第 28 章 - 機構 IT 採購安全與雲端需求的招標與合約

維吉尼亞州資訊科技局 (VITA) 根據《維吉尼亞州法典》第2 .2- 2009條的授權，負責：「...為確保州政府電子資訊的安全，防止未經授權的使用、入侵或其他安全威脅， CIO應指導制定評估安全風險、確定適當的安全措施和執行政府電子資訊安全審計的政策、標準和指南。 這些政策、標準和指引應適用於聯邦的行政、立法和司法部門以及獨立機構。"

VITA 的法定安全責任包括（但不限於）：

• 弗吉尼亞州法律 § 2 .2-2009 要求弗吉尼亞州信息技術局首席信息官制定政策，標準和指南，以確保聯邦行政，立法和司法部門和獨立機構進行的任何信息技術採購均按照與信息安全和隱私有關的聯邦法律和法規進行。

• 根據《維吉尼亞州法典》 2 .2- 2009條的規定，VITA 應運作一個資訊科技安全服務中心，以支援選擇參與資訊科技安全服務中心的機構的資訊科技安全需求。對參與機構的支援應包括但不限於漏洞掃描、資訊科技安全審核和資訊安全主任服務。參與機構應與弗吉尼亞州信息技術局合作，通過轉移可能需要的記錄和功能。

• 為技術安全監督服務和基於雲的服務監督建立資金（請參閱弗吉尼亞守則第 2 .2 第 20 .1 章節）。

• 根據標題2 .2、章節20 .1，“VITA 應優先努力實現當前信息技術服務的現代化，並在適當情況下向機構提供商業提供的信息技術服務，包括但不限於雲端運算、移動和人工智慧。”

• § 2 .2- 2009 (C) 規定「除了按照 B 分部1的規定協調安全審計外， CIO還應對每個行政部門機構的網路安全政策進行年度全面審查，特別關注審查年度內發生的任何資訊技術違規行為，以及各機構為加強網路安全措施而採取的任何措施。 完成年度審查後， CIO應向眾議院撥款委員會和參議院財政委員會主席提交調查結果報告。 該報告不得包含資訊CIO認為屬於安全敏感的技術資訊或可能暴露安全漏洞的資訊。 」

CIO 已授權 VITA 的聯邦安全和風險管理 (CSRM) 部門負責制定與安全相關的政策、標準和指南，實施這些政策、標準和指南，並提供治理流程和審計以確保機構合規。VITA 的專案管理部門 (PMD) 和供應鏈管理部門 (SCM) 以及其他 VITA 部門參與各種監督和治理職能，協助 CSRM 履行 VITA 的法定安全義務。