DFARSとは・定義とコンプライアンス・詳細情報

DFARSとは何か、米国政府向けに販売するサプライヤへの影響について解説します。

Michelle Adams

1分
DFARSとは・定義とコンプライアンス・詳細情報

「また新しい略語…？」

規制に関しては、数多くの略語が存在しており、そのすべてを把握するのは簡単ではありません。RoHS、REACH、DFARS、TSCA―毎年新たな規制が導入されるたびにこのリストは増えていきます。

今回はDFARSについて解説します。それでは詳しく見ていきましょう。

DFARSとは

DFARSは、Defense Federal Acquisition Regulation Supplement（国防総省連邦調達規則補足）の略称です。

何を意味する規則かというと、アメリカ国防総省（DoD）が連邦調達規則（FAR）に追加した独自の規制群を指します。FARは1980年代に導入された、政府調達全般のための一般的なルールです。DFARSはFARの追補規則として登場し、特に防衛関連の調達について、具体的な要件を定めています。つまり、DFARSは米国政府が軍事・防衛目的で財やサービスを調達する方法を規制するものです。

DFARSの目的

Acquisition.govによると、DFARSの主な目的は、ユーザーのニーズを満たし、任務能力や運用支援を測定可能に向上させる高品質な物資およびサービスを、適正価格で調達することにあります。さらに、DFARSは米国の国家安全保障戦略達成と、米軍の支援に不可欠な技術、プログラム、製品サポートへの投資を管理するために存在していると記されています。

1980年代に遡ると、これらの規則がどのように始まり、どのような目的があったかが分かります。1981年4月1日にFARはFederal Procurement Regulation（FSR／連邦調達規則）に代わり、政府調達全体を網羅する包括的な規則体系を目指して導入されました。FARは調達計画や契約形態、環境安全基準、知的財産など幅広い領域をカバーしています。しかし国防総省は、防衛分野の調達には機微な技術や国家安全保障ならではの複雑性があると認識し、DFARSが誕生しました。

現在、DFARSはサイバーセキュリティなどの現代的な課題、および進化を続ける国家安全保障・調達実務に対応するため、継続的に更新されています。主な目的の例は以下の通りです：

  • 国家安全保障

  • 公正かつ競争的な調達

  • 国家政策との整合

  • 品質保証・説明責任

dfar compliance regulations

DFARSの影響範囲

DFARSは、米国国防総省と直接契約する企業から、下請け業者やサポートサービスまで幅広いステークホルダーに影響を与えます。特に影響が大きいのは防衛請負業者であり、軍用装備品メーカーやITサービス提供者などが該当します。また、下請け企業やサプライヤも、元請け業者がDFARS要件を適用するケースではその影響を受けることがあります。さらに、契約企業内の法務・コンプライアンス部門、プログラムマネージャ、監査担当者なども対象となります。

またステークホルダーだけでなく、DFARSは以下の主要業種にも直接影響を及ぼしています：

  • 航空宇宙・防衛

  • IT・サイバーセキュリティ

  • 製造業・エンジニアリング

  • 建設・インフラ

  • ロジスティクス・サプライチェーン管理

  • コンサルティング

DFARSが対象とする財・サービス・資材

軍用装備品

軍用装備品の製造に用いられる全ての財・資材がDFARSの規制対象です。軍用車両、兵器、航空機、医療用品、通信機器などが含まれます。これらの製造に必要な多岐にわたる材料すべてが、DFARSによって明確な規制・基準の下にあります。

例えば、DFARS 252.225-7009では特定の金属調達を規定し、国家安全保障要件を満たす責任ある調達を義務づけています。チタン、タンタル、タングステンなどの特殊金属もこれに含まれます。さらにDFARS 252.225-7030では、防衛用途の重要な鋼材サプライチェーンの健全性と安全性の維持を米国政府が約束しており、炭素鋼、合金鋼、防弾鋼板などに関する要件や特定の海外製鋼材の制限も規定されています。

テクノロジー・サイバーセキュリティ

軍用装備品と言えば通常は兵器や車両が思い浮かびますが、テクノロジー、ソフトウェア、サイバーセキュリティも国家安全保障上不可欠なツールであり、DFARSによる規制対象となっています。これら規制は、物理的な材料や製造部品だけでなく、サイバー脅威対策や知的財産保護を目的としたサイバーセキュリティ要件も含まれます。

例えば、軍向けにコンピュータプログラムやサイバーセキュリティサービスを提供する企業は、機密情報保護などの具体的なセキュリティ基準への準拠がDFARSで求められます。これと同様に、DoDに通信サービスを提供する通信事業者も該当規則を遵守する必要があります。

Controlled Unclassified Information（CUI／管理対象非機密情報）

サイバーセキュリティと密接に関わるCUI（Controlled Unclassified Information）は、特別な保護が必要だが機密には分類されない情報を指します。国家安全保障やプライバシーなど重要分野に関する機微な情報が含まれます。

DFARSには、管理対象非機密情報（CUI）の保護に関する条項（例：DFARS 252.204-7012）が複数盛り込まれています。この条項は、防衛関連情報を取り扱う際、CUIを守ることを契約者に義務付けています。また、契約者はCUIに関してNIST（National Institute of Standards and Technology、米国国立標準技術研究所）特別出版800-171で定められた具体的セキュリティ対策を実装する必要があります。

DFARSコンプライアンスの維持

元請け業者、下請け業者、あるいはサプライチェーンのどこにいても、DFARSへの準拠は国家安全保障と自社のビジネス成功のために不可欠です。違反した場合、契約解除や政府からの金銭的制裁、法的リスク、そして自社の評判毀損につながる可能性もあります。

DFARSコンプライアンスを確保するための方法はいくつかあり、自己評価の実施、コンサルティング会社の活用、またはZ2Dataのようなサプライチェーンリスクプラットフォームを利用することも選択肢です（ちなみに、これが私たちです！）。業種を問わず、当社の柔軟かつ統合された協働プラットフォームは、コンプライアンス目標の達成に加え、サプライチェーン、リスク管理、サプライヤインサイトなどその他領域の支援にも有効です。

もしプラットフォームやコンサルタントを利用せず、自力で自己評価に取り組む場合は、NIST Special Publication 800-171A：Assessing Security Requirements for Controlled Unclassified Informationを必ず参考にしてください。コスト面では負担が少ないものの、十分なリソースがなければ、完全なコンプライアンス達成まで6〜11か月かかるなど、非常に複雑かつ長期的なプロセスになる場合もあるとご注意ください。あわせて、コンプライアンス維持計画の策定と、その継続的な監視体制作りにも細心の注意が求められます。