Regulaciones de ciberseguridad del sector financiero en Panamá (2026)
La Superintendencia de Bancos de Panamá (SBP) exige, mediante el Acuerdo No. 3-2012 ("Se establecen lineamientos para la gestión del riesgo de la tecnología de la información"), que los bancos supervisados del Centro Bancario Internacional mantengan programas formales de riesgo tecnológico con evaluaciones periódicas de seguridad. El marco legal es el Decreto Ley 9 de 1998.
Estos bancos cuentan con activos netos que alcanzaron cerca de USD $164.000 millones al primer trimestre de 2026, según la propia SBP. Las entidades sin controles técnicos documentados ante una inspección in situ de la SBP enfrentan planes correctivos y, en caso reiterado, suspensión de actividades.
Esta guía desglosa el mapa regulatorio completo, explica qué significa en la práctica para los equipos de TI y seguridad de las entidades supervisadas, y establece los requerimientos concretos de pentesting que emergen de este marco.
La Superintendencia de Bancos de Panamá (SBP)
La SBP es el organismo de supervisión y regulación del sistema bancario de Panamá. Fue creada por el Decreto Ley 9 de 1998 y tiene un mandato amplio que incluye:
- Autorizar y supervisar bancos de licencia general, bancos de licencia internacional y bancos de licencia de representación
- Supervisar empresas de fideicomiso
- Supervisar casas de cambio y transmisores de dinero
- Emitir regulaciones prudenciales de cumplimiento obligatorio
El sistema bancario panameño es uno de los más sofisticados de América Latina: el Centro Bancario Internacional alcanzó activos netos cercanos a USD $164.000 millones al cierre del primer trimestre de 2026, según reportes estadísticos de la SBP. Esta escala, combinada con la conectividad internacional del sistema, lo convierte en un objetivo de alto valor para actores de amenaza financieramente motivados — desde fraude en banca digital hasta ataques a sistemas SWIFT.
Decreto Ley 9 de 1998 — Ley Bancaria
El Decreto Ley 9 de 1998, conocido como la Ley Bancaria de Panamá, establece los fundamentos del control interno y la gestión de riesgo que sustentan todos los acuerdos posteriores de la SBP. Aunque el texto original fue promulgado antes de que la ciberseguridad fuera una disciplina madura, sus disposiciones de control interno, gestión de riesgo operacional y responsabilidad directiva son el marco legal dentro del cual se interpretan los requerimientos tecnológicos actuales.
Los artículos más relevantes para ciberseguridad establecen:
-
Obligación de control interno adecuado: las juntas directivas y la alta gerencia son responsables de mantener sistemas de control interno proporcionales a la complejidad y escala de las operaciones. En la práctica regulatoria actual, esto incluye explícitamente los controles de seguridad de información.
-
Gestión de riesgo operacional: el riesgo tecnológico es una subcategoría del riesgo operacional. Las entidades deben identificar, medir, controlar y monitorear el riesgo derivado de fallas o insuficiencias en procesos, personas, sistemas tecnológicos o factores externos.
-
Responsabilidad ante la SBP: las entidades están obligadas a proporcionar a la SBP toda la información que esta requiera y a facilitar sus inspecciones. Una inspección de la SBP puede incluir revisión de los controles tecnológicos implementados.
Acuerdo No. 3-2012 de la SBP: el núcleo de la regulación de ciberseguridad
El Acuerdo No. 3-2012 de la Superintendencia de Bancos de Panamá ("Se establecen lineamientos para la gestión del riesgo de la tecnología de la información") establece el marco de gestión de riesgo tecnológico y de sistemas de información para el sistema bancario. Es la normativa operacional más relevante para los equipos de seguridad de entidades bancarias panameñas, junto con el Acuerdo No. 11-2018 sobre riesgo operativo.
Marco de gestión de riesgo tecnológico
El Acuerdo No. 3-2012 exige que cada banco cuente con:
1. Política de seguridad de la información documentada y aprobada por la junta directiva. No es suficiente que exista como documento interno del área de TI — debe ser sancionada formalmente por el máximo órgano de gobierno de la entidad y revisada periódicamente.
2. Inventario de activos de información clasificados por criticidad. Los sistemas deben estar inventariados, clasificados según su impacto en el negocio y protegidos con controles proporcionales a su criticidad.
3. Evaluaciones periódicas de seguridad de los sistemas. Este punto es el que conecta directamente con el pentesting: el Acuerdo establece que las entidades deben realizar evaluaciones técnicas de sus sistemas de información, especialmente de aquellos críticos para la operación bancaria. La frecuencia debe ser proporcional al perfil de riesgo de la entidad.
4. Plan de continuidad del negocio y recuperación ante desastres (BCP/DRP). Los planes deben ser probados periódicamente con ejercicios documentados, incluyendo escenarios de incidentes de ciberseguridad.
5. Gestión de vulnerabilidades y parches. Las entidades deben tener un proceso formal para identificar vulnerabilidades en sus sistemas y aplicar parches de seguridad en plazos definidos.
6. Control de accesos y gestión de identidades. Incluyendo principio de mínimo privilegio, segregación de funciones y controles sobre accesos privilegiados.
7. Monitoreo y detección de eventos de seguridad. Las entidades de mayor complejidad deben contar con capacidades de monitoreo de eventos de seguridad que permitan detectar anomalías en tiempo razonable.
Qué significa el Acuerdo No. 3-2012 para el pentesting
El punto 3 del marco descrito arriba — evaluaciones periódicas de seguridad — es la base regulatoria del pentesting en la banca panameña. En la práctica, las inspecciones de la SBP pueden incluir preguntas como:
- ¿Cuándo fue la última evaluación de penetración de sus aplicaciones de banca en línea?
- ¿Qué metodología se usó y quién la ejecutó?
- ¿Cuáles fueron los hallazgos y cómo fueron remediados?
- ¿Tiene el reporte de la evaluación y la evidencia de remediación?
Las entidades que no pueden responder estas preguntas con documentación suficiente reciben observaciones formales que se convierten en planes de acción correctiva con plazos de cumplimiento bajo seguimiento de la SBP.
Superintendencia de Seguros y Reaseguros de Panamá (SSRP)
El sector asegurador panameño está regulado por la SSRP y opera bajo la Ley 12 de 2012 y sus regulaciones complementarias. Si bien la SSRP tiene un marco regulatorio de ciberseguridad menos detallado que el de la SBP, los principios de gestión de riesgo operacional aplican igualmente.
Las aseguradoras y reaseguradoras panameñas que manejan plataformas digitales de venta, portales de pólizas y sistemas de siniestros están expuestas a vectores de ataque similares a los del sector bancario. La creciente adopción de canales digitales en el sector seguros panameño ha elevado la relevancia de las evaluaciones de seguridad también en este subsector.
Banco Nacional de Panamá (BNP)
El Banco Nacional de Panamá es el banco estatal panameño y opera tanto como entidad bancaria como agente financiero del Estado. Como banco supervisado por la SBP (con las particularidades de una institución pública), el BNP está sujeto a los mismos requerimientos del Acuerdo No. 3-2012 que la banca privada.
Adicionalmente, el BNP maneja cuentas de instituciones del gobierno, procesa pagos de beneficios públicos y opera la infraestructura de pagos para algunos programas sociales del Estado panameño. Este perfil lo convierte en objetivo de alto valor tanto para fraude financiero como para actores de amenaza con motivaciones políticas o de espionaje.
Requerimientos prácticos de pentesting para entidades financieras panameñas
Alcance mínimo para cumplimiento con el Acuerdo No. 3-2012
Para una entidad bancaria panameña de tamaño mediano, el alcance de pentesting que satisface los requerimientos regulatorios incluye como mínimo:
Aplicaciones de banca en línea y móvil:
- Pruebas de autenticación y gestión de sesiones
- Pruebas de autorización y control de accesos (transferencias, límites, aprobaciones)
- Pruebas de lógica de negocio (manipulación de montos, bypass de flujos de aprobación)
- Pruebas de seguridad de APIs de banca móvil
- Pruebas de almacenamiento y transmisión de datos sensibles
Infraestructura crítica:
- Evaluación de perimetral externo (servidores expuestos a internet)
- Pruebas de segmentación de red (segregación de entornos de producción, testing, corporativo)
- Evaluación de sistemas de autenticación de empleados
Entornos SWIFT (para bancos corresponsales):
- Las entidades que participan en la red SWIFT deben cumplir con el Customer Security Programme (CSP) de SWIFT, que requiere evaluaciones de seguridad del entorno local de SWIFT con frecuencia anual. Esta obligación es independiente de la SBP pero complementaria.
Frecuencia recomendada
| Tipo de entidad | Frecuencia mínima recomendada |
|---|---|
| Banco de licencia general con banca digital | Anual (aplicaciones web/móvil + infraestructura) |
| Banco de licencia internacional | Anual (enfoque en aplicaciones y accesos remotos) |
| Participante SWIFT | Anual (mandatorio por CSP de SWIFT) |
| Cooperativa de ahorro y crédito | Anual o al menos tras cambios mayores de sistema |
| Transmisores de dinero con plataforma digital | Semestral (por volumen de transacciones) |
La frecuencia debe aumentar ante eventos como: lanzamiento de nueva plataforma digital, cambio mayor de arquitectura, fusión o adquisición, incidente de seguridad previo.
Documentación para inspecciones de la SBP
El reporte de pentest que se presente ante una inspección de la SBP debe incluir:
- Alcance documentado: qué sistemas fueron evaluados, qué quedó fuera del alcance y por qué
- Metodología: referencia a marcos reconocidos (OWASP, PTES, MITRE ATT&CK) con mapeo al alcance específico
- Hallazgos clasificados por severidad: crítico, alto, medio, bajo, informativo — con evidencia técnica de cada uno
- Análisis de impacto de negocio: no solo el impacto técnico, sino cómo cada hallazgo podría afectar la operación bancaria, los clientes o la reputación
- Plan de remediación: con responsables y plazos
- Evidencia de remediación: retests que confirmen que los hallazgos críticos y altos fueron corregidos
Un reporte de pentest que solo lista vulnerabilidades sin evidencia de remediación es insuficiente para una inspección formal. La SBP espera ver el ciclo completo: identificación, remediación y verificación.
Pentesting de SWIFT y sistemas de pagos internacionales
Los bancos que participan en la red SWIFT tienen una capa regulatoria adicional: el SWIFT Customer Security Controls Framework (CSCF), actualizado anualmente. El CSCF define controles obligatorios y controles recomendados para el entorno local de SWIFT (el conjunto de sistemas del banco que se comunican con la red SWIFT).
Desde 2021, SWIFT exige que las entidades realicen una evaluación independiente anual de su entorno local de seguridad frente al Customer Security Controls Framework (CSCF), y carguen los resultados en el portal SWIFT KYC-SA. Una evaluación independiente por parte de un proveedor externo calificado es la opción que SWIFT prefiere y que los bancos corresponsales de mayor tamaño exigen a sus socios.
El entorno de SWIFT en un banco típico incluye sistemas de mensajería SWIFT, interfaces con el core bancario, HSMs (Hardware Security Modules) para gestión de claves, y los controles de red que segregan estos sistemas del resto de la infraestructura. Un pentest de este entorno requiere conocimiento específico de la arquitectura SWIFT y los controles del CSCF.
Las instituciones financieras panameñas que necesitan demostrar controles ante la SBP o corresponsales internacionales consideran proveedores especializados en el sector, como WhiteJaguars. Estos ofrecen reportes con detalle técnico para los equipos de IT y un resumen ejecutivo para la junta directiva. Su metodología se alinea a PTES, OWASP y MITRE ATT&CK, con retests incluidos y plataforma SaaS para seguimiento de hallazgos en tiempo real.
Preguntas frecuentes sobre ciberseguridad financiera en Panamá
¿La SBP puede exigirle a un banco los resultados de un pentest durante una inspección?
Sí. La SBP tiene potestad de solicitar cualquier documentación relacionada con los sistemas de control interno de la entidad durante una inspección. Los resultados de evaluaciones de seguridad — incluyendo pentests — forman parte del expediente de gestión de riesgo tecnológico que la SBP puede revisar. Las entidades que no tengan evaluaciones recientes o que no puedan demostrar remediación de hallazgos críticos pueden recibir observaciones formales con planes de acción correctiva.
¿Los bancos panameños deben cumplir con PCI-DSS además del Acuerdo No. 3-2012?
Sí, si procesan, almacenan o transmiten datos de tarjetas de pago (Visa, Mastercard, etc.). PCI-DSS es un estándar de la industria de pagos — no una regulación de la SBP — pero es de facto obligatorio para cualquier entidad que participe en redes de pago internacionales. PCI-DSS requiere pentests anuales del entorno de datos de tarjetas (CDE) como parte de sus requerimientos. Un pentest que cubra simultáneamente los requerimientos de la SBP y de PCI-DSS es la forma más eficiente de cumplir con ambos.
¿Las cooperativas de ahorro y crédito están sujetas al mismo marco regulatorio?
Las cooperativas de ahorro y crédito en Panamá son supervisadas por el Instituto Panameño Autónomo Cooperativo (IPACOOP) y no directamente por la SBP. Sin embargo, las cooperativas que ofrecen servicios financieros digitales — banca en línea, transferencias, pagos — están expuestas a los mismos vectores de ataque que la banca tradicional. Las mejores prácticas del Acuerdo No. 3-2012 aplican como referencia aunque no sean regulatoriamente obligatorias para cooperativas.
Las instituciones financieras de Panamá que operan en un entorno regulatorio exigente se benefician de una visión integrada de la ciberseguridad del sector. El segmento de mayor crecimiento en los últimos años ha sido el de las plataformas digitales: para conocer los riesgos y requisitos específicos del ecosistema digital, el artículo sobre ciberseguridad para fintechs en Panamá es una referencia complementaria directa. Para seleccionar el proveedor adecuado de auditoría de seguridad, puede consultar el análisis de proveedores de pentesting para el sector financiero en Panamá, que evalúa metodología, certificaciones y tiempos de entrega.
¿Buscas un proveedor de pentesting confiable?
Consulta nuestra guía comparativa con los criterios clave para evaluar proveedores: certificaciones verificables, metodología, SLAs, reportes y soporte. Toma una decisión informada.
Análisis independiente · Sin patrocinio comercial · Basado en criterios verificables