:quality(85))
En octubre pasado, el Federal Acquisition Regulatory (FAR) Council, un organismo interinstitucional responsable de establecer políticas de aprovisionamiento en todo el gobierno federal, propuso un par de nuevas normativas. Si se finalizan y entran en vigor, estas normativas podrían impactar de forma significativa la manera en que los contratistas federales reportan y responden a ciberataques y otros incidentes de ciberseguridad.
La primera normativa propuesta, Cyber Threat and Incident Reporting and Information Sharing—which incluye las cláusulas FAR 52.239-ZZ y FAR 52.239-AA—se emitió bajo FAR Case 2021–017. La segunda normativa, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems—including FAR 52.239-XX y FAR 52.239-YY—se emitió conforme a FAR Case 2021-019.
La publicación de estas propuestas el 3 de octubre inició un periodo de 60 días para comentarios públicos, que debía concluir el 4 de diciembre de 2023. El 1 de noviembre, el FAR Council extendió el periodo de comentarios sobre las normativas propuestas hasta el 2 de febrero de 2024. Desde entonces, no ha habido actualizaciones oficiales por parte del FAR Council ni de ninguna de las agencias que coadministran la Federal Acquisition Regulation en cuanto a la finalización de estas normativas o una fecha efectiva para su implementación.
No obstante, dada la amplitud de las normativas y la magnitud de la responsabilidad que supondrían para los contratistas federales, las empresas deben conocer en detalle el alcance de los FAR Case 2021-017 y 2021-019.
No obstante, dada la amplitud de las normativas y la magnitud de la responsabilidad que supondrían para los contratistas federales, las empresas deben conocer en detalle el alcance de los FAR Case 2021-017 y 2021-019.
Orden ejecutiva de ciberseguridad del presidente Biden
En mayo de 2021, el presidente Biden firmó la Orden Ejecutiva 14028, titulada “Improving the Nation’s Cybersecurity” (“Mejorar la ciberseguridad de la nación”). El objetivo declarado de la orden era reforzar diversas medidas de ciberseguridad para proteger al gobierno federal frente a lo que la Casa Blanca definía como “campañas cibernéticas maliciosas persistentes y cada vez más sofisticadas”. La directriz presidencial surgió a raíz de dos ciberataques masivos y sin precedentes: la intrusión en SolarWinds en 2020 y el ataque a Microsoft Exchange a inicios de 2021. Estos actos de ciberespionaje, perpetrados por grupos de hackers vinculados a los principales adversarios de Estados Unidos, marcaron, según muchos, el inicio de una nueva era de ciberconflictos. A raíz de estos hechos, el gobierno estadounidense sintió una creciente urgencia por diseñar un plan amplio y unificado para fortalecer sus sistemas de datos.
La directriz presidencial surgió a raíz de dos ciberataques masivos y sin precedentes: la intrusión en SolarWinds en 2020 y el ataque a Microsoft Exchange a inicios de 2021.
La orden ejecutiva del presidente Biden encargó al gobierno federal emplear “todas sus facultades y recursos para proteger y asegurar sus sistemas informáticos, ya sean en la nube, en las instalaciones o híbridos”. Específicamente, la orden exigía nuevos protocolos de gestión de incidentes cibernéticos entre el gobierno y los contratistas federales, la modernización de la infraestructura de ciberseguridad mediante servicios seguros en la nube y arquitectura de confianza cero, y la estandarización de respuestas a amenazas de ciberseguridad en todas las agencias federales, entre otros mandatos.
Las nuevas normativas propuestas por el FAR Council el pasado octubre representan un avance en la implementación de la orden ejecutiva de 2021. Al reforzar y ampliar los requisitos de notificación para contratistas federales tras incidentes de ciberseguridad, el FAR Council espera crear condiciones que permitan respuestas gubernamentales más ágiles y proactivas frente a ciberataques y otras amenazas a la seguridad nacional.
Al reforzar y ampliar los requisitos de notificación para contratistas federales tras incidentes de ciberseguridad, el FAR Council espera crear condiciones que permitan respuestas gubernamentales más ágiles y proactivas frente a ciberataques y otras amenazas a la seguridad nacional.
FAR Case 2021-017: Alcance y requisitos de ciberseguridad
La primera normativa propuesta incluye dos cláusulas: FAR 52.239-ZZ y FAR 52.239-AA. Ambas introducirían nuevas responsabilidades para contratistas federales, ya sea como respuesta directa a un incidente cibernético o como medidas precautorias en caso de que ocurra uno.
FAR 52.239-ZZ
El texto oficial de la FAR 52.239-ZZ es “Incident and Threat Reporting and Incident Response Requirements for Products or Services Containing Information and Communications Technology.” Esta cláusula pretende actualizar y reforzar las obligaciones contractuales de los contratistas federales tras incidentes de seguridad, proponiendo nuevos requisitos para responder de forma oportuna y exhaustiva a incidentes de seguridad; cooperar con agencias gubernamentales durante investigaciones; y conservar todos los archivos, registros y documentación pertinente que pueda ayudar en el proceso de gestión de incidentes.
De acuerdo con la propuesta, un “incidente de seguridad” abarca más que solo ciberataques u otros incidentes de ciberseguridad. El FAR Council utiliza el término para referirse también a violaciones generales de la ley, políticas o procedimientos de seguridad, así como a la transferencia de información clasificada o información controlada no clasificada (CUI) a cualquier sistema de información que opere por debajo de los niveles de seguridad autorizados por el gobierno.
Plazo de notificación de incidentes
La FAR 52.239-ZZ actualiza el plazo que tienen los contratistas para notificar incidentes de seguridad al gobierno. La nueva normativa les obliga a informar sobre estos incidentes —junto con toda la información relevante— a través del portal de notificación de incidentes de la Cybersecurity and Infrastructure Security Agency (CISA) en un plazo de ocho horas tras el descubrimiento inicial del incidente. Además, la presentación debe actualizarse cada 72 horas hasta que todas las agencias hayan completado sus investigaciones.
La notificación oportuna de incidentes respalda a las agencias y sus equipos en la ejecución de respuestas dinámicas y eficaces. Como explica la propuesta, la notificación rápida y las actualizaciones constantes ayudan a los investigadores a realizar “análisis de datos rápidos para identificar de inmediato actividades y acciones de actores maliciosos, amenazas e indicadores de compromiso”.
Acciones adicionales para apoyar la respuesta a incidentes gubernamentales
Además de la notificación a través del portal de CISA dentro del plazo indicado, los contratistas también deben participar en diversas actividades para facilitar la respuesta del gobierno ante amenazas. En primer lugar, las partes obligadas deben proporcionar acceso completo a CISA, el FBI y/o la agencia contratante a toda la información, sistemas y personal relevante inmediatamente después de un incidente de seguridad.
Los contratistas federales también tienen la responsabilidad de preservar todos los datos relacionados con el incidente notificado, lo que incluye datos de tráfico de red, registros de defensa perimetral, telemetría y demás información relevante, debiendo mantenerlos en almacenamiento activo durante 12 meses y otros seis meses adicionales en almacenamiento activo o de respaldo (“cold storage”).
Por último, la nueva regulación FAR exigiría que los contratistas se suscriban al programa Automated Indicator Sharing (AIS) de CISA para comunicar indicadores de amenazas cibernéticas y medidas de defensa recomendadas. (Los contratistas deben interactuar con la plataforma AIS, haya ocurrido o no un incidente de seguridad).
Software Bill of Materials
Más allá de los requisitos de respuesta y notificación, la FAR 52.239-ZZ introduce nuevas obligaciones para los contratistas federales de mantener una lista de materiales de software (SBOM, por sus siglas en inglés, Software Bill of Materials) que incluya todo software utilizado para los trabajos realizados bajo el contrato federal. El gobierno define una SBOM como un “registro formal que contiene los detalles y las relaciones de cadena de suministro de los diversos componentes empleados en el desarrollo de software”. Según el Departamento de Comercio, los datos de la SBOM “mejoran tanto la identificación de vulnerabilidades como la rapidez de la respuesta”, y “usarlos para identificar y analizar vulnerabilidades conocidas y las posibles medidas de mitigación es crucial para la gestión de riesgos”.
Es importante destacar que los contratistas deben mantener las SBOM en todo momento, incluso cuando no existan incidentes de seguridad conocidos. También están obligados a modificar sus SBOM cuando se actualice el software utilizado durante la ejecución de un contrato. Puede encontrar un resumen completo de todos los requisitos para la SBOM y su mantenimiento durante el cumplimiento de contratos federales en el informe del Departamento de Comercio sobre los Elementos mínimos para una Software Bill of Materials.
FAR 52.239-AA
La segunda cláusula del Case 2021-017, FAR 52.239-AA, es considerablemente más concreta y específica. Titulada “Security Incident Reporting Representation”, exige que todo contratista que desee presentar una oferta al gobierno federal certifique haber cumplido históricamente con la FAR 52.239-ZZ. Esto incluye declarar que se han presentado todos los informes de incidentes de seguridad requeridos bajo contratos vigentes o anteriores de manera “actual, precisa y completa”.
La normativa requiere además que todos los oferentes acrediten haber trasladado esta obligación a sus contratos anteriores, exigiendo a todos los subcontratistas de nivel inferior incluir el contenido de esta normativa en sus propios subcontratos.
FAR Case 2021-019: Alcance y requisitos de ciberseguridad
El FAR Council emitió la segunda normativa propuesta, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems, bajo el Case 2021-019. El objetivo explícito de esta normativa es estandarizar los requisitos de ciberseguridad en todas las agencias federales, con especial atención a los sistemas de información federal no clasificados (FIS, por sus siglas en inglés). El Case 2021-019 se divide en dos cláusulas cuyos alcances son en gran medida autoexplicativos. La primera, FAR 52.239-XX, “Federal Information Systems Using Cloud Computing Services”, aborda los FIS basados en la nube. La segunda, FAR-52.239-YY, “Federal Information Systems Using Non-Cloud Computing Services”, cubre todos los FIS que no utilizan sistemas de computación en la nube.
El gobierno federal define un sistema de información federal como un “sistema de información utilizado u operado por una agencia, por un contratista de una agencia, o por otra organización, en nombre de una agencia”.
FAR 52.239-XX
Esta cláusula exigiría a las agencias determinar el nivel de impacto del sistema de información en la nube del contratista utilizando la Federal Information Processing Standard Publication 199 (FIPS-199), así como el nivel de autorización correspondiente del Federal Risk and Authorization Management Program (FedRAMP). Según la normativa propuesta, las agencias deberán determinar el nivel FIPS-199 basándose en un “análisis de impacto de la información procesada, almacenada o transmitida por el sistema”. Una vez establecidos estos niveles, el contratista federal deberá implementar y mantener los controles de seguridad y privacidad asociados con su nivel de autorización FedRAMP.
Además de estos controles de seguridad, la FAR 52.239-XX también exige que los contratistas participen en actividades de monitorización continua y suministren entregables de monitorización según se especifica en la “FedRAMP Continuous Monitoring Strategy Guide”. Finalmente, los contratistas deben cumplir todos los requisitos contractuales específicos en cuanto a provisión y eliminación de datos gubernamentales o de carácter gubernamental.
FAR 52.239-YY
Los requisitos introducidos por la cláusula para sistemas de información federal que no se basan en la nube son algo más complejos. Al igual que la FAR 52.239-XX, las agencias serán responsables de utilizar la FIPS-199 para determinar el nivel de impacto correspondiente y especificar dicho nivel en el contrato. Además de establecer estos niveles, las agencias y sus responsables de contratación deberán abordar varios temas específicos de seguridad, como la autenticación multifactor, cuentas administrativas, banners de consentimiento y controles sobre dispositivos del Internet de las Cosas. Por último, los responsables deberán seleccionar un conjunto adecuado de medidas de seguridad y privacidad, atendiendo a diversas publicaciones especiales del National Institute of Standards and Technology (NIST), incluidas NIST SP 800-53, NIST SP 800–213, NIST SP 800–161 y NIST SP 800–82.
Además de los nuevos requisitos de seguridad que las agencias deben incluir en los contratos para FIS que usan sistemas que no son en la nube, la cláusula también impone dos nuevas responsabilidades cruciales para los contratistas federales. En primer lugar, deben proporcionar a CISA y a otras agencias gubernamentales designadas por el responsable de contratación “acceso oportuno y total” a los datos y personal gubernamental, así como a los relativos a la agencia, para auditorías, investigaciones e inspecciones, cuando tales intervenciones sean críticas para la seguridad de los datos. Asimismo, cualquier FIS que se clasifique con un nivel de impacto FIPS-199 moderado o alto debe llevar a cabo dos evaluaciones anuales: una evaluación interna enfocada en “vulnerabilidades, riesgos e indicadores de compromiso”, y una revisión independiente de la seguridad de su sistema de información. Los contratistas deberán remitir los resultados de estas evaluaciones anuales —incluyendo las medidas de mitigación recomendadas— a sus responsables de contratación.
Obligaciones de indemnización
Cada una de estas cláusulas —FAR 52.239-XX y FAR 52.239-YY— contiene una disposición que exige a los contratistas federales indemnizar al gobierno ante cualquier responsabilidad derivada del desempeño del contrato. La normativa propuesta sugiere que tales responsabilidades surgirían principalmente en dos escenarios: la introducción, por parte del contratista, de información o materiales en la base de datos gubernamental, o la divulgación no autorizada de información o materiales sensibles. Cabe destacar que la propuesta también exige a los contratistas renunciar a “todas las defensas que pudieran alegarse a su favor, incluyendo (entre otras) la ‘Government Contractors Defense’”. Esta renuncia obligatoria impone una responsabilidad significativa sobre los contratistas en caso de ciberataque, violación de datos u otro incidente de seguridad.
Prepararse para los nuevos requisitos de ciberseguridad
No parece que la entrada en vigor de estas dos normativas de ciberseguridad sea inminente. Tras el periodo de comentarios públicos —extendido hasta el 2 de febrero— las agencias que forman el FAR Council y las responsables de administrar FAR deben revisar y analizar los comentarios. Solo después de este periodo de análisis decidirán si publican una normativa final. Si se emite, la normativa final establecería un plazo mínimo de 60 días antes de que el reglamento se haga efectivo. (Dependiendo de su importancia, este plazo podría extenderse a 120 días o más).
Dada la duración y las etapas involucradas en el proceso normativo, los contratistas federales disponen de cierto margen para evaluar los FAR Case 2021-017 y 2021-019 y el conjunto de nuevas obligaciones que podrían imponer. Sin embargo, las empresas sujetas a estas normativas propuestas deben tomarse muy en serio la posible entrada en vigor de las mismas. Ante el reciente aumento de ciberataques devastadores y la orden ejecutiva de 2021 del presidente Biden, no hay motivos para dudar que estos nuevos requisitos de ciberseguridad —o disposiciones muy similares— se conviertan en regulación en un futuro cercano.
Dada la duración y las etapas involucradas en el proceso normativo, los contratistas federales disponen de cierto margen para evaluar el FAR Case 2021-017 y el FAR Case 2021-019 y el conjunto de obligaciones que podrían imponer en teoría.
