:quality(85))
昨年10月、米連邦政府全体の調達方針を策定する連邦調達規則（FAR）評議会が、新たな規則案2件を提案しました。これらの規則が施行されれば、連邦請負業者によるサイバー攻撃やその他サイバーセキュリティインシデントへの報告・対応方法に大きな影響を与える可能性があります。
最初の規則案「Cyber Threat and Incident Reporting and Information Sharing」（FAR 52.239-ZZおよびFAR 52.239-AAを含む）は、FARケース2021–017で発表されました。2つ目の規則案「Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems」（FAR 52.239-XX・FAR 52.239-YYを含む）は、FARケース2021-019で発表されました。
これらの規則案が発出された10月3日より、60日間のパブリックコメント期間が始まり、2023年12月4日に終了予定でしたが、11月1日にFAR評議会がコメント期限を2024年2月2日まで延長しました。その後、ルールの最終化や施行日について、FAR評議会や連邦調達規則（FAR）を共同運営する各機関から公式なアップデートは出ていません。FAR詳細
しかし、これら規則の適用範囲や連邦請負業者に課される責任の大きさを鑑みると、企業はFARケース2021-017および2021-019の内容を正確に把握しておく必要があります。
これら規則の適用範囲や連邦請負業者に課される責任の大きさを鑑みると、企業はFARケース2021-017および2021-019の内容を正確に把握しておく必要があります。
バイデン大統領・サイバーセキュリティ大統領令
2021年5月、バイデン大統領は「米国のサイバーセキュリティの強化（Executive Order 14028）」と題した大統領令に署名しました。この大統領令は、ホワイトハウスが「継続的かつ高度化する悪意あるサイバー攻撃」と位置付ける一連の脅威から連邦政府を保護することを目的に、様々なサイバーセキュリティ強化を推進する方針を明示しました。この指令は、2020年のSolarWinds侵害事件や2021年初頭のMicrosoft Exchangeデータ漏洩という、前例のない大規模サイバー攻撃を受けて発出されたものです。これら国家的なサイバースパイ行為は、米国の主要な対立国に関与するハッカー集団によるものであり、新たなサイバー戦争時代の到来を示唆する出来事と見なされました。こうした事態を受け、米国政府は自らのデータシステム強化に向けた包括的かつ統一的な計画策定の必要性を一層強く意識するに至りました。
この大統領指令は、2020年のSolarWinds侵害事件や2021年初頭のMicrosoft Exchangeデータ漏洩という2つの大規模かつ前例のないサイバー攻撃を受けて発出されました。
バイデン大統領令では、クラウド・オンプレミス・ハイブリッドを問わず、あらゆる計算機システムを政府が「その権限とリソースの全てを使って守り、確保する」ことが求められています。とりわけ、政府と連邦請負業者間の新たなインシデント対応プロトコル策定、セキュアなクラウド活用とゼロトラストアーキテクチャによるインフラ刷新、連邦全庁横断的な脅威対応の標準化等が指示されています。
そして2023年10月にFAR評議会が提案した新ルールは、2021年の大統領令実行をさらに推進するものです。連邦請負業者によるインシデント発生時の報告要件を強化・拡充することで、サイバー攻撃その他国家安全保障を脅かす脅威への政府対応を、より機動的かつ先手で行える環境を整えようとしています。
連邦請負業者によるインシデント発生時の報告要件を強化・拡充することで、FAR評議会はサイバー攻撃等への政府のより迅速・積極的な対応態勢を目指しています。
FARケース2021-017：適用範囲・サイバーセキュリティ要件
最初の規則案には、FAR 52.239-ZZとFAR 52.239-AAの2つの条項が盛り込まれています。いずれも連邦請負業者に、新たなサイバーインシデント対応義務や、未発生時も含む予防策遂行等、追加的な責任を課す内容です。
FAR 52.239-ZZ
FAR 52.239-ZZの正式名称は「情報通信技術を含む製品・サービスにおけるインシデント・脅威報告およびインシデントレスポンス要件」です。本条項は、連邦請負業者のセキュリティインシデント発生時の契約上の義務を更新・強化するもので、速やかかつ網羅的な対応、当該インシデント調査を行う政府機関との協力、レスポンス過程に資するファイル・記録その他資料の保持等が新要件となります。
提案では、「セキュリティインシデント」とはサイバー攻撃等サイバーセキュリティ事案に留まらず、法令・セキュリティ方針・手順の違反、さらに認可された政府のセキュリティレベル未満の情報システムへの、機密情報または管理対象非機密情報（CUI）の移転等も含む広い概念です。
インシデント報告タイムライン
FAR 52.239-ZZでは、インシデント発生時に政府へ報告する期限が改定されます。新規則下では、請負業者はインシデントの初期検知から8時間以内に、Cybersecurity and Infrastructure Security Agency（CISA）のインシデント報告ポータルを通して、全関連情報とともに報告義務が生じます。その後、すべての調査機関対応終了まで、72時間ごとにアップデート提出が必要となります。
こうした迅速な報告が、政府機関の最適かつダイナミックなレスポンス実行を支える基盤となります。規則案でも「迅速なデータ分析により悪意のある行為者・脅威・侵害インジケータの特定を可能にする」と報告・アップデートの重要性が強調されています。
政府対応支援の追加的義務
CISAポータルによる時限内のインシデント報告に加え、請負業者には政府の脅威対応を支援する複数の行動が求められます。第一に、対象者はCISA・FBI・契約官庁に対し、インシデント発生直後から関連する全情報・情報システム・人員への完全なアクセスを提供しなければなりません。
また、当該セキュリティインシデントに関するあらゆるデータの保持も義務付けられています。ネットワークトラフィックデータ、防御ログ、テレメトリ等を12ヶ月間アクティブストレージで、更に6ヶ月間はアクティブもしくはコールドストレージで保管する必要があります。
さらに新規則下では、請負業者がCISAのAutomated Indicator Sharing（AIS）プログラムへ加入し、脅威インジケータや対策を共有することも要件となります。（インシデント発生の有無を問わずAISプラットフォームとの連携が必須です。）
ソフトウェア部品表（SBOM）
レスポンス・報告だけでなく、FAR 52.239-ZZは連邦請負業者に対し、契約業務で使用する全ソフトウェアを対象としたSBOM（ソフトウェア部品表）の維持義務も導入します。SBOMとは「ソフトウェア構築時に利用される各種コンポーネントの詳細およびサプライチェーン関係性を記載した正式な記録物」と定義され、商務省によれば「脆弱性特定力と対応速度向上」に寄与し、「リスク管理上必須の脆弱性特定・分析・対策立案を可能にする」とされています。
なお、請負業者はインシデント未発生時もSBOMの維持が義務であり、契約期間中のソフトウェアのアップデート時にはSBOMも更新しなければなりません。連邦契約履行時のSBOM要件詳細については、商務省の「ソフトウェア部品表の最小要素」で確認できます。
FAR 52.239-AA
ケース2021-017の2つ目の条項であるFAR 52.239-AAは、より限定的かつ具体的です。「セキュリティインシデント報告に関する申請者表明」と題された本条項では、政府契約申込みを行う全請負業者に、過去及び現契約においてFAR 52.239-ZZに基づく必要なインシデント報告を「正確かつ完全な形で行ったこと」を証明する表明義務が課されます。
また、請負希望者は、下位サブコントラクターに対してもFAR 52.239-ZZの内容をサブ契約へ組み込む、いわゆるフローダウン義務も確認・表明しなければなりません。
FARケース2021-019：適用範囲・サイバーセキュリティ要件
FAR評議会がケース2021-019で提示した2つ目の規則案「Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems」は、未分類の連邦情報システム（FIS）に関するサイバーセキュリティ要件を標準化することが明確な目的です。ケース2021-019にはFAR 52.239-XX（クラウドベースのFISを対象）とFAR 52.239-YY（非クラウドのFISを対象）の2条項が含まれ、その線引きは容易に理解できます。
連邦政府は、連邦情報システム（FIS）を「政府機関・その請負業者またはその代理の組織が使用または運用する情報システム」と定義しています。
FAR 52.239-XX
本条項は、クラウド型情報システムを持つ請負業者に対し、FIPS 199（Federal Information Processing Standard Publication 199）およびFedRAMP（Federal Risk and Authorization Management Program）の認証レベルによるインパクトレベル判定を求めるものです。規則案によれば、システムで処理・保管・送信される情報のインパクト分析に基づいてFIPS 199レベルを決定し、請負業者はそのレベルに応じたセキュリティ・プライバシー対策を実装・維持する義務が生じます。
加えて、FAR 52.239-XXは請負業者に対し「FedRAMP Continuous Monitoring Strategy Guide」に則った継続的モニタリング活動およびレポート提出も義務付けます。契約上、政府または関連機関のデータの提供・廃棄に関するすべての要件遵守も求められます。
FAR 52.239-YY
非クラウド型のFISに関する本条項では、やや複雑な追加要件が提示されています。まずFAR 52.239-XXと同様に、FIPS 199によるインパクトレベル評価および契約書での明記が必要となります。その上で、認証機能や管理アカウント、同意バナー、IoT機器制御等、その他多数のセキュリティ事項も特定・対処が必要です。さらに、National Institute of Standards and Technology（NIST）の特別刊行物の指針（NIST SP 800-53・800-213・800-161・800-82）から適切なセキュリティ・プライバシー対策群を選定しなければなりません。
FIS用非クラウドシステム契約に新設されるセキュリティ要件に加え、本条項は連邦請負業者への2つの重要な義務を新たに課します。第一に、CISAまたは契約官が指定する他の政府機関に、監査や調査・点検のために必要と認められる際、政府データ・関連人員への「迅速かつ全面的なアクセス」提供が求められます。次に、FIPS 199インパクトレベルが中程度以上と判定されたFISには、年2回のアセスメント（内部評価および外部独立評価）が義務付けられ、その結果および推奨対策を契約官に提出しなければなりません。
補償（インデムニフィケーション）義務
各条項（FAR 52.239-XX・52.239-YY）は、連邦請負業者に対し契約履行に起因するあらゆる責任から政府を補償するインデムニフィケーション条項を含みます。主な想定ケースは、請負業者による政府データへの情報等の導入、または機密情報の非許可開示です。提案では請負業者が「Government Contractors Defense」（政府請負業者防御）を含む全ての抗弁（defense）を放棄することも義務付けられ、大規模なサイバー攻撃やデータ侵害発生時に多額の責任負担を強いる内容となっています。
新サイバーセキュリティ要件への備え
現時点でこれら2規則の施行日は直ちに設定される見込みではありません。パブリックコメント（2月2日まで延長）後、FAR評議会およびFAR運用機関は意見の精査・分析を経て、最終規則発出の要否判断を行います。仮に最終規則となった場合、少なくとも60日間（場合によっては最大120日以上）の導入準備期間が発生します。
こうした規則策定手続きの所要期間を踏まえると、連邦請負業者はFARケース2021-017および2021-019ならびに新たな義務内容の影響を十分検討する余地があります。しかし、対象事業者は施行の可能性を真正面から受け止め、早期の備えが不可欠です。近年頻発する重大サイバー攻撃やバイデン政権の大統領令を鑑みれば、これら新サイバーセキュリティ要件、または類似規制が近い将来法制化されることは十分予想されます。
規則策定手続きの期間を踏まえると、連邦請負業者はFARケース2021-017および2021-019と、新たに課される義務内容の影響を検討する猶予があります。
