La agencia de ciberseguridad de EE.UU. improvisó su manual de crisis… durante la crisis
Hay una frase que cualquier profesional de seguridad conoce de memoria: "no construyas el paracaídas mientras caes." La Agencia de Infraestructura y Ciberseguridad de Estados Unidos, conocida como CISA, aparentemente no recibió ese memo. Según reveló la propia agencia, cuando un contratista subió accidentalmente un repositorio público en GitHub repleto de contraseñas expuestas, CISA no tenía un playbook de respuesta a incidentes listo para ejecutar. Lo tuvieron que escribir en caliente, con el incidente ya encima. Esto no es un chiste de oficina ni una exageración periodística: es la agencia federal responsable de proteger la infraestructura crítica de los Estados Unidos admitiendo que improvisó su propio protocolo de emergencia mientras apagaba el incendio.
El incidente que destapó todo
En mayo de 2026, el periodista independiente de ciberseguridad Brian Krebs publicó un reporte detallado basado en información que le proporcionó un investigador de seguridad de la firma GitGuardian. El hallazgo era tan básico que duele: un empleado de un contratista de CISA había subido a un repositorio público de GitHub una cantidad considerable de contraseñas en texto plano. No cifradas. No hasheadas. Contraseñas. En un repositorio. Público. En GitHub.
GitGuardian, que tiene herramientas diseñadas específicamente para detectar este tipo de fugas en repositorios públicos y privados, lo encontró sin mayor esfuerzo. Krebs lo publicó. Y CISA, la agencia que supuestamente marca el estándar de respuesta a incidentes para el sector privado y gobierno estadounidense, tuvo que sentarse a escribir su propio playbook de crisis mientras el mundo ya estaba leyendo sobre su metida de pata.
El problema de fondo: predicar sin practicar
CISA es la entidad que emite guías, alertas, frameworks y mejores prácticas de ciberseguridad para organizaciones en todo el país. Es la que le dice al sector salud cómo responder a un ransomware, la que orienta a municipios sobre cómo manejar una brecha de datos, la que publica los famosos Known Exploited Vulnerabilities. Y resulta que internamente no tenía documentado qué hacer cuando le pasa algo a ella misma.
Esto no es un detalle menor. Es una falla sistémica que habla de una cultura organizacional donde los procesos de seguridad se aplican hacia afuera pero no necesariamente hacia adentro. Es el médico que fuma. Es el dentista con caries. Pero con consecuencias potencialmente mucho más graves porque hablamos de la agencia que coordina la defensa cibernética de infraestructura crítica: redes eléctricas, agua potable, sistemas financieros, telecomunicaciones.
Contratistas: el eslabón más débil de siempre
El incidente también ilumina un problema recurrente en el ecosistema de seguridad gubernamental: los contratistas. El error no lo cometió un empleado federal directo de CISA, sino alguien que trabaja para una empresa contratada por la agencia. Esto complica la cadena de responsabilidad y, más importante, la cadena de capacitación y supervisión.
Cuando una agencia subcontrata trabajo técnico sensible, el nivel de acceso que tiene ese contratista a sistemas e información crítica puede ser equivalente al de un empleado interno, pero los controles, la cultura de seguridad y la supervisión no siempre son los mismos. Este no es el primer incidente de este tipo, ni será el último. Recordemos que la brecha de SolarWinds en 2020 también pasó por la cadena de suministro de software. El vector de los contratistas y proveedores terceros sigue siendo uno de los puntos ciegos más explotados.
Lo que revela sobre el estado actual de la ciberseguridad institucional
Lo más revelador de esta historia no es que ocurriera el incidente, sino lo que CISA admitió después: que construyeron el playbook durante el incidente. Eso implica que alguien en algún momento tomó la decisión de no documentar ese proceso previamente, o que simplemente nadie se detuvo a preguntar: "oigan, ¿qué hacemos si nos pasa algo a nosotros?"
En el mundo real de la seguridad, la ausencia de un playbook pre-establecido tiene consecuencias directas: respuestas más lentas, decisiones inconsistentes, comunicación caótica interna y externa, y mayor probabilidad de errores bajo presión. Todo lo que CISA le dice al resto del gobierno y al sector privado que debe evitar.
La ironía es tan gruesa que casi se puede cortar con un certificado de ciberseguridad enmarcado en la pared.
¿Qué sigue?
CISA ahora tiene ese playbook. Llegó tarde, pero existe. La pregunta pertinente es si este episodio va a traducirse en una revisión real de sus procesos internos de seguridad operativa, o si va a quedar como una anécdota incómoda que nadie quiere mencionar en las reuniones. Dado el contexto político y presupuestal actual en Washington, donde las agencias federales están operando con recortes y presión constante, apostar por una reforma interna profunda requiere cierto optimismo que los hechos no necesariamente justifican.
Lo que sí queda claro para cualquiera que trabaje en seguridad, ya sea en una empresa mediana en Monterrey o en una startup en la Ciudad de México, es que este incidente confirma algo que muchos saben pero pocos quieren admitir: ninguna organización está exenta, sin importar su mandato, su presupuesto o su nombre. Y el primer paso para protegerte es tener el plan antes de necesitarlo, no mientras lo estás necesitando desesperadamente.