Reglas de ciberseguridad para proveedores en East New York
Introducción
East New York, New York forma parte de la ciudad de Nueva York; los proveedores y contratistas municipales allí deben seguir los requisitos de ciberseguridad e información establecidos por las agencias y oficinas de la ciudad[1]. Esta guía resume cómo se aplican esos requisitos municipales a los proveedores, dónde encontrar los términos oficiales y pasos prácticos para cumplir al licitar, contratar o renovar contratos con la ciudad.
Sanciones y aplicación
La aplicación de las obligaciones de ciberseguridad para contratistas municipales se administra mediante recursos contractuales, auditorías de la agencia y procedimientos de respuesta a incidentes gestionados por las autoridades de TI de la ciudad y la agencia contratante. Los montos específicos de las sanciones monetarias y los calendarios suelen establecerse en las cláusulas contractuales o en las políticas de la agencia en lugar de en una ordenanza vecinal única[2]. Cuando no haya una sanción numérica o multa publicada en la página de la agencia controladora, esta guía indica que "no se especifica en la página citada."
- Sanciones monetarias: no se especifica en la página citada; los recursos financieros suelen estar en los términos del contrato o las disposiciones por incumplimiento del proveedor.
- Escalamiento: el tratamiento de la primera, repetida y continua infracción generalmente lo rige el lenguaje del contrato o la política de la agencia y no se especifica en la página citada.
- Sanciones no monetarias: rescisión de contrato, suspensión de licitaciones, órdenes de acción correctiva y recursos judiciales pueden aplicarse.
- Aplicador y quejas: las autoridades de TI de la ciudad y la agencia contratante manejan inspecciones, auditorías y reportes de incidentes; los datos de contacto los proporciona la agencia o la oficina de TI de la ciudad[2].
- Apelaciones y revisiones: las vías de apelación dependen de la agencia contratante y los procedimientos de disputa contractual; los plazos se especifican en los documentos contractuales o las reglas de contratación y no se especifican en la página citada.
- Defensas/discreción: defensas típicas incluyen demostración de diligencia razonable, dependencia en subcontratistas certificados o exenciones/variaciones aprobadas cuando la agencia o el contrato lo permiten expresamente.
Infracciones comunes y resultados típicos
- Falta de cifrado de datos sensibles de la ciudad en tránsito o en reposo — puede generar órdenes correctivas o daños contractuales.
- Falta de completar cuestionarios o evaluaciones de seguridad requeridos — puede retrasar la adjudicación del contrato o resultar en remediación obligatoria.
- Notificación tardía o nula de brechas — puede producir sanciones contractuales y daños reputacionales cuando estén especificados.
Solicitudes y formularios
Los proveedores normalmente deben registrarse y mantener una cuenta activa de proveedor de la ciudad y completar cualquier formulario de seguridad o privacidad que exija la agencia contratante. El portal oficial de registro de proveedores de la ciudad (PASSPort) lista los pasos de registro y la documentación requerida[3]. Si se requiere un formulario de seguridad específico o una tarifa, será publicado por la agencia contratante o la oficina de TI de la ciudad; si no se publica ningún formulario de seguridad específico, "no se especifica en la página citada."
Cómo las agencias suelen inspeccionar y verificar el cumplimiento
- Cuestionarios y declaraciones de seguridad presentados durante las evaluaciones de contratación.
- Evaluaciones de seguridad en sitio o virtuales por el personal de TI de la agencia o auditores autorizados.
- Auditorías de cláusulas contractuales y reportes periódicos de cumplimiento.
FAQ
- ¿Los proveedores de East New York enfrentan leyes de ciberseguridad diferentes a otros proveedores de NYC?
- No. East New York forma parte de la ciudad de Nueva York; los proveedores siguen los requisitos de ciberseguridad y contratación establecidos por agencias y autoridades de TI de la ciudad[1].
- ¿Dónde encuentro los términos de seguridad de la ciudad que aplican a mi contrato?
- Los términos de seguridad están en la solicitud, los documentos del contrato y en las páginas de políticas de TI de la ciudad mantenidas por la oficina de TI de la ciudad o la agencia contratante[2].
- ¿Qué pasos inmediatos tras una brecha de datos que involucre datos de la ciudad?
- Siga los procedimientos de respuesta a incidentes y notificación en su contrato y notifique a la agencia contratante y a la autoridad de TI de la ciudad con prontitud; las ventanas de tiempo específicas están en los documentos contractuales o la orientación de la agencia y pueden variar.
How-To
- Regístrese y mantenga su cuenta de proveedor PASSPort y adjunte los documentos corporativos requeridos[3].
- Revise las cláusulas de seguridad de la agencia contratante y cualquier orientación de DoITT o Cyber Command aplicable al contrato[2].
- Complete las evaluaciones de seguridad requeridas, implemente controles (acceso, cifrado, registro) y conserve evidencia.
- Establezca un punto de contacto para respuesta a incidentes y un plan de notificación que cumpla los requisitos de tiempo del contrato.
- Si corresponde, adquiera seguro de responsabilidad cibernética y asegure que los subcontratistas cumplan controles equivalentes.
Conclusiones clave
- Los proveedores de East New York siguen requisitos de ciberseguridad aplicables en toda la ciudad administrados por autoridades de TI municipales.
- La aplicación suele ser contractual; las multas específicas suelen establecerse en documentos contractuales y no se especifican en las páginas citadas.
- Regístrese en PASSPort y documente los controles antes de licitar para reducir demoras en la adjudicación.
Ayuda y recursos
- Departamento de Tecnología e Información de NYC (DoITT)
- NYC Cyber Command
- Registro de proveedores PASSPort de NYC
- NYC 311 (reportar asuntos no urgentes de la ciudad)