:quality(85))
Em outubro passado, o Federal Acquisition Regulatory (FAR) Council — órgão interagências responsável por estabelecer políticas de compras em todo o governo federal norte-americano — propôs duas novas regras. Caso sejam finalizadas e entrem em vigor, essas regras podem impactar profundamente a forma como os contratados federais reportam e respondem a ataques cibernéticos e outros incidentes de cibersegurança.
A primeira proposta de regra, Cyber Threat and Incident Reporting and Information Sharing — que inclui as cláusulas FAR 52.239-ZZ e FAR 52.239-AA — foi emitida no âmbito do FAR Case 2021–017. A segunda regra, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems — incluindo as cláusulas FAR 52.239-XX e FAR 52.239-YY — foi emitida conforme o FAR Case 2021-019.
A publicação dessas propostas em 3 de outubro iniciou um período de 60 dias para comentários públicos, previsto para encerrar em 4 de dezembro de 2023. Em 1º de novembro, o FAR Council prorrogou o prazo para comentários sobre as regras propostas até 2 de fevereiro de 2024. Desde então, não houve atualizações oficiais do FAR Council nem das agências que administram conjuntamente o Federal Acquisition Regulation quanto à finalização das regras ou à definição de uma data de vigência.
Devido ao escopo das regras e à magnitude da responsabilidade que podem impor aos contratados federais, é fundamental que as empresas compreendam exatamente o que preveem os FAR Cases 2021-017 e 2021-019.
Devido ao escopo das regras e à magnitude da responsabilidade que podem impor aos contratados federais, é fundamental que as empresas compreendam exatamente o que preveem os FAR Cases 2021-017 e 2021-019.
Ordem Executiva de Cibersegurança do Presidente Biden
Em maio de 2021, o Presidente Biden assinou a Ordem Executiva 14028, intitulada “Melhorando a Cibersegurança da Nação”. O objetivo declarado da ordem era aprimorar diversas medidas de cibersegurança para proteger o governo federal contra o que a Casa Branca classificou como “campanhas cibernéticas maliciosas persistentes e cada vez mais sofisticadas”. A diretriz presidencial veio na esteira de dois grandes e inéditos ataques cibernéticos — o ataque à SolarWinds em 2020 e a violação de dados do Microsoft Exchange no início de 2021. Esses atos de ciberespionagem, conduzidos por grupos de hackers ligados a grandes adversários dos Estados Unidos, sinalizaram o surgimento de uma nova era de guerra cibernética. Como resultado, o governo americano passou a tratar com mais urgência o desenvolvimento de um plano amplo e unificado para fortalecer seus sistemas de dados.
A diretriz presidencial veio na esteira de dois grandes e inéditos ataques cibernéticos — o ataque à SolarWinds em 2020 e a violação de dados do Microsoft Exchange no início de 2021.
A ordem executiva do Presidente Biden determinou que o governo federal utilizasse “toda a extensão de suas autoridades e recursos para proteger e garantir a segurança de seus sistemas de computadores, sejam eles baseados em nuvem, locais ou híbridos”. A ordem exige, em especial, novos protocolos de resposta a incidentes cibernéticos entre governo e contratados, a modernização da infraestrutura de segurança digital por meio de serviços em nuvem seguros e arquitetura de zero trust, e a padronização das respostas a ameaças cibernéticas em todas as agências federais, entre outros mandatos.
As novas regras propostas pelo FAR Council em outubro dão continuidade ao esforço de implementação da ordem executiva de 2021. Ao fortalecer e ampliar os requisitos de reporte dos contratados federais após incidentes cibernéticos, o FAR Council busca criar condições para respostas governamentais mais ágeis e proativas a ataques cibernéticos e outras ameaças à segurança nacional.
Ao fortalecer e ampliar os requisitos de reporte dos contratados federais após incidentes cibernéticos, o FAR Council busca criar condições para respostas governamentais mais ágeis e proativas a ataques cibernéticos e outras ameaças à segurança nacional.
FAR Case 2021-017: Escopo e Requisitos de Cibersegurança
O primeiro conjunto de propostas inclui duas cláusulas: FAR 52.239-ZZ e FAR 52.239-AA. Ambas estabeleceriam novas responsabilidades para os contratados federais, seja em reação direta a um incidente cibernético ou como medidas preventivas caso venham a ocorrer.
FAR 52.239-ZZ
A redação oficial da FAR 52.239-ZZ é “Incident and Threat Reporting and Incident Response Requirements for Products or Services Containing Information and Communications Technology”. Essa cláusula busca atualizar e aprimorar as obrigações contratuais dos contratados federais em relação a incidentes de segurança. Propõe novos requisitos para resposta rápida e abrangente a incidentes; cooperação com agências governamentais em investigações; e manutenção de arquivos, registros e demais documentos que possam auxiliar no processo de resposta ao incidente.
Segundo a proposta, “incidente de segurança” vai além de ataques cibernéticos ou outros casos de cibersegurança. O FAR Council também utiliza o termo para violações de leis, políticas ou procedimentos de segurança em geral, além de transferências de informações classificadas ou de informações não-classificadas controladas (CUI) para sistemas de informação com níveis de segurança inferiores aos autorizados pelo governo.
- Prazos para Reporte de Incidentes
A FAR 52.239-ZZ altera o prazo para que os contratados reportem incidentes de segurança ao governo. Pela nova regra, os contratados devem reportar tais incidentes, incluindo informações relevantes, pelo portal de reporte de incidentes da CISA (Cybersecurity and Infrastructure Security Agency) em até oito horas após a descoberta inicial. Após o envio, é obrigatória a atualização a cada 72 horas até que todos os órgãos governamentais concluam as investigações.
Reportar incidentes de forma tão ágil permite que as agências governamentais e suas equipes adotem respostas mais eficazes e dinâmicas. Conforme detalhado na proposta, a agilidade e a atualização constante auxiliam na “análise rápida de dados para identificar prontamente atividades e ações de agentes maliciosos, ameaças e indicadores de comprometimento”.
- Ações Adicionais de Apoio à Resposta Governamental
Além do reporte pelo portal da CISA dentro do prazo estabelecido, os contratados devem participar de outras atividades que facilitem a resposta governamental. Primeiramente, as partes envolvidas devem fornecer acesso irrestrito à CISA, ao FBI e/ou à agência contratante a todas as informações, sistemas e equipes relevantes, imediatamente após um incidente de segurança.
Os contratados federais também são responsáveis por preservar todos os dados relacionados ao incidente reportado — incluindo dados de tráfego de rede, logs de defesa de perímetro, telemetria e outras informações relevantes — em armazenamento ativo por 12 meses, seguidos de mais seis meses em armazenamento ativo ou frio.
Por fim, a nova regra do FAR exige que contratados participem do programa Automated Indicator Sharing (AIS) da CISA para comunicar indicadores de ameaças cibernéticas e medidas de defesa recomendadas. (A participação no AIS é obrigatória independentemente da ocorrência de incidentes de segurança.)
- Software Bill of Materials
Além dos requisitos de resposta e reporte, a FAR 52.239-ZZ impõe aos contratados federais a manutenção de uma lista de materiais de software (SBOM, Software Bill of Materials) abrangendo qualquer software utilizado na execução do contrato federal. O governo define SBOM como “registro formal contendo detalhes e relações de cadeia de suprimentos dos vários componentes usados no desenvolvimento do software”. Conforme o Departamento de Comércio, os dados de SBOM “aprimoram tanto a identificação de vulnerabilidades quanto a agilidade de resposta”, e “sua utilização para identificar e analisar vulnerabilidades conhecidas e possíveis mitigadores é crucial para o gerenciamento de riscos.”
Importante: os contratados são obrigados a manter a SBOM independentemente da ocorrência de incidentes de segurança. Também devem atualizá-la sempre que houver atualização do software empregado durante a vigência do contrato. Mais detalhes sobre os requisitos de SBOM podem ser consultados no relatório do Departamento de Comércio dos EUA Minimum Elements for a Software Bill of Materials.
FAR 52.239-AA
A segunda cláusula do Case 2021-017, FAR 52.239-AA, é mais restrita e específica. Intitulada "Security Incident Reporting Representation", exige que todos os proponentes de contratos com o governo federal certifiquem que cumpriram historicamente a FAR 52.239-ZZ. Isso inclui declarar que submeteram todos os relatórios obrigatórios de incidentes de segurança em contratos passados e vigentes de maneira “atual, precisa e completa”.
A regra também obriga todos os proponentes a afirmar que repassaram o teor da regra para contratos anteriores, exigindo que todos os subcontratados de níveis inferiores incluam o conteúdo da norma em seus subcontratos.
FAR Case 2021-019: Escopo e Requisitos de Cibersegurança
O FAR Council publicou a segunda proposta de regra, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems, conforme o Case 2021-019. O objetivo explícito é padronizar requisitos de cibersegurança entre as agências federais, com atenção especial a sistemas federais de informação não classificados (FIS). O Case 2021-019 está dividido em duas cláusulas autoexplicativas: FAR 52.239-XX, “Federal Information Systems Using Cloud Computing Services”, para FIS baseados em nuvem, e FAR 52.239-YY, “Federal Information Systems Using Non-Cloud Computing Services”, para FIS não baseados em nuvem.
O governo federal define sistema federal de informação como “sistema de informação utilizado ou operado por uma agência, contratado de uma agência ou outra organização em nome de uma agência”.
FAR 52.239-XX
Esta cláusula determina que as agências devem definir o nível de impacto do sistema de informação em nuvem do contratado, conforme o Federal Information Processing Standard Publication 199 (FIPS-199), bem como o nível correspondente de autorização do FedRAMP (Federal Risk and Authorization Management Program). Segundo a proposta, a definição do nível FIPS-199 baseia-se na “análise de impacto das informações processadas, armazenadas ou transmitidas pelo sistema”. Uma vez estabelecidos os níveis, o contratado federal deve implementar e manter os controles de segurança e privacidade referentes ao nível FedRAMP atribuído.
Além dessas diretrizes de segurança, a FAR 52.239-XX exige que os contratados participem de atividades de monitoramento contínuo e forneçam resultados de monitoramento, conforme especificado no “FedRAMP Continuous Monitoring Strategy Guide.” Por fim, os contratados devem cumprir todos os requisitos contratuais relativos ao fornecimento e descarte de dados governamentais e de dados relacionados ao governo.
FAR 52.239-YY
Os requisitos para sistemas federais de informação não baseados em nuvem são um pouco mais complexos. Assim como a FAR 52.239-XX, as agências serão responsáveis pela utilização do FIPS-199 para definir o nível de impacto apropriado, especificando-o no contrato. Além disso, os responsáveis pelos contratos também deverão abordar uma série de outros tópicos de segurança, incluindo autenticação multifator, contas administrativas, banners de consentimento e controles para dispositivos de Internet das Coisas. Os responsáveis também deverão escolher o conjunto apropriado de salvaguardas de segurança e privacidade com base nas publicações do National Institute of Standards and Technology, incluindo NIST SP 800-53, NIST SP 800–213, NIST SP 800–161 e NIST SP 800–82.
Além das novas exigências de segurança que as agências devem incluir em contratos de FIS não baseados em nuvem, a cláusula impõe duas responsabilidades adicionais importantes para os contratados federais. Primeiro, é obrigatório fornecer à CISA e a outros órgãos governamentais indicados pelo responsável pelo contrato “acesso tempestivo e irrestrito” a dados do governo e dados relacionados, bem como ao pessoal, para auditorias, investigações e inspeções essenciais à segurança dessas informações. Em seguida, qualquer FIS classificado com nível moderado ou alto de impacto segundo o FIPS-199 precisará passar por duas avaliações anuais: uma avaliação interna para mensurar “vulnerabilidades, riscos e indicadores de comprometimento” e outra avaliação independente da segurança do sistema de informação. Os contratados devem enviar os resultados dessas avaliações, inclusive medidas de mitigação recomendadas, aos responsáveis pelos contratos.
Obrigações de Indenização
Cada uma dessas cláusulas — FAR 52.239-XX e FAR 52.239-YY — inclui previsão obrigando os contratados federais a indenizar o governo por qualquer responsabilidade decorrente da execução do contrato. A proposta sugere que tais responsabilidades surgirão principalmente em dois cenários: quando o contratado introduz informações ou dados nos sistemas do governo, ou com o vazamento não autorizado de informações ou materiais sensíveis. De modo crucial, a proposta exige que os contratados renunciem “a toda e qualquer defesa que possam ser invocadas em seu benefício, incluindo (sem limitação) a ‘Government Contractors Defense’”. Essa renúncia obrigatória impõe responsabilidade significativa aos contratados em caso de ataques cibernéticos, violações de dados ou outros incidentes de segurança.
Preparação para os Novos Requisitos de Cibersegurança
Não parece provável que a vigência dessas duas regras de cibersegurança seja imediata. Após o encerramento do período de comentários públicos — prorrogado até 2 de fevereiro — as agências que compõem o FAR Council e as que administram o FAR precisarão revisar e analisar as contribuições recebidas. Só após esse período de análise decidirão se vão emitir a versão final da regra. Caso publicada, a regra final terá prazo mínimo de 60 dias até a entrada em vigor. (Dependendo da relevância, esse prazo poderá se estender para 120 dias ou mais.)
Considerando o tempo e as etapas necessárias no processo regulatório, os contratados federais ainda têm certa margem para avaliar os Cases 2021-017 e 2021-019 e o conjunto de novas obrigações que podem vir a ser impostas. Contudo, as empresas abrangidas por essas propostas devem levar a sério a possibilidade de implementação. Com o aumento recente de ataques cibernéticos devastadores e a ordem executiva de 2021 do Presidente Biden, não há motivos para duvidar que essas novas exigências ou diretrizes semelhantes tornar-se-ão legislação regulamentar em breve.
Considerando o tempo e as etapas necessárias no processo regulatório, os contratados federais ainda têm certa margem para avaliar o FAR Case 2021-017 e o FAR Case 2021-019 e o conjunto de novas obrigações que podem vir a ser impostas.
