:quality(85))
「ああ、また新しい略語か…」
規制の話となると、世の中にはたくさんの略語があり、全てを把握するのは決して簡単ではありません。RoHS、REACH、DFARS、TSCA…規制が毎年追加されるたび、リストはどんどん増えていきます。
今回はDFARSに注目します。さっそく見ていきましょう。
DFARSとは
DFARSは、Defense Federal Acquisition Regulation Supplement（国防総省連邦調達規則補足集）の略です。
これは何かというと、アメリカ国防総省（DoD）が連邦調達規則（FAR）に追加した独自の規則のセットです。FARは、1980年代に導入された、政府の調達および購買活動全般を定める基本的な規則集です。DFARSはこれを補う形で登場し、国防関連の調達に関する要件を明示しています。つまり、DFARSはアメリカ政府が軍事・防衛目的で物品やサービスを調達する際のルールを定めているのです。
DFARSの目的
Acquisition.govによると、DFARSの主な目的は、ミッション能力や運用支援の実質的な向上を計測しながら、ユーザーのニーズを満たす高品質な物品・サービスを公正かつ妥当な価格で調達することです。さらに、DFARSはアメリカの国家安全保障戦略の達成や軍の支援に不可欠な技術・プログラム・製品サポートへの投資管理を目的として存在しています。
1980年代を振り返ると、こうした規則の成り立ちや目的が見えてきます。1981年4月1日、FARはFederal Procurement Regulation（FSR、連邦調達規則）に代わる一本化された政府調達の包括的な規制体系として制定されました。FARは調達計画から契約形態、環境安全基準、知的財産権まで幅広くカバーしています。一方、国防総省は、防衛関連調達には機微な技術や国家安全保障など独自の複雑性があることに早期に気づき、DFARSが設けられました。
現在DFARSは、サイバーセキュリティなど現代的な課題や、常に変化する国家安全保障・調達実務に対応するべく継続的にアップデートされています。主な目的は以下の通りです。
- 国家安全保障
- 公正・競争的な調達
- 国家政策との整合性
- 品質保証・説明責任
:quality(85))
DFARSの対象範囲
DFARSは米国国防総省と直接契約を結ぶ企業から下請企業、支援サービスに至るまで幅広いステークホルダーに影響します。防衛請負業者は最も直接的な影響を受けるグループで、軍用機器メーカー、ITサービス事業者などが含まれます。下請企業やサプライヤも、元請が特定のDFARS条項を厳格に適用する場合、サプライチェーン全体で影響を受けます。さらに契約会社内の法務・コンプライアンス担当者、プログラムマネージャや監査担当者も対象です。
このほか、DFARSは次のような主要業界にも直接影響します。
- 航空宇宙・防衛
- IT・サイバーセキュリティ
- 製造・エンジニアリング
- 建設・インフラ
- ロジスティクス・サプライチェーン管理
- コンサルティング
DFARSが対象とする物品・サービス・材料
軍用機器
軍用機器の製造に使われる全ての物品・材料は、DFARS規制の対象となります。軍用車両、武器、航空機、医療用品、通信機器などが含まれます。こうしたものの製造に必要な様々な材料も、DFARSにより厳格に規制されています。
例えば、DFARS 252.225-7009は特定の金属の調達を管理し、国家安全保障上の要件を満たす適切な調達が求められます。チタン、タンタル、タングステンなどのスペシャルメタルが該当します。またDFARS 252.225-7030は、防衛関連製造で使用される重要な鋼材の調達とサプライチェーンのインテグリティ維持について定めています。カーボン鋼、合金鋼、装甲鋼板がここに含まれ、特定の外国製鋼材の使用は禁止されています。
テクノロジー・サイバーセキュリティ
軍用機器と言うと武器や車両を思い浮かべがちですが、テクノロジーやソフトウェア、サイバーセキュリティも国家安全保障には不可欠なツールです。これらも同様にDFARSにより規制されています。これにはサイバー脅威対策や知的財産の保護などが含まれ、物理的な材料や部品だけでなくサイバーリスクにも対応しています。
例えば、軍にコンピュータプログラムやサイバーセキュリティサービスを提供する企業は、機密情報の保護など特定のセキュリティ基準を満たす必要があります。同じことが、通信サービスを国防総省向けに提供する通信事業者にも適用されます。
非機密管理情報（CUI）
CUI（Controlled Unclassified Information）は、サイバーセキュリティと密接に関連し、保護が必要な非機密情報を指します。これは国家安全保障やプライバシー、その他重要分野に関わる機微な情報が含まれます。
DFARSにはCUI（非機密管理情報）の保護に関連する条項が複数あり、たとえばDFARS 252.204-7012では、防衛関連情報の取り扱い時にCUIを保護する義務が契約者に課せられています。さらに、NIST（National Institute of Standards and Technology、米国国立標準技術研究所）のSpecial Publication 800-171で定められる特定のセキュリティ要件を実装することも求められます。
DFARSコンプライアンス維持
元請・下請かサプライチェーンのどの位置であっても、DFARSコンプライアンスを維持することは国家安全保障だけでなく、企業の事業継続にも不可欠です。未遵守の場合は契約解除や政府からの金銭的制裁、法的責任、企業評価の失墜などが発生する可能性があります。
DFARSコンプライアンスを確保するには、自己評価を実施する、コンサルティング会社へ依頼する、またはZ2Dataのようなサプライチェーンリスクプラットフォームを活用する方法などがあります（そう、私たちです！）。Z2Dataの柔軟かつ統合・コラボレーション型プラットフォームは、お客様のコンプライアンス目標の達成をはじめ、サプライチェーン・リスク管理・サプライヤ分析など幅広い領域をご支援します。
プラットフォームやコンサルタントを使わず、自己評価を目指す場合は、NIST Special Publication 800-171A：Assessing Security Requirements for Controlled Unclassified Informationの参照が必須となります。コストは抑えられますが、十分なリソースがなければ6～11か月かけてフルコンプライアンスに至る大変複雑なプロセスとなることを警告しておきます。コンプライアンス維持計画とモニタリングについても慎重な管理が必要です。
Z2Data Insightsでもっと詳しく
サプライチェーン、コンプライアンス、調達をテーマにしたリソースや記事をお探しですか？Z2Data Insightsブログでは、規制、廃番、半導体ニュースなど、さまざまなテーマを深掘りしたコンテンツを掲載しています。
