:quality(85))
Il Defense Federal Acquisition Regulation Supplement (DFARS) è un insieme di regole e regolamenti che disciplinano le attività di approvvigionamento e acquisizione del Dipartimento della Difesa. Inoltre, rappresenta un quadro normativo per i contraenti privati che collaborano con l’agenzia. Il DFARS costituisce un’estensione del Federal Acquisition Regulation (FAR)—che sovrintende gli acquisti delle 15 principali agenzie esecutive—ed è reperibile nel Capitolo 2 del Titolo 48 del Code of Federal Regulations.
Considerate le implicazioni per la sicurezza nazionale legate a molte delle attività condotte dal Dipartimento della Difesa, una parte significativa dei dati, delle informazioni e dei materiali che transitano tra l’agenzia e i suoi contraenti privati è altamente sensibile. Il DoD utilizza il termine covered defense information (CDI) per indicare questa vasta categoria di informazioni, che definisce come «informazioni tecniche controllate non classificate o altre informazioni… che richiedono misure di salvaguardia o controlli di diffusione conformemente a normative, regolamenti e policy governative di carattere generale».
Nell’ultimo decennio, i contraenti privati della difesa e le varie entità che compongono l’ampio network della base industriale di difesa statunitense (DIB) hanno registrato un preoccupante aumento di attacchi informatici e di minacce alla cybersicurezza mirate a penetrare la DIB e sottrarre tali informazioni.
In risposta a questi nuovi rischi, il Dipartimento della Difesa ha introdotto una nuova clausola nel proprio codice di regolamentazione degli acquisti. Questa sezione, DFARS 252.204-7012, punta a rafforzare la protezione delle CDI obbligando i contraenti ad attuare un insieme completo di controlli di sicurezza. L’obiettivo generale della nuova clausola DFARS è uniformare la cybersicurezza su tutti i contraenti della difesa e contrastare la crescita degli attori criminali intenzionati a sfruttare le vulnerabilità nella DIB.
Questa nuova sezione, DFARS 252.204-7012, punta a rafforzare la protezione delle CDI obbligando i contraenti ad attuare un insieme completo di controlli di sicurezza.
DFARS 252.204-7012 e il protocollo di sicurezza NIST
DFARS 252.204-7012, denominata ufficialmente Safeguarding Covered Defense Information and Cyber Incident Reporting, è entrata in vigore il 31 dicembre 2017. La clausola—indicata anche come sottosezione—ha introdotto una serie di nuove misure di cybersicurezza a cui tutti i contraenti della difesa devono conformarsi. La sottosezione 252.204-7012 mira a garantire che tutte le informazioni CDI siano protette da violazioni dei dati, attacchi informatici e altre minacce significative attraverso l’adozione di un protocollo di sicurezza avanzato.
Le misure rientranti nella DFARS 252.204-7012 introducono vari nuovi requisiti. Il più rilevante di questi impone a tutti i contraenti di rispettare una raccolta di controlli di sicurezza pubblicati dal National Institute of Standards and Technology (NIST), ente del Dipartimento del Commercio dedito all’innovazione e competitività americana in ambito scientifico, tecnologico e ingegneristico. Note come NIST Special Publication 800-171, o semplicemente NIST SP 800-171, queste linee guida contengono 110 controlli di sicurezza individuali, raggruppati in 14 «famiglie»:
- Access Control (AC)
- Awareness and Training
- Audit and Accountability
- Configuration Management
- Identification and Authentication
- Incident Response
- Maintenance
- Media Protection
- Personnel Security
- Physical Protection
- Risk Assessment
- Security Assessment
- System and Communications Protection
- System and Information Integrity
Grazie alla sottosezione DFARS 252.204-7012, tutti i contraenti della difesa sono ora soggetti al NIST SP 800-171 e devono implementare oltre 100 controlli di sicurezza nello svolgimento delle attività per il Dipartimento della Difesa. Il governo federale mantiene un registro CUI concepito come risorsa universale per chi deve gestire CDI e informationi non classificate ma soggette a controllo (CUI) in modo adeguato. Come riportato nell’originale documento SP 800-171, questo repository «identifica le categorie e sottocategorie CUI approvate, fornisce una descrizione generale di ciascuna, indica i presupposti dei controlli e stabilisce le procedure per l’utilizzo delle CUI, comprese, ma non limitate a, marcatura, salvaguardia, trasporto, diffusione, riutilizzo e smaltimento delle informazioni».
Tutti i contraenti della difesa sono ora soggetti al NIST SP 800-171 e devono implementare oltre 100 controlli di sicurezza nello svolgimento delle attività per il Dipartimento della Difesa.
Requisiti aggiuntivi per la clausola DFARS 252.204-7012
Sebbene il requisito cardine introdotto dal DFARS 252.204-7012 sia rappresentato dal protocollo di cybersicurezza NIST, la clausola prevede anche numerosi altri obblighi importanti.
- Il primo di questi requisiti riguarda la revisione e la segnalazione degli incidenti di cybersicurezza. Se un’azienda privata che lavora per il Dipartimento della Difesa rileva un incidente informatico che interessa le CDI o un sistema online responsabile della conservazione e della protezione di tali dati, è tenuta a segnalarlo tempestivamente tramite i canali specifici del DoD.
- Il contraente deve inoltre condurre una revisione ed una valutazione completa dell’incidente. Queste attività comprendono l’identificazione di eventuali dati, hardware, account e sistemi informativi compromessi.
- Se l’incidente comporta il rilevamento di software dannoso, il contraente dovrebbe tentare di isolarlo e trasmetterlo al Cyber Crime Center (DC3) del Dipartimento della Difesa.
- Infine, è necessario collaborare costantemente con il DoD nello svolgimento dell’indagine sull’incidente, fornendo accesso ai dati, sistemi ed equipaggiamenti richiesti.
DFARS 252.204-7012 impone a tutti i contraenti e subcontraenti l’adozione degli stessi controlli di sicurezza e il rispetto degli stessi obblighi di segnalazione nella gestione delle CDI. A tal fine, il terzo pilastro della clausola prescrive che i contraenti principali trasferiscano i nuovi requisiti di cybersicurezza a tutti i subcontraenti includendo la 252.204-7012 nei relativi contratti.
Le nuove clausole DFARS
Nel corso dell’autunno 2020, il Dipartimento della Difesa ha pubblicato una Interim Rule DFARS, entrata in vigore il 30 novembre dello stesso anno. L’Interim Rule ha introdotto tre nuove clausole nella Parte 252 di DFARS: 252.204-7019, -7020 e -7021. Queste sottosezioni ampliano gli obblighi introdotti dalla 252.204-7012, introducendo anche nuovi meccanismi di accountability per i contraenti che lavorano con il DoD.
Nel 2019, la Defense Contract Management Agency ha ricevuto l’incarico di standardizzare la valutazione dell’implementazione, da parte dei singoli contraenti, del protocollo NIST SP 800-171 (requisito della 252.204-7012). Il risultato è stato la pubblicazione della NIST SP 800-171 DoD Assessment Methodology, un sofisticato modello-guida che i contraenti possono utilizzare per valutare la propria conformità ai controlli di sicurezza NIST. La prima parte dell’Interim Rule, 252.204-7019, integra formalmente nel DFARS lo strumento Assessment Methodology obbligando tutti i contraenti della difesa ad effettuare e valutare queste autoanalisi. Essi sono inoltre tenuti a comunicare i punteggi conseguiti al Supplier Performance Risk System (SPRS).
La prima parte dell’Interim Rule, 252.204-7019, integra formalmente nel DFARS lo strumento Assessment Methodology obbligando tutti i contraenti della difesa ad effettuare e valutare queste autoanalisi. Essi sono inoltre tenuti a comunicare i punteggi conseguiti al Supplier Performance Risk System (SPRS).
La sottosezione 252.204-7020 introduce un ulteriore livello di accountability sui contraenti incaricati del protocollo NIST. La clausola autorizza il Dipartimento della Difesa ad accedere a strutture, sistemi e personale del contraente nel caso in cui tale accesso sia ritenuto necessario alle proprie attività di valutazione autonoma. La 252.204-7020 prevede inoltre che i contraenti principali richiedano ai subcontraenti di svolgere la propria valutazione di conformità al NIST SP 800-171 utilizzando la DoD Assessment Methodology, trasferendo nei subcontratti la formulazione della presente clausola.
La clausola 252.204-7021 introduce infine il Cybersecurity Maturity Model Certification (CMMC), un nuovo quadro normativo per valutare l’implementazione, da parte dei contraenti, delle pratiche di cybersicurezza e dei relativi controlli di sicurezza. Poiché le regole collegate al CMMC sono ancora in fase di finalizzazione presso il DoD, questa sottosezione attualmente ricopre più un ruolo “provvisorio” in vista di quanto diventerà un nuovo standard fondamentale di cybersicurezza. Il Dipartimento della Difesa richiederà eventualmente a tutti i contraenti di ottenere la certificazione attraverso il CMMC—verosimilmente tra la fine del 2024 e l’inizio del 2025—e la DFARS 7021 fungerà da veicolo contrattuale per l’introduzione di tale obbligo nei contratti con il DoD.
L’importanza della conformità alla DFARS 252.204-7012
Gli attacchi informatici e le violazioni di dati che ne derivano rappresentano una minaccia crescente per il governo degli Stati Uniti, il Dipartimento della Difesa e l’intera DIB. DFARS 252.204-7012 è stata introdotta nel 2017 come risposta rigorosa e strutturata all’espansione e alla crescente frequenza di questi attacchi; oggi la quasi totalità dei contraenti della difesa è tenuta a rispettarla. La clausola impone l’implementazione di controlli di sicurezza strutturati, procedure standard per la revisione e la segnalazione degli incidenti informatici e delle incursioni di software dannoso, e pratiche consolidate per la trasmissione delle misure di salvaguardia delle CDI lungo tutta la catena fino ai subcontraenti.
DFARS 252.204-7012 è stata introdotta nel 2017 come risposta rigorosa e strutturata all’espansione e alla crescente frequenza di questi attacchi; oggi la quasi totalità dei contraenti della difesa è tenuta a rispettarla.
Le conseguenze derivanti dall’ignorare o dal gestire in modo inadeguato la DFARS 252.204-7012 sono significative e onerose. I contraenti della difesa che non mettono in atto i controlli di sicurezza NIST restano vulnerabili a cybercriminali, hacker e altri attori malevoli intenzionati a sottrarre dati sensibili, rischiando di dover sostenere ingenti costi per il ripristino. Ancora più importante, però, il Dipartimento della Difesa ha definito una serie di reazioni specifiche nei confronti dei contraenti che non rispettano adeguatamente la DFARS 252.204-7012 e il protocollo di sicurezza NIST associato.
Le conseguenze derivanti dall’ignorare o dal gestire in modo inadeguato la DFARS 252.204-7012 sono significative e onerose. I contraenti della difesa che non mettono in atto i controlli di sicurezza NIST restano vulnerabili a cybercriminali, hacker e altri attori malevoli intenzionati a sottrarre dati sensibili, rischiando di dover sostenere ingenti costi per il ripristino.
In un memo del 2022, l’Office of the Under Secretary of Defense ha specificato che la mancata implementazione del NIST SP 800-171 costituisce una violazione contrattuale. «I rimedi a tale violazione», si legge nel memo, possono includere «il sospendere pagamenti progressivi; rinunciare alle opzioni contrattuali residue; e potenzialmente risolvere il contratto in parte o in toto». I contraenti che trascurano questa regolamentazione fondamentale sulla sicurezza si espongono a situazioni rischiose rispetto all’ente appaltante, compromettendo sia i contratti in essere sia le future opportunità di acquisizione con il Dipartimento della Difesa e il governo federale.
