:quality(85))
Em outubro passado, o Federal Acquisition Regulatory (FAR) Council, um órgão interagências responsável por definir as políticas de compras em todo o governo federal norte-americano, propôs dois novos regulamentos. Caso sejam aprovadas e entrem em vigor, estas regras poderão ter um impacto significativo na forma como os contratantes federais comunicam e respondem a ataques cibernéticos e outros incidentes de cibersegurança.
O primeiro regulamento proposto, Cyber Threat and Incident Reporting and Information Sharing—which inclui as cláusulas FAR 52.239-ZZ e FAR 52.239-AA—foi emitido ao abrigo do FAR Case 2021–017. O segundo regulamento, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems—including FAR 52.239-XX e FAR 52.239-YY—foi emitido ao abrigo do FAR Case 2021-019.
A publicação destas propostas a 3 de outubro deu início a um período de consulta pública de 60 dias, previsto para terminar a 4 de dezembro de 2023. No dia 1 de novembro, o FAR Council prorrogou o período de comentários relativos aos regulamentos propostos até 2 de fevereiro de 2024. Desde então, não existiram atualizações oficiais do FAR Council, nem das agências que gerem em conjunto o Federal Acquisition Regulation, quanto à finalização dos regulamentos ou à data prevista para a sua implementação.
Contudo, devido ao âmbito destes regulamentos e à magnitude da responsabilidade que impõem aos contratantes federais, é fundamental que as empresas compreendam exatamente o que está em causa nos FAR Cases 2021-017 e 2021-019.
Contudo, devido ao âmbito destes regulamentos e ao grau de responsabilidade que impõem aos contratantes federais, é fundamental que as empresas entendam exatamente em que consistem os FAR Cases 2021-017 e 2021-019.
Ordem Executiva de Cibersegurança do Presidente Biden
Em maio de 2021, o Presidente Biden assinou a Ordem Executiva 14028, intitulada «Improving the Nation’s Cybersecurity» («Melhorar a Cibersegurança do País»). O objetivo declarado da ordem executiva era reforçar várias medidas de cibersegurança para proteger o governo federal contra aquilo que a Casa Branca classificou como «campanhas cibernéticas maliciosas, persistentes e cada vez mais sofisticadas». Esta diretiva presidencial foi publicada na sequência de dois ataques cibernéticos de grande escala e praticamente sem precedentes: o ataque à SolarWinds em 2020 e a violação dos dados do Microsoft Exchange no início de 2021. Estes atos de ciberespionagem, levados a cabo por grupos de hackers associados a adversários estratégicos dos EUA, sinalizaram provavelmente o surgimento de uma nova era de guerra cibernética. Perante estes acontecimentos, o governo norte-americano sentiu uma urgência crescente em desenvolver um plano alargado e unificado para reforçar os seus sistemas de dados.
A diretiva presidencial foi publicada na sequência de dois ataques cibernéticos de grande escala e praticamente sem precedentes: o ataque à SolarWinds em 2020 e a violação dos dados do Microsoft Exchange no início de 2021.
A ordem executiva de Biden incumbia o governo federal de utilizar «toda a amplitude dos seus poderes e recursos para proteger e assegurar os seus sistemas informáticos, estejam eles na cloud, on-premises ou híbridos». A ordem estipulava, em particular, a criação de novos protocolos de resposta a incidentes cibernéticos entre o governo e os seus contratantes, a modernização das infraestruturas de cibersegurança através de serviços cloud seguros e arquiteturas zero trust, bem como a uniformização de respostas a ameaças de cibersegurança em todas as agências federais, entre outras exigências.
As novas regras propostas pelo FAR Council em outubro passado representam uma evolução dos esforços para implementar a ordem executiva de 2021. Ao reforçar e alargar os requisitos de reporte para os contratantes federais após incidentes cibernéticos, o FAR Council pretende criar condições para respostas governamentais mais ágeis e proativas a ciberataques e outras ameaças à segurança nacional.
Ao reforçar e alargar os requisitos de reporte para contratantes federais na sequência de incidentes cibernéticos, o FAR Council pretende criar condições para respostas governamentais mais ágeis e proativas a ciberataques e outras ameaças à segurança nacional.
FAR Case 2021-017: Âmbito e Requisitos de Cibersegurança
O primeiro regulamento proposto inclui duas cláusulas: FAR 52.239-ZZ e FAR 52.239-AA. Em ambos os casos, seriam introduzidas novas responsabilidades para contratantes federais, quer em resposta direta a um incidente cibernético, quer em medidas de precaução caso venha a ocorrer.
FAR 52.239-ZZ
A designação oficial da FAR 52.239-ZZ é «Incident and Threat Reporting and Incident Response Requirements for Products or Services Containing Information and Communications Technology». Esta cláusula visa atualizar e reforçar as obrigações contratuais dos contratantes federais após incidentes de segurança, propondo novos requisitos para resposta a incidentes de segurança de forma atempada e abrangente; colaboração com as agências governamentais que investiguem tais incidentes; e manutenção de todos os ficheiros, registos e documentação que possam ser úteis no processo de resposta ao incidente.
De acordo com a proposta, um «incidente de segurança» abrange mais do que apenas ciberataques ou incidentes de cibersegurança. O FAR Council utiliza também o termo para referir violações gerais da lei, políticas ou procedimentos de segurança, bem como a transferência de informação classificada ou informação não classificada mas controlada (CUI) para qualquer sistema informático abaixo dos níveis de segurança autorizados pelo governo.
Prazos de Reporte de Incidentes
A FAR 52.239-ZZ atualiza o período que os contratantes têm para reportar incidentes de segurança ao governo. De acordo com a nova regra, os contratantes ficam obrigados a reportar estes incidentes, com toda a informação relevante, através do portal de reporte de incidentes da Cybersecurity and Infrastructure Security Agency (CISA) até oito horas após a descoberta inicial do incidente. O reporte deve, ainda, ser atualizado a cada 72 horas, enquanto decorrerem investigações por parte das agências governamentais.
O reporte atempado de incidentes permite que as agências governamentais e as suas equipas implementem respostas mais eficazes e dinâmicas. Como a própria proposta indica, a comunicação rápida e a atualização contínua facilitam «análises de dados céleres para identificar prontamente a atividade e ações de atores maliciosos, ameaças e indicadores de comprometimento».
Ações Adicionais de Apoio à Resposta Governamental
Para além da comunicação obrigatória dos incidentes no portal da CISA, nos prazos estabelecidos, os contratantes devem participar em diversas outras ações para facilitar a resposta governamental a ameaças. É obrigatório conceder à CISA, ao FBI e/ou à agência contratante acesso total a toda a informação relevante, sistemas de informação e pessoal, imediatamente após o incidente de segurança.
Os contratantes federais são igualmente responsáveis por preservar todos os dados relacionados com o incidente de segurança reportado. Isto inclui manter dados de tráfego de rede, registos de defesa perimetral, telemetria e outras informações relevantes em armazenamento ativo durante 12 meses, e posteriormente por mais seis meses em armazenamento ativo ou frio.
Finalmente, a nova regra do FAR obriga os contratantes a subscrever o Automated Indicator Sharing (AIS) da CISA, com o objetivo de comunicar indicadores de ameaça cibernética e medidas de defesa recomendadas. (Os contratantes devem utilizar a plataforma AIS independentemente da ocorrência de incidentes de segurança.)
Software Bill of Materials
Para além das exigências de reporte e resposta, a FAR 52.239-ZZ introduz novas obrigações para os contratantes federais ao nível da manutenção de uma software bill of materials (SBOM), que contemple qualquer software utilizado em trabalhos executados ao abrigo do contrato federal. O governo define um SBOM como um «registo formal que contém os detalhes e as relações de cadeia de abastecimento dos diversos componentes usados na construção de software». Segundo o Department of Commerce, os dados dos SBOM «melhoram a identificação de vulnerabilidades e a rapidez da resposta», sendo que a sua utilização «para identificar e analisar vulnerabilidades conhecidas e possíveis medidas de mitigação é fundamental para a gestão de risco».
Importa sublinhar que os contratantes são responsáveis por manter os SBOM em todas as circunstâncias, incluindo na ausência de incidentes conhecidos. São também obrigados a alterar os seus SBOM se e quando o software usado for atualizado durante a vigência do contrato. Informações detalhadas acerca de todos os requisitos referentes aos SBOM, bem como a sua manutenção durante a execução de contratos federais, podem ser consultadas no documento do Department of Commerce Minimum Elements for a Software Bill of Materials.
FAR 52.239-AA
A segunda cláusula do Case 2021-017, FAR 52.239-AA, é mais precisa e restrita. Intitulada «Security Incident Reporting Representation», exige que todos os candidatos a contratantes interessados em trabalhar com o governo federal certifiquem o cumprimento histórico da FAR 52.239-ZZ. Isto inclui a confirmação de que submeteram todos os relatórios obrigatórios de incidentes de segurança, em contratos anteriores ou vigentes, «de forma atual, precisa e completa».
A regra exige ainda que os proponentes atestem terem aplicado a regra em subcontratos prévios, exigindo que todos os subcontratantes de níveis inferiores incluam estas obrigações nos respetivos contratos.
FAR Case 2021-019: Âmbito e Requisitos de Cibersegurança
O FAR Council emitiu o segundo regulamento proposto, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems, no âmbito do Case 2021-019. O objetivo desta regra passa por normalizar requisitos de cibersegurança em todas as agências federais, com especial enfoque em sistemas de informação federal não classificados (FIS). O Case 2021-019 divide-se em duas cláusulas, cujas diferenças são autoexplicativas. FAR 52.239-XX, «Federal Information Systems Using Cloud Computing Services», aplica-se aos FIS baseados na cloud. FAR-52.239-YY, «Federal Information Systems Using Non-Cloud Computing Services», abrange todos os FIS que não utilizam sistemas cloud.
O governo federal define sistema de informação federal como «um sistema de informação utilizado ou operado por uma agência, contratante de uma agência, ou outra organização em nome de uma agência».
FAR 52.239-XX
Esta cláusula exige que as agências determinem o nível de impacto do sistema de informação cloud do contratante com base no Federal Information Processing Standard Publication 199 (FIPS-199), bem como o nível correspondente do Federal Risk and Authorization Management Program (FedRAMP). De acordo com o regulamento proposto, as agências deverão determinar o nível FIPS-199 com base na «análise do impacto das informações processadas, armazenadas ou transmitidas pelo sistema». Após a atribuição destes níveis, o contratante federal é obrigado a implementar e manter as salvaguardas de segurança e privacidade compatíveis com o respetivo nível de autorização FedRAMP.
Adicionalmente a estas medidas, a FAR 52.239-XX exige a participação dos contratantes em atividades contínuas de monitorização, e a entrega dos respetivos resultados de monitorização, conforme definido no «FedRAMP Continuous Monitoring Strategy Guide». Por fim, os contratantes devem respeitar todas as exigências contratuais específicas relacionadas com a disponibilização e eliminação de dados governamentais ou dados relacionados com o governo.
FAR 52.239-YY
Os requisitos introduzidos pela cláusula relativa a sistemas federais sem base cloud são mais complexos. À semelhança da FAR 52.239-XX, as agências são responsáveis por utilizar o FIPS-199 para determinar o nível de impacto apropriado e indicá-lo no contrato. Para além da determinação deste nível, as agências e respetivos oficiais de contratação devem considerar outras questões de segurança específicas, tais como autenticação multifator, contas administrativas, banners de consentimento e controlos para dispositivos Internet of Things. Devem ainda selecionar um conjunto adequado de mecanismos de segurança e privacidade com base em publicações especiais do National Institute of Standards and Technology, incluindo NIST SP 800-53, NIST SP 800–213, NIST SP 800–161 e NIST SP 800–82.
Para além dos novos requisitos de segurança a incluir em contratos relativos a FIS sem sistemas cloud, esta cláusula impõe duas novas obrigações fundamentais aos contratantes federais. Em primeiro lugar, devem garantir à CISA e a outras agências governamentais designadas pelo oficial de contratação «acesso pleno e tempestivo» a dados governamentais e de pessoal, para auditorias, investigações e inspeções imprescindíveis à segurança dos dados. Em segundo lugar, quaisquer FIS classificados com impacto FIPS-199 moderado ou elevado têm de realizar duas avaliações anuais: uma avaliação interna focada em vulnerabilidades, riscos e indicadores de comprometimento, e uma avaliação independente da segurança do sistema. Os contratantes são obrigados a reportar os resultados destas avaliações anuais—including medidas recomendadas de mitigação—ao respetivo oficial de contratação.
Obrigações de Indemnização
Cada uma destas cláusulas—FAR 52.239-XX e FAR 52.239-YY—inclui uma disposição que exige aos contratantes federais a assunção de responsabilidade e indemnização do governo por qualquer responsabilidade decorrente da execução do contrato. O regulamento proposto prevê que tais responsabilidades resultem, essencialmente, de duas situações: a introdução de informação ou materiais pelo contratante nos dados do governo, ou a divulgação não autorizada de informação ou materiais sensíveis. Importa destacar que a proposta também obriga os contratantes a abdicar de «todas e quaisquer defesas que poderiam invocar em seu benefício, incluindo (sem limitação) a 'Government Contractors Defense'». Esta renúncia obrigatória impõe uma responsabilidade significativa aos contratantes caso ocorra um ciberataque, violação de dados ou outro incidente de segurança.
Preparação para os Novos Requisitos de Cibersegurança
Não parece estar iminente uma data de entrada em vigor destas duas regras de cibersegurança. Depois do período de consulta pública—prorrogado até 2 de fevereiro—, as agências que compõem o FAR Council e as responsáveis pela administração do FAR precisam de rever e analisar os comentários recebidos. Só após esta análise decidirão se vão publicar uma regra final. Se tal acontecer, a regra final fixará um prazo de pelo menos 60 dias até a regulamentação entrar em vigor. (Dependendo da importância da regra, este prazo pode estender-se até 120 dias ou mais.)
Atendendo ao tempo e etapas envolvidos no processo regulamentar, os contratantes federais dispõem de algum tempo para analisar os Cases FAR 2021-017 e 2021-019, bem como o conjunto de novas obrigações que poderão vir a impor. No entanto, as empresas abrangidas por estas propostas devem preparar-se seriamente para a sua implementação. Perante a recente vaga de ciberataques devastadores e a ordem executiva assinada pelo Presidente Biden em 2021, não há razões para duvidar de que estes novos requisitos de cibersegurança — ou outros semelhantes — virão a tornar-se legislação regulamentar num futuro próximo.
Atendendo ao tempo e etapas envolvidos no processo regulamentar, os contratantes federais dispõem de algum tempo para analisar o FAR Case 2021-017 e o FAR Case 2021-019 e o conjunto de novas obrigações que poderão vir a impor.
