Ciberseguridad y datos, el otro lado del Open Finance en el Perú

El Perú avanza hacia la implementación del Open Finance de la mano de las regulaciones de la Superintendencia de Banca, Seguros y AFP (SBS). Sin embargo, el mismo intercambio de datos financieros entre bancos, fintechs y aseguradoras que promete impulsar la inclusión financiera también amplía la superficie de exposición a ciberataques cada vez más sofisticados, muchos de ellos potenciados por la inteligencia artificial.

Según Diego Francia, Account Director Perú y Bolivia de Red Hat, el mayor desafío para el ecosistema no es únicamente evitar filtraciones de información, sino garantizar la gobernanza del consentimiento del usuario, mitigar los riesgos que introducen terceros en la cadena de intercambio de datos y prevenir que los algoritmos de decisión automatizada, por ejemplo, en la evaluación de créditos, repliquen sesgos históricos de exclusión.

El pilar principal del Open Finance es el consentimiento del usuario para compartir su información. El reto está en que todo el ecosistema, bancos, fintechs, aseguradoras y nuevos actores digitales, mantenga el mismo nivel de rigurosidad en sus capas de seguridad, alineado con la regulación que hoy construye la SBS”, afirmó el especialista de Red Hat.

Estándares técnicos para proteger el ciclo de vida de los datos

Para que la información se mantenga segura durante todo su ciclo de vida, Francia identifica tres pilares tecnológicos indispensables: una arquitectura de seguridad de grado financiero basada en los estándares FAPI (Financial-grade API), OAuth 2.0 y OpenID Connect; un motor de consentimiento capaz de registrar de forma trazable, y revocar en cualquier momento, cada autorización del usuario; y una arquitectura Zero Trust, bajo el principio de ‘nunca confiar, siempre verificar’, que exige validar de forma continua la identidad, el dispositivo y el contexto de cada interacción, además de cifrar los datos en tránsito y en reposo.

En ese sentido, la SBS prevé definir entre septiembre y noviembre de 2026 las bases sobre las cuales se establecerán los elementos tecnológicos y regulatorios del modelo local, que contempla una prueba piloto inicial entre cuatro entidades financieras.

Inteligencia artificial: la misma tecnología que ataca y que defiende

El uso de IA por parte de ciberdelincuentes para sofisticar sus ataques obliga a las organizaciones financieras a responder con la misma velocidad, mediante ciberseguridad predictiva y automatizada. Diego Francia destaca el avance de plataformas de ‘autorremediación’ o self-healing, capaces de aislar de forma automática sistemas comprometidos o cerrar ventanas de exposición en cuestión de minutos, sin depender de una respuesta manual.

Así como la inteligencia artificial avanza muy rápido, hay que contrarrestarla con la misma velocidad: con IA aplicada a la defensa. Es necesario automatizar la ciberseguridad y tener una resiliencia operativa continua”, señaló el ejecutivo de Red Hat.

En América Latina, el sector financiero y asegurador ya concentra el 47% de los ciberataques, mientras que en Perú el mercado de ciberseguridad crecería a una tasa anual de 14,7%. La expansión de la inteligencia artificial podría acelerar aún más la velocidad, escala y sofisticación de los ataques, según el reporte IBM X-Force Threat Intelligence 2026.

Código abierto y nube híbrida: soberanía digital para un ecosistema interoperable

En un entorno donde conviven bancos tradicionales, fintechs, aseguradoras y nuevos actores digitales, el software de código abierto y la nube híbrida se perfilan como habilitadores clave de interoperabilidad y soberanía digital. El open source aporta transparencia frente a los modelos de IA de ‘caja negra’, reduciendo el riesgo de sesgos no auditables en decisiones como la aprobación de un crédito, y evita el vendor lock-in con un proveedor específico.

La nube híbrida, por su parte, permite a las instituciones decidir de forma autónoma dónde alojar sus cargas de trabajo críticas, on-premise, nube privada o pública, según la normativa local, sin perder una gestión centralizada y segura.

Finalmente, Diego Francia recomienda a los líderes financieros dejar de concebir el Open Finance como un proyecto tecnológico a cargo exclusivamente de TI, y comenzar a construirlo como una capacidad organizacional estratégica, con una célula de trabajo multidisciplinaria respaldada por la alta dirección. Entre las acciones concretas, sugiere definir con claridad el rol que la institución quiere jugar en el ecosistema, plataforma, integrador o proveedor de nicho, y lanzar un producto mínimo viable que genere un resultado visible en menos de 180 días.