Qualified Individual
Una persona supervisa el programa y vela por su cumplimiento. Puede ser un empleado o alguien de un proveedor de servicios, siempre que una persona de nivel directivo de su firma lo supervise.
Para firmas de impuestos, contabilidad, hipotecas y préstamos
La FTC Safeguards Rule en su TIDatos de clientes protegidos y documentados
La Safeguards Rule de la Gramm-Leach-Bliley Act exige que las instituciones financieras no bancarias mantengan un programa escrito de seguridad de la información. Esto incluye a preparadores de impuestos, firmas de CPA que preparan declaraciones, corredores hipotecarios y muchos prestamistas. Implementamos las salvaguardas técnicas, como MFA y cifrado, y le ayudamos a elaborar la documentación que exige la norma.
A quién se aplica la norma
La Safeguards Rule, 16 CFR Part 314, se aplica a las instituciones financieras bajo la jurisdicción de la Comisión Federal de Comercio (FTC) que no son bancos. La FTC menciona como ejemplos a firmas de preparación de impuestos, prestamistas y corredores hipotecarios, prestamistas de día de pago, compañías financieras, agencias de cobranza, asesores de crédito, asesores financieros y asesores de inversión que no están obligados a registrarse ante la SEC. También están cubiertos los concesionarios de autos que gestionan financiamiento o arrendamientos.
Lo que cuenta es la actividad, no el nombre. Una firma de CPA que prepara declaraciones de impuestos, o una agencia de seguros que también gestiona financiamiento, puede estar sujeta a la norma. Si no está seguro, su abogado puede aclarárselo. El IRS también espera que los preparadores de impuestos remunerados tengan un plan escrito de seguridad de la información.
Los nueve elementos de su programa de seguridad
Evaluación de riesgos por escrito
Usted identifica por escrito los riesgos para la información de los clientes, con criterios para evaluarlos, y repite la evaluación periódicamente.
Salvaguardas
Controles de acceso, un inventario de datos, cifrado en almacenamiento y en tránsito, autenticación multifactor para toda persona que acceda a información de clientes, eliminación segura, gestión de cambios y registro de actividad.
Monitoreo y pruebas
Monitoreo continuo o, en su defecto, una prueba de penetración anual y un escaneo de vulnerabilidades al menos cada seis meses.
Capacitación del personal
Capacitación en concientización de seguridad para todo el personal y capacitación específica para quienes operan el programa de seguridad.
Supervisión de proveedores de servicios
Usted elige proveedores capaces de proteger los datos, exige salvaguardas en el contrato y los revisa periódicamente.
Mantener el programa actualizado
Usted ajusta el programa cuando cambian su negocio, sus sistemas o sus riesgos.
Plan de respuesta a incidentes
Un plan escrito que define objetivos, funciones, comunicación, remediación y documentación ante un evento de seguridad.
Informe a la junta directiva
El Qualified Individual informa por escrito al menos una vez al año a la junta directiva o, si no la hay, a un alto directivo.
Aviso a la FTC en un plazo de 30 días
Desde mayo de 2024, usted debe notificar a la FTC cuando se obtiene sin autorización información no cifrada de al menos 500 consumidores. El aviso se presenta mediante el formulario en línea de la FTC lo antes posible y a más tardar 30 días después del descubrimiento. La información se considera no cifrada si la clave de cifrado también quedó comprometida. El cifrado sistemático es la mejor manera de evitar esta situación.
Algunas facilidades para firmas más pequeñas
Si conserva información de menos de 5,000 consumidores, no se aplican cuatro requisitos:
| Evaluación de riesgos por escrito | No se exige por escrito, pero igual debe evaluar los riesgos |
| Monitoreo continuo o prueba de penetración anual | No se exige |
| Plan escrito de respuesta a incidentes | No se exige |
| Informe anual por escrito a la junta directiva | No se exige |
Todos los demás elementos se aplican a toda firma cubierta, incluidos MFA, cifrado, capacitación y supervisión de proveedores de servicios.
Lo que la norma significa en la TI diaria
Estos son los puntos técnicos que implementamos y documentamos con más frecuencia:
- MFA para el correo electrónico, el acceso remoto, el software de impuestos y contabilidad y cada cuenta de administrador
- Cifrado de laptops, carpetas compartidas, copias de respaldo y correos electrónicos que contienen datos de clientes
- Un inventario de dónde se almacena la información de los clientes, incluidos servicios en la nube y portales
- Derechos de acceso según el puesto, retirados de inmediato cuando alguien se va
- Registro de quién accedió a la información de los clientes, conservado para su revisión
- Escaneos de vulnerabilidades periódicos y aplicación de parches según un calendario fijo
- Eliminación segura de la información de los clientes a más tardar dos años después de su último uso, salvo que tenga un motivo comercial o legal para conservarla
Cómo trabajamos con usted
- 01
Revisión de seguridad
Revisamos su TI frente a los nueve elementos por un precio fijo de $2,950. Las firmas más grandes comienzan con una evaluación de seguridad desde $7,900, que acreditamos al proyecto posterior.
- 02
Plan
Usted recibe una lista de brechas ordenadas por riesgo, con una estimación del esfuerzo y una estructura preliminar para su programa escrito.
- 03
Implementación
Configuramos MFA, cifrado, registros, copias de respaldo y derechos de acceso, y aportamos la información técnica para su evaluación de riesgos y su plan de respuesta a incidentes.
- 04
Soporte continuo
Operamos las salvaguardas, documentamos los cambios y entregamos los datos técnicos que su Qualified Individual necesita para el informe anual.
Experiencia en servicios financieros
Banca · 250 usuarios, Alemania
Diseño e implementación de una nueva solución de gestión de servicios de TI en estrecha colaboración con el banco. Acompañamos el proyecto desde la implementación y la puesta en marcha hasta el soporte posterior al lanzamiento.
Resultado: Doce meses desde el inicio del proyecto hasta la puesta en marcha, seguidos de una fase de acompañamiento cercano en la operación diaria.
Actualizado:
FAQ
Preguntas frecuentes
¿La FTC Safeguards Rule se aplica a mi firma de impuestos o contabilidad?
Si su firma prepara declaraciones de impuestos u ofrece otros servicios financieros a consumidores, probablemente sea una institución financiera según la norma. La FTC menciona expresamente a las firmas de preparación de impuestos. Si sus servicios concretos están cubiertos es una pregunta para su abogado.
¿Qué es un Qualified Individual?
Es la persona responsable de supervisar su programa de seguridad de la información y de velar por su cumplimiento. Puede ser un empleado o una persona de un proveedor de servicios. Si recurre a un proveedor de servicios, usted sigue siendo responsable, y un miembro directivo de su firma debe supervisar a esa persona.
¿Es obligatorio el MFA?
Sí. La norma exige autenticación multifactor para toda persona que acceda a cualquier sistema de información que contenga información de clientes. La única alternativa es un control de acceso igual de seguro que su Qualified Individual apruebe por escrito.
¿Cuándo tenemos que notificar a la FTC?
Cuando se obtiene sin autorización información no cifrada de al menos 500 consumidores. Debe presentar el aviso mediante el formulario en línea de la FTC lo antes posible y a más tardar 30 días después del descubrimiento. Este requisito se aplica desde mayo de 2024. Las leyes estatales sobre brechas de datos pueden agregar obligaciones separadas frente a los clientes.
¿Las firmas pequeñas están exentas?
En parte. Las firmas que conservan información de menos de 5,000 consumidores no necesitan una evaluación de riesgos por escrito, monitoreo continuo ni pruebas de penetración, un plan escrito de respuesta a incidentes ni el informe anual a la junta directiva. Todas las demás salvaguardas, incluidos MFA y cifrado, siguen aplicándose.
¿Puede FNLY IT actuar como nuestro Qualified Individual?
Implementamos y operamos las salvaguardas técnicas y entregamos los informes y la evidencia que su Qualified Individual necesita. Quién asume esa función en su firma y cómo se supervisa es una decisión de su dirección junto con su abogado.
FTC Safeguards Rule
Revisemos sus salvaguardas
Díganos a qué se dedica su firma y qué sistemas contienen datos de clientes. Le mostraremos cuáles de los nueve elementos ya están implementados y cuáles aún requieren trabajo.