Asegurar software de terceros en contratos de Tucson
Introducción
Tucson, Arizona, depende cada vez más de software de terceros. El lenguaje contractual, las normas de adquisiciones y los controles de TI pueden reducir riesgos legales, de privacidad y de seguridad. Esta guía explica pasos prácticos que los contratistas y funcionarios de la ciudad pueden seguir para asegurar el software de terceros en contratos de Tucson, indicando la oficina de compras de la ciudad, el código municipal y los recursos de TI para requisitos oficiales y contactos.
Cláusulas clave del contrato
- Incluir requisitos de seguridad (cifrado, gestión de vulnerabilidades, calendarios de parches y prácticas de desarrollo seguro).
- Exigir registros, acceso de auditoría y preservación de pruebas para incidentes que afecten datos de la ciudad.
- Especificar plazos de notificación de incidentes y responsabilidades para la respuesta a brechas.
- Definir límites de responsabilidad, indemnizaciones y quién asume los costos de remediación por fallas de seguridad.
- Exigir la divulgación de subcontratistas y la transmisión de obligaciones de seguridad a terceros.
Adquisiciones y pasos de revisión
Alinee la estructuración de las adquisiciones con las normas de compras de la Ciudad de Tucson y participe temprano a Tecnología de la Información para revisar requisitos técnicos y de seguridad. Consulte la oficina de compras de la ciudad para procedimientos de adquisición y registro de proveedores.City Purchasing[1]
- Planifique criterios de evaluación que incluyan seguridad y privacidad como factores ponderados en las propuestas.
- Exija a los proveedores presentar informes de evaluación de riesgos de terceros o certificaciones.
- Incluya hitos de revisión posteriores a la adjudicación para pruebas de seguridad y remediación.
Controles técnicos y validación
Especifique controles técnicos requeridos (controles de acceso, cifrado en reposo y en tránsito, APIs seguras) y planifique la validación mediante pruebas, revisión de código o certificaciones de terceros. Coordine las revisiones con la oficina de TI de la ciudad para alinear con los estándares municipales.City Information Technology[2]
- Exija pruebas de penetración y plazos para la remediación de hallazgos críticos.
- Requiera documentación del ciclo de vida de desarrollo seguro (SSDLC) para componentes personalizados o actualizados frecuentemente.
- Defina ventanas de soporte y mantenimiento y contactos de escalamiento para incidentes de seguridad.
Sanciones y aplicación
La aplicación de los requisitos de adquisiciones y contratación se gestiona a través de los procesos de la ciudad y las disposiciones del código municipal aplicable. Las multas, sanciones y remedios específicos por incumplimiento contractual se manejan mediante recursos contractuales y el código municipal que rige adquisiciones y contratos.Tucson Municipal Code[3]
- Importes de multas: no especificado en la página citada.
- Escalamiento (primera/reincidencia/continuos): no especificado en la página citada.
- Sanciones no monetarias: terminación de contrato, exigencia de remediación, retención de pagos, suspensión de privilegios de licitación o remisión a acción legal.
- Autoridad aplicadora: la División de Compras y el Fiscal de la Ciudad para la ejecución de contratos; TI puede aplicar controles técnicos y coordinar respuesta a incidentes.
- Vías de inspección y denuncia: presente quejas de adquisiciones o incumplimiento de contratos a la División de Compras; los incidentes de seguridad a la mesa de ayuda de TI de la ciudad.
- Recursos y apelaciones: las vías de apelación suelen ser resolución de disputas contractuales o revisión administrativa según las reglas de adquisiciones; los plazos específicos no están publicados en las páginas citadas.
- Defensas/discrecionalidad: disposiciones contractuales, excusa razonable y variaciones aprobadas pueden aplicar; defensas estatutarias exactas no están especificadas en las páginas citadas.
Solicitudes y formularios
El registro de proveedores y los formularios de adquisición están disponibles en la División de Compras; los formularios específicos de divulgación de seguridad no están publicados de forma universal y pueden solicitarse durante la licitación o después de la adjudicación.Purchasing forms and vendor info[1]
Pasos de acción para personal de la ciudad y proveedores
- Redacte cláusulas contractuales como las listadas y establezca criterios de aceptación medibles.
- Solicite evidencia del proveedor: informes SOC, resúmenes de pruebas de penetración o certificaciones ISO.
- Programe plazos de adquisición que permitan la revisión de seguridad antes de la adjudicación.
- Informe incidentes de inmediato a TI de la ciudad y a Compras según los canales de contacto publicados.
FAQ
- ¿Quién aplica los requisitos de seguridad en los contratos de la ciudad?
- La División de Compras y TI de la Ciudad coordinan la aplicación; los recursos contractuales se tramitan por las reglas de adquisiciones y la oficina del Fiscal de la Ciudad.
- ¿Existen multas fijas por incumplimiento?
- No hay multas municipales fijas especificadas en las páginas de adquisiciones o el código; los remedios suelen ser contractuales y administrativos.
- ¿Qué pruebas de seguridad deben aportar los proveedores?
- Pruebas comunes incluyen informes SOC, resultados de pruebas de penetración, planes de remediación de vulnerabilidades y atestaciones de prácticas de desarrollo seguro.
Cómo hacerlo
- Identifique y clasifique los datos sensibles para protecciones contractuales.
- Inserte cláusulas de seguridad específicas en la documentación de la licitación y el contrato.
- Exija evidencia de seguridad del proveedor en la evaluación y como entrega posterior a la adjudicación.
- Coordine pruebas de aceptación y programe remediaciones antes del pago final.
- Establezca procedimientos de notificación y escalamiento con TI y Compras de la Ciudad.
Conclusiones clave
- Incluya controles de seguridad medibles en los contratos en lugar de obligaciones vagas.
- Involucre a TI de la ciudad temprano y exija evidencia del proveedor como informes SOC.
Ayuda y soporte / Recursos
- City of Tucson Purchasing Division
- City of Tucson Information Technology
- Tucson Municipal Code (Municode)