Kabanata 25 - Pagbuo ng Kontrata sa IT

25.7.4 Seguridad ng VITA at mga kinakailangan sa cloud contractual

Ang Seksyon 2.2-2009 ng Code of Virginia ay nag-uutos na ang Chief Information Officer (CIO) ay may pananagutan para sa pagbuo ng mga patakaran, pamantayan, at mga alituntunin para sa pagtatasa ng mga panganib sa seguridad, pagtukoy ng naaangkop na mga hakbang sa seguridad at pagsasagawa ng mga pag-audit ng seguridad ng elektronikong impormasyon ng pamahalaan. Ang nasabing mga patakaran, pamantayan, at mga alituntunin ay dapat ilapat sa mga sangay na ehekutibo, lehislatibo, at hudisyal ng Commonwealth at mga independiyenteng ahensya.

Bagama't kinakailangan ng mga ahensya na sumunod sa lahat ng mga patakaran sa seguridad, pamantayan at alituntunin (PSG), ang Security Standard SEC530 ay nagbibigay ng mga kinakailangan sa pagsunod ng ahensya para sa mga solusyon sa cloud na hindi naka-host sa CESC. Ang mga PSG na ito ay matatagpuan sa URL na ito: https://www.vita.virginia.gov/it-governance/itrm-policies-standards/

Bilang karagdagan sa Security Standard SEC530, para sa anumang mga pagbili para sa mga third-party (na-host ng supplier) na mga serbisyo sa cloud (ibig sabihin, Software bilang isang Serbisyo), dahil ang mga ahensya ay may $0 na itinalagang awtoridad na kumuha ng mga ganitong uri ng mga solusyon, mayroong isang natatanging proseso para sa pagkuha ng pag-apruba ng VITA sa pagkuha. Sa link sa itaas, sumangguni sa Patakaran sa Paggamit ng Third Party. Matutulungan ka ng Information Security Officer o AITR ng iyong ahensya sa pag-unawa sa prosesong ito at sa pagkuha ng kinakailangang dokumentasyon na isasama sa iyong solicitation o kontrata. Mayroong espesyal na kinakailangang mga tuntunin at kundisyon ng Cloud Services na dapat isama sa iyong solicitation at kontrata, at isang questionnaire na dapat isama sa solicitation para makumpleto at isumite ng mga bidder kasama ang kanilang mga panukala. Maaari ka ring makipag-ugnayan sa: enterpriseservices@vita.virginia.gov