Reglas de ciberseguridad para proveedores en contratos municipales de Staten Island
Los proveedores en Staten Island, Nueva York que trabajen en contratos municipales deben cumplir las obligaciones de ciberseguridad y protección de datos incluidas en los documentos de contratación y las cláusulas contractuales estándar. Esta guía explica qué agencias establecen las expectativas, cómo funcionan la aplicación y la remediación, las cláusulas contractuales típicas y los pasos prácticos que deben seguir los proveedores para mantenerse en conformidad al prestar servicios a agencias de la ciudad de Nueva York en Staten Island.
Resumen de los requisitos de ciberseguridad de la ciudad
La contratación de la ciudad de Nueva York suele exigir que los proveedores implementen salvaguardas de seguridad de la información, informen incidentes y permitan auditorías de sistemas que almacenan o procesan datos de la ciudad. El Departamento de Tecnología e Información (DoITT) ofrece políticas y orientación de seguridad de la información a nivel municipal para contratistas[1]. La Oficina del Alcalde para Servicios de Contratos (MOCS) y los oficiales de contratación de las agencias incluyen cláusulas de seguridad en las licitaciones y contratos[2]. El Departamento de Servicios Administrativos de la Ciudad (DCAS) proporciona recursos de contratación para agencias y proveedores[3].
Sanciones y aplicación
La mayoría de las páginas oficiales de contratación describen remedios contractuales más que multas estatutarias fijas. Los importes monetarios de las sanciones por infracciones de ciberseguridad generalmente no están especificados en las páginas citadas; la aplicación se centra en remedios contractuales y requisitos de corrección[1][2][3].
- Partes que aplican: la agencia contratante, DoITT para asuntos de política a nivel municipal y MOCS para cumplimiento de contratación.
- Sanciones contractuales típicas: terminación del contrato, retención de pagos, remediación obligatoria, derechos de auditoría y obligaciones de indemnización.
- Multas o sanciones por día: no se especifican en las páginas citadas.
- Escalamiento: períodos de subsanación iniciales y remediación requerida; las infracciones repetidas o continuas suelen provocar terminación o suspensión en lugar de multas diarias estatutarias (no especificado en las páginas citadas).
- Vías de inspección y denuncia: contactar a la agencia contratante, a DoITT para asuntos de política de seguridad o a MOCS para cuestiones de contratación; utilice las páginas de contacto oficiales citadas más abajo.
- Apelaciones y revisión: los procedimientos de disputa contractual y las protestas de contratación se gestionan a través de los procesos de MOCS/DCAS o los procedimientos de la agencia; los plazos específicos para apelaciones no se especifican en las páginas citadas.
Solicitudes y formularios
La documentación que debe aportar el proveedor varía según la licitación. Algunos contratos solicitan cuestionarios de seguridad, plantillas de notificación de incidentes o confirmaciones de seguro; sin embargo, no se publican formularios estandarizados ni tasas en las páginas citadas.
Cláusulas contractuales comunes y controles prácticos
Los contratos de la ciudad frecuentemente incluyen cláusulas que requieren:
- Clasificación de datos y limitaciones sobre el almacenamiento/procesamiento de datos de la ciudad.
- Notificación de incidentes en un plazo definido y cooperación en investigaciones.
- Controles de seguridad como cifrado, gestión de accesos y gestión de vulnerabilidades.
- Obligaciones de auditoría y remediación, incluida la presentación de pruebas de correcciones y pruebas.
Pasos recomendados para proveedores
- Revise las cláusulas de seguridad del contrato antes de licitar y anote los plazos de notificación.
- Prepare documentación estándar: plantilla de notificación de incidentes, diagramas de sistema y listas de proveedores terceros.
- Implemente controles básicos: MFA, gestión de parches, cifrado y registro de eventos.
- Designe un punto de contacto para notificaciones de incidentes hacia la agencia contratante y DoITT cuando corresponda.
Preguntas frecuentes
- ¿Los contratos de la ciudad exigen seguro cibernético?
- Algunas licitaciones exigen seguro o evidencia de cobertura, pero no hay un requisito municipal obligatorio uniforme especificado en las páginas citadas.
- ¿Con qué rapidez debo informar una brecha?
- Los contratos suelen exigir una notificación pronta; los plazos específicos se establecen en la redacción del contrato o en la guía de la agencia y no son uniformes en las páginas citadas.
- ¿Quién aplica las cláusulas de ciberseguridad?
- La agencia contratante aplica las cláusulas, con DoITT como autoridad de política a nivel municipal y MOCS/DCAS supervisando el cumplimiento de la contratación.
Cómo hacerlo
- Revise la licitación y identifique cláusulas de ciberseguridad y entregables requeridos.
- Complete los cuestionarios de seguridad del proveedor y reúna evidencia de seguros si se solicita.
- Implemente o documente controles de seguridad alineados con los requisitos contractuales, como MFA, cifrado y registros.
- Genere procedimientos de respuesta a incidentes y notificación que cumplan los plazos contractuales.
- Mantenga registros de auditoría y esté preparado para aportar evidencias durante la ejecución del contrato o auditorías.
Conclusiones clave
- Los contratos municipales priorizan remedios contractuales y remediación por encima de multas estatutarias uniformes.
- Lea las cláusulas de seguridad desde el inicio y prepare la documentación requerida antes de la adjudicación.
- Contacte a la agencia contratante o a DoITT para consultas de política y a MOCS para disputas de contratación.
Ayuda y recursos
- DoITT - Department of Information Technology and Telecommunications
- MOCS - Mayor's Office of Contract Services
- DCAS - Department of Citywide Administrative Services
- NYC Cyber Command
- [1] City of New York Department of Information Technology and Telecommunications - information security and vendor guidance
- [2] Mayor's Office of Contract Services - procurement and contracting guidance
- [3] Department of Citywide Administrative Services - procurement resources for agencies and vendors