Qué establece la fuente primaria

Las modificaciones a Regulation S-P exigen procedimientos escritos de respuesta a incidentes. Cuando procede avisar, la entidad debe hacerlo cuanto antes y normalmente dentro de los 30 días desde que conoce un acceso o uso no autorizado ocurrido o razonablemente probable. SEC Regulation S-P amendments ↗ SEC final rule 34-100155 ↗

Qué cambia en el análisis

Un proveedor de CRM puede dar la alerta el lunes y entregar un informe detallado el viernes. Documente lo que se conocía en cada momento. La información disponible determina el inicio del plazo, que puede preceder al fin de la investigación.

Qué comprobar antes de concluir

La regla se refiere a personas cuya información sensible se vio afectada o pudo verse afectada con probabilidad razonable y contempla excepciones limitadas. Separe el aviso del proveedor, la determinación de destinatarios y la comunicación enviada.