a pesar de que El Capitán, en la partición de recuperación, permite al usuario "deshabilitar" el desarraigo, debería ser posible deshabilitar "aún más" la capa SIP.
alguien podría confirmar que usa
nvram csr-active-config=%ff%00%00%00
¿Deshabilitaría cualquier función para la capa SIP?