Categorías de seguridad
Utilice el formulario de notificación de incidentes cibernéticos para informar incidentes de ciberseguridad en la Commonwealth.
Obtenga más información sobre el Programa de subvenciones de ciberseguridad estatal y local (SLCGP).
En Lista de aplicaciones aprobadas por COV RAMP, encontrará el nombre del proveedor, el producto y una breve descripción de SaaS / PaaS.
Explorar todos los temas
Subvenciones para ciberseguridad
El Programa de Subvenciones de Ciberseguridad Estatal y Local (SLCGP) es una iniciativa federal pionera destinada a reforzar la ciberseguridad para los gobiernos estatales y locales.
Comité de Planificación de Ciberseguridad de Virginia (VCPC)
La misión de VCPC es desarrollar, implementar y mantener el plan de ciberseguridad estatal de Virginia, priorizar la financiación de subvenciones y evitar esfuerzos redundantes.
Conferencia de seguridad de la información
Un evento anual organizado por el Consejo de Seguridad de la Información de la Commonwealth proporciona una plataforma para que los profesionales de la seguridad de la información aprendan, establezcan contactos y compartan las mejores prácticas.
Reuniones del Comité ISOAG
Las reuniones mensuales del Grupo Asesor del Oficial de Seguridad de la Información (ISOAG) brindan oportunidades para compartir conocimientos, capacitación y discusiones clave sobre ciberseguridad.
Consejo de IS
El Consejo de Seguridad de la Información (IS) proporciona orientación estratégica, educación y colaboración en iniciativas estatales de seguridad y privacidad.
Orientación IS
La Orientación de Seguridad de la Información (SI) es una sesión de grupo pequeño que explora los principios de ciberseguridad, las oportunidades profesionales y los requisitos de cumplimiento.
Reuniones de revisión del informe SOC de la Torre de Servicio
Las reuniones de revisión de informes SOC de torres de servicio proporcionan un foro dedicado para que las agencias revisen los informes SOC2 de los proveedores del año fiscal anterior.
Políticas de seguridad de la información
Explore las políticas que ayudan a las agencias a salvaguardar los datos y sistemas de la Commonwealth.
Concienciación sobre ciberseguridad
Encuentre herramientas y recursos valiosos diseñados para fortalecer la conciencia cibernética y promover prácticas de seguridad más sólidas.
Archer
Acceda a la herramienta de gestión de gobernanza, riesgo y cumplimiento (GRC) del Commonwealth of Virginia (COV).
Manual del usuario de Archer (PDF)
Proporciona orientación paso a paso sobre cómo agregar, modificar, retirar, buscar e informar sobre aplicaciones y registros de IA en Archer.
Informes anuales
Acceda a los informes anuales de seguridad de VITA, que brindan una revisión integral de las políticas e iniciativas de ciberseguridad en todo el Commonwealth.
Preguntas frecuentes sobre seguridad de la información. Encuentre respuestas rápidas a preguntas comunes sobre las políticas y programas de seguridad de la información de VITA.
Las políticas, estándares y pautas de ITRM se pueden encontrar en la sección de políticas y gobernanza.
Sí, el jefe de la agencia es responsable en última instancia de la seguridad de los sistemas de tecnología de la información y los datos de la agencia.
Las responsabilidades específicas del jefe de la agencia, según el Estándar de Seguridad de la Información de TI (SEC501-10.1) PDF "Roles y Responsabilidades Clave de Seguridad de la Información", son:
Designar un Oficial de Seguridad de la Información (ISO) para la agencia, cada dos años.
Asegurarse de que se mantenga un programa de seguridad de la información de la agencia, que sea suficiente para proteger los sistemas de TI de la agencia, y que esté documentado y se comunique de manera efectiva.
Revisar y aprobar los Análisis de Impacto en el Negocio (BIA), las Evaluaciones de Riesgos (RA) y el Plan de Continuidad de Operaciones (COOP) de la agencia, para incluir un Plan de Recuperación de Desastres de TI, si corresponde.
Revisar y aprobar los planes de seguridad del sistema para todos los sistemas de TI de la agencia clasificados como confidenciales.
Asegurar que se establezca un Programa de Auditoría de Seguridad de la Información. Nota: Consulte el Estándar de auditoría de seguridad de TI (COV ITRM Standard SEC502-00) para conocer las responsabilidades específicas de los jefes de las agencias con respecto al cumplimiento del programa de auditoría.
Asegurar que se establezca un programa de Seguridad de la Información.
Garantizar que se establezca un programa de capacitación y concientización sobre seguridad de la información.
Proporcionar los recursos para que los empleados puedan llevar a cabo sus responsabilidades de proteger los sistemas y datos de TI.
Identifique un propietario del sistema, generalmente el propietario de la empresa, para cada sistema confidencial de la agencia.
Prevenir conflictos de intereses adhiriéndose al concepto de seguridad de separación de funciones para el Oficial de Seguridad de la Información, los Propietarios de Sistemas/Datos y los Administradores de Sistemas.
Asegúrese de que las violaciones de datos se informen al director de seguridad de la información. (Solo aplicable para agencias del Poder Ejecutivo).
El responsable de la agencia podrá delegar todas las responsabilidades en materia de Seguridad de la Información, a excepción de las siguientes:
Designación de un Oficial de Seguridad de la Información.
Asegurar la implementación de un Programa de Seguridad de la Información.
Asegurar la implementación de un Programa de Auditoría.
Nota: La parte delegada debe copiar al jefe de la agencia en las presentaciones de correo electrónico al Director de Seguridad de la Información.
La ISO se designa mediante la presentación de la ISO y el nombre, el título y la información de contacto de la ISO de respaldo al Director de Seguridad de la Información (CISO) cada dos años por parte del jefe de la agencia. Para obtener más información, consulte el Estándar de seguridad de la información de TI (SEC501-10.1) PDF "Funciones y responsabilidades clave de la seguridad de la información".
Si la presentación se envía por correo electrónico, se aceptará la presentación de alguien que no sea el jefe de la agencia, si se copia al jefe de la agencia.
El plan de auditoría de seguridad de tecnología de la información (TI) de su agencia debe desarrollarse en función de la dirección dada en el Estándar de auditoría de seguridad de TI (SEC 502) "Planificación de auditorías de seguridad de TI" y la Guía de auditoría de seguridad de TI (SEC 512.00 ) "Plan de auditoría de seguridad de TI". Utilice la plantilla de plan de auditoría de seguridad de TI para completar su plan.
El jefe de la agencia o la persona designada debe presentar el plan de auditoría anualmente al Director de Seguridad de la Información (CISO). Si la presentación es enviada por correo electrónico por la persona designada, se debe enviar una copia al jefe de la agencia.
El plan de acción correctiva de seguridad de tecnología de la información (TI) de su agencia debe desarrollarse en función de la dirección dada en el Estándar de auditoría de seguridad de TI (SEC 502) "Documentación de auditorías de seguridad de TI" y la Guía de auditoría de seguridad de TI (SEC 512.00), "Plan de acción correctiva" e "Informes periódicos de CAP". Utilice la plantilla del plan de acción correctiva para completar su plan.
El jefe de la agencia o la persona designada debe presentar el plan de acción correctiva trimestralmente al Director de Seguridad de la Información (CISO) de la Commonwealth.
Si el plan contiene información confidencial, envíe un correo electrónico a CommonwealthSecurity@VITA.Virginia.Gov para solicitar ayuda para identificar una forma eficiente y segura de transmitir el plan.
Si necesita acceso adicional en el entorno de red a aplicaciones, unidades de red, etc., solicite a su agencia de recursos de tecnología de la información (AITR) o al oficial de seguridad de la información (ISO) que envíe la solicitud por correo electrónico al Centro de Atención al Cliente de VITA (VCCC) al vccc@vita.virginia.gov.
Por favor, siéntase libre de utilizar el video "Duhs of Security" en sus esfuerzos de concienciación sobre la seguridad de la información. Nos alegra que vea suficiente valor en nuestro producto para agregarlo a su programa.
Se puede contactar a Commonwealth Security and Risk Management de las siguientes maneras:
Correo: Director de Seguridad de la Información, Agencia de Tecnologías de la Información de Virginia, 7325 Beaufont Springs Drive, Richmond, VA 23225
Correo electrónico: commonwealthsecurity@vita.virginia.gov.
Hay dos formas principales de enviar un incidente de seguridad sospechoso o conocido. Una forma de enviar un incidente de seguridad es completar el formulario de denuncia en línea que se encuentra aquí: Informar un incidente cibernético.
La segunda forma de presentar un incidente de seguridad es llamar al Centro de Atención al Cliente de VITA (VCCC) al 1-866-637-8482. El VCCC aceptará informes de incidentes de seguridad tanto para las agencias de asociación de TI como para las que no lo son.
Es imperativo que no toque ni apague la computadora hasta que reciba instrucciones.
Si el jefe de una agencia determina que el cumplimiento de las disposiciones de las normas de seguridad de la información afectaría negativamente un proceso comercial de la agencia, el jefe de la agencia puede solicitar aprobación para desviarse de un requisito específico mediante la presentación de una solicitud de excepción al Director de Seguridad de la Información. Utilice el Formulario de excepción estándar de seguridad COV para enviar una excepción.
La solicitud de excepción debe presentarse al Director de Seguridad de la Información (CISO). Si la presentación se envía por correo electrónico, la ISO puede enviar el correo electrónico y copiar al jefe de la agencia.
Si la excepción contiene información confidencial, envíe un correo electrónico a CommonwealthSecurity@VITA.Virginia.Gov para solicitar ayuda con la identificación de una manera eficiente y segura de transmitir la excepción.