:quality(85))
En octobre dernier, le Federal Acquisition Regulatory (FAR) Council, organisme interministériel chargé de l’élaboration des politiques d’approvisionnement au sein du gouvernement fédéral, a proposé deux nouveaux règlements. Si ceux-ci étaient finalisés et entraient en vigueur, ils pourraient profondément modifier la manière dont les contractants fédéraux déclarent et réagissent face aux cyberattaques et autres incidents liés à la cybersécurité.
Le premier projet de règlement, « Cyber Threat and Incident Reporting and Information Sharing »—comprenant les clauses FAR 52.239-ZZ et FAR 52.239-AA—a été publié dans le cadre du FAR Case 2021–017. Le second, « Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems »—incluant les clauses FAR 52.239-XX et FAR 52.239-YY—provient du FAR Case 2021-019.
La publication de ces projets le 3 octobre a ouvert une période de consultation publique de 60 jours, initialement prévue jusqu’au 4 décembre 2023. Le 1er novembre, le FAR Council a prolongé la période de soumission des observations sur les projets de règlement jusqu’au 2 février 2024. Depuis, aucun avis officiel n’a été communiqué par le FAR Council ni par les agences co-responsables de l’Federal Acquisition Regulation quant à la finalisation des textes ou à une date d’entrée en vigueur.
Compte tenu de l’envergure de ces règlements et du niveau de responsabilité qu’ils imposeraient aux contractants fédéraux, il est essentiel que les entreprises comprennent précisément la portée des FAR Cases 2021-017 et 2021-019.
Compte tenu de l’envergure de ces règlements et du niveau de responsabilité qu’ils imposeraient aux contractants fédéraux, il est essentiel que les entreprises comprennent précisément la portée des FAR Cases 2021-017 et 2021-019.
Décret présidentiel Biden sur la cybersécurité
En mai 2021, le président Biden a signé le décret 14028, intitulé « Améliorer la cybersécurité de la Nation ». L’objectif affiché de ce décret était de renforcer diverses mesures de cybersécurité afin de protéger le gouvernement fédéral contre ce que la Maison-Blanche a qualifié de « campagnes cyber malveillantes persistantes et de plus en plus sophistiquées ». Cette directive présidentielle a été prise à la suite de deux cyberattaques majeures et inédites : le piratage de SolarWinds en 2020 et la violation de données de Microsoft Exchange au début de 2021. Ces actes de cyberespionnage, perpétrés par des groupes liés à des adversaires majeurs des États-Unis, ont ouvert une ère nouvelle dans le domaine de la cyber-guerre. Leur survenue a créé un sentiment d’urgence au sein du gouvernement américain, qui a décidé de définir un plan global et coordonné pour renforcer la sécurité de ses systèmes d’information.
Cette directive présidentielle a été prise à la suite de deux cyberattaques majeures et inédites : le piratage de SolarWinds en 2020 et la violation de données de Microsoft Exchange au début de 2021.
Le décret du président Biden assigne au gouvernement fédéral le devoir de mobiliser « l’ensemble de ses prérogatives et ressources pour protéger et sécuriser ses systèmes informatiques, qu’ils soient hébergés dans le cloud, sur site ou en mode hybride ». Il impose notamment la création de nouveaux protocoles d’intervention en cas d’incident cyber entre le gouvernement et ses contractants, la modernisation de l’infrastructure de cybersécurité via des services cloud sécurisés et une architecture « zéro confiance », ainsi que l’harmonisation des réponses aux menaces cyber dans toutes les agences fédérales.
Les règles proposées par le FAR Council en octobre dernier constituent une extension de la mise en œuvre du décret de 2021. En durcissant et en élargissant les exigences de déclaration à la suite d’incidents cyber, le FAR Council vise à permettre à l’État de réagir plus rapidement et efficacement face aux cyberattaques et autres menaces à la sécurité nationale.
En durcissant et en élargissant les exigences de déclaration à la suite d’incidents cyber, le FAR Council vise à permettre à l’État de réagir plus rapidement et efficacement face aux cyberattaques et autres menaces à la sécurité nationale.
FAR Case 2021-017 : portée et exigences en cybersécurité
Le premier projet de règlement introduit deux clauses : FAR 52.239-ZZ et FAR 52.239-AA. Toutes deux créeraient de nouvelles obligations pour les contractants fédéraux, soit pour réagir à un incident cyber, soit à titre préventif si un tel événement devait survenir.
FAR 52.239-ZZ
Le libellé officiel de la clause FAR 52.239-ZZ est « Incident and Threat Reporting and Incident Response Requirements for Products or Services Containing Information and Communications Technology » (« Exigences de déclaration et de réponse aux incidents et menaces pour les produits ou services contenant des technologies de l’information et de la communication »). Cette clause vise à mettre à jour et à renforcer les obligations contractuelles des contractants fédéraux suite à des incidents de sécurité. Elle prévoit de nouvelles modalités pour répondre efficacement et dans les délais aux incidents de sécurité, de coopérer avec les agences gouvernementales lors des enquêtes, ainsi que de conserver tous les fichiers, registres ou documents utiles au processus de gestion des incidents.
Selon le projet, un « incident de sécurité » ne se limite pas aux cyberattaques ou incidents cyber. Le FAR Council englobe également les violations de la loi, des politiques ou procédures de sécurité ; ainsi que le transfert d’informations classifiées ou d’informations non classifiées contrôlées (CUI) vers des systèmes d'information dont le niveau de sécurité gouvernemental n'est pas autorisé.
- Délais de déclaration des incidents
FAR 52.239-ZZ révise le délai dont disposent les contractants pour déclarer un incident à l’administration. Le nouveau règlement prévoit que les contractants doivent signaler tout incident, ainsi que les informations associées, sur le portail de signalement des incidents de la Cybersecurity and Infrastructure Security Agency (CISA), dans un délai de huit heures après la découverte initiale. Ce signalement doit ensuite être mis à jour tous les 72 heures jusqu’à la clôture des investigations par les agences gouvernementales concernées.
Cette réactivité permet à l’État et ses équipes de mettre en œuvre des réponses dynamiques et adaptées. Comme l’indique le texte du projet, la rapidité et l’actualisation régulière des informations aident les enquêteurs à « analyser rapidement les données afin d’identifier sans délai les activités et actions des acteurs malveillants, menaces et indicateurs de compromission ».
- Autres mesures d’accompagnement de la réponse étatique
Outre la déclaration obligatoire sur le portail CISA, les contractants doivent également contribuer à d’autres activités soutenant la gestion de crise par le gouvernement. D’une part, ils ont l’obligation de fournir à la CISA, au FBI et/ou à l’agence cliente un accès complet à toutes les informations, systèmes d’information et personnel concernés, immédiatement après un incident.
Les contractants fédéraux sont aussi responsables de la préservation de toute donnée en lien avec l’incident signalé. Cela implique de conserver le trafic réseau, les journaux de défense périmétrique, la télémétrie et autres informations pertinentes en stockage actif pendant 12 mois, puis six mois supplémentaires en stockage actif ou froid.
Enfin, le nouveau FAR obligerait les contractants à s’abonner au programme Automated Indicator Sharing (AIS) de la CISA afin de communiquer des indicateurs de menaces cyber et des mesures de défense préconisées. (Cette participation à AIS est requise même en l’absence d’incident cyber.)
- Software Bill of Materials (SBOM)
Au-delà de la réponse aux incidents, FAR 52.239-ZZ impose aux contractants fédéraux de tenir à jour une nomenclature logicielle (« software bill of materials », SBOM) listant tous les logiciels utilisés dans l’exécution de leurs contrats fédéraux. Selon le gouvernement, une SBOM est un « registre formel détaillant les composants utilisés dans la construction d’un logiciel et leurs relations au sein de la chaîne d’approvisionnement ». Le Department of Commerce précise que les données SBOM « améliorent l’identification des vulnérabilités ainsi que la rapidité de la réaction » et que « leur utilisation pour détecter et analyser les vulnérabilités connues et les mesures d’atténuation potentielles est cruciale pour la gestion des risques ».
Notons que les contractants doivent maintenir des SBOM en toutes circonstances, y compris en l’absence d’incident. Ils doivent également mettre à jour ces SBOM en cas de modification des logiciels utilisés en cours de contrat. Un exposé complet des exigences applicables aux SBOM et à leur gestion figure dans le document du Department of Commerce Minimum Elements for a Software Bill of Materials.
FAR 52.239-AA
La seconde clause du Case 2021-017, FAR 52.239-AA, est plus concise et ciblée. Intitulée « Security Incident Reporting Representation », elle oblige tout soumissionnaire à certifier qu’il a respecté, dans le passé, la clause FAR 52.239-ZZ. Cela signifie notamment qu’il atteste avoir soumis tous les rapports d’incidents de sécurité exigés, pour tout contrat antérieur ou actuel, de manière « actualisée, exacte et complète ».
Cette clause impose également aux entreprises déposant une offre de justifier avoir retranscrit cette obligation dans leurs précédents contrats, en exigeant de leurs sous-traitants de rang inférieur l’inclusion de ce dispositif dans leurs propres marchés.
FAR Case 2021-019 : portée et exigences en cybersécurité
Le FAR Council a publié le second projet—Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems—sous l’appellation Case 2021-019. Ce règlement vise à normaliser les exigences en cybersécurité pour toutes les agences fédérales, en se concentrant sur les systèmes d’information fédéraux non classifiés (FIS). Le Case 2021-019 se divise en deux clauses explicites : la première, FAR 52.239-XX, « Federal Information Systems Using Cloud Computing Services », s’appliquant aux FIS hébergés sur le cloud ; la seconde, FAR 52.239-YY, « Federal Information Systems Using Non-Cloud Computing Services », couvrant ceux qui ne recourent pas à des systèmes cloud.
Le gouvernement fédéral définit un « système d’information fédéral » comme « un système utilisé ou exploité par une agence, un contractant d’une agence ou toute organisation pour le compte d’une agence ».
FAR 52.239-XX
Cette clause impose aux agences de déterminer le niveau d’impact des systèmes d’information sur le cloud d’un contractant à l’aide du Federal Information Processing Standard Publication 199 (FIPS-199), ainsi que du niveau d’autorisation correspondant dans le Federal Risk and Authorization Management Program (FedRAMP). Selon la proposition, les agences devront fixer ce niveau d’impact à partir de « l’analyse des informations traitées, stockées ou transmises par le système ». Une fois fixé, le contractant fédéral devra alors mettre en œuvre et maintenir les mesures de sécurité et de protection de la vie privée correspondant à son niveau d’autorisation FedRAMP.
Outre ces garde-fous, FAR 52.239-XX exige que les contractants participent à une surveillance continue et remettent les livrables demandés, conformément au « FedRAMP Continuous Monitoring Strategy Guide ». Enfin, les contractants doivent respecter toutes les exigences contractuelles spécifiques concernant la fourniture et l’élimination des données gouvernementales et apparentées.
FAR 52.239-YY
Les exigences associées aux FIS hors cloud sont légèrement plus complexes. Comme pour FAR 52.239-XX, les agences doivent utiliser FIPS-199 pour déterminer le niveau d’impact pertinent et le mentionner dans le contrat. En plus de ce classement, elles devront aborder plusieurs points de sécurité spécifiques : authentification multifacteur, comptes administratifs, bandeaux de consentement ou encore contrôle des objets connectés. Les responsables doivent également sélectionner un ensemble adapté de garde-fous en s’appuyant sur plusieurs publications du National Institute of Standards and Technology (NIST), dont NIST SP 800-53, NIST SP 800–213, NIST SP 800–161 et NIST SP 800–82.
Au-delà des nouvelles exigences en matière de sécurité exigées dans les contrats de FIS hors cloud, la clause introduit deux responsabilités supplémentaires pour les contractants fédéraux. Premièrement, ils doivent garantir à la CISA et aux agences gouvernementales désignées par le contractant un « accès total et dans les meilleurs délais » aux données et au personnel pour la réalisation d’audits, d’enquêtes ou d’inspections jugés critiques pour la sécurité des données. Ensuite, tout FIS classé à impact modéré ou élevé (selon FIPS-199) doit faire l’objet de deux évaluations annuelles : une auto-évaluation des « vulnérabilités, risques et indicateurs de compromission », et un audit indépendant de la sécurité du système. Les résultats de ces évaluations, ainsi que les mesures d’atténuation recommandées, doivent être remis au responsable de marché.
Obligations d’indemnisation
Chacune de ces clauses—FAR 52.239-XX et FAR 52.239-YY—comporte une disposition exigeant que les contractants fédéraux indemnisent l’État contre toute responsabilité résultant de l’exécution du contrat. Selon la rédaction proposée, ces responsabilités pourraient principalement découler de deux scénarios : l’introduction d’informations ou de contenus par le contractant dans les données gouvernementales, ou la divulgation non autorisée d’informations sensibles par ce dernier. Point crucial, le texte prévoit également que les contractants renoncent à « toute exception ou défense potentielle qui pourrait leur être bénéfique, y compris (sans limitation) la ‘Government Contractors Defense’ ». Cette renonciation obligatoire fait peser sur les contractants un risque juridique significatif en cas de cyberattaque ou de violation de données.
Se préparer aux nouvelles exigences en cybersécurité
À ce jour, aucune entrée en vigueur imminente n’est prévue pour ces deux règlements. Une fois la période de consultation close (prolongée jusqu’au 2 février), les agences composant le FAR Council et celles qui administrent le FAR devront analyser les commentaires reçus. Ce n’est qu’au terme de cette phase d’analyse qu’elles choisiront de publier ou non un règlement final. Si un tel texte est publié, il instaurerait un délai d’au moins 60 jours avant son application. (Ce calendrier pourrait s’étendre à 120 jours, voire davantage, en fonction de l’importance de la réglementation.)
Au regard de la longueur du processus réglementaire, les contractants fédéraux disposent d’un certain répit pour comprendre les Cases 2021-017 et 2021-019 et la série d’obligations susceptibles de leur incomber. Cependant, les entreprises couvertes par ces mesures doivent prendre le sujet très au sérieux. Face à la multiplication récente de cyberattaques dévastatrices et au décret présidentiel de 2021, il ne fait guère de doute que ces nouvelles obligations en matière de cybersécurité—ou des exigences très similaires—seront prochainement inscrites dans le droit réglementaire.
Au regard de la longueur du processus réglementaire, les contractants fédéraux disposent d’un certain répit pour comprendre le FAR Case 2021-017 et le FAR Case 2021-019 et la série d’obligations susceptibles de leur incomber.
