Normas de ciberseguridad y guía de ordenanza municipal de Durham
Durham, Carolina del Norte, los líderes municipales y los responsables de TI deben alinear los sistemas de la ciudad con normas claras de ciberseguridad para proteger los datos de los residentes y los servicios críticos. Esta guía resume las políticas de seguridad de la información de la Ciudad de Durham, los roles de cumplimiento y los pasos prácticos para reportar incidentes y solicitar variantes. Cuando el lenguaje de la ordenanza oficial o los importes de las sanciones no se publican en las páginas de la ciudad, esta guía lo indica de forma explícita y remite a las fuentes municipales que controlan los procedimientos para que los funcionarios y proveedores sigan las obligaciones. Para la política oficial de TI y la información de contacto, consulte los recursos de Tecnología de la Información de la Ciudad de Durham[1].
Alcance e instrumentos aplicables
La Ciudad de Durham regula la ciberseguridad de los sistemas operados por la ciudad a través de sus políticas de Tecnología de la Información y normas administrativas relacionadas. Estos instrumentos suelen cubrir control de acceso, clasificación de datos, respuesta a incidentes y requisitos de seguridad para proveedores. Cuando el municipio adopta normas (por ejemplo, NIST o CIS), la cláusula de adopción y los detalles de cumplimiento aparecen en los documentos de política publicados por la ciudad o en las referencias del código.
Multas y aplicación
La aplicación de las normas de ciberseguridad para los sistemas de la ciudad de Durham la realizan la función de Tecnología de la Información de la ciudad junto con la Oficina del Fiscal de la Ciudad y los gestores departamentales competentes. Los importes concretos de las multas, los niveles de escalada y algunas medidas no monetarias no están publicados de forma uniforme en los materiales de política de TI; cuando los importes o rangos no están publicados en las páginas citadas, lo indicamos explícitamente y remitimos a los instrumentos de control.[2]
- Importes de las multas: no especificado en la página citada.
- Escalada: primera falta frente a faltas repetidas o continuas - no especificado en la página citada.
- Sanciones no monetarias: órdenes administrativas, plazos obligatorios de subsanación, suspensión de acceso, recursos contractuales y remisión a la persecución penal cuando proceda.
- Responsable y vías de denuncia: Departamento de Tecnología de la Información de la Ciudad de Durham y la Oficina del Fiscal de la Ciudad; informe incidentes a través de las páginas oficiales de contacto de TI.[1]
- Recursos de apelación y revisión: las vías de apelación y los plazos formales se rigen por los procedimientos municipales o la ordenanza específica; los plazos no están especificados en las páginas citadas.
- Defensas y discrecionalidad: las políticas de la ciudad pueden permitir excepciones documentadas, causa razonable o variantes aprobadas; los procedimientos formales están sujetos a normas administrativas.
Aplicaciones y formularios
No se publica en la página de políticas de TI de la ciudad un formulario público estandarizado para variantes de ciberseguridad o sanciones; las solicitudes, informes de incidentes y apelaciones se tramitan a través de la recepción departamental o la Oficina del Fiscal de la Ciudad según indique la política administrativa.[1]
Conformidad y normas técnicas
La guía municipal de Durham hace referencia a normas técnicas reconocidas para controles, como la gestión de acceso, cifrado en tránsito y en reposo, gestión de vulnerabilidades y registro de eventos. Los departamentos deben coordinar con la oficina central de seguridad de TI para las adquisiciones y los requisitos de los proveedores, las cláusulas contractuales y las evaluaciones periódicas.
- Se requieren cláusulas de seguridad del proveedor y acuerdos de procesamiento de datos para el acceso de terceros.
- Se imponen calendarios regulares de parcheo y análisis de vulnerabilidades por la política.
- La retención de registros y auditorías debe seguir el calendario de archivos de la ciudad o justificarse en la documentación de riesgos.
Pasos de acción para departamentos y proveedores
- Adopte los controles básicos requeridos y documente las desviaciones con aprobación.
- Informe incidentes de inmediato a través de los canales oficiales de respuesta a incidentes y conserve las pruebas.
- Presupueste los costes de remediación y las posibles sanciones contractuales si procede.
Preguntas frecuentes
- ¿La Ciudad de Durham tiene una política oficial de seguridad de la información?
- La Ciudad de Durham publica políticas de tecnología de la información y directrices administrativas que establecen requisitos básicos de seguridad para los sistemas y el personal de la ciudad; consulte los recursos de TI de la ciudad para el texto actual de la política.[1]
- ¿Cómo informo de un incidente de ciberseguridad que afecta a los sistemas de la ciudad?
- Informe incidentes al equipo de respuesta a incidentes de Tecnología de la Información de la Ciudad de Durham a través del canal de contacto oficial; siga las instrucciones departamentales para la preservación y la escalada.[1]
- ¿Qué sanciones se aplican por el incumplimiento?
- Los importes de las multas y los procedimientos de escalada no están especificados en las páginas de política de TI citadas; las medidas no monetarias como la suspensión de acceso y las acciones contractuales se describen en la política y la guía de adquisiciones.[2]
Cómo hacer
- Identifique y aisle el sistema afectado para limitar el acceso o la pérdida de datos.
- Documente la cronología del incidente, los activos afectados y las medidas iniciales de mitigación.
- Notifique inmediatamente al equipo de respuesta a incidentes de Tecnología de la Información de la Ciudad de Durham a través del canal de contacto oficial.[1]
- Conserve registros, copias de seguridad y evidencia pendiente de revisión forense.
- Siga las instrucciones de remediación del equipo de TI de la ciudad y coordine el soporte del proveedor según sea necesario.
Puntos clave
- Las políticas centrales de TI establecen requisitos básicos, pero los departamentos deben documentar excepciones.
- Informe los incidentes a través de los canales oficiales de TI de la ciudad de forma inmediata.
Ayuda y soporte / Recursos
- City of Durham - Information Technology
- Durham Code of Ordinances (Municode)
- North Carolina Office of Information Technology Services