FAR協議会・新たなサイバーセキュリティ規則の現状

FAR協議会は昨年末、新たな2つのサイバーセキュリティ規則を提案しました。これらの規則は連邦請負業者に大きな影響を与える可能性があります。新たに求められる責任や、施行時期について解説します。

Michael Mariani

1分
FAR協議会・新たなサイバーセキュリティ規則の現状

昨年10月、連邦政府全体の調達方針を策定する機関間組織であるFederal Acquisition Regulatory（FAR） Councilが、新たな2つの規則案を発表しました。これらの規則案が最終化され施行されれば、連邦契約業者によるサイバー攻撃やその他サイバーセキュリティインシデントへの報告・対応方法に大きな影響を及ぼす可能性があります。

最初の規則案「Cyber Threat and Incident Reporting and Information Sharing」（FAR条項52.239-ZZおよび52.239-AAを含む）は、FAR Case 2021–017の下で発行されました。2つ目の規則案「Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems」（FAR 52.239-XXおよび52.239-YYを含む）は、FAR Case 2021-019の下で発行されました。

これらの提案は10月3日に公表され、2023年12月4日までの60日間のパブリックコメント期間が設けられていました。しかし、11月1日、FAR Councilは提案規則に対する意見募集期間を2024年2月2日まで延長すると発表しました。その後、FAR Councilおよび連邦調達規則（Federal Acquisition Regulation）を共同運営する各機関から、規則の最終化や施行日に関する公式なアップデートは発表されていません。

しかしながら、これらの規則案が対象とする範囲や連邦契約業者に課せられる責任の大きさを踏まえ、企業はFAR Case 2021-017および2021-019の内容を正確に把握しておくべきです。

これらの規則案が対象とする範囲や連邦契約業者に課せられる責任の大きさを踏まえ、企業はFAR Case 2021-017および2021-019の内容を正確に把握しておくべきです。

バイデン大統領によるサイバーセキュリティ大統領令

2021年5月、バイデン大統領は「国家のサイバーセキュリティの強化（Improving the Nation’s Cybersecurity）」と題された大統領令14028に署名しました。この大統領令の目的は、ホワイトハウスが「継続的かつ高度化する悪質なサイバーキャンペーン」と位置付ける脅威から連邦政府を守るため、サイバーセキュリティ対策を強化することでした。この指令は、2020年のSolarWindsへの攻撃や2021年初頭のMicrosoft Exchangeデータ侵害など、過去に例を見ない大規模なサイバー攻撃を受けて発出されたものです。これらのサイバースパイ行為は、米国の主要な敵対国に関与するハッカー集団によって実行され、新たなサイバー戦争時代の到来を示唆する出来事となりました。このような事態を受けて、米国政府はデータシステム強化に向けた包括的かつ統一的な計画の策定を急務と認識しました。

この大統領指令は、2020年のSolarWindsハッキング事件および2021年初頭のMicrosoft Exchange情報漏洩という大規模かつ前例のないサイバー攻撃を受けて発出されました。

バイデン大統領の大統領令は、連邦政府に対し「クラウド、オンプレミス、ハイブリッドを問わず、保有するコンピュータシステムを保護・管理するため、全権限とリソースを最大限活用する」ことを義務付けるものでした。この大統領令では、連邦政府とその契約業者間における新たなサイバーインシデント対応プロトコルの策定、セキュアなクラウドサービスおよびゼロトラストアーキテクチャによるサイバーセキュリティ基盤の近代化、および全連邦機関におけるサイバー脅威対応の標準化などが求められています。

昨年10月にFAR Councilが発表したこれらの新規則案は、2021年の大統領令を実装する取り組みの一環を成しています。連邦契約業者に対するサイバーインシデント後の報告要件を強化・拡大することで、FAR Councilはより迅速・能動的なサイバー攻撃や国家安全保障に対する悪意ある脅威への対応体制の構築を目指しています。

連邦契約業者によるサイバーインシデント発生後の報告要件を強化・拡大することで、FAR Councilはサイバー攻撃や国家安全保障上の脅威に対し、より敏速かつ積極的な政府対応を可能にする条件作りを目指しています。

FAR Case 2021-017：範囲とサイバーセキュリティ要件

最初の規則案にはFAR 52.239-ZZおよびFAR 52.239-AAの2つの条項が含まれています。いずれも連邦契約業者に、新たな責任—サイバーインシデント対応やインシデント発生時の事前措置—を課す内容となっています。

FAR 52.239-ZZ

FAR 52.239-ZZの正式名称は「Incident and Threat Reporting and Incident Response Requirements for Products or Services Containing Information and Communications Technology（情報・通信技術を含む製品またはサービスに関するインシデントおよび脅威報告・インシデント対応要件）」です。FAR 52.239-ZZは、セキュリティインシデント発生後の連邦契約業者の契約上の義務を刷新・強化しようとするものであり、インシデント発生時における迅速かつ包括的な対応、関連政府機関への協力、インシデント対応に資する資料や記録の管理などが新たに求められます。

提案によると、「セキュリティインシデント」にはサイバー攻撃やその他サイバーセキュリティインシデントだけでなく、法令・セキュリティポリシー・セキュリティ手順の一般的な違反、または分類情報や管理対象非分類情報（CUI）の許可レベル未満への転送行為も含まれます。

  • インシデント報告のタイムライン

FAR 52.239-ZZでは、契約業者が政府に対してセキュリティインシデントを報告するまでの期限が更新されます。新ルールでは、業者はインシデント発見から8時間以内に、Cybersecurity and Infrastructure Security Agency（CISA：サイバーセキュリティ・インフラセキュリティ庁）のインシデント報告ポータルを通じて関連情報とともに報告義務を負います。その後も、全ての政府機関による調査が完了するまで、72時間ごとに情報を更新し報告することが求められます。

この迅速な報告体制により、政府機関および対応チームはダイナミックで最適な対応を実現することができます。提案では、迅速な報告と継続的なアップデートが「悪意ある行為者・脅威・危険の兆候を速やかに特定するための高速なデータ分析」を可能にすると説明されています。

  • 政府のインシデント対応を支援する追加措置

所定の期間内にCISAポータル経由でセキュリティインシデントを報告するだけでなく、契約業者は政府の脅威対応を促進するための活動にも参画が必要です。まず、関係主体はインシデント直後にCISA、FBI、契約機関に関連情報、情報システム、要員への完全なアクセス権を提供しなければなりません。

加えて、連邦契約業者は報告済みのセキュリティインシデントに関連する全データの保存義務を負います。これには、ネットワークトラフィックデータ、ペリメータ防御ログ、テレメトリ、その他関連情報について、12か月間のアクティブストレージ、およびさらに6か月間のアクティブまたはコールドストレージでの保存が含まれます。

さらに新しいFAR規則では、契約業者にCISAのAutomated Indicator Sharing（AIS）プログラムへの加入が義務付けられます。これにより、サイバー脅威インジケータや推奨防御策の連絡を行います。（セキュリティインシデントが発生していない場合も、AISプラットフォームとの連携が求められます。）

  • ソフトウェア部品表（SBOM：Software Bill of Materials）

対応および報告要件のほか、FAR 52.239-ZZは連邦契約業者に対し、連邦契約に基づき利用される全てのソフトウェアについて、ソフトウェア部品表（SBOM）の維持管理を新たに義務付けています。政府はSBOMを「ソフトウェアの構成要素とサプライチェーン関係の詳細を記録した正式な記録」と定義しています。商務省によれば、SBOMデータは「脆弱性の特定および対応スピードの改善」に役立つものであり、「既知脆弱性や対策案の特定と分析には不可欠」とされています。

特筆すべきは、契約業者はセキュリティインシデントの有無にかかわらずSBOMの維持が求められ、契約中に利用ソフトウェアが更新された場合、その都度SBOMも改訂しなければならないことです。SBOMおよびその契約履行中の運用管理要件については、商務省の「Minimum Elements for a Software Bill of Materials」から確認できます。

FAR 52.239-AA

Case 2021-017の2つ目の条項であるFAR 52.239-AAは、より限定的かつ具体的な内容です。「Security Incident Reporting Representation」と題されたこの条項では、連邦政府への入札を行うすべての業者に、過去にFAR 52.239-ZZを遵守していたことの証明を要求しています。これは、既存または過去のすべての契約におけるインシデント報告を「最新かつ正確、完全な形で」提出していたことを表明することを意味します。

また、全入札者に過去の契約で下請事業者にも同規則を適用（flow down）し、その内容を下請契約に盛り込んだことの証明も義務付けています。

FAR Case 2021-019：範囲とサイバーセキュリティ要件

FAR Councilは、Case 2021-019の下で「Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems」という2つ目の規則案を発表しました。この規則の主な目的は、特に非分類連邦情報システム（FIS）に着目し、全連邦機関にわたるサイバーセキュリティ要件を標準化することです。Case 2021-019は、2つの自己解釈的な条項に分かれています。1つ目はFAR 52.239-XX「Federal Information Systems Using Cloud Computing Services」で、クラウド利用のFISを対象とします。2つ目はFAR 52.239-YY「Federal Information Systems Using Non-Cloud Computing Services」で、クラウドを利用しないFISの要件を定めています。

連邦政府は連邦情報システムを「連邦機関、またはその請負業者・代理組織が運用する情報システム」と定義しています。

FAR 52.239-XX

この条項では、連邦機関が契約業者のクラウドベースの情報システムについて、Federal Information Processing Standard Publication 199（FIPS-199）およびFederal Risk and Authorization Management Program（FedRAMP）の認可レベルを用いてインパクトレベルを判定することが求められます。提案によれば、機関はシステムが処理・保存・送信する情報の重要度分析（impact analysis）に基づきFIPS-199レベルを決定する必要があります。レベルが設定されれば、契約業者は自社のFedRAMP認証レベルに応じたセキュリティおよびプライバシー対策の実装・維持が義務付けられます。

これらのセキュリティ要件に加え、FAR 52.239-XXは契約業者に継続的モニタリング活動への参加および、「FedRAMP Continuous Monitoring Strategy Guide」で規定されたモニタリング成果物の提出も求めています。さらに、政府データや政府関連データの提供および廃棄に関する契約上の要件も順守しなければなりません。

FAR 52.239-YY

非クラウドFIS向けの条項で導入される要件はやや複雑です。FAR 52.239-XXと同様、各機関はFIPS-199でインパクトレベルを判定し、そのレベルを契約書に明記する必要があります。加えて、機関および契約担当者は、多要素認証、管理者アカウント、同意バナー、IoT機器の管理など、様々な個別セキュリティ課題についても対応策を明示しなければなりません。最終的には、NIST（国立標準技術研究所）が発行している一連の特別刊行物—NIST SP 800-53、NIST SP 800–213、NIST SP 800–161、NIST SP 800–82—を参照し、適切なセキュリティ及びプライバシー対策を選定する必要があります。

また、非クラウド型FIS向け新要件だけでなく、連邦契約業者には次の2つの新しい義務が課されます。1つ目はCISAや契約担当者の指定する政府機関に対し、監査・捜査・点検の際、「迅速かつ全面的なデータ・要員アクセス権」を提供すること。2つ目は、FIPS-199で中程度以上のインパクトレベルと評価されたFISについて、年2回のアセスメントを実施することです。1回目は「脆弱性・リスク・侵害兆候」を評価する内部アセスメント、2回目は情報システムセキュリティを第三者が独立して評価する外部レビューです。業者は、これらの評価結果や推奨対策を契約担当官に提出しなければなりません。

補償義務

これら2つの条項—FAR 52.239-XXおよび52.239-YY—いずれにも、契約履行に起因する一切の責任から政府を免責する「補償義務」規定が含まれます。提案では、こうした責任は主に2つのシナリオ—業者が政府データに情報やマテリアルを持ち込む場合、または業者による機密情報の不正漏洩—から発生すると見込まれています。加えて、契約業者は、「Government Contractors Defense（政府請負人防衛）」を含め、自己の利益のために主張できる一切の抗弁権を放棄しなければなりません。この義務的な免責規定は、サイバー攻撃やデータ侵害・セキュリティインシデント発生時に業者へ重大な責任を課すものとなります。

新サイバーセキュリティ要件への備え

これら2つのサイバーセキュリティ規則の発効日は、現時点では差し迫っているとは考えにくい状況です。意見募集期間（2月2日まで延長）終了後、FAR Council構成機関およびFAR運営機関は寄せられた意見の精査・分析を行う必要があります。この分析期間を経て初めて、最終規則の公表是非を決定します。最終規則が発行されれば、その施行には最低60日以上の期間が設けられます（規則の重要性によっては、120日以上となる場合もあります）。

規制策定プロセスの期間やステップを考慮すると、連邦契約業者にはFAR Case 2021-017および2021-019およびそれによる新たな義務への対応を検討する猶予が残されています。しかしながら、これら提案規則が適用対象となる企業は、その実行可能性について真剣に備えるべきです。近年の甚大なサイバー攻撃の増加およびバイデン大統領による2021年の大統領令を踏まえれば、これらサイバーセキュリティ要件または同様の内容の規定が近い将来に規制法として施行されることに異論はありません。

規制策定プロセスの期間やステップを踏まえ、連邦契約業者にはFAR Case 2021-017およびFAR Case 2021-019ならびにこれらが導入し得る新たな義務の評価に一定の猶予があります。