Programa de Prevención del Robo de Identidad con Bandera Roja

Procedimiento administrativo 3.407

Adopción del programa

Elgin Community College ("el Colegio") desarrolló este Programa de Prevención de Robo de Identidad ("Programa") de conformidad con la Comisión Federal de Comercio ("FTC") Red Flags Regla, que implementa la Sección 114 de la Fair and Accurate Credit Transactions Act de 2003. Este Programa fue desarrollado con la supervisión y aprobación del Consejo de Administración del Elgin Community College. Después de considerar el tamaño y la complejidad de las operaciones del Colegio y los sistemas de cuenta, y la naturaleza y el alcance de las actividades del Colegio, la Junta de Elgin Community College de Síndicos determinó que este Programa era apropiado para el Colegio, y por lo tanto aprobó este Programa el 9 de junio de 2009.

Definiciones y programa

A. Definiciones de las normas de alerta roja utilizadas en este programa

"Robo de identidad" es un "fraude cometido o intentado mediante el uso de la información de identificación de otra persona sin autorización".

Una "Bandera Roja" es un "patrón, práctica o actividad específica que indica la posible existencia de Robo de Identidad."

Una "cuenta cubierta" es cualquier cuenta que el Colegio ofrece o mantiene que implica o está diseñado para permitir múltiples pagos o transacciones y cualquier otra cuenta que el Colegio ofrece o mantiene para los que existe un riesgo razonablemente previsible para el cliente o para la seguridad y solidez de la Universidad de robo de identidad. (Sobre la base de las prácticas actuales del Colegio, las cuentas a las que se hace referencia incluirían todas las cuentas de estudiantes, académicas o financieras, o cuentas establecidas a través de extensiones de crédito que son administradas por el Colegio).

"Administrador del programa" es la persona designada como principal responsable de la supervisión del programa. Véase el apartado VI.

Por "información identificativa" se entiende "cualquier nombre o número que pueda utilizarse, solo o en combinación con cualquier otra información, para identificar a una persona concreta", incluidos: nombre, dirección, número de teléfono, número de la seguridad social, fecha de nacimiento, número de permiso de conducir o de identificación expedido por el gobierno, número de registro de extranjero, número de pasaporte del gobierno, número de identificación del empleador o del contribuyente, número de identificación del estudiante, dirección de protocolo de Internet del ordenador o código de encaminamiento.

B. Identificación de las cuentas cubiertas

El Colegio determinará periódicamente si mantiene cuentas cubiertas realizando una evaluación de riesgos teniendo en cuenta los métodos que proporciona para abrir y acceder a sus cuentas y su experiencia previa con el robo de identidad.

C. Cumplimiento de los requisitos de la Norma de Banderas Rojas

En virtud de la Norma de Banderas Rojas, el Colegio está obligado a establecer un "Programa de Prevención del Robo de Identidad" adaptado a su tamaño, complejidad y naturaleza de sus operaciones. Cada programa debe contener políticas y procedimientos razonables para:

Identificar las alertas rojas pertinentes para las cuentas cubiertas nuevas y existentes e incorporarlas al Programa;
Detectar Banderas Rojas que se han incorporado al Programa;
Responder adecuadamente a cualquier alerta roja que se detecte para prevenir y mitigar el robo de identidad; y
Garantizar que el Programa se actualiza periódicamente para reflejar los cambios en los riesgos para los estudiantes o el personal de la universidad o para la seguridad y solidez del estudiante o del personal de la universidad derivados del Robo de Identidad.

Identificación de señales de alarma

Con el fin de identificar las banderas rojas pertinentes, el Colegio considera los tipos de cuentas que ofrece y mantiene, los métodos que proporciona para abrir sus cuentas, los métodos que proporciona para acceder a sus cuentas, y sus experiencias anteriores con el robo de identidad. El Colegio identifica las siguientes Banderas Rojas en cada una de las categorías enumeradas:

A. Notificaciones y advertencias de las agencias de información crediticia

Banderas rojas

Informe de fraude que acompaña a un informe de crédito;
Notificación o informe de una agencia de crédito sobre la congelación del crédito de un solicitante;
Notificación o informe de una agencia de crédito sobre una alerta de servicio activo de un solicitante;
Recepción de un aviso de discrepancia de dirección en respuesta a una solicitud de informe de crédito; y
Indicación en un informe de crédito de una actividad que no es coherente con la pauta o actividad habitual del solicitante.

B. Documentos sospechosos

Banderas rojas

Documento o tarjeta de identificación que parezca falsificado, alterado o no auténtico;
Documento o tarjeta de identificación en el que la fotografía o la descripción física de una persona no coinciden con las de la persona que presenta el documento;
Otro documento con información que no concuerde con la información existente sobre los estudiantes o el personal de la universidad; y
Solicitud de servicio que parece haber sido alterada o falsificada.

C. Información de identificación personal sospechosa

Banderas rojas

Identificar la información presentada que es incoherente con otra información proporcionada por el estudiante o por el personal de la universidad (ejemplo: fechas de nacimiento incoherentes);
Identificar la información presentada que es incoherente con otras fuentes de información (por ejemplo, una dirección que no coincide con la de una solicitud);
Identificar la información presentada que es la misma que la mostrada en otras solicitudes que resultaron ser fraudulentas;
Información identificativa presentada que sea coherente con una actividad fraudulenta (como un número de teléfono no válido o una dirección de facturación ficticia);
Número de seguridad social presentado que coincide con el facilitado por otro estudiante o personal de la universidad;
Una dirección o un número de teléfono presentados que coinciden con los de otra persona y no tienen razón de ser;
Una persona no proporciona la información de identificación personal requerida en una solicitud cuando se le recuerda que debe hacerlo; y
Los datos identificativos de una persona no coinciden con los que constan en el expediente del alumno o del personal de la universidad (electrónico o en papel).

D. Actividad sospechosa de la cuenta cubierta o uso inusual de la cuenta

Banderas rojas

Cambio de dirección de una cuenta seguido de una solicitud de cambio de nombre del estudiante o del personal de la universidad;
Los pagos se detienen en una cuenta que, por lo demás, está siempre al día;
Cuenta utilizada de forma no coherente con el uso anterior.
El correo enviado al estudiante o al personal de la universidad se devuelve repetidamente como imposible de entregar;
Aviso al Colegio de que un estudiante o personal del Colegio no recibe el correo enviado por el Colegio;
Aviso al Colegio de que una cuenta tiene actividad no autorizada;
Violación de la seguridad del sistema informático del Colegio; y
Acceso o uso no autorizado de información de cuentas de estudiantes o personal de la universidad.

E. Alertas de terceros

Bandera Roja

Notificación al Colegio de un estudiante o personal del Colegio, víctima de Robo de Identidad, aplicación de la ley u otra persona de que el Colegio ha abierto o está manteniendo una cuenta fraudulenta para una persona involucrada en Robo de Identidad.

Detección de banderas rojas

A. Matriculación de estudiantes

Con el fin de detectar cualquiera de las Banderas Rojas identificadas anteriormente asociadas con la inscripción de un estudiante, el personal del Colegio tomará las siguientes medidas para obtener y verificar la identidad de la persona que abre la cuenta:

Detectar

Exigir determinados datos identificativos como el nombre, la fecha de nacimiento, el expediente académico, la dirección particular u otro tipo de identificación.
Verificar la identidad del estudiante en el momento de la expedición de la tarjeta de identificación de estudiante (revisión de la identificación con fotografía expedida por el gobierno y del horario del estudiante).

B. Cuentas existentes

Con el fin de detectar cualquiera de las Banderas Rojas identificadas anteriormente para una Cuenta Cubierta existente, el personal del Colegio tomará las siguientes medidas para supervisar las transacciones en una cuenta:

Detectar

Verificar la identificación de los estudiantes o del personal de la universidad si solicitan información (en persona, por teléfono, por fax, por correo electrónico).
Verificar la validez de las solicitudes de cambio de dirección de facturación por correo postal o electrónico y proporcionar al estudiante o al personal de la universidad un medio razonable para informar rápidamente de los cambios de dirección incorrectos (de acuerdo con el procedimiento de cambio de dirección del estudiante o del personal de la universidad); y
Verificar las razones para cambiar la información bancaria facilitada a efectos de facturación y pago, tal como se procesa a través del sistema de plan de pagos, y no consiguen cambiar la información a través del propio sistema.

C. Solicitud de informes sobre consumidores ("crédito")

Con el fin de detectar cualquiera de las Banderas Rojas identificadas anteriormente para un empleo, voluntario o cualquier otro puesto para el que se solicita un informe de crédito o de antecedentes, el personal del Colegio tomará las siguientes medidas para ayudar a identificar las discrepancias de dirección:

Exigir a cualquier solicitante una verificación por escrito de que la dirección facilitada por el solicitante es exacta en el momento en que se solicita el informe crediticio a la agencia de informes de los consumidores; y
En el caso de que se reciba la notificación de una discrepancia de dirección, verificar que el informe crediticio pertenece al solicitante para el que se realizó el informe solicitado y comunicar a la agencia de informes de los consumidores una dirección para el solicitante que la universidad haya confirmado razonablemente que es exacta.

Prevención y mitigación del robo de identidad

En caso de que el personal del Colegio detecte alguna de las Banderas Rojas identificadas, dicho personal adoptará una o varias de las siguientes medidas, en función del grado de riesgo que plantee la Bandera Roja:

Prevenir y mitigar

Seguir vigilando una Cuenta cubierta para detectar indicios de usurpación de identidad;
Póngase en contacto con el estudiante o con el personal de la universidad, según proceda en cada situación;
Restablecer las contraseñas u otros dispositivos de seguridad que permitan el acceso a las Cuentas cubiertas;
Proporcionar al estudiante o al personal de la universidad un nuevo número de identificación de estudiante o de personal de la universidad en persona con la debida identificación;
Notifíquelo al administrador del programa para que determine las medidas oportunas;
Avise a las fuerzas del orden;
Presentar o ayudar a presentar un informe de actividades sospechosas ("SAR"); o
Determinar que no se justifica ninguna respuesta dadas las circunstancias particulares.

Proteger la información identificativa de los estudiantes o del personal de la universidad

Con el fin de prevenir aún más la probabilidad de robo de identidad que ocurre con respecto a las cuentas cubiertas, el Colegio tomará las siguientes medidas con respecto a sus procedimientos operativos internos para proteger a los estudiantes o personal de la universidad la información de identificación:

Garantizar que el sitio web del Colegio sea seguro o avisar claramente de que el sitio web no es seguro;
Garantizar la destrucción completa y segura de los documentos en papel y los archivos informáticos que contengan información sobre cuentas de estudiantes o personal de la universidad cuando se haya tomado la decisión de dejar de conservar dicha información;
Asegúrese de que los ordenadores de la oficina con acceso a la información de la Cuenta Cubierta estén protegidos por contraseña;
Evite el uso de números de la seguridad social;
Asegurarse de que la protección antivirus del ordenador está actualizada.
Exigir y conservar únicamente el tipo de información sobre los estudiantes o el personal de la universidad que sea necesaria para los fines de la universidad.

Administración del programa

A. Supervisión

La responsabilidad de desarrollar, aplicar y actualizar este Programa recae en un Comité de Robo de Identidad de Bandera Roja ("Comité") para el Colegio. Cada representante de este comité será responsable de garantizar la formación adecuada de su personal sobre el Programa. El Director de Operaciones de Red, como Administrador del Programa, revisará todos los informes del personal relativos a la detección de Banderas Rojas y los pasos para prevenir y mitigar el Robo de Identidad, determinando qué pasos de prevención y mitigación deben tomarse en circunstancias particulares y considerando cambios periódicos al Programa.

B. Formación e informes del personal

El personal del Colegio responsable de la aplicación del Programa recibirá formación, ya sea por o bajo la dirección del representante de su departamento en el Comité de Robo de Identidad de Bandera Roja, en la detección de Banderas Rojas y las medidas de respuesta que deben adoptarse cuando se detecta una Bandera Roja. El personal del Colegio recibirá la formación necesaria para aplicar eficazmente el Programa. Se espera que los empleados de la universidad para notificar a su supervisor una vez que tengan conocimiento de un incidente de robo de identidad o de la falta de la universidad para cumplir con este Programa. Al menos una vez al año o cuando lo solicite el Administrador del Programa, el personal del Colegio responsable del desarrollo, aplicación y administración del Programa informará al Director de Operaciones de Red sobre el cumplimiento de este Programa. El informe deberá abordar cuestiones tales como la eficacia de las políticas y procedimientos para hacer frente al riesgo de usurpación de identidad en relación con la apertura y el mantenimiento de las Cuentas cubiertas, los acuerdos con los proveedores de servicios, los incidentes significativos relacionados con la usurpación de identidad y la respuesta de la dirección, y las recomendaciones para introducir cambios en el Programa.

C. Acuerdos con proveedores de servicios

En el caso de que el Colegio contrata a un proveedor de servicios para realizar una actividad en relación con una o más cuentas cubiertas, el Colegio tomará las siguientes medidas para garantizar que el proveedor de servicios realiza su actividad de conformidad con las políticas y procedimientos razonables diseñados para detectar, prevenir y mitigar el riesgo de robo de identidad.

Exigir, mediante contrato, que los proveedores de servicios dispongan de tales políticas y procedimientos.
Exigir, mediante contrato, que los proveedores de servicios revisen el Programa del Colegio e informen de cualquier alerta roja al Director de Operaciones de Red o al empleado del Colegio con supervisión primaria de la relación con el proveedor de servicios.

D. No divulgación de prácticas específicas

Para la efectividad de este Programa de Prevención de Robo de Identidad, el conocimiento sobre prácticas específicas de identificación, detección, mitigación y prevención de Banderas Rojas puede necesitar ser limitado al Comité que desarrolló este Programa y a aquellos empleados con necesidad de conocerlas. Todos los documentos que se hayan elaborado o se elaboren para desarrollar o aplicar este programa en los que se enumeren o describan dichas prácticas específicas y la información que contengan dichos documentos se considerarán "confidenciales" y no deberán compartirse con otros empleados de ECC ni con el público. El Director de Operaciones de Red informará al Comité y a aquellos empleados que necesiten conocer la información de dichos documentos o prácticas específicas, que deberán mantenerse de forma confidencial.

E. Actualizaciones del programa

El Comité revisará y actualizará periódicamente este Programa para reflejar los cambios en los riesgos para los estudiantes o el personal de la universidad y la solidez del Colegio de Robo de Identidad. Al hacerlo, el Comité considerará las experiencias del Colegio con situaciones de Robo de Identidad, los cambios en los métodos de Robo de Identidad, los cambios en los métodos de detección y prevención de Robo de Identidad, y los cambios en los acuerdos comerciales del Colegio con otras entidades. Tras considerar estos factores, el Director de Operaciones de Red determinará si está justificado introducir cambios en el Programa, incluida la lista de Banderas Rojas. Si se justifica, el Comité actualizará el Programa.

F. Unidades componentes de la Escuela Superior

Como unidad componente del Colegio, la Fundación del Colegio Comunitario de Elgin se adherirá al mismo Programa que define el Colegio. La Fundación se considera un "acreedor" en términos de ofrecer un método de pago diferido a los donantes para las promesas por cobrar. Se crea entonces una "cuenta cubierta" a medida que se reciben múltiples transacciones o pagos a través de las operaciones comerciales de la Fundación. Existe un riesgo previsible de usurpación de identidad al ofrecer esta opción a los donantes, por lo que será necesario identificar, detectar, prevenir y mitigar las alertas rojas definidas en el Programa de Alertas Rojas de la Escuela Superior.

G. Miembros del Comité de Robo de Identidad de Bandera Roja

Los miembros del Comité de Robo de Identidad de Bandera Roja son el Vicepresidente de Negocios y Finanzas, el Director Senior de Servicios Financieros Estudiantiles, el Registrador, el Director de Ayuda Financiera, el Ecónomo y el Decano Asociado de Gestión de Matrícula.