Chương 28 -Yêu Cầu Về Bảo Mật và Điện Toán Đám Mây trong Mua Sắm Công Nghệ Thông Tin của Cơ Quan đối với Hồ Sơ Mời Thầu Và Hợp Đồng

28.1.2 Đánh giá bảo mật của Dịch vụ giám sát đám mây doanh nghiệp (ECOS)

Đánh giá bảo mật ECOS có thể dẫn đến các ngoại lệ về bảo mật. Cơ quan này có trách nhiệm phải có bất kỳ ngoại lệ bảo mật nào được VITA Security chấp thuận thông qua Archer. Archer là công cụ lưu trữ của VITA dùng để duy trì thông tin của cơ quan liên quan đến các ứng dụng, quy trình kinh doanh, thiết bị và tên tập dữ liệu có liên quan. Cơ quan AITR của bạn có thể thực hiện hoặc hỗ trợ quá trình này. Có thể tìm thêm thông tin tại đây: https://www.vita.virginia.gov/media/vitavirginiagov/commonwealth-security/PDF/Archer-User-Manual-2021.PDF. Các trường hợp ngoại lệ đều được bảo mật và không bao giờ được tiết lộ công khai. Đánh giá bảo mật cũng có thể dẫn đến các yêu cầu hợp đồng cần được đưa vào phần Trách nhiệm của nhà cung cấp trong Điều khoản đám mây. 

Bạn có thể truy cập Mẫu ngoại lệ về tiêu chuẩn bảo mật COV tại đây: Chính sách, tiêu chuẩn và hướng dẫn trong mục Bảo mật thông tin.

Đôi khi Nhà cung cấp sẽ yêu cầu cơ quan ký thỏa thuận bảo mật thông tin (NDA). Giám đốc ECOS sẽ ký NDA của ECOS, nếu Nhà cung cấp yêu cầu, thay mặt cho nhân viên VITA có quyền truy cập vào thông tin chi tiết về Đánh giá hoặc phản hồi của Đánh giá và bất kỳ ngoại lệ phê duyệt nào phát sinh như một phần của quy trình ECOS. 

Đánh giá ECOS thực tế không bao giờ được đưa vào hợp đồng và cần hết sức thận trọng để không chia sẻ Đánh giá ECOS với những bên không liên quan. Thông thường, kết quả Đánh giá ECOS cũng như sự chấp thuận và ngoại lệ của nó không được chia sẻ với Nhóm đánh giá vì chúng không được đánh giá riêng lẻ. Nếu một Nhà tư vấn tìm nguồn cung ứng hoặc người đứng đầu bộ phận mua sắm cần chia sẻ, sẽ là khôn ngoan khi nhắc lại tính bảo mật và bản chất độc quyền của các phản hồi Đánh giá ECOS và bất kỳ trường hợp ngoại lệ nào đối với các bên liên quan (trong trường hợp này, có nghĩa là những cá nhân có nhu cầu cần biết) hoặc yêu cầu các bên liên quan ký riêng một NDA, nếu họ chưa ký một NDA nào với tư cách là thành viên Nhóm đánh giá.