Pentesting en Ciudad de Panamá

Pentesting en Ciudad de Panamá: por qué el centro financiero de la región está en la mira

Desde 2021 está plenamente vigente en Panamá la Ley 81 de 2019: toda empresa que trate datos personales en territorio panameño debe protegerlos con medidas técnicas de seguridad, y la ANTAI puede sancionar los incumplimientos con multas de entre 1.000 y 10.000 balboas. Ciudad de Panamá, además, concentra el centro bancario internacional que supervisa la Superintendencia de Bancos, las sedes regionales de multinacionales y el hub logístico que forman el Canal y la Zona Libre de Colón —la mayor zona franca del hemisferio occidental y la segunda del mundo—. Mucho dinero, muchos datos y muchas conexiones con otros países: eso es exactamente lo que convierte a las empresas de Ciudad de Panamá en objetivo. Un pentesting en Ciudad de Panamá verifica, de forma controlada y con su autorización, si un atacante podría llegar a esos activos antes de que lo intente sin permiso.

Por qué las empresas de Ciudad de Panamá son objetivo

Un atacante elige objetivos por retorno de inversión, y Ciudad de Panamá ofrece un retorno alto:

• Centro bancario internacional: la banca que opera desde la capital maneja fondos y datos financieros de clientes de toda la región. Donde hay dinero en movimiento, hay fraude electrónico intentándolo interceptar.
• Sedes regionales de multinacionales: muchas empresas coordinan desde Ciudad de Panamá sus operaciones en varios países. Comprometer una sede regional puede abrir la puerta a la red corporativa de toda la región.
• Hub logístico y comercial: el Canal de Panamá y la Zona Libre de Colón —fundada en 1948, la zona franca más grande del continente americano y la segunda del mundo— sostienen un ecosistema de comercio, distribución y reexportación cuyos sistemas de gestión, aduanas e inventarios son un blanco atractivo.
• Fintech y servicios digitales en crecimiento: banca en línea, billeteras, pasarelas de pago y APIs financieras: superficies nuevas, desplegadas rápido y no siempre probadas.

A eso se suma la conectividad regional: los esquemas de red que enlazan sedes en varios países multiplican los puntos de entrada. Un atacante no necesita estar en Panamá para atacar una empresa panameña; le basta encontrar el eslabón más débil de esa red regional.

Ciudad de Panamá: contexto económico y superficie de ataque

La Ciudad de Panamá es uno de los centros financieros de la región: banca internacional, servicios corporativos, la zona libre y la actividad logística vinculada al canal, además de comercio, turismo y un ecosistema fintech en crecimiento. Las organizaciones de la capital operan con banca en línea, plataformas de pago, aplicaciones móviles y APIs, con esquemas regionales que conectan sedes en varios países. Una superficie de alto valor —datos financieros, transacciones y operaciones transfronterizas— que exige pentesting especializado y continuo.

Riesgos de ciberseguridad para las empresas en Ciudad de Panamá

Riesgos cualitativos propios de un centro financiero: ataques dirigidos y fraude electrónico contra entidades financieras, suplantación de identidad corporativa, accesos de terceros y proveedores sin controles adecuados, y aplicaciones críticas desplegadas a producción sin pruebas de seguridad previas. Un pentesting en Ciudad de Panamá permite verificar de forma controlada si un atacante podría comprometer fondos, datos de clientes o la continuidad de servicios críticos.

Errores típicos que vemos en empresas de la región

En nuestra experiencia, estos son los errores que más caro salen —y los que un pentesting encuentra primero—:

1. Lanzar a producción sin probar. La nueva app, la integración con el banco, el portal de clientes: sale primero, se prueba después. El problema es que «después» suele significar «cuando el atacante la prueba por usted».
2. Confundir un escaneo automatizado con un pentesting. Un escáner lista vulnerabilidades conocidas; un pentesting demuestra qué puede hacer un atacante con ellas encadenadas. Son herramientas distintas para momentos distintos.
3. Accesos de terceros sin revisar. Proveedores de tecnología, outsourcing y consultores con acceso amplio y permanente «para poder trabajar». Cada tercero es una extensión de su superficie de ataque.
4. Credenciales por defecto y sistemas heredados. Equipos de red, cámaras, sistemas viejos que «nadie toca porque funcionan»: funcionan también para el atacante.
5. APIs expuestas sin la autenticación adecuada. Las integraciones entre sistemas —con bancos, pasarelas, proveedores— suelen tener menos controles que la aplicación principal.
6. Probar una vez y olvidarse. El pentesting de hace dos años no cubre la aplicación que lanzó en marzo ni la migración a la nube del trimestre pasado.

Qué exige la regulación panameña

Ninguna ley panameña dice literalmente «haga un pentesting». Pero el marco regulatorio apunta en esa dirección:

• Ley 81 de 26 de marzo de 2019 (promulgada el 29 de marzo de 2019, vigente desde 2021 y reglamentada por el Decreto Ejecutivo 235 de 2021): establece los principios, derechos, obligaciones y procedimientos para la protección de datos personales. Aplica a las bases de datos en territorio panameño y a quienes traten datos de personas en Panamá; exige medidas técnicas de seguridad y designa a la ANTAI como autoridad de supervisión y sanción, con multas de 1.000 a 10.000 balboas. (Análisis de la Ley 81 de 2019)
• Superintendencia de Bancos — Acuerdo No. 3-2012 (22 de mayo de 2012): establece los lineamientos para la gestión del riesgo de la tecnología de la información en los bancos —control de accesos, planes de continuidad, auditoría de TI y notificación de incidentes de seguridad a la Superintendencia—. (Acuerdo No. 3-2012 de la SBP)
• CSIRT-Panamá: el equipo nacional de respuesta a incidentes, creado por el Decreto Ejecutivo 709 de 2011 y operado por la Autoridad Nacional para la Innovación Gubernamental (AIG), coordina con la SBP el intercambio de alertas sobre riesgos y ataques al sector financiero. (Acuerdo AIG–SBP de ciberseguridad)
• PCI DSS: si su empresa procesa tarjetas, el estándar internacional sí exige pruebas de penetración periódicas. Muchos bancos y comercios panameños lo cumplen por esta vía.

Tipos de prueba que recomendamos según su sector

• Banca y fintech: pentesting de aplicaciones web y móviles, pruebas a APIs de pago e integraciones, y pruebas periódicas o continuas: con despliegues frecuentes, una prueba anual queda vieja en meses.
• Logística y comercio: infraestructura perimetral, red interna y pruebas de segmentación: verificar que un atacante no pueda saltar del wifi de visitas a los sistemas de facturación o inventarios.
• Corporativo regional: pruebas de directorio activo e ingeniería social: en esquemas multisedes, el eslabón suele ser humano o una sede secundaria.
• Si nunca hizo un análisis de vulnerabilidades: empieza por ahí. El pentesting es el siguiente paso, cuando lo básico (parches, inventario, accesos) ya está cubierto. Se lo decimos aunque eso signifique venderle primero el servicio más barato.

Cómo trabaja DragonJAR

DragonJAR es una firma de seguridad informática con comunidad activa desde 2001 y operando como empresa desde 2012, que ejecuta pruebas de penetración para empresas en toda América Latina, con atención remota para Panamá y la región. Así trabajamos cada prueba:

• Alcance acordado por escrito, activo por activo, con reglas de juego claras: qué se prueba, qué está fuera de límites y en qué ventanas de tiempo.
• Pruebas manuales, no solo escáneres: cada hallazgo se valida a mano antes de llegar al informe, para que lo que leas sea explotable de verdad y no ruido.
• Informe en español, con hallazgos priorizados por riesgo de negocio y pasos concretos de remediación ordenados por impacto.
• Re-test incluido: volvemos a probar cada vulnerabilidad corregida para confirmar que quedó cerrada.
• Confidencialidad por diseño: acuerdos de confidencialidad y manejo cuidadoso de la evidencia; sus datos no salen de sus sistemas sin control.

Preguntas que un comprador en Ciudad de Panamá hace de verdad

¿El pentesting es obligatorio en Panamá?

Ninguna ley lo exige por nombre. Pero los bancos operan bajo el Acuerdo No. 3-2012 de la Superintendencia de Bancos (gestión del riesgo de TI), quienes procesan tarjetas deben cumplir PCI DSS —que sí exige pentesting periódico— y la Ley 81 de 2019 exige medidas técnicas de seguridad a cualquiera que trate datos personales. En la práctica, la banca y las empresas reguladas lo hacen porque sus auditores y corresponsales lo piden.

¿Pueden auditar una empresa con operaciones en varios países?

Sí. El trabajo es mayormente remoto y el alcance puede cubrir infraestructura y aplicaciones en varios países, coordinando ventanas de prueba por sede. Es el escenario habitual de las sedes regionales en Ciudad de Panamá.

¿Cuánto dura un pentesting típico?

Depende del alcance: una aplicación web más su infraestructura suele tomar semanas, no meses. La propuesta técnica define tiempos concretos antes de empezar; desconfíe de quien le cotiza sin preguntar qué hay que probar.

¿Va a interrumpir la operación de mi negocio?

No. Se definen ventanas de prueba fuera de horario pico, con límites explícitos y protocolo de aviso inmediato ante cualquier hallazgo crítico. Probar sin romper es parte del oficio.

¿Un pentesting me sirve para cumplir la Ley 81 de 2019?

Un pentesting no es un certificado de cumplimiento, y desconfíe de quien le venda uno. Lo que sí le da es evidencia de las medidas técnicas de seguridad que la ley exige: qué se probó, qué se encontró y qué se corrigió.

Autodiagnóstico: cinco preguntas antes de pedir una propuesta

• ¿Cuándo fue la última prueba de penetración de su banca en línea, su app o su portal de clientes?
• ¿Sus proveedores de tecnología tienen acceso a sus sistemas? ¿Quién revisó qué pueden hacer con él?
• Si la credencial de un directivo se filtra hoy, ¿hasta dónde podría llegar un atacante en su red?
• ¿Las APIs que hablan con bancos o pasarelas de pago fueron probadas alguna vez por alguien que no las construyó?
• ¿Qué evidencia de seguridad le muestras hoy a su junta directiva o a sus corresponsales bancarios?

Si alguna le dejó sin respuesta, ya sabe por dónde empezar.