:quality(85))
Em outubro passado, o Federal Acquisition Regulatory (FAR) Council, órgão interagências responsável pela definição das políticas de aprovisionamento do governo federal dos Estados Unidos, propôs um conjunto de novas regras. Caso sejam aprovadas e entrem em vigor, estas regras poderão ter um impacto significativo na forma como os contratantes federais reportam e respondem a ciberataques e outros incidentes de cibersegurança.
A primeira proposta de regra, Cyber Threat and Incident Reporting and Information Sharing — que inclui as cláusulas FAR 52.239-ZZ e FAR 52.239-AA — foi emitida ao abrigo do FAR Case 2021–017. A segunda regra, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems — incluindo as cláusulas FAR 52.239-XX e FAR 52.239-YY — foi emitida ao abrigo do FAR Case 2021-019.
A publicação destas propostas, em 3 de outubro, deu início a um período de consulta pública de 60 dias, que terminaria a 4 de dezembro de 2023. No dia 1 de novembro, o FAR Council prorrogou o período para apresentação de comentários relativamente às regras propostas até 2 de fevereiro de 2024. Desde então, não houve atualizações oficiais do FAR Council nem de nenhuma das agências que coadministram o Federal Acquisition Regulation relativamente à aprovação definitiva das regras, nem a datas previstas para a sua entrada em vigor.
Dada a abrangência das regras e a magnitude das responsabilidades que estas poderão atribuir aos contratantes federais, é essencial que as empresas compreendam exatamente o que está em causa nos FAR Cases 2021-017 e 2021-019.
Dada a abrangência das regras e a magnitude das responsabilidades que estas poderão atribuir aos contratantes federais, é essencial que as empresas compreendam exatamente o que está em causa nos FAR Cases 2021-017 e 2021-019.
Decreto Executivo do Presidente Biden sobre Cibersegurança
Em maio de 2021, o Presidente Biden assinou o Decreto Executivo 14028, com o título elucidativo «Improving the Nation’s Cybersecurity» («Melhorar a Cibersegurança Nacional»). O objetivo declarado deste decreto era reforçar diversas medidas de cibersegurança, com vista a proteger o governo federal contra o que a Casa Branca caracterizou como «campanhas maliciosas persistentes e cada vez mais sofisticadas no ciberespaço». Esta diretiva presidencial surgiu na sequência de dois ciberataques de grande dimensão e praticamente sem precedentes — o ataque à SolarWinds em 2020 e a violação de dados do Microsoft Exchange no início de 2021. Estes atos de ciberespionagem, levados a cabo por grupos de hackers associados a adversários estratégicos dos Estados Unidos, terão assinalado o início de uma nova era de ciberconflitos. Após estes acontecimentos, o governo norte-americano sentiu uma necessidade acrescida de desenvolver um plano abrangente e unificado para reforçar os seus sistemas de dados.
Esta diretiva presidencial surgiu na sequência de dois ciberataques de grande dimensão e praticamente sem precedentes — o ataque à SolarWinds em 2020 e a violação de dados do Microsoft Exchange no início de 2021.
O decreto executivo do Presidente Biden incumbiu o governo federal de mobilizar «toda a extensão dos seus poderes e recursos para proteger e assegurar os seus sistemas informáticos, sejam eles cloud, on-premises ou híbridos». A diretiva exige, de forma inequívoca, a implementação de novos protocolos de resposta a incidentes de cibersegurança entre o governo e os seus contratantes federais, a modernização da infraestrutura de cibersegurança através de serviços cloud seguros e arquitetura de zero trust, e a padronização das respostas a ameaças em todas as agências federais, entre outros requisitos.
As novas regras propostas pelo FAR Council em outubro passado configuram um desenvolvimento adicional deste esforço de aplicação do decreto executivo de 2021. Ao reforçar e alargar os requisitos de reporte a serem cumpridos pelos contratantes federais após incidentes cibernéticos, o FAR Council procura criar condições para respostas governamentais mais ágeis e proativas a ciberataques e a outras ameaças à segurança nacional.
Ao reforçar e alargar os requisitos de reporte a serem cumpridos pelos contratantes federais após incidentes cibernéticos, o FAR Council procura criar condições para respostas governamentais mais ágeis e proativas a ciberataques e a outras ameaças à segurança nacional.
FAR Case 2021-017: Âmbito e requisitos de cibersegurança
Existem duas cláusulas na primeira regra proposta: FAR 52.239-ZZ e FAR 52.239-AA. Ambas introduziriam novas responsabilidades para os contratantes federais, quer como resposta direta a um incidente cibernético, quer sob a forma de medidas preventivas caso este venha a ocorrer.
FAR 52.239-ZZ
A redação oficial para a FAR 52.239-ZZ é «Incident and Threat Reporting and Incident Response Requirements for Products or Services Containing Information and Communications Technology». A FAR 52.239-ZZ visa atualizar e reforçar as obrigações contratuais dos contratantes federais na sequência de incidentes de segurança. Para tal, propõe novos requisitos para garantir uma resposta tempestiva e abrangente a incidentes de segurança; colaboração com as entidades governamentais envolvidas na investigação dos mesmos; e conservação de todos os ficheiros, registos e documentação suscetíveis de apoiar o processo de resposta.
Segundo a proposta, um «incidente de segurança» abrange mais do que ciberataques e outros incidentes cibernéticos. O FAR Council utiliza igualmente o termo para referir infrações mais gerais à lei, políticas ou procedimentos de segurança, bem como a transferência de informação classificada ou de informação não classificada mas controlada (CUI) para sistemas de informação abaixo dos níveis de segurança autorizados pelo governo.
- Prazos para reporte de incidentes
A FAR 52.239-ZZ altera o período em que os contratantes devem reportar incidentes de segurança ao governo. Ao abrigo da nova regra, é obrigatório para os contratantes comunicar estes incidentes — e toda a informação relevante — através do portal de reporte de incidentes da Cybersecurity and Infrastructure Security Agency (CISA) no prazo de oito horas após a deteção inicial do incidente. Além disso, o registo deve ser atualizado a cada 72 horas até que todas as agências governamentais tenham concluído as respetivas investigações.
O reporte célere dos incidentes permite que as agências governamentais e as respetivas equipas possam executar respostas mais eficazes e dinâmicas. Como explica a regra proposta, a submissão atempada de incidentes e as atualizações regulares auxiliam as investigações, viabilizando «análises de dados rápidas para identificação eficiente de atividades, agentes maliciosos, ameaças, e indicadores de comprometimento».
- Medidas complementares de apoio à resposta governamental
Para além do reporte de incidentes de segurança através do portal da CISA no prazo estabelecido, os contratantes devem ainda participar em diversas outras atividades que visam facilitar a resposta governamental a ameaças. Desde logo, as entidades abrangidas devem facultar à CISA, ao FBI e/ou à agência contratante o acesso total a toda a informação, sistemas e pessoal relevantes imediatamente após um incidente de segurança.
Cabe ainda aos contratantes federais conservar todos os dados relacionados com o incidente de segurança reportado. Tal inclui a permanência em armazenamento ativo de dados de tráfego de rede, registos de perímetro, telemetria e outras informações pertinentes durante 12 meses, seguidos de mais seis meses em armazenamento ativo ou a frio.
Por fim, a nova regra FAR obriga a subscrição do programa Automated Indicator Sharing (AIS) da CISA para comunicação de indicadores de ameaça e medidas de defesa recomendadas. (Os contratantes são responsáveis pela participação na plataforma AIS independentemente da ocorrência de incidentes de segurança.)
- Software Bill of Materials
Para além dos requisitos de resposta e reporte, a FAR 52.239-ZZ atribui aos contratantes federais a responsabilidade de manter uma software bill of materials (SBOM) que liste todo o software utilizado em atividades ao abrigo do contrato federal. O governo define um SBOM como um «registo formal que contém os detalhes e relações de cadeia de abastecimento dos vários componentes usados na construção de software». Segundo o Department of Commerce, os dados do SBOM «melhoram tanto a identificação de vulnerabilidades como a rapidez da resposta» e «a sua utilização na análise e identificação de vulnerabilidades conhecidas e possíveis medidas de mitigação é fundamental para a gestão do risco».
É relevante salientar que os contratantes são responsáveis pela manutenção do SBOM em todas as circunstâncias, inclusive quando não existe qualquer incidente de segurança. Também estão obrigados a atualizar o SBOM sempre que o software em utilização seja alterado durante a execução de um contrato. Uma listagem completa de todos os requisitos relativos aos SBOMs e à sua manutenção no decurso de contratos federais pode ser consultada no relatório do Department of Commerce Minimum Elements for a Software Bill of Materials.
FAR 52.239-AA
A segunda cláusula do Case 2021-017, FAR 52.239-AA, é significativamente mais delimitada e específica. Intitulada «Security Incident Reporting Representation», exige que todos os interessados em celebrar contratos com o governo federal confirmem que, no passado, cumpriram a FAR 52.239-ZZ. Ou seja, devem declarar que submeteram todos os relatórios de incidentes de segurança exigidos por contratos anteriores e atuais de forma «atual, correta e completa».
A regra obriga ainda todos os proponentes a garantir que transmitiram este requisito a todos os subcontratados de níveis inferiores, incorporando o conteúdo desta regra nos respetivos subcontratos.
FAR Case 2021-019: Âmbito e requisitos de cibersegurança
O FAR Council publicou a segunda proposta de regra, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems, no âmbito do Case 2021-019. O objetivo explícito desta regra é uniformizar os requisitos de cibersegurança em todas as agências federais, com especial enfoque em sistemas federais de informação não classificados (FIS). O Case 2021-019 divide-se em duas cláusulas de âmbito essencialmente autoexplicativo. A primeira é FAR 52.239-XX, «Federal Information Systems Using Cloud Computing Services», e abrange os FIS baseados em cloud. A segunda é FAR-52.239-YY, «Federal Information Systems Using Non-Cloud Computing Services», relativa a todos os FIS que não recorrem a sistemas cloud.
O governo federal define sistema federal de informação como um «sistema de informação utilizado ou operado por uma agência, por um contratante de uma agência, ou por outra organização em nome de uma agência».
FAR 52.239-XX
Esta cláusula exige que as agências determinem o nível de impacto do sistema de informação baseado em cloud de um contratante segundo o Federal Information Processing Standard Publication 199 (FIPS-199), bem como o nível de autorização correspondente no Federal Risk and Authorization Management Program (FedRAMP). De acordo com a regra proposta, as agências deverão definir o nível FIPS-199 com base na «análise do impacto da informação processada, armazenada ou transmitida pelo sistema». Uma vez determinados estes níveis, o contratante federal deverá implementar e manter as medidas de proteção e privacidade adequadas ao nível de autorização FedRAMP obtido.
Além destes requisitos de segurança, a FAR 52.239-XX obriga ainda os contratantes a participar em atividades de monitorização contínua e a entregar os respetivos relatórios, conforme especificado no «FedRAMP Continuous Monitoring Strategy Guide». Por fim, os contratantes devem cumprir todos os requisitos contratuais específicos relativamente ao fornecimento e eliminação de dados governamentais e informações relacionadas.
FAR 52.239-YY
Os requisitos introduzidos pela cláusula para sistemas federais de informação não baseados em cloud são ligeiramente mais complexos. Tal como na FAR 52.239-XX, caberá às agências recorrer ao FIPS-199 para determinar o nível de impacto apropriado e incluí-lo no contrato. Além de determinar estes níveis, as agências e os respetivos responsáveis contratuais deverão também abordar um leque variado de questões de segurança, incluindo autenticação multifator, contas administrativas, banners de consentimento e controlos de dispositivos Internet of Things. Os responsáveis devem ainda selecionar um conjunto adequado de salvaguardas de segurança e privacidade, de acordo com várias publicações técnicas do National Institute of Standards and Technology, nomeadamente NIST SP 800-53, NIST SP 800–213, NIST SP 800–161 e NIST SP 800–82.
Para além dos novos requisitos de segurança a incluir nos contratos de FIS não cloud, esta cláusula impõe duas novas obrigações determinantes aos contratantes federais. Em primeiro lugar, devem dar à CISA e demais entidades governamentais especificadas pelo responsável contratual «acesso total e atempado» a dados e pessoal do governo para efeitos de auditorias, investigações e inspeções, sempre que tal seja crítico para a segurança dos dados. Em segundo lugar, todos os FIS classificados com nível de impacto FIPS-199 moderado ou elevado devem realizar duas avaliações anuais: uma avaliação interna, para detetar «vulnerabilidades, riscos e indicadores de comprometimento», e uma revisão independente da segurança do sistema de informação. Os contratantes são responsáveis pela submissão dos resultados destas avaliações anuais — incluindo as medidas de mitigação recomendadas — aos responsáveis contratuais.
Obrigações de indemnização
Cada uma destas cláusulas — FAR 52.239-XX e FAR 52.239-YY — inclui uma disposição que exige aos contratantes federais a obrigação de indemnizar o governo contra qualquer responsabilidade decorrente da execução do contrato. De acordo com a regra proposta, tais responsabilidades resultariam, fundamentalmente, de duas situações: introdução pelo contratante de informação ou conteúdo em dados do governo, ou divulgação não autorizada de informação sensível ou material. Importa notar que a proposta obriga ainda os contratantes a prescindir de «quaisquer meios de defesa que possam arguir em seu benefício, incluindo (sem limitação) a ‘Government Contractors Defense’». Esta renúncia obrigatória implica responsabilidade significativa para os contratantes, caso venha a ocorrer um ciberataque, violação de dados ou outro incidente de segurança.
Preparar a conformidade com os novos requisitos de cibersegurança
Não existem, até ao momento, indícios de que a entrada em vigor destas duas regras de cibersegurança seja iminente. Após o término do período de consulta pública — prorrogado até 2 de fevereiro — as agências integrantes do FAR Council e as responsáveis pela administração do FAR terão de analisar os comentários recebidos. Só após esta análise é que decidirão se avançam, ou não, com a publicação da versão final das regras. Caso venha a ser aprovada, a versão final estabelecerá um prazo mínimo de 60 dias até à entrada em vigor. (Dependendo da relevância da regra, este prazo poderá ser alargado até 120 dias ou mais.)
Dada a duração e etapas deste processo regulamentar, os contratantes federais dispõem de algum tempo para analisar os FAR Cases 2021-017 e 2021-019 e o conjunto de novas obrigações que estes poderão, em teoria, acionar. As empresas abrangidas por estas propostas regulamentares, contudo, devem preparar-se para a possibilidade efetiva da sua implementação. Face ao recente aumento de ciberataques de grande impacto e ao decreto presidencial de 2021, nada indica que estas exigências — ou requisitos equivalentes — deixarão de se tornar lei num futuro próximo.
Dada a duração e etapas deste processo regulamentar, os contratantes federais dispõem de algum tempo para analisar o FAR Case 2021-017 e o FAR Case 2021-019 e o conjunto de novas obrigações que estes poderão, em teoria, acionar.
