:quality(85))
O Defense Federal Acquisition Regulation Supplement (DFARS) é um conjunto de regras e regulamentos que orienta a forma como o Departamento de Defesa dos EUA gere as atividades de aprovisionamento e aquisição. Além disso, serve de enquadramento para os contratantes privados que fazem negócios com a agência. O DFARS é uma extensão do Federal Acquisition Regulation (FAR)—que supervisiona o aprovisionamento dos 15 principais organismos executivos federais—e pode ser consultado no Capítulo 2 do Título 48 do Código de Regulamentos Federais.
Devido às implicações para a segurança nacional de grande parte do trabalho realizado pelo Departamento de Defesa, muitos dos dados, informações e outros materiais trocados entre a agência e os seus contratantes privados são extremamente sensíveis. O DoD utiliza o termo covered defense information (CDI, informação de defesa abrangida) como categoria geral para este tipo de conhecimento, definindo-a como «informação técnica controlada não classificada ou outra informação… que requer salvaguarda ou controlo de divulgação em conformidade com as leis, regulamentos e políticas governamentais».
Na última década, contratantes privados de defesa e outras entidades na vasta rede que compõe a base industrial de defesa (DIB) dos EUA têm sentido um aumento preocupante de ciberataques e outras ameaças à cibersegurança, dirigidas à penetração do DIB e ao roubo desta informação sensível.
Como resposta a estes novos riscos e à crescente multiplicidade de agentes maliciosos envolvidos, o Departamento de Defesa introduziu uma nova cláusula no seu código de regulamentos de aquisição. Esta nova secção, DFARS 252.204-7012, visa reforçar as proteções para o CDI ao obrigar os contratantes a implementar um conjunto abrangente de controlos de segurança. Os objetivos principais da nova cláusula DFARS são uniformizar a cibersegurança em todos os contratantes de defesa e combater a onda crescente de agentes criminosos que exploram vulnerabilidades no DIB.
Esta nova secção, DFARS 252.204-7012, visa reforçar as proteções para o CDI ao obrigar os contratantes a implementar um conjunto abrangente de controlos de segurança.
DFARS 252.204-7012 e o Protocolo de Segurança NIST
A DFARS 252.204-7012, oficialmente intitulada Salvaguarda da Informação de Defesa Abrangida e Comunicação de Incidentes de Cibersegurança, entrou em vigor na véspera de Ano Novo de 2017. Esta cláusula—também chamada subsecção—introduziu uma série de novas medidas de cibersegurança às quais todos os contratantes de defesa passam a estar vinculados. A subsecção 252.204-7012 pretende garantir que toda a informação de defesa abrangida está protegida contra fugas de dados, ciberataques e outras ameaças relevantes através da aplicação de um protocolo de segurança reforçado.
As medidas sob o âmbito da DFARS 252.204-7012 incluem vários requisitos inovadores. O mais importante exige que todos os contratantes cumpram um conjunto de controlos de segurança publicado pelo National Institute of Standards and Technology (NIST, Instituto Nacional de Padrões e Tecnologia), um organismo do Departamento do Comércio dos EUA dedicado ao avanço da inovação e competitividade americana em ciência, tecnologia e engenharia. Conhecidas como NIST Special Publication 800-171, ou simplesmente NIST SP 800-171, estas diretrizes reúnem 110 controlos de segurança, agrupados em 14 «famílias»:
- Controlo de Acessos (AC)
- Sensibilização e Formação
- Auditoria e Prestação de Contas
- Gestão de Configuração
- Identificação e Autenticação
- Resposta a Incidentes
- Manutenção
- Proteção de Suportes
- Segurança de Pessoal
- Proteção Física
- Avaliação de Riscos
- Avaliação de Segurança
- Proteção de Sistemas e Comunicações
- Integridade do Sistema e da Informação
Graças à subsecção DFARS 252.204-7012, todos os contratantes de defesa estão agora sujeitos à NIST SP 800-171, tendo de implementar mais de 100 controlos de segurança ao executar tarefas para o Departamento de Defesa. O governo federal mantém um Registo CUI destinado a servir de recurso universal para todos os que tratam CDI e informação não classificada controlada (CUI) de forma adequada. Tal como descrito no documento SP 800-171 original, este repositório «identifica as categorias e subcategorias CUI aprovadas, fornece descrições gerais de cada uma, identifica a base dos controlos e define os procedimentos para utilização de CUI, incluindo, entre outros, marcação, proteção, transporte, divulgação, reutilização e eliminação da informação».
Todos os contratantes de defesa estão agora sujeitos à NIST SP 800-171 e devem implementar mais de 100 controlos de segurança ao executar tarefas para o Departamento de Defesa.
Requisitos Adicionais da Cláusula DFARS 252.204-7012
Embora o requisito mais crítico introduzido pela DFARS 252.204-7012 seja o protocolo de cibersegurança NIST, a cláusula inclui ainda várias outras obrigações relevantes.
- O primeiro destes requisitos adicionais diz respeito à revisão e reporte de incidentes de cibersegurança. Se uma empresa privada a trabalhar para o Departamento de Defesa detetar um incidente cibernético que afete CDI, ou um sistema responsável por alojar e proteger CDI, deverá comunicar o incidente rapidamente por canais específicos do DoD.
- O contratante é também responsável por realizar uma análise e avaliação exaustivas do incidente, que inclui a identificação de quaisquer dados, equipamentos, contas e sistemas de informação comprometidos.
- Se o incidente envolver software malicioso, o contratante deve tentar isolar o software e enviá-lo para o Cyber Crime Center (DC3) do Departamento de Defesa.
- Por fim, a parte deve colaborar de forma contínua com o DoD durante a investigação ao incidente, incluindo o fornecimento de acesso a quaisquer dados, sistemas e equipamentos solicitados.
A DFARS 252.204-7012 exige que todos os contratantes e subcontratantes implementem os mesmos controlos de segurança e cumpram as mesmas obrigações de reporte no tratamento de CDI. Para tal, o terceiro pilar da cláusula obriga os contratantes principais a transferir os novos requisitos de cibersegurança a todos os subcontratantes, integrando a 252.204-7012 nos contratos relevantes.
As Cláusulas DFARS Mais Recentes
O Departamento de Defesa emitiu uma Regra Interina DFARS no outono de 2020, que entrou em vigor a 30 de novembro do mesmo ano. Esta Regra Interina acrescentou três novas cláusulas à Parte 252 do DFARS: 252.204-7019, -7020 e -7021. Estas subseções visam desenvolver as obrigações já introduzidas na 252.204-7012, ao mesmo tempo que implementam novos mecanismos de responsabilização para os contratantes que trabalham com o DoD.
Em 2019, à Defense Contract Management Agency foi atribuída a tarefa de encontrar formas de uniformizar a avaliação da implementação do protocolo NIST SP 800-171 por parte dos contratantes (um requisito da 252.204-7012). O resultado foi a emissão da Metodologia de Avaliação DoD da NIST SP 800-171, um plano detalhado para uso dos contratantes ao avaliarem a sua conformidade com os controlos de segurança NIST. A primeira parte da Regra Interina, 252.204-7019, formaliza o uso do instrumento Assessment Methodology na DFARS, exigindo que todos os contratantes de defesa realizem e avaliem estas autoavaliações e ainda reportem as respetivas pontuações ao Supplier Performance Risk System (SPRS).
A primeira parte da Regra Interina, 252.204-7019, formaliza o uso do instrumento Assessment Methodology na DFARS, exigindo que todos os contratantes de defesa realizem e avaliem estas autoavaliações. Estão ainda obrigados a reportar as respetivas pontuações ao Supplier Performance Risk System (SPRS).
A subsecção 252.204-7020 impõe uma camada adicional de responsabilidade aos contratantes obrigados a cumprir o protocolo NIST. A cláusula permite ao Departamento de Defesa aceder às instalações, sistemas e pessoal do contratante, caso tal se revele necessário para a sua própria avaliação independente. A 252.204-7020 estipula igualmente que todos os contratantes principais devem exigir aos subcontratantes a realização das suas próprias avaliações à conformidade com a NIST SP 800-171, recorrendo à DoD Assessment Methodology, e assegurar a inclusão da cláusula em todos os subcontratos.
Por fim, a cláusula 252.204-7021 introduz a Cybersecurity Maturity Model Certification (CMMC), um novo enquadramento para avaliar a aplicação de práticas de cibersegurança e respetivos controlos de segurança pelos contratantes. Como as regras associadas ao CMMC ainda estão a ser finalizadas pelo DoD, esta subsecção funciona atualmente como uma disposição transitória para o que será, em breve, um novo padrão de cibersegurança crítico. O Departamento de Defesa irá, em última análise, exigir que todos os contratantes obtenham certificação através do CMMC—potencialmente até ao final de 2024 ou início de 2025—estando a cláusula DFARS 7021 a posicionar-se como instrumento dessa obrigatoriedade nos contratos do DoD.
A Importância da Conformidade com a DFARS 252.204-7012
Os ciberataques e as fugas de dados delas resultantes e exploradas representam uma ameaça crescente para o governo dos EUA, o Departamento de Defesa e todo o DIB. A DFARS 252.204-7012 foi introduzida em 2017 como uma contramedida robusta e rigorosa face à amplitude e frequência crescentes destes ataques, e atualmente quase todos os contratantes de defesa têm de a cumprir. A cláusula exige que as empresas disponham de um conjunto abrangente de controlos de segurança, um procedimento padrão para rever e reportar incidentes cibernéticos e ataques de software malicioso, e práticas estabelecidas para transferir medidas de salvaguarda de CDI aos subcontratantes.
A DFARS 252.204-7012 foi introduzida em 2017 como uma contramedida robusta e rigorosa face à amplitude e frequência crescentes destes ataques, e atualmente quase todos os contratantes de defesa têm de a cumprir.
As consequências por ignorar ou não dar resposta adequada à DFARS 252.204-7012 são significativas e dispendiosas. Os contratantes de defesa que não implementam os controlos de segurança NIST ficam vulneráveis a cibercriminosos, hackers e outros agentes maliciosos interessados em roubar dados sensíveis, podendo vir a suportar custos avultados de recuperação. Mais importante ainda, o Departamento de Defesa definiu respostas próprias a contratantes que não cumpram adequadamente a DFARS 252.204-7012 e o protocolo de segurança NIST associado.
As consequências por ignorar ou não dar resposta adequada à DFARS 252.204-7012 são significativas e dispendiosas. Os contratantes de defesa que não implementam os controlos de segurança NIST ficam vulneráveis a cibercriminosos, hackers e outros agentes maliciosos interessados em roubar dados sensíveis, podendo vir a suportar custos avultados de recuperação.
Numa nota de 2022, o Office of the Under Secretary of Defense explicou que a não implementação suficiente da NIST SP 800-171 será considerada uma violação contratual. «As consequências de tal violação», continua a nota, podem incluir «retenção de pagamentos de progresso; não exercício de opções contratuais remanescentes; e eventual rescisão total ou parcial do contrato». Os contratantes que negligenciam este regulamento fundamental de segurança colocam-se numa posição delicada perante o contratante, arriscando o contrato existente e comprometendo seriamente a possibilidade de garantir futuras aquisições junto do Departamento de Defesa e do governo federal.
