Marcó la casilla en octubre. Ahora alguien tiene que escribir el plan.

La renovación de su número de identificación de preparador abre a mediados de octubre, y cerca del final hay una línea sobre seguridad de la información. Usted marca la casilla, porque claro que lo sabe, paga y vuelve al trabajo. Lo que esa línea señala es un documento de verdad — un plan escrito de seguridad de la información — y quienes lo exigen no son los mismos con quienes está renovando.

También es más corto de lo que casi todos esperan. En una oficina de seis personas, el plan son unas cuantas páginas que dicen quién es el responsable, qué información de los contribuyentes tiene usted, dónde vive de verdad, quién puede llegar a ella y qué haría la mañana en que nada abra. Las respuestas ya las sabe. Nunca han estado juntas en un solo lugar.

Quién lo exige en realidad

La ley de fondo es la Ley Gramm-Leach-Bliley, que trata sobre todo de bancos y prestamistas. Bajo esa ley, quien prepara declaraciones para otras personas cuenta como institución financiera — cosa que suena equivocada la primera vez que uno la oye, y de todas formas así es. La Comisión Federal de Comercio escribió la regla que sale de ahí: la Regla de Salvaguardias.

La renovación es solo el lugar donde le hacen la pregunta. La línea dice que usted sabe que tiene la obligación legal de tener un plan de seguridad de la información y de proteger toda la información de los contribuyentes. Saberlo, nada más: nadie le pide adjuntarlo y nadie lo lee. Pero el formulario lo firma usted, y por eso octubre es una buena semana para leer su propio plan.

La regla también es más benigna con una oficina de su tamaño de lo que le va a decir quien le quiera vender algo. Si guarda información de menos de cinco mil personas, cuatro de sus partes más pesadas no le aplican: el análisis de riesgos escrito, el plan escrito para la mañana de una filtración, las pruebas periódicas y un informe anual a una junta directiva que usted probablemente no tiene. El plan en sí se queda.

Qué lleva adentro, y por qué el archivo de 2022 ya no sirve

Casi nada de esto es técnico. Igual que el cuestionario de seguridad que manda un cliente, el plan es sobre todo una descripción de cómo se comporta su oficina, escrita una vez para que nadie tenga que acordarse. En una oficina de seis, cinco cosas:

• Quién es el responsable, con nombre y apellido, y a quién avisa esa persona cuando pasa algo.
• Qué información de los contribuyentes tiene, y todos los lugares donde de verdad está: el sistema donde prepara las declaraciones, el correo, la carpeta que se llena de escaneos, el archivero donde guarda el papel, la laptop que se va a la casa.
• Quiénes de su gente pueden llegar a cuál parte, y quiénes no.
• El segundo paso que todos usan al iniciar sesión, y cualquier lugar donde haya decidido que otra cosa alcanza: esa decisión va por escrito.
• Cómo se guardan las copias de seguridad, cómo le llega una declaración al cliente, cuánto tiempo la conserva, y qué le exige a quien contrata para que le ayude.

La segunda y la tercera son las que más tardan, porque nadie las ha escrito nunca. En la mayoría de las oficinas donde entramos aparece una carpeta con cuatro años de declaraciones escaneadas, puesta ahí por alguien que ya se fue, abierta para todos. Encontrar eso es la mayor parte del valor del ejercicio.

Por eso el archivo que alguien descargó en 2022 casi seguro ya se quedó atrás. La línea de la renovación dice más o menos lo mismo desde 2019, así que el formulario no le va a avisar. Lo que se movió está debajo: la mayor parte de los requisitos actuales entró en vigor en junio de 2023, y el plan de muestra que publica el Servicio de Impuestos Internos se reescribió en el verano de 2024.

Lo que más cambió es la forma. Las plantillas viejas le piden designar a un empleado o empleados que coordinen; la regla actual quiere una sola persona con nombre y apellido. Los planes nuevos también preguntan dónde aplica el segundo paso al iniciar sesión, cómo protege la información que está quieta y la que viaja, y qué le exige a quien le cuida las computadoras. Poco de eso significa empezar de nuevo.

Qué significa «designar a una persona» cuando son seis

Significa un nombre, no un puesto. La regla pide una persona calificada, lo que se lee como si quisiera un título, y no lo quiere. Lo calificado se mide contra el tamaño de su oficina: en una de seis, casi siempre es el dueño, y a veces la persona que lleva once años sacando adelante la oficina sin hacer ruido.

Puede contratar a alguien de afuera para el puesto, y muchas oficinas lo hacen. Dos cosas se quedan con usted cuando lo hace: sigue siendo quien responde por el plan, y alguien de adentro, con jerarquía, tiene que quedar nombrado como quien dirige al de afuera. En una oficina de seis, ese es usted.

El año que sigue es más pequeño de lo que suena: leer el plan antes de la renovación, dar y quitar accesos cuando alguien entra o alguien se va, ser a quien llaman primero. La mayoría de las oficinas donde entramos está más cerca de eso de lo que cree el dueño. Si quiere que alguien se siente con lo que ya tiene, la Revisión son noventa minutos en su oficina, y el informe escrito es suyo de todas formas.