제 28장 - 입찰 및 계약을 위한 기관 IT 조달 보안 및 클라우드 요구 사항

버지니아주 정보 기술 기관(VITA)은 버지니아주 법령 § 2.2-2009 의 권한 하에 ". . . 무단 사용, 침입 또는 기타 보안 위협으로부터 주 정부 전자 정보를 보호하기 위해 CIO는 보안 위험을 평가하고 적절한 보안 조치를 결정하며 정부 전자 정보의 보안 감사를 수행하기 위한 정책, 표준 및 지침의 개발을 지시해야 합니다. 이러한 정책, 표준 및 지침은 연방의 행정부, 입법부, 사법부 및 독립 기관에 적용됩니다."

VITA의 법적으로 의무화된 보안 책임에는 다음이 포함됩니다(이에 국한되지 않음):

• 버지니아주 법령 § 2.2-2009 에 따르면 버지니아주 정보 기술 기관의 최고 정보 책임자는 정보 보안 및 개인정보 보호에 관한 연방법과 규정에 따라버지니아주의 행정부, 입법부, 사법부 및 독립 기관이 정보 기술을 조달할 때 정책, 표준 및 가이드라인을 개발하도록 규정하고 있습니다.

• 버지니아주 법령 § 2.2-2009 에 따라 VITA는 정보 기술 보안 서비스 센터에 참여하기로 선택한 기관의 정보 기술 보안 요구를 지원하기 위해 정보 기술 보안 서비스 센터를 운영해야 합니다. 참여 기관에 대한 지원에는 취약성 검사, 정보 기술 보안 감사 및 정보 보안 책임자 서비스가 포함되며 이에 국한되지 않습니다. 참여 기관은 필요한 경우 기록 및 기능을 이전하여 버지니아 정보 기술 기관과 협력해야 합니다.

• 기술 보안 감독 서비스 및 클라우드 기반 서비스 감독을 위한 기금을 마련했습니다( 버지니아 주 법령의 제목 2.2, 장 20.1 참조).

• 제목 2.2, 장 20.1, "VITA는 현재의 정보 기술 서비스를 현대화하고, 적절한 경우 클라우드 컴퓨팅, 모바일 및 인공 지능을 포함하되 이에 국한되지 않는 상업적으로 제공되는 정보 기술 서비스를 기관에 제공하기 위한 노력을 우선시해야 합니다."

• § 2.2-2009(C)에 따르면 "[i]하위 섹션 B에 규정된 보안 감사 조정 외에도 1, CIO는 검토 대상 연도에 발생한 정보 기술 침해와 사이버 보안 조치를 강화하기 위해 기관이 취한 조치에 특히 중점을 두고 모든 행정부 기관의 사이버 보안 정책에 대한 연례 종합 검토를 수행해야 합니다. 연례 검토가 완료되면 CIO는 하원 세출위원회와 상원 재무위원회 위원장에게 조사 결과를 보고해야 합니다. 이러한 보고서에는 CIO가 보안에 민감한 것으로 간주하는 기술 정보 또는 보안 취약성을 노출할 수 있는 정보가 포함되어서는 안 됩니다."

CIO는 보안 관련 정책, 표준 및 지침을 개발하고, 이를 이행하며, 기관의 규정 준수를 보장하기 위한 거버넌스 프로세스 및 감사를 제공하는 책임을 VITA의 연방 보안 및 위험 관리(CSRM) 부서에 부여했습니다. VITA의 프로젝트 관리 부서(PMD)와 공급망 관리 부서(SCM) 및 기타 VITA 부서는 다양한 감독 및 거버넌스 역량에 참여하여 CSRM이 VITA의 법적 보안 의무를 이행할 수 있도록 지원합니다.