Guía de ciberseguridad de la ciudad de Detroit para pequeñas empresas

Detroit, Michigan pequeñas empresas cada vez enfrentan más riesgos cibernéticos y pueden estar obligadas a cumplir las expectativas de la ciudad sobre contratación y protección de datos cuando hacen negocios con agencias municipales o manejan datos de residentes. Esta guía explica qué departamentos de Detroit establecen normas, pasos prácticos de cumplimiento, rutas de inspección y reporte, y cómo funcionan típicamente la ejecución y las apelaciones en el nivel municipal.

Quién establece las expectativas de ciberseguridad de la ciudad

El Departamento de Innovación y Tecnología de la Ciudad de Detroit proporciona normas internas de seguridad de la información para los sistemas de la ciudad y emite requisitos para proveedores cuando una empresa contrata con la ciudad. Cuando una pequeña empresa trabaja con un departamento de la ciudad o posee datos de residentes recogidos bajo programas municipales, esos acuerdos y políticas departamentales definen las salvaguardas requeridas. Consulte el Department of Innovation and Technology para orientación sobre seguridad y requisitos para proveedores Department of Innovation and Technology^[1].

Sanciones y ejecución

La ejecución de los requisitos de ciberseguridad para empresas que contratan con la ciudad depende del contrato, la ordenanza o la norma administrativa aplicable. Cuando la ciudad incluye términos contractuales específicos o reglas administrativas, los remedios pueden incluir multas monetarias, órdenes correctivas, suspensión o rescisión de contratos y remisión a procedimientos civiles o penales. Si una multa o monto específico no figura en la página citada, esta guía indica que el monto no este1 especificado en la pe1gina citada y señala la oficina encargada para detalles.^[1]

• Multas y sanciones monetarias: no este1 especificado en la pe1gina citada; los montos dependen del contrato o de la ordenanza concreta citada por la oficina encargada.^[1]
• Escalada: las diferencias entre infracciones iniciales y repetidas se gestionan segfan el contrato o el proceso administrativo; los rangos especedficos no este1n especificados en la pe1gina citada.^[1]
• Sanciones no monetarias: ordenes de accif3n correctiva, planes obligatorios de remediacif3n, suspensif3n o terminacif3n de contratos municipales y posible inspeccif3n forense de sistemas segfan el caso.
• Ejecutor y rutas de inspeccif3n: la aplicacif3n primaria la gestiona el departamento contratante en coordinacif3n con el Department of Innovation and Technology; las quejas y los reportes de incidentes siguen los procedimientos de contacto oficiales listados abajo.^[1]
• Apelaciones y revisif3n: las apelaciones siguen normalmente el proceso de disputa contractual o revisif3n administrativa especificado en el contrato; los plazos especedficos no este1n especificados en la pe1gina citada y deben confirmarse con la oficina contratante.^[1]
• Defensas y discrecif3n: las defensas pueden incluir demostrar que existedan medidas razonables, remediacif3n re1pida o variaciones aprobadas; la disponibilidad de variaciones o permisos no este1 especificada en la pe1gina citada.^[1]

Solicitudes y formularios

Las empresas contratantes deben revisar los materiales de adquisicif3n y registro de proveedores para cualquier cuestionario de seguridad o certificados de seguro requeridos. Cuando la ciudad exige una carta de seguridad del proveedor, el nombre y las instrucciones aparecere1n en la convocatoria o en el portal de proveedores; si no hay un formulario especedfico publicado en la pe1gina citada, entonces no se especifica un formulario municipal pfablico fanico en esa pe1gina.^[1]

• Registro del proveedor/documentos de la convocatoria: consulte la pe1gina de adquisiciones del departamento contratante para formularios de seguridad especedficos de la convocatoria.
• Tarifas: cualquier tarifa por registro o fianzas se establece en los anuncios de adquisiciones o en los te9rminos de la convocatoria; no este1 especificado en la pe1gina citada.^[1]
• Presentacif3n: los formularios se presentan conforme a las instrucciones de la convocatoria o a trave9s del portal de proveedores de la ciudad cuando se requiera.

Pasos pre1cticos de cumplimiento para pequeñas empresas

Siga un enfoque priorizado: identifique los datos, aplique controles be1sicos, documente poledticas y pruebe. Al contratar con la ciudad, lea las cle1usulas de ciberseguridad del contrato y solicite al oficial de contratacif3n cualquier atestacif3n de seguridad o plazos requeridos.

• Inventario de datos y evaluacif3n de riesgos: registre que9 datos de residentes o de la ciudad posee y clasifedquelos por sensibilidad.
• Aplique controles: parches, MFA, cifrado de datos en reposo y en tránsito, y acceso de mednimo privilegio.
• Documente poledticas: respuesta a incidentes, retencif3n de datos, notificacif3n de violaciones y gestif3n de proveedores.
• Pruebe y supervise: realice escaneos perif3dicos de vulnerabilidades y revise registros en busca de anomaledas.
• Seguro: considere seguro de responsabilidad ciberne9tica cuando las cle1usulas contractuales lo requieran.

FAQ

bfLos contratos municipales de Detroit exigen normas de ciberseguridad especedficas?

Frecuentemente sed; las normas o atestaciones requeridas suelen incluirse en las convocatorias o en los te9rminos del contrato. Si no aparece una norma en la convocatoria, solicite orientacif3n a la oficina de contratacif3n.^[1]

bfQuie9n aplica las normas de ciberseguridad a los proveedores?

El departamento contratante aplica las obligaciones del proveedor en coordinacif3n con el Department of Innovation and Technology; reporte incidentes al oficial de contratacif3n y al departamento indicado en su acuerdo.^[1]

bfQue9 sucede si mi empresa sufre una violacif3n que afecta datos de la ciudad?

Siga los pasos de notificacif3n de incidentes en su contrato de forma inmediata, preserve la evidencia y notifique al oficial de contratacif3n y a cualquier contacto de la ciudad en la convocatoria.

How-To

1. Identifique las cle1usulas del contrato y los anexos de la convocatoria que mencionen requisitos de seguridad.
2. Implemente controles be1sicos: parches, MFA, cifrado y copias de seguridad.
3. Elabore un plan de respuesta a incidentes que se ajuste a los plazos de notificacif3n del contrato.
4. Designe un contacto para recibir avisos de la ciudad y coordinar la remediacif3n.
5. Al presentar oferta, adjunte las atestaciones requeridas o solicite aclaraciones al oficial de contratacif3n.

Puntos clave

• Revise las cle1usulas de ciberseguridad antes de presentar ofertas.
• Documente y pruebe sus controles; conserve evidencia de acciones de remediacif3n.
• Reporte incidentes de inmediato al oficial de contratacif3n y al contacto de TI indicado en su acuerdo.

Ayuda y soporte / Recursos

• Department of Innovation and Technology - City of Detroit
• City of Detroit Procurement
• Building, Safety Engineering and Environmental Department

1. [1] City of Detroit Department of Innovation and Technology - official department page