La Justicia porteña rastreará contraseñas y datos sensibles y pondrá bajo control el uso de la IA

Una contraseña escondida dentro de un archivo; la copia de un expediente almacenada donde no corresponde; un empleado con más permisos de los necesarios; información confidencial introducida en una plataforma de inteligencia artificial, o un ataque capaz de paralizar sistemas esenciales conforman el nuevo mapa de riesgos que genera el uso de la llamada "nueva tecnología".

Para reforzar sus defensas frente a este escenario de riesgos, la Justicia porteña decidió lanzar la Etapa IV de su Plan Integral de Ciberseguridad, una contratación con un presupuesto oficial de u$s9,171 millones que se extenderá durante 39 meses.

El proyecto, que encabeza el Consejo de la Magistratura porteño, apunta al corazón de su infraestructura digital.

Es decir, a expedientes, datos personales y financieros, contraseñas, credenciales y sistemas utilizados por las áreas administrativas y jurisdiccionales.

Las nuevas herramientas deberán localizar información sensible y claves privadas, descubrir copias de documentos dispersas, impedir fugas de datos, controlar Microsoft 365 y servicios en la nube, detectar comportamientos sospechosos y obtener visibilidad sobre aplicaciones vinculadas con inteligencia artificial.

Así surge de analizar la Resolución 529/SAGyP/26 que aprobó la licitación pública 2-0031-LPU26, cuyas ofertas serán abiertas el 31 de agosto a las 11 de la mañana.

Los nueve componentes tecnológicos quedarán en manos de un único adjudicatario, responsable de entregar el ecosistema funcionando bajo modalidad llave en mano.

El ganador tendrá apenas 90 días corridos desde el perfeccionamiento de la orden de compra para provisionar e implementar las principales soluciones.

La licitación tiene, además, un antecedente empresario relevante que es que la empresa Point IT ganó las dos etapas anteriores relevadas del plan, por aproximadamente u$s11,47 millones, y posteriormente se adjudicó también el servicio destinado a monitorear amenazas e incidentes informáticos del organismo.

Si bien todavía no se sabe quiénes competirán esta vez, el historial muestra que detrás del nuevo blindaje existe también un negocio tecnológico que durante los últimos años fue concentrando contratos en un mismo proveedor.

Un radar para encontrar hasta claves escondidas

El primer desafío será descubrir qué información existe realmente dentro de la infraestructura y dónde está almacenada.

La plataforma deberá analizar 100 terabytes durante el primer año, aumentar a 150 TB en el segundo y alcanzar 200 TB durante el tercero.

El rastreo abarcará bases Oracle, PostgreSQL, MongoDB y SQL Server, sistemas de archivos, infraestructura virtualizada, Microsoft 365 y servicios alojados en AWS, Azure y Google Cloud.

Además, deberá reconocer nombres, DNI, domicilios, teléfonos, correos electrónicos y fechas de nacimiento e información financiera, números de tarjetas, CVV e identificadores bancarios.

Pero la capacidad más sensible será que podrá localizar contraseñas, tokens, secretos, claves API, credenciales OAuth2 y claves privadas.

Incluso podrá leer información incluida dentro de fotografías y PDF mediante tecnología OCR y utilizar aprendizaje automático para clasificar contenidos.

También tendrá que encontrar archivos duplicados y relacionar información distribuida entre diferentes sistemas. Eso permitirá detectar cuándo un dato que debería permanecer protegido en un único repositorio terminó replicado en otras bases, carpetas o aplicaciones.

El peligro también puede venir desde adentro

A partir de la puesta en marcha de una segunda barrera el organismo judicial también buscará impedir que la información abandone los lugares autorizados.

Las herramientas de Data Loss Prevention (DLP) podrán controlar navegación web, correo electrónico, transferencias de archivos, servicios cloud y dispositivos.

Cuando detecten una violación de las políticas internas, tendrán capacidad para generar un incidente y activar medidas de remediación.

En el mismo sentido, el pliego contempla acciones como "eliminar datos confidenciales, poner en cuarentena o revocar privilegios excesivos", además de mecanismos de anonimización, enmascaramiento y cifrado.

La amenaza, entonces, no necesariamente será un ciberdelincuente intentando atravesar las defensas desde afuera.

Una cuenta legítima con permisos excesivos, un archivo enviado al destinatario equivocado o una copia almacenada donde no corresponde también pueden terminar provocando una filtración.

La inteligencia artificial abre una nueva puerta

La Etapa IV del plan del Consejo de la Magistratura porteño incorpora un riesgo que pocos años atrás prácticamente no aparecía en este tipo de contrataciones: saber qué sucede cuando información sensible termina dentro de una herramienta de inteligencia artificial.

La plataforma deberá descubrir y catalogar modelos, vectores, conjuntos de datos y otros activos relacionados con IA.

Entre las tecnologías mencionadas expresamente en el pliego aparecen Azure OpenAI, OpenAI y HuggingFace.

Al respecto, un usuario podría copiar información personal, parte de un expediente o documentación interna dentro del prompt de una aplicación externa y sacar esos datos del circuito tecnológico controlado por la organización.

Por eso las nuevas defensas buscarán determinar no sólo quién accedió a determinada información, sino también qué aplicación la procesó y qué ocurrió después con esos datos.

Una justicia que ya trabaja en la nube

Otra parte importante del proyecto estará concentrada en Microsoft 365 ya que la infraestructura deberá proteger Outlook, OneDrive y SharePoint para 4.000 usuarios durante 36 meses.

Las herramientas se conectarán mediante las APIs de esas plataformas para analizar actividad y contenidos, detectar comportamientos sospechosos e identificar incumplimientos de las políticas de seguridad.

Esto se debe a que el perímetro tecnológico dejó de coincidir con las paredes de los edificios judiciales si se tiene en cuenta que un expediente puede circular entre una computadora, un correo electrónico, una carpeta compartida, un servicio cloud y una aplicación externa.

Por eso, la nueva estrategia pretende que la protección acompañe al dato durante todo ese recorrido.

Dónde estará el mayor negocio tecnológico

Los u$s9,171 millones estarán repartidos entre nueve componentes y los servicios necesarios para instalarlos y mantenerlos.

El renglón individual de mayor presupuesto será una plataforma destinada a brindar visibilidad sobre los activos que integran la superficie tecnológica del Consejo, con u$s1,95 millones.

La protección DLP sobre dispositivos demandará otros u$s1,3 millones, mientras que el descubrimiento, clasificación y gobierno de información tendrá asignados u$s900.000.

Además, se destinarán u$s1,35 millones a la implementación y otros u$s1,551 millones a garantía, mantenimiento, soporte, consultoría y actualización tecnológica.

La distribución revela que el negocio no consiste simplemente en vender licencias sino que el ganador deberá conseguir que las diferentes tecnologías funcionen integradas y mantenerlas operativas durante los tres años posteriores a su instalación.

Las exigencias que achican la carrera

El pliego fue redactado de tal forma que no cualquier compañía podrá presentarse a la licitación.

Los oferentes deberán cumplir con requisitos técnicos y financieros que reducen el universo de competidores:

• Contar con autorización de los fabricantes involucrados y mantener su condición de canal local habilitado para comercializar las tecnologías y brindar soporte
• Para determinados componentes se exigen soluciones de fabricantes considerados líderes por Gartner en Security Service Edge (SSE)
• Dos de las principales herramientas deberán pertenecer al mismo fabricante y funcionar integradas de manera nativa
• Presentar los últimos dos estados contables anuales con resultado positivo
• Constituir una garantía equivalente al 5% de la oferta

El ganador deberá posteriormente integrar otra por el 10% del contrato.

Podrán competir Uniones Transitorias de hasta tres sociedades, siempre que al menos una acredite experiencia, con la salvedad de que presentar el precio más bajo no garantizará quedarse con el negocio ya que el Consejo evaluará también calidad, idoneidad y las restantes condiciones de cada propuesta.

Quién viene ganando los contratos

La Etapa IV no parte de cero si se recuerda que en el 2023, una etapa anterior tuvo un presupuesto cercano a u$s5,75 millones y enfrentó a Point IT y TWA.

Point IT ofertó u$s5.725.150, mientras que TWA propuso u$s5.995.400. La segunda fue declarada inadmisible y los ocho renglones terminaron adjudicados a Point IT.

Al año siguiente llegó otra etapa, con un presupuesto de aproximadamente u$s5,81 millones que también quedó para Point IT que presentó una propuesta por u$s5.744.915.

En 2025 se sumó un contrato diferente pero directamente relacionado: un Security Operations Center (SOC) dedicado a monitorear amenazas e incidentes.

El presupuesto era de $3.080 millones y nuevamente fue adjudicado a Point IT que ofertó $2.999.300.184.

De ese modo, esta empresa acumuló contratos dentro de una zona particularmente sensible de la infraestructura tecnológica de la Justicia porteña.

También registra antecedentes fuera del organismo si se observa que en enero pasado participó de una contratación nacional para proveer infraestructura de ciberseguridad y presentó una oferta por u$s1.289.336.

Su recorrido la convierte en un antecedente inevitable alrededor de la Etapa IV.

Del ataque informático al control de los datos personales

La nueva etapa también permitirá localizar la información correspondiente a una persona y determinar exactamente en qué base, tabla, columna o archivo está almacenada.

La plataforma podrá gestionar solicitudes de acceso, rectificación y supresión. Cuando corresponda, tendrá capacidad para eliminar automáticamente información y comprobar después que continúa borrada.

También podrá ocurrir lo contrario: impedir su eliminación cuando exista una obligación legal para conservarla, como demandas o actuaciones judiciales pendientes.

El objetivo amplía el concepto tradicional de ciberseguridad y ya no se trata solamente de evitar que alguien robe información, sino de controlar dónde está un dato, quién puede utilizarlo y hasta cuándo debe conservarse.

El sistema también estará preparado para cuando alguna de las barreras falle.

Las plataformas deberán generar alertas, integrarse con los mecanismos de gestión de incidentes y conservar registros capaces de reconstruir quién realizó una acción, cuándo y qué hizo.

Con el expediente electrónico convertido en una pieza central de la actividad judicial, una caída prolongada puede afectar directamente el funcionamiento de juzgados y dependencias.

Pero después de algoritmos, nube, contraseñas e inteligencia artificial seguirá existiendo una última vulnerabilidad.

Antes de iniciar los trabajos, la empresa ganadora deberá identificar al personal que tendrá acceso a la infraestructura. Será responsable por su conducta y el Consejo conservará la facultad de excluir a cualquiera de esas personas durante la vigencia del contrato.

Quienes administren las nuevas herramientas podrán localizar información confidencial, encontrar credenciales, bloquear movimientos de datos y modificar privilegios.