Chapitre 27 - Contrats de licence et de maintenance de logiciels

27.5.7 Droits d'audit des fournisseurs

La plupart des fournisseurs de logiciels voudront inclure une disposition autorisant la réalisation d'un audit de conformité. Bien que le contrat puisse spécifier le droit du fournisseur à l'audit, l'agence devrait négocier un contrôle plus important sur le processus. Le responsable de la sécurité de l'information de l'agence doit inclure les restrictions ou paramètres de sécurité, de confidentialité et d'accès de l'agence ou du Commonwealth pour tout audit de ce type. Les politiques, normes et lignes directrices (PSG) du COV ITRM relatives au respect des exigences et restrictions en matière d'audit de sécurité sont disponibles à l'adresse suivante : https://www.vita.virginia.gov/it-governance/itrm-policies-standards/. Le langage contractuel général recommandé peut inclure et être adapté à l'agence et aligné sur les restrictions de l'audit de sécurité et les négociations avec le fournisseur :

"Le fournisseur doit avertir par écrit ( 45) quarante-cinq jours à l'avance (nom de votre agence) avant de programmer un audit de licence de logiciel. L'avis précise le nom de la (des) personne(s) chargée(s) de l'audit, la durée de l'audit et la manière dont il sera mené. En outre, le fournisseur et ses représentants, agents et sous-traitants doivent se conformer à toutes les exigences et restrictions en matière d'accès, de sécurité et de confidentialité de (nom de votre agence). Aucune pénalité ne sera imposée à (nom de votre agence) ou au Commonwealth pour les logiciels sans licence découverts au cours de l'audit. S'il est établi que (nom de votre agence) utilise un logiciel sans licence, la responsabilité maximale de (nom de votre agence) sera le coût de la licence du logiciel en question. Tous les coûts liés à l'audit sont à la charge du fournisseur."