:quality(85))
Lo scorso ottobre, il Federal Acquisition Regulatory (FAR) Council, l’organo interagenzia responsabile della definizione delle politiche di approvvigionamento a livello federale, ha proposto due nuove norme. Se adottate e rese effettive, tali norme potrebbero incidere drasticamente sulle modalità con cui gli appaltatori federali segnalano e rispondono agli attacchi informatici e ad altri incidenti di cybersicurezza.
La prima norma proposta, Cyber Threat and Incident Reporting and Information Sharing—which comprende le clausole FAR 52.239-ZZ e FAR 52.239-AA—è stata pubblicata sotto FAR Case 2021–017. La seconda norma, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems—inclusiva di FAR 52.239-XX e FAR 52.239-YY—è stata rilasciata sotto FAR Case 2021-019.
La pubblicazione di queste proposte il 3 ottobre ha dato avvio a un periodo di commenti pubblici di 60 giorni che doveva concludersi il 4 dicembre 2023. Il 1° novembre, il FAR Council ha esteso la scadenza per i commenti sulle norme proposte al 2 febbraio 2024. Da allora, non sono stati pubblicati aggiornamenti ufficiali da parte del FAR Council né delle agenzie preposte all’amministrazione congiunta del Federal Acquisition Regulation circa la finalizzazione delle norme o una data di entrata in vigore.
Considerata la portata delle norme e il livello di responsabilità che imporrebbero agli appaltatori federali, è importante che le aziende comprendano con esattezza cosa comportino i FAR Cases 2021-017 e 2021-019.
Considerata la portata delle norme e il livello di responsabilità che imporrebbero agli appaltatori federali, è importante che le aziende comprendano con esattezza cosa comportino i FAR Cases 2021-017 e 2021-019.
L’Executive Order sulla cybersicurezza del Presidente Biden
Nel maggio 2021, il Presidente Biden ha firmato l’Executive Order 14028, intitolato «Improving the Nation’s Cybersecurity». L’ordine esecutivo si poneva come obiettivo il rafforzamento delle misure di cybersicurezza per tutelare il governo federale da quelle che la Casa Bianca ha descritto come «campagne informatiche dannose, persistenti e sempre più sofisticate». La direttiva presidenziale è stata emessa a seguito di due giganteschi e senza precedenti attacchi informatici: l’hack di SolarWinds del 2020 e la violazione dei dati Microsoft Exchange all’inizio del 2021. Questi atti di spionaggio informatico, perpetrati da gruppi di hacker affiliati a principali avversari degli USA, hanno segnato di fatto l’inizio di una nuova era di cyberwarfare. Successivamente, il governo statunitense ha avvertito l’urgenza crescente di elaborare un piano unitario e su vasta scala per rafforzare i propri sistemi informativi.
La direttiva presidenziale è stata emessa a seguito di due giganteschi e senza precedenti attacchi informatici: l’hack di SolarWinds del 2020 e la violazione dei dati Microsoft Exchange all’inizio del 2021.
L’ordine esecutivo del Presidente Biden ha incaricato il governo federale di mettere in campo «tutta l’autorità e le risorse disponibili per proteggere e mettere in sicurezza i sistemi informatici, siano essi in cloud, on-premises o ibridi». L’ordine ha specificatamente richiesto nuovi protocolli per la gestione degli incidenti cyber fra governo e appaltatori federali, la modernizzazione delle infrastrutture di cybersicurezza tramite servizi cloud sicuri e architetture zero trust, nonché una standardizzazione delle risposte alle minacce di cybersicurezza per tutte le agenzie federali.
Le regole proposte dal FAR Council lo scorso ottobre costituiscono un ulteriore passo verso l’attuazione dell’ordine esecutivo del 2021. Rafforzando e ampliando gli obblighi di segnalazione per gli appaltatori federali in caso di incidenti cyber, l’obiettivo del FAR Council è di creare le condizioni per risposte governative più agili e proattive a cyberattacchi e altre minacce alla sicurezza nazionale.
Rafforzando e ampliando gli obblighi di segnalazione per gli appaltatori federali in caso di incidenti cyber, l’obiettivo del FAR Council è di creare le condizioni per risposte governative più agili e proattive a cyberattacchi e altre minacce alla sicurezza nazionale.
FAR Case 2021-017: ambito e requisiti in materia di cybersicurezza
Il primo caso normativo proposto prevede due clausole: FAR 52.239-ZZ e FAR 52.239-AA. Entrambe introdurrebbero nuovi obblighi per gli appaltatori federali, sia come risposta immediata a un incidente cyber sia mediante misure precauzionali da attuare preventivamente.
FAR 52.239-ZZ
Il testo ufficiale della FAR 52.239-ZZ è «Incident and Threat Reporting and Incident Response Requirements for Products or Services Containing Information and Communications Technology». La clausola mira ad aggiornare e rafforzare gli obblighi contrattuali degli appaltatori federali successivi a incidenti di sicurezza, proponendo nuovi requisiti per rispondere in modo tempestivo e completo agli incidenti di sicurezza; cooperare con le agenzie governative incaricate delle indagini; e conservare file, registri e altra documentazione utile al processo di risposta.
Secondo la proposta, un «incidente di sicurezza» include non solo attacchi informatici e altri eventi di cybersicurezza. Il FAR Council usa il termine anche per riferirsi, più in generale, a violazioni di leggi, policy o procedure di sicurezza, oltre che a trasferimenti di informazioni classificate o di Controlled Unclassified Information (CUI) verso sistemi informativi con standard di sicurezza inferiori a quelli governativi autorizzati.
- Tempistiche per la segnalazione degli incidenti
La FAR 52.239-ZZ aggiorna le tempistiche che gli appaltatori hanno per comunicare incidenti di sicurezza al governo. In base alla nuova norma, è obbligatorio segnalare tali incidenti, inclusi tutti i dati rilevanti, tramite il portale di segnalazione incidenti della Cybersecurity and Infrastructure Security Agency (CISA) entro otto ore dalla scoperta iniziale dell’incidente. Inoltre, la segnalazione deve essere aggiornata ogni 72 ore successivamente, fino al completamento delle indagini delle agenzie governative coinvolte.
Una segnalazione tempestiva consente alle agenzie e ai loro team di reagire con la massima efficacia e prontezza. La norma spiega che la rapidità nella comunicazione, con aggiornamenti costanti, agevola gli investigatori nell’eseguire «analisi rapide dei dati per identificare prontamente attività e azioni di attori malevoli, minacce e indicatori di compromissione».
- Azioni ulteriori a supporto della risposta agli incidenti
Oltre a segnalare gli incidenti tramite il portale CISA nei tempi previsti, i contraenti sono tenuti a collaborare in molteplici altre attività per agevolare la risposta governativa alle minacce. Nello specifico, occorre garantire a CISA, FBI e/o all’agenzia contraente accesso completo a tutte le informazioni rilevanti, ai sistemi informativi e al personale, subito dopo l’incidente di sicurezza.
Gli appaltatori devono inoltre conservare tutti i dati relativi all’incidente segnalato, compresi dati di traffico di rete, log di difesa perimetrale, telemetria e qualsiasi informazione pertinente, mantenendoli in storage attivo per 12 mesi, seguiti da altri sei mesi in storage attivo o cold storage.
Infine, la nuova clausola FAR impone la partecipazione al programma Automated Indicator Sharing (AIS) di CISA per la condivisione di indicatori di minaccia e misure di difesa raccomandate. (La registrazione all’AIS è obbligatoria, indipendentemente dall’avvenuta segnalazione di un incidente di sicurezza.)
- Software Bill of Materials
Oltre agli obblighi di risposta e segnalazione, la FAR 52.239-ZZ introduce per gli appaltatori federali nuovi requisiti di mantenimento di una software bill of materials (SBOM) che elenchi i software utilizzati nell’ambito del contratto federale. Il governo definisce l’SBOM come «documentazione formale contenente i dettagli e le relazioni di catena di approvvigionamento delle diverse componenti usate nello sviluppo software». Secondo il Department of Commerce, i dati SBOM «migliorano sia l’identificazione delle vulnerabilità che la rapidità di risposta» e «l’utilizzo per identificare e analizzare vulnerabilità conosciute e possibili mitigazioni è imprescindibile per la gestione del rischio».
È rilevante notare che gli appaltatori sono responsabili del mantenimento degli SBOM in ogni circostanza, anche in assenza di incidenti noti, e devono aggiornarli quando i software utilizzati vengono modificati durante l’esecuzione del contratto. Eventuali ulteriori dettagli sui requisiti relativi agli SBOM per i contratti federali sono disponibili presso il Department of Commerce, consultando Minimum Elements for a Software Bill of Materials.
FAR 52.239-AA
La seconda clausola del Case 2021-017, FAR 52.239-AA, è molto più specifica e circoscritta. Denominata “Security Incident Reporting Representation”, impone a tutti gli offerenti che intendono contrattare con il governo federale di attestare la conformità pregressa a FAR 52.239-ZZ. In particolare, gli offerenti devono dichiarare di aver trasmesso tutte le segnalazioni necessarie per incidenti di sicurezza sotto contratti passati e attuali in modo «attuale, accurato e completo».
La norma obbliga inoltre tutti gli offerenti a garantire che la clausola sia stata inclusa nei contratti precedenti anche nei subappalti di livello inferiore, assicurando che tutti i subappaltatori adottino sostanzialmente la medesima regola.
FAR Case 2021-019: ambito e requisiti in materia di cybersicurezza
Il FAR Council ha pubblicato la seconda norma, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems, sotto il Case 2021-019. L’obiettivo dichiarato della norma è uniformare i requisiti di cybersicurezza fra le agenzie federali, concentrandosi in particolare sui federal information systems (FIS) non classificati. Il Case 2021-019 si compone di due clausole con ambiti ben delineati: FAR 52.239-XX, “Federal Information Systems Using Cloud Computing Services”, che riguarda i FIS in cloud, e FAR-52.239-YY, “Federal Information Systems Using Non-Cloud Computing Services”, riferita ai FIS che non utilizzano servizi cloud.
Il governo federale definisce un federal information system come un «sistema informativo utilizzato o gestito da un’agenzia, da un suo appaltatore, o da un’altra organizzazione per conto di un’agenzia».
FAR 52.239-XX
Questa clausola richiederebbe alle agenzie di stabilire il livello di impatto di un FIS basato su cloud utilizzando lo standard Federal Information Processing Standard Publication 199 (FIPS-199), nonché il livello di autorizzazione corrispondente del Federal Risk and Authorization Management Program (FedRAMP). Secondo la norma proposta, le agenzie dovranno determinare il livello FIPS-199 in funzione dell’«analisi d’impatto sulle informazioni trattate, archiviate o trasmesse dal sistema». Una volta definiti questi livelli, l’appaltatore sarà tenuto a implementare e mantenere le misure di sicurezza e privacy corrispondenti all’autorizzazione FedRAMP ottenuta.
In aggiunta a tali presidi di sicurezza, FAR 52.239-XX impone agli appaltatori la partecipazione ad attività di monitoraggio continuo e la fornitura delle evidenze di monitoraggio secondo quanto specificato nella “FedRAMP Continuous Monitoring Strategy Guide.” Infine, gli appaltatori sono tenuti a rispettare ogni requisito contrattuale specifico relativo alla gestione e allo smaltimento dei dati governativi o ad essi correlati.
FAR 52.239-YY
I requisiti introdotti dalla clausola relativa ai sistemi federali non basati su cloud sono più articolati. Come per FAR 52.239-XX, le agenzie dovranno utilizzare il FIPS-199 per classificare l’impatto e inserire tale livello nel contratto. Oltre alla mera classificazione, agenzie e contracting officers dovranno affrontare diversi aspetti specifici della sicurezza come la multi-factor authentication, gli account amministrativi, i banner di consenso e i controlli sui dispositivi Internet of Things. Gli officer dovranno infine selezionare il set più appropriato di misure di sicurezza e privacy, scegliendo tra diverse pubblicazioni speciali National Institute of Standards and Technology, tra cui NIST SP 800-53, NIST SP 800–213, NIST SP 800–161 e NIST SP 800–82.
Oltre ai nuovi requisiti di sicurezza inclusi nei contratti FIS non cloud, la clausola impone due ulteriori obblighi agli appaltatori federali. Innanzitutto, gli appaltatori devono garantire a CISA e ad altre agenzie indicate dal contracting officer «accesso completo e tempestivo» a dati e personale governativi per ispezioni, audit e indagini quando ciò sia ritenuto essenziale per la sicurezza dei dati. In secondo luogo, i FIS cui sia attribuito un livello di impatto FIPS-199 moderato o alto devono svolgere due assessment annuali: il primo, interno, per valutare «vulnerabilità, rischi e indicatori di compromissione»; il secondo, di tipo indipendente, per una revisione esterna della sicurezza del sistema informativo. Gli appaltatori dovranno trasmettere i risultati di tali assessment annuali—incluse le misure di mitigazione raccomandate—al contracting officer.
Obblighi di manleva
Ciascuna di queste clausole—FAR 52.239-XX e FAR 52.239-YY—include una disposizione che impone agli appaltatori federali di manlevare il governo da qualsiasi responsabilità derivante dall’esecuzione del contratto. La norma suggerisce che tali responsabilità sorgano principalmente in due casi: sia in caso di introduzione, da parte dell’appaltatore, di informazioni o elementi nei dati governativi, sia in caso di divulgazione non autorizzata di dati sensibili o materiali. Di rilievo anche l’obbligo per gli appaltatori di rinunciare a «qualsiasi eccezione a propria tutela, incluse (senza limitazione) le difese previste per i government contractors». Questa rinuncia impone una significativa esposizione agli appaltatori in caso di attacco informatico, violazione o altro incidente di sicurezza.
Prepararsi ai nuovi requisiti di cybersicurezza
Non sembra probabile che una data di entrata in vigore per queste due norme sulla cybersicurezza sia imminente. Al termine del periodo di commenti pubblici—prolungato fino al 2 febbraio—le agenzie del FAR Council e quelle responsabili della gestione del FAR dovranno revisionare e analizzare i feedback. Solamente dopo questa fase decideranno se pubblicare una regola definitiva. In caso di pubblicazione, la norma entrerà in vigore non prima di 60 giorni (o, a seconda della rilevanza, anche 120 giorni o più dopo l’emanazione).
Considerati i tempi e le fasi del processo regolatorio, gli appaltatori federali dispongono di un margine per valutare i FAR Cases 2021-017 e 2021-019 e la serie di nuovi adempimenti che potrebbero essere introdotti. Le imprese interessate da queste proposte normative, tuttavia, dovrebbero affrontare con massimo rigore la prospettiva di attuazione. Considerata la recente escalation di attacchi informatici dirompenti e l’ordine esecutivo firmato dal Presidente Biden nel 2021, non vi sono elementi per dubitare che queste nuove prescrizioni—o misure simili—diverranno presto regola.
Considerati i tempi e le fasi del processo regolatorio, gli appaltatori federali dispongono di un margine per valutare il FAR Case 2021-017 e il FAR Case 2021-019 e la serie di nuovi adempimenti che potrebbero essere introdotti.
