Requisitos de ciberseguridad para proveedores de Norfolk - Ley municipal
Resumen
Norfolk, Virginia exige que los proveedores que contratan con la ciudad cumplan obligaciones de ciberseguridad y protección de datos incluidas en los contratos y documentos de contratación. Esta guía resume los controles municipales aplicables, las oficinas responsables, las cláusulas contractuales típicas y los pasos inmediatos que deben tomar los proveedores al obtener un contrato con Norfolk. Cuando el texto oficial o sanciones numéricas no están publicados en las páginas citadas, la entrada lo indica explícitamente y remite a las fuentes oficiales que controlan las reglas de contratación y el código municipal.City of Norfolk Procurement Division[1] Norfolk Code of Ordinances[2]
Obligaciones clave del contrato
Norfolk suele incorporar requisitos de ciberseguridad en sus términos estándar de contrato, cuestionarios de proveedores y disposiciones de manejo de datos. Las expectativas típicas incluyen controles de acceso, notificación de incidentes, cifrado para datos sensibles y el deber de cooperar con la respuesta del city ante incidentes. Cuando la ciudad publica una lista de verificación de seguridad del proveedor o una norma de controles específica, ese documento es el estándar operativo para el cumplimiento contractual.
- Acceso y autenticación - cuentas con privilegios mínimos, MFA cuando sea viable.
- Registro y conservación - conservar registros según los términos de retención del contrato.
- Manejo de datos - cifrado de datos sensibles en tránsito y en reposo.
- Notificación de incidentes - aviso por escrito rápido y cooperación con las investigaciones de la ciudad.
Sanciones y aplicación
La aplicación recae típicamente en la División de Contratación (Procurement Division) en coordinación con el Fiscal de la Ciudad y el departamento de Tecnología de la Información para el cumplimiento técnico. Las multas monetarias específicas, sanciones por día u otras cantidades estatutarias no están especificadas en las páginas de contratación o del código citadas; los proveedores deben revisar las cláusulas de sus contratos individuales para cualquier multa o daños liquidados indicados. Para reglas oficiales de contratación e información de contacto, consulte la página de la División de Contratación.City of Norfolk Procurement Division[1]
- Multas - no especificadas en la página citada; consulte los términos del contrato individual.
- Escalada - las sanciones por primera, repetida o continuada dependen de los remedios contractuales y decisiones de la ciudad; no especificadas en la página citada.
- Sanciones no monetarias - órdenes correctivas, suspensión o terminación del contrato, retención de pagos y remisión a procesos judiciales o administrativos.
- Autoridad aplicadora - Procurement Division y City IT; las quejas y consultas de cumplimiento se tramitan a través de Procurement y el Fiscal de la Ciudad según corresponda.
- Apelaciones y revisión - aplican las disposiciones de disputa contractual y los procedimientos de protesta administrativa; los plazos específicos deben consultarse en el contrato y en las reglas de contratación de Norfolk.
Solicitudes y formularios
La ciudad publica formularios de contratación y portales de registro de proveedores a través de la División de Contratación. Si se requiere una forma de acreditación de ciberseguridad específica, aparecerá en la documentación de la licitación o en los materiales de registro del proveedor; si no está publicada, no existe un formulario de ciberseguridad independiente especificado en las páginas de contratación citadas.
Pasos de acción para proveedores
- Revise las cláusulas de ciberseguridad del contrato e incorpore los controles exigidos en la Declaración de Trabajo y su programa de seguridad.
- Complete los cuestionarios o formularios de acreditación de seguridad incluidos en la licitación antes de la adjudicación.
- Establezca un flujo de trabajo de notificación de incidentes para informar a Norfolk de forma inmediata y proporcionar los informes y evidencias requeridos.
- Mantenga registros y bitácoras durante el período de retención especificado en el contrato.
Preguntas frecuentes
- ¿Norfolk exige certificaciones de ciberseguridad específicas a los proveedores?
- Las certificaciones pueden exigirse en la licitación; los documentos de contratación o el contrato indicarán las certificaciones requeridas como SOC 2 o FedRAMP; si no se indican, no hay una certificación específica exigida en la página de contratación citada.
- ¿A quién contacto para reportar una posible brecha de datos relacionada con un contrato de Norfolk?
- Informe los incidentes a la División de Contratación de la ciudad de Norfolk y al departamento de TI de la ciudad según las instrucciones de contacto en el contrato o en la página de la División de Contratación.
- ¿Existen sanciones publicadas por incumplimiento de cláusulas de ciberseguridad?
- Las multas monetarias o sanciones por día por incumplimiento de ciberseguridad no están especificadas en las páginas de contratación o del código municipal citadas; consulte su contrato para remedios y daños liquidados.
Cómo hacerlo
- Identifique las cláusulas: localice los documentos de la licitación e identifique todas las cláusulas y anexos de ciberseguridad.
- Complete los cuestionarios: rellene cualquier cuestionario de seguridad del proveedor o declaración incluida en la licitación.
- Implemente controles: implemente los controles requeridos y capture evidencia como capturas de configuración, políticas y resultados de pruebas.
- Reporte brechas: si ocurre una brecha, notifique a la ciudad inmediatamente con la información requerida por su contrato y preserve la evidencia.
Puntos clave
- Revise las cláusulas de ciberseguridad antes de firmar.
- La Procurement Division y City IT coordinan la aplicación.
- Las sanciones específicas se establecen en contratos individuales o no están especificadas en las páginas citadas.
Ayuda y recursos
- City of Norfolk - Procurement Division
- City of Norfolk - Information Technology
- Norfolk Code of Ordinances
- City Clerk - public records and ordinances