:quality(85))
Em outubro passado, o Federal Acquisition Regulatory (FAR) Council, órgão interagências responsável por estabelecer políticas de compras em todo o governo federal dos EUA, propôs duas novas regras. Caso sejam finalizadas e entrem em vigor, essas regras podem impactar drasticamente a forma como os contratados federais reportam e respondem a ataques cibernéticos e outros incidentes de cibersegurança.
A primeira proposta de regra, Cyber Threat and Incident Reporting and Information Sharing—which inclui as cláusulas FAR 52.239-ZZ e FAR 52.239-AA—foi emitida sob o FAR Case 2021–017. A segunda regra, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems—incluindo FAR 52.239-XX e FAR 52.239-YY—foi emitida sob o FAR Case 2021-019.
A publicação dessas propostas em 3 de outubro deu início a um período de 60 dias para comentários, que estava programado para encerrar em 4 de dezembro de 2023. Em 1º de novembro, o FAR Council prorrogou o prazo para envio de comentários sobre as regras até 2 de fevereiro de 2024. Desde então, não houve atualizações oficiais do FAR Council nem das agências que administram conjuntamente a Federal Acquisition Regulation a respeito da finalização das regras ou da definição de uma data para implementação.
Devido ao alcance dessas regras e à magnitude da responsabilidade que imporiam aos contratados federais, as empresas devem entender exatamente o que os FAR Cases 2021-017 e 2021-019 determinam.
Devido ao alcance dessas regras e à magnitude da responsabilidade que imporiam aos contratados federais, as empresas devem entender exatamente o que os FAR Cases 2021-017 e 2021-019 determinam.
Ordem Executiva de Cibersegurança do Presidente Biden
Em maio de 2021, o presidente Biden assinou a Ordem Executiva 14028, intitulada de forma clara como “Melhorando a Cibersegurança da Nação”. O objetivo declarado dessa ordem era fortalecer diversas medidas de cibersegurança para proteger o governo federal contra o que a Casa Branca descreveu como “campanhas cibernéticas maliciosas persistentes e cada vez mais sofisticadas”. A diretriz presidencial foi emitida após dois grandes e inéditos ataques cibernéticos: o hack da SolarWinds em 2020 e o vazamento de dados do Microsoft Exchange no início de 2021. Esses atos de ciberespionagem, perpetrados por grupos de hackers ligados a importantes adversários dos EUA, indicaram, ao menos em parte, o surgimento de uma nova era de guerra cibernética. Após esses eventos, o governo dos EUA se viu sob uma pressão crescente para formular um plano amplo e unificado para fortalecer seus sistemas de dados.
A diretriz presidencial foi emitida após dois grandes e inéditos ataques cibernéticos: o hack da SolarWinds em 2020 e o vazamento de dados do Microsoft Exchange no início de 2021.
A ordem executiva do presidente Biden determinou que o governo federal utilize “todo o alcance de suas autoridades e recursos para proteger e garantir seus sistemas computacionais, estejam eles baseados em nuvem, locais ou híbridos.” A ordem estipulou especificamente a criação de novos protocolos de resposta a incidentes cibernéticos entre o governo e os contratados federais, a modernização da infraestrutura de cibersegurança por meio de serviços em nuvem segura e arquitetura zero trust, além da padronização de respostas a ameaças cibernéticas em todas as agências federais, entre outras exigências.
As novas regras propostas pelo FAR Council em outubro prolongam o esforço de implementação da ordem executiva de 2021. Ao fortalecer e ampliar as exigências de reporte para contratados federais após incidentes cibernéticos, o FAR Council busca criar condições para que o governo possa responder de maneira mais ágil e proativa a ataques cibernéticos e outras ameaças à segurança nacional.
Ao fortalecer e ampliar as exigências de reporte para contratados federais após incidentes cibernéticos, o FAR Council busca criar condições para que o governo possa responder de maneira mais ágil e proativa a ataques e outras ameaças nefastas à segurança nacional.
FAR Case 2021-017: Alcance e requisitos de cibersegurança
A primeira proposta de regra contém duas cláusulas: FAR 52.239-ZZ e FAR 52.239-AA. Ambas introduziriam novas responsabilidades para contratados federais, seja em resposta direta a um incidente cibernético ou na forma de medidas preventivas caso ocorra um incidente.
FAR 52.239-ZZ
O texto oficial da FAR 52.239-ZZ se refere a “Requisitos de Reporte, Compartilhamento de Informações e Resposta a Incidentes e Ameaças para Produtos ou Serviços com Tecnologias de Informação e Comunicação”. A FAR 52.239-ZZ busca atualizar e ampliar as obrigações contratuais dos contratados federais após incidentes de segurança. Ela propõe novos requisitos para resposta oportuna e abrangente a incidentes de segurança; cooperação com agências governamentais na investigação desses incidentes; e manutenção de arquivos, registros e demais documentações que possam auxiliar no processo de resposta ao incidente.
Segundo a proposta, um “incidente de segurança” abrange mais do que apenas ataques cibernéticos e outros eventos de cibersegurança. O FAR Council também utiliza o termo para referir-se a violações gerais da lei, políticas de segurança ou procedimentos de segurança, bem como a transferência de informações classificadas ou informações não classificadas controladas (CUI) para qualquer sistema de informação com níveis de segurança inferiores aos autorizados pelo governo.
Prazos para reporte de incidentes
A FAR 52.239-ZZ atualiza o prazo que os contratados têm para reportar incidentes de segurança ao governo. Pela nova regra, os contratados são obrigados a relatar esses incidentes—junto com todas as informações relevantes—por meio do portal de reporte de incidentes da Cybersecurity and Infrastructure Security Agency (CISA) em até oito horas após a descoberta inicial do incidente. Além disso, o envio de informações precisa ser atualizado a cada 72 horas até que todas as investigações do governo sejam concluídas.
Reportar incidentes rapidamente ajuda as agências e equipes do governo a executar respostas mais eficazes e dinâmicas. Como explica a proposta, reportes ágeis e atualizações frequentes apoiam os investigadores a realizar “análise rápida de dados para identificar prontamente ações de agentes maliciosos, ameaças e indicadores de comprometimento.”
Ações complementares para resposta do governo a incidentes
Além de reportar incidentes no portal da CISA dentro do prazo estipulado, os contratados também devem realizar outras ações que facilitam a resposta do governo a ameaças. Em primeiro lugar, as partes cobertas são obrigadas a fornecer à CISA, ao FBI e/ou à agência contratante acesso irrestrito a todas as informações, sistemas e equipes relevantes logo após um incidente de segurança.
Os contratados federais também são responsáveis por preservar quaisquer dados vinculados ao incidente reportado. Isso inclui manter os dados de tráfego de rede, registros de defesa perimetral, telemetria e outras informações relevantes em armazenamento ativo por 12 meses, além de mais seis meses em armazenamento ativo ou de backup (cold storage).
Por fim, a nova regra do FAR exigiria que os contratados participem do programa Automated Indicator Sharing (AIS) da CISA, para comunicação de indicadores de ameaças cibernéticas e medidas de defesa recomendadas. (Os contratados devem aderir ao AIS independentemente de ter ocorrido ou não um incidente de segurança.)
Software Bill of Materials
Além dos requisitos de resposta e reporte, a FAR 52.239-ZZ introduz novas obrigações para que contratados federais mantenham uma lista de materiais de software (SBOM—Software Bill of Materials) que inclua qualquer software utilizado na execução do contrato federal. O governo define SBOM como um “registro formal contendo os detalhes e relacionamentos de cadeia de suprimentos dos diversos componentes usados na construção de software.” Segundo o Departamento de Comércio, dados de SBOM “melhoram tanto a identificação de vulnerabilidades quanto a velocidade de resposta”, e “usar SBOM para identificar e analisar vulnerabilidades conhecidas e possíveis medidas de mitigação é fundamental para a gestão de riscos.”
É importante destacar que os contratados são responsáveis por manter SBOMs sob todas as circunstâncias, mesmo sem a ocorrência de incidentes de segurança. Eles também devem atualizar suas SBOMs caso o software utilizado seja atualizado durante a execução do contrato. Detalhes completos sobre os requisitos para SBOMs e sua manutenção durante contratos federais estão disponíveis no Minimum Elements for a Software Bill of Materials do Departamento de Comércio.
FAR 52.239-AA
A segunda cláusula do Case 2021-017, FAR 52.239-AA, é bem mais específica. Intitulada “Security Incident Reporting Representation”, ela exige que todos os potenciais contratados ao apresentarem proposta ao governo federal atestem que sempre cumpriram a FAR 52.239-ZZ. Isso inclui declarar que submeteram todos os relatórios de incidentes de segurança necessários em contratos passados e vigentes de maneira “atualizada, exata e completa”.
A regra ainda obriga todos os proponentes a garantir que as exigências dessa regra foram repassadas em contratos anteriores, obrigando todos os subcontratados de níveis inferiores a incluir esses requisitos em seus contratos.
FAR Case 2021-019: Alcance e requisitos de cibersegurança
O FAR Council publicou a segunda proposta de regra, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems, sob o Case 2021-019. O objetivo principal dessa regra é padronizar os requisitos de cibersegurança em todas as agências federais, com foco especial em sistemas federais de informação não classificados (FIS). O Case 2021-019 é dividido em duas cláusulas cujas delimitações são bastante autoexplicativas. A primeira é a FAR 52.239-XX, “Federal Information Systems Using Cloud Computing Services”, que cobre FIS baseados em nuvem. A segunda é a FAR-52.239-YY, “Federal Information Systems Using Non-Cloud Computing Services”, para todos os FIS que não utilizam recursos de computação em nuvem.
O governo federal define um sistema federal de informação como um “sistema de informação usado ou operado por uma agência, por um contratado de uma agência ou por outra organização, em nome de uma agência”.
FAR 52.239-XX
Essa cláusula exige que as agências determinem o nível de impacto do sistema de informação em nuvem do contratado usando o Federal Information Processing Standard Publication 199 (FIPS-199) e o correspondente nível de autorização do Federal Risk and Authorization Management Program (FedRAMP). Segundo a proposta, as agências precisarão chegar a uma classificação FIPS-199 com base na “análise de impacto das informações processadas, armazenadas ou transmitidas pelo sistema.” Após a definição desses níveis, o contratado federal deve implementar e manter os controles de segurança e privacidade de acordo com o nível de autorização FedRAMP correspondente.
Além dessas proteções, a FAR 52.239-XX também exige que os contratados participem de atividades continuadas de monitoramento e forneçam entregas de monitoramento conforme especificado no “FedRAMP Continuous Monitoring Strategy Guide”. Por fim, os contratados devem seguir todas as exigências contratuais relativas ao fornecimento e descarte de dados do governo e dados relacionados ao governo.
FAR 52.239-YY
As exigências trazidas pela cláusula para sistemas federais de informação que não utilizam nuvem são um pouco mais detalhadas. Assim como na FAR 52.239-XX, caberá às agências utilizar o FIPS-199 para determinar e especificar no contrato o nível de impacto apropriado. Além da classificação, as agências e seus oficiais de contratos também deverão tratar uma série de outros aspectos de segurança, incluindo autenticação multifator, contas administrativas, banners de consentimento e controles para dispositivos de Internet das Coisas. Os responsáveis ainda devem selecionar o conjunto adequado de controles de segurança e privacidade com base em uma variedade de publicações especiais do National Institute of Standards and Technology, incluindo NIST SP 800-53, NIST SP 800–213, NIST SP 800–161 e NIST SP 800–82.
Além das novas exigências de segurança impostas aos contratos de FIS que utilizem sistemas de computação que não são em nuvem, a cláusula traz aos contratados federais duas novas obrigações importantes. A primeira é fornecer à CISA e a outras agências do governo especificadas pelo oficial de contratos “acesso oportuno e completo” a dados do governo e dados relacionados ao governo, bem como a pessoal, para fins de auditorias, investigações e inspeções sempre que essas ações forem consideradas críticas para a segurança dos dados. A seguir, qualquer FIS avaliado com nível de impacto FIPS-199 moderado ou alto deve realizar duas avaliações anuais. A primeira é uma avaliação interna focada em “vulnerabilidades, riscos e indicadores de comprometimento”; a segunda deve ser uma revisão independente da segurança do sistema de informação. Os contratados são responsáveis por submeter os resultados dessas avaliações anuais—incluindo medidas recomendadas de mitigação—aos oficiais de contrato.
Obrigações de indenização
Cada uma dessas cláusulas—FAR 52.239-XX e FAR 52.239-YY—inclui um dispositivo que exige que os contratados federais indenizem o governo de qualquer responsabilidade proveniente da execução do contrato. A proposta sugere que tais responsabilidades decorrem principalmente de dois cenários: inserção de informações ou materiais pelo contratado em dados do governo, ou divulgação não autorizada de informações ou materiais sensíveis. De forma crucial, a proposta também exige que os contratados renunciem a “todas e quaisquer defesas que possam ser invocadas em seu benefício, incluindo (sem limitação) a ‘Defesa de Contratantes do Governo’.” Essa renúncia obrigatória impõe responsabilidade significativa aos contratados no caso de ocorrência de ataque cibernético, violação de dados ou outro incidente de segurança.
Preparando-se para os novos requisitos de cibersegurança
Não há indícios de que uma data de vigência das duas regras de cibersegurança seja iminente. Após o período de comentários públicos—which foi prorrogado até 2 de fevereiro—, as agências que compõem o FAR Council e as responsáveis pela administração do FAR ainda precisam revisar e analisar os comentários. Somente após essa fase de análise será decidido se uma regra final será publicada. Se for publicada, haverá pelo menos 60 dias entre a publicação e a entrada em vigor, podendo esse prazo, dependendo da complexidade da regra, ser ampliado para 120 dias ou mais.
Dado o tempo e as etapas envolvidas no processo regulatório, os contratados federais têm certo espaço para avaliar os FAR Cases 2021-017 e 2021-019 e o conjunto de novas obrigações que essas regras podem impor. As empresas abrangidas por essas propostas, entretanto, devem levar a sério a possibilidade de implementação. Diante do recente aumento de ataques cibernéticos devastadores e da ordem executiva de 2021, não há motivo para duvidar que esses novos requisitos de cibersegurança—ou diretrizes muito similares—se tornarão lei regulamentar em breve.
Dado o tempo e as etapas envolvidas no processo regulatório, os contratados federais têm certo espaço para avaliar o FAR Case 2021-017 e o FAR Case 2021-019 e todas as novas obrigações que essas regras podem teoricamente impor.
