:quality(85))
Defense Federal Acquisition Regulation Supplement (DFARS) to zestaw przepisów regulujących sposób, w jaki Departament Obrony prowadzi działania związane z zaopatrzeniem i zamówieniami. Ponadto stanowi on ramy postępowania dla prywatnych wykonawców współpracujących z tą agencją. DFARS jest rozszerzeniem Federal Acquisition Regulation (FAR), które nadzoruje zaopatrzenie we wszystkich 15 głównych agencjach federalnych, i znajduje się w Rozdziale 2 Tytułu 48 Kodeksu Przepisów Federalnych.
Ze względu na znaczenie kwestii bezpieczeństwa narodowego w pracy realizowanej przez Departament Obrony, wiele danych, informacji i innych materiałów przekazywanych pomiędzy agencją a prywatnymi wykonawcami ma charakter wysoce wrażliwy. Departament Obrony używa określenia covered defense information (CDI — chronione informacje obronne) dla szerokiej kategorii tego typu wiedzy, którą definiuje jako „niejawną kontrolowaną informację techniczną lub inną informację… która wymaga zabezpieczenia lub kontroli udostępniania zgodnie z przepisami prawa, regulacjami oraz polityką ogólnorządową”.
W minionej dekadzie podmioty prywatne działające jako wykonawcy obronni oraz inne organizacje należące do rozległego łańcucha dostaw amerykańskiej bazy przemysłowej sektora obronnego (DIB — Defense Industrial Base) doświadczyły niepokojącego wzrostu cyberataków i innych zagrożeń cyberbezpieczeństwa. Celem tych ataków jest przenikanie do DIB i kradzież poufnych informacji.
W odpowiedzi na te nowe zagrożenia oraz rosnącą liczbę cyberprzestępców Departament Obrony dodał nową klauzulę do swojego kodeksu zamówień. Nowa sekcja, DFARS 252.204-7012, ma na celu wzmocnienie ochrony CDI poprzez zobowiązanie wykonawców do wdrożenia szerokiego zestawu mechanizmów zabezpieczeń. Główne cele nowej klauzuli DFARS to ustandaryzowanie cyberbezpieczeństwa u wszystkich wykonawców branży obronnej oraz przeciwdziałanie rosnącej liczbie aktorów przestępczych próbujących wykorzystać słabe punkty DIB.
Ta nowa sekcja, DFARS 252.204-7012, ma na celu wzmocnienie ochrony CDI poprzez zobowiązanie wykonawców do wdrożenia szerokiego zestawu mechanizmów zabezpieczeń.
DFARS 252.204-7012 i protokół bezpieczeństwa NIST
DFARS 252.204-7012, oficjalnie zatytułowana „Safeguarding Covered Defense Information and Cyber Incident Reporting”, obowiązuje od Sylwestra 2017 roku. Klauzula — określana także mianem podsekcji — wprowadziła szereg nowych wymogów z zakresu cyberbezpieczeństwa, których muszą przestrzegać wszyscy wykonawcy branży obronnej. Podsekcja 252.204-7012 ma na celu zapewnienie, że wszystkie chronione informacje obronne są zabezpieczone przed wyciekami danych, cyberatakami i innymi istotnymi zagrożeniami poprzez wprowadzenie zaawansowanych procedur bezpieczeństwa.
Wymogi określone w DFARS 252.204-7012 wprowadzają kilka nowych obowiązków. Najważniejszy z nich nakłada na wszystkich wykonawców obowiązek wdrożenia zbioru mechanizmów bezpieczeństwa publikowanych przez National Institute of Standards and Technology (NIST) — instytucję w ramach Departamentu Handlu USA, zajmującą się rozwojem innowacji i konkurencyjności w nauce, technologii i inżynierii. Wytyczne te znane są jako NIST Special Publication 800-171 lub po prostu NIST SP 800-171 i zawierają 110 indywidualnych zabezpieczeń pogrupowanych w 14 „rodzin”.
- Access Control (AC)
- Awareness and Training
- Audit and Accountability
- Configuration Management
- Identification and Authentication
- Incident Response
- Maintenance
- Media Protection
- Personnel Security
- Physical Protection
- Risk Assessment
- Security Assessment
- System and Communications Protection
- System and Information Integrity
Zgodnie z podsekcją DFARS 252.204-7012, wszyscy wykonawcy branży obronnej są obecnie zobowiązani wdrożyć normę NIST SP 800-171 oraz ponad 100 wymienionych w niej mechanizmów zabezpieczeń podczas realizacji zleceń dla Departamentu Obrony. Rząd federalny prowadzi rejestr CUI (Controlled Unclassified Information), stanowiący uniwersalne źródło wiedzy dla podmiotów zajmujących się CDI oraz informacjami niejawnymi podlegającymi szczególnej ochronie (CUI). Zgodnie z oryginalnym dokumentem SP 800-171, repozytorium to „identyfikuje zatwierdzone kategorie i podkategorie CUI, zapewnia ich opisy, określa podstawy zabezpieczeń oraz wskazuje procedury postępowania z CUI, w tym m.in. oznakowanie, chronienie, transport, udostępnianie, ponowne użycie i utylizację danych”.
Wszyscy wykonawcy branży obronnej są obecnie zobowiązani wdrożyć normę NIST SP 800-171 oraz ponad 100 mechanizmów zabezpieczeń przy realizacji prac dla Departamentu Obrony.
Dodatkowe wymogi klauzuli DFARS 252.204-7012
Najistotniejszym nowym wymogiem wprowadzonym przez DFARS 252.204-7012 jest protokół cyberbezpieczeństwa NIST, jednak klauzula zawiera także szereg innych ważnych obowiązków.
- Pierwszy z dodatkowych wymogów dotyczy przeglądu i raportowania przypadków naruszenia bezpieczeństwa IT. Jeżeli podmiot prywatny pracujący dla Departamentu Obrony wykryje incydent cybernetyczny mogący wpłynąć na CDI lub na system online, który odpowiadał za przechowywanie i zabezpieczanie CDI, musi niezwłocznie zgłosić incydent za pośrednictwem określonych kanałów DoD.
- Wykonawca jest także odpowiedzialny za przeprowadzenie kompleksowego przeglądu i oceny incydentu. Takie działania polegają na identyfikacji naruszonych danych, sprzętu, kont i systemów informatycznych.
- Jeżeli incydent obejmuje wykrycie złośliwego oprogramowania, wykonawca powinien podjąć próbę jego odizolowania i przesłać do Cyber Crime Center (DC3) Departamentu Obrony.
- Ostatecznie wykonawca zobowiązany jest do stałej współpracy z DoD podczas jego dochodzenia, w tym do udostępnienia wszelkich wymaganych danych, systemów i sprzętu.
DFARS 252.204-7012 nakłada na wszystkich wykonawców i podwykonawców obowiązek wdrożenia tych samych mechanizmów zabezpieczeń oraz przestrzegania jednolitych procedur raportowania podczas pracy z CDI. W tym celu trzeci punkt klauzuli zobowiązuje głównych wykonawców do przekazania nowych wymogów cyberbezpieczeństwa wszystkim podwykonawcom poprzez zamieszczenie klauzuli 252.204-7012 w odpowiednich umowach.
Najnowsze klauzule DFARS
Jesienią 2020 roku Departament Obrony wydał DFARS Interim Rule, który wszedł w życie 30 listopada 2020 r. Przepisy tymczasowe dodały trzy nowe klauzule do części 252 DFARS: 252.204-7019, -7020 i -7021. Podsekcje te mają rozszerzać obowiązki nałożone przez 252.204-7012, a także wprowadzać nowe mechanizmy odpowiedzialności dla wykonawców współpracujących z DoD.
W 2019 roku Defense Contract Management Agency otrzymała zadanie znalezienia sposobu na standaryzację oceny wdrożenia przez poszczególnych wykonawców protokołu NIST SP 800-171 (wymaganego przez 252.204-7012). Efektem tych prac była publikacja NIST SP 800-171 DoD Assessment Methodology — szczegółowej metodyki umożliwiającej wykonawcom ocenę, w jakim stopniu spełniają oni wymogi NIST. Pierwsza część Interim Rule, 252.204-7019, w praktyce wprowadza ten mechanizm oceny do DFARS, zobowiązując wykonawców obronnych do przeprowadzania samoocen i raportowania uzyskanych wyników do Supplier Performance Risk System (SPRS).
Pierwsza część Interim Rule, 252.204-7019, w praktyce wprowadza narzędzie DoD Assessment Methodology do DFARS, zobowiązując wszystkich wykonawców obronnych do przeprowadzania i punktowania takich samoocen oraz do raportowania tych wyników do Supplier Performance Risk System (SPRS).
Podsekcja 252.204-7020 wprowadza kolejny poziom odpowiedzialności dla wykonawców realizujących protokół NIST. Klauzula umożliwia Departamentowi Obrony dostęp do obiektów, systemów i personelu wykonawcy, jeśli agencja uzna, że konieczne jest przeprowadzenie własnej, niezależnej oceny. 252.204-7020 nakazuje również wszystkim głównym wykonawcom wymagać od podwykonawców przeprowadzania własnych ocen zgodności z NIST SP 800-171 przy wykorzystaniu DoD Assessment Methodology oraz wprowadzenie odpowiednich zapisów we wszystkich umowach podwykonawczych.
Ostatnia z klauzul, 252.204-7021, wprowadza Cybersecurity Maturity Model Certification (CMMC) — nowy system oceny wdrożenia praktyk cyberbezpieczeństwa oraz powiązanych zabezpieczeń. Ponieważ zasady dotyczące CMMC są jeszcze dopracowywane przez DoD, podsekcja ta pełni obecnie funkcję zapowiedzi dla przyszłego obowiązkowego standardu w tym zakresie. Docelowo Departament Obrony będzie wymagał od wszystkich wykonawców uzyskania certyfikacji CMMC — potencjalnie jeszcze pod koniec 2024 lub na początku 2025 roku — a DFARS 7021 ma być głównym narzędziem prawnym realizacji tego obowiązku w umowach DoD.
Znaczenie zgodności z DFARS 252.204-7012
Cyberataki oraz wycieki danych, które generują i wykorzystują, stanowią narastające zagrożenie dla rządu USA, Departamentu Obrony oraz całego sektora DIB. DFARS 252.204-7012 zostało wprowadzone w 2017 roku jako solidny i rygorystyczny środek przeciwdziałania rosnącej skali i częstotliwości tych ataków. Obecnie niemal wszyscy wykonawcy branży obronnej są zobowiązani do jego stosowania. Klauzula wymaga wdrożenia szerokiego zestawu mechanizmów zabezpieczeń, przyjęcia standardowych procedur przeglądu i raportowania incydentów cybernetycznych oraz ataków złośliwego oprogramowania, a także wdrożenia praktyk przekazywania wymogów ochrony CDI podwykonawcom.
DFARS 252.204-7012 zostało wprowadzone w 2017 roku jako solidny, rygorystyczny środek przeciwdziałania rosnącej skali i częstotliwości ataków, a obecnie niemal każdy wykonawca branży obronnej jest zobowiązany do jego stosowania.
Konsekwencje zignorowania lub niewystarczającego wdrożenia DFARS 252.204-7012 są poważne i kosztowne. Wykonawcy obronni, którzy nie wdrożą wymogów bezpieczeństwa NIST, są podatni na działania cyberprzestępców, hakerów oraz innych aktorów dążących do kradzieży wrażliwych danych, a w konsekwencji mogą ponieść znaczne koszty przywracania bezpieczeństwa. Co istotniejsze, Departament Obrony przedstawił własny zakres środków zaradczych wobec wykonawców, którzy nie wywiążą się z DFARS 252.204-7012 oraz powiązanego protokołu bezpieczeństwa NIST.
Konsekwencje zignorowania lub niewystarczającego wdrożenia DFARS 252.204-7012 są poważne i kosztowne. Wykonawcy obronni, którzy nie wdrożą wymogów bezpieczeństwa NIST, są narażeni na działania cyberprzestępców, hakerów oraz innych podmiotów dążących do kradzieży wrażliwych danych, a w konsekwencji mogą ponieść znaczne koszty przywrócenia bezpieczeństwa.
W memorandum z 2022 r. Biuro Podsekretarza Obrony wyjaśniło, iż niewdrożenie odpowiednich środków z NIST SP 800-171 będzie traktowane jako naruszenie warunków umowy. „Środki zaradcze w przypadku takiego naruszenia”, stwierdzono, mogą obejmować „wstrzymanie płatności, rezygnację z opcji umowy oraz potencjalnie rozwiązanie umowy w całości lub w części”. Wykonawca, który zlekceważy te krytyczne wymogi bezpieczeństwa, naraża się na ryzyko utraty bieżącego kontraktu oraz znacząco obniża swoje szanse na pozyskanie nowych zamówień z Departamentu Obrony i administracji federalnej.
