第28章 - 机构 IT 采购安全以及招标和合同的云要求

弗吉尼亚信息技术局 (VITA) 根据《弗吉尼亚州法典》第2 .2- 2009条的授权，负责：“...为确保州政府电子信息的安全，防止未经授权的使用、入侵或其他安全威胁， CIO应指导制定评估安全风险、确定适当的安全措施和执行政府电子信息安全审计的政策、标准和指南。 这些政策、标准和指导方针应适用于联邦的行政、立法和司法部门以及独立机构。”

VITA 的法定安全责任包括（但不限于）：

• 《弗吉尼亚州法典》第2 .2- 2009条要求弗吉尼亚州信息技术局的首席信息官制定政策、标准和指南，以确保联邦行政、立法和司法部门以及独立机构进行的任何信息技术采购均符合与信息安全和隐私有关的联邦法律和法规。

• 根据《弗吉尼亚州法典》 2 .2- 2009条的规定，VITA 应运营一个信息技术安全服务中心，以支持选择参与信息技术安全服务中心的机构的信息技术安全需求。对参与机构的支持应包括但不限于漏洞扫描、信息技术安全审计和信息安全官服务。参与机构应与弗吉尼亚信息技术机构合作，转移所需的记录和功能。

• 为技术安全监督服务和基于云的服务监督设立资金（请参阅《弗吉尼亚州法典》第2 .2 章第20 .1 节）。

• 根据标题2 .2、章节20 .1，“VITA 应优先努力实现当前信息技术服务的现代化，并在适当情况下向机构提供商业提供的信息技术服务，包括但不限于云计算、移动和人工智能。”

• § 2 .2- 2009 (C) 规定“除了按照 B 分部1的规定协调安全审计外， CIO还应对每个行政部门机构的网络安全政策进行年度全面审查，特别关注审查年度内发生的任何信息技术违规行为，以及各机构为加强网络安全措施而采取的任何措施。 完成年度审查后， CIO应向众议院拨款委员会和参议院财政委员会主席提交调查结果报告。 该报告不得包含首席信息CIO认为属于安全敏感的技术信息或可能暴露安全漏洞的信息。”

CIO 已授权 VITA 的联邦安全和风险管理 (CSRM) 部门负责制定与安全相关的政策、标准和指南，实施这些政策、标准和指南，并提供治理流程和审计以确保机构合规。VITA 的项目管理部 (PMD) 和供应链管理部 (SCM) 以及其他 VITA 部门参与各种监督和治理职能，协助 CSRM 履行 VITA 的法定安全义务。