¿La FTC Safeguards Rule aplica a nuestra firma de impuestos o contabilidad?
Si prepara declaraciones de impuestos, muy probablemente sí. La FTC incluye a las firmas de preparación de impuestos entre las instituciones financieras no bancarias cubiertas por la norma, y el IRS señala que, según la ley federal, los profesionales de impuestos y contabilidad deben tener un plan escrito de seguridad de la información. Las firmas que guardan datos de menos de 5,000 consumidores están exentas de algunas disposiciones, como la evaluación de riesgos por escrito y el informe anual, pero no de la norma en sí. Su abogado confirma los detalles para su firma.
¿Qué debe contener un programa escrito de seguridad de la información?
Según la FTC Safeguards Rule, designa a una persona calificada (Qualified Individual), se basa en una evaluación de riesgos por escrito y describe las medidas de protección vigentes. Entre ellas están los controles de acceso, un inventario de datos, el cifrado, la autenticación multifactor, la eliminación segura, la gestión de cambios, el monitoreo de la actividad de los usuarios, la capacitación del personal, la supervisión de los proveedores de servicios, las pruebas periódicas y un plan escrito de respuesta a incidentes. La persona calificada informa por escrito al menos una vez al año a la junta directiva o a un directivo de alto nivel.
¿Puede FNLY IT ser nuestra persona calificada (Qualified Individual)?
La norma permite que la persona calificada trabaje para un proveedor de servicios. En ese caso, su empresa sigue siendo responsable del cumplimiento, debe designar a una persona de alto nivel para supervisar al proveedor y debe exigirle que mantenga un programa adecuado. Podemos asumir este rol en el plan Completo o apoyar con el trabajo técnico a su propia persona calificada.
¿Qué pasa si roban datos de clientes?
Según la FTC Safeguards Rule, debe notificar a la FTC a más tardar 30 días después del descubrimiento si se obtuvo sin autorización información sin cifrar de 500 o más consumidores. La Regulation S-P exige a las firmas registradas ante la SEC que están cubiertas avisar a los clientes afectados dentro de 30 días, y las leyes estatales sobre filtraciones pueden exigir avisos a las personas y a las autoridades estatales. Contenemos el incidente, aseguramos la evidencia y le damos a su abogado los datos técnicos para los avisos.
Somos un asesor de inversión registrado. ¿Qué cambió con la Regulation S-P?
Las modificaciones de 2024 exigen un programa escrito de respuesta a incidentes, políticas escritas para supervisar a los proveedores de servicios y aviso a los clientes afectados dentro de 30 días. Los proveedores de servicios deben avisarle dentro de 72 horas si una filtración afecta a un sistema que mantienen para usted. Los asesores más grandes debían cumplir a más tardar el 3 de diciembre de 2025, y los asesores con menos de $1,500 millones en activos bajo administración a más tardar el 3 de junio de 2026. Nos comprometemos por contrato al aviso en 72 horas.
¿Nos aplica la NYDFS Part 500?
Aplica a las entidades con licencia o autorización del New York Department of Financial Services, como muchos bancos, aseguradoras, prestamistas y empresas de envío de dinero. Desde el 1 de noviembre de 2025 exige autenticación multifactor para acceder a los sistemas de información y procedimientos escritos de inventario de activos, con exenciones limitadas para entidades pequeñas. Si no tiene licencia del NYDFS, no le aplica directamente, pero sus clientes o socios pueden pedirle controles similares.
¿Cómo trabajan con nuestros auditores y nuestro responsable de cumplimiento?
Con transparencia. Les damos acceso a nuestra documentación, respondemos sus preguntas técnicas y corregimos los hallazgos en el plazo acordado. Como documentamos durante el trabajo, la mayor parte de la evidencia ya existe cuando la solicitan.
¿Cuánto cuesta esto para una firma pequeña?
La TI administrada cuesta $99, $149 o $219 por usuario al mes, con un mínimo de 5 usuarios. Las empresas financieras suelen elegir Estándar o Completo, porque incluyen autenticación multifactor, acceso condicional y documentación, y Completo añade apoyo en cumplimiento normativo y un contacto asignado. La incorporación para hasta 25 usuarios cuesta $2,500 por única vez.
