Normas de seguridad para contratistas externos de Atlanta

Atlanta, Georgia exige que los contratistas externos que acceden o gestionan sistemas municipales cumplan normas de seguridad definidas para proteger los datos y servicios de la ciudad. Esta guía explica las obligaciones contractuales típicas, los controles técnicos, las expectativas de notificación y auditoría, y los pasos prácticos que los proveedores deben seguir para mantenerse en conformidad al trabajar con los sistemas de la ciudad de Atlanta.

Resumen

Los contratistas externos incluyen consultores, proveedores, integradores, proveedores de servicios en la nube y subcontratistas que acceden a redes, aplicaciones o datos municipales de Atlanta. Los requisitos suelen cubrir control de acceso, cifrado, notificación de incidentes, verificaciones de antecedentes y cláusulas contractuales que asignan la responsabilidad por incumplimientos y remediación.

Alcance y requisitos

Las siguientes categorías resumen las obligaciones de seguridad comunes que los contratistas deben cumplir al colaborar con sistemas de Atlanta.

• Control de acceso y gestión de identidades: mínimo privilegio, MFA para acceso administrativo y controles de acceso basados en roles.
• Protección de datos: cifrado en tránsito y en reposo para datos municipales sensibles; reglas de clasificación de datos.
• Configuración segura y aplicación de parches: aplicación oportuna de actualizaciones de seguridad y endurecimiento de sistemas.
• Registro y monitorización: conservar registros, proporcionar acceso a registros para auditorías y apoyar revisiones forenses.
• Requisitos contractuales y de seguros: cláusulas de indemnización, límites de seguro de responsabilidad cibernética y obligaciones para subcontratistas.
• Plazos de notificación de incidentes: notificación inmediata y rutas de escalamiento definidas hacia los contactos de la ciudad.

Controles de seguridad y verificación

Atlanta suele requerir evidencia de controles durante la contratación, como informes SOC, resultados de pruebas de penetración o atestaciones de cumplimiento. Espere evaluaciones de seguridad remotas o in situ y atestaciones periódicas como parte del desempeño del contrato.

• Evaluaciones de terceros: proporcione informes SOC 2, ISO 27001 o auditorías equivalentes cuando se soliciten.
• Pruebas de penetración: es posible que se requiera que los proveedores completen o compartan pruebas de penetración recientes y planes de remediación.
• Baselines de configuración: documente y mantenga configuraciones seguras estándar para sistemas alojados.
• Cadencia de revisión: las revisiones de seguridad anuales o bienales suelen estipularse en los acuerdos con proveedores.

Sanciones y aplicación

La aplicación por incumplimiento la gestionan el departamento que administra el contrato y las oficinas de adquisiciones o legal de la ciudad. Las sanciones específicas, multas o secciones estatutarias por fallos de seguridad de terceros no están especificadas en la página citada; los contratistas deben consultar los términos del contrato y el departamento adjudicador para conocer las medidas y cifras precisas.^[1]

• Multas o recuperación de costes: las cantidades varían según el contrato y con frecuencia se establecen en el instrumento de contratación (no especificado en la página citada).
• Terminación del contrato: terminación inmediata por incumplimientos materiales es un remedio contractual habitual.
• Órdenes de remediación y planes de acción correctiva: la ciudad puede exigir la remediación a costo del proveedor.
• Derechos de auditoría e inspección: la ciudad puede inspeccionar sistemas y exigir documentación de las acciones correctivas.
• Acciones judiciales o administrativas: la ciudad puede buscar remedios judiciales cuando existan violaciones contractuales o legales.

Formularios y solicitudes

Los procesos de adquisiciones y registro de proveedores aplican antes de la adjudicación; los nombres específicos de formularios, tasas y las instrucciones de envío las determina el departamento adjudicador o la oficina de adquisiciones y no están publicados en la página citada. Contacte la oficina de adquisiciones o el gestor del contrato para obtener las presentaciones requeridas.

Pasos de acción para contratistas

• Revise el anexo de seguridad del contrato y firme las atestaciones requeridas antes del acceso al sistema.
• Prepare y entregue informes de auditoría de terceros y planes de pruebas de penetración según se solicite.
• Implemente MFA, cifrado, registro y principios de mínimo privilegio antes de desplegar servicios en entornos de la ciudad.
• Reporte incidentes de inmediato al contacto de la ciudad indicado en el contrato y siga los procedimientos de respuesta a incidentes.

Preguntas frecuentes

1 Quie9n aplica y hace cumplir los requisitos de seguridad para proveedores de Atlanta?

El departamento contratante junto con las oficinas de adquisiciones y legales de la ciudad hace cumplir los requisitos de seguridad y la remediacif3n; los contactos figuran en cada contrato.

1 Se publican multas especedficas por brechas de seguridad?

Las penalidades monetarias suelen fijarse en los contratos individuales o documentos de adquisicif3n y no se publican como una cifra general en la pe1gina citada.

1 Que9 evidencias debo preparar?

Las evidencias habituales incluyen informes SOC, informes de pruebas de penetracif3n, configuraciones de cifrado y MFA, y un plan documentado de respuesta a incidentes.

Cf3mo hacerlo

1. Identifique el departamento contratante y obtenga el anexo de seguridad del contrato o los requisitos para proveedores.
2. Complete el registro de proveedor requerido y entregue los informes de cumplimiento solicitados (SOC, pruebas de penetracif3n).
3. Configure los sistemas para cumplir los requisitos de cifrado, registro y control de acceso especificados por la ciudad.
4. Establezca procedimientos de notificacif3n de incidentes y pruebe su respuesta antes del acceso a produccif3n.
5. Colabore en las auditoredas y la remediacif3n; proporcione documentacif3n y plazos hasta que la ciudad acepte las acciones correctivas.

Puntos clave

• Los contratos definen obligaciones y remedios de seguridad, por lo que revise detenidamente los anexos.
• Disponga de informes de auditoreda de terceros y de un plan de respuesta a incidentes probado.
• Mantenga ledneas de comunicacif3n claras con el departamento contratante para notificar y remediar incidentes.

Ayuda y recursos

• City of Atlanta - Department of Innovation and Technology
• City of Atlanta - Procurement
• City of Atlanta Code of Ordinances (cf3digo)

1. [1] City of Atlanta Department of Innovation and Technology - department overview and contacts