Requisitos de ciberseguridad para proveedores en Filadelfia
Los proveedores y contratistas que trabajen con Filadelfia, Pennsylvania deben cumplir las expectativas de ciberseguridad de la ciudad cuando acceden a sistemas municipales o manejan datos de la ciudad. Este artículo resume los roles municipales actuales, las cláusulas contractuales típicas de ciberseguridad, el registro del proveedor y las declaraciones, las vías de notificación e investigación de incidentes y cómo se gestionan la ejecución y las apelaciones para proveedores que hacen negocios con la Ciudad de Filadelfia.
Resumen
La Ciudad de Filadelfia exige que los proveedores cumplan con estándares de ciberseguridad aplicables en el lenguaje contractual, que pueden incluir protección de datos, notificación de incumplimientos, controles de acceso, cifrado y gestión de riesgos de terceros. Los controles técnicos o administrativos específicos normalmente se detallan en las licitaciones de adquisiciones, acuerdos marco de servicios o anexos a los contratos de la ciudad. Los proveedores deben revisar los documentos de licitación y los anexos contractuales y mantener documentación para auditorías y revisiones de seguridad.
Sanciones y Ejecución
La ejecución suele corresponder al departamento contratante en coordinación con la Oficina de Innovación y Tecnología (OIT) de la ciudad y la división de Finanzas/Adquisiciones. Los recursos contractuales, la suspensión de acceso, la rescisión del contrato y las reclamaciones por daños son vías comunes de ejecución; las multas monetarias específicas por violaciones de ciberseguridad no aparecen de forma destacada en las páginas generales de adquisiciones y pueden establecerse por términos contractuales o regulaciones separadas.
- Autoridad: el departamento contratante con apoyo técnico de la Oficina de Innovación y Tecnología. Consulte la orientación de OIT y los contactos de adquisiciones para obligaciones de proveedores Office of Innovation and Technology[1].
- Inspección y cumplimiento: revisiones de seguridad, auditorías contractuales y revocación de acceso por incumplimiento.
- Montos de multas: no especificado en las páginas citadas de adquisiciones y OIT; las multas o importes por día suelen especificarse en los términos del contrato o secciones de la ordenanza si procede.
- Escalada: avisos contractuales, periodos para subsanar, suspensión, rescisión y posibles reclamaciones civiles; los plazos exactos no están especificados en las páginas citadas.
- Sanciones no monetarias: órdenes de remediación, suspensión del acceso al sistema, suspensión o rescisión del contrato, o derivación a acciones legales.
- Denuncias y notificación de incidentes: informe incidentes al administrador del contrato y a OIT según lo especificado en los documentos contractuales y la orientación departamental Philadelphia Procurement[2].
Apelaciones, Revisión y Plazos
Los mecanismos de apelación y protesta para decisiones de adquisiciones siguen el proceso de protesta de adquisiciones de la ciudad; las apelaciones administrativas de acciones de ejecución dependen de los términos del contrato y del departamento emisor. Los plazos estatutarios específicos para apelaciones relacionadas con ciberseguridad no están especificados en las páginas citadas y, por lo general, se rigen por el contrato, las normas de protesta de adquisiciones o los procedimientos administrativos aplicables.
Defensas y Discrecionalidad
Las defensas comunes incluyen el cumplimiento de planes de seguridad aprobados, la remediación oportuna de vulnerabilidades, fuerza mayor y la dependencia en procesos de variación o excepción proporcionados por la ciudad cuando el contrato lo permita. La disponibilidad de variaciones o excepciones formales debe confirmarse en cada licitación o contrato.
Violaciones Comunes
- No cifrar o proteger datos sensibles de la ciudad en tránsito o en reposo.
- No presentar las declaraciones requeridas o la documentación para subcontratistas y terceros.
- No notificar un incumplimiento dentro de los plazos exigidos en contratos o leyes.
- Mala gestión de parches o configuraciones inseguras que provoquen incidentes.
Solicitudes y Formularios
La ciudad exige el registro como proveedor y el cumplimiento de los formularios de licitación; algunos solicitantes incluyen formularios de declaración de ciberseguridad o requieren informes específicos. Las páginas generales de adquisiciones no enumeran un formulario universal de ciberseguridad.
Expectativas técnicas y cláusulas contractuales
Las cláusulas típicas requieren controles de acceso, principios de privilegio mínimo, plazos de notificación de incidentes, cifrado de datos, cooperación en caso de incumplimiento, registro y monitorización, obligación de extender requisitos a subcontratistas y conservación de registros para auditorías. Los proveedores deben estar preparados para aportar evidencias como informes SOC 2, planes de seguridad del sistema o declaraciones de cumplimiento cuando lo solicite el departamento contratante.
Auditoría, Notificación y Respuesta a Incidentes
La notificación de incidentes es específica del contrato pero, en general, requiere notificación inmediata al contacto de la ciudad y a OIT con cooperación para las investigaciones. Los departamentos pueden exigir informes postincidente, planes de remediación y pruebas de acciones correctivas.
Preguntas frecuentes
- ¿Quién establece los requisitos de ciberseguridad para contratos de Filadelfia?
- El departamento contratante establece los requisitos en consulta con la Oficina de Innovación y Tecnología; las cuestiones de adquisiciones y el registro las gestiona Finanzas/Adquisiciones.
- ¿Qué hago si detecto una violación de datos que afecta a datos de la ciudad?
- Notifique inmediatamente al administrador del contrato y a OIT, siga las instrucciones de respuesta a incidentes del contrato y preserve evidencias para la revisión forense.
- ¿Existen formularios estándar para demostrar cumplimiento?
- Algunas licitaciones incluyen formularios de declaración o requieren informes (por ejemplo, SOC 2); no hay un formulario único de ciberseguridad en las páginas generales de adquisiciones.
Cómo hacerlo
- Regístrese como proveedor en la Ciudad y obtenga un número de proveedor antes de responder a licitaciones.
- Revise los anexos de la licitación y complete las declaraciones o plantillas de ciberseguridad incluidas.
- Implemente los controles técnicos requeridos y documente evidencias como políticas, escaneos e informes de terceros.
- Notifique incidentes a su administrador de contrato y a OIT de inmediato y siga las instrucciones de remediación.
- Si se adopta una acción de ejecución, siga los procedimientos de protesta y apelación especificados en los documentos de adquisición.
Puntos clave
- Revise los anexos de ciberseguridad antes de firmar contratos.
- Mantenga documentación y esté listo para auditar evidencias.
- Notifique incidentes rápidamente a los contactos de la ciudad y a OIT.
Ayuda y soporte / Recursos
- Office of Innovation and Technology - Security and IT contacts
- Finance - Procurement
- Philadelphia Code (official code library)
- Pennsylvania Attorney General - Data breaches