Lista de verificación de ciberseguridad para contratistas en Baltimore
Baltimore, Maryland exige que los contratistas que acceden a datos de la ciudad cumplan prácticas específicas de ciberseguridad como parte del cumplimiento de la contratación pública. Esta lista de verificación resume las obligaciones clave, quién las aplica, las sanciones probables y los pasos prácticos que los contratistas deben seguir antes, durante y después de manejar datos municipales. Utilice esta guía para confirmar las salvaguardas requeridas, dónde presentar planes o informes de incidentes y cómo se tramitan las apelaciones o revisiones dentro de los procesos de la ciudad. Está dirigida a proveedores, subcontratistas y gestores de contratos de la ciudad que necesitan requisitos claros y prácticos para el acceso y manejo seguro de datos.
Alcance y definiciones clave
Esta lista cubre a contratistas, proveedores, consultores y subcontratistas autorizados a acceder a sistemas de la Ciudad de Baltimore o a datos en poder de la ciudad. "Contratista" significa cualquier parte con un acuerdo ejecutado que permita el acceso a los activos de información de la ciudad. "Datos de la ciudad" incluye cualquier dato no público producido, recibido o almacenado bajo un contrato con la ciudad.
Controles de seguridad mínimos
- Implemente control de acceso por roles y privilegios mínimos para los sistemas de la ciudad.
- Mantenga inventarios de activos y registros que muestren el acceso a los datos de la ciudad para los períodos de retención de auditoría.
- Use autenticación multifactor sólida para todas las cuentas que acceden a recursos municipales.
- Encripte los datos en reposo y en tránsito según estándares de la industria.
- Proporcione un plan escrito de respuesta a incidentes y notifique a la ciudad con prontitud en caso de violación.
Sanciones y aplicación
La aplicación de las obligaciones de ciberseguridad y acceso a datos se realiza mediante recursos contractuales y supervisión administrativa vinculada a la contratación pública y la gobernanza de tecnologías de la información. Las sanciones monetarias específicas por violaciones de ciberseguridad de contratistas no figuran en las páginas municipales citadas; consulte las fuentes citadas para el marco de aplicación y los remedios contractuales.Baltimore City Code[1]
- Multas monetarias: no especificadas en la página citada; los remedios contractuales suelen abordar daños y recuperación de costes.
- Escalada: las violaciones iniciales y repetidas se tratan mediante terminación de contrato, retención de pagos o litigio cuando proceda; no se indican rangos concretos por infracción en la página citada.
- Sanciones no monetarias: planes de corrección, suspensión o terminación del contrato, revocación del acceso y acciones judiciales.
- Aplicador: los funcionarios de contratación de la Ciudad de Baltimore y la Oficina del Alcalde para Tecnologías de la Información (u oficial de seguridad de TI designado) supervisan el cumplimiento y las inspecciones; las quejas e informes de incidentes se dirigen a esas oficinas.
- Apelaciones/revisión: procesos de disputa contractual, protestas administrativas en contratación y revisión judicial cuando esté permitido; los plazos para protestas y apelaciones los establecen las normas de contratación o los términos del contrato y no están especificados en las páginas de contratación citadas.
Solicitudes y formularios
Los planes de seguridad, los acuerdos de intercambio de datos y cualquier declaración requerida por el proveedor suelen presentarse durante la contratación o como entregables del contrato. La Ciudad de Baltimore publica los requisitos de contratación y los términos contractuales que especifican los métodos de envío y los documentos requeridos; consulte la guía de contratación para más detalles.Procurement - City of Baltimore[2]
- Plan de seguridad o adenda de protección de datos: el nombre depende de la convocatoria; envío mediante el portal de contratación de la ciudad o según lo establecido en el contrato.
- Formulario o correo de notificación de incidentes: siga las instrucciones de contacto en el contrato y las políticas de TI de la ciudad.
- Tarifas: no especificadas en las páginas citadas para las declaraciones de seguridad; cualquier tarifa figurará en los documentos de contratación.
Cumplimiento y pasos prácticos
- Antes del inicio del contrato: presente las certificaciones de seguridad requeridas y pruebas de controles.
- Durante el contrato: mantenga registros, realice escaneos de vulnerabilidades periódicos y aporte evidencia de corrección.
- Si ocurre una violación: preserve los sistemas, notifique a la ciudad según las instrucciones del contrato y coopere con la respuesta a incidentes.
- En caso de disputa: utilice los procesos de protesta de contratación o resolución de disputas contractuales dentro de los plazos establecidos.
Preguntas frecuentes
- ¿Qué normas se aplican a los contratistas que acceden a datos de la Ciudad de Baltimore?
- Los requisitos contractuales de ciberseguridad, las políticas de TI de la ciudad y cualquier acuerdo de intercambio de datos especificado en la convocatoria o contrato se aplican; consulte el Código de la Ciudad de Baltimore y la guía de contratación.[1]
- ¿Los contratistas necesitan un plan escrito de respuesta a incidentes?
- Sí, se espera que los contratistas presenten procedimientos de respuesta y notificación de incidentes conforme a los términos contractuales; las páginas de contratación indican expectativas de entregables cuando corresponde.[2]
- ¿Cómo informo una posible brecha de datos que involucre datos de la ciudad?
- Informe de inmediato al gestor del contrato y a la Oficina del Alcalde para Tecnologías de la Información según las instrucciones de notificación del contrato; preserve registros y evidencia.
Cómo hacerlo
- Revise la convocatoria y el contrato para identificar cláusulas de ciberseguridad y entregables requeridos.
- Prepare un plan de seguridad escrito que incluya control de accesos, cifrado, registro y respuesta a incidentes.
- Presente las acreditaciones y documentación requeridas a través del portal de contratación o según lo indique el contrato.
- Mantenga registros de auditoría y realice comprobaciones de seguridad periódicas; corrija vulnerabilidades con rapidez.
- Si ocurre un incidente, notifique de inmediato a los contactos de la ciudad, preserve la evidencia y siga las instrucciones de respuesta a incidentes.
Puntos clave
- Las obligaciones de ciberseguridad incluidas en el contrato son exigibles mediante recursos de contratación y controles de acceso.
- Mantenga documentación y registros para demostrar cumplimiento en auditorías.
Ayuda y recursos
- Oficina del Alcalde para Tecnologías de la Información - Contacto
- Contratación de la Ciudad de Baltimore
- Código de Ordenanzas de la Ciudad de Baltimore (Municode)