Cómo hacer una evaluación de riesgos por escrito en una oficina de impuestos pequeña
La respuesta corta
La sección 314.4(b) de la Regla de Salvaguardas de la FTC dice que base su programa de seguridad de la información en una evaluación de riesgos. La evaluación de riesgos debe hacerse por escrito y debe incluir tres cosas, que se detallan abajo. La sección 314.6 dice que el párrafo de la evaluación por escrito, 314.4(b)(1), no se aplica a las oficinas que mantienen información de clientes de menos de 5,000 consumidores. No dice eso del párrafo (b) en sí ni de las reevaluaciones periódicas de (b)(2). Las publicaciones del IRS agregan pasos prácticos: hacer una lista de la información que maneja, hacer una lista de las formas en que podría perderse, y llevar un inventario de los dispositivos que la tocan.
Qué exige la regla
Las citas de esta página son traducción nuestra del texto en inglés de la regla y de las publicaciones. Los originales están en los enlaces de Fuentes.
El párrafo (b) dice:
«Base su programa de seguridad de la información en una evaluación de riesgos que identifique los riesgos internos y externos razonablemente previsibles para la seguridad, la confidencialidad y la integridad de la información de clientes que podrían resultar en la divulgación no autorizada, el uso indebido, la alteración, la destrucción u otra vulneración de esa información, y que evalúe la suficiencia de las salvaguardas existentes para controlar esos riesgos.»
El párrafo (b)(1) agrega: «La evaluación de riesgos deberá hacerse por escrito y deberá incluir:»
- «Criterios para evaluar y categorizar los riesgos o las amenazas de seguridad identificados que usted enfrenta;»
- «Criterios para evaluar la confidencialidad, la integridad y la disponibilidad de sus sistemas de información y de la información de clientes, incluida la idoneidad de los controles existentes en el contexto de los riesgos o las amenazas identificados que usted enfrenta; y»
- «Requisitos que describan cómo se mitigarán o se aceptarán los riesgos identificados con base en la evaluación de riesgos, y cómo el programa de seguridad de la información atenderá los riesgos.»
El párrafo (b)(2) dice: «Usted deberá realizar periódicamente evaluaciones de riesgos adicionales que reexaminen los riesgos internos y externos razonablemente previsibles». La regla usa ahí la palabra «periódicamente». Para saber cada cuánto actualizan su plan las oficinas, vea cada cuánto actualizar un WISP.
¿Cambia algo la exención para oficinas pequeñas?
La sección 314.6 dice:
«Las secciones 314.4(b)(1), (d)(2), (h) e (i) no se aplican a las instituciones financieras que mantienen información de clientes de menos de cinco mil consumidores.»
El párrafo (b)(1), la evaluación por escrito con los tres puntos de arriba, está en esa lista. El inicio del párrafo (b) y el párrafo (b)(2) no están. El umbral cuenta los consumidores cuya información usted mantiene, no al personal. Lea usted mismo la lista y compárela con sus propias cifras.
Pasos prácticos de la Publicación 5708
El esquema de la Publicación 5708 tiene un paso llamado «Evaluar los riesgos». Bajo ese paso, la publicación dice: «Al elaborar su WISP, examine de cerca su negocio para identificar los riesgos de acceso, uso o divulgación no autorizados de la información.» Divide el paso en tres acciones.
- Haga una lista de los tipos de información que maneja su oficina. La publicación dice: «Identificar la información que maneja su práctica es un paso crítico para evaluar el riesgo.» Da como ejemplos la información personal identificable de los contribuyentes, los registros de empleados y la información financiera privada del negocio. Sus palabras son «Algunos tipos de información que podría usar en su firma incluyen».
- Haga una lista de los tipos posibles de pérdida, dentro y fuera de la oficina. La publicación dice: «Los ejemplos podrían incluir el robo físico de archivos en papel o electrónicos, el robo de datos electrónicos por toma de control remoto de su red de computadoras, y la pérdida por incendio, huracán, tornado u otra causa natural.» Son ejemplos, no una lista obligatoria.
- Describa los procedimientos para vigilar sus procesos y probar si surgen riesgos nuevos.
El siguiente paso del esquema es «Inventariar el hardware». La publicación dice: «Es imperativo catalogar todos los dispositivos usados en su práctica que entran en contacto con datos de contribuyentes.» Para cada uno, pide que anote la descripción y la ubicación física, y que registre los tipos de información que almacena o procesa.
Qué agrega la Publicación 4557
La Publicación 4557 dice que la Regla de Salvaguardas exige a las empresas «evaluar y atender los riesgos para la información de clientes en todas las áreas de su operación». Nombra tres áreas como particularmente importantes: la gestión y la capacitación de empleados, los sistemas de información, y la detección y el manejo de fallas del sistema. Su lista de verificación empieza con «las firmas deberían considerar implementar las siguientes prácticas», así que esos puntos son sugerencias.
Su lista de pasos básicos incluye: «Haga un inventario de los dispositivos donde se guardan los datos de impuestos de los clientes, es decir, laptops, teléfonos inteligentes, tabletas, discos duros externos, etc.» Su lista de verificación tiene la línea «Mantenga un inventario cuidadoso de las computadoras de su empresa y de cualquier otro equipo en el que pueda almacenarse información de clientes.»
Cómo alimenta el plan
El párrafo (c) dice que debe «Diseñar e implementar salvaguardas para controlar los riesgos que usted identifique mediante la evaluación de riesgos». En el esquema de la Publicación 5708, «Evaluar los riesgos» va antes de «Documentar las medidas de seguridad vigentes», que enumera políticas sugeridas como la recopilación y conservación de datos, la protección de la red, el acceso de usuarios y el acceso remoto.
El párrafo (g) cierra el ciclo. Dice que debe «Evaluar y ajustar su programa de seguridad de la información a la luz de» varias cosas, entre ellas «los resultados de las evaluaciones de riesgos realizadas conforme al párrafo (b)(2) de esta sección». La Publicación 5708 dice que un plan «está pensado como un documento siempre vigente (evergreen) que se revisa, se prueba y se actualiza con regularidad».
El generador gratuito de WISP hace un borrador del plan. Un borrador es solo el comienzo.
Fuentes
- 16 CFR 314.4, 314.6 (eCFR, 2026-10-01): ecfr.gov, Parte 314 (en inglés)
- Publicación 4557 del IRS (Rev. 6-2024): irs.gov/pub/irs-pdf/p4557.pdf (en inglés)
- Publicación 5708 del IRS (Rev. 8-2024): irs.gov/pub/irs-pdf/p5708.pdf (en inglés)
Esta es información general, no asesoría legal.
¿Prefiere que se lo preparemos?
Es para las oficinas que prefieren no escribir el plan ellas mismas. Cuesta $349, redactado con herramientas de IA a partir de sus propias respuestas. Solo documentos, sin acceso a sus sistemas y sin contraseñas, y cada respuesta se marca "informado por el dueño, no verificado". Qué pasa después de pagar: usted llena el cuestionario, y el plan terminado le llega por correo en un máximo de 3 días hábiles después de recibir el cuestionario completo. No es asesoría legal ni de impuestos.
Reciba el plan escrito, hecho para usted, $349 (la página de pago está en inglés)