# MacLockdown — Regulatory Roadmap LATAM

**Versión:** 1.0  
**Fecha:** 2026-03-16  
**Estado:** ✅ Backlog estratégico regulatorio · no comprometido para implementación inmediata

---

## 1. Objetivo

Definir una línea de expansión futura para la capa `Compliance` de MacLockdown hacia marcos regulatorios del sector financiero en Latinoamérica.

Este documento no implica cobertura actual ni roadmap comprometido de corto plazo. Su función es:

- ordenar exploración regulatoria
- identificar oportunidades de packaging B2B
- separar claramente evidencia de dispositivo vs. cumplimiento organizacional

---

## 2. Principio de producto

MacLockdown solo puede sostener, de forma técnicamente creíble, claims de:

- `device-level evidence`
- `mapped to`
- `aligned with`
- `supports evidence for`

MacLockdown no debe sostener claims de:

- `full compliance`
- `certified for`
- `guarantees compliance`

Regla base:

> **El producto puede mapear controles locales de macOS a marcos regulatorios, pero no reemplaza evidencia organizacional, legal, operativa o de gobierno.**

---

## 3. Enfoque de implementación futura

La expansión regulatoria debe seguir esta secuencia:

1. identificar el regulador y el texto normativo principal
2. separar controles técnicamente mapeables desde endpoint
3. marcar lo no mapeable como `manual evidence required` o `out of scope`
4. construir compare/reporting sin afirmar cumplimiento total

Modelo sugerido dentro del producto:

```text
Framework / Regulation
├── Covered by device checks
├── Partial / gap
├── Manual evidence required
└── Out of scope for this product
```

---

## 4. Países prioritarios

## Chile

**Regulador:** Comisión para el Mercado Financiero (`CMF`)  
**Referencia inicial:** `RAN 20-10`  
**Prioridad:** Alta

Razón:

- existe un marco claro y conocido de seguridad de la información y ciberseguridad para entidades bajo supervisión bancaria
- es un buen punto de entrada para narrativa regional
- el nombre normativo ya es reconocible para banca y auditoría en Chile

Qué podría mapear MacLockdown:

- hardening de endpoint
- cifrado, firewall, logging, control de servicios, políticas locales, superficie de exposición

Qué no podría cubrir solo:

- gobierno corporativo
- gestión integral de terceros
- reporting regulatorio
- continuidad organizacional completa
- procesos de respuesta institucional

Fuente oficial revisada:

- `CMF Chile` — https://www.cmfchile.cl/
- `CMF publica normativa para la Gestión de la Seguridad de la Información y Ciberseguridad` — https://www.cmfchile.cl/portal/prensa/615/w3-article-29314.html

---

## Brasil

**Regulador base:** `Banco Central do Brasil` (`BCB`)  
**Referencia inicial:** resoluciones y lineamientos de ciberseguridad para instituciones financieras y de pago  
**Prioridad:** Alta

Razón:

- mercado grande
- fuerte relevancia para resiliencia, riesgo operacional y ciberseguridad
- encaje natural con posicionamiento `Compliance`

Qué podría mapear MacLockdown:

- controles locales de dispositivo
- evidencia técnica de hardening en estaciones o equipos macOS dentro del perímetro

Qué no podría cubrir solo:

- política corporativa integral
- resiliencia institucional end-to-end
- obligaciones de proveedores, pagos o infraestructura financiera central

Fuentes oficiales revisadas:

- `Banco Central do Brasil` — https://www.bcb.gov.br/
- `CMN Resolution No. 4,893/2021` — https://www.bcb.gov.br/content/about/legislation_norms_docs/CMN_Resolution_No_4%2C893_2021.pdf
- `Financial Stability / National Financial System` — https://www.bcb.gov.br/en/financialstability

---

## Colombia

**Regulador:** `Superintendencia Financiera de Colombia` (`SFC`)  
**Referencia inicial:** circulares e instrucciones sobre riesgo operacional, arquitectura, seguridad, tecnología y ciberseguridad  
**Prioridad:** Media-Alta

Razón:

- encaja bien con narrativa de evidencia y canales digitales
- permite una aproximación por capas sin depender de un único benchmark estilo CIS

Qué podría mapear MacLockdown:

- seguridad de endpoint
- evidencia de hardening local
- soporte documental para controles técnicos de estación

Qué no podría cubrir solo:

- controles de fraude
- procesos de atención al consumidor financiero
- gobierno de datos
- arquitectura corporativa completa

Fuentes oficiales revisadas:

- `Superintendencia Financiera de Colombia` — https://www.superfinanciera.gov.co/
- `Proyecto de Circular Externa 14-2025` — https://www.superfinanciera.gov.co/publicaciones/10115703/proyecto-de-circular-externa-14-2025/
- `Circular Externa 008 de 2018 / ciberseguridad y pasarelas` — https://www.superfinanciera.gov.co/publicaciones/10097769/superfinanciera-fortalece-la-proteccion-de-la-informacion-de-los-consumidores-financieros-ante-riesgos-de-ciberseguridad-y-la-realizacion-de-operaciones-en-pasarelas-de-pago-10097769/

---

## México

**Regulador base:** `CNBV`  
**Referencia inicial:** disposiciones aplicables a instituciones financieras y fintech bajo supervisión  
**Prioridad:** Media

Razón:

- mercado relevante para expansión regional
- posible entrada vía entidades financieras tecnológicas y controles de ciberseguridad operativa

Qué podría mapear MacLockdown:

- controles locales de estación macOS
- evidencia técnica para parte del stack de seguridad operacional de endpoint

Qué no podría cubrir solo:

- obligaciones prudenciales completas
- monitoreo institucional
- controles AML/KYC
- reporting regulatorio

Fuentes oficiales revisadas:

- `CNBV / Gobierno de México` — https://www.gob.mx/cnbv
- `Disposiciones de carácter general aplicables a las instituciones de tecnología financiera` — https://www.cnbv.gob.mx/Normatividad/Disposiciones%20de%20car%C3%A1cter%20general%20aplicables%20a%20las%20instituciones%20de%20tecnolog%C3%ADa%20financiera.pdf

---

## Argentina

**Regulador base:** `BCRA`  
**Referencia inicial:** lineamientos de riesgos de tecnología, seguridad de la información y ciberresiliencia para entidades financieras  
**Prioridad:** Media

Razón:

- buena afinidad con narrativa de ciberresiliencia
- documentación oficial con foco en tecnología y seguridad

Qué podría mapear MacLockdown:

- controles de endpoint
- evidencia local de hardening y configuración
- soporte a controles técnicos de estación

Qué no podría cubrir solo:

- marco integral de resiliencia
- gobierno y gestión completa del riesgo
- reporting y respuesta institucional a incidentes

Fuentes oficiales revisadas:

- `BCRA` — https://www.bcra.gob.ar/
- `Ciberseguridad | BCRA` — https://www.bcra.gob.ar/ciberseguridad/
- `Lineamientos para la gestión... en las entidades financieras` — https://www.bcra.gob.ar/pdfs/texord/t-lingeef.pdf

---

## 5. Orden sugerido de exploración

1. Chile — `CMF / RAN 20-10`
2. Brasil — `BCB / CMN` ciberseguridad y resiliencia
3. Colombia — `SFC` seguridad, arquitectura y ciberseguridad
4. Argentina — `BCRA` tecnología y ciberresiliencia
5. México — `CNBV` y fintech / instituciones financieras

Criterio:

- facilidad de narrativa comercial
- claridad del regulador
- densidad de controles técnicamente mapeables
- valor B2B regional

---

## 6. Modelo de backlog por marco

Cada marco futuro debería documentarse con esta plantilla:

| Campo | Contenido esperado |
|---|---|
| País | Chile / Brasil / Colombia / México / Argentina |
| Regulador | Nombre oficial |
| Norma / capítulo | Referencia principal |
| Tipo de entidad | Bancos, fintech, emisores, etc. |
| Controles mapeables | Lista de checks MacLockdown relevantes |
| Evidencia manual | Lo que requiere proceso, política o attestation |
| Out of scope | Lo que no debe reclamarse |
| Valor comercial | SMB / enterprise / auditoría / consultoría |

---

## 7. Riesgos

- sobrerrepresentar cobertura regulatoria
- mezclar benchmark técnico con obligación legal
- vender claims demasiado amplios antes de revisión legal
- construir un roadmap normativo sin suficiente densidad comercial

Mitigación:

- lenguaje prudente
- fuentes oficiales
- mapeo por evidencia
- revisión legal/compliance antes de lanzar mensajes públicos

---

## 8. Siguiente paso recomendado

Cuando esta iniciativa pase de backlog a discovery, crear un documento por país:

- `REGULATORY_CHILE_CMF_v01.md`
- `REGULATORY_BRAZIL_BCB_v01.md`
- `REGULATORY_COLOMBIA_SFC_v01.md`
- `REGULATORY_MEXICO_CNBV_v01.md`
- `REGULATORY_ARGENTINA_BCRA_v01.md`

Cada uno debe incluir:

- texto normativo base
- control mapping inicial
- brechas
- mensaje comercial permitido
- riesgos de sobreclaim

