:quality(85))
O Defense Federal Acquisition Regulation Supplement (DFARS) é um conjunto de regras e regulamentos que rege como o Departamento de Defesa dos EUA conduz atividades de compras e aquisições. Além disso, serve como um framework para contratados privados que atuam junto ao órgão. O DFARS é uma extensão do Federal Acquisition Regulation (FAR) — que supervisiona as aquisições dos 15 principais órgãos executivos americanas — e pode ser encontrado no Capítulo 2 do Título 48 do Código de Regulamentos Federais.
Devido à sensibilidade para a segurança nacional envolvida em grande parte do trabalho do Departamento de Defesa, muitos dos dados, informações e outros materiais trocados entre o órgão e seus contratados privados são altamente sensíveis por natureza. O DoD utiliza o termo covered defense information (CDI) — informação de defesa protegida — como uma categoria ampla para esse tipo de conhecimento, que ele define como “informação técnica controlada não classificada ou outra informação... que exige salvaguarda ou controles de disseminação de acordo e em conformidade com as leis, regulamentos e políticas governamentais em vigor”.
Ao longo da última década, contratados privados de defesa e outras entidades na vasta rede que compõe a base industrial de defesa dos EUA (DIB) vêm enfrentando um aumento preocupante de ataques cibernéticos e outras ameaças de segurança digital, com o objetivo de invadir o DIB e roubar essas informações.
Como resposta a esses novos riscos e à crescente presença de agentes mal-intencionados, o Departamento de Defesa adicionou uma nova cláusula ao seu código de aquisições. Esta nova seção, DFARS 252.204-7012, visa reforçar as proteções para CDI ao obrigar os contratados a implementar um conjunto abrangente de controles de segurança. O objetivo central da nova cláusula DFARS é padronizar a cibersegurança entre todos os contratados de defesa e combater o aumento do número de agentes criminosos em busca de explorar vulnerabilidades dentro do DIB.
Esta nova seção, DFARS 252.204-7012, visa reforçar as proteções de CDI ao obrigar os contratados a implementar um conjunto abrangente de controles de segurança.
DFARS 252.204-7012 e o Protocolo de Segurança NIST
DFARS 252.204-7012, oficialmente intitulada Safeguarding Covered Defense Information and Cyber Incident Reporting, entrou em vigor na véspera de Ano Novo de 2017. A cláusula — também chamada de subseção — introduziu uma série de novas medidas de cibersegurança que todos os contratados de defesa devem atender. A subseção 252.204-7012 busca garantir que toda a informação de defesa protegida esteja segura contra violações de dados, ataques cibernéticos e outras ameaças relevantes, por meio do fortalecimento do protocolo de segurança.
As medidas abrangidas pela DFARS 252.204-7012 apresentam diversos requisitos novos. O mais importante obriga todos os contratados a cumprir um conjunto de controles de segurança publicados pelo National Institute of Standards and Technology (NIST, Instituto Nacional de Padrões e Tecnologia), órgão do Departamento de Comércio dos EUA dedicado a impulsionar a inovação e competitividade americanas em ciência, tecnologia e engenharia. Conhecidos como NIST Special Publication 800-171, ou simplesmente NIST SP 800-171, esses documentos contêm 110 controles de segurança individuais, agrupados em 14 “famílias”:
- Controle de Acesso (AC)
- Conscientização e Treinamento
- Auditoria e Responsabilização
- Gerenciamento de Configuração
- Identificação e Autenticação
- Resposta a Incidentes
- Manutenção
- Proteção de Mídia
- Segurança de Pessoal
- Proteção Física
- Avaliação de Risco
- Avaliação de Segurança
- Proteção de Sistemas e Comunicações
- Integridade de Sistema e Informação
Devido à subseção do DFARS 252.204-7012, todos os contratados de defesa estão agora sujeitos ao NIST SP 800-171 e devem implementar seus mais de 100 controles de segurança ao realizar trabalhos para o Departamento de Defesa. O governo federal mantém um registro CUI (Controlled Unclassified Information Registry) projetado para ser um recurso universal para quem lida com CDI e informações controladas não classificadas (CUI) de forma apropriada. Conforme descrito no documento SP 800-171 original, esse repositório “identifica categorias e subcategorias de CUI aprovadas, fornece descrições gerais para cada uma, determina a base dos controles e define procedimentos para a utilização de CUI, incluindo, mas não limitado a, marcação, salvaguarda, transporte, disseminação, reutilização e descarte das informações.”
Todos os contratados de defesa estão agora sujeitos ao NIST SP 800-171 e devem implementar seus mais de 100 controles de segurança ao realizar trabalhos para o Departamento de Defesa.
Requisitos adicionais da cláusula DFARS 252.204-7012
Apesar de o protocolo de cibersegurança do NIST ser o principal novo requisito trazido pela DFARS 252.204-7012, a cláusula também inclui outras obrigações importantes.
- O primeiro desses requisitos adicionais diz respeito às práticas de revisão e reporte envolvendo incidentes de cibersegurança. Se uma empresa privada trabalhando para o Departamento de Defesa identificar um incidente cibernético que afete o CDI ou um sistema online responsável pelo armazenamento e proteção do CDI, ela deve reportar rapidamente o incidente por meio dos canais específicos do DoD.
- O contratado também é responsável por conduzir uma revisão e avaliação completa do incidente. Essas análises incluem a identificação de quaisquer dados, hardware, contas e sistemas de informação comprometidos.
- Se houver a descoberta de software malicioso durante o incidente, o contratado deve tentar isolar o software e enviá-lo ao Cyber Crime Center (DC3) do Departamento de Defesa.
- Por fim, a parte envolvida deve cooperar de forma contínua com o DoD na investigação do incidente, incluindo fornecer acesso a todos os dados, sistemas e equipamentos solicitados.
O DFARS 252.204-7012 exige que todos os contratados e subcontratados implementem os mesmos controles de segurança e sigam as mesmas obrigações de reporte durante o tratamento de CDI. Para isso, a terceira etapa da cláusula exige que os contratados principais repassem os novos requisitos de cibersegurança a todos os subcontratados, incluindo a cláusula 252.204-7012 nos contratos relacionados.
As cláusulas mais recentes do DFARS
O Departamento de Defesa publicou uma Regra Interina do DFARS no outono de 2020, que entrou em vigor em 30 de novembro do mesmo ano. A Regra Interina adicionou três novas cláusulas à Parte 252 do DFARS: 252.204-7019, -7020 e -7021. Essas subseções têm como objetivo expandir as obrigações introduzidas na 252.204-7012, ao mesmo tempo em que introduzem novos mecanismos de responsabilização para os contratados que atuam junto ao DoD.
Em 2019, a Defense Contract Management Agency foi encarregada de buscar uma forma de padronizar a avaliação da implementação individual do protocolo NIST SP 800-171 por cada contratado (um requisito da 252.204-7012). Isso resultou na publicação da NIST SP 800-171 DoD Assessment Methodology, um guia detalhado para os contratados avaliarem sua adesão aos controles de segurança do NIST. A primeira parte da Regra Interina, 252.204-7019, estabelece formalmente a obrigatoriedade do uso dessa ferramenta no DFARS, exigindo que todos os contratados de defesa realizem e pontuem essas autoavaliações. Eles também ficam obrigados a reportar essas pontuações ao Supplier Performance Risk System (SPRS).
A primeira parte da Regra Interina, 252.204-7019, estabelece formalmente a obrigatoriedade do uso da ferramenta DoD Assessment Methodology no DFARS, exigindo que todos os contratados de defesa realizem e pontuem essas autoavaliações. Eles também ficam obrigados a reportar essas pontuações ao Supplier Performance Risk System (SPRS).
A subseção 252.204-7020 impõe uma camada extra de responsabilização aos contratados responsáveis por seguir o protocolo NIST. A cláusula permite que o Departamento de Defesa acesse as instalações, sistemas e pessoal do contratado caso o órgão julgue necessário para conduzir sua própria avaliação independente. A 252.204-7020 também exige que os contratados principais exijam que seus subcontratados completem suas próprias avaliações de conformidade com o NIST SP 800-171, utilizando a metodologia DoD Assessment Methodology, e repassem a redação da cláusula em todos os subcontratos.
Por fim, a cláusula 252.204-7021 apresenta o Cybersecurity Maturity Model Certification (CMMC), um novo framework para avaliar a implementação das práticas e controles de cibersegurança pelos contratados. Como as regras do CMMC ainda estão sendo finalizadas pelo DoD, essa subseção atualmente serve mais como um marcador para o que será um futuro padrão crítico de cibersegurança. O Departamento de Defesa eventualmente exigirá que todos os contratados obtenham a certificação CMMC — possivelmente no final de 2024 ou início de 2025 — e a DFARS 7021 está sendo definida como instrumento contratual para tal exigência.
A importância da conformidade com o DFARS 252.204-7012
Ataques cibernéticos e as violações de dados que eles geram ou exploram representam uma ameaça crescente ao governo dos EUA, ao Departamento de Defesa e a toda a base industrial de defesa. O DFARS 252.204-7012 foi introduzido em 2017 como uma resposta robusta e rigorosa ao aumento do número e da gravidade desses ataques, e atualmente praticamente todos os contratados de defesa são obrigados a cumprir esse regulamento. A cláusula exige que as empresas tenham um conjunto completo de controles de segurança implementados, procedimentos padronizados para revisão e reporte de incidentes cibernéticos e invasões por softwares maliciosos, e práticas estabelecidas para repasse das medidas de proteção ao CDI para os subcontratados.
O DFARS 252.204-7012 foi introduzido em 2017 como uma resposta robusta e rigorosa ao aumento do número e da gravidade desses ataques, e atualmente praticamente todos os contratados de defesa são obrigados a cumprir esse regulamento.
As consequências de ignorar ou tratar de modo inadequado a DFARS 252.204-7012 são significativas e custosas. Contratados de defesa que não implementam os controles de segurança do NIST ficam vulneráveis a cibercriminosos, hackers e outros agentes mal-intencionados interessados em roubar dados sensíveis, e podem acabar arcando com custos substanciais de recuperação. Mais importante ainda, o Departamento de Defesa detalhou suas próprias medidas em resposta a casos em que um contratado não estiver em conformidade com o DFARS 252.204-7012 e o protocolo de segurança do NIST correspondente.
As consequências de ignorar ou tratar de modo inadequado a DFARS 252.204-7012 são significativas e custosas. Contratados de defesa que não implementam os controles de segurança do NIST ficam vulneráveis a cibercriminosos, hackers e outros agentes mal-intencionados interessados em roubar dados sensíveis, e podem acabar arcando com custos substanciais de recuperação.
Em um memorando de 2022, o Office of the Under Secretary of Defense explicou que a falha em implementar adequadamente o NIST SP 800-171 será considerada violação contratual. “Remédios para tal violação”, continua o memorando, podem incluir “retenção de pagamentos por avanço; renúncia às opções remanescentes do contrato; e potencialmente a rescisão parcial ou total do contrato.” Contratados que negligenciam esse requisito crítico de segurança colocam a si próprios em posição precária perante o contratante, arriscando o contrato vigente e comprometendo intensamente a possibilidade de novas aquisições junto ao Departamento de Defesa e ao governo federal dos EUA.
