Las empresas panameñas mantienen importantes brechas en detección y respuesta ante ciberataques, pese a los avances en la protección de sus redes. Un estudio de Tigo Business revela que el nivel promedio de madurez en ciberseguridad empresarial es de 46%, mientras que la zona de riesgo alcanza el 54%.
Los resultados forman parte del primer Estudio de Madurez de Ciberseguridad Empresarial en Panamá, presentado por Tigo Business con la colaboración de Cloudflare, Fortinet y Microsoft. La investigación evaluó a más de 400 organizaciones privadas de los sectores comercio, industria, finanzas y educación, entre septiembre y diciembre de 2025.
Empresas panameñas presentan brechas en ciberseguridad
El estudio utilizó como referencia el marco internacional CIS Critical Security Controls v8, que establece 18 controles prioritarios para fortalecer la seguridad de las organizaciones.
Según el informe, las empresas han concentrado sus esfuerzos en proteger sus redes y establecer barreras frente a amenazas externas. Sin embargo, todavía enfrentan dificultades para identificar actividades sospechosas, determinar el alcance de una intrusión y responder oportunamente ante un incidente.
Las buenas prácticas internacionales citadas en el estudio recomiendan mantener la zona de riesgo por debajo del 25%, una meta que refleja la distancia que aún deben recorrer las organizaciones evaluadas.
El ejecutivo agregó que las empresas deben dejar de considerar la ciberseguridad únicamente como un gasto y asumirla como una decisión estratégica para garantizar la continuidad de sus operaciones.
Protección de redes y correo electrónico son las principales fortalezas
El análisis identifica mejores resultados en los controles relacionados con la protección de la infraestructura digital y el acceso a los sistemas empresariales.
Estos son los niveles de madurez registrados en las principales áreas de protección:
-
Gestión de infraestructura de red: 69,6%.
Protección del correo electrónico y navegación: 63,8%.
Gestión de cuentas: 59,8%.
La adopción de mecanismos como la autenticación multifactor ha contribuido a fortalecer la gestión de cuentas y accesos.
No obstante, el estudio advierte que estas medidas no son suficientes si las organizaciones carecen de herramientas y procedimientos para identificar amenazas que consiguen superar las barreras iniciales.
Registro de actividad y respuesta a incidentes son las mayores debilidades
Una de las principales alertas del informe corresponde a la gestión de registros de auditoría, conocida como logging, que obtuvo apenas un 26,5% de madurez.
Estos registros permiten conocer qué ocurre dentro de las redes y sistemas, identificar comportamientos anómalos y reconstruir la secuencia de un incidente. Sin información suficiente, las empresas pueden tener dificultades para determinar si fueron vulneradas y qué datos o servicios resultaron afectados.
Otras áreas con resultados bajos son:
-
Pruebas de penetración: 27,2%.
Gestión de proveedores y terceros: 34%.
Respuesta a incidentes: 34,8%.
Las cifras evidencian la necesidad de fortalecer no solo las medidas preventivas, sino también las capacidades para detectar, contener y gestionar ataques informáticos.
El 64% de las empresas no tiene un plan formal ante ciberataques
La preparación para responder a una emergencia digital representa otro de los desafíos identificados por el estudio.
El informe revela que el 64% de las organizaciones evaluadas no cuenta con un plan formal de respuesta a incidentes, mientras que solo el 44,1% realiza simulacros con sus equipos.
Además, cerca del 60% no valida periódicamente el funcionamiento de sus copias de seguridad.
Esta situación podría provocar dificultades para recuperar servicios críticos después de un ataque o una interrupción operativa. Una empresa puede disponer de respaldos, pero descubrir durante una emergencia que están desactualizados, dañados o que no permiten restaurar adecuadamente sus sistemas.
Por ello, el estudio destaca la importancia de documentar los procedimientos de respuesta, realizar ejercicios periódicos y comprobar que las copias de seguridad funcionen correctamente.
Sector financiero lidera la madurez en ciberseguridad en Panamá
El sector financiero obtuvo el mejor resultado entre las actividades evaluadas, con un nivel de madurez de 64,4%, y fue el único que superó el umbral de solidez establecido en el estudio.
El resultado está relacionado, entre otros factores, con las exigencias regulatorias y los controles de seguridad aplicados por las entidades financieras.
Este sector registró una madurez del 80,4% en seguridad del correo electrónico y del 79,1% en gestión de cuentas y accesos. Aun así, mantiene oportunidades de mejora en pruebas de penetración y gestión de proveedores.
En contraste, los demás sectores obtuvieron los siguientes promedios:
-
Educación: 44,6%.
Comercio: 42,6%.
Industria: 42,5%.
De acuerdo con el estudio, los niveles de madurez de las empresas panameñas se encuentran entre 8 y 15 puntos porcentuales por debajo de los promedios internacionales de referencia para sus respectivos sectores.
Comercio e industria concentran riesgos específicos
El comercio, que representa cerca de la mitad de las organizaciones incluidas en la muestra, presenta debilidades importantes en el registro de actividad, con una madurez del 18,5%, y en pruebas de penetración, con 19,8%.
Estas brechas pueden aumentar la exposición a amenazas como el ransomware, una modalidad de ataque que puede bloquear sistemas y comprometer información para exigir un rescate.
En la industria, las principales debilidades identificadas incluyen la protección de datos, con 20,2%, y la seguridad de aplicaciones, con 22,3%.
El informe señala que estos riesgos adquieren especial relevancia ante la creciente conexión entre las redes corporativas y los sistemas operativos industriales, cuya interrupción puede afectar procesos productivos y cadenas de suministro.
Ciberseguridad y cumplimiento de la Ley 81 de protección de datos
Las deficiencias en la protección de información también pueden generar riesgos regulatorios para las empresas panameñas.
El estudio advierte que las brechas identificadas podrían aumentar la exposición a incumplimientos de la Ley 81 de 2019 sobre protección de datos personales, que establece principios, derechos, obligaciones y procedimientos relacionados con el tratamiento de información personal en Panamá.
Las consecuencias de un incidente pueden extenderse más allá de la interrupción de las operaciones e incluir sanciones, reclamaciones, costos de recuperación, pérdida de confianza y daños reputacionales.
Por esta razón, el informe plantea que la ciberseguridad debe formar parte de la estrategia general de cada organización, con participación de la alta dirección, capacitación del personal y evaluaciones periódicas de los controles implementados.
Seis medidas para fortalecer la ciberseguridad empresarial
A partir de los resultados, Tigo Business y sus aliados identificaron seis prioridades para reducir las brechas y mejorar la capacidad de respuesta de las organizaciones:
-
Mejorar la visibilidad en tiempo real: implementar herramientas de monitoreo y correlación de eventos, como SIEM y SOAR, para identificar comportamientos sospechosos.
Evaluar la efectividad de las defensas: realizar pruebas de penetración y ejercicios periódicos de Red Team para detectar vulnerabilidades.
Fortalecer la protección de datos: adoptar soluciones de prevención de fuga de información alineadas con las obligaciones legales.
Probar los planes de respuesta: organizar simulacros que involucren a los equipos técnicos, operativos y directivos.
Considerar la ciberseguridad como servicio: evaluar modelos especializados que ayuden a cubrir la falta de personal con conocimientos técnicos.
Avanzar hacia modelos Zero Trust: validar continuamente la identidad de usuarios, dispositivos y accesos a los sistemas.
Como parte de la iniciativa, Tigo Business ofrece a las empresas panameñas un diagnóstico de ciberseguridad sin costo, basado en el marco CIS Critical Security Controls v8. La evaluación busca identificar el nivel de madurez de cada organización, sus principales brechas y las acciones necesarias para fortalecer la prevención, detección y respuesta.
Empresas deben prepararse antes de sufrir un ciberataque
Los resultados del primer Estudio de Madurez de Ciberseguridad Empresarial en Panamá muestran que las organizaciones han avanzado en la protección de sus perímetros digitales, pero todavía necesitan fortalecer su capacidad para detectar amenazas y responder a incidentes.
En un país cuya economía depende de la conectividad, los servicios digitales y la continuidad de sectores estratégicos, la seguridad informática representa un desafío que trasciende los departamentos de tecnología.
El diagnóstico plantea que las empresas deben invertir en monitoreo, capacitación, pruebas de seguridad y planes de recuperación para reducir los riesgos y proteger sus operaciones.
La principal conclusión es que la preparación ante un ciberataque no debe comenzar cuando ocurre el incidente. Identificar las vulnerabilidades a tiempo y comprobar que los controles funcionan puede marcar la diferencia entre una amenaza contenida y una interrupción de las operaciones empresariales.