Estándares de ciberseguridad para contratistas de Kansas City
Kansas City, Missouri exige que los contratistas que trabajan con la ciudad cumplan con las expectativas de ciberseguridad establecidas en los contratos de contratación y en las políticas departamentales. Esta guía explica cómo la ciudad hace cumplir las cláusulas relacionadas con la ciberseguridad en los contratos, a quién contactar para consultas de cumplimiento, dónde encontrar políticas publicadas y los pasos típicos que los contratistas deben seguir para reducir el riesgo al manejar datos de la ciudad.
Alcance y quién debe cumplir
Los contratistas de la ciudad, subcontratistas y proveedores que acceden a los sistemas de información de la ciudad o manejan datos no públicos de la ciudad generalmente están sujetos a los requisitos de ciberseguridad integrados en las licitaciones, contratos y normas departamentales. Las obligaciones específicas las determina el lenguaje del contrato y cualquier política de TI referenciada.
Sanciones y aplicación
Kansas City aplica las disposiciones contractuales de ciberseguridad mediante recursos contractuales, acciones de contratación y supervisión departamental. La División de Compras y las funciones de Tecnología de la Información de la ciudad administran el cumplimiento de los contratos y la respuesta a incidentes para proveedores y contratistas[1][2].
- Multas o sanciones monetarias: no especificado en la página citada.
- Escalamiento: primera frente a repetidas o continuas violaciones: no especificado en la página citada.
- Sanciones no monetarias: terminación de contrato, retención de pagos, órdenes de acción correctiva y búsqueda de recursos por incumplimiento en los tribunales.
- Organismo que hace cumplir: División de Compras y el departamento de Tecnología de la Información; las rutas de notificación de incidentes y cumplimiento contractual son administradas por el departamento contratante y las operaciones de seguridad de TI[1][2].
- Apelación/revisión: se aplican los procedimientos de impugnación de adquisiciones y disputas contractuales; los plazos y rutas formales de apelación se rigen por las normas de adquisiciones o el contrato (plazos específicos no especificados en la página citada).
- Defensas/discreción: los términos del contrato pueden permitir periodos de subsanación, planes de remediación o variaciones aprobadas cuando así lo prevean expresamente los documentos de contratación.
Solicitudes y formularios
La ciudad publica formularios de contratación, registro de proveedores y plantillas de contrato a través de la División de Compras y las páginas de contratación departamentales; no hay formularios específicos de certificación de ciberseguridad listados en las páginas citadas.[1]
Pasos prácticos de cumplimiento
- Revise las cláusulas de ciberseguridad del contrato durante la preparación de la oferta e incluya las declaraciones o planes de seguridad exigidos.
- Documente los plazos para la notificación de incidentes e implemente un plan de respuesta a incidentes probado y alineado con los términos del contrato.
- Use controles de acceso adecuados, cifrado y gestión de parches al manejar datos de la ciudad.
- Conserve evidencia de cumplimiento: registros, registros de cambios y evaluaciones de seguridad para apoyar auditorías.
Preguntas frecuentes
- ¿Todos los contratistas de la ciudad necesitan un plan formal de ciberseguridad?
- Muchos contratos requieren controles o planes de seguridad; si un plan formal es obligatorio depende de la licitación y el lenguaje del contrato y no está publicado de forma uniforme en las páginas citadas.
- ¿Cómo informo una brecha sospechada que involucre datos de la ciudad?
- Informe los incidentes al departamento contratante y a los contactos de seguridad de TI de la ciudad según lo exija el contrato y las cláusulas de incidentes; consulte la guía de contactos de la División de Compras y de Tecnología de la Información para los procedimientos de notificación[1][2].
- ¿Puedo solicitar una variación o excepción a un requisito de ciberseguridad?
- Las excepciones o variaciones deben solicitarse al oficial de contratación o al punto de contacto de adquisiciones; el proceso y la autoridad de aprobación se definen en los documentos de adquisición y la política departamental, y no se especifican formularios en las páginas citadas.
Cómo hacerlo
- Revise las cláusulas de ciberseguridad de la licitación y identifique todos los entregables requeridos por el contrato.
- Mapee los flujos de datos de la ciudad y determine dónde los sistemas del contratista procesarán o almacenarán datos de la ciudad.
- Implemente controles básicos: gestión de accesos, cifrado en reposo y en tránsito, y registro de eventos.
- Prepare la documentación: planes de seguridad, libros de respuesta a incidentes y evidencia de cumplimiento para auditorías.
- Designe un punto de contacto para notificaciones y entregue los formularios o declaraciones requeridas junto con los entregables del contrato.
Conclusiones clave
- Los términos del contrato dictan las obligaciones de ciberseguridad para los compromisos con Kansas City.
- La documentación y la preparación ante incidentes reducen el riesgo y facilitan el cumplimiento.
Ayuda y recursos
- División de Compras de la Ciudad de Kansas City
- Tecnología de la Información de la Ciudad de Kansas City
- Oficina del City Clerk - Contratos y Registros
