Panamá endurece sus medidas de ciberseguridad tras recientes ataques a entidades públicas

Publicado el 15-05-2026

Las nuevas disposiciones serán de cumplimiento obligatorio para las instituciones del Estado y buscan fortalecer la protección de sistemas, datos e infraestructuras digitales críticas.

El Gobierno de Panamá ha oficializado una serie de medidas obligatorias de ciberseguridad destinadas a reforzar la protección de los sistemas tecnológicos de las entidades públicas frente al creciente riesgo de ciberataques e incidentes informáticos.

La decisión fue formalizada mediante una resolución emitida por la Autoridad Nacional para la Innovación Gubernamental (AIG), publicada recientemente en Gaceta Oficial. La normativa será de obligatorio cumplimiento para las entidades del Gobierno Central, instituciones autónomas, semiautónomas y empresas estatales.

El anuncio surge luego de que se confirmaran incidentes de seguridad que afectaron a varias instituciones públicas, entre ellas el Ministerio de Economía y Finanzas (MEF), la Caja de Seguro Social (CSS), los ministerios de Salud y Trabajo, así como la plataforma Panamá Emende.

Principales medidas de seguridad exigidas

La nueva normativa establece la implementación de controles mínimos de seguridad tecnológica, entre los que destacan:

• Mantener un inventario actualizado de servidores, aplicaciones y equipos conectados a internet.

• Instalar y actualizar periódicamente los parches de seguridad en sistemas expuestos.

• Implementar autenticación multifactor (MFA) para accesos remotos, VPN, correos institucionales y servicios en la nube.

• Utilizar exclusivamente sistemas operativos vigentes y con soporte activo por parte de sus fabricantes.

• Mantener soluciones de protección contra malware en estaciones de trabajo y servidores.

• Aplicar filtros de seguridad para bloquear sitios maliciosos, intentos de phishing y descargas potencialmente peligrosas.

• Segmentar servicios críticos mediante zonas desmilitarizadas (DMZ).

• Restringir accesos administrativos directos desde internet hacia sistemas sensibles.

• Realizar al menos una prueba anual de penetración externa en sistemas expuestos a internet.

• Fortalecer la seguridad de los correos institucionales para detectar enlaces fraudulentos y prevenir intentos de suplantación de identidad.

Plazos para el cumplimiento

La resolución establece que todas las entidades sujetas a esta normativa deberán presentar ante la AIG, en un plazo máximo de 30 días calendario, un informe detallando el nivel de cumplimiento de las medidas establecidas.

En aquellos casos donde no se haya alcanzado el cumplimiento total, las instituciones deberán presentar un plan de acción correctivo que deberá ejecutarse en un período no mayor a 45 días calendario.

Referencia para gobiernos locales

Aunque la normativa está dirigida principalmente a las entidades del Gobierno Central y organismos estatales, el documento también recomienda que municipios, juntas comunales y consejos provinciales o comarcales adopten estas medidas como referencia técnica para fortalecer la seguridad de sus propios sistemas tecnológicos.

Un contexto de creciente amenaza digital

La adopción de estas nuevas medidas responde a una tendencia global marcada por el aumento de ataques cibernéticos contra infraestructuras gubernamentales y servicios públicos. Organismos internacionales han advertido sobre el incremento de amenazas dirigidas a sistemas que almacenan información sensible o prestan servicios digitales esenciales para la ciudadanía.

Con esta iniciativa, Panamá busca elevar sus estándares de ciberseguridad, reducir vulnerabilidades y fortalecer la resiliencia de las instituciones públicas frente a los desafíos del entorno digital actual.