‘‘§ 3544. Federal agency responsibi

‘‘§ 3544. Federal agency responsibilities
‘‘(a) IN GENERAL.—The head of each agency shall— ‘‘(1) be responsible for—
‘‘(A) providing information security protections commensurate with the risk and magnitude of the harm resulting from unauthorized access, use, disclosure, disrup- tion, modification, or destruction of—
‘‘(i) information collected or maintained by or on behalf of the agency; and
‘‘(ii) information systems used or operated by an agency or by a contractor of an agency or other organization on behalf of an agency;
‘‘(B) complying with the requirements of this sub- chapter and related policies, procedures, standards, and guidelines, including—
‘‘(i) information security standards promulgated under section 11331 of title 40; and
‘‘(ii) information security standards and guidelines for national security systems issued in accordance with law and as directed by the President; and
‘‘(C) ensuring that information security management processes are integrated with agency strategic and oper- ational planning processes;
‘‘(2) ensure that senior agency officials provide information security for the information and information systems that sup- port the operations and assets under their control, including through—
‘‘(A) assessing the risk and magnitude of the harm that could result from the unauthorized access, use, disclo- sure, disruption, modification, or destruction of such information or information systems;
‘‘(B) determining the levels of information security appropriate to protect such information and information systems in accordance with standards promulgated under section 11331 of title 40, for information security classifica- tions and related requirements;
‘‘(C) implementing policies and procedures to cost-effec- tively reduce risks to an acceptable level; and
‘‘(D) periodically testing and evaluating information security controls and techniques to ensure that they are effectively implemented;
‘‘(3) delegate to the agency Chief Information Officer estab- lished under section 3506 (or comparable official in an agency not covered by such section) the authority to ensure compliance with the requirements imposed on the agency under this sub- chapter, including—
‘‘(A) designating a senior agency information security officer who shall—
‘‘(i) carry out the Chief Information Officer’s responsibilities under this section;
‘‘(ii) possess professional qualifications, including training and experience, required to administer the functions described under this section;
‘‘(iii) have information security duties as that offi- cial’s primary duty; and
‘‘(iv) head an office with the mission and resources to assist in ensuring agency compliance with this sec- tion;
‘‘(B) developing and maintaining an agencywide information security program as required by subsection (b);
‘‘(C) developing and maintaining information security policies, procedures, and control techniques to address all applicable requirements, including those issued under sec- tion 3543 of this title, and section 11331 of title 40;
‘‘(D) training and overseeing personnel with significant responsibilities for information security with respect to such responsibilities; and
‘‘(E) assisting senior agency officials concerning their responsibilities under paragraph (2);
‘‘(4) ensure that the agency has trained personnel sufficient to assist the agency in complying with the requirements of this subchapter and related policies, procedures, standards, and guidelines; and
‘‘(5) ensure that the agency Chief Information Officer, in coordination with other senior agency officials, reports annually to the agency head on the effectiveness of the agency informa- tion security program, including progress of remedial actions. ‘‘(b) AGENCY PROGRAM.—Each agency shall develop, document,
and implement an agencywide information security program, approved by the Director under section 3543(a)(5), to provide information security for the information and information systems that support the operations and assets of the agency, including those provided or managed by another agency, contractor, or other source, that includes—
‘‘(1) periodic assessments of the risk and magnitude of the harm that could result from the unauthorized access, use, disclosure, disruption, modification, or destruction of informa- tion and information systems that support the operations and assets of the agency;
‘‘(2) policies and procedures that—
‘‘(A) are based on the risk assessments required by paragraph (1);
‘‘(B) cost-effectively reduce information security risks to an acceptable level;
‘‘(C) ensure that information security is addressed throughout the life cycle of each agency information system; and
‘‘(D) ensure compliance with—
‘‘(i) the requirements of this subchapter;
‘‘(ii) policies and procedures as may be prescribed by the Director, and information security standards promulgated under section 11331 of title 40;
‘‘(iii) minimally acceptable system configuration requirements, as determined by the agency; and
‘‘(iv) any other applicable requirements, including standards and guidelines for national security systems issued in accordance with law and as directed by the President;
‘‘(3) subordinate plans for providing adequate information security for networks, facilities, and systems or groups of information systems, as appropriate;
‘‘(4) security awareness training to inform personnel, including contractors and other users of information systems that support the operations and assets of the agency, of— ‘‘(A) information security risks associated with their
activities; and
‘‘(B) their responsibilities in complying with agency policies and procedures designed to reduce these risks; ‘‘(5) periodic testing and evaluation of the effectiveness
of information security policies, procedures, and practices, to be performed with a frequency depending on risk, but no less than annually, of which such testing—
‘‘(A) shall include testing of management, operational, and technical controls of every information system identi- fied in the inventory required under section 3505(c); and ‘‘(B) may include testing relied on in a evaluation under
section 3545;
‘‘(6) a process for planning, implementing, evaluating, and documenting remedial action to address any deficiencies in the information security policies, procedures, and practices of the agency;
‘‘(7) procedures for detecting, reporting, and responding to security incidents, consistent with standards and guidelines issued pursuant to section 3546(b), including—
‘‘(A) mitigating risks associated with such incidents before substantial damage is done;
‘‘(B) notifying and consulting with the Federal informa- tion security incident center referred to in section 3546; and
‘‘(C) notifying and consulting with, as appropriate— ‘‘(i) law enforcement agencies and relevant Offices
of Inspector General;
‘‘(ii) an office designated by the President for any incident involving a national security system; and
‘‘(iii) any other agency or office, in accordance with law or as directed by the President; and
‘‘(8) plans and procedures to ensure continuity of operations for information systems that support the operations and assets of the agency.
‘‘(c) AGENCY REPORTING.—Each agency shall—
‘‘(1) report annually to the Director, the Committees on Government Reform and Science of the House of Representa- tives, the Committees on Governmental Affairs and Commerce, Science, and Transportation of the Senate, the appropriate authorization and appropriations committees of Congress, and the Comptroller General on the adequacy and effectiveness of information security policies, procedures, and practices, and compliance with the requirements of this subchapter, including compliance with each requirement of subsection (b);
‘‘(2) address the adequacy and effectiveness of information security policies, procedures, and practices in plans and reports relating to—
‘‘(A) annual agency budgets;
‘‘(B) information resources management under sub- chapter 1 of this chapter;
‘‘(C) information technology management under sub- title III of title 40;
‘‘(D) program performance under sections 1105 and 1115 through 1119 of title 31, and sections 2801 and 2805
of title 39;
‘‘(E) financial management under chapter 9 of title 31, and the Chief Financial Officers Act of 1990 (31 U.S.C. 501 note; Public Law 101–576) (and the amendments made by that Act);
‘‘(F) financial management systems under the Federal Financial Management Improvement Act (31 U.S.C. 3512 note); and
‘‘(G) internal accounting and administrative controls under section 3512 of title 31, (known as the ‘Federal Managers Financial Integrity Act’); and
‘‘(3) report any significant deficiency in a policy, procedure, or practice identified under paragraph (1) or (2)—
‘‘(A) as a material weakness in reporting under section 3512 of title 31; and
‘‘(B) if relating to financial management systems, as an instance of a lack of substantial compliance under the Federal Financial Management Improvement Act (31
U.S.C. 3512 note).
‘‘(d) PERFORMANCE PLAN.—(1) In addition to the requirements of subsection (c), each agency, in consultation with the Director, shall include as part of the performance plan required under section 1115 of title 31 a description of—
‘‘(A) the time periods, and
‘‘(B) the resources, including budget, staffing, and training, that are necessary to implement the program required under sub- section (b).
‘‘(2) The description under paragraph (1) shall be based on the risk assessments required under subsection (b)(2)(1).
‘‘(e) PUBLIC NOTICE AND COMMENT.—Each agency shall provide the public with timely notice and opportunities for comment on proposed information security policies affect communication with the publ

Kết quả (Việt) 1:

'' § 3544. Cơ quan liên bang trách nhiệm'' (a) IN tổng. — người đứng đầu của mỗi cơ quan sẽ — '' (1) chịu trách nhiệm về —'' (A) cung cấp thông tin an ninh bảo vệ xứng với nguy cơ và độ lớn của các thiệt hại do truy cập trái phép, sử dụng, tiết lộ, disrup-tion, sửa đổi hoặc hủy diệt của —'' (i) thông tin thu thập hoặc duy trì bởi hoặc thay mặt cơ quan; và'' (ii) thông tin hệ thống được sử dụng hoặc sử dụng bởi một tổ chức hoặc bởi một nhà thầu của một cơ quan hoặc tổ chức khác đại diện cho một cơ quan;'' (B) tuân thủ các yêu cầu này phụ-chương và liên quan đến chính sách, thủ tục, tiêu chuẩn, và hướng dẫn, bao gồm cả —'' (i) tiêu chuẩn bảo mật thông tin ban hành dưới phần 11331 của tiêu đề 40; và'' tiêu chuẩn bảo mật thông tin (ii) và hướng dẫn cho hệ thống an ninh quốc gia đã ban hành theo quy định của pháp luật và đạo diễn bởi Tổng thống; và'' (C) đảm bảo rằng thông tin bảo mật quản lý quá trình được tích hợp với cơ quan chiến lược và các quá trình lập kế hoạch oper-ational;'' (2) đảm bảo các quan chức cao cấp cơ quan an ninh thông tin cung cấp cho thông tin và hệ thống thông tin sup-cảng hoạt động và tài sản dưới sự kiểm soát của họ, bao gồm cả thông qua —'' (A) đánh giá rủi ro và độ lớn của các thiệt hại mà có thể dẫn đến việc truy cập trái phép, sử dụng, disclo-chắc chắn, gián đoạn, sửa đổi, hoặc hủy diệt của các thông tin hoặc hệ thống thông tin;'' (B) xác định mức độ bảo mật thông tin thích hợp để bảo vệ các thông tin và hệ thống thông tin phù hợp với tiêu chuẩn ban hành dưới phần 11331 của tiêu đề 40, cho thông tin bảo mật classifica-tions và yêu cầu liên quan;'' (C) thực hiện các chính sách và thủ tục để chi phí-effec-cách giảm rủi ro đến một mức độ chấp nhận được; và'' (D) theo định kỳ kiểm tra và đánh giá kiểm soát an ninh thông tin và kỹ thuật để đảm bảo rằng họ đang có hiệu quả thực hiện; '' (3) đại biểu để lished cơ quan trưởng thông tin cán bộ estab - mục 3506 (hoặc so sánh chính thức trong một cơ quan không bao phủ bởi phần đó) quyền đảm bảo tuân thủ các yêu cầu áp đặt trên cơ quan theo chương phụ này, bao gồm cả —'' (A) chỉ định một cơ quan cấp cao thông tin bảo mật cán bộ người sẽ —'' (i) thực hiện trách nhiệm của nhân viên thông tin trưởng dưới phần này;'' (ii) có trình độ chuyên môn, bao gồm đào tạo và kinh nghiệm cần thiết để quản lý các chức năng được mô tả trong phần này;'' (iii) có nhiệm vụ bảo mật thông tin đó offi-cial của nhiệm vụ chính; và'' (iv) đầu một văn phòng với nhiệm vụ và các nguồn lực để hỗ trợ trong việc bảo đảm cơ quan phù hợp với này sec-tion;'' (B) phát triển và duy trì một agencywide thông tin bảo mật chương trình theo yêu cầu của tiểu mục (b);'' (C) phát triển và duy trì chính sách bảo mật thông tin, thủ tục, và kiểm soát kỹ thuật để giải quyết tất cả các yêu cầu áp dụng, bao gồm những ban hành theo sec-tion 3543 của tiêu đề này, và phần 11331 của tiêu đề 40;'' (D) đào tạo và giám sát nhân viên với trách nhiệm quan trọng cho bảo mật thông tin liên quan đến trách nhiệm như vậy; và'' (E) hỗ trợ các quan chức cao cấp cơ quan liên quan đến trách nhiệm của họ theo đoạn (2);'' (4) đảm bảo rằng các cơ quan đã đào tạo nhân viên đủ để hỗ trợ các cơ quan trong việc tuân thủ các yêu cầu này subchapter và liên quan đến chính sách, thủ tục, tiêu chuẩn, và hướng dẫn; và'' (5) đảm bảo rằng các cơ quan trưởng thông tin cán bộ, phối hợp với các quan chức cao cấp cơ quan khác, báo cáo hàng năm cho người đứng đầu cơ quan về hiệu quả của chương trình bảo mật informa tion cơ quan, bao gồm cả sự tiến bộ của những hành động khắc phục hậu quả. '' (b) cơ quan chương trình. — mỗi cơ quan sẽ phát triển, tài liệu,và thực hiện một chương trình an ninh agencywide thông tin, được chấp thuận bởi giám đốc dưới phần 3543(a)(5), để cung cấp thông tin bảo mật cho thông tin và hệ thống thông tin hỗ trợ các hoạt động và tài sản của cơ quan này, bao gồm cả những người được cung cấp hoặc quản lý bởi một cơ quan, nhà thầu hoặc các nguồn khác, bao gồm-'' (1) định kỳ đánh giá rủi ro và tầm quan trọng của các thiệt hại mà có thể dẫn đến việc truy cập trái phép, sử dụng, tiết lộ, gián đoạn, sửa đổi, hoặc phá hủy hệ thống informa tion và thông tin hỗ trợ các hoạt động và tài sản của cơ quan;'' (2) chính sách và thủ tục mà —'' (A) được dựa trên đánh giá rủi ro theo yêu cầu của khoản (1);'' (B) hé giảm rủi ro bảo mật thông tin đến một mức độ chấp nhận được;'' (C) đảm bảo bảo mật thông tin được gửi trong suốt vòng đời của mỗi cơ quan thông tin hệ thống; và '' (D) đảm bảo tuân thủ —'' (i) các yêu cầu của subchapter này;'' (ii) chính sách và thủ tục như có thể được quy định bởi các giám đốc, và tiêu chuẩn bảo mật thông tin ban hành dưới phần 11331 của tiêu đề 40;'' yêu cầu cấu hình hệ thống (iii) tối thiểu chấp nhận được, như được xác định bởi các cơ quan; và'' (iv) bất kỳ khác yêu cầu áp dụng, bao gồm tiêu chuẩn và hướng dẫn cho hệ thống an ninh quốc gia đã ban hành theo quy định của pháp luật và đạo diễn bởi Tổng thống;'' (3) đơn vị hành chính có kế hoạch cho việc cung cấp bảo mật đầy đủ thông tin cho mạng, Tiện nghi, và hệ thống hoặc nhóm của hệ thống thông tin, phù hợp;'' (4) an ninh nâng cao nhận thức đào tạo để thông báo cho nhân viên, bao gồm nhà thầu và người dùng khác của hệ thống thông tin hỗ trợ các hoạt động và tài sản của cơ quan, của — '' (A) rủi ro bảo mật thông tin liên quan của họactivities; and‘‘(B) their responsibilities in complying with agency policies and procedures designed to reduce these risks; ‘‘(5) periodic testing and evaluation of the effectivenessof information security policies, procedures, and practices, to be performed with a frequency depending on risk, but no less than annually, of which such testing—‘‘(A) shall include testing of management, operational, and technical controls of every information system identi- fied in the inventory required under section 3505(c); and ‘‘(B) may include testing relied on in a evaluation undersection 3545;‘‘(6) a process for planning, implementing, evaluating, and documenting remedial action to address any deficiencies in the information security policies, procedures, and practices of the agency;‘‘(7) procedures for detecting, reporting, and responding to security incidents, consistent with standards and guidelines issued pursuant to section 3546(b), including—‘‘(A) mitigating risks associated with such incidents before substantial damage is done;‘‘(B) notifying and consulting with the Federal informa- tion security incident center referred to in section 3546; and‘‘(C) notifying and consulting with, as appropriate— ‘‘(i) law enforcement agencies and relevant Officesof Inspector General;‘‘(ii) an office designated by the President for any incident involving a national security system; and‘‘(iii) any other agency or office, in accordance with law or as directed by the President; and‘‘(8) plans and procedures to ensure continuity of operations for information systems that support the operations and assets of the agency.‘‘(c) AGENCY REPORTING.—Each agency shall—‘‘(1) report annually to the Director, the Committees on Government Reform and Science of the House of Representa- tives, the Committees on Governmental Affairs and Commerce, Science, and Transportation of the Senate, the appropriate authorization and appropriations committees of Congress, and the Comptroller General on the adequacy and effectiveness of information security policies, procedures, and practices, and compliance with the requirements of this subchapter, including compliance with each requirement of subsection (b);‘‘(2) address the adequacy and effectiveness of information security policies, procedures, and practices in plans and reports relating to—‘‘(A) annual agency budgets;‘‘(B) information resources management under sub- chapter 1 of this chapter;‘‘(C) information technology management under sub- title III of title 40;‘‘(D) program performance under sections 1105 and 1115 through 1119 of title 31, and sections 2801 and 2805of title 39;‘‘(E) financial management under chapter 9 of title 31, and the Chief Financial Officers Act of 1990 (31 U.S.C. 501 note; Public Law 101–576) (and the amendments made by that Act);‘‘(F) financial management systems under the Federal Financial Management Improvement Act (31 U.S.C. 3512 note); and‘‘(G) internal accounting and administrative controls under section 3512 of title 31, (known as the ‘Federal Managers Financial Integrity Act’); and‘‘(3) report any significant deficiency in a policy, procedure, or practice identified under paragraph (1) or (2)—‘‘(A) as a material weakness in reporting under section 3512 of title 31; and‘‘(B) if relating to financial management systems, as an instance of a lack of substantial compliance under the Federal Financial Management Improvement Act (31U.S.C. 3512 note).‘‘(d) PERFORMANCE PLAN.—(1) In addition to the requirements of subsection (c), each agency, in consultation with the Director, shall include as part of the performance plan required under section 1115 of title 31 a description of—‘‘(A) the time periods, and‘‘(B) the resources, including budget, staffing, and training, that are necessary to implement the program required under sub- section (b).‘‘(2) The description under paragraph (1) shall be based on the risk assessments required under subsection (b)(2)(1).‘‘(e) PUBLIC NOTICE AND COMMENT.—Each agency shall provide the public with timely notice and opportunities for comment on proposed information security policies affect communication with the publ

Kết quả (Việt) 2:

'' § 3544. trách nhiệm cơ quan liên bang
'' (a) IN GENERAL.-Đầu của mỗi cơ quan shall- '' (1) chịu trách nhiệm cho-
'' (A) cung cấp sự bảo vệ an ninh thông tin tương xứng với rủi ro và độ lớn của hư hại gây ra từ truy cập trái phép, sử dụng, tiết lộ, tion disrup-, sửa đổi, hoặc hủy diệt của-
'' (i) thông tin thu thập được hoặc duy trì bởi hoặc thay mặt cho cơ quan; và
'' (ii) hệ thống thông tin được sử dụng hoặc vận hành bởi một cơ quan hoặc bởi một nhà thầu của cơ quan, tổ chức khác đại diện cho một cơ quan;
'' (B) tuân thủ các yêu cầu của chương phụ này và chính sách liên quan, thủ tục, các tiêu chuẩn, hướng dẫn, including-
tiêu chuẩn '' (i) an ninh thông tin ban hành theo mục tiêu đề của 11.331 40; và
'' (ii) các tiêu chuẩn an ninh thông tin và hướng dẫn cho các hệ thống an ninh quốc gia đã ban hành theo quy định của pháp luật và theo chỉ đạo của Chủ tịch nước; và
'' (C) đảm bảo rằng các quy trình quản lý an ninh thông tin được tích hợp với các cơ quan chiến lược và quy trình quy hoạch oper- ational;
'' (2) đảm bảo rằng các quan chức cấp cao của Cơ quan cung cấp thông tin bảo mật cho các thông tin và hệ thống thông tin rằng trợ giúp trong các hoạt động và tài sản thuộc quyền kiểm soát của họ, bao gồm cả through- '' (A) đánh giá nguy cơ và mức độ của sự tổn hại mà có thể là kết quả của các truy cập trái phép, sử dụng, disclo- chắc chắn, sự gián đoạn, biến đổi, hoặc phá hủy thông tin hoặc thông tin hệ thống như vậy; '' (B) xác định mức độ an ninh thông tin thích hợp để bảo vệ thông tin và hệ thống thông tin đó phù hợp với các tiêu chuẩn ban hành theo mục tiêu đề của 11.331 40, để bảo mật thông tin tions classifica- và các yêu cầu liên quan; '' (C) triển khai thực hiện các chính sách và thủ tục để chi phí -effec- cực giảm thiểu rủi ro đến mức có thể chấp nhận được; và '' (D) theo định kỳ kiểm tra và đánh giá kiểm soát an ninh thông tin và kỹ thuật để đảm bảo rằng chúng được thực hiện có hiệu quả; '' (3) đại biểu cho các cơ quan Giám đốc Thông tin estab- lished theo mục 3506 (chính thức hoặc so sánh trong một cơ quan không được bảo hiểm bởi mục này) thẩm quyền để đảm bảo tuân thủ các yêu cầu đối với các cơ quan thuộc chương này phụ, including- '' (A) chỉ định một nhân viên an ninh thông tin cơ quan cấp cao người shall- '' (i) thực hiện các thông tin của Giám đốc trách nhiệm theo phần này; '' (ii) có trình độ chuyên môn, bao gồm đào tạo và kinh nghiệm, cần thiết để quản lý các chức năng được mô tả trong phần này; '' (iii) có nhiệm vụ bảo mật thông tin như là nhiệm vụ chính mà tài chức chính của; và '' (iv) đầu một văn phòng với nhiệm vụ và nguồn lực để hỗ trợ trong việc đảm bảo sự tuân thủ với các cơ quan tion giây- này; '' (B) phát triển và duy trì một chương trình bảo mật thông tin agencywide theo yêu cầu của tiểu mục (b); '' ( C) phát triển và duy trì các chính sách bảo mật thông tin, thủ tục và kỹ thuật điều khiển để giải quyết tất cả các yêu cầu áp dụng, bao gồm cả những người được cấp theo giây- tion 3543 của danh hiệu này, và phần 11.331 của tiêu đề 40; '' (D) đào tạo và giám sát nhân viên có ý nghĩa trách nhiệm bảo mật thông tin liên quan đến trách nhiệm đó; và '' (E) hỗ trợ các cán bộ cơ quan cấp cao liên quan đến trách nhiệm của mình theo khoản (2); '' (4) đảm bảo rằng cơ quan này đã đào tạo nhân sự đủ để hỗ trợ các cơ quan trong việc tuân thủ các yêu cầu của Chi Nhánh này và chính sách liên quan, thủ tục, các tiêu chuẩn, hướng dẫn; và '' (5) đảm bảo rằng các cơ quan Giám đốc Thông tin, phối hợp với các cơ quan chức cấp cao khác, báo cáo hàng năm cho cơ quan đầu về hiệu quả của chương trình bảo mật tion các cơ quan tin, bao gồm cả tiến độ của các hành động khắc phục hậu quả. '' (b) CƠ QUAN PROGRAM.-Mỗi cơ quan sẽ phát triển, tài liệu, và thực hiện một chương trình bảo mật thông tin agencywide, chấp thuận của Giám đốc theo mục 3543 (a) (5), để cung cấp an ninh thông tin cho các thông tin và hệ thống thông tin hỗ trợ các hoạt động và các tài sản của cơ quan, bao gồm cả những người cung cấp hoặc quản lý bởi một cơ quan, nhà thầu, hoặc các nguồn khác, mà includes- '' (1) đánh giá định kỳ về các nguy cơ và mức độ của sự tổn hại mà có thể là kết quả của các truy cập trái phép, sử dụng , tiết lộ, gián đoạn, biến đổi, hoặc hủy diệt của tion và hệ thống thông tin tin mà hỗ trợ các hoạt động và tài sản của cơ quan; '' (2) chính sách và thủ tục rằng- '' (A) được dựa trên đánh giá rủi ro yêu cầu của đoạn (1); '' (B) chi phí-hiệu quả làm giảm rủi ro an ninh thông tin đến một mức độ chấp nhận được; '' (C) đảm bảo an ninh thông tin được đề cập trong suốt vòng đời của mỗi hệ thống thông tin đại lý; và '' (D) đảm bảo tuân thủ nghiện '' (i) các yêu cầu của Chi Nhánh này; '' (ii) chính sách và thủ tục có thể được quy định bởi các giám đốc, và các tiêu chuẩn an ninh thông tin ban hành theo mục tiêu đề của 11.331 40; ' (iii) yêu cầu cấu hình hệ thống tối thiểu chấp nhận được, theo quyết định của cơ quan; và '' (iv) bất kỳ yêu cầu áp dụng khác, bao gồm các tiêu chuẩn và hướng dẫn cho các hệ thống an ninh quốc gia đã ban hành theo quy định của pháp luật và theo chỉ đạo của Chủ tịch nước; '' (3) kế hoạch cấp dưới trong việc cung cấp đầy đủ an ninh thông tin cho các mạng, thiết bị và hệ thống hoặc các nhóm của các hệ thống thông tin, khi thích hợp; '' (4) đào tạo nâng cao nhận thức bảo mật để thông báo cho nhân viên, bao gồm cả nhà thầu và những người dùng khác của các hệ thống thông tin hỗ trợ các hoạt động và các tài sản của cơ quan, của- 'rủi ro' (A) bảo mật thông tin liên quan với họ hoạt động; và '' (B) trách nhiệm của mình trong việc tuân thủ các chính sách và thủ tục được thiết kế để giảm thiểu những rủi ro cơ quan; '' (5) kiểm tra định kỳ và đánh giá hiệu quả của các chính sách bảo mật thông tin, thủ tục, và thực hành, được thực hiện với một tần số phụ thuộc vào rủi ro, nhưng không ít hơn hàng năm, trong đó testing- như vậy '' (A) bao gồm kiểm tra quản lý, hoạt động và điều khiển kỹ thuật của tất cả các hệ thống thông tin nhận diện fied trong hàng tồn kho cần thiết theo mục 3505 (c); và '' (B) có thể bao gồm thử nghiệm dựa vào trong một đánh giá theo mục 3545; '' (6) một quá trình lập kế hoạch, thực hiện, đánh giá và ghi chép hành động khắc phục hậu quả để giải quyết bất kỳ thiếu sót trong chính sách bảo mật thông tin, thủ tục, tập quán của cơ quan; '' (7) các thủ tục cho việc phát hiện, báo cáo, và ứng phó sự cố an ninh, phù hợp với các tiêu chuẩn và hướng dẫn ban hành căn cứ theo mục 3546 (b), including- '' (A) giảm các rủi ro liên quan đến sự cố như vậy trước đáng kể thiệt hại được thực hiện; '' (B) thông báo và tư vấn với các trung tâm cố an ninh tion informa- Liên Bang được đề cập trong phần 3546; và '' (C) đã thông báo và tư vấn với, như appropriate- '' (i) các cơ quan thực thi pháp luật và cơ quan có liên quan của Tổng Thanh tra; '' (ii) một văn phòng được chỉ định bởi Tổng thống cho bất kỳ sự cố liên quan đến một hệ thống an ninh quốc gia; và '' (iii) bất kỳ cơ quan, văn phòng khác, theo quy định của pháp luật hoặc theo chỉ dẫn của Chủ tịch nước; và '' (8) kế hoạch và thủ tục để đảm bảo tính liên tục của hoạt động cho các hệ thống thông tin hỗ trợ các hoạt động và các tài sản của cơ quan. '' (c) CƠ QUAN REPORTING.-Mỗi cơ quan shall- '' (1) Báo cáo hàng năm cho Giám đốc , các Uỷ ban Cải cách và khoa học của Chính phủ House của các đại diện, các Uỷ ban các Vấn đề Chính phủ và Thương mại, Khoa học, và Vận Tải của Thượng viện, các ủy ban ủy quyền và phân bổ hợp lý của Quốc hội, và Tổng Kiểm soát viên về tính đầy đủ và hiệu quả chính sách bảo mật thông tin, thủ tục, tập quán, và phù hợp với các yêu cầu của Chi Nhánh này, bao gồm cả phù hợp với từng yêu cầu của tiểu mục (b); '' (2) giải quyết đầy đủ và hiệu quả của các chính sách bảo mật thông tin, thủ tục, và thực tiễn trong kế hoạch và báo cáo liên quan to- '' (A) ngân sách cơ quan hàng năm; '' (B) thông tin quản lý nguồn lực theo chương tiểu 1 của chương này; '' (C) quản lý công nghệ thông tin theo tiêu đề phụ III của tiêu đề 40; ' '(D) thực hiện chương trình theo mục 1105 và 1115 thông qua năm 1119 của danh hiệu 31, và phần năm 2801 và 2805 của danh hiệu 39;' '(E) quản lý tài chính theo chương 9 của tiêu đề 31, và các sĩ quan trưởng tài chính Đạo luật năm 1990 (31 USC 501 lưu ý; Công Luật 101-576) (và các sửa đổi bởi Đạo luật); '' (F) hệ thống quản lý tài chính theo Đạo luật cải tiến quản lý tài chính của liên bang (31 USC 3512 ghi chú); và '' (G) kế toán nội bộ và kiểm soát hành chính theo mục 3512 của danh hiệu 31, (được biết đến như là "liên bang quản lý tài chính Act Liêm '); và '' (3) báo cáo bất kỳ sự thiếu hụt đáng kể trong chính sách, thủ tục, hoặc thực hành xác định theo khoản (1) hoặc (2) - '' (A) là một điểm yếu nguyên liệu trong báo cáo theo mục 3512 của danh hiệu 31; và '' (B) nếu liên quan đến hệ thống quản lý tài chính, là một thể hiện của sự thiếu tuân thủ đáng kể theo Đạo luật Cải thiện quản lý tài chính liên bang (31 U.SC 3512 lưu ý). '' (d) KẾ HOẠCH THI .- (1) Ngoài các yêu cầu của tiểu mục (c), mỗi cơ quan, tham khảo ý kiến với Giám đốc, bao gồm như là một phần của kế hoạch thực hiện theo yêu cầu của phần 1115 của danh hiệu 31, một mô tả của- '' (A) các khoảng thời gian, và ' (B) các nguồn lực, bao gồm cả ngân sách, nhân sự, đào tạo, đó là cần thiết để thực hiện các chương trình theo yêu cầu của phần phụ (b). '' (2) Các mô tả theo khoản (1) sẽ được dựa trên các đánh giá rủi ro cần theo tiểu mục (b) (2) (1). '' (e) THÔNG BÁO CÔNG CỘNG VÀ COMMENT.-Mỗi cơ quan có trách nhiệm cung cấp cho công chúng với thông báo kịp thời và cơ hội để bình luận về các chính sách bảo mật thông tin đề xuất ảnh hưởng đến thông tin liên lạc với các publ