Una plantilla de WISP para una oficina de impuestos pequeña, y qué cubre

Read in English

El IRS publica una plantilla de WISP gratuita para oficinas de impuestos. Es la Publicación 5708, "Creating a Written Information Security Plan for your Tax & Accounting Practice" (Rev. 8-2024) (traducción nuestra: «Cómo crear un plan escrito de seguridad de la información para su práctica de impuestos y contabilidad»). Esta página enumera lo que cubre.

Quién la escribió y para quién es

La preparó la Security Summit (Cumbre de Seguridad), una alianza del IRS, las agencias estatales de impuestos, grupos de impuestos del sector privado y profesionales de impuestos. La publicación dice que busca ayudar a los profesionales de impuestos, en particular a las prácticas más pequeñas. También dice que no es exhaustiva y que no sustituye su propia investigación.

Afirma que no existe un WISP que sirva para todos. Un profesional que trabaja solo puede usar un plan más abreviado que una firma de contabilidad con 10 socios.

Las siete partes del esquema

1. Definir los objetivos, el propósito y el alcance.
2. Designar a una Persona Calificada y enumerar a los usuarios autorizados, con sus niveles de acceso y sus responsabilidades.
3. Evaluar los riesgos: los tipos de información que maneja, las formas en que podría perderse y cómo vigilará y probará esos riesgos.
4. Hacer un inventario de los equipos, con la ubicación de cada pieza y la información que almacena o procesa.
5. Documentar las medidas de seguridad vigentes.
6. Redactar una cláusula de implementación.
7. Agregar anexos.

Políticas que sugiere el esquema

Para la parte cinco, la publicación sugiere políticas sobre recopilación y conservación de datos, divulgación de datos, protección de la red, acceso de los usuarios, intercambio electrónico de datos, acceso por Wi-Fi, acceso remoto, dispositivos conectados e incidentes que deben reportarse. También sugiere un código de conducta para los empleados.

Los anexos de muestra

La Publicación 5708 incluye seis: A, políticas de conservación de registros. B, reglas de comportamiento y conducta para proteger la información de identificación personal (PII) de los clientes. C, procedimientos ante una brecha de seguridad y notificaciones. D, constancia de entendimiento del empleado o contratista. E, inventario de los equipos de la firma que contienen datos de PII. F, empleados de la firma autorizados a acceder a la PII.

Cómo terminarla y mantenerla al día

La cláusula de implementación debería ser firmada por el funcionario operativo principal o el propietario(a) y por el Coordinador de Seguridad de Datos, y llevar fecha. Guarde el plan terminado en un formato que otras personas puedan leer, como PDF o Word. La publicación recomienda guardar una copia fuera de la oficina o en la nube. También recomienda constancias del personal firmadas y fechadas, actualizados en la capacitación anual.

La publicación llama al WISP un documento "evergreen" (siempre vigente) que se revisa, se prueba y se actualiza con regularidad. La portada de su muestra dice que se revise y se actualice al menos una vez al año.

También dice que un WISP es solo una parte de lo que los profesionales de impuestos necesitan para protegerse a sí mismos y proteger a sus clientes.

Para ver cómo se lee la regla que respalda la plantilla, pruebe la guía de la Regla de Salvaguardas. Para el formulario de renovación, vea W-12, línea 11.

Fuentes

• Publicación 5708 del IRS (Rev. 8-2024): irs.gov/pub/irs-pdf/p5708.pdf

Esta es información general, no asesoría legal.