Reglas de contratación de software seguro para proveedores de la ciudad de Portland
Portland, Oregon exige que los proveedores cumplan controles de seguridad y requisitos de contratación al suministrar software a la ciudad. Esta guía resume las expectativas técnicas y contractuales habituales, las oficinas que las aplican, cómo presentar la documentación de proveedores y qué hacer si surge una preocupación de contratación o seguridad. Está dirigida a proveedores, encargados de contratación y gestores de contratos que trabajan con la Ciudad de Portland y remite a contactos oficiales de la ciudad para preguntas y denuncias.
Alcance y requisitos básicos
Las contrataciones municipales de software suelen exigir prácticas de seguridad básicas integradas en las solicitudes y contratos. Los requisitos varían según el tipo de contrato, la sensibilidad de los datos y las necesidades de la oficina; se espera que los proveedores, como mínimo, cumplan:
- Controles de diseño seguro y de ciclo de vida de desarrollo seguro, incluyendo gestión de vulnerabilidades y parcheo.
- Pruebas de seguridad como evaluaciones de amenazas, informes de pruebas de penetración o certificaciones de terceros.
- Cláusulas contractuales para manejo de datos, notificación de brechas y derechos de auditoría.
- Divulgación de precios o tarifas para servicios de seguridad continuos cuando corresponda.
- Plazos para parcheo y respuesta a incidentes de seguridad.
Sanciones y cumplimiento
Portland aplica los requisitos de contratación y los términos contractuales a través de su oficina de contratación y la oficina contratante. Las multas monetarias específicas vinculadas al incumplimiento no están especificadas en las páginas de contratación citadas; las medidas correctivas suelen ser administrativas y contractuales. Las denuncias y cuestiones de cumplimiento contractual son gestionadas por City Procurement Services; informe problemas al contacto oficial de contratación Procurement Services[1].
- Multas monetarias: no especificadas en la página citada.
- Escalada: las medidas suelen pasar de avisos de subsanación a la terminación del contrato; los plazos y pasos exactos son específicos del contrato y no están especificados en la página citada.
- Sanciones no monetarias: órdenes correctivas, suspensión de contratos, retención de pagos, terminación contractual y remisión a unidades legales o de cumplimiento.
- Responsable y vía de denuncia: City Procurement Services y la oficina contratante gestionan el cumplimiento y las investigaciones; consulte el contacto de Procurement Services para detalles de envío[1].
- Recursos y apelaciones: las vías de apelación dependen de las reglas de contratación y del contrato; los plazos para protestas o apelaciones son específicos de la solicitud y no están especificados en la página de contratación.
Solicitudes y formularios
La incorporación de proveedores y los formularios se gestionan a través del portal de contratación de la Ciudad o portales específicos de las oficinas. Las tarifas y los métodos de envío exactos figuran en las páginas oficiales de contratación; si se requiere un formulario o tarifa, la página de contratación o la solicitud lo indicarán por nombre y método de envío. Cuando el sitio de contratación no publica un número de formulario o importe específico, esa información no está especificada en la página citada.
Preguntas frecuentes
- ¿Quién aplica los requisitos de seguridad para contratos de software de la ciudad?
- La oficina City Procurement Services y la oficina contratante aplican los requisitos de seguridad y el cumplimiento contractual.
- ¿Existen listas de verificación estándar que deban completar los proveedores?
- Algunas solicitudes incluyen cuestionarios de seguridad para proveedores o requieren certificaciones de terceros; los requisitos se indican por solicitud y no son uniformes en todos los contratos.
- ¿Qué ocurre si un proveedor notifica una brecha que afecta datos de la ciudad?
- Los proveedores deben seguir las cláusulas contractuales de notificación de brechas y coordinar con la oficina contratante y Procurement Services para la respuesta e investigación del incidente.
Cómo hacerlo
- Revise la solicitud y las cláusulas de seguridad del contrato antes de presentar su oferta o propuesta.
- Prepare evidencia de controles de seguridad (informes de pruebas, certificaciones SOC/ISO, políticas de parcheo) para adjuntar a su respuesta.
- Documente los procesos de respuesta a incidentes y notificación de brechas alineados con los requisitos contractuales.
- Si procede, regístrese en el portal de proveedores de la Ciudad y complete los cuestionarios o formularios de incorporación indicados en la solicitud.
- Si surge un problema de cumplimiento, contacte inmediatamente a Procurement Services y a la oficina contratante para informar y resolver los asuntos.[1]
Conclusiones clave
- Los requisitos de seguridad dependen de la solicitud; lea las RFP detenidamente.
- Adjunte evidencia documentada de controles y pruebas cuando sea posible.
- Utilice Procurement Services como contacto principal de la ciudad para denuncias y cumplimiento contractual.
Ayuda y recursos
- City of Portland Procurement Services
- City of Portland Bureau of Technology Services (BTS)
- Portland City Code and Charter information