#security
Protect your financial data with security best practices and tools
CIRCIA exige que las entidades cubiertas reporten incidentes cibernéticos sustanciales a CISA en un plazo de 72 horas y los pagos de ransomware en 24 horas, con la regla final prevista para el otoño de 2026 y una cobertura estimada de más de 300,000 organizaciones en 16 sectores de infraestructura crítica.
El IC3 del FBI registró $3.05 mil millones en pérdidas por compromiso de correo electrónico empresarial en 2025, y solo el 25% de las pequeñas empresas cuenta con un mecanismo de denuncia de irregularidades frente al 85% de las grandes empresas. Así es como se desarrollan la suplantación de proveedores, el desvío de nómina y el fraude con cheques, y los controles que los detienen antes de que salga la transferencia.
Se estima que el 20% de todo el Bitcoin es permanentemente inaccesible porque sus propietarios murieron sin compartir sus claves privadas: una guía práctica para inventariar dominios, billeteras cripto y cuentas en la nube bajo RUFADAA antes de que una crisis obligue a actuar.
El 1 de julio de 2026, Connecticut redujo el umbral de su ley de privacidad a 35,000 residentes, Arkansas prohibió la publicidad dirigida a menores bajo la ACTOPPA, y Utah añadió un derecho de corrección de datos, incorporando al alcance de la ley a más pequeñas empresas que nunca.
Una orden judicial federal y una revocación del CFPB han congelado la norma de Derechos de Datos Financieros Personales (Sección 1033), dejando a las pequeñas empresas inciertas sobre si el acceso a los feeds bancarios para herramientas de contabilidad, préstamos y flujo de efectivo seguirá siendo gratuito, seguro y confiable.
El período de transición de PCI DSS 4.0 finalizó el 31 de marzo de 2025, por lo que toda evaluación de comerciantes a partir de 2026 en adelante ahora exige monitoreo obligatorio de scripts de páginas de pago, MFA para todo acceso a datos de titulares de tarjetas y escaneos internos de vulnerabilidades autenticados. El incumplimiento conlleva multas mensuales de $5,000 a $100,000 por parte de los bancos adquirentes, más un costo promedio de violación de datos adicional de $173,692 según la investigación de IBM.
El FBI registró más de 22,000 informes de fraude de voz o video con IA con casi $893 millones en pérdidas en un solo año reciente; la verificación por devolución de llamada en un canal separado, una palabra clave rotativa y un segundo aprobador por umbral de dólar son los tres controles sin costo que detienen el fraude de transferencia bancaria con deepfake.
Cada estado de EE. UU. tiene su propia ley de notificación de violación de datos, con plazos de notificación individual que van desde los 30 días (California, Colorado, Florida, Nueva York, Washington) hasta los 60 días (Connecticut, Texas), y las pequeñas empresas deben cumplir con la ley de cada estado donde resida una persona afectada, no solo de su estado de origen.
El compromiso de correo electrónico empresarial costó a las víctimas estadounidenses más de $3 mil millones en pérdidas reportadas en 2025, y el 86% de ello se mueve por transferencia bancaria o ACH. Seis controles de cuentas por pagar —verificación por devolución de llamada, aprobación dual, bloqueos de archivo maestro de proveedores— detienen las transferencias fraudulentas antes de que el dinero salga.
Conecta tu libro mayor de Beancount.io a Claude, Cursor y clientes de IA compatibles. Consulta gastos, concilia cuentas y previsualiza ediciones del libro mayor.
Un manual de respuesta de 72 horas para propietarios de pequeñas empresas que enfrentan fraude fiscal basado en el EIN, secuestro de agentes registrados o toma de control de cuentas de nómina; incluye cómo presentar el Formulario 14039-B del IRS, establecer alertas de fraude en Dun & Bradstreet, Experian Business y Equifax Small Business, y proteger las huellas del IRS, la Secretaría de Estado, la banca y la nómina durante todo el año.
La SB 53 de California (Ley de Transparencia en la IA de Frontera) entró en vigor el 1 de enero de 2026, exigiendo que los desarrolladores de modelos fundacionales entrenados por encima de 10^26 FLOPs publiquen marcos de seguridad, informen sobre incidentes críticos a Cal OES en un plazo de 15 días (24 horas para amenazas inminentes), mantengan canales anónimos para denunciantes y se enfrenten a sanciones civiles de hasta 1 millón de dólares por infracción, aplicadas por el Fiscal General de California.
