Resumen

  • El informe del inspector general del 28 de octubre de 2026 señala que la Junta prueba sus medidas de contingencia dos veces al año y dispone de planes de continuidad por división, pero no de planes completos de recuperación para sistemas de información individuales.
  • El grupo de inteligencia, riesgo interno y seguridad nacional dirige los análisis de impacto y procesos; la División de Tecnología de la Información prepara las medidas técnicas. No existe una política común que ordene la coordinación y la revisión de esos documentos. La mayoría de los análisis de impacto no se actualizaban desde 2023 o antes.
  • La madurez del programa de seguridad quedó en el nivel 2 de 5, por debajo del nivel 4 que los criterios federales consideran eficaz. La metodología cambió y la gobernanza pasó a evaluarse aparte; la serie de notas no mide por sí sola un deterioro lineal. Quedaban abiertas 13 de 17 recomendaciones anteriores y la Junta aceptó ocho nuevas.

El simulacro termina donde empieza el sistema

La auditoría oficial de la Junta de Gobernadores examina la agencia federal que maneja información financiera y de supervisión sensible. Su alcance no abarca todas las sucursales del sistema de la Reserva Federal. El hallazgo decisivo está en el paso entre una función esencial y la máquina que la sostiene. La Junta hace pruebas de contingencia semestrales y conserva planes de continuidad para las divisiones. No ha creado planes individuales de contingencia informática que reúnan los componentes exigidos.

Una división puede saber que debe seguir funcionando. Para recuperar un sistema hay que decidir el orden de restauración, el punto al que se devolverán los datos, el procesamiento alternativo y la prueba que confirma que volvió. La auditoría encontró ausentes procedimientos técnicos detallados, prioridades por sistema, objetivos de punto de recuperación y actividades concretas de restauración. Un responsable de la Junta dijo que parte de esa información figuraba en los planes de seguridad de los sistemas. Los inspectores examinaron esos documentos y no encontraron allí los pasos de recuperación específicos requeridos.

El dato incómodo es la convivencia de dos realidades: hay ejercicios y hay un hueco en la instrucción técnica. Un ejercicio a escala de oficina puede verificar quién responde a una llamada o dónde se reúne un equipo. No fija por arte de magia el último estado aceptable de una base de datos. Durante una interrupción, alguien tendrá que tomar esa decisión con la información que el plan debería haber reunido antes.

El negocio y la tecnología llevan versiones distintas

La Junta reparte la planificación. Intelligence, Insider Risk, and National Security Programs, IINS, dirige los análisis de impacto sobre el negocio, los análisis de procesos y la continuidad institucional. La División de Tecnología de la Información se ocupa de la contingencia técnica. El inspector general no encontró reglas que asignen la coordinación de ambos grupos, la alineación de sus prioridades o la frecuencia con que deben revisar juntos la documentación.

El problema deja fechas. La mayoría de los análisis de impacto no se habían actualizado desde 2023 o antes; más de la mitad de los análisis de procesos, desde 2024 o antes. Varias revisiones de procesos hechas en 2025 ni siquiera pasaron a los análisis de impacto correspondientes. Así, una función puede cambiar de prioridad en un expediente y conservar la prioridad antigua en otro. Cada responsable trabaja con su copia; la interrupción no tiene tiempo para organizar una junta de conciliación.

Según el OIG, esa desalineación limita la confianza en que los sistemas críticos puedan recuperarse de forma constante y oportuna. El informe describe una exposición, no una caída observada de un sistema concreto. Su exigencia de gobierno es inmediata: nombrar a quien armonice las prioridades del negocio con la capacidad real de restauración antes de que una emergencia haga la elección.

La lista de sistemas tampoco ayuda tanto como debería. Faltaban 10 de los 32 campos que la norma de inventario de la propia Junta exige, incluidos el tipo de información, el límite de autorización, el propietario y el tipo de servicio en la nube. Algunos sistemas con datos personales o funciones esenciales estaban mal clasificados, y otros presentes en una herramienta de cumplimiento no aparecían en el inventario. Diez campos ausentes no son diez sistemas perdidos. Son diez partes de la descripción que necesita quien asigna dueño, prioridad y orden de recuperación.

La nota de seguridad no sustituye una restauración

El resumen oficial de la inspección coloca el programa de seguridad de la Junta en el nivel 2 de una escala de cinco: controles definidos, pero no aplicados con constancia. La referencia federal considera eficaz el nivel 4, administrado y medible. En 2024 la Junta obtuvo 4 y en 2025, 3. El descenso aparente exige cuidado: la puntuación cambió de moda estadística a promedio calculado, la gobernanza se incorporó como dominio separado y nuevas evaluaciones detectaron fallas. La nota de 2026 es válida; convertir las tres cifras en una pendiente pura mezclaría medidas distintas.

Trece de 17 recomendaciones arrastradas de auditorías anuales seguían abiertas. El OIG cerró cuatro por acciones ya realizadas y añadió ocho recomendaciones nuevas. Cubren supervisión tecnológica, inventario, excepciones de autenticación, vulnerabilidades, monitoreo, recuperación y contratos de proveedores de nube. El director informático y el financiero de la Junta aceptaron los hallazgos y anunciaron medidas. Aceptar una recomendación no rellena el plan de un sistema.

La orden más reveladora pide reglas para coordinar a IINS y Tecnología de la Información en los análisis de impacto y procesos, y políticas que exijan planes de contingencia por sistema. El próximo documento capaz de cambiar el juicio sería un conjunto fechado de análisis concordantes, inventario con responsables y pruebas de restauración para sistemas individuales. La Junta ya invierte en herramientas y ensayos. Debe demostrar que ambos llegan hasta el punto donde una función pública necesita que una máquina concreta vuelva a encenderse.

Fuentes