ข้อกำหนดด้านความปลอดภัยทางไซเบอร์ของ DFARS 252.204-7012 คืออะไร

กำลังค้นหาข้อมูลเกี่ยวกับข้อกำหนดด้านความปลอดภัยทางไซเบอร์ของ DFARS 252.204-7012 และบทบาทในการปกป้องข้อมูลสำคัญด้านการป้องกันประเทศอยู่หรือไม่ ที่นี่มีข้อมูลครบถ้วน

Michael Mariani

2 นาทีในการอ่าน
ข้อกำหนดด้านความปลอดภัยทางไซเบอร์ของ DFARS 252.204-7012 คืออะไร

Defense Federal Acquisition Regulation Supplement (DFARS) คือชุดกฎและข้อบังคับที่ควบคุมการดำเนินการจัดซื้อและการได้มาซึ่งทรัพยากรของกระทรวงกลาโหม สหรัฐอเมริกา พร้อมทั้งเป็นกรอบแนวทางสำหรับผู้รับเหมาภาคเอกชนที่ทำธุรกิจกับหน่วยงานดังกล่าว DFARS เป็นภาคขยายของ Federal Acquisition Regulation (FAR) ซึ่งใช้กำกับดูแลการจัดซื้อสำหรับหน่วยงานบริหารหลักทั้ง 15 แห่ง และสามารถค้นหาได้ในบทที่ 2 ของ Title 48 รหัสข้อบังคับของรัฐบาลกลาง

เนื่องจากงานส่วนใหญ่ของกระทรวงกลาโหมมักเกี่ยวข้องกับความมั่นคงแห่งชาติ ข้อมูลและเอกสารจำนวนมากที่หมุนเวียนระหว่างหน่วยงานและผู้รับเหมาภาคเอกชนจึงมีลักษณะอ่อนไหวสูง กระทรวงกลาโหมใช้คำว่า covered defense information (CDI) หรือ ข้อมูลด้านกลาโหมที่อยู่ภายใต้การคุ้มครอง เป็นหมวดหมู่ครอบคลุมความรู้ประเภทดังกล่าว โดย กำหนดความหมายไว้ว่า “ข้อมูลทางเทคนิคที่ไม่จัดเป็นความลับ หรือข้อมูลอื่นใดซึ่งจำเป็นต้องดูแลรักษาหรือควบคุมการเผยแพร่ให้สอดคล้องตามกฎหมาย ข้อบังคับ และนโยบายของรัฐบาลกลาง”

ในช่วงทศวรรษที่ผ่านมา ผู้รับเหมาด้านกลาโหมภาคเอกชนและหน่วยงานอื่น ๆ ที่อยู่ในเครือข่ายขนาดใหญ่ของฐานอุตสาหกรรมกลาโหมสหรัฐ (DIB) เผชิญเหตุการณ์โจมตีทางไซเบอร์และภัยคุกคามทางไซเบอร์เพิ่มขึ้นอย่างน่ากังวล โดยมีเป้าหมายเพื่อแทรกซึม DIB และขโมยข้อมูลเหล่านี้

เพื่อตอบสนองต่อภัยคุกคามรูปแบบใหม่และจำนวนผู้ไม่ประสงค์ดีที่เพิ่มขึ้น กระทรวงกลาโหมได้เพิ่มข้อกำหนดใหม่ในรหัสข้อบังคับการจัดซื้อ โดยข้อใหม่นี้ DFARS 252.204-7012 มุ่งเน้นการยกระดับการปกป้องข้อมูล CDI โดยกำหนดให้ผู้รับเหมาทุกแห่งต้องนำชุดมาตรการควบคุมความปลอดภัยที่ครอบคลุมไปใช้ เป้าหมายสูงสุดของข้อกำหนด DFARS ใหม่นี้ คือการทำให้มาตรฐานทางไซเบอร์ซิเคียวริตี้เป็นหนึ่งเดียวทั่วผู้รับเหมาด้านกลาโหม พร้อมต่อสู้กับการโจมตีของอาชญากรที่ต้องการเจาะจุดอ่อนของ DIB

ข้อกำหนดใหม่นี้ DFARS 252.204-7012 มุ่งเน้นการยกระดับการปกป้องข้อมูล CDI โดยกำหนดให้ผู้รับเหมาทุกแห่งต้องนำชุดมาตรการควบคุมความปลอดภัยที่ครอบคลุมไปใช้

DFARS 252.204-7012 และโปรโตคอลความปลอดภัย NIST

DFARS 252.204-7012 ซึ่งมีชื่อเต็มว่า Safeguarding Covered Defense Information and Cyber Incident Reporting มีผลบังคับใช้ตั้งแต่วันที่ 31 ธันวาคม 2017 โดยข้อกำหนดย่อยนี้ได้นำมาตรการด้านไซเบอร์ซิเคียวริตี้ชุดใหม่ที่ผู้รับเหมาด้านกลาโหมต้องปฏิบัติตามมาใช้ DFARS 252.204-7012 ตั้งเป้าหมายให้ข้อมูลด้านกลาโหมที่อยู่ภายใต้การคุ้มครองได้รับการป้องกันจากการรั่วไหลของข้อมูล การโจมตีทางไซเบอร์ และภัยคุกคามร้ายแรงอื่น ๆ ผ่านโปรโตคอลความปลอดภัยที่เข้มงวดขึ้น

มาตรการภายใต้ DFARS 252.204-7012 มีข้อกำหนดใหม่หลายประการ ที่สำคัญที่สุดคือกำหนดให้ผู้รับเหมาทั้งหมดต้องปฏิบัติตามมาตรฐานควบคุมความปลอดภัยที่ออกโดย National Institute of Standards and Technology (NIST) ซึ่งเป็นหน่วยงานในกระทรวงพาณิชย์สหรัฐ มีภารกิจในการส่งเสริมความก้าวหน้าด้านวิทยาศาสตร์ เทคโนโลยี และวิศวกรรมของประเทศ แนวปฏิบัตินี้รู้จักในชื่อ NIST Special Publication 800-171 หรือ NIST SP 800-171 ซึ่งข้อกำหนดเหล่านี้ประกอบด้วยมาตรการควบคุมความปลอดภัย 110 รายการ กระจายอยู่ใน 14 หมวดหมู่

  • Access Control (AC)
  • Awareness and Training
  • Audit and Accountability
  • Configuration Management
  • Identification and Authentication
  • Incident Response
  • Maintenance
  • Media Protection
  • Personnel Security
  • Physical Protection
  • Risk Assessment
  • Security Assessment
  • System and Communications Protection
  • System and Information Integrity

ด้วยข้อกำหนด DFARS 252.204-7012 นี้เอง ผู้รับเหมาด้านกลาโหมทุกแห่งต้องนำมาตรฐาน NIST SP 800-171 มาใช้ พร้อมใช้มาตรการควบคุมความปลอดภัย 100 กว่ารายการขณะดำเนินงานกับกระทรวงกลาโหม รัฐบาลกลางยังดูแล CUI Registry ฐานข้อมูลมาตรฐานสำหรับผู้ที่ต้องการจัดการ CDI และ controlled unclassified information (CUI) อย่างเหมาะสม ซึ่งตามที่ เอกสาร SP 800-171 ระบุ ฐานข้อมูลนี้ “กำหนดหมวดหมู่และหมวดย่อยของ CUI ที่ได้รับอนุญาต ให้คำอธิบายภาพรวมระบุหลักเกณฑ์ควบคุม ตลอดจนระเบียบวิธีใช้ CUI เช่น การทำเครื่องหมาย การรักษาความปลอดภัย การขนย้าย การเผยแพร่ การนำกลับมาใช้ และการทำลายข้อมูล”

ผู้รับเหมาด้านกลาโหมทุกแห่งต้องปฏิบัติตาม NIST SP 800-171 และนำมาตรการควบคุมความปลอดภัยมากกว่า 100 รายการไปใช้เมื่อต้องปฏิบัติงานกับกระทรวงกลาโหม

ข้อกำหนดเพิ่มเติมสำหรับ DFARS Clause 252.204-7012

แม้ว่าข้อกำหนดใหม่ที่สำคัญที่สุดจาก DFARS 252.204-7012 จะอยู่ที่โปรโตคอลด้านไซเบอร์ซิเคียวริตี้ของ NIST แต่ข้อกำหนดนี้ยังมีภาระผูกพันใหม่อื่น ๆ ที่สำคัญเพิ่มเติมอีกหลายประการ

  • ข้อกำหนดเพิ่มเติมแรก คือ แนวทางในการตรวจสอบและรายงานเหตุการณ์ด้านไซเบอร์ซิเคียวริตี้ หากบริษัทเอกชนที่ทำงานกับกระทรวงกลาโหมตรวจพบบุกรุกทางไซเบอร์ที่ส่งผลต่อ CDI หรือระบบออนไลน์ซึ่งใช้จัดเก็บและคุ้มครอง CDI ต้องรีบรายงานเหตุการณ์ผ่านช่องทางที่กำหนดโดยกระทรวงกลาโหม
  • ผู้รับเหมามีหน้าที่ตรวจสอบและประเมินเหตุการณ์ดังกล่าวอย่างครบถ้วน ครอบคลุมถึงการระบุว่ามีข้อมูล อุปกรณ์ ฮาร์ดแวร์ บัญชีผู้ใช้ หรือระบบใดได้รับความเสียหาย
  • หากการบุกรุกมีการตรวจพบมัลแวร์ ผู้รับเหมาควรดำเนินการแยกมัลแวร์ออกและส่งให้ Cyber Crime Center (DC3) ของกระทรวงกลาโหม
  • ท้ายที่สุด คู่สัญญาจะต้องให้ความร่วมมืออย่างต่อเนื่องกับกระทรวงกลาโหมในการสืบสวนเหตุการณ์ รวมถึงให้สิทธิ์การเข้าถึงข้อมูล ระบบ หรืออุปกรณ์ตามที่หน่วยงานร้องขอ

DFARS 252.204-7012 กำหนดให้ผู้รับเหมาและผู้รับช่วงสัญญาทุกรายต้องนำมาตรการด้านความปลอดภัยดังกล่าวไปใช้และปฏิบัติตามข้อผูกพันในการรายงานอย่างเคร่งครัด ข้อที่สามของบทบัญญัตินี้จึงระบุให้ผู้รับเหมาหลัก (prime contractor) ส่งต่อข้อกำหนดไซเบอร์ซิเคียวริตี้ใหม่ให้ผู้รับช่วงสัญญาทั้งหมด ด้วยการแทรกข้อกำหนด 252.204-7012 ลงในสัญญาที่เกี่ยวข้อง

DFARS Clauses ล่าสุด

กระทรวงกลาโหมได้ออกกฎชั่วคราว (DFARS Interim Rule) ในฤดูใบไม้ร่วงปี 2020 มีผลบังคับใช้วันที่ 30 พฤศจิกายน ปีเดียวกัน โดยได้เพิ่มข้อกำหนดย่อยใหม่ 3 ข้อเข้าในส่วนที่ 252 ของ DFARS: 252.204-7019, -7020, และ -7021 ข้อย่อยเหล่านี้ต่อยอดภาระผูกพันที่กำหนดโดย 252.204-7012 พร้อมแนะนำกลไกควบคุมความรับผิดชอบใหม่สำหรับผู้รับเหมาที่ทำธุรกิจกับกระทรวงกลาโหม

ในปี 2019 Defense Contract Management Agency ได้รับมอบหมายให้กำหนดมาตรฐานการประเมินระดับการปฏิบัติตาม NIST SP 800-171 ของผู้รับเหมารายบุคคล (ตามข้อกำหนด 252.204-7012) ผลลัพธ์ที่ได้ คือการประกาศใช้ NIST SP 800-171 DoD Assessment Methodology ซึ่งเป็นคู่มือเชิงกลยุทธ์สำหรับผู้รับเหมาเพื่อใช้ประเมินการปฏิบัติตามมาตรฐานด้านความปลอดภัยของ NIST โดยข้อ 252.204-7019 ได้บัญญัติการใช้งาน DoD Assessment Methodology Tool ไว้ใน DFARS ด้วยความต้องการให้ผู้รับเหมาด้านกลาโหมทุกแห่งต้องประเมินตนเองและให้คะแนน พร้อมทั้งรายงานคะแนนนั้นต่อ Supplier Performance Risk System (SPRS)

ข้อ 252.204-7019 ซึ่งเป็นส่วนแรกของ Interim Rule ได้บัญญัติใช้ DoD Assessment Methodology Tool ใน DFARS โดยกำหนดให้ผู้รับเหมาด้านกลาโหมดำเนินการประเมินตนเอง ให้คะแนน และรายงานคะแนนต่อ Supplier Performance Risk System (SPRS)

ข้อย่อย 252.204-7020 เพิ่มชั้นความรับผิดชอบให้ผู้รับเหมาที่ต้องปฏิบัติตามแนวทาง NIST ข้อนี้อนุญาตให้กระทรวงกลาโหมเข้าถึงสถานที่ ระบบ และบุคลากรของผู้รับเหมาตามที่หน่วยงานเห็นว่าจำเป็นเพื่อการประเมินอิสระของหน่วยงานเอง นอกจากนี้ 252.204-7020 ยังระบุว่าผู้รับเหมาหลักต้องกำหนดให้ผู้รับช่วงสัญญาดำเนินการประเมินการปฏิบัติตามมาตรฐาน NIST SP 800-171 ด้วยวิธี DoD Assessment Methodology และแทรกข้อกำหนดนี้ไว้ในสัญญาผู้รับช่วงทุกฉบับ

ท้ายที่สุด ข้อ 252.204-7021 ได้แนะนำ Cybersecurity Maturity Model Certification (CMMC) กรอบงานใหม่สำหรับประเมินการนำแนวปฏิบัติด้านไซเบอร์ซิเคียวริตี้และมาตรการควบคุมความปลอดภัยไปใช้ โดยเนื่องจากยังอยู่ระหว่างการพัฒนาข้อกำหนด CMMC ที่กระทรวงกลาโหม ข้อย่อยนี้จึงปฏิบัติหน้าที่เป็นช่องว่างสำหรับมาตรฐานใหม่ที่จะกลายเป็นข้อกำหนดสำคัญในอนาคต กระทรวงกลาโหมจะกำหนดให้ผู้รับเหมาทั้งหมดต้องได้รับการรับรอง CMMC ภายในปลายปี 2024 หรือ ต้นปี 2025 และข้อ 7021 จะถูกนำไปใช้เป็นกลไกในสัญญาของกระทรวงกลาโหมด้วย

ความสำคัญของการปฏิบัติตาม DFARS 252.204-7012

การโจมตีทางไซเบอร์และการรั่วไหลของข้อมูลที่ตามมาเป็นภัยคุกคามสำคัญต่อรัฐบาลสหรัฐ กระทรวงกลาโหม และทั้ง DIB DFARS 252.204-7012 ถูกนำมาใช้ตั้งแต่ปี 2017 เพื่อรับมือและป้องกันภัยคุกคามที่เพิ่มขึ้นนี้อย่างจริงจัง ซึ่งในปัจจุบัน ผู้รับเหมาด้านกลาโหมเกือบทั้งหมดต้องปฏิบัติตามข้อกำหนดนี้ โดยข้อกำหนดนี้บังคับให้กิจการมีมาตรการควบคุมความปลอดภัยที่ครอบคลุม มีขั้นตอนมาตรฐานในการตรวจสอบและรายงานเหตุการณ์โจมตีทางไซเบอร์ รวมทั้งแนวทางในการผลักดันมาตรการปกป้อง CDI จากผู้รับเหมาหลักไปยังผู้รับช่วงสัญญาทุกระดับ

DFARS 252.204-7012 ถูกนำมาใช้ตั้งแต่ปี 2017 ในฐานะมาตรการตอบโต้ที่แข็งแกร่งและเข้มงวดต่อการโจมตีที่ขยายตัวขึ้น และปัจจุบันผู้รับเหมาด้านกลาโหมเกือบทั้งหมดต้องปฏิบัติตาม

ผลกระทบจากการเพิกเฉยหรือปฏิบัติไม่ถูกต้องต่อ DFARS 252.204-7012 นั้นรุนแรงและมีต้นทุนสูง ผู้รับเหมาที่ไม่ดำเนินการตามมาตรการควบคุมความปลอดภัยของ NIST จะตกเป็นเป้าหมายง่ายของอาชญากรไซเบอร์ แฮ็กเกอร์ หรือผู้ไม่ประสงค์ดีที่ตั้งใจขโมยข้อมูลสำคัญ และอาจต้องเผชิญกับค่าใช้จ่ายมหาศาลในการฟื้นฟูระบบ ที่สำคัญกว่านั้นกระทรวงกลาโหมยังกำหนดแนวทางตอบสนองต่อกรณีที่ผู้รับเหมาไม่ปฏิบัติตาม DFARS 252.204-7012 และมาตรการ NIST อย่างเหมาะสมอีกด้วย

ผลกระทบจากการเพิกเฉยหรือปฏิบัติไม่ถูกต้องต่อ DFARS 252.204-7012 นั้นรุนแรงและมีต้นทุนสูง ผู้รับเหมาที่ไม่ดำเนินการตามมาตรการควบคุมความปลอดภัยของ NIST จะเสี่ยงต่ออาชญากรไซเบอร์ แฮ็กเกอร์ หรือผู้ไม่ประสงค์ดีที่ตั้งใจขโมยข้อมูลสำคัญ และอาจต้องเผชิญกับค่าใช้จ่ายกู้ระบบจำนวนมาก

ใน บันทึก ปี 2022 สำนักงานปลัดกระทรวงกลาโหมระบุว่าหากไม่ปฏิบัติตาม NIST SP 800-171 ถือเป็นการผิดสัญญา โดย “การเยียวยาสำหรับการผิดสัญญาดังกล่าว” อาจรวมถึง “การระงับการจ่ายเงินบางงวด การไม่ใช้สิทธิ์เลือกขยายสัญญาที่เหลือ และอาจรวมถึงการยกเลิกสัญญาทั้งหมดหรือบางส่วน” คู่สัญญาที่เพิกเฉยต่อข้อกำหนดด้านความปลอดภัยสำคัญนี้ กำลังเจอความเสี่ยงครั้งใหญ่ทั้งในการรักษาสัญญาเดิมและการเข้าแข่งขันโครงการใหม่ของกระทรวงกลาโหมหรือรัฐบาลกลางในอนาคต