Guía de cumplimiento de ciberseguridad de la ciudad de Nueva York
La ciudad de Nueva York, Nueva York exige que las agencias públicas y muchas entidades reguladas sigan las expectativas municipales de ciberseguridad coordinadas por el Departamento de Tecnología e Información (DoITT) y NYC Cyber Command. Esta guía explica los requisitos habituales, quién los hace cumplir, cómo funcionan la ejecución y las apelaciones, y pasos prácticos para demostrar cumplimiento. Use los contactos oficiales a continuación para las reglas específicas de cada agencia y para reportar incidentes; cuando las cifras exactas de sanciones o los números de formulario no estén publicados en las páginas de orientación municipal, esta guía lo indica explícitamente y remite a la oficina correspondiente para verificación.
Multas y Ejecución
La ejecución de las normas municipales de ciberseguridad está a cargo del Departamento de Tecnología e Información (DoITT) y se coordina con NYC Cyber Command y los oficiales de seguridad de la información de las agencias. Las cantidades exactas de multas civiles y sanciones no están centralizadas en la página de orientación municipal general y, por lo tanto, no se especifican en la página citada.[1] La ejecución municipal puede incluir órdenes administrativas, directivas de corrección, suspensión del acceso a la red, recursos contractuales para proveedores y derivación a las fuerzas del orden o al Departamento Legal para litigio.
- Cantidad de multas: no se especifica en la página citada; consulte la agencia que hace cumplir la norma para recursos específicos del contrato y cualquier sanción administrativa.
- Escalada: las agencias normalmente pasan de avisos y plazos de remediación a la suspensión y derivación; los plazos exactos no se especifican en la página citada.
- Sanciones no monetarias: órdenes de remediación, suspensión de acceso, terminación de contratos, órdenes de preservación y derivaciones para acciones civiles o penales.
- Responsables y denuncias: DoITT y NYC Cyber Command coordinan la respuesta a incidentes y la aplicación de políticas; utilice las páginas de contacto oficiales de la agencia para reportar incidentes y presentar quejas.
- Apelaciones y revisiones: las rutas de apelación son específicas de cada agencia; los plazos y procedimientos suelen figurar en las normas de la agencia o en los términos contractuales y no se especifican en la página citada.
Solicitudes y Formularios
No existe un formulario municipal único y universal para el cumplimiento de ciberseguridad publicado en la página de orientación general; las agencias suelen requerir evaluaciones de riesgos, declaraciones de atestación o planes de seguridad específicos del contrato. Para métodos de presentación específicos de la agencia y cualquier tarifa, consulte los formularios y las instrucciones publicadas por la oficina que hace cumplir la norma.
Qué suelen cubrir las normas
- Evaluación de riesgos e inventario de sistemas y procesamiento de datos.
- Controles técnicos: gestión de parches, protección de endpoints, segmentación de redes.
- Políticas: plan de respuesta a incidentes, clasificación de datos y requisitos de seguridad para proveedores.
- Formación periódica y registros documentados de actividades de concienciación del personal.
- Monitoreo, registro y procedimientos de notificación de brechas alineados con las expectativas de notificación de la ciudad.
Pasos de acción para demostrar cumplimiento
- Realice y documente una evaluación de riesgos actual.
- Prepare o actualice un plan de respuesta a incidentes y registros de ejercicios prácticos.
- Mantenga inventarios de sistemas, flujos de datos y proveedores con atestaciones de seguridad.
- Informe incidentes a los contactos designados de la ciudad y respete los plazos de notificación de la agencia.
Preguntas frecuentes
- ¿Quién hace cumplir las normas municipales de ciberseguridad en la ciudad de Nueva York?
- El Departamento de Tecnología e Información (DoITT) coordina las normas y la respuesta a incidentes, con el apoyo de NYC Cyber Command y los oficiales de seguridad de la información de las agencias.
- ¿Existen multas fijas por incumplimiento?
- Las cantidades fijas de multas no se especifican en la página de orientación municipal general; las obligaciones y sanciones suelen establecerse en las normas de la agencia, los contratos o reglamentos específicos.
- ¿Cómo reporto una posible brecha que afecta sistemas de la ciudad?
- Reportar brechas a través del contacto oficial de incidentes o la línea directa de la agencia correspondiente; consulte las páginas de contacto de la agencia para los procedimientos de notificación vigentes.
Cómo
- Inventariar activos: realice un inventario completo de activos y mapee los flujos de datos.
- Evaluar riesgos: haga una evaluación de riesgos y registre tareas de remediación priorizadas.
- Implementar controles: aplique controles básicos como parches, MFA, protección de endpoints y copias de seguridad.
- Documentar políticas: documente políticas, asigne responsabilidades y realice un ejercicio de respuesta a incidentes.
- Gestionar proveedores: obtenga atestaciones de seguridad de proveedores e incluya requisitos contractuales de seguridad.
- Establecer notificación: establezca contactos y procedimientos de notificación para informar a las autoridades municipales con prontitud.
Puntos clave
- Las evaluaciones de riesgo documentadas y los planes de respuesta son centrales para demostrar cumplimiento.
- Las normas específicas de la agencia y los términos contractuales determinan obligaciones y recursos exactos.
- Utilice los canales oficiales de la agencia para reportar incidentes y solicitar orientación.
Ayuda y Recursos
- DoITT - Department of Information Technology and Telecommunications
- NYC Cyber Command
- New York City Law Department