Qué es un WISP
Un Plan Escrito de Seguridad de la Información, o WISP por sus siglas en inglés, es un documento que describe cómo su oficina protege la información de los clientes. Indica qué información tiene, quién la maneja, dónde se guarda, cómo se protege y qué hace si algo sale mal. Al ponerlo por escrito, usted, su personal y cualquier ayuda externa trabajan con las mismas reglas.
Muchas oficinas de impuestos empiezan con la Publicación 4557 del IRS, Safeguarding Taxpayer Data (Protección de los datos del contribuyente), y con la Regla de Salvaguardas de la FTC, que son referencias comunes en este tema. Léalas para ver qué temas cubren y luego adáptelos al tamaño y a las costumbres de su oficina.
Por qué una oficina pequeña lo necesita
Una práctica de una sola persona y una oficina de diez enfrentan los mismos tipos de riesgo: una laptop robada, un correo de phishing que parece venir de un proveedor de software, un ex empleado que todavía tiene acceso o un expediente en papel olvidado en la fotocopiadora. Un plan escrito convierte las buenas costumbres en rutinas que no dependen de la memoria de nadie.
Paso 1: Haga un inventario de lo que guarda
Anote cada tipo de información de clientes que llega a la oficina, por correo electrónico o por el portal. La mayoría de las oficinas pequeñas guardan más de lo que imaginan.
- Declaraciones de impuestos, cuestionarios y papeles de trabajo, incluidos los registros del Anexo C (Schedule C)
- Estados de cuenta bancarios y de tarjetas que le envían los clientes
- Números de Seguro Social, números de cuenta y de ruta bancaria, y copias de identificaciones
- Formularios de consentimiento firmados y cartas de compromiso
- Hilos de correo y mensajes de texto con los clientes
Para cada elemento, pregúntese: ¿cómo entra a la oficina? ¿Dónde se guarda? ¿Quién puede abrirlo? ¿Cuánto tiempo se conserva y cómo se elimina?
Paso 2: Designe a una persona responsable
Asigne a una persona la responsabilidad del plan, aunque la oficina tenga solo dos personas. Esa persona mantiene el documento al día, responde las preguntas del personal y decide qué hacer cuando surge una excepción.
Paso 3: Escriba los controles
Para cada área, escriba lo que la oficina hace en realidad, no lo que espera hacer. Sea lo bastante específico como para que un empleado nuevo pueda seguirlo.
- Acceso: quién puede ver qué expedientes de clientes y cómo se retira el acceso cuando alguien se va
- Inicio de sesión: contraseñas únicas y verificación en dos pasos en el correo, el software de impuestos y el almacenamiento en la nube
- Dispositivos: bloqueo de pantalla, cifrado en laptops y teléfonos, y reglas para los dispositivos personales
- Correo y envío de archivos: cómo se envían los documentos de forma segura, y una regla contra enviar números de Seguro Social completos en correo sin cifrar
- Papel: almacenamiento con llave, una trituradora y el hábito de no dejar documentos sobre el escritorio
- Copias de respaldo: dónde se guardan y quién puede restaurarlas
- Actualizaciones y antivirus en cada computadora
- Proveedores: qué servicios externos guardan datos de clientes y cómo los protegen
Paso 4: Capacite al personal y pruebe el plan
Un plan que nadie lee sirve de poco. Revíselo con todo el personal antes de que empiece la temporada de mayor trabajo. Luego recorra un escenario sencillo: un cliente avisa que un correo con sus documentos llegó a una dirección equivocada. ¿Quién llama a quién? ¿Quién revisa la carpeta de enviados? ¿Qué se anota y quién lo anota?
Paso 5: Prepare un plan para incidentes
Su plan debe decir qué pasa cuando algo sale mal, antes de que ocurra.
- Una lista de contactos: la persona responsable, su ayuda de informática y un asesor profesional
- Pasos para aislar una computadora o una cuenta comprometida
- Pasos para cambiar contraseñas y retirar accesos
- Un proceso para decidir cuándo y cómo se avisa a los clientes
- Un registro escrito de lo que pasó y de lo que se hizo al respecto
Paso 6: Revise y actualice
Revise el plan con una frecuencia regular, y también cada vez que agregue una herramienta nueva, contrate o despida personal, cambie de local o cambie la forma en que los clientes le envían documentos. Anote la fecha de cada revisión al inicio del documento para demostrar cuándo se revisó por última vez.
Errores comunes
- Escribir el plan una sola vez y archivarlo
- Incluir controles que la oficina en realidad no usa
- Olvidar los expedientes en papel, las impresoras compartidas y los teléfonos
- Dejar accesos activos a ex empleados
- Escribir frases vagas como "los datos de los clientes están protegidos" sin pasos que lo respalden
Esta guía describe prácticas generales de oficina. No es asesoría legal. Para preguntas sobre sus obligaciones específicas, consulte con un profesional calificado.
Cómo ayuda AnalytixData
El portal genera un Plan Escrito de Seguridad de la Información (WISP) con quince secciones a partir de unas pocas respuestas sobre su oficina, basado en la Publicación 4557 del IRS y en la Regla de Salvaguardas de la FTC. Los archivos están cifrados, el inicio de sesión usa verificación en dos pasos y los datos de cada firma se mantienen separados. Usted sigue revisando el plan para que coincida con la forma real en que trabaja su oficina.
Guía práctica para despachos; no es asesoría fiscal ni legal para un caso específico.