:quality(85))
Lo scorso ottobre, il Federal Acquisition Regulatory (FAR) Council, organo interagenzia responsabile dell’elaborazione delle politiche di approvvigionamento per il governo federale, ha proposto due nuove normative. Se adottate e messe in vigore, tali norme potrebbero avere un impatto significativo sulle modalità con cui i contraenti federali segnalano e rispondono a cyberattacchi e altri incidenti di sicurezza informatica.
La prima proposta normativa, Cyber Threat and Incident Reporting and Information Sharing—che include le clausole FAR 52.239-ZZ e FAR 52.239-AA—è stata presentata nell’ambito del FAR Case 2021–017. La seconda norma, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems—which include FAR 52.239-XX e FAR 52.239-YY—è stata emessa ai sensi del FAR Case 2021-019.
La pubblicazione di queste proposte il 3 ottobre ha avviato un periodo di consultazione pubblica di 60 giorni, previsto per la chiusura il 4 dicembre 2023. Il 1° novembre il FAR Council ha esteso il periodo di commento sulle regole proposte fino al 2 febbraio 2024. Da allora, non vi sono stati aggiornamenti ufficiali dal FAR Council né dalle agenzie responsabili dell’applicazione della Federal Acquisition Regulation riguardo la finalizzazione delle regole o la data effettiva di implementazione.
Considerata la portata delle norme e le importanti responsabilità che imporrebbero ai contraenti federali, è fondamentale che le imprese comprendano esattamente le implicazioni dei FAR Cases 2021-017 e 2021-019.
Considerata la portata delle norme e le importanti responsabilità che imporrebbero ai contraenti federali, è fondamentale che le imprese comprendano esattamente le implicazioni dei FAR Cases 2021-017 e 2021-019.
Executive Order di Biden sulla cybersicurezza
A maggio 2021 il Presidente Biden ha firmato l’Executive Order 14028, significativamente intitolato «Improving the Nation’s Cybersecurity». L’obiettivo dichiarato dell’ordine esecutivo era rafforzare le misure di cybersicurezza per proteggere il governo federale da quelle che la Casa Bianca ha descritto come «campagne informatiche ostili persistenti e sempre più sofisticate». Il provvedimento presidenziale è stato adottato a seguito di due attacchi informatici su vasta scala e senza precedenti: l’attacco del 2020 a SolarWinds e la violazione dei dati di Microsoft Exchange all’inizio del 2021. Questi atti di spionaggio informatico, condotti da gruppi di hacker associati a noti avversari degli Stati Uniti, hanno segnato l’emergere di una nuova era della cyberwarfare. In seguito a tali eventi, il governo USA ha avvertito l’urgenza di definire un piano organico e trasversale per rafforzare i propri sistemi informatici.
Il provvedimento presidenziale è stato adottato a seguito di due attacchi informatici su vasta scala e senza precedenti: l’attacco del 2020 a SolarWinds e la violazione dei dati di Microsoft Exchange all’inizio del 2021.
L’Executive Order di Biden incaricava il governo federale di impiegare «tutta l’estensione delle proprie autorità e risorse per proteggere e garantire la sicurezza dei sistemi informatici, siano essi in cloud, on-premises o ibridi». L’ordine prevedeva nuovi protocolli di gestione degli incidenti informatici tra governo e fornitori, la modernizzazione delle infrastrutture di cybersecurity tramite servizi cloud sicuri e architettura zero trust, e la standardizzazione delle risposte alle minacce informatiche in tutte le agenzie federali.
Le nuove regole proposte dal FAR Council nell’ottobre scorso rappresentano una prosecuzione degli sforzi per dare attuazione all’ordine esecutivo del 2021. Rafforzando ed estendendo gli obblighi di segnalazione a carico dei contraenti federali a seguito di incidenti informatici, il FAR Council punta a creare condizioni per una risposta governativa più agile e proattiva a cyberattacchi e altre minacce ostili alla sicurezza nazionale.
Rafforzando ed estendendo gli obblighi di segnalazione a carico dei contraenti federali a seguito di incidenti informatici, il FAR Council punta a creare condizioni per una risposta governativa più agile e proattiva a cyberattacchi e altre minacce ostili alla sicurezza nazionale.
FAR Case 2021-017: ambito e requisiti di cybersicurezza
La prima proposta norma include due clausole: FAR 52.239-ZZ e FAR 52.239-AA. Entrambe introdurrebbero nuovi obblighi per i contraenti federali, sia in risposta diretta a un incidente informatico sia come misure precauzionali nel caso si verifichi un evento di questo tipo.
FAR 52.239-ZZ
Il testo ufficiale della clausola FAR 52.239-ZZ è «Incident and Threat Reporting and Incident Response Requirements for Products or Services Containing Information and Communications Technology». FAR 52.239-ZZ mira ad aggiornare e rafforzare gli obblighi contrattuali dei fornitori federali a seguito di incidenti di sicurezza, proponendo nuovi requisiti per una risposta tempestiva e completa a tali eventi; la collaborazione con le agenzie governative che indagano sugli incidenti; la conservazione di file, registri e altra documentazione utile per il processo di gestione degli incidenti.
Secondo la proposta, il termine «security incident» comprende non solo cyberattacchi e altri incidenti di cybersicurezza, ma anche violazioni delle normative, della policy o delle procedure di sicurezza, nonché il trasferimento di informazioni classificate o CUI (Controlled Unclassified Information) su sistemi informatici privi dei livelli di sicurezza richiesti dal governo.
Tempi di segnalazione degli incidenti
FAR 52.239-ZZ aggiorna i termini entro cui i fornitori devono segnalare al governo federale un incidente di sicurezza. In base alla nuova norma, i contraenti sono tenuti a comunicare questi eventi — con tutte le informazioni pertinenti — tramite il portale di segnalazione incidenti della Cybersecurity and Infrastructure Security Agency (CISA) entro otto ore dalla scoperta iniziale dell’incidente. Inoltre, la segnalazione dovrà essere aggiornata ogni 72 ore fino al completamento delle indagini da parte di tutte le agenzie governative competenti.
La tempestività nella comunicazione degli incidenti consente agli organi governativi di adottare le contromisure più efficaci e dinamiche. La proposta normativa evidenzia come segnalazioni rapide e aggiornamenti periodici aiutino gli investigatori a «condurre analisi dati rapide per identificare tempestivamente le attività e le azioni di attori malevoli, minacce e indicatori di compromissione».
Ulteriori attività a supporto della risposta agli incidenti
Oltre a segnalare gli incidenti di sicurezza tramite il portale CISA nei tempi previsti, i fornitori dovranno svolgere ulteriori attività per facilitare la risposta alle minacce da parte del governo. In particolare, i soggetti coinvolti dovranno garantire a CISA, FBI e/o all’agenzia contraente accesso completo a tutte le informazioni, sistemi e personale rilevanti nell’immediato successivo a un incidente di sicurezza.
I fornitori federali vengono inoltre incaricati di conservare qualsiasi dato relativo all’incidente segnalato. Tra questi: dati di traffico di rete, log di difesa perimetrale, telemetria e altre informazioni pertinenti, per 12 mesi in archiviazione attiva, seguiti da ulteriori sei mesi in archiviazione attiva o a freddo.
Infine, la nuova clausola richiederebbe ai contraenti di aderire al programma AIS (Automated Indicator Sharing) di CISA per la condivisione di indicatori di minacce informatiche e misure di difesa consigliate. (L’obbligo di interagire con la piattaforma AIS vale indipendentemente dal verificarsi di un incidente di sicurezza.)
Software Bill of Materials
Oltre agli obblighi di risposta e segnalazione, FAR 52.239-ZZ introduce il vincolo per tutti i contraenti federali di mantenere una Software Bill of Materials (SBOM), ovvero un inventario di tutto il software utilizzato per le attività oggetto del contratto federale. Il governo definisce una SBOM come «un registro formale che contiene dettagli e relazioni di catena di approvvigionamento dei vari componenti utilizzati per sviluppare un software». Secondo il Department of Commerce, i dati SBOM «migliorano sia l’identificazione delle vulnerabilità sia la velocità di risposta» e «l’utilizzo per identificare e analizzare vulnerabilità note e potenziali misure di mitigazione è cruciale nella gestione del rischio».
È fondamentale notare che i contraenti devono mantenere la SBOM in ogni circostanza, anche laddove non si siano verificati incidenti di sicurezza. Inoltre, vi è l’obbligo di aggiornare la SBOM qualora vengano effettuati aggiornamenti al software utilizzato nell’ambito delle commesse federali. Tutti i requisiti per la gestione delle SBOM durante l’esecuzione dei contratti federali sono disponibili nel documento del Department of Commerce Minimum Elements for a Software Bill of Materials.
FAR 52.239-AA
La seconda clausola del Case 2021-017, FAR 52.239-AA, è più specifica e circoscritta. Denominata «Security Incident Reporting Representation», richiede che tutti i candidati contraenti che presentano un’offerta al governo federale attestino di aver rispettato storicamente la clausola FAR 52.239-ZZ. Ciò include la dichiarazione di aver inviato tutte le segnalazioni di incidenti obbligatorie in modo «aggiornato, accurato e completo» nelle precedenti e attuali commesse.
La clausola impone, inoltre, agli offerenti l’obbligo di aver “flown down” la regola nei precedenti incarichi, richiedendo a tutti i subappaltatori di livello inferiore di includerne i contenuti nelle proprie sub-commesse.
FAR Case 2021-019: ambito e requisiti di cybersicurezza
Il FAR Council ha pubblicato la seconda proposta normativa, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems, come Case 2021-019. L’obiettivo dichiarato di questa norma è standardizzare i requisiti di cybersecurity tra le agenzie federali, con particolare attenzione ai Federal Information Systems (FIS) non classificati. Il Case 2021-019 si articola in due clausole dai contenuti autoesplicativi: la prima è FAR 52.239-XX, «Federal Information Systems Using Cloud Computing Services», che riguarda i FIS basati su cloud, la seconda è FAR 52.239-YY, «Federal Information Systems Using Non-Cloud Computing Services», che disciplina i FIS che non utilizzano sistemi cloud.
Per “federal information system”, il governo intende «un sistema informatico utilizzato o gestito da un’agenzia, da un suo fornitore o da un’altra organizzazione per conto di un’agenzia».
FAR 52.239-XX
Questa clausola richiederebbe alle agenzie di determinare il livello di impatto del sistema informatico cloud-based dei fornitori utilizzando il Federal Information Processing Standard Publication 199 (FIPS-199) e il corrispondente livello di autorizzazione FedRAMP (Federal Risk and Authorization Management Program). Secondo la norma proposta, le agenzie dovranno stabilire il livello secondo quanto emerge dall’«analisi di impatto delle informazioni elaborate, archiviate o trasmesse dal sistema». Una volta individuati questi livelli, il fornitore dovrà implementare e mantenere tutte le misure di sicurezza e privacy coerenti con il proprio livello di autorizzazione FedRAMP.
In aggiunta a tali vincoli di sicurezza, FAR 52.239-XX obbliga i contraenti a partecipare ad attività di monitoraggio continuo e a fornire i deliverable di monitoraggio previsti nella «FedRAMP Continuous Monitoring Strategy Guide». Infine, i fornitori dovranno rispettare tutti i requisiti contrattuali specifici relativi alla gestione e alla cancellazione dei dati pubblici e correlati.
FAR 52.239-YY
I requisiti introdotti dalla clausola per i sistemi informatici federali non basati su cloud sono leggermente più articolati. Analogamente alla clausola precedente, le agenzie dovranno usare il FIPS-199 per determinare il livello di impatto adeguato e specificarlo in contratto. Oltre a ciò, agenzie e officianti responsabili dei contratti dovranno considerare altre questioni di sicurezza tra cui autenticazione multifattore, account amministrativi, banner di consenso e controllo dei dispositivi Internet of Things. Gli officianti dovranno infine selezionare il set di controlli di sicurezza e privacy adeguati rispetto alle linee guida emanate dal National Institute of Standards and Technology, tra cui NIST SP 800-53, NIST SP 800–213, NIST SP 800–161 e NIST SP 800–82.
Oltre ai nuovi controlli di sicurezza da includere nei contratti per FIS con sistemi non cloud, la clausola impone due ulteriori responsabilità ai fornitori federali. Innanzitutto, dovranno garantire a CISA e alle agenzie indicate dal responsabile del contratto «accesso tempestivo e completo» a dati pubblici, dati correlati e personale, ai fini di audit, indagini e ispezioni quando tali attività sono ritenute critiche per la sicurezza dei dati. Inoltre, per ogni FIS con livello FIPS-199 moderato o alto, dovranno essere condotte due valutazioni annuali: la prima è una valutazione interna delle «vulnerabilità, rischi e indicatori di compromissione», la seconda è una verifica indipendente della sicurezza del sistema informatico. I risultati di tali valutazioni, comprese le misure di mitigazione raccomandate, dovranno essere trasmessi al responsabile del contratto.
Obblighi di manleva
Ciascuna di queste clausole—FAR 52.239-XX e FAR 52.239-YY—prevede che il fornitore federale tenga indenne il governo da qualsiasi responsabilità conseguente all’esecuzione del contratto. La proposta suggerisce che tali responsabilità derivino principalmente da due scenari: l’introduzione di dati o informazioni da parte del contraente nei sistemi governativi, oppure la divulgazione non autorizzata di dati o materiali sensibili. La proposta prevede inoltre che il fornitore rinunci espressamente «a qualsiasi e ogni difesa che potrebbe essere invocata a proprio favore, inclusa (ma non limitata a) la ‘Government Contractors Defense’». Questa rinuncia obbligatoria comporta una responsabilità significativa per i fornitori federali in caso di cyberattacco, data breach o altro incidente di sicurezza.
Prepararsi ai nuovi requisiti di cybersicurezza
Non risulta imminente l’entrata in vigore di queste due nuove norme di cybersicurezza. Al termine del periodo di commento pubblico—che è stato esteso fino al 2 febbraio—le agenzie del FAR Council e quelle preposte all’applicazione dovranno esaminare e analizzare i contributi ricevuti. Solo al termine di quest’analisi sarà valutata la pubblicazione di una regola definitiva. Qualora venga emessa, la nuova normativa entrerà in vigore non prima di 60 giorni dalla pubblicazione (ma, in base alla rilevanza, tale termine può essere esteso anche a 120 giorni o oltre).
Considerata la complessità e lunghezza del processo di regolamentazione, i fornitori federali dispongono di un margine di tempo per valutare i FAR Cases 2021-017 e 2021-019 e i nuovi obblighi che potrebbero introdurre. Tuttavia, per le aziende interessate dalle proposte, è cruciale considerare seriamente la prospettiva della loro attuazione. Visto il recente aumento degli attacchi informatici e l’ordine esecutivo di Biden del 2021, non vi sono ragioni per dubitare che questi requisiti—o prescrizioni molto simili—diventeranno norme cogenti in tempi brevi.
Considerata la complessità e lunghezza del processo di regolamentazione, i fornitori federali dispongono di un margine di tempo per valutare i FAR Case 2021-017 e FAR Case 2021-019 e i nuovi obblighi che potrebbero introdurre.
