Chapitre 28 – Exigences en matière de sécurité et de cloud pour les appels d'offres et contrats des agences informatiques

L'Agence des technologies de l'information de Virginie (VITA), sous l'autorité de l'article 2.2-2009 du Code de Virginie, est chargée de : ". . . Pour assurer la sécurité des informations électroniques du gouvernement de l'État contre les utilisations non autorisées, les intrusions ou d'autres menaces à la sécurité, le site CIO dirige l'élaboration de politiques, de normes et de lignes directrices pour évaluer les risques de sécurité, déterminer les mesures de sécurité appropriées et effectuer des audits de sécurité des informations électroniques du gouvernement. Ces politiques, normes et lignes directrices s'appliquent aux pouvoirs exécutif, législatif et judiciaire du Commonwealth ainsi qu'aux agences indépendantes."

Les responsabilités de VITA en matière de sécurité, imposées par la loi, comprennent (mais ne sont pas limitées à) :

• § L'article 2.2-2009 du code de Virginie impose au directeur de l'information de l'agence des technologies de l'information de Virginie d'élaborer des politiques, des normes et des lignes directrices pour garantir que tout achat de technologies de l'information effectué par les pouvoirs exécutif, législatif et judiciaire du Commonwealth et par les agences indépendantes est effectué conformément aux lois et réglementations fédérales relatives à la sécurité de l'information et à la protection de la vie privée.

• Conformément à l'article 2.2-2009 du code de Virginie, VITA gère un centre de services de sécurité des technologies de l'information afin de répondre aux besoins de sécurité des technologies de l'information des agences qui choisissent de participer au centre de services de sécurité des technologies de l'information. L'aide apportée aux agences participantes comprendra, entre autres, des analyses de vulnérabilité, des audits de sécurité des technologies de l'information et des services de responsables de la sécurité de l'information. Les agences participantes coopèrent avec l'Agence des technologies de l'information de Virginie en transférant les dossiers et les fonctions nécessaires.

• Financement des services de supervision de la sécurité technologique et des services basés sur l'informatique en nuage (voir le titre 2.2, chapitre 20.1 du code de la Virginie).

• Conformément au titre 2.2, chapitre 20.1, "VITA donne la priorité aux efforts visant à moderniser les services informatiques actuels et à mettre à la disposition des agences, le cas échéant, des services informatiques proposés dans le commerce, y compris, mais sans s'y limiter, l'informatique en nuage, les services mobiles et l'intelligence artificielle."

• § L'article 2.2-2009(C) stipule que "[e]n plus de la coordination des audits de sécurité prévue dans la sous-section B 1, le CIO procède à un examen annuel complet des politiques de cybersécurité de chaque agence de la branche exécutive, en mettant l'accent sur toute violation des technologies de l'information survenue au cours de l'année examinée et sur toute mesure prise par les agences en vue de renforcer les mesures de cybersécurité. À l'issue de l'examen annuel, le site CIO remet un rapport sur ses conclusions aux présidents de la commission des crédits de la Chambre des représentants et de la commission des finances du Sénat. Ce rapport ne doit pas contenir d'informations techniques considérées par le site CIO comme sensibles du point de vue de la sécurité, ni d'informations susceptibles d'exposer des vulnérabilités en matière de sécurité."

Le CIO a confié à la division Commonwealth Security and Risk Management (CSRM) de VITA la responsabilité d'élaborer des politiques, des normes et des lignes directrices en matière de sécurité, de les mettre en œuvre et de mettre en place des processus de gouvernance et des audits pour garantir la conformité de l'agence. La division de la gestion des projets (PMD) et la division de la gestion de la chaîne d'approvisionnement (SCM) de VITA, ainsi que d'autres divisions de VITA, participent à diverses fonctions de contrôle et de gouvernance afin d'aider le CSRM à remplir les obligations statutaires de VITA en matière de sécurité.