:quality(85))
Defense Federal Acquisition Regulation Supplement（DFARS）は、米国国防総省による調達・購買活動を規定するルール・規制集です。加えて、DFARSは同省と取引を行う民間契約業者にとってもフレームワークとなっています。DFARSはFederal Acquisition Regulation（FAR：連邦調達規則）の拡張版であり、FARは15の主要な連邦実行機関全体の調達を管理しています。DFARSは連邦規則集のタイトル48・第2章に掲載されています。
国防総省の業務の多くが国家安全保障に関わるため、同省と民間契約業者間でやり取りされるデータ、情報、その他の資料は、その性質上きわめて機密性が高いものとなっています。DoD（米国国防総省）は、これらの知識を広くカバーするカテゴリーとしてcovered defense information（CDI：防衛関連機密情報）という用語を使用しており、「分類されていない制御技術情報やその他の情報で、法律、規則、政府全体の方針に沿って保護・流通管理が必要な情報」と定義しています。
過去10年ほどの間に、米国のDefense Industrial Base（DIB：防衛産業基盤）を構成する民間防衛契約業者やその他の組織は、DIBを狙い情報を窃取しようとするサイバー攻撃やその他のサイバーセキュリティ脅威の増加に直面しています。
このような新たなリスクや悪意ある攻撃者の増加に対応すべく、国防総省は調達規則コードに新たな条項を追加しました。この新しいセクションであるDFARS 252.204-7012は、契約業者に包括的なセキュリティ対策の実施を義務づけることでCDIの保護強化を目的としています。この新DFARS条項の最大の目標は、防衛契約業者全体でサイバーセキュリティを標準化し、DIBの脆弱性を悪用しようとする犯罪行為に対抗することです。
この新セクションDFARS 252.204-7012は、契約業者に包括的なセキュリティ対策の実施を義務づけることでCDIの保護強化を目的としています。
DFARS 252.204-7012とNISTセキュリティプロトコル
DFARS 252.204-7012（正式名称：Safeguarding Covered Defense Information and Cyber Incident Reporting）は、2017年12月31日に施行されました。この条項（サブセクション）は、防衛契約業者全社に求められる一連の新たなサイバーセキュリティ対策を導入しました。252.204-7012では、全てのCDIが情報漏洩やサイバー攻撃その他重大な脅威から強化されたセキュリティプロトコルによって守られることを目指しています。
DFARS 252.204-7012の下で必要となる対策には、いくつかの新要件が含まれます。中でも最も重要なのは、全ての契約業者に対し米国商務省配下のNational Institute of Standards and Technology（NIST：米国国立標準技術研究所）が策定したセキュリティ対策の「コントロール」の遵守を義務付けている点です。NIST Special Publication 800-171、もしくはNIST SP 800-171と呼ばれるガイドラインには、14の「ファミリー」に分類された合計110項目のセキュリティコントロールが掲載されています。
- アクセス制御（Access Control：AC）
- 認識・トレーニング
- 監査・説明責任
- 構成管理
- 識別・認証
- インシデント対応
- 保守
- メディア保護
- 人員セキュリティ
- 物理的保護
- リスク評価
- セキュリティ評価
- システム・通信の保護
- システム・情報の完全性
このDFARS 252.204-7012条項によって、現在すべての防衛契約業者がNIST SP 800-171の対象となり、国防総省向け業務を実施する際には110以上のセキュリティコントロールの実装が求められます。連邦政府はCUI Registry（Controlled Unclassified Information Registry）を運用しており、CDIやCUI（制御された非機密情報）の正しい取り扱いを目指す事業者の包括的なリソースとして機能しています。SP 800-171ドキュメントによれば、「CUIレジストリは承認済みCUIカテゴリー・サブカテゴリーの識別、各カテゴリーの概要、コントロールの根拠、情報のマーキング・保護・輸送・配布・再利用・廃棄といった運用手順」を定めています。
現在、全ての防衛契約業者はNIST SP 800-171の対象となっており、国防総省向け業務では100項目以上のセキュリティコントロールを実装しなければなりません。
DFARS 252.204-7012条項の追加要件
DFARS 252.204-7012によって最も重要視される新要件はNISTサイバーセキュリティプロトコルの導入ですが、本条項には他にもいくつかの重要な義務が含まれています。
- 追加要件の一つ目は、サイバーインシデント発生時の調査・報告体制に関するものです。国防総省向けに業務を行っている民間企業がCDIまたはCDIの保管・保護を担うオンラインシステムに影響するサイバーインシデントを発見した場合、速やかに指定されたDoDのルートで報告する必要があります。
- 契約業者は、そのインシデントの包括的な調査・評価も行う責任を負います。調査には、侵害されたデータ、ハードウェア、アカウント、情報システムの特定が含まれます。
- インシデントに悪意あるソフトウェアが含まれる場合、契約業者はそのソフトウェアの隔離を試み、国防総省のCyber Crime Center（DC3）に提出しなければなりません。
- 最終的には、DoDによるインシデント調査にあたり、要請があったデータ・システム・装置へのアクセスを提供する等、継続的な協力も義務付けられます。
DFARS 252.204-7012は、すべての契約業者および下請業者に同一のセキュリティ対策・報告義務の導入を求めています。これを実現するため、本条項の3つ目の要件では、元請け業者が新サイバーセキュリティ要件（252.204-7012）を関連契約へ明示し、下請け業者にも「フローダウン」させる義務がある旨が規定されています。
最新のDFARS条項
国防総省は2020年秋にDFARS Interim Rule（暫定規則）を発表し、同年11月30日に施行されました。このInterim RuleによりDFARS第252部には新たに252.204-7019、-7020、-7021の3つの条項が追加されました。これらのサブセクションは、252.204-7012で導入された義務を強化するとともに、DoDと取引する契約業者への新たな説明責任メカニズムを取り入れることを目的としています。
2019年、Defense Contract Management Agency（防衛契約管理局）は、各契約業者のNIST SP 800-171対策（252.204-7012要件）の実装状況を標準化して評価する方法の策定を担当しました。その結果として発行されたのが、NIST SP 800-171 DoD Assessment Methodology（評価手法）です。これはNISTセキュリティ対策の遵守度を自己評価するためのガイドラインです。Interim Ruleの第1部である252.204-7019は、この評価手法ツールをDFARSに効果的に制度化し、防衛契約業者全社に自己評価の実施・スコア付け、ならびに評価結果のSupplier Performance Risk System（SPRS）への報告を義務づけています。
Interim Ruleの第1部である252.204-7019は、このDoD Assessment MethodologyツールをDFARSに制度化し、防衛契約業者全社に自己評価のスコアリングを義務づけ、結果をSupplier Performance Risk System（SPRS）へ報告することを求めています。
252.204-7020条項は、NISTプロトコルの順守に関する契約業者への新たな説明責任を追加します。この条項により、国防総省は独自調査を実施する必要があると判断した場合、契約業者の施設・システム・人員へのアクセスが可能となります。また、全ての元請け業者は、DoD Assessment Methodologyを活用したNIST SP 800-171コンプライアンス評価の実施を下請け業者にも義務付け、関連するすべての契約書にその条項を明示する必要があります。
最後に、252.204-7021条項はCybersecurity Maturity Model Certification（CMMC：サイバーセキュリティ成熟度モデル認証）を導入しています。これは、契約業者によるサイバーセキュリティ運用・対策の実装成熟度を評価する新たなフレームワークです。CMMC関連の規則は現在DoDで最終調整中であるため、このサブセクションは将来的な新しいサイバーセキュリティ基準のプレースホルダー的な役割を果たしています。国防総省は、最終的にすべての契約業者にCMMCでの認証取得を義務付ける見込みであり（2024年末～2025年初頭にも発効予定）、DFARS 7021がDoD契約内でこの要件の根拠となります。
DFARS 252.204-7012コンプライアンスの重要性
サイバー攻撃・情報漏洩およびそれらを利用した犯罪行為は、米国政府、国防総省、DIB全体にとって拡大する脅威となっています。DFARS 252.204-7012は2017年、こうした攻撃の規模や頻度増加に対応するために強力かつ厳格な対抗策として導入され、今日ではほぼ全ての防衛契約業者がこの義務を負っています。本条項は、厳格なセキュリティ対策の整備、サイバーインシデントや悪質ソフトウェアによる侵入時の調査・報告体制、そしてCDI保護手段の下請けへのフローダウンの確立を求めています。
DFARS 252.204-7012は2017年に、拡大するサイバー攻撃への強力かつ厳格な対抗策として導入され、今日ではほとんどの防衛契約業者がこれに準拠する義務を負っています。
DFARS 252.204-7012を無視したり、十分な対応をしなかった場合には重大で高額な結果を招きます。NISTセキュリティ対策を実施しない防衛契約業者は、サイバー犯罪者やハッカーなどによる機密データの窃盗に対して脆弱となり、膨大な復旧コストを負う可能性があります。さらに重要なのは、国防総省がDFARS 252.204-7012およびNISTセキュリティプロトコルへの対応が不十分な契約業者に対して独自の制裁措置を明示していることです。
DFARS 252.204-7012への未対応や不十分な対応は重大かつ高額なリスクにつながります。NISTセキュリティ対策を実施しない防衛契約業者は、サイバー犯罪者・ハッカーなどの標的となるだけでなく、結果的に多大な復旧コストを負うリスクがあります。
2022年のメモで、国防総省次官室は「NIST SP 800-171の十分な実施がなされなかった場合、契約違反と見なす」と説明しています。そのうえで同メモは、「違反時の救済措置は、進捗支払いの差し止め、残契約オプションの放棄、一部または全部の契約打ち切りを含む場合がある」と続けています。この重要なセキュリティ規制を怠った契約業者は、雇用主との関係で危険な立場に立たされ、現行契約の維持のみならず、今後の国防総省や連邦政府との調達案件獲得も大きく損なわれることとなります。
