Cumplir la Safeguards Rule de la FTC significa, para una empresa financiera no bancaria, tener un programa escrito de seguridad de la información conforme a 16 CFR Part 314, la norma de la Federal Trade Commission sobre protección de la información de clientes. Alcanza a prestamistas, corredores hipotecarios, casas de cambio de cheques, transferidores de fondos y otras empresas sin regulador bancario. Construimos el programa en torno a su negocio, cerramos las brechas técnicas y preparamos documentos que resisten una petición de la FTC.
La norma se aplica a las instituciones financieras bajo jurisdicción de la FTC: empresas con actividades de naturaleza financiera que no están sujetas a la aplicación de la GLBA por otro regulador. La sección 314.1(b) cita entre ellas a prestamistas hipotecarios y de día de pago, financieras, corredores hipotecarios, administradores de cuentas, casas de cambio de cheques, transferidores de fondos y preparadores de impuestos.
La lista incluye también agencias de cobro y asesores de crédito. Una fintech de grupo constituida como LLC estadounidense que gestiona fondos o crédito de consumidores suele estar dentro de este círculo.
La Safeguards Rule es el suelo federal. Una licencia estatal añade su propia capa: un licenciatario del DFS de Nueva York cumple además 23 NYCRR 500. Redactamos un único programa que cubre ambos, con una tabla que muestra de dónde viene cada control.
La sección 314.4 exige un programa escrito de seguridad de la información con nueve elementos: un Qualified Individual, una evaluación de riesgos, salvaguardas, supervisión y pruebas, formación, control de proveedores, actualización del programa, un plan de respuesta a incidentes y un informe anual al consejo.
Salvaguardas que la norma nombra directamente (314.4(c)):
Si falta una supervisión continua eficaz, la empresa realiza una prueba de penetración anual y evaluaciones de vulnerabilidades al menos cada seis meses y tras cambios materiales. Nosotros hacemos los escaneos y las evaluaciones; la prueba de penetración está disponible a petición.
La empresa designa un Qualified Individual que supervisa, aplica y hace cumplir el programa. Puede ser un empleado, alguien de una afiliada o de un proveedor de servicios; si se externaliza, la empresa conserva la responsabilidad del cumplimiento.
Con un Qualified Individual externo, la empresa designa a un miembro de la alta dirección para dirigir y supervisar a ese proveedor y le exige mantener su propio programa de seguridad (314.4(a)). Al menos una vez al año, el Qualified Individual informa por escrito al consejo, o a un alto directivo si no hay consejo, sobre el estado del programa, los riesgos, las pruebas y los eventos de seguridad (314.4(i)).
Dotamos a la persona que usted designe del programa, el registro de riesgos, el calendario de pruebas y un formato de informe anual. Un Qualified Individual externo en formato vCISO está disponible a petición.
Desde el 13 de mayo de 2024, un evento notificable que afecta a la información de al menos 500 consumidores se comunica a la FTC lo antes posible y a más tardar 30 días después de su descubrimiento. Un evento notificable es la obtención no autorizada de información de clientes sin cifrar.
La información cuenta como no cifrada si una persona no autorizada accedió a la clave de cifrado (314.2(m)). El aviso se presenta en el formulario en línea de la FTC con los datos de la empresa, los tipos de información, la fecha o el periodo del evento y el número de consumidores afectados (314.4(j)). El descubrimiento se fecha el primer día en que cualquier empleado, directivo o agente distinto del autor conoció el evento.
El plan de incidentes de 314.4(h) cubre roles, comunicaciones, remediación y revisión posterior. Si el mismo incidente afecta a clientes de la UE o de Canadá, los plazos se suman; los trazamos en nuestra página de respuesta a incidentes.
| Requisito | Qué significa | Fuente |
|---|---|---|
| Los requisitos de la norma actualizada se aplican desde el 9 de junio de 2023 | La transición terminó hace tiempo; la FTC espera el conjunto completo | FTC, nota de prensa, 15 Nov 2022 |
| Un Qualified Individual supervisa el programa; externalizarlo deja la responsabilidad en la empresa (314.4(a)) | Una persona con nombre, más la supervisión de cualquier proveedor externo | 16 CFR 314.4(a) |
| Evaluación de riesgos escrita con criterios de evaluación (314.4(b)) | El programa se deriva de riesgos documentados | 16 CFR 314.4(b) |
| Cifrado en reposo y en tránsito; MFA para cualquier acceso (314.4(c)(3), (5)) | Excepciones solo con aprobación escrita del Qualified Individual | 16 CFR 314.4(c) |
| Sin supervisión continua: prueba de penetración anual, evaluación de vulnerabilidades cada seis meses (314.4(d)(2)) | El calendario de pruebas forma parte del programa | 16 CFR 314.4(d) |
| Aviso a la FTC de eventos con 500 o más consumidores en 30 días (314.4(j)); vigente desde el 13 de mayo de 2024 | Hace falta una rutina para dimensionar el evento y presentar el formulario | 16 CFR 314.4(j), 314.5 |
| Menos de 5.000 consumidores: no se aplican 314.4(b)(1), (d)(2), (h) ni (i) (314.6) | Todos los demás elementos siguen aplicándose a las empresas pequeñas | 16 CFR 314.6 |
Normalmente, sí. La norma cubre a las empresas con actividades financieras frente a las que ningún otro regulador federal aplica la GLBA. La FTC nombra a prestamistas, corredores hipotecarios, administradores de cuentas, casas de cambio de cheques y transferidores de fondos. La valoración final sobre su entidad la da un abogado; nosotros construimos el programa de seguridad que exige la norma.
Sí. La norma admite un Qualified Individual empleado por una afiliada o por un proveedor de servicios. La empresa conserva entonces la responsabilidad del cumplimiento, designa a un miembro de la alta dirección para supervisar al proveedor y le exige mantener su propio programa de seguridad. Dotamos a la persona que usted designe; un Qualified Individual externo está disponible a petición.
Cuando un evento notificable afecta a información sin cifrar de al menos 500 consumidores, la empresa presenta el formulario en línea de la FTC lo antes posible y a más tardar 30 días después del descubrimiento. El descubrimiento es el primer día en que cualquier empleado, directivo o agente distinto del autor lo conoció. El requisito se aplica desde el 13 de mayo de 2024.
Las empresas con información de menos de 5.000 consumidores quedan exentas de la evaluación de riesgos escrita, de la prueba de penetración anual y las evaluaciones semestrales de vulnerabilidades, del plan escrito de respuesta a incidentes y del informe anual al consejo. Siguen aplicándose el Qualified Individual, las salvaguardas con MFA y cifrado, la formación, el control de proveedores y el aviso a la FTC.
El precio depende del número de sistemas y proveedores, del volumen de datos de clientes, de las políticas existentes y de si hacen falta correcciones técnicas como la MFA y el cifrado. Tras una consulta de pago de 30 minutos fijamos el alcance y un precio cerrado en una carta de alcance, con las preguntas posteriores sobre los mismos documentos incluidas.
Basta una línea. Un socio la lee y responde por escrito en 24 horas.
O escriba a hello@innovacg.com
