:quality(85))
W październiku ubiegłego roku Federal Acquisition Regulatory (FAR) Council, międzyagencyjny organ odpowiedzialny za ustalanie polityki zakupowej w administracji federalnej USA, zaproponował dwa nowe przepisy. Po ich finalizacji i wejściu w życie mogą one znacząco wpłynąć na sposób raportowania i reagowania na cyberataki oraz inne incydenty związane z cyberbezpieczeństwem przez wykonawców federalnych.
Pierwsza z proponowanych regulacji, Cyber Threat and Incident Reporting and Information Sharing—obejmująca klauzule FAR 52.239-ZZ oraz FAR 52.239-AA—została wydana w ramach FAR Case 2021–017. Druga, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems—w tym FAR 52.239-XX oraz FAR 52.239-YY—została opublikowana na podstawie FAR Case 2021-019.
Opublikowanie tych propozycji w dniu 3 października otworzyło 60-dniowy okres konsultacji, który miał zakończyć się 4 grudnia 2023 r. 1 listopada FAR Council przedłużyła okres na składanie uwag do 2 lutego 2024 r. Od tego czasu nie pojawiły się oficjalne aktualizacje ze strony FAR Council ani agencji współzarządzających Federal Acquisition Regulation dotyczące finalizacji przepisów lub terminu ich wejścia w życie.
Ze względu na zakres regulacji oraz skalę odpowiedzialności nałożonej na wykonawców federalnych firmy powinny dokładnie zapoznać się z wymaganiami FAR Cases 2021-017 i 2021-019.
Ze względu na zakres regulacji oraz skalę odpowiedzialności nałożonej na wykonawców federalnych firmy powinny dokładnie zapoznać się z wymaganiami FAR Cases 2021-017 i 2021-019.
Rozporządzenie prezydenta Bidena w sprawie cyberbezpieczeństwa
W maju 2021 roku prezydent Biden podpisał Rozporządzenie Wykonawcze 14028, wyraźnie zatytułowane „Improving the Nation’s Cybersecurity” („Podniesienie poziomu cyberbezpieczeństwa kraju”). Głównym celem rozporządzenia było wzmocnienie różnych środków cyberbezpieczeństwa w celu ochrony administracji federalnej przed tym, co Biały Dom określił jako „nieustające i coraz bardziej wyrafinowane złośliwe kampanie cybernetyczne”. Dyrektywa prezydencka została ogłoszona po dwóch dużych i w dużej mierze bezprecedensowych cyberatakach—atak na SolarWinds z 2020 roku oraz naruszenie danych Microsoft Exchange na początku 2021 roku. Te akty cyberszpiegostwa, przeprowadzone przez grupy hakerskie powiązane z głównymi przeciwnikami Stanów Zjednoczonych, były sygnałem początku nowej ery cyberwojny. W ich następstwie rząd USA poczuł pilną potrzebę opracowania szerokiego, skoordynowanego planu wzmocnienia krajowych systemów danych.
Dyrektywa prezydencka została ogłoszona po dwóch dużych i w dużej mierze bezprecedensowych cyberatakach—atak na SolarWinds z 2020 roku oraz naruszenie danych Microsoft Exchange na początku 2021 roku.
Rozporządzenie prezydenta Bidena zobowiązywało administrację federalną do wykorzystania „pełnego zakresu swoich uprawnień i zasobów w celu ochrony i zabezpieczenia systemów komputerowych, niezależnie od tego, czy są oparte na chmurze, lokalne czy hybrydowe”. W szczególności wskazano potrzebę ustanowienia nowych protokołów reakcji na incydenty cybernetyczne pomiędzy rządem a wykonawcami federalnymi, modernizacji infrastruktury cyberbezpieczeństwa poprzez wdrażanie usług chmurowych oraz architektury zero trust oraz ujednolicenia reakcji na zagrożenia we wszystkich agencjach federalnych.
Nowe regulacje zaproponowane przez FAR Council w październiku ubiegłego roku są kontynuacją wysiłków zmierzających do wdrożenia rozporządzenia prezydenckiego z 2021 r. Wzmacniając i rozszerzając wymogi raportowania dla wykonawców federalnych po incydentach cybernetycznych, FAR Council dąży do stworzenia warunków dla sprawniejszych i bardziej proaktywnych reakcji ze strony państwa na cyberataki oraz inne zagrożenia dla bezpieczeństwa narodowego.
Wzmacniając i rozszerzając wymogi raportowania dla wykonawców federalnych po incydentach cybernetycznych, FAR Council dąży do stworzenia warunków dla sprawniejszych i bardziej proaktywnych reakcji ze strony państwa na cyberataki oraz inne zagrożenia dla bezpieczeństwa narodowego.
FAR Case 2021-017: zakres i wymagania dotyczące cyberbezpieczeństwa
Pierwszy z proponowanych przepisów zawiera dwie klauzule: FAR 52.239-ZZ oraz FAR 52.239-AA. Obie wprowadzałyby nowe obowiązki dla wykonawców federalnych, zarówno w bezpośredniej reakcji na incydent cybernetyczny, jak i w ramach działań prewencyjnych.
FAR 52.239-ZZ
Oficjalna nazwa FAR 52.239-ZZ to „Incident and Threat Reporting and Incident Response Requirements for Products or Services Containing Information and Communications Technology” („Wymagania dotyczące raportowania i reagowania na incydenty oraz zagrożenia związane z produktami lub usługami zawierającymi technologie informacyjno-komunikacyjne”). FAR 52.239-ZZ ma na celu aktualizację i wzmocnienie zobowiązań umownych wykonawców federalnych po wystąpieniu incydentów bezpieczeństwa. Proponuje nowe wymagania dotyczące terminowej i kompleksowej reakcji na incydenty, współpracy z agencjami rządowymi prowadzącymi dochodzenie oraz utrzymywania dokumentacji, danych i innych materiałów, które mogą wspierać proces reakcji na incydent.
Zgodnie z propozycją „incydent bezpieczeństwa” obejmuje nie tylko cyberataki i inne incydenty związane z cyberbezpieczeństwem. FAR Council używa tego pojęcia również w odniesieniu do ogólnych naruszeń przepisów, polityk i procedur bezpieczeństwa, a także do przekazywania informacji niejawnych lub kontrolowanych niejawnych informacji (CUI) do dowolnego systemu informacyjnego o poziomie bezpieczeństwa poniżej wymaganego przez rząd.
- Terminy raportowania incydentów
FAR 52.239-ZZ aktualizuje okres, w jakim wykonawcy muszą zgłaszać incydenty bezpieczeństwa do rządu. Zgodnie z nową regulacją wykonawcy są zobowiązani zgłosić takie incydenty wraz z odpowiednimi informacjami za pośrednictwem portalu Cybersecurity and Infrastructure Security Agency (CISA), w ciągu ośmiu godzin od wykrycia incydentu. Następnie zgłoszenie musi być aktualizowane co 72 godziny, aż do zakończenia dochodzeń przez wszystkie właściwe agencje.
Tak szybkie raportowanie incydentów umożliwia agencjom rządowym i ich zespołom skuteczniejsze prowadzenie dynamicznych działań reagujących. Proponowane przepisy uzasadniają, że sprawne zgłaszanie i regularne aktualizacje umożliwiają badaczom „szybką analizę danych, pozwalającą na niezwłoczne rozpoznanie działań i aktywności złośliwych podmiotów, zagrożeń i wskaźników naruszeń bezpieczeństwa”.
- Dodatkowe działania wspierające reakcję agencji
Poza raportowaniem incydentów przez portal CISA w wymaganym terminie, wykonawcy muszą również brać udział w szeregu innych aktywności wspierających reakcję władz na zagrożenia. W pierwszej kolejności zobowiązani są do zapewnienia CISA, FBI i/lub upoważnionej agencji zamawiającej pełnego dostępu do wszelkich istotnych informacji, systemów i personelu bezpośrednio po incydencie.
Wykonawcy federalni ponoszą także odpowiedzialność za zachowanie wszystkich danych dotyczących zgłaszanego incydentu bezpieczeństwa. Obejmuje to utrzymywanie danych o ruchu sieciowym, logów zabezpieczeń obwodowych, telemetrii i innych związanych informacji przez co najmniej 12 miesięcy w aktywnej pamięci oraz kolejne 6 miesięcy w aktywnej lub archiwalnej pamięci masowej.
Wreszcie, nowa regulacja FAR zobowiązywałaby wykonawców do przystąpienia do programu Automated Indicator Sharing (AIS) prowadzonego przez CISA, służącego wymianie wskaźników zagrożeń cybernetycznych i rekomendowanych środków obrony. (Wykonawcy mają obowiązek udziału w AIS niezależnie od tego, czy doszło do incydentu bezpieczeństwa.)
- Software Bill of Materials
Poza obowiązkami związanymi z reakcją i raportowaniem, FAR 52.239-ZZ wprowadza wymóg utrzymywania przez wykonawców federalnych „software bill of materials” (SBOM), obejmującego wszelkie oprogramowanie wykorzystywane w ramach realizacji kontraktu federalnego. Rząd definiuje SBOM jako „sformalizowany rejestr zawierający szczegóły oraz relacje łańcucha dostaw pomiędzy komponentami użytymi do tworzenia oprogramowania”. Według Departamentu Handlu SBOM „poprawia wykrywanie luk w bezpieczeństwie oraz szybkość reakcji”, a „identyfikacja i analiza znanych podatności oraz potencjalnych metod ich łagodzenia są kluczowe w zarządzaniu ryzykiem”.
Co istotne, wykonawcy mają obowiązek prowadzenia SBOM niezależnie od wystąpienia incydentu bezpieczeństwa. Są też zobligowani do aktualizacji SBOM w przypadku wprowadzania modyfikacji w używanym oprogramowaniu podczas realizacji kontraktu. Szczegółowe wymagania dotyczące SBOM oraz jego utrzymania można znaleźć w wytycznych Departamentu Handlu: Minimum Elements for a Software Bill of Materials.
FAR 52.239-AA
Druga klauzula w ramach Case 2021-017, FAR 52.239-AA, jest znacznie bardziej skonkretyzowana. Opatrzona tytułem „Security Incident Reporting Representation”, zobowiązuje wszystkich potencjalnych oferentów do potwierdzenia historycznej zgodności z FAR 52.239-ZZ. Obejmuje to zaświadczenie o przekazaniu wszelkich wymaganych raportów dotyczących incydentów bezpieczeństwa w ramach wszystkich wcześniejszych i obecnych kontraktów w sposób „aktualny, dokładny i kompletny”.
Regulacja zobowiązuje też wszystkich oferentów do potwierdzenia, że przekazali te wymagania w poprzednich umowach poprzez włączenie odpowiednich postanowień do umów z podwykonawcami niższego szczebla.
FAR Case 2021-019: zakres i wymagania dotyczące cyberbezpieczeństwa
FAR Council opublikowała drugi projekt regulacji, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems, w ramach Case 2021-019. Wyraźnym celem tej regulacji jest ujednolicenie wymagań dotyczących cyberbezpieczeństwa pomiędzy agencjami federalnymi, ze szczególnym uwzględnieniem niejawnych federalnych systemów informacyjnych (FIS). Case 2021-019 jest podzielone na dwie klauzule, których zakres jest w dużej mierze oczywisty. Pierwsza to FAR 52.239-XX, „Federal Information Systems Using Cloud Computing Services”, i dotyczy FIS opartych na chmurze. Druga to FAR-52.239-YY, „Federal Information Systems Using Non-Cloud Computing Services”, obejmująca wszystkie FIS niewykorzystujące rozwiązań chmurowych.
Administracja federalna definiuje federalny system informacyjny jako „system informacyjny wykorzystywany lub obsługiwany przez agencję, wykonawcę na rzecz agencji lub inną organizację działającą w imieniu agencji”.
FAR 52.239-XX
Klauzula ta zobowiązywałaby agencje do określania poziomu wpływu systemu informacyjnego wykonawcy działającego w chmurze za pomocą Federal Information Processing Standard Publication 199 (FIPS-199) oraz odpowiedniego poziomu autoryzacji w ramach Federal Risk and Authorization Management Program (FedRAMP). Według projektu przepisów, agencje ustalą poziom FIPS-199 na podstawie „analizy wpływu informacji przetwarzanych, przechowywanych lub przesyłanych przez system”. Po określeniu tych poziomów wykonawca federalny musi wdrożyć i utrzymywać środki bezpieczeństwa i ochrony prywatności odpowiadające poziomowi autoryzacji FedRAMP.
Oprócz wymienionych zabezpieczeń FAR 52.239-XX zobowiązuje wykonawców do udziału w bieżących działaniach monitorujących i dostarczania raportów zgodnie z wymaganiami “FedRAMP Continuous Monitoring Strategy Guide.” Dodatkowo wykonawcy muszą przestrzegać wszelkich szczegółowych wymagań kontraktowych dotyczących przekazywania i usuwania danych rządowych oraz danych powiązanych z rządem.
FAR 52.239-YY
Wymagania wprowadzone przez klauzulę dotyczącą federalnych systemów informacyjnych niewykorzystujących chmury są nieco bardziej złożone. Podobnie jak w FAR 52.239-XX, agencje są odpowiedzialne za zastosowanie FIPS-199 do określenia odpowiedniego poziomu wpływu i wskazania go w kontrakcie. Poza tym agencje oraz urzędnicy kontraktowi muszą rozwiązać szereg innych kwestii związanych z bezpieczeństwem, takich jak uwierzytelnianie wieloskładnikowe, konta administracyjne, banery informacyjne dotyczące wyrażenia zgody oraz zabezpieczenia urządzeń typu Internet of Things. Ostatecznie urzędnicy są zobligowani do wyboru właściwego zestawu środków ochrony bezpieczeństwa i prywatności na podstawie publikacji specjalnych wydanych przez National Institute of Standards and Technology, m.in. NIST SP 800-53, NIST SP 800–213, NIST SP 800–161, NIST SP 800–82.
Oprócz nowych wymagań dotyczących bezpieczeństwa, które agencje muszą uwzględnić w umowach na FIS niewykorzystujące chmury, klauzula nakłada na wykonawców federalnych dwa istotne nowe obowiązki. Po pierwsze, mają oni zapewnić CISA i innym wskazanym przez urzędnika kontraktowego agencjom rządowym „terminowy i pełny dostęp” do danych rządowych, danych powiązanych z rządem oraz personelu na potrzeby audytów, dochodzeń i inspekcji, jeśli są one niezbędne do zapewnienia bezpieczeństwa danych. Po drugie, każdy FIS oceniony na poziomie średniego lub wysokiego wpływu FIPS-199 musi przeprowadzać dwa coroczne audyty. Pierwszy to audyt wewnętrzny skoncentrowany na ocenie „podatności, ryzyka i wskaźników naruszeń bezpieczeństwa”, a drugi to niezależny przegląd bezpieczeństwa systemu informacyjnego. Wykonawcy są zobowiązani do przekazania rezultatów tych corocznych audytów—wraz z rekomendacjami dotyczącymi działań naprawczych—odpowiednim urzędnikom kontraktowym.
Obowiązki odszkodowawcze
Każda z tych klauzul—FAR 52.239-XX i FAR 52.239-YY—zawiera zapis zobowiązujący wykonawców federalnych do zabezpieczenia rządu USA przed jakąkolwiek odpowiedzialnością wynikającą z realizacji kontraktu. Propozycja przepisów wskazuje, że źródłem takiej odpowiedzialności będą przede wszystkim dwa scenariusze: wprowadzenie przez wykonawcę danych lub materiałów do danych rządowych lub nieuprawnione ujawnienie poufnych informacji lub materiałów przez wykonawcę. Kluczowe jest również, że propozycja wymaga od wykonawców rezygnacji „z wszelkich i jakichkolwiek zarzutów, jakie mogą być wysuwane na ich korzyść, w tym (między innymi) z tzw. ‘Government Contractors Defense’.” Takie zobowiązanie oznacza znaczącą odpowiedzialność dla wykonawców w razie cyberataku, naruszenia danych lub innych incydentów bezpieczeństwa.
Przygotowanie do nowych wymogów cyberbezpieczeństwa
Nie wydaje się, aby wejście w życie tych dwóch przepisów dotyczących cyberbezpieczeństwa było kwestią najbliższych dni. Po zakończeniu okresu konsultacji społecznych—przedłużonego do 2 lutego—agencje wchodzące w skład FAR Council oraz te odpowiedzialne za wdrażanie FAR muszą przeanalizować zgłoszone uwagi. Dopiero po tym etapie podejmą decyzję o publikacji ostatecznego przepisu. Po jego ogłoszeniu przewiduje się co najmniej 60-dniowy okres przed wejściem w życie regulacji. (W zależności od wagi przepisu termin ten może wydłużyć się do 120 dni lub dłużej.)
Biorąc pod uwagę długość oraz poszczególne etapy procesu legislacyjnego, wykonawcy federalni mają pewien margines czasu na przeanalizowanie FAR Cases 2021-017 i 2021-019 oraz całego pakietu nowych obowiązków, które mogą potencjalnie się pojawić. Firmy objęte tymi projektowanymi regulacjami powinny jednak bardzo poważnie potraktować perspektywę ich wdrożenia. W obliczu ostatniej fali poważnych cyberataków oraz rozporządzenia prezydenta Bidena z 2021 roku nie ma podstaw by wątpić, że te nowe wymogi dotyczące cyberbezpieczeństwa—lub bardzo podobne—w najbliższej przyszłości staną się prawem.
Biorąc pod uwagę długość oraz poszczególne etapy procesu legislacyjnego, wykonawcy federalni mają pewien margines czasu na przeanalizowanie FAR Case 2021-017 i FAR Case 2021-019 oraz całego pakietu nowych obowiązków, które mogą potencjalnie się pojawić.
