verified Guía gratuita 2025 — Edición LATAM

Ciberseguridad para Empresas en
Latinoamérica y Centroamérica

Guía práctica con checklist de controles, marcos regulatorios, plan de respuesta a incidentes y hoja de ruta de implementación para organizaciones que buscan proteger sus activos digitales.

calendar_today Edición 2025 menu_book Fuentes: IBM X-Force, CIS Controls v8.1, NIST CSF 2.0, Kaspersky ICS CERT, ENISA public Enfoque: LATAM & Centroamérica schedule Lectura: ~25 min

Sección 01

Panorama de Amenazas 2025

El costo global del cibercrimen superó los $9.5 billones USD en 2024 y se proyecta alcanzar $10.5 billones en 2025 (Cybersecurity Ventures). Las organizaciones en LATAM están en la mira de actores avanzados que explotan la brecha de madurez en seguridad.

$4.88M
Costo promedio global de una brecha de datos
Fuente: IBM Cost of Data Breach 2024

277 días

Tiempo promedio para identificar y contener una brecha

Fuente: IBM X-Force 2024

74%

De las brechas involucran el factor humano

Fuente: Verizon DBIR 2024

+40%

Incremento de ataques ransomware en LATAM vs 2023

Fuente: Kaspersky 2024

3er

LATAM es la 3ª región más atacada globalmente

Fuente: IBM X-Force Threat Intelligence

68%
De las PyMEs en LATAM no tienen un plan formal de respuesta a incidentes
Fuente: EY Global Information Security Survey

warning

Alerta LATAM 2024-2025: México, Brasil, Colombia y Argentina concentran el 78% de los ataques de ransomware en la región. Costa Rica fue objetivo de un ataque de Estado en 2022 que paralizó servicios críticos del gobierno por semanas. Las organizaciones que no invierten en defensa activa son las siguientes en la lista.

Sección 02

Amenazas Críticas para LATAM

Estas son las 8 categorías de amenazas con mayor impacto documentado en organizaciones latinoamericanas en 2024-2025, según datos de IBM X-Force, Kaspersky ICS CERT y ENISA.

lock

Ransomware

Crítico

Cifrado de datos con exigencia de rescate. Los operadores modernos (LockBit, BlackCat, Clop) emplean doble extorsión: cifran y exfiltran datos. El rescate promedio en LATAM superó los $850,000 USD en 2024.

trending_up Sectores más afectados en LATAM: salud, gobierno, manufactura, retail

phishing

Phishing / BEC

Crítico

Business Email Compromise y phishing dirigido (spear-phishing) generan el 40% de los incidentes en LATAM. Los atacantes usan IA para personalizar mensajes en español con alta credibilidad.

trending_up Vector de entrada #1 en LATAM — frecuentemente combinado con robo de credenciales

bug_report

Vulnerabilidades no parcheadas

Alto

El 60% de las brechas se originan en vulnerabilidades conocidas con parche disponible (ENISA, 2024). ProxyLogon, Log4Shell y vulnerabilidades VPN/Citrix siguen activos en redes LATAM.

trending_up Ciclos de parche >90 días son la norma en organizaciones medianas de LATAM

key

Robo de credenciales

Alto

Infostealer malware (Redline, Vidar, Lumma) recolectan credenciales de navegadores y aplicaciones. En LATAM, el mercado de acceso inicial vende credenciales VPN/RDP de empresas por $100-$5,000 USD.

trending_up Costa Rica, México y Colombia son top 5 en listings de initial access brokers

factory

Ataques a cadena de suministro

Alto

Comprometer a un proveedor de software o servicios para acceder a múltiples organizaciones cliente. El ataque a MOVEit (2023) afectó más de 1,000 organizaciones globalmente incluyendo entidades en LATAM.

trending_up Proveedores de ERP, contabilidad y CRM son vectores frecuentes en LATAM

cloud

Configuraciones erróneas en la nube

Medio

Buckets S3 públicos, bases de datos expuestas, API keys en repositorios y permisos IAM excesivos son las causas más frecuentes de exposición de datos en infraestructura cloud en LATAM.

trending_up Migración acelerada a cloud post-pandemia dejó brechas de configuración sin resolver

person_alert

Amenazas internas

Medio

Empleados maliciosos o negligentes acceden, roban o destruyen datos. La rotación laboral alta y el trabajo remoto sin controles han aumentado este riesgo. El 34% de las brechas tienen componente interno (Verizon DBIR 2024).

trending_up Sectores financiero y retail en LATAM reportan incremento de fraude interno en 2024

smart_toy

Ataques impulsados por IA

Medio (creciente)

Uso de LLMs para generar phishing personalizado, código malicioso y deepfakes de voz para BEC. La barrera de entrada para atacantes no técnicos cayó drásticamente en 2024-2025.

trending_up Phishing en español de alta calidad generado con IA ya supera la detección humana básica

Sección 03

Checklist de Controles Esenciales

Basado en CIS Controls v8.1. Los controles IG1 son el mínimo aceptable para cualquier organización. IG2 aplica a organizaciones con datos sensibles o en industrias reguladas.

Identidad y Acceso IG1

MFA activado en todos los accesos remotos y correo corporativo Sin MFA, las credenciales robadas son suficientes para el acceso total. Es el control con mayor ROI de seguridad.

Prioridad: Crítica — implementar en <30 días

Principio de mínimo privilegio (acceso solo a lo necesario) Revisar y eliminar accesos innecesarios. Ningún usuario debe tener privilegios de administrador para uso cotidiano.

Prioridad: Alta

Inventario actualizado de usuarios privilegiados y cuentas de servicio Las cuentas olvidadas son las favoritas de los atacantes. Auditar accesos activos cada 90 días.

Prioridad: Alta

Política de contraseñas: mínimo 12 caracteres + complejidad + no reutilización Implementar gestor de contraseñas corporativo (Bitwarden, 1Password for Business).

Prioridad: Media

Endpoints y Dispositivos IG1

EDR/Antivirus de nueva generación instalado y actualizado en todos los endpoints EDR (CrowdStrike, SentinelOne, Defender for Business) detecta comportamientos maliciosos que el AV tradicional no ve.

Prioridad: Crítica

Parches del sistema operativo aplicados en <30 días (críticos <7 días) El 60% de las brechas explotan vulnerabilidades con parche disponible. Definir ventana de mantenimiento mensual.

Prioridad: Alta

Cifrado de disco habilitado (BitLocker / FileVault) en laptops Un laptop perdido o robado sin cifrado = brecha de datos reportable. Implementación trivial con impacto alto.

Prioridad: Media

Inventario completo de activos: hardware y software autorizado No se puede proteger lo que no se conoce. CIS Control #1 y #2. Usar herramienta de gestión de activos.

Prioridad: Media

Red y Perímetro IG1

Firewall perimetral con reglas de entrada/salida revisadas y documentadas Cerrar todos los puertos no necesarios expuestos a internet. RDP (3389) y SMB (445) nunca deben estar abiertos al exterior.

Prioridad: Crítica

VPN corporativa para acceso remoto (no exponer RDP directamente) RDP expuesto a internet es el vector de entrada más explotado en ransomware. Toda conexión remota debe pasar por VPN.

Prioridad: Crítica

Segmentación de red: separar OT/IoT de la red corporativa Las cámaras, impresoras e IoT son vectores frecuentes. Una VLAN separada limita el movimiento lateral del atacante.

Prioridad: Media

DNS filtering para bloquear dominios maliciosos y C2 Cloudflare Gateway, Cisco Umbrella o Pi-hole Enterprise. Bloquean la mayoría de malware y phishing a nivel DNS.

Prioridad: Media

Datos y Backups IG1

Regla 3-2-1 de backups: 3 copias, 2 medios distintos, 1 offsite/offline Los backups son la única defensa real contra ransomware. El backup debe estar aislado (air-gap o inmutable).

Prioridad: Crítica

Prueba de restauración de backups al menos trimestral Un backup que no se ha probado no es un backup. Ejecutar drill de recuperación y documentar RTO/RPO.

Prioridad: Alta

Clasificación de datos: identificar datos sensibles y aplicar controles adicionales PII, datos financieros y secretos comerciales requieren cifrado en reposo y en tránsito, acceso restringido y auditoría.

Prioridad: Media

Detección y Monitoreo IG2

Logging centralizado: eventos de seguridad, accesos y cambios críticos Sin logs no hay investigación forense posible. SIEM básico o Wazuh open-source para organizaciones medianas.

Prioridad: Alta

Alertas automáticas para eventos de seguridad críticos 24/7 Logins fuera de horario, accesos desde IPs inusuales, escalada de privilegios. El tiempo de detección impacta directamente en el costo del incidente.

Prioridad: Alta

Monitoreo de Dark Web para credenciales corporativas expuestas Servicios como Have I Been Pwned Enterprise, Flare o un SOC gestionado alertan cuando sus credenciales aparecen en foros criminales.

Prioridad: Media

Sección 04

Marcos de Referencia

Los tres marcos más relevantes para organizaciones en LATAM según madurez y tipo de industria.

Marco	Enfoque	Ideal para	Complejidad	Costo
CIS Controls v8.1	18 controles priorizados y accionables. Basado en ataques reales. IG1 = "higiene básica".	PyMEs y medianas que empiezan su programa. Resultado rápido en 3-6 meses.	Baja	Gratuito
NIST CSF 2.0	Gobernar, Identificar, Proteger, Detectar, Responder, Recuperar. Marco de comunicación con directivos.	Organizaciones con programa de seguridad establecido que buscan madurar y comunicar riesgo a la junta directiva.	Media	Gratuito
ISO/IEC 27001:2022	93 controles en 4 dominios. Sistema de Gestión de Seguridad de la Información (SGSI) certificable.	Empresas que requieren certificación para contratos enterprise, sector financiero, gobierno o salud.	Alta	$15K-$80K implementación + auditoría

lightbulb

Recomendación para LATAM: Iniciar con CIS Controls IG1 (18 controles básicos implementables en 6 meses con equipo interno), luego adoptar NIST CSF 2.0 como lenguaje de reporte a directivos. ISO 27001 solo cuando sea requisito contractual explícito. No saltar al ISO 27001 sin antes tener madurez en los básicos.

Sección 05

Regulaciones en LATAM

El panorama regulatorio en la región se ha acelerado. El incumplimiento genera multas, responsabilidad penal y daño reputacional. Estas son las normas que más impactan a empresas con operaciones en LATAM.

location_on Costa Rica

Ley 8968 — Protección de la Persona frente al tratamiento de sus datos personales

Regula recolección, almacenamiento y uso de datos personales. Requiere consentimiento explícito y medidas de seguridad adecuadas. La PRODHAB es la autoridad de control.

warning Multa hasta ₡223M (~$430K USD) + responsabilidad civil

location_on Brasil

LGPD — Lei Geral de Proteção de Dados (2020)

Equivalente al GDPR europeo. Aplica a cualquier empresa que procese datos de residentes en Brasil. Obliga a nombrar DPO, implementar privacy by design y reportar brechas en 72 horas.

warning Multa hasta 2% del facturado (máx R$50M ~$10M USD) por infracción

location_on México

LFPDPPP — Ley Federal de Protección de Datos Personales en Posesión de Particulares

Exige aviso de privacidad, consentimiento del titular y medidas de seguridad. El INAI es la autoridad reguladora con facultades de inspección y sanción.

warning Multa de 100 a 320,000 días de salario mínimo (~$500K USD máx)

location_on Colombia

Ley 1581 de 2012 + Decreto 1074/2015

Regula el tratamiento de datos personales. La SIC (Superintendencia de Industria y Comercio) supervisa el cumplimiento. Requiere políticas de tratamiento de datos y registro de bases de datos.

warning Multa hasta 2,000 SMMLV (~$600K USD) por incumplimiento grave

public Regional

Directiva NIS2 (impacto indirecto en empresas con vínculos EU)

Aplica a proveedores que operan en la UE o sirven a organizaciones europeas. Exige gestión de riesgos, reporte de incidentes en 24h y responsabilidad de la cadena de suministro.

warning Multa hasta €10M o 2% del volumen de negocio global

account_balance Sectorial

Regulaciones sectoriales: banca, salud, telecomunicaciones

SUGEF (CR), CNBV (MX), SFC (CO) tienen requisitos adicionales para el sector financiero incluyendo DORA-equivalent para resilencia operativa y controles específicos de ciberseguridad.

warning Revocación de licencia operativa en casos graves

check_circle

Consejo práctico: Implementar CIS Controls IG1 + política de privacidad documentada cubre el 70-80% de los requisitos regulatorios de la región. No se necesita un equipo legal dedicado para empezar — se necesita un programa de seguridad técnica sólido.

Sección 06

Plan de Respuesta a Incidentes

El 68% de las organizaciones en LATAM no tienen un plan formal (EY, 2024). Cada hora sin un plan estructurado multiplica el costo del incidente. Este es el esqueleto mínimo viable.

Preparación

Definir equipo de respuesta (CIRT) y roles
Establecer canales de comunicación alternativos
Crear árbol de escalamiento con contactos
Documentar activos críticos y sus custodios
Definir RTO/RPO por sistema crítico
Ejecutar simulacro anual (tabletop exercise)

Detección e Identificación

Alertas SIEM/EDR clasificadas por severidad
Triaje inicial: ¿es un incidente real o FP?
Determinar alcance: ¿cuántos sistemas?
Activar log collection intensivo inmediato
Notificar a gerencia si Crítico/Alto
Abrir ticket de incidente con timestamp

Contención

Aislar sistemas comprometidos de la red
Revocar credenciales sospechosas
Bloquear IPs/dominios maliciosos en firewall
Preservar evidencia forense (imagen de disco)
Activar backups fuera de la red comprometida
Documentar cada acción con timestamp

Erradicación

Identificar causa raíz (root cause analysis)
Eliminar malware, backdoors y persistencia
Aplicar parches que cerraron el vector inicial
Reinstalar sistemas comprometidos desde imagen limpia
Rotar todas las credenciales expuestas

Recuperación

Restaurar desde backup verificado
Validar integridad de datos restaurados
Monitoreo intensivo 72h post-recuperación
Comunicar a usuarios y stakeholders
Notificar a reguladores si aplica (<72h)

Lecciones Aprendidas

Post-mortem dentro de las 2 semanas
Documentar línea de tiempo completa
Identificar mejoras en detección y respuesta
Actualizar playbooks con lo aprendido
Métricas: MTTD, MTTR, impacto financiero

warning

Errores más comunes en incidentes LATAM: (1) No aislar el sistema comprometido inmediatamente — permite propagación. (2) Reiniciar servidores antes de preservar evidencia forense. (3) No tener contactos del proveedor de seguridad disponibles fuera del horario hábil. (4) No ejecutar el plan de comunicación preparado — la improvisación en una crisis multiplica el daño reputacional.

Sección 07

Hoja de Ruta de Implementación

Un programa de ciberseguridad se construye en fases. Esta hoja de ruta está diseñada para organizaciones de 50-500 empleados en LATAM con recursos limitados.

Fase 1 · Meses 1-3

Higiene Básica — CIS IG1

MFA en correo, VPN y accesos críticos
EDR/Antivirus en todos los endpoints
Parches críticos al día (<7 días para CVSS >9)
Backups automatizados con prueba de restauración
Inventario de activos (hardware + software)
Política de contraseñas implementada con gestor corporativo

payments Inversión estimada: $500-$3,000/mes según tamaño | Madurez alcanzada: Básica

Fase 2 · Meses 4-8

Visibilidad y Detección — CIS IG2

SIEM o logging centralizado (Wazuh, Microsoft Sentinel)
Email security gateway con anti-phishing avanzado
Segmentación de red + firewall con IDS/IPS
Vulnerability scanning mensual de activos expuestos
Capacitación en concientización de seguridad (phishing simulado)
Plan de respuesta a incidentes documentado y probado

payments Inversión estimada: $2,000-$8,000/mes | Madurez alcanzada: Intermedia

Fase 3 · Meses 9-18

Monitoreo Continuo y SOC

SOC 24/7 (interno o gestionado como BorneoCR)
Threat intelligence integrada al SIEM
SOAR para automatización de respuesta inicial (L1)
Pentesting anual de red externa e interna
Programa de gestión de vulnerabilidades formal
Revisión de accesos trimestrales + PAM para cuentas privilegiadas

payments Inversión estimada: $5,000-$20,000/mes | Madurez alcanzada: Avanzada

Fase 4 · Año 2+

Resiliencia y Cumplimiento Formal

Programa de BCP/DRP probado anualmente
Certificación ISO 27001 si es requisito del negocio
Zero Trust Architecture (microsegmentación, ZTNA)
Brand protection monitoring + dark web monitoring
Red Team / Purple Team exercises
Supply chain security assessments a proveedores críticos

payments Inversión estimada: $15,000-$50,000/mes | Madurez alcanzada: Óptima

Sección 08

Próximos Pasos

La ciberseguridad no es un proyecto con fecha de fin — es una práctica continua. Los tres pasos inmediatos de mayor impacto son simples y su ROI es demostrable en semanas.

looks_one
Activar MFA en correo y accesos remotos esta semana. Costo: $0-$6/usuario/mes.

looks_two
Auditar backups: ¿están probados? ¿están aislados? Corregir este mes.

looks_3
Solicitar una evaluación de madurez gratuita con BorneoCR para saber dónde está su organización.

¿Listo para proteger su organización?

BorneoCR ofrece SOC-as-a-Service con IA para empresas en Centroamérica y LATAM.
Detección 24/7, respuesta a incidentes y cumplimiento — sin infraestructura propia.

arrow_forward Evaluación gratuita Ver servicios

Ciberseguridad para Empresas enLatinoamérica y Centroamérica

Contenido de esta guía

Panorama de Amenazas 2025

Amenazas Críticas para LATAM

Checklist de Controles Esenciales

Marcos de Referencia

Regulaciones en LATAM

Plan de Respuesta a Incidentes

Hoja de Ruta de Implementación

Próximos Pasos

¿Listo para proteger su organización?

Ciberseguridad para Empresas en
Latinoamérica y Centroamérica