Reglas de infracciones de ciberseguridad de la ciudad de Manhattan
Esta guía explica cómo se gestionan las infracciones de ciberseguridad que afectan a los sistemas municipales en Manhattan, Nueva York, quién hace cumplir los requisitos de la ciudad y los pasos prácticos que las agencias y los proveedores deben seguir tras un incidente. Cubre qué sistemas suelen estar en el alcance, expectativas de notificación, ejecución y sanciones, apelaciones y dónde encontrar ayuda oficial.
Alcance y sistemas cubiertos
Los sistemas de la ciudad en Manhattan incluyen servidores municipales, aplicaciones públicas, sistemas de registros de seguridad pública, sistemas de control de transporte, plataformas de pago y licencias municipales, y servicios de terceros contratados que procesan datos de la ciudad. La cobertura y las obligaciones dependen de la criticidad del sistema, la sensibilidad de los datos y los términos contractuales con los proveedores.
- Servidores municipales y centros de datos que almacenan registros de la ciudad.
- Aplicaciones públicas y servicios en línea utilizados por los residentes.
- Sistemas de seguridad pública y de emergencia operados o apoyados por la ciudad.
- Sistemas de pago, licencias y finanzas que manejan fondos o datos personales.
- Proveedores de terceros y servicios en la nube contratados bajo acuerdos con la ciudad.
Respuesta al incidente y notificación
Las agencias de la ciudad y los contratistas cubiertos deben seguir procedimientos de respuesta a incidentes que priorizan la contención, la preservación de pruebas, la notificación a las personas afectadas si lo exige la ley y la comunicación con la autoridad de seguridad informática de la ciudad. Los plazos y formatos de notificación pueden definirse en políticas de la agencia o cláusulas contractuales.
- Contención inmediata y escalamiento interno en horas desde la detección cuando sea posible.
- Preservar registros y evidencia forense para la investigación.
- Notificar a la oficina de TI/seguridad de la ciudad y al oficial de seguridad de la agencia según las reglas de la agencia.
- Seguir las cláusulas contractuales de notificación para incidentes de proveedores, incluidos los plazos en los acuerdos de servicio.
Sanciones y ejecución
La responsabilidad de hacer cumplir las obligaciones de ciberseguridad para sistemas municipales normalmente recae en la oficina de TI/seguridad de la ciudad y en las divisiones de contratación cuando participan proveedores. La ciudad también puede coordinar con la policía para aspectos penales. Las multas monetarias concretas, matrices de escalamiento y sanciones estatutarias no aparecen consolidadas en una única página pública de la ciudad; las agencias recurren a políticas internas, medidas contractuales y la ley estatal aplicable para notificaciones.
- Multas: las sanciones monetarias a nivel de ciudad por infracciones de ciberseguridad no están especificadas en una única fuente pública; los remedios financieros suelen establecerse por contrato o regla administrativa y por la ley estatal aplicable.
- Escalamiento: las distinciones entre infracciones iniciales, repetidas y continuadas se abordan normalmente en políticas de la agencia o en contratos y no están consolidadas en una sola página pública.
- Sanciones no monetarias: órdenes correctivas, terminación de contratos, suspensión de acceso, requisitos de remediación y remisión a la policía o acción civil.
- Ejecutor: la oficina de TI/seguridad de la ciudad y la agencia contratante administran el cumplimiento y la ejecución inicial, y la policía se ocupa de las investigaciones penales.
- Vías de inspección y denuncia: los incidentes deben notificarse al oficial de seguridad de la agencia y a la oficina de TI/seguridad de la ciudad según los procedimientos de la agencia; cuando no exista un formulario, use los canales de notificación de la agencia.
- Apelaciones y revisión: las vías de apelación, revisiones administrativas y plazos dependen de la agencia que imponga la sanción o de los términos contractuales y no están especificados en una página pública consolidada.
- Defensas y discreción: las agencias suelen aceptar explicaciones mitigantes como esfuerzos razonables para asegurar los sistemas, parcheo documentado o excepciones autorizadas; la disponibilidad depende de la política o del contrato.
- Violaciones comunes: no notificar con prontitud, parcheo insuficiente, controles de acceso débiles y incumplimiento contractual; las sanciones suelen seguir remedios contractuales o acción administrativa.
Solicitudes y formularios
La ciudad no publica un formulario público universal para la notificación de incidentes de ciberseguridad municipales; los métodos de notificación suelen definirse por cada agencia o en los contratos de proveedores, y no hay formularios públicos consolidados en una página de la ciudad.
FAQ
- ¿Qué sistemas deben notificarse cuando ocurre una infracción?
- Notifique sistemas operados por la ciudad, sistemas que procesan datos de la ciudad y servicios contratados que afectan datos u operaciones de la ciudad.
- ¿Quién hace cumplir las reglas de ciberseguridad para los sistemas de la ciudad en Manhattan?
- La oficina de TI/seguridad de la ciudad junto con la agencia afectada y la oficina de contratación hace cumplir el cumplimiento; la policía se encarga de los asuntos penales.
- ¿Existen multas establecidas por las infracciones de sistemas de la ciudad?
- Las sanciones monetarias específicas para sistemas gestionados por la ciudad se determinan por contrato o reglas de la agencia y no están consolidadas en una sola página pública de la ciudad.
How-To
- Contenga el incidente para evitar acceso adicional o pérdida de datos y aisle los sistemas afectados.
- Preserve registros y evidencia forense y documente las acciones tomadas desde la detección en adelante.
- Notifique a su oficial de seguridad de la agencia y siga el procedimiento de notificación de incidentes de la agencia.
- Notifique a las personas afectadas si la ley lo exige y coordine medidas de remediación o monitoreo de crédito cuando proceda.
- Coordine la remediación con la oficina de TI/seguridad de la ciudad, actualice contratos con proveedores según sea necesario y documente las lecciones aprendidas.
Resumen clave
- Las infracciones municipales en Manhattan las gestionan las oficinas de seguridad de la agencia y la función de TI de la ciudad.
- Los procedimientos de notificación son específicos de cada agencia; consulte su contrato o política tras la detección.
- Las sanciones monetarias y las apelaciones suelen establecerse en contratos o normas de la agencia y no están consolidadas en una sola página pública.
Ayuda y recursos
- Departamento de Tecnologías de la Información y Telecomunicaciones de la Ciudad de Nueva York (DoITT)
- NYC Cyber Command
- Sitio oficial de la Ciudad de Nueva York