Ariel Waissbein: Argentina quiere “ponerle nombre y apellido” a sus infraestructuras críticas, pero le faltan recursos
Especial Industrial Cyber Summit: la Disposición 1/2026 del Centro Nacional de Ciberseguridad, las filtraciones de datos y la ciberseguridad cuántica, entre lo más destacado de la conferencia.
Dark News es un resumen semanal de noticias de ciberseguridad, privacidad y hacking. Los temas están producidos y seleccionados por Juan Brodersen según estos criterios de edición.
📌 Edición fuera de agenda
Presentado por:
07
jun
⚡TL;DR
El jueves pasado se hizo la tercera edición del Industrial Cyber Summit Argentina 2026, una conferencia que reúne en Buenos Aires al mundo de los riesgos ciberfísicos, la protección de activos críticos y la cada vez más frecuente amenaza de los ataques cinéticos.
Es el tercer año consecutivo que se realiza la cumbre. Tuve la oportunidad de asistir a las dos ediciones anteriores y es muy interesante ver cómo fue creciendo, esta vez con más de 550 asistentes. Flavia Mendez, CEO y fundadora del Summit, hizo el kickoff y llevó adelante una entrevista con Ariel Wata Waissbein, director del Centro Nacional de Ciberseguridad (CNC).
La charla tuvo valor periodístico, principalmente, porque Waissbein no suele hablar mucho en público, o al menos no es una figura fácil para entrevistas. En parte, por eso, centro esta entrega especial en algunas ideas que arrojó sobre el estado del Estado: cómo está el panorama de la ciberseguridad en Argentina y qué están haciendo desde el Centro.
A partir de la primera disposición del Centro, la 1/2026 publicada en mayo de este año, el Centro quiere armar un mapa preciso de cuáles son las organizaciones que realmente importan para la continuidad del país, sentarse con cada una, medir su madurez de ciberseguridad y definir un camino de mejora posible. Qué es crítico y en qué medida. Dijo el funcionario:
Desde el Comité de Ciberseguridad veníamos hablando de la necesidad de ponerle nombre y apellido a las infraestructuras críticas. En el decreto de 2019 estaban definidos los sectores. Lo que hicimos en 2025 fue trabajar en un procedimiento para definir organizaciones concretas: este organismo del Estado, esta empresa. Eso nos permite sentarnos después con cada una de ellas a hablar de cómo protegerlas. Porque es difícil decir ‘todo energía tiene que estar seguro’. Eso es un montón. Hay empresas chicas, y en telecomunicaciones también hay empresas de todo tamaño. Si empezamos a escribir requerimientos mínimos, para algunas va a ser ridículo e inimplementable. Entonces, estamos trabajando para armar con ellas un modelo de madurez y ver dónde están paradas, y cómo evolucionar hacia un estadio aceptable de ciberseguridad, donde el riesgo sea algo que podamos aceptar.
“El Centro existe desde este año y estamos consiguiendo los recursos, en un país donde la plata hay que conseguirla. Así que ahí vamos”, remató.
Una idea que me pareció interesante de la charla fue que Waissbein dijo que cree que desde la Dirección se debería realizar una suerte de “post mortem público”, para que los ciudadanos sepan qué pasó cuando se filtran datos o se hackea un organismo. Esto, también, periodísticamente, tendría muchísimo valor.
Sobre esto, desde la organización me propusieron moderar un panel sobre la protección de las infraestructuras públicas, con Mara Misto (encargada de seguridad del Banco Central, CISO del año), Ezequiel Gutesman (Subdirector Ejecutivo del CNC) y Pedro Janices (encargado de la seguridad del PAMI).
Destaco en esta entrega, también, el panel de ciencia con tres expertos que hablaron sobre el problema cuántico y el famoso Q-Day.
En esta edición:
🏷️ Ariel Waissbein: Argentina quiere “ponerle nombre y apellido” a sus infraestructuras críticas, pero todavía busca recursos
⚛️ Ciberseguridad cuántica: “No podemos esperar a que el mercado autorregule”
⏰ Substack dice que leer este correo completo lleva 15 minutos
Dark News #207
Ariel Waissbein: Argentina quiere “ponerle nombre y apellido” a sus infraestructuras críticas, pero todavía busca recursos
Argentina está armando una nueva etapa de su política de ciberseguridad: el Centro Nacional de Ciberseguridad quiere identificar con precisión qué organismos y empresas integran el mapa de infraestructuras críticas, construir un modelo de madurez propio y mejorar la respuesta estatal ante filtraciones de datos.
Todavía con una gran limitación: recursos escasos.
Qué pasó. Ariel “Wata” Waissbein, director del Centro Nacional de Ciberseguridad, dijo durante un panel en el Industrial Cyber Summit que el Gobierno busca “ponerle nombre y apellido” a las infraestructuras críticas. La idea es pasar de una definición general por sectores, como energía o telecomunicaciones, a una lista de organizaciones concretas: organismos del Estado y empresas que necesitan un nivel de protección especial.
Por qué importa. Esa definición es la base para cualquier política real de protección, según dijo. Waissbein explicó que resulta difícil exigir seguridad a “todo energía” o “todo telecomunicaciones” como si fueran bloques homogéneos.
En esos sectores conviven empresas grandes, organismos públicos, operadores chicos y actores con capacidades muy distintas. Un mismo requerimiento mínimo puede ser razonable para unos, pero “ridículo e inimplementable” para otros.
El plan. El Centro trabaja en un modelo de madurez inspirado en marcos como NIST Cybersecurity Framework o NIS2, adaptado a la realidad argentina. La idea es sentarse con cada infraestructura crítica, medir dónde está parada y definir cómo puede evolucionar hacia un nivel aceptable de ciberseguridad. El objetivo no es eliminar todo riesgo, sino llevarlo a un punto que el Estado pueda aceptar y administrar.
El contexto. El nuevo organismo nació después de la división de la Agencia Federal de Ciberseguridad, que funcionaba dentro de la SIDE. Waissbein explicó que esa ubicación generaba problemas de confianza: había actores que no querían compartir información por temor a que se usara para fines distintos de la ciberseguridad. La decisión oficial fue separar la ciberseguridad de la Secretaría de Inteligencia y crear el Centro Nacional de Ciberseguridad.
Qué viene. El Gobierno también trabaja en un SOC nacional, con apoyo de un préstamo del BID (ver), para monitorear la estructura nacional, entender cuándo ocurren incidentes y reportarlos mejor desde el CERT. El alcance formal del Centro incluye al sector público nacional y a las infraestructuras críticas, con colaboración hacia provincias y municipios.
El límite. Waissbein reconoció que el organismo todavía está consiguiendo recursos. “El centro existe desde este año, estamos consiguiendo los recursos en un país donde la plata hay que conseguirla”, dijo.
Según explicó, el financiamiento del BID puede ayudar a dar “pasos grandes”, aunque el proceso burocrático todavía está en marcha.
Filtraciones. Otro eje de la entrevista fue la circulación de datos de ciudadanos argentinos en foros, bots de Telegram y sitios de filtraciones. Waissbein dijo que el Centro investiga cada leak para determinar si se trata de datos nuevos, datos viejos reciclados o bases infladas por los propios atacantes.
También planteó que muchas filtraciones atribuidas a organismos como RENAPER en realidad pueden venir de terceros que consumen esos datos.
El problema. La superficie de riesgo crece cuando las bases públicas circulan entre organismos y sistemas con controles débiles. Waissbein mencionó prácticas como cachear datos o compartir un mismo usuario y contraseña entre muchos empleados, lo que después impide saber quién accedió a qué información cuando ocurre una fuga.
Transparencia. El Centro quiere avanzar hacia reportes o postmortems de incidentes, idealmente junto con los organismos afectados. La idea es precisar qué pasó, qué volumen de datos se filtró y qué decisiones deberían tomarse después.
Waissbein puso como ejemplo el número de trámite del DNI: si ese dato se filtra, el Estado debe discutir si sigue siendo válido usarlo como mecanismo de identificación para abrir cuentas o validar trámites.
El panorama. El Centro Nacional de Ciberseguridad quiere ordenar un ecosistema fragmentado: definir infraestructuras críticas, medir madurez, mejorar reportes, investigar filtraciones y escribir disposiciones cuando haga falta.
La ambición ya está planteada, pero la ejecución, en gran parte, depende del presupuesto.
Ciberseguridad cuántica: “No podemos esperar a que el mercado autorregule”
Otro de los paneles destacados de la conferencia tuvo que ver con ciberseguridad cuántica.
La conversación reunió a Fernando Lombardo, doctor y licenciado en Ciencias Físicas, profesor asociado e investigador principal del CONICET, Adriana Baravalle, directora del Laboratorio de Tecnologías Exponenciales de la Universidad Austral e investigadora de la Facultad Militar Conjunta de la UNDef y Sebastián Uchitel, investigador superior del CONICET y profesor en la UBA, la Universidad de San Andrés y el Imperial College London.
La discusión. El panel dejó una foto del estado de la cuestión: la computación cuántica ya existe como campo experimental, pero todavía está lejos de romper criptografía a gran escala.
Convergencia. Baravalle planteó que el riesgo ya no puede pensarse sólo como un problema de criptografía. IA, computación cuántica, ciberseguridad e infraestructuras críticas empiezan a cruzarse en un mismo mapa de amenazas, capacidades y decisiones. Esa transición exige perfiles técnicos formados en más de una disciplina, inversión en ciencia y coordinación entre academia, Estado y empresas.
Autonomía. Uchitel llevó la conversación hacia robótica y sistemas autónomos. Su punto fue que la autonomía cambió de escala: ya no se trata sólo de máquinas que ejecutan una tarea puntual, sino de sistemas que combinan sensores, herramientas, objetivos de largo plazo e IA. En seguridad, el desafío es verificar que esos sistemas se mantengan dentro de comportamientos seguros, sobre todo cuando operan en entornos críticos.
Para profundizar este punto, después del panel Dark News habló con Lombardo y Baravalle.
Riesgo. Lombardo explicó que la amenaza cuántica tiene una base científica real, aunque todavía no existe una capacidad operativa a escala:
Desde la física, el riesgo existe y está bien fundamentado: ciertos esquemas criptográficos sí serían vulnerables ante computadoras cuánticas suficientemente grandes. Eso está demostrado hace años. Lo que todavía no existe es esa capacidad a escala real. Entonces, no estamos frente a una amenaza inmediata, pero sí frente a un cambio tecnológico serio que obliga a prepararse desde ahora.
Escala. El punto técnico está en la diferencia entre los prototipos actuales y una computadora cuántica tolerante a fallas:
Lo real es que sabemos, desde la física cuántica y la teoría de la información cuántica, que una computadora cuántica tolerante a fallas, con una cantidad suficiente de qubits lógicos, podría comprometer ciertos sistemas criptográficos que usamos hoy. Eso no es una promesa comercial ni una moda: es algo que conocemos hace décadas. Ahora, de ahí a pensar que mañana alguien va a romper la seguridad de Internet con una computadora cuántica hay un salto enorme.
Capacidades. Para Lombardo, Argentina debería prepararse con ciencia y tecnología propias, sin esperar soluciones importadas:
La seguridad digital no está en riesgo mañana a la mañana. Pero sí hay una discusión científica y tecnológica seria sobre cómo prepararnos para herramientas que probablemente cambien algunas reglas en los próximos años o décadas. Nuestro país no debería esperar que las respuestas vengan de afuera: tenemos la masa crítica de científicos y tecnólogos para estudiar estos problemas hoy, y pese a las dificultades, lo estamos haciendo. Pero se necesita mucho más entendimiento y apoyo.
Regulación. Baravalle planteó que, en infraestructuras críticas, el Estado tiene que fijar un piso antes de que la tecnología llegue a una escala de riesgo mayor:
Cuando hablamos de infraestructuras críticas (energía, agua, defensa, salud), la respuesta natural es regulación primero, porque el costo de un fallo no lo absorbe una empresa: lo absorbe la sociedad. Ahí no podemos esperar que el mercado autorregule. El Estado tiene que fijar el piso antes de que la tecnología llegue”.
Sectores. En el ámbito privado, Baravalle marcó que la respuesta depende del tipo de actividad y del nivel de exposición pública:
Cuando hablamos de industria privada, manufactura o logística, la ecuación se invierte. Una regulación prematura sobre tecnologías que todavía están madurando puede congelar la adopción antes de que entendamos bien qué estamos regulando. Entonces, la respuesta honesta es: depende del sector, del nivel de exposición pública y del horizonte de riesgo.
Dependencia. Baravalle también ubicó el problema en una discusión geopolítica sobre estándares, hardware y capacidad de decisión:
Argentina opera infraestructura crítica con tecnología mayoritariamente importada. Eso significa que cuando China o Estados Unidos toman decisiones sobre estándares cuánticos, sobre qué algoritmos poscuánticos se adoptan, sobre qué hardware se exporta y a quién, nosotros no estamos en esa conversación. NIST ya publicó sus primeros estándares poscuánticos. La Unión Europea está construyendo los propios. América Latina, en general, está mirando desde afuera.
Ventana. La advertencia de fondo es que la transición poscuántica todavía está a tiempo de planificarse, pero esa ventana no será indefinida:
El riesgo cuántico nos da una ventana de oportunidad. Todavía no llegó el Día Q. Pero la ventana se está cerrando y, si no la usamos para construir esa capacidad colectiva de decisión, vamos a terminar adoptando por defecto lo que otros decidan por nosotros.
Más allá de estos temas, que son una selección sobre el Summit, recomiendo estar atentos al canal de YouTube, donde se van a subir todas las charlas, entre las cuales está la keynote que estuvo a cargo del SANS Institute, referente mundial en entrenamiento en ciberseguridad.
Este newsletter fue escrito por un humano. Se usó inteligencia artificial generativa para resumir textos, detectar errores de redacción, concordancia y typos. Aun así, puede contener imprecisiones.
Para cualquier comentario, corrección o sugerencia, podés responder este mail. Si tenés información sobre un hackeo, me podés contactar por acá o por mis redes.
Si te sirvió, compartilo: tu recomendación orgánica es mucho más valiosa que cualquier campaña publicitaria.
