Enterprise resilience in the era of machine-speed disruption
What changed between April and September 2026, what the data says, and how banks, cooperatives and insurers in Latin America must evolve when AI accelerates both attack and defense.
00 · Resumen ejecutivo
La resiliencia dejó de ser un plan de continuidad. Es una variable de estabilidad financiera.
En seis meses, cuatro señales convergieron. El FMI elevó el riesgo cibernético habilitado por IA a asunto de estabilidad macrofinanciera. Europa publicó el primer balance de incidentes bajo DORA y metió la IA bancaria dentro del perímetro de resiliencia operativa. Brasil endureció las reglas para los proveedores tecnológicos del Pix tras pérdidas de nueve cifras. Y los costos de una brecha en el sector financiero siguen subiendo más rápido que el promedio del mercado.
La conclusión para América Latina es incómoda: la región comparte la misma infraestructura digital que las economías avanzadas (nube, software común, redes de pago), pero con menos capacidad de defensa, supervisores con menos recursos y mayor dependencia de proveedores pequeños con ciclos de parcheo lentos. El FMI lo describe como una brecha de seguridad global que puede convertirse en un nuevo canal de fragmentación financiera.
La pregunta de la Junta ya no es “¿podemos evitar el incidente?”, sino “¿cuánto daño puede causar, cuán rápido lo contenemos y en cuánto tiempo volvemos a servir al cliente?”.
Tres decisiones que no admiten espera: (1) mapear servicios críticos y fijar tolerancias de impacto aprobadas por la Junta; (2) gobernar la concentración en terceros TIC y los agentes de IA como riesgos de primer orden; (3) probar la recuperación bajo escenarios correlacionados, no solo fallas aisladas.
01 · Hallazgos clave · abril–septiembre 2026
Siete hechos que redefinen la agenda
Cada hallazgo incluye fecha, fuente verificable y su traducción para instituciones financieras latinoamericanas.
FMI7 may 2026 (blog)
Jun 2026 (Nota 2026/005)
Jun 2026 (Nota 2026/005)
La IA convierte el riesgo cibernético en riesgo sistémico. El FMI sostiene que el problema central no son ataques nuevos, sino el efecto escala: la IA acelera el descubrimiento y la explotación de vulnerabilidades en software, nube y redes de pago compartidas, lo que aumenta la probabilidad de fallas simultáneas en muchas instituciones. Propone siete acciones de política, con énfasis en limitar el “radio de explosión” de una brecha, la defensa a velocidad de máquina y la recuperación. Alta
Las economías emergentes quedan más expuestas: mismos sistemas, menos defensa y proveedores locales con parches lentos. El supervisor regional seguirá esta línea.
IMF Note 2026/005 — AI and Cybersecurity in the Financial Sector
ESAs · UE3 jun 2026
Primer balance de DORA: el riesgo nace más en fallas de sistemas y terceros que en hackers. Las autoridades europeas agregaron 3.383 incidentes TIC mayores de 2025. Las fallas de sistemas y los eventos externos dominaron; solo cerca del 10% fueron ciberseguridad. Los supervisores advierten que el volumen refleja madurez de reporte, no debilidad estructural. Alta
La resiliencia no es un problema exclusivo del CISO. Cambios mal gestionados, proveedores y energía generan la mayoría de las interrupciones.
EBA18 jun 2026
La IA bancaria entra al perímetro de resiliencia operativa. El Informe de Evaluación de Riesgos de la EBA indica que los sistemas de IA de los bancos quedan sujetos a los controles de DORA sobre gestión de riesgo TIC, reporte de incidentes, pruebas de resiliencia y supervisión de terceros. Media · fuente secundaria
Anticipa el patrón regulatorio: la IA no tendrá un expediente separado; se auditará con la misma evidencia que la continuidad del negocio.
BCB · Brasilene–jul 2026
Brasil pasa de la advertencia a la sanción operativa. Un año después del ataque a C&M Software (pérdidas estimadas en R$ 800 millones), las Resoluciones BCB 498/2025 y 547/2026 endurecieron la acreditación de proveedores de servicios de TI (PSTI). Rige un límite de R$ 15 mil por operación Pix para instituciones conectadas mediante proveedores no acreditados, se exigen pruebas de intrusión anuales independientes y el BCB evalúa restringir el acceso al Pix a entidades con fallas de seguridad. Media
Es el precedente regional más avanzado: la resiliencia del proveedor se vuelve condición de acceso a la infraestructura de pagos.
Finsiders Brasil · Money Times, 8 jul 2026 · Jornal de Brasília, 30 ene 2026
IBM29 jul 2026
El costo de una brecha financiera sube más rápido que el mercado. Servicios financieros: US$ 6,29 M por brecha (vs. US$ 5,56 M en 2025), segundo sector más caro de 17. El ciclo de vida promedio de una brecha subió a 247 días. El uso extensivo de IA y automatización en seguridad redujo el costo en US$ 1,93 M y acortó el ciclo en 65 días. Alta
La IA defensiva ya tiene caso de negocio cuantificado; posponerla tiene un costo medible.
Pagos23 jun 2026
La cuarta parte también cuenta. Una falla de la red eléctrica de un tercero dejó a miles de comercios del Reino Unido sin procesar tarjetas vía Worldpay durante una de las noches de mayor consumo del Mundial. Alta
Los mapas de dependencia deben llegar hasta los proveedores de sus proveedores: energía, telecomunicaciones y centros de datos.
Agentes IAabr–jul 2026
Los agentes llegan a producción antes que su gobierno. 62% de las instituciones financieras ya despliega agentes de IA; 20% reporta incidentes de seguridad de IA conocidos y otro 21% no sabe si los tuvo (Cloud Security Alliance). 72% de los bancos de EE. UU. se declara menos preparado en protocolos de apagado de modelos y reporte de fallas de IA (Wolters Kluwer). Gartner proyecta que 40% de las áreas de infraestructura con IA agéntica a escala sufrirá una disrupción con impacto de negocio hacia 2028. Media · encuestas
El agente autónomo es un nuevo tipo de proveedor interno: necesita identidad, límites, bitácora y un plan de degradación controlada.
CSA 2026 · Wolters Kluwer Index (reseña) · Gartner Hype Cycle AI in IT Ops (reseña)
02 · Datos y estadísticas
La evidencia cuantitativa
Alta indica fuente primaria o analista con metodología publicada. Media indica fuente secundaria, encuesta sin muestra verificable o proyección; se presenta como referencia, no como base de decisión.
Costo promedio por brecha de datos
Millones de US$ · IBM Cost of a Data Breach
Escala: 0 a 6,29Alta
Brecha de protección · LATAM 2024
Miles de millones de US$ · Swiss Re Institute sigma
Brecha regional >80% en la última décadaAlta
| Indicador | Valor | Fuente y fecha | Confianza |
|---|---|---|---|
| Costo promedio de brecha, servicios financieros | US$ 6,29 M (+12% a/a) | IBM Cost of a Data Breach · jul 2026 · ver | Alta |
| Ahorro por uso extensivo de IA y automatización en seguridad | US$ 1,93 M · −65 días | IBM · jul 2026 · ver | Alta |
| Días promedio para identificar y contener una brecha | 247 | IBM · jul 2026 | Alta |
| Incidentes TIC mayores reportados en la UE (2025) | 3.383 · ~10% ciber | ESAs, primer informe DORA · jun 2026 · ver | Alta |
| Incidentes mayores originados en terceros TIC | 29% | Risk Ledger, sobre informe ESAs · ago 2026 · ver | Media |
| Proveedores TIC críticos bajo supervisión directa de la UE | 19 | ESAs · nov 2025 · ver | Alta |
| Registros de información DORA aceptados (Países Bajos) | 40% → 94% | AFM, DORA-update 7 · 2026 · ver | Alta |
| Tiempo de movimiento lateral del atacante (breakout) | 29 min (−65%) | CrowdStrike 2026, citado en Nota FMI 2026/005 | Alta |
| Crecimiento de actividad de adversarios con IA (2024→2025) | +89% | CrowdStrike 2026, citado por FMI | Alta |
| Pérdidas por ataque a C&M Software (Brasil, jul 2025) | R$ 800 M | Finsiders Brasil · 2026 | Media |
| Instituciones financieras con agentes de IA desplegados | 62% | Cloud Security Alliance (n=340) · abr 2026 · ver | Alta |
| Riesgo #1 empresarial global / IA / interrupción del negocio | Ciber 42% · IA #2 · BI #3 | Allianz Risk Barometer · ene 2026 · ver | Alta |
| Expertos que anticipan un bienio turbulento o tormentoso | 50% (+14 pp) | WEF Global Risks Report · ene 2026 · ver | Alta |
| Brecha global de protección por catástrofes naturales | US$ 424 mil M | Swiss Re sigma 1/2026 · ver | Alta |
| Crecimiento anual de incidentes cibernéticos divulgados en LATAM (década) | ~25% | Banco Mundial, citado por Innovación Digital 360 | Media |
Vacío de datos declarado. No hay cifras públicas comparables y recientes del costo de brechas ni del volumen de incidentes operativos para el sector financiero de Colombia, Perú y Centroamérica. No se extrapolan valores globales a esos mercados.
03 · Voces expertas
Lo que dicen quienes supervisan, aseguran y defienden
We can't protect the international monetary system against massive cyber risks.
Kristalina Georgieva, Directora Gerente del FMI · Reuniones de Primavera, abril 2026 · fuente
El FMI concluye que los marcos de resiliencia vigentes siguen siendo válidos, pero no fueron diseñados para un entorno donde la IA sondea debilidades de forma sistemática y las explota a velocidad de máquina. Por eso pide pasar de la prevención a la contención y la recuperación.
Adrian, Gaidosch, Moretti, Qureshi y Ravikumar, Nota FMI 2026/005 · junio 2026
The below-trend natural catastrophe losses seen in 2025 are the result of favourable variability
Balz Grollimund, Head Catastrophe Perils, Swiss Re · marzo 2026 · fuente
Cyber risk is no longer just an issue for the IT department.
Pernilla Rönn, Head of Cybersecurity, HiQ · junio 2026 · fuente
La industria avanza hacia operaciones autónomas con IA, y la visibilidad, el gobierno de identidades y los controles en tiempo real deben madurar al mismo ritmo.
Troy Leach, Chief Strategy Officer, Cloud Security Alliance · 2026 · fuente
Tras la volatilidad de 2025, las empresas enfrentan riesgos interconectados y complejos; la IA es el gran salto del año como fuente de riesgo operativo, legal y reputacional.
Thomas Lillelund, CEO, Allianz Commercial · enero 2026 · fuente
04 · Tendencias emergentes y predicciones
Seis fuerzas que definirán 2027–2030
La resiliencia operativa se mide como la solvencia
AltaEl BIS publicó en abril un análisis de pruebas de estrés cibernético centradas en indisponibilidad de sistemas críticos y contagio entre entidades. El FMI pide integrar módulos operativos y macrofinancieros: liquidez, márgenes y confianza ante caídas prolongadas.
Horizonte LATAM
Supervisores líderes: ejercicios piloto 2027–2028.
Supervisión directa de proveedores críticos
AltaLa UE supervisa a 19 proveedores TIC críticos (incluidos los grandes hiperescaladores). Brasil condiciona la acreditación de PSTI. La siguiente frontera es exigir sustituibilidad probada y planes de salida ejecutables.
Horizonte LATAM
Brasil ya; Chile y México, 12–24 meses.
La IA dentro del perímetro de resiliencia
MediaModelos y agentes se tratarán como activos TIC críticos: inventario, pruebas, reporte de incidentes y supervisión de terceros. El riesgo agregado de modelos (fallas que se propagan entre modelos que comparten datos o supuestos) entra en la guía de la Reserva Federal de abril de 2026.
Horizonte LATAM
Primeras circulares de expectativas: 2027.
Arquitecturas de radio de explosión limitado
AltaSegmentación, confianza cero, control estricto de accesos y diseño seguro por defecto pasan de buena práctica a exigencia. El objetivo: que un intruso, humano o agente, no alcance el resto del sistema.
Horizonte LATAM
Inversión prioritaria 2026–2028.
Operaciones agénticas con disrupciones propias
MediaGartner proyecta que la adopción de agentes en operaciones de infraestructura pasará de menos de 10% a 60% hacia 2029, y que 40% de quienes operen a escala sufrirá una disrupción de negocio hacia 2028. La resiliencia deberá cubrir errores en cascada de sistemas propios.
Horizonte LATAM
Riesgo material desde 2027.
Resiliencia climática como producto asegurador
AltaLos peligros secundarios explicaron 92% de las pérdidas aseguradas globales de 2025. Swiss Re estima un escenario pico de unos US$ 320 mil M en 2026. La brecha en LATAM abre espacio a seguros paramétricos y esquemas público-privados.
Horizonte LATAM
Ventana de crecimiento 2026–2030.
Editorial NEXUM Los medidores de horizonte son una estimación editorial de NEXUM LATAM sobre la velocidad de adopción regional, no una medición certificada.
05 · Debates y controversias
Donde el consenso todavía no existe
¿La IA favorece al atacante o al defensor?
A favor del atacanteLa IA reduce el costo, la pericia y el tiempo para explotar vulnerabilidades; los modelos de frontera ya completan ataques corporativos de múltiples pasos sin ayuda humana, según el FMI y el AISI británico.
A favor del defensorIBM documenta ahorros de US$ 1,93 M por brecha con IA defensiva, y el FMI identifica cinco funciones donde la IA ya es indispensable: detección, fraude, respuesta, descubrimiento de vulnerabilidades y reporte.
Postura NEXUMA corto plazo gana el atacante en mercados emergentes, porque la defensa exige datos, integración y gobierno que muchas instituciones de la región aún no tienen. Esperar a “madurar” antes de adoptar IA defensiva es la opción más cara.
¿Más incidentes reportados significan más debilidad?
SíLas cifras absolutas (miles de incidentes mayores en un año) muestran fragilidad de infraestructuras muy dependientes de terceros.
NoLas autoridades europeas señalan explícitamente que el volumen refleja madurez de reporte y no debilidad estructural.
Postura NEXUMLa métrica que importa a la Junta es el tiempo de recuperación de servicios críticos frente a su tolerancia de impacto, no el conteo de incidentes. Una institución que reporta poco en LATAM probablemente ve poco.
¿Multinube como respuesta a la concentración?
A favorLa caída de AWS en octubre de 2025 afectó bancos en varios países. La multinube elimina el punto único de falla del proveedor.
En contraDuplica complejidad, costo y superficie de ataque. Muchas instituciones no tienen talento para operar dos nubes con la misma disciplina.
Postura NEXUMMultinube selectiva: solo para servicios críticos con tolerancia de impacto menor a cuatro horas, con salida probada. Para el resto, resiliencia multirregión y contratos con derechos de auditoría y salida.
¿Botón de apagado binario para la IA?
BinarioLos supervisores preguntan si el banco puede apagar un modelo. Un interruptor simple es fácil de auditar.
GraduadoApagar un modelo que opera pagos, fraude o cobranza sin respaldo es, en sí mismo, un incidente operativo.
Postura NEXUMControles graduados: limitar, restringir, pasar a supervisión humana y, al final, detener. Cada agente crítico necesita un modo degradado probado antes de salir a producción.
¿Copiar DORA en América Latina?
ConvergenciaUn estándar común reduce costos para grupos regionales y eleva el piso de seguridad.
ProporcionalidadCooperativas y aseguradoras medianas no pueden absorber la carga documental europea; Chile ya aplica proporcionalidad según naturaleza, volumen y complejidad.
Postura NEXUMAdoptar los principios de DORA (servicios críticos, tolerancias, terceros, pruebas y reporte) con requisitos escalonados por tamaño. La proporcionalidad aplica al detalle, nunca a la pregunta de cuánto tarda en recuperarse el servicio.
06 · Matriz de madurez LATAM
Seis mercados frente a la resiliencia operativa
Evaluación editorial Escala 1–5 construida por NEXUM LATAM a partir de normativa pública y evidencia supervisora disponible. No es una medición certificada.
| Mercado | Marco de resiliencia y continuidad | Terceros TIC | Reporte de incidentes | Pruebas y ejercicios | IA en el perímetro | Nota |
|---|---|---|---|---|---|---|
| Brasil | 4 | 5 | 4 | 4 | 2 | Acreditación PSTI, pentest anual independiente, IN BCB 744/2026 sobre reporte de riesgo operacional. |
| Chile | 4 | 3 | 4 | 3 | 2 | RAN 20‑7 a 20‑10 de la CMF; Sistema de Finanzas Abiertas con anexo de contingencia (jun 2026). |
| México | 3 | 3 | 4 | 3 | 2 | Banxico ya integra la IA en su análisis de riesgo cibernético (REF dic 2025); coordinación vía GRI. |
| Colombia | 3 | 3 | 3 | 2 | 2 | Datos limitados. BanRep modela escenarios cibernéticos sobre infraestructura de mercado. |
| Perú | 3 | 2 | 3 | 2 | 1 | Datos limitados. Reglamento de ciberseguridad SBS vigente; poca evidencia pública de pruebas. |
| Costa Rica | 3 | 2 | 2 | 2 | 1 | Marco de gestión de TI del CONASSIF; ataques de 2022 al Estado siguen como referencia de riesgo país. |
1Inicial2En desarrollo3Definido4Gestionado5Optimizado
La columna más débil es la misma en los seis mercados: ningún supervisor latinoamericano ha publicado aún expectativas explícitas que traten la IA como activo crítico de resiliencia operativa. Es la brecha que llegará primero a las visitas de inspección.
07 · Implicaciones prácticas
Cómo deben evolucionar bancos, cooperativas y aseguradoras
La IA cambia la resiliencia en dos sentidos: acelera la amenaza y ofrece la única defensa que opera a la misma velocidad. Cada tipo de institución parte de un punto distinto.
Bancos
De planes de continuidad por sistema a resiliencia por servicio crítico de negocio.
Prioridad: concentración y velocidad
Cinco movimientos
- Definir de 10 a 20 servicios críticos con tolerancias de impacto aprobadas por la Junta (tiempo máximo, volumen de clientes, monto).
- Construir un mapa de dependencias hasta la cuarta parte: nube, procesadores, telecomunicaciones y energía.
- Rediseñar la arquitectura para contener el radio de explosión: segmentación, identidades privilegiadas y confianza cero.
- Ejecutar pruebas de estrés cibernético con impacto en liquidez y pagos, no solo recuperación técnica.
- Incorporar cada agente de IA al inventario de activos críticos con identidad, límites, bitácora y modo degradado.
Métricas para la Junta
- Servicios críticos dentro de tolerancia en el último ejercicio (%)
- Tiempo real de recuperación vs. tolerancia
- Concentración: % de servicios críticos en un solo proveedor
- Tiempo medio de detección y contención
- Agentes de IA en producción con modo degradado probado (%)
Palanca IA: AIOps predictivo para anticipar fallas, detección de fraude en tiempo real ante ataques con deepfakes y simulación de escenarios correlacionados sobre gemelos digitales de procesos críticos.
Cooperativas
De depender del proveedor core a gobernar la resiliencia de forma compartida.
Prioridad: proveedor y proporcionalidad
Cinco movimientos
- Tratar al proveedor del core y de canales como el principal riesgo operativo: cláusulas de auditoría, continuidad, notificación y salida.
- Crear un centro de resiliencia compartido por federación o consorcio (SOC, respaldo inmutable y equipo de respuesta) para ganar escala.
- Priorizar tres controles de alto retorno: autenticación multifactor, respaldos aislados y segmentación de la red de pagos.
- Ensayar la crisis con la Junta y el Consejo de Vigilancia al menos una vez al año, incluida la comunicación con los asociados.
- Adoptar IA defensiva como servicio gestionado antes que construir capacidades propias.
Métricas para el Consejo
- Proveedores críticos con plan de salida documentado (%)
- Días desde el último ejercicio de crisis
- Recuperación de respaldos probada en el trimestre
- Parches críticos aplicados en menos de 15 días (%)
- Pérdidas por fraude digital sobre transacciones
Palanca IA: monitoreo gestionado con IA compartido entre cooperativas; el FMI advierte que las instituciones con proveedores pequeños y parches lentos son las más expuestas, y la escala colectiva es la respuesta más eficiente.
Aseguradoras
De pagar la disrupción a prevenirla, modelarla y convertirla en producto.
Prioridad: doble exposición
Cinco movimientos
- Gestionar la doble exposición: la resiliencia operativa propia y el riesgo que suscriben en ciber, interrupción de negocio y catástrofes.
- Modelar la acumulación cibernética: una falla en un proveedor de nube común puede activar miles de pólizas a la vez.
- Diseñar seguros paramétricos y de interrupción digital para cerrar la brecha de protección regional.
- Integrar prevención en la póliza: evaluaciones de postura cibernética y climática como condición y como descuento.
- Blindar el siniestro contra fraude con IA generativa (documentos, imágenes y voces sintéticas).
Métricas para la Junta
- Pérdida máxima probable por escenario de nube común
- Participación de productos paramétricos en primas nuevas
- Siniestros con señal de manipulación sintética detectada
- Tiempo de pago tras evento catastrófico
- Servicios críticos propios dentro de tolerancia
Palanca IA: modelos de catástrofe con datos geoespaciales, suscripción basada en telemetría de riesgo del cliente y análisis automático de siniestros para pagar más rápido y detectar fraude.
08 · Hoja de ruta estratégica · 0 a 48 meses
De la continuidad documentada a la resiliencia autónoma gobernada
Meses 0–6
Ver
- Servicios críticos y tolerancias aprobadas
- Inventario de terceros y agentes de IA
- Diagnóstico de madurez de resiliencia
- Responsable ejecutivo único
ResultadoLa Junta sabe qué no puede fallar y cuánto tolera.
Meses 6–18
Contener
- Segmentación y confianza cero en servicios críticos
- Respaldos inmutables y aislados
- Contratos con auditoría y salida
- IA defensiva en detección y fraude
ResultadoUn incidente ya no se convierte en crisis sistémica interna.
Meses 18–30
Probar
- Pruebas de estrés con impacto en liquidez
- Ejercicios sectoriales con pares y supervisor
- Salida probada de un proveedor crítico
- Modos degradados para agentes
ResultadoEvidencia auditable de recuperación dentro de tolerancia.
Meses 30–48
Adaptar
- Operaciones de resiliencia asistidas por IA
- Tablero de resiliencia en tiempo real para la Junta
- Resiliencia como atributo de producto
- Aprendizaje continuo post-incidente
ResultadoLa resiliencia se convierte en ventaja competitiva y de confianza.
09 · Imperativos ejecutivos
Una decisión por rol en los próximos 90 días
Junta
Directorio y Comité de Riesgos
Aprobar tolerancias de impacto por servicio crítico y recibir cada trimestre el desempeño real contra ellas.
Pregunta clave: ¿qué servicio no puede estar caído más de cuatro horas y cómo lo sabemos?
CEO
Dirección General
Nombrar un responsable único de resiliencia con autoridad transversal y presupuesto propio.
Pregunta clave: ¿quién decide en la primera hora de una crisis?
CRO
Riesgos
Llevar la concentración en terceros y el riesgo agregado de modelos al apetito de riesgo formal.
Pregunta clave: ¿qué pasa si falla a la vez el proveedor que usan cinco bancos del país?
CIO / CTO
Tecnología
Rediseñar la arquitectura de servicios críticos para limitar el radio de explosión y probar la salida de un proveedor.
Pregunta clave: ¿cuántos sistemas alcanza una credencial comprometida?
CISO
Seguridad de la información
Desplegar detección y respuesta asistidas por IA y gobernar identidades de máquinas y agentes.
Pregunta clave: ¿contenemos un movimiento lateral en menos de 29 minutos?
CFO
Finanzas
Cuantificar el valor en riesgo por disrupción y financiar la resiliencia con la misma lógica que el capital.
Pregunta clave: ¿cuánto nos cuesta un día sin nuestro servicio más crítico?
10 · Bibliografía verificada
Fuentes
- Adrian, T. et al. “Artificial Intelligence and Cybersecurity in the Financial Sector.” IMF Note 2026/005, junio 2026. imf.org
- ESAs (EBA, EIOPA, ESMA). Primer informe anual de incidentes TIC mayores bajo DORA, 3 jun 2026. eiopa.europa.eu
- Pillsbury. “DORA Incident Reporting: ESAs 2025 report”, jun 2026. pillsburylaw.com
- AI Pulse Daily Brief, 19 jun 2026 (sobre el Risk Assessment Report de la EBA). buttondown.com
- Risk Ledger. “DORA: A Guide to Third-Party Supplier Risk”, 14 ago 2026. riskledger.com
- AFM. DORA-update 7, 2026. afm.nl
- IBM. “One year into DORA application”, 2026. ibm.com
- eSecurity Planet. “IBM 2026 Cost of a Data Breach Report: Key Findings”, jul 2026. esecurityplanet.com
- Northdoor. “IBM’s 2026 data breach report: financial services”, 31 jul 2026. northdoor.co.uk
- Baker Donelson. “Ten takeaways from IBM’s 2026 Cost of a Data Breach Report”, 2026. bakerdonelson.com
- Finsiders Brasil. “Ataque hacker à C&M Software: 1 ano depois”, 2026. finsidersbrasil.com.br
- Money Times. “Pix restrito: a medida do BC”, 8 jul 2026. moneytimes.com.br
- Jornal de Brasília. “Banco Central reforça regras de TI”, 30 ene 2026. jornaldebrasilia.com.br
- Asobancaria. Informe de Regulación Internacional N°58 (BIS, BCB, CMF, Fed; II trim. 2026), jul 2026. asobancaria.com
- Dojo. “Lessons from the 2026 Worldpay outage”, 13 jul 2026. dojo.tech
- Cloud Security Alliance. “State of Cloud and AI for Financial Services 2026”, abr 2026. cloudsecurityalliance.org
- Reseña del Wolters Kluwer US Banking AI Risk and Governance Index H1 2026 (10 jun 2026). fuente secundaria
- XenoSpectrum. Reseña del Gartner Hype Cycle for AI in IT Operations 2026 (10 jul 2026). xenospectrum.com
- Capacity Global. “Finance leaders in Washington issue stark warning on AI cyber threats”, 17 abr 2026. capacityglobal.com
- HiQ. “IMF Highlights AI-Driven Cyber Risks as a Financial Stability Issue”, 25 jun 2026. hiq.se
- Allianz Risk Barometer 2026, ene 2026. businesswire.com · insurancejournal.com
- World Economic Forum. Global Risks Report 2026, 14 ene 2026. weforum.org
- Swiss Re Institute. sigma 1/2026 (vía Reinsurance News, 19 mar y 3 jun 2026). reinsurancene.ws · reinsurancene.ws
- Swiss Re. sigma natcat, datos de América Latina 2024. swissre.com
- El Imparcial. Banxico, Reporte de Estabilidad Financiera dic 2025 y riesgo cibernético con IA, 20 dic 2025. elimparcial.com
- CMF Chile. Marco normativo de riesgo operacional y ciberseguridad (RAN 20‑7, 20‑8, 20‑9, 20‑10). cmfchile.cl
- Computer Weekly. “El 2026 será un punto de inflexión para la banca digital en América Latina” (Fintech Americas 2026). computerweekly.com
- Innovación Digital 360. “Ciberseguridad en fintechs y bancos digitales: agenda 2026”, 3 dic 2025. innovaciondigital360.com
Criterio editorial: las cifras con confianza Media provienen de fuentes secundarias o encuestas cuya muestra no fue verificable. Las evaluaciones de madurez y las posturas en debates son juicio profesional de NEXUM LATAM. Todas las citas textuales tienen menos de 15 palabras; el resto del contenido está parafraseado.
