Resumen
Los CPA y firmas contables caen bajo la FTC Safeguards Rule porque prestan servicios de planificación y preparación fiscal, lo que los define como «instituciones financieras» que deben implementar programas escritos de seguridad de la información.
Cumplimiento de ciberseguridad para contadores: por qué importa más que nunca
Contadores y profesionales fiscales manejan información personal y financiera altamente sensible que los ciberdelincuentes valoran. Muchas firmas de CPA han dependido de prácticas informales de seguridad. Los cambios regulatorios federales dejan claro que no pueden tomar la ciberseguridad a la ligera.
La FTC Safeguards Rule, vigente desde 2002 bajo la Gramm‑Leach‑Bliley Act, exige que las instituciones financieras cubiertas desarrollen y mantengan un programa escrito de seguridad de la información (ISP) acorde a su tamaño y complejidad. Enmiendas de 2021 ampliaron la definición para incluir actividades «incidentales» a actividades financieras, cubriendo explícitamente preparadores fiscales y firmas de CPA.
Comprender la Safeguards Rule
La regla obliga a «desarrollar, implementar y mantener» un ISP con salvaguardas administrativas, técnicas y físicas. Requisitos clave:
Designar persona calificada
Supervisión del ISP; si se usa proveedor externo, la firma sigue siendo responsable.
Evaluación de riesgos escrita
Inventario de información de clientes, riesgos y vulnerabilidades previsibles.
Salvaguardas específicas
Controles de acceso, inventario y mapeo de datos, cifrado en tránsito y en reposo, evaluación de aplicaciones, autenticación multifactor (MFA), eliminación segura, gestión de cambios, registro y monitoreo de actividad.
Pruebas y monitoreo
Monitoreo continuo o pruebas de penetración y evaluaciones de vulnerabilidad periódicas.
Capacitación, proveedores, actualizaciones, plan de respuesta a incidentes e informe anual al órgano de gobierno.
Excepción para firmas pequeñas
Existe excepción para instituciones con información de menos de 5,000 consumidores, con conjunto reducido de controles. La AICPA advierte que todos los elementos del ISP siguen siendo relevantes; trátalo como mínimo, no como techo.
Por qué importa el cumplimiento
Los delitos contra firmas de CPA aumentan. El incumplimiento puede derivar en acciones de la FTC o fiscales estatales, multas, demandas y daño reputacional.
Construir un programa conforme
Evalúa flujos de datos, redacta un ISP personalizado, invierte en MFA y cifrado, capacita al equipo, evalúa proveedores (SOC 2, cláusulas contractuales) y revisa al menos anualmente.
Protege el sustento de tus clientes: Castroland Legal
Bajo la Safeguards Rule ampliada, las firmas de CPA deben construir programas integrales de ciberseguridad. Castroland Legal ayuda con evaluaciones de riesgo, MFA y planes de respuesta a incidentes. Contáctanos hoy.
Las firmas contables son objetivos frecuentes de ciberamenazas. Bajo la FTC Safeguards Rule, los CPA son «instituciones financieras» y deben programas escritos de seguridad, evaluaciones de riesgo, cifrado, MFA y eliminación segura. El cumplimiento protege datos, genera confianza y mitiga multas y daño reputacional.