de negocio de una organización: qué tablas existen, qué contienen, quién las accede, cómo se relacionan entre sí, qué tan sensibles son y bajo qué política de retención operan. Herramientas como Apache Atlas, Alation, Collibra, DataHub o Amundsen acumulan esa inteligencia en un único punto. Según el marco DAMA-DMBOK, el catálogo es la columna vertebral del capability de Metadata Management, sin el cual el resto de las disciplinas de gobernanza de datos no puede operar. Eso lo convierte también en el activo de mayor valor estratégico para un adversario que quiera planificar ataques futuros o entender la arquitectura de datos de su objetivo.
El catálogo no guarda datos: guarda el conocimiento sobre los datos
La diferencia de impacto frente a una brecha convencional es estructural. En un incidente típico, el atacante extrae un conjunto de registros —números de tarjeta, correos, datos de salud— y el daño está acotado a esos registros. En una brecha de catálogo, el adversario obtiene el inventario completo: sabe qué base de datos contiene los datos de clientes premium, qué pipeline los mueve, quién tiene acceso privilegiado y qué controles (o ausencia de ellos) los protegen. Es, en términos prácticos, un reconocimiento total del entorno de datos. Los equipos de seguridad ofensiva llaman a esto “living off the land” aplicado a la capa de metadata.
El data lineage —la trazabilidad de cómo un dato se mueve desde su origen hasta su destino final— amplifica el daño. Un catálogo moderno que almacena linaje completo le entrega al atacante el grafo de dependencias de toda la infraestructura de datos: desde los sistemas fuente hasta los data marts que alimentan los reportes ejecutivos. Con esa información, un atacante paciente puede planificar intrusiones quirúrgicas en sistemas downstream sin necesidad de escanear la red.
Por qué rotar credenciales no resuelve la exposición del catálogo
La rotación de credenciales corta el acceso activo, pero no borra el conocimiento ya adquirido. Si el catálogo estuvo expuesto durante horas o días, el atacante ya tiene una copia del inventario de metadata. Cambiar contraseñas o revocar tokens resuelve el vector de entrada, no el daño informacional. Es equivalente a cambiar la cerradura de una caja fuerte después de que alguien fotografió el contenido. El EDM Council, en su marco CDMC (Cloud Data Management Capabilities), identifica explícitamente la protección de metadata sensible como un control de nivel 2 bajo el capability de Data Control, diferenciado del control de acceso a los datos en sí. Muchas organizaciones aplican controles de clase A a sus bases de datos productivas y dejan el catálogo con controles de clase C, sin clasificación de sensibilidad propia ni auditoría de acceso detallada.
El problema se agrava porque los catálogos modernos tienden a integrarse con sistemas de identidad corporativa (LDAP, Azure AD), orquestadores (Airflow, Dagster), plataformas de transformación (dbt) y herramientas de observabilidad. Un catálogo comprometido puede ser el punto de pivote hacia toda esa cadena. El data steward responsable de ese dominio raramente tiene visibilidad sobre los logs de acceso al catálogo con el mismo nivel de detalle con el que el equipo de seguridad audita los sistemas productivos.
Cuándo aplica este riesgo / cuándo NO
Este vector de riesgo aplica a organizaciones que operan un catálogo de datos centralizado con metadata enriquecida: clasificación de sensibilidad, linaje automatizado, integración con pipelines activos y perfiles de datos. Si el catálogo es una planilla Excel o un repositorio estático sin conexión a sistemas productivos, el riesgo es considerablemente menor, aunque no nulo. No aplica —al menos no con esta criticidad— en entornos donde el catálogo está aislado de la red, opera sin autenticación federada y no contiene metadata operativa actualizada. En arquitecturas de data mesh, donde cada dominio puede operar su propio catálogo local, el riesgo se distribuye pero no desaparece: un catálogo de dominio financiero sigue siendo un activo de alto valor.
El ángulo en América Latina: cumplimiento normativo post-brecha
En la región, una brecha de catálogo tiene implicancias regulatorias que van más allá de lo técnico. En Brasil, la LGPD (Lei 13.709/2018) obliga a notificar a la ANPD cuando el incidente puede acarrear riesgo relevante a los titulares. Si el catálogo expuesto documenta el tratamiento de datos sensibles —salud, biometría, datos financieros— la organización debe evaluar si la exposición de esa metadata activa la obligación de notificación, incluso si los datos en sí no fueron exfiltrados. En Argentina, la Ley 25.326 y las disposiciones de la AAIP siguen una lógica similar. En México, el INAI ha comenzado a interpretar el concepto de “tratamiento” de datos de forma más amplia, lo que podría incluir la exposición de metadata que revela el alcance de ese tratamiento. Esta ambigüedad regulatoria es un riesgo legal no trivial que los equipos jurídicos de muchas organizaciones de la región aún no tienen mapeado.
Para un CDO que quiere evaluar la exposición real de su organización, el punto de partida es concreto: auditar los logs de acceso al catálogo con la misma rigurosidad que se auditan los sistemas productivos; clasificar el catálogo como activo de datos sensible con su propio data owner y política de acceso; revisar si el data steward de cada dominio tiene visibilidad sobre quién accede a la metadata de su dominio y cuándo; y documentar el proceso de respuesta a incidentes específico para el catálogo, separado del playbook genérico de seguridad.
Para profundizar en los controles de metadata bajo el framework CDMC del EDM Council, el punto de partida es el capability 8 (Data Control) disponible en edmcouncil.org; para el marco regulatorio de notificación en la región, la Guía de Medidas de Seguridad de la AAIP y las Resoluções de la ANPD ofrecen los criterios de evaluación más actualizados.
