La Regla de Salvaguardas de la FTC para preparadores de impuestos: lista de verificación
Esta lista también está disponible en inglés.
¿Qué exige la Regla de Salvaguardas de la FTC a los preparadores de impuestos?
La Regla de Salvaguardas de la FTC para preparadores de impuestos se resume en doce controles: una evaluación de riesgos por escrito, una persona responsable, autenticación de dos pasos, cifrado, copias de seguridad fuera de la oficina y probadas, contratos con proveedores, capacitación anual, baja de accesos el mismo día, un plan escrito ante incidentes, registro de accesos, sistemas actualizados y un correo protegido contra suplantación. Cada uno corresponde a una sección de la regla (16 CFR 314.4) y hay que poder demostrarlo.
La regla aplica a todo preparador de impuestos pagado, sin importar el tamaño de la oficina. Su plan escrito de seguridad (WISP) es donde se documentan estos controles; la plantilla gratuita del IRS se explica en nuestra guía del WISP en español.
Descargue la lista imprimible de una página (PDF)
La lista de 12 puntos, con la regla que respalda cada uno
| # | Control | Regla | Qué sirve como prueba |
|---|---|---|---|
| 1 | Evaluación de riesgos por escrito, actualizada en los últimos 12 meses | 314.4(b) | Un documento con fecha que indique dónde están los datos y qué podría salir mal |
| 2 | Una persona responsable con nombre (el “Qualified Individual”) | 314.4(a) | Un nombre en el WISP, y un suplente |
| 3 | Autenticación de dos pasos para todo el que acceda a datos de clientes | 314.4(c)(5) | Activada en el correo, el acceso remoto y el programa de impuestos, para cada usuario |
| 4 | Cifrado de los datos en equipos y en tránsito | 314.4(c)(3) | BitLocker o FileVault en cada computadora; portal o correo cifrado |
| 5 | Copias de seguridad fuera de la oficina, con una restauración probada en los últimos seis meses | Su evaluación de riesgos; IRS Pub 4557 | Una nota con la fecha de la última restauración exitosa |
| 6 | Supervisión de proveedores por contrato | 314.4(f) | Lista de proveedores que tocan datos de clientes, con el contrato de cada uno |
| 7 | Capacitación en seguridad para todo el personal, al menos una vez al año | 314.4(e) | Constancias firmadas (anexo D de la Pub 5708), incluido el personal de temporada |
| 8 | Baja de accesos el mismo día en que alguien se va | 314.4(c)(1) | Una lista de baja con fechas |
| 9 | Plan escrito de respuesta a incidentes | 314.4(h) | A quién llamar, cómo contenerlo y quién avisa a quién |
| 10 | Registro y monitoreo de la actividad de usuarios | 314.4(c)(8) | Registros de inicio de sesión activados, y alguien que revise las alertas |
| 11 | Sistemas con soporte y actualizados | 314.4(d)(2) | Nada de Windows 10; Windows 11 en una versión con soporte; actualizaciones confirmadas |
| 12 | Correo protegido contra suplantación (SPF, DKIM, DMARC) | Respalda su evaluación de riesgos | Un resultado aprobado en una prueba de autenticación de correo |
Además: un informe anual por escrito de la persona responsable al dueño o a la junta (314.4(i)) y avisar a la FTC en un plazo de 30 días si una violación de seguridad afecta a 500 consumidores o más (314.4(j)).
¿Qué no tiene que cumplir una oficina pequeña?
Si su firma guarda información de menos de 5,000 consumidores, no aplican cuatro requisitos (16 CFR 314.6): la evaluación de riesgos por escrito (n.º 1), el monitoreo continuo o las pruebas de penetración anuales y los escaneos semestrales (parte del n.º 11), el plan escrito de respuesta a incidentes (n.º 9) y el informe anual a la junta. Todo lo demás sigue aplicando. Aun así, la mayoría de las oficinas pequeñas mantiene una evaluación de riesgos breve y un plan ante incidentes, porque es lo primero que se necesita cuando algo sale mal.
¿Cuál es la multa por no cumplir la Regla de Salvaguardas?
La FTC puede pedir multas civiles de más de $50,000 por infracción, ajustadas por inflación cada año, y los acuerdos suelen incluir años de auditorías obligatorias. Para un preparador, el riesgo práctico más grande es el IRS, que puede suspender o revocar el PTIN. La aplicación de la regla casi siempre llega después de una violación de seguridad o una queja; por eso importan más los controles que la evitan que el papeleo.
¿Cómo revisar su oficina con esta lista?
- Tres minutos, gratis: nuestra evaluación de preparación (en inglés) califica su oficina en estos doce controles y muestra la regla detrás de cada punto débil.
- Diez segundos, gratis: la prueba de suplantación de correo (en inglés) cubre el n.º 12. Siete de diez oficinas de impuestos del condado de Polk que revisamos no la pasaron.
- Revise el n.º 11 ahora: presione la tecla Windows + R, escriba winver y presione Enter. La versión 24H2 o anterior ya no recibe actualizaciones de seguridad.
¿Necesita ayuda para cumplir los doce puntos?
iTech Plus ayuda a oficinas de impuestos y contabilidad en los condados de Polk y Osceola, en español y en inglés (soporte técnico en español), a poner en marcha estos doce controles y mantenerlos durante toda la temporada de impuestos, con el plan y la evidencia al día en nuestro WISP Manager. Llame al (321) 221-7117 o escriba a info@itechplus.co.
Información general sobre la Regla de Salvaguardas de la FTC (16 CFR parte 314); no constituye asesoría legal ni tributaria.
