La ciberseguridad corporativa está cambiando de paradigma: ya no alcanza con detectar amenazas después del hecho; el nuevo estándar exige control preventivo y gobernanza de datos integrada desde el diseño. El giro no es cosmético — implica redefinir quién es responsable del dato, no solo de la red.
Durante años, el modelo dominante en seguridad de la información se construyó sobre la detección: sistemas SIEM, análisis de comportamiento, respuesta a incidentes. El supuesto implícito era que los ataques ocurrirían y que la velocidad de respuesta definiría el daño. Ese supuesto está siendo cuestionado por una corriente creciente dentro de la industria, según se informó desde el mercado mexicano, que apunta a los controles preventivos y a la gobernanza estructurada de datos como la capa de defensa más eficaz a largo plazo.
Por qué la detección sola ya no alcanza en entornos con datos distribuidos
La proliferación de entornos multicloud, el trabajo remoto sostenido y la expansión de pipelines de inteligencia artificial generaron un volumen de datos en movimiento que supera la capacidad de monitoreo reactivo. Cuando una organización no sabe con precisión qué datos tiene, dónde residen y quién puede acceder a ellos, cualquier sistema de detección opera con información incompleta. El DAMA-DMBOK, referencia estándar de la industria de gobernanza de datos, establece que el área de Seguridad de Datos es una de las once áreas de conocimiento del marco justamente porque el control de acceso, la clasificación y el ciclo de vida del dato son condiciones previas a cualquier estrategia de defensa efectiva.
El concepto que gana terreno es el de “data control”: saber no solo que un dato existe, sino quién es su data owner, qué clasificación de sensibilidad tiene, qué transformaciones sufrió (data lineage) y bajo qué política de retención opera. Sin esas definiciones en un catálogo de datos activo, el equipo de seguridad trabaja sobre un mapa incompleto.
El rol del data steward en la nueva frontera de seguridad
El desplazamiento hacia el control preventivo eleva el perfil del data steward — el rol responsable de aplicar políticas de gobernanza sobre dominios de datos específicos — como interlocutor directo del Chief Information Security Officer (CISO). En el modelo tradicional, seguridad y gobernanza operaban en silos: uno gestionaba firewalls y endpoints; el otro, metadatos y calidad. La convergencia implica que las políticas de acceso a datos sensibles deben surgir de decisiones de gobernanza, no solo de configuraciones técnicas de red.
Bob Seiner, referente del Non-Invasive Data Governance, sostiene que la asignación de responsabilidad sobre los datos debe reflejar quién los usa en el negocio, no solo quién los almacena en IT. Esa lógica es directamente aplicable al control preventivo: si el data steward del dominio “clientes” define que ciertos campos de PII solo pueden ser consultados por roles específicos, esa política puede traducirse en controles de acceso automatizados que reducen la superficie de ataque antes de que ocurra cualquier incidente.
Cuándo aplica este enfoque y cuándo no reemplaza a la detección
El modelo de gobernanza como capa de seguridad es especialmente relevante en organizaciones con grandes volúmenes de datos regulados: instituciones financieras, operadoras de salud, empresas con datos de consumidores a escala. En esos contextos, los beneficios son dobles: reducción de riesgo y cumplimiento normativo simultáneo. Sin embargo, este enfoque no elimina la necesidad de detección — la complementa. Las amenazas internas, los ataques a la cadena de suministro de software y las vulnerabilidades de día cero requieren capacidades de respuesta que la gobernanza sola no puede cubrir. La tesis correcta no es “control en lugar de detección”, sino “control como condición habilitante de una detección más precisa”.
México, Argentina y Brasil: marcos regulatorios que aceleran la convergencia
En América Latina, la presión regulatoria está funcionando como catalizador de esta convergencia. En México, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y su reglamento exigen medidas de seguridad administrativas, físicas y técnicas que incluyen implícitamente controles de gobernanza sobre datos personales. En Brasil, la Lei Geral de Proteção de Dados (LGPD) va más lejos al requerir que el controlador demuestre la base legal del tratamiento de cada categoría de dato — lo que supone tener un catálogo de datos personales activo y auditado. En Argentina, la Ley 25.326 y las disposiciones de la AAIP (Agencia de Acceso a la Información Pública) establecen obligaciones de seguridad que, interpretadas en contextos de auditoría, demandan exactamente el tipo de trazabilidad que provee un programa de gobernanza maduro.
Las organizaciones que ya operan con frameworks como el CDMC (Cloud Data Management Capabilities) del EDM Council o con controles equivalentes al dominio de Seguridad del DAMA-DMBOK tienen una ventaja concreta: pueden responder a requerimientos regulatorios de múltiples jurisdicciones con el mismo inventario de controles, reduciendo la carga de compliance duplicado.
Para los equipos de gobernanza de datos en la región, el mensaje es operativo: si el catálogo de datos no incluye campos de clasificación de sensibilidad y asignación de data owner por dominio, ese es el primer gap a cerrar — no porque lo pida el CISO, sino porque sin esa base cualquier política de control preventivo queda sin sustento.
