:quality(85))
Le Defense Federal Acquisition Regulation Supplement (DFARS) est un ensemble de règles et de réglementations qui encadrent la manière dont le Department of Defense (Département de la Défense des États-Unis) gère ses activités d’approvisionnement et d’acquisitions. Il constitue également un cadre réglementaire pour les sous-traitants privés travaillant avec cette agence. Le DFARS est une extension du Federal Acquisition Regulation (FAR), qui supervise les achats des 15 principales agences exécutives, et se trouve au Chapitre 2 du Titre 48 du Code of Federal Regulations.
Compte tenu des conséquences en matière de sécurité nationale des missions assurées par le Department of Defense, une grande partie des données, informations et autres documents échangés entre l’agence et ses sous-traitants privés présente un caractère hautement sensible. Le DoD utilise l’expression « covered defense information (CDI) » pour désigner cette catégorie d’informations, qu’il définit comme « des informations techniques contrôlées non classifiées ou d’autres informations… qui nécessitent des mesures de protection ou de contrôle de diffusion conformément aux lois, réglementations et politiques applicables du gouvernement. »
Au cours de la dernière décennie, les sous-traitants du secteur de la défense et d’autres entités composant le vaste réseau de la base industrielle de défense américaine (DIB : Defense Industrial Base) ont constaté une augmentation préoccupante des cyberattaques et des menaces en cybersécurité visant à infiltrer la DIB et à dérober de telles informations.
Pour faire face à ces nouveaux risques et à la multiplication des cybercriminels, le Department of Defense a ajouté une nouvelle clause à son code d’acquisition. Cette nouvelle section, DFARS 252.204-7012, vise à renforcer la protection du CDI en imposant aux sous-traitants la mise en œuvre d’un ensemble complet de mesures de sécurité. L’objectif principal de cette nouvelle clause DFARS est de standardiser la cybersécurité sur l’ensemble des sous-traitants du secteur de la défense et de lutter contre l’augmentation des menaces criminelles qui exploitent les vulnérabilités de la DIB.
Cette nouvelle section, DFARS 252.204-7012, vise à renforcer la protection du CDI en imposant aux sous-traitants la mise en œuvre d’un ensemble complet de mesures de sécurité.
DFARS 252.204-7012 et le protocole de sécurité NIST
DFARS 252.204-7012, intitulée officiellement « Safeguarding Covered Defense Information and Cyber Incident Reporting », est entrée en vigueur le 31 décembre 2017. Cette clause – également appelée sous-section – a introduit une série de nouvelles mesures en cybersécurité auxquelles tous les sous-traitants du secteur de la défense doivent se conformer. La sous-section 252.204-7012 vise à garantir la protection de toutes les informations couvertes contre les violations de données, les cyberattaques et d’autres menaces majeures par la mise en place d’un protocole de sécurité renforcé.
Les mesures relevant du DFARS 252.204-7012 introduisent plusieurs exigences inédites. La plus importante impose à tous les sous-traitants de se conformer à un ensemble de contrôles de sécurité publiés par le National Institute of Standards and Technology (NIST), une agence du Department of Commerce dédiée au progrès technologique et scientifique des États-Unis. Répertoriés dans la NIST Special Publication 800-171, ou NIST SP 800-171, ces directives comprennent 110 contrôles de sécurité individuels répartis en 14 « familles » :
- Contrôle d’accès (AC)
- Sensibilisation et formation
- Audit et responsabilité
- Gestion de la configuration
- Identification et authentification
- Réponse aux incidents
- Maintenance
- Protection des supports
- Sécurité du personnel
- Protection physique
- Évaluation des risques
- Évaluation de la sécurité
- Protection des systèmes et des communications
- Intégrité des systèmes et des informations
En raison de la sous-section DFARS 252.204-7012, tous les sous-traitants du secteur de la défense sont désormais soumis à la NIST SP 800-171 et doivent appliquer ses 100+ contrôles de sécurité lors de leurs missions pour le Department of Defense. Le gouvernement fédéral a créé un registre CUI (Controlled Unclassified Information) servant de ressource de référence pour le traitement approprié des CDI et autres informations non classifiées contrôlées. Comme indiqué dans le document d’origine SP 800-171, ce registre « identifie les catégories et sous-catégories CUI approuvées, fournit une description générale de chacune, identifie la base des contrôles et décrit les procédures d’utilisation du CUI, y compris son marquage, sa protection, son transport, sa diffusion, sa réutilisation et son élimination. »
Tous les sous-traitants du secteur de la défense sont désormais soumis à la NIST SP 800-171 et doivent appliquer ses 100+ contrôles de sécurité lors de leurs missions pour le Department of Defense.
Exigences complémentaires pour la clause DFARS 252.204-7012
Bien que l’exigence prioritaire introduite par DFARS 252.204-7012 soit le protocole de cybersécurité NIST, la clause comprend également plusieurs autres obligations importantes.
- La première concerne la surveillance et la déclaration des incidents liés à la cybersécurité. Si une entreprise privée travaillant pour le Department of Defense découvre un incident ayant un impact sur le CDI, ou sur un système hébergeant ou protégeant du CDI, elle doit signaler rapidement l’incident par les canaux officiels du DoD.
- Le sous-traitant est également chargé de mener une analyse approfondie de l’incident. Cette analyse inclut l’identification de toutes données, matériels, comptes et systèmes d’information compromis.
- Dans le cas où l’incident implique la découverte d’un logiciel malveillant, le sous-traitant doit tenter d’isoler ce logiciel et le transmettre au Defense Department’s Cyber Crime Center (DC3).
- Enfin, l’entreprise concernée doit continuer à coopérer avec le DoD tout au long de l’enquête, notamment en fournissant l’accès à toutes les données, systèmes et équipements demandés.
DFARS 252.204-7012 exige que tous les sous-traitants et sous-traitants de rang inférieur mettent en œuvre les mêmes contrôles de sécurité et respectent les mêmes obligations de déclaration lors du traitement du CDI. Ainsi, la troisième partie de la clause impose aux contractants principaux de transmettre l’ensemble des exigences en cybersécurité à tous les sous-traitants en incluant la clause 252.204-7012 dans les contrats correspondants.
Les clauses DFARS les plus récentes
À l’automne 2020, le Department of Defense a publié une règle intérimaire du DFARS, entrée en vigueur le 30 novembre de la même année. Cette règle intérimaire a ajouté trois nouvelles clauses à la Partie 252 du DFARS : 252.204-7019, -7020 et -7021. Ces sous-sections visent à renforcer les obligations introduites par la clause 252.204-7012, tout en introduisant de nouveaux mécanismes de responsabilisation pour les sous-traitants travaillant avec le DoD.
En 2019, la Defense Contract Management Agency a été chargée de mettre en place une méthode de standardisation de l’évaluation de la mise en œuvre du protocole NIST SP 800-171 par les sous-traitants (exigence découlant de la clause 252.204-7012). Cette mission a abouti à la publication de la méthodologie d’évaluation du DoD pour la NIST SP 800-171, une feuille de route détaillée permettant aux sous-traitants d’évaluer leur conformité aux contrôles de sécurité NIST. La première partie de la règle intérimaire, 252.204-7019, intègre officiellement cet outil de méthodologie d’évaluation au DFARS en exigeant de tous les sous-traitants du secteur de la défense qu’ils réalisent et notent ces autoévaluations, puis qu’ils reportent leurs scores dans le Supplier Performance Risk System (SPRS).
La première partie de la règle intérimaire, 252.204-7019, intègre officiellement cet outil de méthodologie d’évaluation au DFARS en exigeant de tous les sous-traitants du secteur de la défense qu’ils réalisent et notent ces autoévaluations, puis qu’ils reportent leurs scores dans le Supplier Performance Risk System (SPRS).
La sous-section 252.204-7020 ajoute une nouvelle dimension de responsabilisation pour les sous-traitants soumis au protocole NIST. Cette clause autorise le Department of Defense à accéder aux installations, systèmes et personnels d’un sous-traitant si l’agence juge cet accès nécessaire à l’évaluation indépendante de sa conformité. La 252.204-7020 impose également à tous les contractants principaux de demander à leurs sous-traitants d’effectuer leur propre évaluation de conformité à la NIST SP 800-171 en utilisant la méthodologie d’évaluation du DoD, et de répercuter la langue de la clause dans tous les sous-contrats.
Enfin, la clause 252.204-7021 introduit le Cybersecurity Maturity Model Certification (CMMC), un nouveau cadre pour évaluer l’adoption des pratiques de cybersécurité et des contrôles de sécurité associés par les sous-traitants. Les règles liées au CMMC étant encore en cours de finalisation au DoD, cette sous-section fait actuellement office de préambule à ce qui deviendra une nouvelle norme majeure en cybersécurité. Le Department of Defense prévoit d’exiger de tous les sous-traitants l’obtention de la certification CMMC – potentiellement d’ici fin 2024 ou début 2025 – et DFARS 7021 s’impose comme la référence contractuelle de cette obligation au sein des contrats DoD.
Importance de la conformité à DFARS 252.204-7012
Les cyberattaques et les violations de données qu’elles provoquent et exploitent constituent une menace croissante pour le gouvernement américain, le Department of Defense et l’ensemble de la DIB. DFARS 252.204-7012 a été introduite en 2017 comme une contre-mesure robuste et rigoureuse face à l’expansion de ces attaques, et aujourd’hui, la quasi-totalité des sous-traitants du secteur de la défense sont tenus de s’y conformer. La clause exige la mise en place de contrôles de sécurité exhaustifs, de procédures systématiques de revue et de signalement des incidents et intrusions de logiciels malveillants, et de pratiques établies pour la transmission des exigences de protection du CDI aux sous-traitants.
DFARS 252.204-7012 a été introduite en 2017 comme une contre-mesure robuste et rigoureuse face à l’expansion de ces attaques, et aujourd’hui, la quasi-totalité des sous-traitants du secteur de la défense sont tenus de s’y conformer.
Les conséquences d’une non-conformité ou d’une application insuffisante de la DFARS 252.204-7012 sont considérables et coûteuses. Les sous-traitants qui ne mettent pas en œuvre les contrôles de sécurité NIST sont exposés aux cybercriminels, pirates informatiques et autres acteurs malveillants cherchant à dérober des données sensibles, et peuvent se voir imposer d’importants coûts de remédiation. Plus encore, le Department of Defense a détaillé ses propres mesures de réponse à destination des sous-traitants qui n’auraient pas respecté la DFARS 252.204-7012 et le protocole de sécurité NIST associé.
Les conséquences d’une non-conformité ou d’une application insuffisante de la DFARS 252.204-7012 sont considérables et coûteuses. Les sous-traitants qui ne mettent pas en œuvre les contrôles de sécurité NIST sont exposés aux cybercriminels, pirates informatiques et autres acteurs malveillants cherchant à dérober des données sensibles, et peuvent se voir imposer d’importants coûts de remédiation.
Dans une note publiée en 2022, l’Office of the Under Secretary of Defense a précisé que l’absence de mise en œuvre de la NIST SP 800-171 serait considérée comme un manquement au contrat. « Les recours pour un tel manquement », poursuit la note, peuvent inclure « la suspension des paiements, la non-reconduction d’options contractuelles et, potentiellement, la résiliation partielle ou totale du contrat. » Les sous-traitants négligeant cette exigence critique en matière de sécurité s’exposent à des sanctions majeures de la part de leur client, compromettant la poursuite du contrat en cours et leur capacité à remporter de futurs appels d’offres auprès du Department of Defense et du gouvernement fédéral.
