Bảo mật dữ liệu khách (WISP)

Tóm tắt

Người khai thuế giữ những thông tin nhạy cảm nhất của khách: số an sinh xã hội, thu nhập, tài khoản ngân hàng. Luật liên bang buộc văn phòng thuế có WISP, tức kế hoạch bảo mật thông tin bằng văn bản. Bài này giải thích vì sao phải có WISP, WISP gồm những gì, và dùng tài liệu nào của IRS để viết.

Vì sao bắt buộc

Luật Gramm-Leach-Bliley (GLBA) coi người làm thuế và kế toán là financial institution (tổ chức tài chính). Theo Safeguards Rule của FTC (Federal Trade Commission, Uỷ ban Thương mại Liên bang), các tổ chức này phải có chương trình bảo mật thông tin khách hàng. FTC ghi rõ "tax preparation firms" (văn phòng khai thuế) thuộc nhóm này.

IRS nhắc lại yêu cầu này trong thông cáo IR-2026-92 (ngày 18/08/2026): người làm thuế và kế toán phải lập và duy trì WISP. Kế hoạch phải viết ra, để nơi dễ lấy, và được xem lại, thử nghiệm, cập nhật thường xuyên.

Không có WISP, văn phòng có thể bị FTC điều tra.

WISP gồm những gì

Theo FTC và IRS, chương trình bảo mật phải có các phần sau:

Phần	Việc cần làm
Người phụ trách	Chỉ định một hoặc nhiều người lo chương trình bảo mật (FTC gọi là Qualified Individual)
Đánh giá rủi ro	Xác định rủi ro với thông tin khách, xem các biện pháp hiện có có đủ không
Biện pháp bảo vệ	Đặt ra, theo dõi và thử nghiệm các biện pháp bảo vệ
Đơn vị cung cấp dịch vụ	Chọn đơn vị (phần mềm, lưu trữ) có khả năng bảo vệ dữ liệu, ghi yêu cầu này trong hợp đồng
Kế hoạch xử lý sự cố	Viết sẵn các bước khi dữ liệu bị lộ hoặc bị đánh cắp

FTC còn yêu cầu xác thực nhiều lớp (multi-factor authentication) cho bất kỳ ai truy cập thông tin khách, và mã hoá thông tin khách khi lưu và khi gửi. Văn phòng giữ thông tin của dưới 5,000 người được miễn một số phần của quy định.

IRS khuyên WISP tập trung vào ba mảng: quản lý và đào tạo nhân viên, hệ thống thông tin, phát hiện và xử lý sự cố hệ thống.

Khi dữ liệu bị lộ

• Báo cho IRS Stakeholder Liaison (người liên lạc của IRS với giới làm thuế) ở vùng của bạn.
• Báo cho cơ quan thuế tiểu bang liên quan.
• Nếu sự cố ảnh hưởng ít nhất 500 người, báo cho FTC sớm nhất có thể và không quá 30 ngày sau khi phát hiện.

Tài liệu của IRS để viết WISP

• Publication 5708: hướng dẫn và mẫu WISP, viết cho văn phòng nhỏ. Bạn điền mẫu theo cách làm việc của văn phòng mình.
• Publication 4557 (Safeguarding Taxpayer Data): các khuyến nghị bảo mật cho người làm thuế, như mật khẩu mạnh, xác thực nhiều lớp, sao lưu, nhận biết email lừa đảo.

Ví dụ

Chị Hương mở văn phòng thuế tại nhà, có một nhân viên mùa vụ, khoảng 150 khách. Chị dùng mẫu trong Publication 5708 và ghi:

1. Người phụ trách bảo mật: chính chị.
2. Rủi ro chính: laptop bị mất, email lừa đảo, khách gửi giấy tờ qua email thường.
3. Biện pháp: mã hoá ổ cứng laptop, bật xác thực nhiều lớp cho phần mềm thuế và email, nhận giấy tờ qua đường tải lên bảo mật thay vì email.
4. Đơn vị dịch vụ: phần mềm thuế và nơi lưu trữ đám mây, kiểm tra cam kết bảo mật trong hợp đồng.
5. Sự cố: số điện thoại Stakeholder Liaison, danh sách cơ quan tiểu bang cần báo.
6. Đào tạo: nhân viên học quy tắc bảo mật trước mùa thuế.

Chị xem lại WISP mỗi năm trước mùa thuế.

Thực hành trên DynaTax AI Pro

Chỉ dùng dữ liệu demo.

1. Mở Settings › You › "Sign-in & security" và bật đăng nhập hai bước (2-step sign-in).
2. Mở Settings › Client work › "Client letters" và đọc mẫu thư về quyền riêng tư (privacy letter) gửi khách.
3. Mở hồ sơ một khách demo trong "Clients", tạo một đường tải lên bảo mật (secure upload link) để khách gửi giấy tờ thay vì email. [Kiểm tra màn hình]
4. Ghi vào bản WISP nháp của bạn: DynaTax AI Pro là một đơn vị cung cấp dịch vụ, và các biện pháp bạn vừa bật.

Nguồn

• IRS, Security Summit remind tax pros they need a WISP (IR-2026-92)
• IRS Publication 5708, Creating a Written Information Security Plan
• IRS Publication 4557, Safeguarding Taxpayer Data
• FTC Safeguards Rule: What your business needs to know
• Ứng dụng DynaTax AI Pro: Settings › Sign-in & security, Client letters, secure upload link (xem ngày 01/11/2026).