:quality(85))
W październiku ubiegłego roku Federal Acquisition Regulatory (FAR) Council — międzyagencyjny organ odpowiedzialny za ustalanie polityki zamówień publicznych całego rządu federalnego — zaproponował dwa nowe przepisy. Po ich finalizacji i wejściu w życie, zasady te mogłyby znacząco wpłynąć na sposób, w jaki federalni kontrahenci raportują i reagują na cyberataki oraz inne incydenty związane z cyberbezpieczeństwem.
Pierwszy z proponowanych przepisów, Cyber Threat and Incident Reporting and Information Sharing — obejmujący klauzule FAR 52.239-ZZ i FAR 52.239-AA — został wydany w ramach FAR Case 2021–017. Drugi przepis, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems — obejmujący FAR 52.239-XX i FAR 52.239-YY — wydano w ramach FAR Case 2021-019.
Publikacja tych propozycji 3 października uruchomiła 60-dniowy okres konsultacji społecznych, który miał zakończyć się 4 grudnia 2023 r. 1 listopada FAR Council przedłużyła okres zgłaszania uwag do 2 lutego 2024 r. Od tego czasu nie pojawiły się oficjalne aktualizacje ze strony FAR Council ani agencji współadministrowających Federal Acquisition Regulation, dotyczące finalizacji zasad lub wejścia ich w życie.
Ze względu na zakres tych przepisów oraz skalę odpowiedzialności, jaką nakładają na federalnych kontrahentów, firmy powinny być świadome dokładnej treści FAR Case 2021-017 oraz FAR Case 2021-019.
Ze względu na zakres tych przepisów oraz skalę odpowiedzialności, jaką nakładają na federalnych kontrahentów, firmy powinny być świadome dokładnej treści FAR Case 2021-017 oraz FAR Case 2021-019.
Rozporządzenie wykonawcze Prezydenta Bidena w sprawie cyberbezpieczeństwa
W maju 2021 r. prezydent Biden podpisał Rozporządzenie Wykonawcze 14028 zatytułowane „Poprawa cyberbezpieczeństwa kraju”. Celem rozporządzenia było wzmocnienie zabezpieczeń cybernetycznych w celu lepszej ochrony rządu federalnego przed — zgodnie z Białym Domem — „uporczywymi i coraz bardziej wyrafinowanymi wrogimi kampaniami cybernetycznymi”. Dyrektywa prezydenta pojawiła się bezpośrednio po dwóch ogromnych i bezprecedensowych cyberatakach: ataku na SolarWinds w 2020 r. oraz wycieku danych z Microsoft Exchange na początku 2021 r. Incydenty te, przeprowadzone przez grupy hakerskie powiązane z głównymi przeciwnikami USA, sygnalizowały nadejście nowej ery cyberwojen. W ich następstwie rząd amerykański odczuwał rosnącą presję, by zacząć opracowywać szeroko zakrojony, spójny plan wzmocnienia bezpieczeństwa swoich systemów informatycznych.
Dyrektywa prezydenta pojawiła się bezpośrednio po dwóch ogromnych i bezprecedensowych cyberatakach: ataku na SolarWinds w 2020 r. oraz wycieku danych z Microsoft Exchange na początku 2021 r.
Rozporządzenie wykonawcze Prezydenta Bidena zobowiązało rząd federalny do pełnego wykorzystania „całego zakresu swoich uprawnień i zasobów w celu ochrony i zabezpieczenia własnych systemów komputerowych — niezależnie, czy są one oparte o chmurę, lokalne czy hybrydowe”. Rozporządzenie nakłada konieczność wdrożenia nowych protokołów postępowania z incydentami cybernetycznymi pomiędzy rządem a federalnymi wykonawcami, modernizacji infrastruktury cyberbezpieczeństwa poprzez wdrożenie bezpiecznych usług chmurowych i architekturę zero trust oraz standaryzację procedur reagowania wobec zagrożeń we wszystkich agencjach rządowych.
Nowe regulacje zaproponowane przez FAR Council w październiku ub.r. stanowią kontynuację wdrażania rozporządzenia z 2021 r. Poprzez zaostrzenie i rozszerzenie wymogów raportowania dla federalnych wykonawców po incydentach cybernetycznych FAR Council dąży do stworzenia warunków umożliwiających bardziej elastyczną i proaktywną reakcję rządu na cyberataki oraz inne groźby dla bezpieczeństwa narodowego.
Poprzez zaostrzenie i rozszerzenie wymogów raportowania dla federalnych wykonawców po incydentach cybernetycznych FAR Council dąży do stworzenia warunków umożliwiających bardziej elastyczną i proaktywną reakcję rządu na cyberataki oraz inne groźby dla bezpieczeństwa narodowego.
FAR Case 2021-017: zakres i wymagania dotyczące cyberbezpieczeństwa
Pierwsze z proponowanych przepisów obejmuje dwie klauzule: FAR 52.239-ZZ i FAR 52.239-AA. Obie wprowadziłyby nowe obowiązki dla federalnych kontrahentów, zarówno bezpośrednio po wystąpieniu incydentu cybernetycznego, jak i w formie działań zapobiegawczych na wypadek jego pojawienia się.
FAR 52.239-ZZ
Oficjalna nazwa klauzuli FAR 52.239-ZZ to „Incident and Threat Reporting and Incident Response Requirements for Products or Services Containing Information and Communications Technology”. Klauzula ta aktualizuje i rozszerza kontraktowe zobowiązania federalnych wykonawców po incydentach bezpieczeństwa, m.in. poprzez wprowadzenie nowych wymagań reakcji na incydenty w sposób niezwłoczny i kompleksowy, współpracy z agencjami rządowymi prowadzącymi postępowania wyjaśniające oraz utrzymywania dokumentacji, rejestrów i innych materiałów mogących wspierać działania zaradcze.
Zgodnie z projektem „incydent bezpieczeństwa” obejmuje nie tylko cyberataki i inne wydarzenia związane z cyberbezpieczeństwem. FAR Council używa tego terminu także wobec ogólnych naruszeń prawa, polityk i procedur bezpieczeństwa, jak również wobec transferu informacji niejawnych lub kontrolowanych informacji nieklasyfikowanych (CUI) do jakiegokolwiek systemu informatycznego o poziomie ochrony poniżej przewidzianego przez rząd federalny.
Harmonogram raportowania incydentów
FAR 52.239-ZZ skraca czas na zgłoszenie incydentu bezpieczeństwa władzom federalnym. Według nowych zasad, wykonawcy są zobowiązani raportować te incydenty — wraz ze stosownymi informacjami — poprzez portal zgłaszania incydentów Agencji Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) nie później niż 8 godzin od wykrycia incydentu. Następnie zgłoszenie musi być aktualizowane co 72 godziny aż do momentu zakończenia śledztwa przez wszystkie agencje rządowe.
Tak szybkie zgłaszanie incydentów wspiera agencje rządowe w prowadzeniu najbardziej efektywnych i dynamicznych działań zaradczych. Projekt regulacji podkreśla, że niezwłoczne raportowanie i bieżące aktualizacje pozwalają służbom na „szybką analizę danych w celu niezwłocznego wykrywania działań sprawców, zagrożeń oraz oznak naruszeń bezpieczeństwa”.
Dalsze działania wspierające reakcję rządu na incydent
Poza samym raportowaniem incydentu przez portal CISA w określonym terminie, wykonawcy muszą uczestniczyć także w innych działaniach ułatwiających rządową reakcję na zagrożenie. Po pierwsze, zobowiązani są do zapewniania CISA, FBI oraz/lub właściwej agencji zamawiającej pełnego dostępu do wszystkich istotnych informacji, systemów i personelu niezwłocznie po wystąpieniu incydentu.
Federalni wykonawcy odpowiadają także za zabezpieczenie i przechowywanie wszelkich danych związanych ze zgłaszanym incydentem — w tym m.in. danych ruchu sieciowego, logów zabezpieczeń perymetrycznych, telemetrii oraz innych istotnych informacji — przez 12 miesięcy w pamięci aktywnej, a potem dodatkowe 6 miesięcy w pamięci aktywnej lub zimnej (cold storage).
Wreszcie, nowe przepisy FAR zobowiązują wykonawców do obowiązkowego uczestnictwa w programie Automatycznej Wymiany Wskaźników Zagrożenia (AIS) prowadzonym przez CISA w celu komunikacji wskaźników zagrożeń cybernetycznych i rekomendacji środków zaradczych. (Uczestnictwo w AIS jest wymagane niezależnie od tego, czy wystąpił incydent bezpieczeństwa.)
Software Bill of Materials
Oprócz wymagań dotyczących reakcji i raportowania, FAR 52.239-ZZ wprowadza nowy obowiązek posiadania przez federalnych wykonawców zestawienia materiałowego oprogramowania (SBOM) obejmującego wszelkie oprogramowanie wykorzystywane do realizacji kontraktu federalnego. SBOM definiowana jest przez rząd USA jako „formalny rejestr zawierający szczegółowe dane oraz powiązania łańcucha dostaw komponentów użytych do budowy oprogramowania”. Zgodnie z Departamentem Handlu USA, dane SBOM „poprawiają identyfikację podatności oraz szybkość reakcji”, a „ich stosowanie przy identyfikowaniu i analizie znanych podatności oraz potencjalnych środków zaradczych ma kluczowe znaczenie w zarządzaniu ryzykiem”.
Co istotne, obowiązek utrzymania aktualnego SBOM dotyczy wykonawców federalnych w każdej sytuacji — także, gdy brak jest znanych incydentów bezpieczeństwa. Ponadto wykonawcy muszą aktualizować swój SBOM za każdym razem, gdy oprogramowanie wykorzystywane w trakcie kontraktu zostanie zmodyfikowane. Szczegółowy wykaz wymagań dotyczących SBOM i ich utrzymania podczas realizacji federalnych kontraktów dostępny jest poprzez publikację Departamentu Handlu: Minimum Elements for a Software Bill of Materials.
FAR 52.239-AA
Druga klauzula z Case 2021-017, FAR 52.239-AA, ma znacznie bardziej konkretny i ograniczony zakres. Opatrzona tytułem „Security Incident Reporting Representation” zobowiązuje wszystkich potencjalnych wykonawców składających oferty dla rządu federalnego do zaświadczenia, że uprzednio spełniali wymagania FAR 52.239-ZZ, tj. składali wszystkie wymagane raporty o incydentach bezpieczeństwa przy każdej realizacji kontraktu — w sposób „aktualny, prawidłowy i kompletny”.
Przepis zobowiązuje również, aby wszyscy oferenci potwierdzali wdrożenie tych zasad w ramach wcześniejszych kontraktów, nakładając wymóg przenoszenia tego obowiązku (tzw. flow down) na wszystkich podwykonawców niższego szczebla w ramach ich umów.
FAR Case 2021-019: zakres i wymagania dotyczące cyberbezpieczeństwa
FAR Council wydała drugi z proponowanych przepisów, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems, w ramach Case 2021-019. Jego celem jest standaryzacja wymogów dotyczących cyberbezpieczeństwa w agencjach federalnych, ze szczególnym uwzględnieniem nieklasyfikowanych federalnych systemów informacyjnych (Federal Information Systems, FIS). Case 2021-019 został rozdzielony na dwie klauzule, których zakres jest zasadniczo jasny. FAR 52.239-XX, „Federal Information Systems Using Cloud Computing Services,” obejmuje FIS wykorzystujące rozwiązania chmurowe. FAR-52.239-YY, „Federal Information Systems Using Non-Cloud Computing Services,” dotyczy wszystkich FIS niewykorzystujących rozwiązań chmurowych.
Za federalny system informacyjny uznaje się „system informatyczny używany lub obsługiwany przez agencję, przez wykonawcę agencji lub inną organizację działającą na jej rzecz”.
FAR 52.239-XX
Zgodnie z tą klauzulą, agencje federalne muszą określić poziom wpływu systemu informatycznego wykonawcy korzystającego z rozwiązań chmurowych według Federal Information Processing Standard Publication 199 (FIPS-199) oraz odpowiadający poziom autoryzacji w ramach Federal Risk and Authorization Management Program (FedRAMP). Zgodnie z propozycją, wybór poziomu FIPS-199 następuje na podstawie „analizy wpływu informacji przetwarzanych, przechowywanych lub przesyłanych przez system”. Po ustaleniu tych poziomów, federalny wykonawca jest zobowiązany wdrożyć i utrzymywać środki ochrony bezpieczeństwa i prywatności właściwe poziomowi autoryzacji FedRAMP.
Poza środkami bezpieczeństwa, FAR 52.239-XX zobowiązuje również wykonawców do udziału w działaniach monitoringu ciągłego oraz przygotowywania stosownych raportów zgodnie z „FedRAMP Continuous Monitoring Strategy Guide”. Na koniec wykonawcy muszą przestrzegać wszelkich specyficznych wymogów kontraktowych dotyczących przekazywania i usuwania danych rządowych.
FAR 52.239-YY
Wymogi wprowadzone klauzulą dotyczącą federalnych systemów informacyjnych niewykorzystujących rozwiązań chmurowych są nieco bardziej rozbudowane. Jak w przypadku FAR 52.239-XX, agencje mają obowiązek zastosowania FIPS-199 celem określenia właściwego poziomu wpływu oraz wskazania go w umowie. Oprócz tej czynności, agencje i ich kierownicy kontraktów muszą rozpatrzyć szereg konkretnych zagadnień związanych z bezpieczeństwem, m.in. uwierzytelnianie wieloskładnikowe, administracyjne konta, banery zgody i kontrolę urządzeń Internetu Rzeczy. Kierownicy kontraktów są również zobowiązani do wyboru odpowiedniego zbioru środków ochrony bezpieczeństwa i prywatności w oparciu o dedykowane publikacje Narodowego Instytutu Standardów i Technologii (NIST), do których należą NIST SP 800-53, NIST SP 800–213, NIST SP 800–161 i NIST SP 800–82.
Niezależnie od nowych wymagań dotyczących bezpieczeństwa, które agencje federalne muszą uwzględnić w kontraktach na FIS niewykorzystujące rozwiązań chmurowych, klauzula nakłada także dwa kluczowe nowe obowiązki na federalnych wykonawców. Po pierwsze, muszą oni zapewnić CISA i innym wskazanym przez kierownika kontraktu agencjom rządowym „niezwłoczny i pełny dostęp” do danych oraz personelu na potrzeby audytów, dochodzeń i kontroli, jeśli są one uznane za krytyczne dla bezpieczeństwa danych. Następnie, każde FIS uznane za mające umiarkowany lub wysoki poziom wpływu FIPS-199 musi przeprowadzać corocznie dwie oceny: wewnętrzną (analizującą „podatności, ryzyka oraz wskaźniki naruszeń”), a także niezależny audyt poziomu bezpieczeństwa systemu informacyjnego. Wyniki obu ocen (wraz z rekomendowanymi środkami zaradczymi) należy przedstawić kierownikowi kontraktu.
Obowiązki odszkodowawcze
Każda z tych klauzul — FAR 52.239-XX oraz FAR 52.239-YY — zawiera postanowienie zobowiązujące federalnych wykonawców do zrekompensowania rządowi wszelkich odpowiedzialności wynikających z realizacji kontraktu. Przepis określa, że takie odpowiedzialności najczęściej wynikają z dwóch sytuacji: gdy wykonawca wprowadza dane lub inne materiały do systemów rządowych lub gdy ujawnia nieuprawnione, wrażliwe informacje lub dane. Istotne jest również, że przepis wymaga zrzeczenia się „wszystkich potencjalnych linii obrony, włączając (bez ograniczeń) tzw. ‘Government Contractors Defense’”. Ten obowiązek znacząco zwiększa odpowiedzialność wykonawców federalnych, gdyby doszło do cyberataku, wycieku danych lub innego zdarzenia związanego z bezpieczeństwem.
Przygotowanie do nowych wymagań dotyczących cyberbezpieczeństwa
Obecnie nie wygląda na to, aby ustalono już datę wejścia w życie tych dwóch przepisów dotyczących cyberbezpieczeństwa. Po zakończeniu przedłużonego okresu konsultacji społecznych (do 2 lutego), agencje tworzące FAR Council i te zarządzające FAR muszą przeanalizować wszystkie zgłoszone komentarze. Dopiero po tym okresie analiz zostanie podjęta decyzja, czy i kiedy zostanie ogłoszona wersja ostateczna przepisów. Jeśli zostanie ona opublikowana, regulacja wejdzie w życie nie wcześniej niż po upływie 60 dni — a przy bardziej doniosłych zmianach czas ten może wydłużyć się nawet do 120 dni lub dłużej.
Mając na uwadze długość i złożoność procesu legislacyjnego, federalni wykonawcy mają jeszcze odrobinę czasu na zapoznanie się z FAR Case 2021-017 oraz 2021-019 i pakietem nowych, potencjalnie nałożonych obowiązków. Jednak firmy objęte tymi projektowanymi regulacjami powinny już teraz traktować perspektywę ich implementacji niezwykle poważnie. Wobec fali poważnych cyberataków oraz rozporządzenia wykonawczego prezydenta Bidena z 2021 r., można być niemal pewnym, że nowe wymogi dotyczące cyberbezpieczeństwa — lub podobne do nich przepisy — wkrótce staną się prawem.
Mając na uwadze długość i złożoność procesu legislacyjnego, federalni wykonawcy mają jeszcze odrobinę czasu na zapoznanie się z FAR Case 2021-017 oraz FAR Case 2021-019 i pakietem nowych, potencjalnie nałożonych obowiązków.
