Panamá ha dado pasos importantes para fortalecer su estrategia nacional de ciberseguridad. Este año, la Autoridad Nacional para la Innovación Gubernamental (AIG) presentó un plan de seis líneas de acción y una resolución con diez lineamientos obligatorios para la gestión de riesgos cibernéticos en las instituciones públicas. Entre las medidas destacan el fortalecimiento del CSIRT Panamá (equipo de respuesta a incidentes de seguridad de la información), la creación de un Centro de Operaciones de Ciberseguridad y el despliegue de una plataforma de detección que ya opera en 15 instituciones críticas, según la propia AIG.
Estas acciones responden a una realidad innegable: la ciberseguridad se ha convertido en un componente estratégico para la continuidad de los servicios, la confianza digital y la competitividad del país. Sin embargo, también plantean una pregunta que trasciende el sector público y alcanza a todas las organizaciones: si cada año invertimos más en ciberseguridad, ¿por qué los ciberataques siguen creciendo?
La respuesta no está en el volumen de la inversión, sino en la manera en que estamos construyendo resiliencia. El estudio Global Digital Trust Insights 2026, de PwC, revela que el 78% de las organizaciones planea aumentar su presupuesto de ciberseguridad, pero solo el 6% considera que está preparado para enfrentar la totalidad de las amenazas. La brecha entre ambas cifras demuestra que invertir más no necesariamente significa estar mejor preparados.
Protegemos un modelo de riesgo que ya cambió
La transformación digital ha redefinido la forma en que operan las organizaciones. Hoy, los procesos dependen de servicios en la nube, proveedores externos, plataformas digitales y herramientas de inteligencia artificial que amplían constantemente la superficie de exposición.
En este contexto, la ciberseguridad ya no puede entenderse como la protección de una infraestructura aislada. La continuidad de una organización depende de un ecosistema donde intervienen múltiples actores y tecnologías que evolucionan a gran velocidad. Sin embargo, muchas estrategias siguen respondiendo a modelos de riesgo diseñados para entornos mucho más controlados.
El desafío actual no consiste únicamente en incorporar nuevas herramientas de protección, sino en desarrollar la capacidad de gestionar un riesgo que hoy es más distribuido, dinámico e interdependiente que hace apenas unos años.
La resiliencia sigue fuera de la estrategia empresarial
La conversación sobre ciberseguridad suele centrarse en la incorporación de nuevas tecnologías. Sin embargo, la tecnología, por sí sola, no garantiza la continuidad operativa.
El mismo estudio de PwC señala que solo el 24% de las organizaciones destina una mayor proporción de su presupuesto a actividades preventivas que a iniciativas de respuesta. Pero el verdadero desafío no radica únicamente en cuánto se invierte en prevención, sino en qué capacidades se fortalecen con esa inversión.
Las organizaciones continúan priorizando soluciones tecnológicas, mientras la continuidad del negocio, los protocolos de recuperación, la toma de decisiones durante una crisis y la preparación de los equipos reciben una atención considerablemente menor. La diferencia es estratégica: adquirir tecnología mejora las capacidades técnicas; fortalecer la resiliencia permite sostener la operación cuando ocurre un incidente.
La ciberseguridad dejó de ser un asunto exclusivamente tecnológico. Hoy es una capacidad organizacional que impacta directamente en la estabilidad del negocio.
Reconocer el riesgo no es lo mismo que estar preparado
Las organizaciones de la región tienen claridad sobre las consecuencias de un ciberataque. Según el estudio Riesgos en México y Centroamérica 2026, de KPMG, el 64% de las empresas identifica la pérdida de clientes como el impacto más severo de un incidente cibernético. Sin embargo, el mismo estudio muestra que solo el 19% está fortaleciendo sus planes de continuidad del negocio como una prioridad de mitigación.
Esta diferencia evidencia una realidad preocupante: comprender el riesgo no significa estar preparado para enfrentarlo. La verdadera resiliencia no se mide por la capacidad de evitar todos los incidentes, sino por la rapidez con la que una organización puede recuperar sus operaciones, minimizar el impacto y preservar la confianza de sus clientes.
Lo que esto significa para Panamá
Panamá ha construido una posición estratégica como hub logístico, financiero y digital de la región. Esa ventaja ya no depende únicamente de su infraestructura o conectividad, sino también de la confianza digital que sea capaz de generar.
Las medidas impulsadas por la AIG, como el fortalecimiento del CSIRT Panamá, la puesta en marcha de un Centro de Operaciones de Ciberseguridad y la implementación de lineamientos obligatorios para la gestión de riesgos cibernéticos, representan un avance importante para fortalecer la resiliencia del sector público. Sin embargo, la competitividad del país no dependerá únicamente de las capacidades del Estado, sino también de la preparación del sector privado para garantizar la continuidad de sus operaciones.
Desde SPC hemos sido testigos de cómo, en un entorno donde la transformación digital avanza a gran velocidad, la capacidad de recuperarse frente a un incidente se convierte en un factor que influye directamente en la confianza de inversionistas, clientes y socios comerciales. La resiliencia cibernética dejó de ser un asunto tecnológico para convertirse en un factor de competitividad nacional.
La pregunta que sí deberíamos estar haciéndonos
Si la razón por la que los ataques siguen creciendo es que seguimos invirtiendo en prevenir sin invertir en recuperarnos, entonces la solución no es más presupuesto. Es una pregunta distinta en cada junta directiva: más que “¿estamos protegidos?”, debe ser “si hoy nos atacan, ¿en cuántas horas volvemos a operar?”. Si nadie tiene en mente un número, ya tiene su prioridad para el próximo año.
El autor es gerente general de SPC en Panamá.
