Capítulo 28 - Requisitos de seguridad y nube para la adquisición de TI de agencias en licitaciones y contratos

La Agencia de Tecnologías de la Información de Virginia (VITA), bajo la autoridad de la sección 2.2-2009 del Código de Virginia, está dirigida a: ". . . proporcionar la seguridad de la información electrónica del gobierno estatal contra usos no autorizados, intrusiones u otras amenazas de seguridad, el CIO dirigirá el desarrollo de políticas, estándares y pautas para evaluar los riesgos de seguridad, determinar las medidas de seguridad apropiadas y realizar auditorías de seguridad de la información electrónica del gobierno. Dichas políticas, normas y directrices se aplicarán a los poderes ejecutivo, legislativo y judicial del Estado Libre Asociado y a las agencias independientes".

Las responsabilidades de seguridad obligadas por ley de VITA incluyen (pero no se limitan a):

• § 2.2-2009 del Código de Virginia requiere que el Director de Información de la Agencia de Tecnologías de la Información de Virginia desarrolle políticas, estándares y pautas para garantizar que cualquier adquisición de tecnología de la información realizada por las ramas ejecutiva, legislativa y judicial del Estado y las agencias independientes se realice de acuerdo con las leyes y regulaciones federales relacionadas con la seguridad y privacidad de la información.

• De acuerdo con § 2.2-2009 del Código de Virginia, VITA operará un centro de servicios de seguridad de tecnología de la información para respaldar las necesidades de seguridad de tecnología de la información de las agencias que elijan participar en el centro de servicios de seguridad de tecnología de la información. El apoyo a las agencias participantes incluirá, entre otros, análisis de vulnerabilidades, auditorías de seguridad de la tecnología de la información y servicios de Oficial de Seguridad de la Información. Las agencias participantes cooperarán con la Agencia de Tecnologías de la Información de Virginia transfiriendo los registros y funciones que sean necesarios.

• Financiación establecida para los Servicios de Supervisión de Seguridad Tecnológica y la Supervisión de Servicios Basados en la Nube (consulte el Título 2.2, Capítulo 20.1 del Código de Virginia).

• De conformidad con el Título 2.2, Capítulo 20.1, "VITA dará prioridad a los esfuerzos para modernizar los servicios actuales de tecnología de la información y poner a disposición de las agencias, cuando corresponda, los servicios de tecnología de la información ofrecidos comercialmente, incluidos, entre otros, la computación en la nube, la telefonía móvil y la inteligencia artificial".

• § 2.2-2009(C) establece que "además de coordinar las auditorías de seguridad según lo dispuesto en la subdivisión B 1, el CIO llevará a cabo una revisión integral anual de las políticas de seguridad cibernética de cada agencia del poder ejecutivo, con un enfoque particular en cualquier violación de la tecnología de la información que ocurra en el año revisable y cualquier medida tomada por las agencias para fortalecer las medidas de seguridad cibernética. Una vez finalizada la revisión anual, el CIO emitirá un informe de sus hallazgos a los Presidentes del Comité de Asignaciones de la Cámara de Representantes y del Comité de Finanzas del Senado. Dicho informe no contendrá información técnica que el CIO considere sensible a la seguridad o información que exponga vulnerabilidades de seguridad".

El CIO ha asignado a la División de Seguridad y Gestión de Riesgos de la Commonwealth (CSRM) de VITA la responsabilidad de desarrollar políticas, normas y directrices relacionadas con la seguridad, implementarlas y proporcionar procesos de gobernanza y auditorías para garantizar el cumplimiento de la agencia. La División de Gestión de Proyectos (PMD) y la División de Gestión de la Cadena de Suministro (SCM) de VITA, así como otras divisiones de VITA, participan en diversas funciones de supervisión y gobernanza para ayudar a CSRM a cumplir con las obligaciones legales de seguridad de VITA.