¿Qué es la GLBA? La Safeguards Rule de la Gramm-Leach-Bliley Act

La Gramm-Leach-Bliley Act (GLBA), también llamada Financial Services Modernization Act de 1999, es la ley estadounidense que regula cómo tratan las instituciones financieras la información personal no pública de sus clientes. Para los equipos de seguridad y privacidad se reduce a tres normas (privacidad, salvaguardas y antipretexting) y a un estándar de seguridad endurecido hace poco. Este artículo es información general, no asesoramiento legal.

Para qué sirve la GLBA

La GLBA fue una ley de gran alcance para el sector financiero, pero su relevancia duradera para la seguridad y la privacidad está en cómo trata los datos de los clientes. Las instituciones financieras custodian parte de la información personal más sensible que existe: números de cuenta, saldos, historiales de transacciones, números de la Seguridad Social. La GLBA fija unas expectativas básicas sobre cómo se divulga y se protege esa «información personal no pública», y da a los consumidores algo de voz y de transparencia. La aplican varios reguladores según el tipo de institución, y la Federal Trade Commission cubre muchas empresas financieras no bancarias.

La Financial Privacy Rule

La Financial Privacy Rule regula la recogida y la divulgación de la información financiera personal de los clientes. Su requisito más visible es el aviso de privacidad: las instituciones deben decir a los clientes qué información recogen, con quién la comparten y cómo la protegen, y deben entregar estos avisos al inicio de la relación y periódicamente después. La norma también da a los consumidores el derecho a oponerse a determinadas cesiones de su información a terceros no vinculados, dentro de unos límites. En la práctica, hace transparentes las prácticas de cesión de datos y da a los clientes cierto control sobre las cesiones secundarias.

La Safeguards Rule

Si la Privacy Rule trata de la divulgación, la Safeguards Rule trata de la protección, y es donde los equipos de seguridad dedican la mayor parte de su tiempo. Obliga a una institución financiera a desarrollar, implantar y mantener un completo programa de seguridad de la información por escrito con salvaguardas administrativas, técnicas y físicas adecuadas a su tamaño y a la sensibilidad de la información que guarda. El programa tiene que estar diseñado para mantener segura y confidencial la información de los clientes, proteger frente a las amenazas previsibles y proteger frente a los accesos no autorizados que puedan perjudicar a los clientes. Durante años fue una obligación bastante basada en principios; una actualización importante lo cambió.

La actualización de 2023 de la Safeguards Rule

La Safeguards Rule se revisó de forma significativa, con disposiciones clave que entraron en vigor en 2023, para hacerla mucho más prescriptiva: más cerca de una lista de comprobación de controles de seguridad modernos que de un deber general de diligencia. Entre lo añadido:

• Designar a una persona cualificada responsable de supervisar y hacer cumplir el programa de seguridad de la información.
• Basar el programa en una evaluación de riesgos por escrito que se actualice periódicamente.
• Implantar controles de acceso y limitar quién puede llegar a la información de los clientes.
• Cifrar la información de los clientes en reposo y en tránsito, o usar una alternativa equivalente aprobada.
• Exigir autenticación multifactor a cualquiera que acceda a la información de los clientes.
• Adoptar prácticas de desarrollo seguro para las aplicaciones desarrolladas internamente y por terceros.
• Mantener registros y monitorización para detectar la actividad no autorizada y responder a ella.
• Tener un plan de respuesta a incidentes por escrito.
• Supervisar a los proveedores de servicios eligiendo proveedores capaces, vinculándolos por contrato y evaluándolos a lo largo del tiempo.
• Hacer pruebas con regularidad mediante monitorización continua o pruebas de penetración y evaluaciones de vulnerabilidades periódicas.
• Formar al personal y mantener al día al personal de seguridad.
• Informar a un consejo u órgano de gobierno sobre el estado del programa.

Las instituciones más pequeñas tienen algunas obligaciones reducidas, pero la dirección está clara: la FTC espera ahora controles concretos y demostrables, no una política guardada en un cajón. Gran parte de esto encaja directamente con los marcos de seguridad generales, así que si ya has organizado tus controles en torno al NIST Cybersecurity Framework o has construido un sistema de gestión de seguridad de la información, tienes buena parte del camino hecho. El requisito de supervisión de los proveedores de servicios, en concreto, es un mandato de riesgo de terceros: evaluar a los proveedores con un cuadro de riesgo de proveedores y la lista de comprobación para evaluar la seguridad de proveedores es exactamente el tipo de evidencia que pide.

Las disposiciones sobre pretexting

La GLBA también aborda el pretexting: obtener información financiera de los clientes con engaños, por ejemplo haciéndose pasar por el titular de una cuenta para engañar a un centro de atención telefónica y conseguir los datos de la cuenta. Las disposiciones sobre pretexting empujan a las instituciones a protegerse contra este tipo de ingeniería social. En la práctica, eso significa una verificación de identidad sólida, formación del personal para reconocer la manipulación y controles que dificulten a un atacante llegar a los datos de los clientes a base de labia. Es el reconocimiento de la GLBA, décadas antes de la ola actual de ataques de ingeniería social, de que las personas y los procesos son un objetivo principal.

Quién tiene que cumplirla

La GLBA se aplica a las instituciones financieras, y esa categoría es mucho más amplia que «los bancos». La ley cubre a las empresas que se dedican de forma significativa a actividades financieras, lo que incluye a prestamistas e intermediarios hipotecarios, administradores de préstamos, casas de cambio de cheques y prestamistas de día de pago, asesores de inversión y financieros, gestorías fiscales, algunas agencias de cobro de deudas y muchísimas empresas fintech y los proveedores de procesamiento de datos que les dan servicio. Si tu empresa maneja información financiera personal no pública de consumidores como parte de la oferta de un producto o servicio financiero, da por hecho que la GLBA puede alcanzarte y confirma tus obligaciones concretas con un abogado. Ten en cuenta que la GLBA se suma a otras obligaciones, no las sustituye: una fintech también puede estar dentro del alcance de marcos como SOC 2 que los clientes exigen por contrato.

Preguntas frecuentes

¿Qué es la GLBA? Una ley estadounidense de 1999 que regula cómo las instituciones financieras recogen, comparten y protegen la información personal no pública de sus clientes, mediante la Financial Privacy Rule, la Safeguards Rule y las disposiciones sobre pretexting.

¿Qué es la Safeguards Rule? El componente de seguridad: la obligación de mantener un programa de seguridad de la información por escrito con salvaguardas administrativas, técnicas y físicas adecuadas a la institución.

¿Qué añadió la actualización de 2023? Requisitos prescriptivos: una persona cualificada designada, una evaluación de riesgos por escrito, controles de acceso, cifrado, autenticación multifactor, registros, respuesta a incidentes, supervisión de proveedores, pruebas, formación e informes al consejo.

¿Quién debe cumplirla? Las «instituciones financieras» en sentido amplio: no solo los bancos, sino también prestamistas, asesores, gestorías fiscales, muchas fintech y los proveedores que les dan servicio.

¿Qué es el pretexting? Obtener información financiera con engaños, por ejemplo haciéndose pasar por un cliente; la GLBA exige a las instituciones que se protejan contra esta amenaza de ingeniería social.