:quality(85))
En octubre pasado, el Federal Acquisition Regulatory (FAR) Council, un organismo interinstitucional responsable de establecer políticas de aprovisionamiento en todo el gobierno federal, propuso un par de nuevas normativas. Si se finalizan y entran en vigor, estas reglas podrían impactar de manera significativa la forma en que los contratistas federales informan y responden ante ciberataques y otros incidentes de ciberseguridad.
La primera propuesta, Cyber Threat and Incident Reporting and Information Sharing—que incluye las cláusulas FAR 52.239-ZZ y FAR 52.239-AA—se emitió bajo el FAR Case 2021–017. La segunda norma, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems—incluyendo FAR 52.239-XX y FAR 52.239-YY—se publicó bajo el FAR Case 2021-019.
La publicación de estas propuestas el 3 de octubre inició un periodo de comentarios de 60 días que debía concluir el 4 de diciembre de 2023. El 1 de noviembre, el FAR Council extendió el periodo de comentarios para las regulaciones propuestas hasta el 2 de febrero de 2024. Desde entonces, no ha habido actualizaciones oficiales por parte del FAR Council ni de ninguna de las agencias que administran en conjunto la Federal Acquisition Regulation respecto a la finalización de estas normas o una fecha de entrada en vigor.
No obstante, debido al alcance de estas reglas y a la magnitud de responsabilidades que impondrían sobre los contratistas federales, las empresas deben conocer exactamente qué implican los FAR Case 2021-017 y 2021-019.
No obstante, debido al alcance de estas reglas y a la magnitud de responsabilidades que impondrían sobre los contratistas federales, las empresas deben conocer exactamente qué implican los FAR Case 2021-017 y 2021-019.
Orden Ejecutiva de Ciberseguridad del Presidente Biden
En mayo de 2021, el presidente Biden firmó la Orden Ejecutiva 14028, titulada de forma clara “Mejorar la ciberseguridad de la nación”. El objetivo declarado de la orden es fortalecer diversas medidas de ciberseguridad para proteger al gobierno federal contra lo que la Casa Blanca describió como “campañas cibernéticas maliciosas persistentes y cada vez más sofisticadas”. Esta directiva presidencial surgió tras dos ciberataques masivos y sin precedentes: el hackeo a SolarWinds en 2020 y la filtración de datos de Microsoft Exchange a inicios de 2021. Estos actos de ciberespionaje, perpetrados por grupos asociados con adversarios importantes de Estados Unidos, marcaron, según muchos, el inicio de una nueva era en la ciberguerra. A raíz de estos incidentes, el gobierno estadounidense sintió urgencia por comenzar a diseñar un plan unificado y amplio para fortalecer sus sistemas de datos.
La directiva presidencial surgió tras dos ciberataques masivos y sin precedentes: el hackeo a SolarWinds en 2020 y la filtración de datos de Microsoft Exchange a inicios de 2021.
La orden ejecutiva del presidente Biden encargó al gobierno federal hacer uso de “todas sus autoridades y recursos para proteger y asegurar sus sistemas informáticos, ya sean en la nube, en las instalaciones o híbridos”. La orden exige específicamente nuevos protocolos de incidentes cibernéticos entre el gobierno y los contratistas federales, la modernización de la infraestructura de ciberseguridad mediante servicios en la nube seguros y arquitectura de zero trust, así como estandarizar las respuestas frente a amenazas de ciberseguridad en todas las agencias federales, entre otros mandatos.
Las nuevas regulaciones propuestas por el FAR Council el pasado octubre representan un esfuerzo adicional para implementar la orden ejecutiva de 2021. Al fortalecer y ampliar los requisitos de reporte para contratistas federales tras incidentes cibernéticos, el FAR Council busca crear condiciones para respuestas gubernamentales más ágiles y proactivas ante ciberataques y otras amenazas a la seguridad nacional.
Al fortalecer y ampliar los requisitos de reporte para contratistas federales tras incidentes cibernéticos, el FAR Council busca crear condiciones para respuestas gubernamentales más ágiles y proactivas ante ciberataques y otras amenazas a la seguridad nacional.
FAR Case 2021-017: Alcance y requisitos de ciberseguridad
La primera propuesta incorpora dos cláusulas: FAR 52.239-ZZ y FAR 52.239-AA. Ambas establecerían nuevas responsabilidades para los contratistas federales, tanto en la respuesta directa a un incidente cibernético como en la adopción de medidas preventivas ante la eventualidad de que ocurra uno.
FAR 52.239-ZZ
El nombre oficial de FAR 52.239-ZZ es “Incident and Threat Reporting and Incident Response Requirements for Products or Services Containing Information and Communications Technology”. Esta cláusula busca actualizar y reforzar las obligaciones contractuales de los contratistas federales ante incidentes de seguridad. Lo logra al proponer nuevos requisitos para responder con prontitud y de forma integral a los incidentes, colaborar con las agencias gubernamentales en la investigación de estos, y mantener archivos, registros y demás documentación útil para el proceso de respuesta.
De acuerdo con la propuesta, un “incidente de seguridad” abarca mucho más que ciberataques y otros eventos de ciberseguridad. El FAR Council utiliza también este término para referirse a violaciones generales de la ley, políticas o procedimientos de seguridad, así como a la transferencia de información clasificada o información no clasificada controlada (CUI) a cualquier sistema por debajo de los niveles autorizados de seguridad gubernamental.
- Plazo de reporte de incidentes
FAR 52.239-ZZ actualiza el plazo que tienen los contratistas para informar al gobierno sobre incidentes de seguridad. Según la nueva norma, los contratistas deben reportar estos incidentes, junto con toda información relevante, a través del portal de reporte de incidentes de la Cybersecurity and Infrastructure Security Agency (CISA) en un máximo de ocho horas desde el descubrimiento inicial. Además, la presentación debe actualizarse cada 72 horas hasta que todas las agencias involucradas finalicen sus investigaciones.
Informar incidentes de manera oportuna permite que las agencias gubernamentales ejecuten respuestas más eficaces y dinámicas. Tal como explica la norma propuesta, el reporte ágil y la actualización constante facilitan a los investigadores la “analítica rápida de datos para identificar de inmediato la actividad y acciones de actores maliciosos, amenazas e indicadores de compromiso”.
- Acciones adicionales para apoyar la respuesta a incidentes gubernamentales
Además de reportar incidentes de acuerdo con los plazos establecidos por CISA, los contratistas deben participar en varias actividades que contribuyen a la respuesta ante amenazas del gobierno. Primero, tienen la obligación de dar a CISA, al FBI y/o a la agencia contratante, acceso completo a toda información, sistemas y personal relevantes tras un incidente de seguridad.
También les corresponde preservar todos los datos relacionados con el incidente reportado. Esto incluye almacenar datos de tráfico de red, registros de defensa perimetral, telemetría y demás información relevante en almacenamiento activo durante 12 meses, seguido de seis meses adicionales en almacenamiento activo o pasivo.
Finalmente, la nueva norma requiere que los contratistas se suscriban al programa Automated Indicator Sharing (AIS) de CISA para compartir indicadores de amenazas cibernéticas y recomendaciones de defensa. (Los contratistas deben interactuar con la plataforma AIS incluso si no ha ocurrido ningún incidente de seguridad.)
- Lista de materiales de software (SBOM)
Más allá de los requerimientos de reporte y respuesta, FAR 52.239-ZZ introduce nuevas obligaciones para que los contratistas federales mantengan una lista de materiales de software (SBOM) que incluya cualquier software utilizado durante la ejecución del contrato federal. El gobierno define la SBOM como un “registro formal con los detalles y relaciones de la cadena de suministro de los diversos componentes usados en la construcción del software”. Según el Department of Commerce estadounidense, los datos SBOM “mejoran tanto la identificación de vulnerabilidades como la velocidad de respuesta”, y su utilización para identificar y analizar vulnerabilidades conocidas y posibles medidas de mitigación es crucial para la gestión de riesgos.
Es importante destacar que los contratistas deben mantener las SBOMs en todo momento, incluso cuando no existan incidentes de seguridad. También están obligados a actualizar la SBOM en caso de que cambie el software utilizado durante el contrato. Puede consultar una explicación más detallada de los requisitos de las SBOMs y su mantenimiento durante la ejecución de contratos federales a través de la publicación del Department of Commerce sobre Mínimos Elementos para una Lista de Materiales de Software.
FAR 52.239-AA
La segunda cláusula de Case 2021-017, FAR 52.239-AA, es más limitada y concreta. Titulada “Security Incident Reporting Representation,” exige que todo aspirante a contratista del gobierno federal certifique haber cumplido históricamente con FAR 52.239-ZZ. Esto incluye afirmar que ha presentado todos los reportes requeridos de incidentes de seguridad en contratos actuales y pasados de manera “actual, precisa y completa”.
La normativa además obliga a todos los oferentes a declarar que han transmitido esta regla a los subcontratistas de nivel inferior, incluyendo su sustancia en los subcontratos previos.
FAR Case 2021-019: Alcance y requisitos de ciberseguridad
El FAR Council publicó la segunda propuesta regulatoria, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems, bajo el Case 2021-019. El objetivo expreso de esta norma es estandarizar los requisitos de ciberseguridad en todas las agencias federales, con especial énfasis en los sistemas federales de información no clasificados (FIS). El Case 2021-019 se divide en dos cláusulas de alcance mayormente autoexplicativo. La primera es FAR 52.239-XX, “Federal Information Systems Using Cloud Computing Services,” que abarca los FIS basados en la nube. La segunda es FAR 52.239-YY, “Federal Information Systems Using Non-Cloud Computing Services,” dirigida a todos los FIS que no utilizan plataformas en la nube.
El gobierno federal define un sistema federal de información como un “sistema de información utilizado u operado por una agencia, por un contratista de una agencia, o por otra organización, en nombre de una agencia”.
FAR 52.239-XX
Esta cláusula requeriría a las agencias determinar el nivel de impacto del sistema de información basado en la nube del contratista utilizando el Federal Information Processing Standard Publication 199 (FIPS-199), así como el nivel de autorización correspondiente del Federal Risk and Authorization Management Program (FedRAMP). Según la propuesta, las agencias deberán determinar el nivel FIPS-199 con base en el “análisis de impacto de la información procesada, almacenada o transmitida por el sistema”. Una vez establecidos estos niveles, el contratista federal tendrá que implementar y mantener las medidas de seguridad y privacidad que correspondan con su nivel de autorización FedRAMP.
Además de estas directrices de seguridad, FAR 52.239-XX exige a los contratistas participar en actividades continuas de monitorización y entregar los informes de monitorización estipulados en la “FedRAMP Continuous Monitoring Strategy Guide”. Finalmente, los contratistas deben cumplir con todos los requisitos contractuales específicos sobre la provisión y eliminación de datos gubernamentales y relacionados con el gobierno.
FAR 52.239-YY
Los requisitos que introduce la cláusula para sistemas federales de información no basados en la nube son algo más complejos. Al igual que el FAR 52.239-XX, las agencias deberán utilizar FIPS-199 para determinar el nivel de impacto correspondiente y especificarlo en el contrato. Además de establecer estos niveles, las agencias y sus responsables contractuales deberán abordar otras cuestiones puntuales de seguridad, incluyendo autenticación multifactor, cuentas administrativas, avisos de consentimiento y controles sobre dispositivos del Internet de las cosas (IoT). Finalmente, los responsables contractuales deben seleccionar el conjunto adecuado de salvaguardas de seguridad y privacidad conforme a varias publicaciones especiales del National Institute of Standards and Technology: NIST SP 800-53, NIST SP 800–213, NIST SP 800–161 y NIST SP 800–82.
Además de los nuevos requisitos que las agencias deben incluir en los contratos para FIS que utilizan sistemas no basados en la nube, la cláusula impone dos obligaciones adicionales a los contratistas federales. En primer lugar, deben proporcionar a CISA y a otras agencias gubernamentales señaladas por el responsable contractual “acceso completo y oportuno” a los datos y personal relacionados con el gobierno, para auditorías, investigaciones e inspecciones en los casos en que sea crítico para la seguridad de los datos. Además, todo FIS con nivel de impacto FIPS-199 moderado o alto debe realizar dos evaluaciones anuales. La primera es una evaluación interna orientada a identificar “vulnerabilidades, riesgos e indicadores de compromiso”, y la segunda requiere una revisión independiente sobre la seguridad del sistema de información. Los contratistas serán responsables de entregar los resultados de dichas evaluaciones, incluyendo las medidas de mitigación recomendadas, a sus responsables contractuales.
Obligaciones de indemnización
Cada una de las cláusulas—FAR 52.239-XX y FAR 52.239-YY—incluye una disposición que exige a los contratistas federales indemnizar al gobierno frente a cualquier responsabilidad derivada de la ejecución del contrato. La propuesta indica que estas responsabilidades derivarían principalmente de dos hipótesis: por la introducción de información o material en los datos gubernamentales por parte del contratista, o por la divulgación no autorizada de información o material sensible. De manera crucial, la propuesta también exige a los contratistas renunciar a “todas las defensas que pudieran alegar en su propio beneficio, incluyendo (sin limitación) la ‘Government Contractors Defense’”. Esta renuncia obligatoria impone una responsabilidad considerable a los contratistas en caso de producirse un ciberataque, filtración de datos u otro incidente de seguridad.
Prepararse para los nuevos requisitos de ciberseguridad
No parece probable que las nuevas normas de ciberseguridad entren en vigor de inmediato. Tras el periodo de comentarios públicos—que se extendió hasta el 2 de febrero—las agencias que integran el FAR Council y aquellas responsables de administrar FAR deben revisar y analizar las opiniones recibidas. Solo tras ese análisis se determinará si se publica una norma final. De emitirse, la regulación final establecería un periodo mínimo de 60 días antes de entrar en vigor. (Dependiendo de la importancia de la norma, este periodo podría extenderse a 120 días o más).
Dada la duración y las etapas involucradas en el proceso normativo, los contratistas federales disponen de cierto margen para evaluar los FAR Case 2021-017 y 2021-019 y el conjunto de nuevas obligaciones que teóricamente podrían imponer. No obstante, aquellas empresas sujetas a estas normativas propuestas deben tomar muy en serio la posibilidad de su implementación. Considerando el reciente aumento de ciberataques devastadores y la orden ejecutiva de 2021 del presidente Biden, no hay motivo para dudar que estos nuevos mandatos de ciberseguridad—o prescripciones muy semejantes—serán ley regulatoria próximamente.
Dada la duración y las etapas involucradas en el proceso normativo, los contratistas federales disponen de cierto margen para evaluar los FAR Case 2021-017 y FAR Case 2021-019 y el conjunto de nuevas obligaciones que teóricamente podrían imponer.
