:quality(85))
En octobre dernier, le Federal Acquisition Regulatory (FAR) Council, organisme interagences chargé d’établir les politiques d’achat au sein de l’administration fédérale américaine, a proposé deux nouvelles règles. Si celles-ci sont finalisées et entrent en vigueur, elles pourraient profondément modifier la manière dont les contractants fédéraux déclarent et gèrent les cyberattaques et autres incidents de cybersécurité.
La première règle proposée, Cyber Threat and Incident Reporting and Information Sharing — qui inclut les clauses FAR 52.239-ZZ et FAR 52.239-AA — a été émise dans le cadre du FAR Case 2021–017. La seconde règle, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems — comprenant FAR 52.239-XX et FAR 52.239-YY — a été publiée sous le FAR Case 2021-019.
La publication de ces propositions le 3 octobre a ouvert une période de commentaires de 60 jours, qui devait initialement s’achever le 4 décembre 2023. Le 1er novembre, le FAR Council a prolongé ce délai jusqu’au 2 février 2024. Depuis lors, aucune mise à jour officielle n’a été communiquée par le FAR Council ni par les agences cogestionnaires du Federal Acquisition Regulation, tant sur la finalisation des règles que sur une date d’entrée en vigueur.
Compte tenu de la portée de ces règles et du poids des responsabilités qui s’imposeraient aux contractants fédéraux, il est essentiel pour les entreprises de bien comprendre ce que recouvrent exactement les FAR Cases 2021-017 et 2021-019.
Compte tenu de la portée de ces règles et du poids des responsabilités qui s’imposeraient aux contractants fédéraux, il est essentiel pour les entreprises de bien comprendre ce que recouvrent exactement les FAR Cases 2021-017 et 2021-019.
Décret exécutif du président Biden sur la cybersécurité
En mai 2021, le président Biden a signé le décret exécutif 14028, intitulé sans ambiguïté « Améliorer la cybersécurité nationale ». L’objectif affiché de ce décret est de renforcer diverses mesures de cybersécurité afin de protéger l’administration fédérale contre ce que la Maison-Blanche qualifie de « campagnes malveillantes et sophistiquées, persistantes, dans le cyberespace ». Cette directive présidentielle fait suite à deux cyberattaques d’ampleur et sans précédent : le piratage de SolarWinds en 2020 et la compromission de Microsoft Exchange début 2021. Ces actes de cyberespionnage, perpétrés par des groupes de pirates affiliés à des adversaires majeurs des États-Unis, marquent sans doute l’entrée dans une nouvelle ère de cyberguerre. Dans ce contexte, le gouvernement américain a ressenti une urgence croissante à élaborer un plan global et cohérent visant à renforcer la sécurité de ses systèmes de données.
Cette directive présidentielle fait suite à deux cyberattaques d’ampleur et sans précédent : le piratage de SolarWinds en 2020 et la compromission de Microsoft Exchange début 2021.
Le décret du président Biden charge l’appareil fédéral de mobiliser « l’ensemble de ses pouvoirs et ressources pour protéger et sécuriser ses systèmes informatiques, qu’ils soient dans le cloud, sur site ou hybrides ». Le texte prescrit notamment la mise en œuvre de nouveaux protocoles d’incidents cyber entre l’État et les contractants fédéraux, la modernisation de l’infrastructure de cybersécurité via des services cloud sécurisés et une architecture « zero trust », ainsi que l’harmonisation des réponses face aux menaces cyber pour toutes les agences, entre autres mandats.
Les nouvelles règles proposées par le FAR Council en octobre s’inscrivent dans la continuité de la mise en œuvre du décret présidentiel de 2021. En renforçant et en élargissant les obligations de déclaration des contractants fédéraux après un incident cyber, le FAR Council souhaite permettre des réponses gouvernementales plus agiles, proactives et efficaces face aux cyberattaques et autres menaces pesant sur la sécurité nationale.
En renforçant et en élargissant les obligations de déclaration des contractants fédéraux après un incident cyber, le FAR Council souhaite permettre des réponses gouvernementales plus agiles, proactives et efficaces face aux cyberattaques et autres menaces pesant sur la sécurité nationale.
FAR Case 2021-017 : portée et exigences de cybersécurité
Le premier projet de règle comporte deux clauses : FAR 52.239-ZZ et FAR 52.239-AA. Toutes deux instaureraient de nouvelles responsabilités pour les contractants fédéraux, soit en réaction à un incident cyber, soit en adoptant des mesures préventives en prévision d’un tel événement.
FAR 52.239-ZZ
L’intitulé officiel de la clause FAR 52.239-ZZ est : « Incident and Threat Reporting and Incident Response Requirements for Products or Services Containing Information and Communications Technology ». Son objectif est de mettre à jour et de renforcer les obligations contractuelles pesant sur les contractants fédéraux après des incidents de sécurité. Elle propose d’imposer de nouveaux impératifs de réaction rapide et exhaustive aux incidents, de coopération avec les agences gouvernementales lors des investigations, et de conservation de tous fichiers, registres ou autres documents pouvant soutenir le processus de réponse à incident.
D’après cette proposition, un « incident de sécurité » englobe bien plus que les seules cyberattaques ou incidents de cybersécurité. Le FAR Council élargit la notion aux violations générales de la loi, des politiques ou procédures de sécurité, ainsi qu’au transfert d’informations classifiées ou contrôlées (CUI) vers un système d’information dont le niveau de sécurité est inférieur aux exigences gouvernementales.
Délais de déclaration des incidents
La clause FAR 52.239-ZZ raccourcit le délai accordé aux contractants pour signaler un incident. Désormais, ils devront déclarer tout incident, accompagné des informations pertinentes, via le portail de signalement de la Cybersecurity and Infrastructure Security Agency (CISA) dans les huit heures suivant la découverte initiale. Ensuite, ils devront mettre à jour cette déclaration tous les 72 heures jusqu’à la clôture des investigations par les agences concernées.
Une déclaration aussi rapide soutient l’action efficace, dynamique et coordonnée des équipes gouvernementales. Comme l’explique la règle, une remontée d’information rapide et l’actualisation régulière des rapports facilitent l’analyse des données, permettant ainsi d’identifier rapidement les auteurs malveillants, les menaces et les indicateurs de compromission.
Mesures complémentaires pour la réponse gouvernementale
En plus de la déclaration via le portail CISA dans le délai imparti, les contractants doivent également accomplir plusieurs activités pour faciliter la réponse de l’État. Premièrement, les parties concernées sont tenues de mettre à disposition de la CISA, du FBI et/ou de l’agence contractante l’accès complet à toutes les informations, systèmes et personnels concernés immédiatement après l’incident.
Les contractants fédéraux doivent aussi préserver toutes les données en lien avec l’incident signalé, y compris les flux réseaux, journaux de défense périmétrique, télémétrie et autres données pertinentes : ces documents doivent être conservés 12 mois en stockage actif, puis six mois supplémentaires en stockage actif ou froid.
Enfin, la nouvelle règle impose aux contractants de souscrire au programme Automated Indicator Sharing (AIS) de la CISA, afin de partager les indicateurs de menace et recommandations de défense. (Cette adhésion doit être effective, que survienne ou non un incident de sécurité.)
Software Bill of Materials
Au‑delà du reporting et des obligations de réponse, la clause FAR 52.239-ZZ introduit l’obligation pour les contractants fédéraux de tenir à jour une software bill of materials (SBOM — nomenclature logicielle), qui recense tout logiciel utilisé dans le cadre d’un marché public fédéral. L’administration définit une SBOM comme « un enregistrement officiel détaillant la composition et les relations de chaîne d’approvisionnement des composants utilisés dans le développement d’un logiciel ». Selon le Département du Commerce, une SBOM « améliore à la fois l’identification des vulnérabilités et la rapidité de réaction », et « son utilisation pour détecter et analyser les vulnérabilités connues, puis définir les mesures de remédiation, est essentielle pour la gestion des risques ».
Les contractants ont donc l’obligation de tenir leur SBOM à jour en toutes circonstances, y compris en l’absence d’incident connu. Ils doivent également la modifier si le logiciel utilisé évolue pendant l’exécution du contrat. L’ensemble des exigences détaillées relatives à la SBOM et à sa mise à jour durant l’exécution d’un contrat fédéral est accessible via le rapport Minimum Elements for a Software Bill of Materials publié par le Département du Commerce.
FAR 52.239-AA
La seconde clause du Case 2021-017, FAR 52.239-AA, est beaucoup plus directe et ciblée. Intitulée « Security Incident Reporting Representation », elle impose à toute entreprise souhaitant répondre à un appel d’offres fédéral de certifier qu’elle a respecté la FAR 52.239-ZZ par le passé. Ce point inclut l’attestation que tous les rapports d’incident requis dans le cadre de contrats antérieurs ou existants ont été transmis de façon « précise, complète et à jour ».
La règle exige en outre que les soumissionnaires prouvent la transmission de ces obligations à leurs sous-traitants de rang inférieur, en intégrant la substance de cette exigence dans tous les sous-contrats passés précédemment.
FAR Case 2021-019 : portée et exigences de cybersécurité
Le FAR Council a publié le deuxième projet de règle, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems, sous le Case 2021-019. Son objectif explicite est d’harmoniser les exigences de cybersécurité entre toutes les agences fédérales, avec un accent particulier sur les systèmes d’information fédéraux non classifiés (Federal Information Systems, FIS). Ce Case est articulé en deux clauses, dont la portée est très explicite. La première : FAR 52.239-XX, « Federal Information Systems Using Cloud Computing Services », concerne les FIS qui reposent sur le cloud. La seconde : FAR 52.239-YY, « Federal Information Systems Using Non-Cloud Computing Services », couvre tous les FIS non hébergés sur des systèmes cloud.
L’État fédéral définit un système d’information fédéral comme « un système d’information utilisé ou exploité par une agence, un contractant d’une agence, ou une organisation agissant pour le compte d’une agence ».
FAR 52.239-XX
Cette clause exige des agences qu’elles déterminent le niveau d’impact d’un FIS cloud du contractant sur la base du Federal Information Processing Standard Publication 199 (FIPS-199), ainsi que le niveau d’autorisation correspondant au programme FedRAMP (Federal Risk and Authorization Management Program). Selon la règle, ce niveau FIPS-199 doit être fondé sur « l’analyse d’impact des informations traitées, stockées ou transmises par le système ». Une fois ces niveaux établis, le contractant fédéral devra mettre en place et maintenir l’ensemble des mesures de sécurité et de confidentialité propres à son niveau d’autorisation FedRAMP.
En complément de ces exigences, FAR 52.239-XX impose aussi aux contractants de participer aux activités de surveillance continue, conformément au « FedRAMP Continuous Monitoring Strategy Guide », et de transmettre les livrables précisés à ce titre. Enfin, les contractants doivent se conformer à toutes les exigences contractuelles particulières portant sur la fourniture et la destruction des données gouvernementales et connexes.
FAR 52.239-YY
Les exigences introduites pour les systèmes d’information fédéraux non hébergés sur le cloud sont légèrement plus complexes. À l’image de la clause précédente, les agences doivent utiliser FIPS-199 pour déterminer le niveau d’impact approprié, qui devra ensuite figurer dans le contrat. Outre cette détermination, les agences et leurs responsables de contrats devront aborder une série d’autres questions de sécurité spécifiques, telles que l’authentification multifacteur, la gestion des comptes administratifs, les bandeaux de consentement, et le contrôle des objets connectés (IoT). Les responsables doivent également choisir un ensemble approprié de mesures de sécurité et de confidentialité parmi les publications spéciales du National Institute of Standards and Technology, notamment NIST SP 800-53, NIST SP 800‑213, NIST SP 800‑161 et NIST SP 800‑82.
Parmi les nouvelles exigences imposées aux FIS non cloud, la clause prévoit aussi deux responsabilités majeures à la charge des contractants fédéraux. Premièrement, ils doivent garantir à la CISA et à toutes agences désignées par le responsable contractuel un « accès entier et dans un délai conforme » aux données gouvernementales et au personnel concerné, lors des audits, investigations ou inspections jugés critiques pour la sécurité des données. Deuxièmement, tout FIS dont le niveau d’impact FIPS-199 est moyen ou élevé devra procéder à deux évaluations annuelles : une évaluation interne axée sur « les vulnérabilités, risques et indicateurs de compromission », puis une revue indépendante portant sur la sécurité du système d’information. Les résultats, accompagnés de recommandations correctives, devront être transmis au responsable contractuel.
Obligations d’indemnisation
Chacune de ces clauses — FAR 52.239-XX et FAR 52.239-YY — comporte une disposition obligeant les contractants fédéraux à indemniser l’État pour toute responsabilité découlant de l’exécution du contrat. Selon la proposition, cette responsabilité naîtrait principalement dans deux cas : l’introduction par le contractant d’informations ou de contenu dans les données de l’État, ou la divulgation non autorisée par le contractant de données ou contenus sensibles. Fait crucial, le texte exige que les contractants renoncent à « toute défense susceptible de leur profiter, y compris (sans s’y limiter) la ‘Government Contractors Defense’ ». Cette renonciation obligatoire accroît considérablement la responsabilité des contractants en cas de cyberattaque, violation de données ou incident de sécurité.
Se préparer aux nouvelles exigences de cybersécurité
Il ne semble pas qu’une date d’entrée en vigueur pour ces deux règles soit imminente. Après la période de consultation publique — prolongée jusqu’au 2 février — les agences composant le FAR Council et celles responsables de l’application du FAR devront examiner et analyser les commentaires reçus. Ce n’est qu’à l’issue de cette analyse qu’elles décideront ou non de publier la version finale. Si elle est adoptée, une telle règle finale instaurera un délai d’au moins 60 jours avant l’entrée en vigueur du texte. (En fonction de l’importance de la règle, ce calendrier pourrait s’étendre à 120 jours voire plus.)
Au vu de la durée et de la complexité du processus réglementaire, les contractants fédéraux disposent d’une certaine marge pour analyser les FAR Cases 2021-017 et 2021-019 et l’ensemble des nouvelles obligations potentielles. Toutefois, les entreprises concernées par ces projets de réglementation doivent prendre très au sérieux la perspective de leur mise en application. Compte tenu de la multiplication des cyberattaques majeures et du décret présidentiel de 2021, il ne fait guère de doute que ces exigences — ou des prescriptions très similaires — deviendront prochainement la norme réglementaire.
Au vu de la durée et de la complexité du processus réglementaire, les contractants fédéraux disposent d’une certaine marge pour analyser le FAR Case 2021-017 et le FAR Case 2021-019 et l’ensemble des nouvelles obligations potentielles.
