Roadmap de cumplimiento en 90 días para fintech y PSAV: primeros pasos críticos

Septiembre 9, 2025 redtiseg
Off
Artículo

Este roadmap organiza la adecuación a la Circular ASFI/885/25 en tres sprints de 30 días, priorizando controles que el supervisor mira con mayor detalle: accesos, trazabilidad, cambios, redes, respaldos/DR y documentación viva. A continuación, se presenta el plan completo con entregables y evidencias.

  1. Por qué este roadmap funciona

El Capítulo XI exige a las ETF/PSAV controles de seguridad reales (accesos, trazabilidad, separación de ambientes, puesta en producción, protección de redes), además de respaldo/continuidad, documentación técnica y un responsable de TI/Telecom con políticas y procesos. Todo debe ser proporcional al tamaño y riesgo del servicio.   

El objetivo del reglamento es regular constitución/funcionamiento y adecuación de empresas que prestan servicios con innovación tecnológica en finanzas/valores/seguros. 

  1. Cómo leer este plan

Son 3 sprints de 30 días. Cada tarea tiene entregables/evidencias que responden a Anexos 7 y 8. Priorizamos lo que más mira el supervisor: accesos, logs, cambios, redes, backups/DR y documentación viva.   

  1. Roadmap por Sprints (H2/H3)

 

⏱️ Sprint 1 (Días 0–30) — “Piso mínimo operable”

Objetivo: cerrar brechas críticas y encender la trazabilidad.

  1. Nombrar responsable de TI/Telecom y publicar políticas (accesos, cambios, backups, continuidad, redes).

Evidencia: resolución interna, políticas difundidas. 

  1. Control de accesos (arranque):
  • Inventario de usuarios/roles; MFA en consolas y cuentas privilegiadas; bajas inmediatas.

Evidencia: matriz de accesos y actas de recertificación inicial. (Base normativa: “administración de control de accesos… según confidencialidad de datos”). 

  1. Trazabilidad: centralizar logs en un SIEM o equivalente; definir retención inicial y revisión semanal.

Evidencia: catálogo de eventos críticos y paneles. (“registro y resguardo de pistas de auditoría… operaciones críticas”). 

  1. Bloqueo de utilitarios sensitivos en Producción (SQL clients, shells, etc.) con excepciones por ticket.

Evidencia: lista de utilitarios, configuración PAM/allowlist, tickets de excepción. 

  1. Backups base (3-2-1, cifrados, inventariados) y primer restore test simple.

Evidencia: plan de respaldo, registro de restore.   

 

⏱️ Sprint 2 (Días 31–60) — “Segregación y cambios bajo control”

Objetivo: que nada llegue a Producción sin pruebas y autorizaciones.

  1. Separación lógica de ambientes (Dev/QA/Prod) y datos anonimizados fuera de Prod; secretos/llaves segregados.

Evidencia: diagramas de ambientes, reglas de red/CI-CD, evidencia de pruebas en QA. 

  1. Gestión formal de cambios (ticket → riesgo → aprobación → prueba → despliegue → verificación → rollback).

Evidencia: política y 1–2 cambios completos documentados. 

  1. Protección de redes y telecomunicaciones: segmentación, firewalls/WAF, TLS, monitoreo.

Evidencia: diagrama de red actualizado, reglas, certificados, reportes. 

  1. Documentación técnica viva: sistemas, redes, registro de modificaciones, HW/SW, propiedad de código; mapear módulos para reportes ASFI.

Evidencia: repos de documentación, mapeo “dato origen → formato ASFI”.   

 

⏱️ Sprint 3 (Días 61–90) — “Continuidad probada y paquete de evidencias”

 

Objetivo: demostrar que tus controles funcionan, no solo que “existen”.

  1. Continuidad/Contingencia: ejecutar simulacro BCP/DR (caída de proveedor, ransomware o corte de red); medir RTO/RPO.

Evidencia: acta de simulacro, métricas y lecciones aprendidas. 

  1. Recertificación de accesos (trimestral) y revisión de sesiones privilegiadas.

Evidencia: acta de revisión, reportes PAM/SIEM. (Accesos y auditoría como ejes del Anexo 7). 

  1. Refuerzo de trazabilidad: afinar alertas, umbrales y response playbooks; muestrear tickets de cambio y despliegues.

Evidencia: reportes SIEM, bitácoras de cambios. 

  1. Paquete de evidencias (para inspección o comité interno): políticas, matrices de acceso, logs y revisiones, tickets de cambio, diagrama de red, plan de backups + restores, BCP/DR, documentación técnica y módulos de reporte ASFI.

Evidencia: dossier con anexos y capturas fechadas.   

 

  1. Checklist / Resumen rápido

KPIs de avance (revisión quincenal)

  • % accesos críticos con MFA (meta: 100 %). (Accesos) 
  • % sistemas críticos con logs centralizados y revisados (meta: ≥ 95 %). (Pistas de auditoría) 
  • % cambios con evidencia completa y rollback (meta: 100 %). (Puesta en producción) 
  • % respaldos con restore test exitoso (meta: ≥ 95 %). (Resguardo/continuidad) 
  • Diagrama de red y documentación técnica actualizados (S/N). (Doc. técnica y módulos ASFI) 

Checklist imprimible (resumen por sprint)

  • S1 (0–30): Responsable TI/Telecom; políticas clave; MFA y bajas; SIEM básico; bloqueo utilitarios; backups + 1 restore.   
  • S2 (31–60): Segregación Dev/QA/Prod; gestión de cambios; red protegida; documentación viva + módulos ASFI.   
  • S3 (61–90): Simulacro BCP/DR; recertificación accesos; ajustes SIEM/alertas; dossier de evidencias. 

  1. Base normativa

  • Circular ASFI/885/25 – Cap. XI, Anexos 7 y 8.

Controles de seguridad (accesos, trazabilidad, separación de ambientes, cambios, redes), respaldo y continuidad (BCP/DRP), documentación técnica y responsable de TI/Telecom con políticas y procesos.

Conclusión

En 90 días puedes pasar de “riesgo difuso” a cumplimiento defendible: controles encendidos, procesos formales y evidencias listas.

La Circular 885/25 no busca burocracia, busca seguridad operativa verificable. Si priorizas accesos, trazabilidad, cambios, redes, backups/DR y documentación viva, llegarás con holgura al cierre de año y con argumentos sólidos ante ASFI.   

Llamado a la acción (CTA)

En REDTISEG guiamos a fintech y PSAV en la implementación de este roadmap de cumplimiento, desde los controles críticos hasta la preparación del paquete de evidencias para ASFI.

Escríbenos a contacto@redtiseg.com y agenda una asesoría para iniciar tu plan de adecuación regulatoria en 90 días.

Artículo
Artículo