La Puerto Rico Innovation and Technology Service (PRITS) será la responsable de, a tenor con la política pública establecida en este capítulo, velar por la administración segura de los recursos de información e implementar las normas y procedimientos relativas a la seguridad de las tecnologías de la información a nivel gubernamental, a la vez que ofrecerá asesoramiento a las agencias y actualizará y desarrollará las estrategias y planes de seguridad cibernética del Gobierno y se asegurará del cumplimiento de las agencias con los mismos.
Toda agencia, en colaboración con PRITS, deberá desarrollar, documentar e implementar un programa de ciberseguridad de acorde con este capítulo. El programa, como mínimo, deberá incluir todos los activos de información de la agencia, incluyendo servicios de informática provisto por terceros, una evaluación de riesgos de ciberseguridad que la agencia llevará a cabo por lo menos una vez al año, un plan educativo que vele por la educación del personal, contratistas, y clientes (la ciudadanía), incluyendo cursos especializados para desarrollo de los administradores de sistemas y tecnologías sobre las mejores prácticas de ciberseguridad y una evaluación de vulnerabilidades de seguridad tanto interno como externo (“penetration test”) para validar la efectividad de los controles que la agencia haya implementado.
PRITS deberá revisar y evaluar los programas de ciberseguridad a nivel de cada Agencia para validar que son afines a los estándares y principios adoptados por PRITS, así como el cumplimiento con lo estipulado en este capítulo y toda ley aplicable.
PRITS deberá identificar cuáles son los sistemas y servicios de informática críticos del Gobierno y deberá desarrollar y ejecutar planes para validar la efectividad de los controles de seguridad en esos sistemas y servicios de informática críticos.
PRITS deberá velar que toda agencia tenga publicado en su portal de Internet el Aviso de Privacidad, disponible para el conocimiento de la ciudadanía.
PRITS deberá, en conjunto con cualquier otra agencia que estime pertinente, desarrollar y divulgar un Protocolo de Ciberseguridad ante una emergencia.
El Instituto y PRITS tendrán la obligación de divulgar en su portal de internet, para la disposición de la ciudadanía, estadísticas sobre los Incidentes reportados por las agencias, velando por el cumplimiento de la protección de información confidencial sobre los recursos de información del Gobierno.
El Instituto y PRITS, además, coordinarán con el sector privado para publicar los Incidentes que estos reciban y que voluntariamente autoricen a divulgar.