¿Los preparadores de impuestos necesitan autenticación de varios factores (MFA)?
La respuesta corta
Sí. La Regla de Salvaguardas (Safeguards Rule) de la FTC, 16 CFR Parte 314, cubre a los preparadores de impuestos. La sección 314.2 enumera a "an accountant or other tax preparation service that is in the business of completing income tax returns" (traducción nuestra: «un contador u otro servicio de preparación de impuestos que se dedica a completar declaraciones de impuestos sobre los ingresos») como institución financiera. La sección 314.4(c)(5) exige la autenticación de varios factores (MFA) para toda persona que acceda a cualquier sistema de información, a menos que su Persona Calificada apruebe por escrito controles de acceso razonablemente equivalentes o más seguros. La exención para oficinas pequeñas no la elimina. Sobre la MFA, la Publicación 4557 del IRS dice: "This is required for all companies regardless of size." (traducción nuestra: «Esto se exige a todas las empresas sin importar su tamaño.»)
Qué dice la regla de la FTC
La sección 314.4 empieza con "you shall" (traducción nuestra: «usted deberá») y luego enumera los elementos de su programa de seguridad de la información. El párrafo (c)(5) dice:
"Implement multi-factor authentication for any individual accessing any information system, unless your Qualified Individual has approved in writing the use of reasonably equivalent or more secure access controls;"
(traducción nuestra) «Implemente la autenticación de varios factores para toda persona que acceda a cualquier sistema de información, a menos que su Persona Calificada haya aprobado por escrito el uso de controles de acceso razonablemente equivalentes o más seguros;»
En palabras sencillas: toda persona que acceda a un sistema de información debe usar la autenticación de varios factores, es decir, al menos dos tipos distintos de factor (se definen más abajo). Una contraseña más una segunda contraseña no son dos tipos.
La regla permite una excepción. Su Persona Calificada, la persona que usted designa para supervisar, implementar y hacer cumplir su programa, puede aprobar otros controles de acceso en su lugar. Esos controles deben ser razonablemente equivalentes o más seguros, y la aprobación debe constar por escrito. La excepción no permite controles de acceso más débiles. La sección 314.4(a) dice que la Persona Calificada "may be employed by you, an affiliate, or a service provider." (traducción nuestra: «puede ser empleada por usted, por una afiliada o por un proveedor de servicios.»)
"Sistema de información" se define en la sección 314.2 como recursos electrónicos de información "containing customer information or connected to a system containing customer information." (traducción nuestra: «que contienen información de clientes o están conectados a un sistema que contiene información de clientes.») Por eso cubre los sistemas que guardan los datos de clientes y los que están conectados a ellos.
¿Cambia algo la exención para oficinas pequeñas?
No. La sección 314.6 dice:
"Section 314.4(b)(1), (d)(2), (h), and (i) do not apply to financial institutions that maintain customer information concerning fewer than five thousand consumers."
(traducción nuestra) «Las secciones 314.4(b)(1), (d)(2), (h) e (i) no se aplican a las instituciones financieras que mantienen información de clientes de menos de cinco mil consumidores.»
El párrafo (c)(5) no está en esa lista. Por eso, una oficina que guarda información de clientes de menos de 5,000 consumidores igualmente tiene que cumplir el requisito de MFA. La exención cuenta consumidores, no personal. Vea la guía de la Regla de Salvaguardas para ver las cuatro partes que sí quedan exentas.
Qué agregan las publicaciones del IRS
La Publicación 4557 (Rev. 6-2024) incluye la MFA en su lista de controles internos: "Implement multi-factor authentication for anyone accessing customer information on your system." (traducción nuestra: «Implemente la autenticación de varios factores para toda persona que acceda a información de clientes en su sistema.») También dice:
- "Tax software products for both taxpayers and tax professionals now offer multi-factor authentication." (traducción nuestra: «Los productos de software de impuestos, tanto para contribuyentes como para profesionales de impuestos, ahora ofrecen autenticación de varios factores.»)
- "Use the most secure option available, not only for your tax software, but other products such as email accounts and storage provider accounts." (traducción nuestra: «Use la opción más segura disponible, no solo para su software de impuestos, sino también para otros productos, como las cuentas de correo electrónico y las cuentas de proveedores de almacenamiento.»)
- La MFA y una VPN segura "should be minimum standards for remote access to the firm's office network." (traducción nuestra: «deberían ser normas mínimas para el acceso remoto a la red de la oficina de la firma.»)
Su glosario da como ejemplo IRS e-Services. e-Services está protegido por IRS Secure Access, "a two-factor authentication process." (traducción nuestra: «un proceso de autenticación de dos factores.») Agrega: "Tax professionals should always use the highest multifactor authentication available." (traducción nuestra: «Los profesionales de impuestos siempre deberían usar la autenticación de varios factores más alta disponible.»)
La Publicación 5708 (Rev. 8-2024) es la guía del IRS para escribir un plan escrito de seguridad de la información (WISP), con una plantilla de muestra. Su política de muestra dice: "Remote access will only be allowed using multi-factor Authentication (MFA) in addition to username and password authentication." (traducción nuestra: «El acceso remoto solo se permitirá usando autenticación de varios factores (MFA), además de la autenticación con nombre de usuario y contraseña.») Ese es un texto de muestra para que usted lo adapte a su oficina.
Qué cuenta como MFA
La sección 314.2 la define como "authentication through verification of at least two of the following types of authentication factors" (traducción nuestra: «autenticación mediante la verificación de al menos dos de los siguientes tipos de factores de autenticación»):
- "Knowledge factors, such as a password" (traducción nuestra: «factores de conocimiento, como una contraseña»)
- "Possession factors, such as a token" (traducción nuestra: «factores de posesión, como un token»)
- "Inherence factors, such as biometric characteristics" (traducción nuestra: «factores de inherencia, como las características biométricas»)
La Publicación 4557 da un ejemplo: usted escribe su nombre de usuario y su contraseña "plus a security code sent as a text to your mobile phone before you can access an account." (traducción nuestra: «más un código de seguridad enviado por mensaje de texto a su teléfono móvil antes de poder acceder a una cuenta.»)
Dónde activarla
Estas son las categorías que nombran los textos del IRS. Revise cada una en su oficina.
- Software de impuestos. La Publicación 4557 dice que los productos de software de impuestos "now offer multi-factor authentication" (traducción nuestra: «ahora ofrecen autenticación de varios factores»).
- Correo electrónico. La Publicación 4557 dice que proteja las cuentas de correo electrónico con "two-factor authentication if available" (traducción nuestra: «autenticación de dos factores si está disponible»).
- Acceso remoto. La Publicación 4557 dice que la MFA y una VPN segura "should be minimum standards" (traducción nuestra: «deberían ser normas mínimas») para el acceso remoto a la red de la oficina.
- Almacenamiento en la nube. La Publicación 4557 sugiere "multi-factor authentication options" (traducción nuestra: «opciones de autenticación de varios factores») para un servicio de almacenamiento en la nube.
La regla en sí no se limita a estas cuatro. El párrafo (c)(5) cubre a toda persona que acceda a cualquier sistema de información, como se definió arriba.
Póngala en su plan
En el apartado de acceso de usuarios, la lista de planificación de la Publicación 5708 incluye "Multi-factor Authentication Policy controls" (traducción nuestra: «controles de la política de autenticación de varios factores»). En el apartado de acceso remoto, dice "Set policy requiring multi-factor authentication for remote access connections." (traducción nuestra: «Establezca una política que exija autenticación de varios factores para las conexiones de acceso remoto.») El generador gratuito de WISP hace un borrador. Para una plantilla, vea la guía de la plantilla de WISP.
Fuentes
- 16 CFR 314.2, 314.4, 314.6 (eCFR, 2026-10-01): ecfr.gov, Parte 314
- Publicación 4557 del IRS (Rev. 6-2024): irs.gov/pub/irs-pdf/p4557.pdf
- Publicación 5708 del IRS (Rev. 8-2024): irs.gov/pub/irs-pdf/p5708.pdf
Esta es información general, no asesoría legal.
¿Prefiere que se lo preparemos?
Es para las oficinas que prefieren no escribir el plan ellas mismas. Cuesta $349, redactado con herramientas de IA a partir de sus propias respuestas. Solo documentos, sin acceso a sus sistemas y sin contraseñas, y cada respuesta se marca "informado por el dueño, no verificado". Qué pasa después de pagar: usted llena el cuestionario, y el plan terminado le llega por correo en un máximo de 3 días hábiles después de recibir el cuestionario completo. No es asesoría legal ni de impuestos.
Reciba el plan escrito, hecho para usted, $349 (la página de pago está en inglés)¿Prefiere llenarlo usted? El kit de $29 trae el plan completo con los Anexos A a I, una lista de configuración de ocho pasos y una hoja de firma para el personal, en archivos de Word en español y en inglés. La página de pago está en inglés.