Lista de cumplimiento de la Regla de Salvaguardas de la FTC para pequeñas empresas financieras
Preparadores de impuestos, corredores hipotecarios, concesionarios y prestamistas deben cumplir la Regla de Salvaguardas de la FTC. Sus requisitos, el aviso de brechas y una lista.
Si su empresa ofrece financiamiento, prepara impuestos, gestiona hipotecas, arrienda vehículos a largo plazo o presta otros servicios financieros a consumidores, es probable que la Regla de Salvaguardas de la FTC (16 CFR Parte 314) le aplique, aunque usted no sea un banco. La Regla exige un programa escrito de seguridad de la información con elementos concretos: una Persona Calificada a cargo, una evaluación de riesgos por escrito, cifrado, autenticación multifactor (MFA), pruebas, capacitación del personal, supervisión de proveedores, un plan de respuesta a incidentes y un informe anual a la dirección. Desde mayo de 2024 también exige notificar a la FTC dentro de los 30 días siguientes al descubrimiento de una brecha que afecte al menos a 500 consumidores. Esta guía explica cada elemento en lenguaje sencillo y termina con una lista de verificación. Es información general, no asesoría legal: confirme con su abogado si la Regla aplica a su empresa y cómo.
A quién cubre la Regla de Salvaguardas
La Regla aplica a las "instituciones financieras" bajo la jurisdicción de la FTC, es decir, empresas que realizan actividades financieras de forma significativa y que no están reguladas por una agencia bancaria ni por la SEC. La FTC insiste en que lo que cuenta es la actividad, no el nombre que usted le dé a su empresa. Los ejemplos que enumera la Regla (16 CFR 314.2) incluyen:
- Prestamistas y corredores hipotecarios
- Prestamistas de día de pago, compañías de financiamiento y casas de cambio de cheques
- Administradores de cuentas, servicios de transferencias de dinero y agencias de cobranza
- Asesores de crédito y otros asesores financieros
- Firmas de preparación de impuestos
- Asesores de inversión que no están obligados a registrarse ante la SEC
- Cooperativas de crédito sin seguro federal
- Un concesionario de automóviles que, como parte habitual de su negocio, arrienda vehículos sin operador por más de 90 días
- "Intermediarios" (finders) que ponen en contacto a compradores y vendedores de un producto o servicio
En el sur de Florida esto suele incluir despachos independientes de impuestos y contabilidad, corredurías hipotecarias, concesionarios de autos y prestamistas al consumidor. Si tiene dudas, consulte con su abogado: la definición es amplia y los detalles importan.
Los elementos obligatorios (16 CFR 314.4)
La FTC resume el programa en nueve elementos. Esto es lo que significa cada uno en la práctica.
1. Designe a una Persona Calificada
Una persona supervisa y hace cumplir el programa. Puede ser un empleado o alguien de una empresa afiliada o de un proveedor de servicios, como su empresa de TI. Si usa un proveedor externo, su empresa sigue siendo responsable del cumplimiento, debe nombrar a un miembro de alta dirección para supervisar a esa persona y debe exigir al proveedor que mantenga un programa que cumpla la Regla.
2. Haga una evaluación de riesgos por escrito
Una evaluación escrita de los riesgos internos y externos razonablemente previsibles para la información de los clientes. Debe incluir criterios para evaluar y clasificar los riesgos, un análisis de confidencialidad, integridad y disponibilidad, y cómo se mitigará o aceptará cada riesgo. Repítala periódicamente.
3. Diseñe e implemente salvaguardas
Con base en la evaluación de riesgos, la Regla enumera controles específicos, entre ellos:
- Controles de acceso: solo usuarios autorizados, con acceso limitado a lo que cada persona necesita.
- Inventario de datos y sistemas: saber qué datos tiene, dónde están y qué sistemas los procesan.
- Cifrado de la información de los clientes en tránsito por redes externas y en reposo. Si no es factible, la Persona Calificada debe revisar y aprobar controles alternativos.
- Desarrollo seguro de las aplicaciones propias y procedimientos para evaluar las que compra.
- Autenticación multifactor para cualquier persona que acceda a cualquier sistema de información (o controles equivalentes que la Persona Calificada apruebe por escrito).
- Eliminación segura de la información de los clientes a más tardar dos años después de su último uso para ese cliente, salvo que exista una razón comercial o legal para conservarla, además de revisar periódicamente su política de retención.
- Procedimientos de gestión de cambios.
- Registro y monitoreo de la actividad de los usuarios autorizados y detección de accesos no autorizados.
4. Monitoree y pruebe
Monitoreo continuo o, en su defecto, pruebas de penetración anuales y evaluaciones de vulnerabilidades al menos cada seis meses, además de cada vez que haya cambios importantes en sus operaciones.
5. Capacite a su personal
Capacitación en concienciación de seguridad para todos, actualizada según cambien los riesgos, y personal de seguridad calificado (interno o externo) que mantenga sus conocimientos al día.
6. Supervise a los proveedores de servicios
Elija proveedores capaces de proteger la información de los clientes, exija salvaguardas por contrato y evalúelos periódicamente según el riesgo que representan. Esto incluye software en la nube, nómina, almacenamiento de documentos y su proveedor de TI.
7. Mantenga el programa actualizado
Evalúe y ajuste el programa según los resultados de las pruebas, los cambios importantes en su negocio, los hallazgos de la evaluación de riesgos y cualquier otra circunstancia que pueda afectarlo de forma importante.
8. Redacte un plan de respuesta a incidentes
Un plan escrito que cubra objetivos, procesos internos, funciones y autoridad de decisión claras, comunicaciones internas y externas, corrección de debilidades, documentación y reportes, y una revisión después de cada incidente.
9. Informe a la dirección al menos una vez al año
La Persona Calificada informa por escrito, al menos una vez al año, a la junta directiva u órgano de gobierno equivalente (o a un alto ejecutivo si no hay junta), sobre el estado general del programa y los asuntos importantes, como decisiones de riesgo, resultados de pruebas y eventos de seguridad.
El requisito de notificar brechas a la FTC
Desde que entró en vigor la enmienda en mayo de 2024, una empresa cubierta debe notificar a la FTC un "evento de notificación": la adquisición de información de clientes no cifrada sin autorización del consumidor, que involucre al menos a 500 consumidores. La información se considera no cifrada si la clave de cifrado también fue obtenida por una persona no autorizada.
- Plazo: lo antes posible y a más tardar 30 días después del descubrimiento.
- Descubrimiento: el primer día en que el evento es conocido por cualquier persona de su empresa distinta de quien lo cometió.
- Cómo: por vía electrónica, mediante el formulario del sitio web de la FTC. La FTC advierte que los reportes pueden hacerse públicos.
- Retraso a pedido de las autoridades: si un funcionario del orden determina que la divulgación pública obstaculizaría una investigación penal o dañaría la seguridad nacional, puede pedir un retraso de hasta 30 días, ampliable hasta 60 días más mediante una solicitud por escrito.
Esto es independiente de las leyes estatales de notificación de brechas (Florida tiene la suya, la sección 501.171 de los Estatutos de Florida), así que su plan de respuesta debe cubrir ambas. El cifrado cuenta doble aquí: protege los datos, y los datos debidamente cifrados con la clave protegida no activan el aviso a la FTC.
La exención para empresas pequeñas (menos de 5,000 consumidores)
Si su empresa mantiene información de clientes sobre menos de 5,000 consumidores, la Sección 314.6 la exime de cuatro requisitos:
- la evaluación de riesgos por escrito (314.4(b)(1)),
- el monitoreo continuo o las pruebas de penetración anuales y evaluaciones de vulnerabilidades semestrales (314.4(d)(2)),
- el plan escrito de respuesta a incidentes (314.4(h)),
- el informe anual por escrito a la junta (314.4(i)).
Todo lo demás sigue aplicando, incluidos la Persona Calificada, el cifrado, la MFA, la capacitación, la supervisión de proveedores y el requisito de notificar a la FTC. En la práctica, conviene tener igualmente una evaluación de riesgos breve y un plan de incidentes por escrito, porque facilitan mucho justificar y mantener los demás controles.
Lista de verificación de la Regla de Salvaguardas
Use esta lista para ver dónde está. Cada punto corresponde a las secciones anteriores.
- Confirme con su abogado si su empresa es una institución financiera cubierta
- Cuente los consumidores cuya información mantiene (umbral de 5,000)
- Nombre por escrito a la Persona Calificada (y a un supervisor de alta dirección si es externa)
- Complete una evaluación de riesgos por escrito y fije la fecha para repetirla
- Haga un inventario de los datos de clientes, dónde se guardan y quién tiene acceso
- Revise los accesos de los usuarios y elimine los que no necesitan
- Cifre laptops, servidores, copias de seguridad y los datos enviados por redes externas
- Active la MFA en el correo, el acceso remoto, las aplicaciones del negocio y las cuentas de administrador
- Establezca un calendario de eliminación (dos años después del último uso, salvo que deba conservarlos)
- Active el registro de la actividad de los usuarios y alertas de inicios de sesión sospechosos
- Programe pruebas de penetración y escaneos de vulnerabilidades, o monitoreo continuo
- Imparta capacitación en concienciación de seguridad y guarde los registros de asistencia
- Haga una lista de proveedores, revise sus contratos y sus salvaguardas
- Redacte y pruebe un plan de respuesta a incidentes que incluya el aviso de 30 días a la FTC y las normas de notificación de Florida
- Entregue el informe anual por escrito de la Persona Calificada
Muchos de estos controles coinciden con las buenas prácticas generales, como los pasos de nuestra guía de prevención de ransomware y la de configuración de seguridad de Microsoft 365.
Si quiere ayuda con la parte técnica de la Regla de Salvaguardas (MFA, cifrado, registros, escaneo de vulnerabilidades, revisión de proveedores y un plan de incidentes por escrito), solicite una evaluación de TI gratuita. Core Florida IT apoya a empresas de servicios financieros en Miami-Dade y todo el sur de Florida con nuestros servicios de ciberseguridad, trabajando junto a su abogado o asesor de cumplimiento, no en su lugar.
