กฎความปลอดภัยไซเบอร์ฉบับใหม่ที่เสนอโดย FAR Council และสถานะปัจจุบัน

เมื่อเดือนตุลาคมที่ผ่านมา Federal Acquisition Regulatory (FAR) Council ซึ่งเป็นหน่วยงานระหว่างหน่วยงานรัฐที่รับผิดชอบการกำหนดนโยบายการจัดซื้อจัดจ้างภาครัฐ ได้เสนอร่างข้อบังคับใหม่ 2 ฉบับ หากข้อบังคับเหล่านี้ได้รับการประกาศใช้และมีผลบังคับใช้ จะส่งผลกระทบอย่างมีนัยสำคัญต่อวิธีที่ผู้รับเหมาภาครัฐรายงานและตอบสนองต่อการโจมตีทางไซเบอร์และเหตุการณ์ด้านความมั่นคงปลอดภัยไซเบอร์อื่น ๆ 

ข้อเสนอแรก Cyber Threat and Incident Reporting and Information Sharing—ประกอบด้วยข้อ FAR 52.239-ZZ และ FAR 52.239-AA—ออกตาม FAR Case 2021–017 ข้อเสนอที่สอง Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems—ประกอบด้วย FAR 52.239-XX และ FAR 52.239-YY—ออกตาม FAR Case 2021-019 

การประกาศข้อเสนอเหล่านี้เมื่อวันที่ 3 ตุลาคม ทำให้เริ่มต้นระยะเวลาแสดงความคิดเห็นเป็นเวลา 60 วัน โดยมีกำหนดสิ้นสุดวันที่ 4 ธันวาคม 2023 ต่อมาเมื่อวันที่ 1 พฤศจิกายน FAR Council ได้ขยายเวลาให้แสดงความคิดเห็นสำหรับร่างข้อกำหนดทั้งสองนี้ไปจนถึงวันที่ 2 กุมภาพันธ์ 2024 ตั้งแต่นั้นมา ยังไม่มีการอัปเดตอย่างเป็นทางการจาก FAR Council หรือหน่วยงานที่เกี่ยวข้องกับการบริหาร Federal Acquisition Regulation เกี่ยวกับการสรุปข้อกำหนดหรือวันที่มีผลบังคับใช้ 

ด้วยขอบเขตของข้อกำหนดและภาระความรับผิดชอบที่ผู้รับเหมาภาครัฐจะต้องปฏิบัติตาม องค์กรจึงควรตระหนักอย่างถ่องแท้ว่าข้อกำหนดใน FAR Cases 2021-017 และ 2021-019 มีอะไรบ้าง 

ด้วยขอบเขตของข้อกำหนดและภาระความรับผิดชอบที่ผู้รับเหมาภาครัฐจะต้องปฏิบัติตาม องค์กรจึงควรตระหนักอย่างถ่องแท้ว่าข้อกำหนดใน FAR Cases 2021-017 และ 2021-019 มีอะไรบ้าง 

คำสั่งฝ่ายบริหารด้านไซเบอร์ซีเคียวริตีของประธานาธิบดี Biden 

ในเดือนพฤษภาคม 2021 ประธานาธิบดี Biden ได้ลงนามในคำสั่งฝ่ายบริหารหมายเลข 14028 ซึ่งมีชื่อชัดเจนว่า “Improving the Nation’s Cybersecurity” เป้าหมายหลักของคำสั่งนี้คือการยกระดับมาตรการด้านไซเบอร์ซีเคียวริตีในรูปแบบต่าง ๆ เพื่อปกป้องรัฐบาลกลางจากสิ่งที่ทำเนียบขาวจัดว่าเป็น “แคมเปญโจมตีทางไซเบอร์ที่ต่อเนื่องและซับซ้อนมากขึ้นเรื่อย ๆ” คำสั่งนี้เกิดขึ้นหลังเหตุการณ์โจมตีทางไซเบอร์ครั้งใหญ่โดยไม่เคยเกิดขึ้นมาก่อน 2 กรณี ได้แก่ การแฮ็ก SolarWinds ในปี 2020 และการรั่วไหลของข้อมูล Microsoft Exchange ต้นปี 2021 เหตุการณ์จารกรรมไซเบอร์นี้ก่อโดยกลุ่มแฮกเกอร์ที่เกี่ยวข้องกับศัตรูสำคัญของสหรัฐฯ ซึ่งถือเป็นสัญญาณการเข้าสู่ยุคใหม่ของสงครามไซเบอร์ หลังเหตุการณ์เหล่านี้ รัฐบาลสหรัฐฯ ได้ตระหนักถึงความเร่งด่วนในการวางแผนป้องกันระบบข้อมูลอย่างบูรณาการ 

คำสั่งฝ่ายบริหารนี้เกิดขึ้นหลังเหตุการณ์โจมตีทางไซเบอร์ครั้งใหญ่สองเหตุการณ์ ได้แก่ การแฮ็ก SolarWinds ในปี 2020 และการรั่วไหลข้อมูล Microsoft Exchange ต้นปี 2021

คำสั่งฝ่ายบริหารของประธานาธิบดี Biden กำหนดให้รัฐบาลกลางต้องใช้ “อำนาจและทรัพยากรเต็มรูปแบบเพื่อปกป้องและเสริมความมั่นคงให้กับระบบคอมพิวเตอร์ทั้งที่อยู่บนคลาวด์ ออน-พรีมิส หรือไฮบริด” โดยเน้นย้ำว่าจะต้องมีการจัดทำโปรโตคอลรับมือเหตุการณ์ไซเบอร์ระหว่างฝ่ายรัฐและผู้รับเหมาภาครัฐ ปรับปรุงโครงสร้างพื้นฐานไซเบอร์ซีเคียวริตีให้ทันสมัยด้วยบริการคลาวด์ที่ปลอดภัยและสถาปัตยกรรม Zero Trust และสร้างการตอบสนองต่อภัยคุกคามไซเบอร์ให้เป็นมาตรฐานเดียวกันในทุกหน่วยงาน 

ข้อเสนอใหม่โดย FAR Council เมื่อเดือนตุลาคมที่ผ่านมา เป็นความพยายามต่อเนื่องในการผลักดันคำสั่งด้านไซเบอร์ซีเคียวริตีของปี 2021 โดยการเข้มงวดและขยายภาระการรายงานเหตุการณ์ไซเบอร์สำหรับผู้รับเหมาภาครัฐ FAR Council หวังจะสร้างเงื่อนไขให้รัฐตอบสนองต่อการโจมตีไซเบอร์และภัยคุกคามอื่น ๆ ที่มีต่อความมั่นคงของชาติได้อย่างรวดเร็วและเชิงรุกมากขึ้น 

โดยการเข้มงวดและขยายข้อกำหนดการรายงานเหตุการณ์ไซเบอร์สำหรับผู้รับเหมาภาครัฐ FAR Council หวังจะสร้างเงื่อนไขเพื่อให้รัฐตอบสนองต่อการคุกคามทางไซเบอร์และภัยคุกคามต่อความมั่นคงของชาติได้อย่างรวดเร็วและเชิงรุก 

FAR Case 2021-017: ขอบเขตและข้อกำหนดด้านไซเบอร์ซีเคียวริตี 

กรณีแรกประกอบด้วยข้อ FAR 52.239-ZZ และ FAR 52.239-AA ซึ่งทั้งสองข้อจะเพิ่มภาระผูกพันใหม่สำหรับผู้รับเหมาภาครัฐเกี่ยวกับวิธีตอบสนองเมื่อเกิดเหตุการณ์ไซเบอร์ หรือในกรณีการป้องกันล่วงหน้าเพื่อเตรียมความพร้อม 

FAR 52.239-ZZ 

ชื่อทางการของ FAR 52.239-ZZ คือ “Incident and Threat Reporting and Incident Response Requirements for Products or Services Containing Information and Communications Technology” มีวัตถุประสงค์เพื่ออัปเดตและเพิ่มความเข้มข้นของข้อผูกพันในสัญญาสำหรับผู้รับเหมาภาครัฐหลังเกิดเหตุการณ์ด้านความมั่นคง โดยกำหนดข้อกำหนดใหม่เพื่อรับมือเหตุการณ์อย่างทันท่วงทีและครอบคลุม ให้ความร่วมมือกับหน่วยงานรัฐที่สอบสวนเหตุการณ์ และดูแลเอกสาร ข้อมูล และบันทึกต่าง ๆ ที่เกี่ยวข้องเพื่อรองรับกระบวนการตอบสนอง 

ตามข้อเสนอนี้ “เหตุการณ์ด้านความมั่นคง (security incident)” มีขอบเขตกว้างกว่าการโจมตีทางไซเบอร์และเหตุการณ์ไซเบอร์ซีเคียวริตีอื่น ๆ FAR Council ยังถือว่าหมายรวมถึงการละเมิดกฎหมาย นโยบาย หรือมาตรการด้านความปลอดภัย รวมถึงการถ่ายโอนข้อมูลลับหรือข้อมูลที่ควบคุม (CUI) ไปยังระบบสารสนเทศที่อยู่ต่ำกว่าระดับความมั่นคงที่รัฐอนุญาต 

• ระยะเวลารายงานเหตุการณ์ (Incident Reporting Timeline)

FAR 52.239-ZZ กำหนดกรอบเวลาใหม่สำหรับการรายงานเหตุการณ์ความมั่นคงสู่รัฐ ตามกฎใหม่นี้ ผู้รับเหมาจะต้องรายงานเหตุการณ์และข้อมูลที่เกี่ยวข้องผ่านพอร์ทัลรายงานเหตุการณ์ของ Cybersecurity and Infrastructure Security Agency (CISA) ภายใน 8 ชั่วโมงนับจากพบเหตุการณ์ครั้งแรก และต้องอัปเดตข้อมูลทุก ๆ 72 ชั่วโมงจนกว่าหน่วยงานของรัฐทั้งหมดที่เกี่ยวข้องจะสอบสวนเสร็จสิ้น 

การรายงานที่รวดเร็วช่วยให้หน่วยงานของรัฐสามารถตอบสนองต่อเหตุการณ์ได้อย่างมีประสิทธิภาพและยืดหยุ่นสูงสุด ตามข้อเสนอนี้ การรายงานและอัปเดตอย่างต่อเนื่องจะช่วยให้นักวิเคราะห์ตรวจสอบ "ข้อมูลอย่างรวดเร็ว เพื่อแยกแยะกิจกรรมและพฤติกรรมของผู้ไม่หวังดี ภัยคุกคาม และตัวบ่งชี้การเจาะระบบ (indicators of compromise)" ได้อย่างทันท่วงที

• การดำเนินการเพิ่มเติมเพื่อสนับสนุนการตอบสนองของรัฐต่อเหตุการณ์ 

นอกจากการรายงานผ่านพอร์ทัล CISA ตามกรอบเวลาแล้ว ผู้รับเหมาภาครัฐต้องมีส่วนร่วมในกิจกรรมต่าง ๆ เพื่อสนับสนุนการตอบสนองภัยคุกคามของรัฐ เช่น ต้องจัดเตรียมข้อมูล ระบบสารสนเทศ และบุคลากรที่เกี่ยวข้องทั้งหมด ให้กับ CISA, FBI และ/หรือหน่วยงานคู่สัญญาทันทีหลังเกิดเหตุการณ์ความมั่นคง 

ผู้รับเหมาภาครัฐต้องดูแลรักษาข้อมูลที่เกี่ยวข้องกับเหตุการณ์ที่รายงาน เช่น ข้อมูลทราฟฟิกเครือข่าย บันทึกการป้องกันขอบเขต (perimeter defense logs) ข้อมูลเทเลเมทรี และข้อมูลอื่น ๆ ที่เกี่ยวข้อง โดยเก็บใน active storage อย่างน้อย 12 เดือน และเก็บเพิ่มใน active หรือ cold storage อีก 6 เดือน 

สุดท้าย กฎใหม่กำหนดให้ผู้รับเหมาภาครัฐต้องสมัครใช้โปรแกรม Automated Indicator Sharing (AIS) ของ CISA เพื่อสื่อสารตัวชี้วัดภัยคุกคามไซเบอร์และแนวทางป้องกัน (ผู้รับเหมาต้องใช้งาน AIS โดยไม่จำเป็นต้องมีเหตุการณ์เกิดขึ้น) 

• รายการส่วนประกอบซอฟต์แวร์ (Software Bill of Materials, SBOM)

นอกจากข้อกำหนดการตอบสนองและรายงาน FAR 52.239-ZZ กำหนดภาระใหม่ให้ผู้รับเหมาภาครัฐต้องจัดทำและดูแลรายการส่วนประกอบซอฟต์แวร์ (SBOM) สำหรับซอฟต์แวร์ใด ๆ ที่ใช้ปฏิบัติงานภายใต้สัญญาภาครัฐ โดยรัฐบาลนิยาม SBOM ว่าเป็น “บันทึกที่เป็นทางการซึ่งแสดงรายละเอียดและความสัมพันธ์ในห่วงโซ่อุปทานของส่วนประกอบซอฟต์แวร์ต่าง ๆ ที่ใช้ในการสร้างซอฟต์แวร์” กระทรวงพาณิชย์สหรัฐฯ ระบุว่าข้อมูล SBOM “ช่วยปรับปรุงการระบุช่องโหว่และเพิ่มความเร็วการตอบสนอง” และ “การใช้ข้อมูลนี้เพื่อตรวจสอบและวิเคราะห์ช่องโหว่ที่ทราบและแนวทางบรรเทาความเสี่ยงถือเป็นสิ่งสำคัญในการจัดการความเสี่ยง”

โดยเฉพาะอย่างยิ่ง ผู้รับเหมาภาครัฐต้องดูแลรักษา SBOM แม้ในกรณีที่ไม่มีเหตุการณ์ความมั่นคงเกิดขึ้น และต้องปรับปรุง SBOM ทันทีหากซอฟต์แวร์ในสัญญามีการอัปเดต ตลอดจนสามารถอ่านข้อกำหนด SBOM และข้อกำหนดการบำรุงรักษาเพิ่มเติมระหว่างช่วงปฏิบัติงานตามสัญญาภาครัฐได้ที่เอกสารของ Department of Commerce Minimum Elements for a Software Bill of Materials 

FAR 52.239-AA 

ข้อที่สองของ Case 2021-017 คือ FAR 52.239-AA ซึ่งมีรายละเอียดเจาะจงมากกว่า ใช้ชื่อว่า “Security Incident Reporting Representation” ข้อบังคับนี้กำหนดให้ผู้ประสงค์จะเสนอราคาในสัญญารัฐบาลต้องรับรองว่าได้ปฏิบัติตามข้อ FAR 52.239-ZZ มาโดยตลอด ซึ่งครอบคลุมถึงการยืนยันว่าได้ส่งรายงานเหตุการณ์ที่จำเป็นครบถ้วน ถูกต้อง และทันสมัย ภายใต้ทุกสัญญาที่ผ่านมาและกำลังดำเนินอยู่ 

นอกจากนี้ ยังบังคับให้ผู้เสนอราคาทุกรายรับรองว่าได้ถ่ายทอดสาระสำคัญของข้อบังคับนี้ไปยังผู้รับจ้างช่วงทั้งหมดในการว่าจ้างที่ผ่านมา โดยบังคับผู้รับจ้างช่วงรวมข้อบังคับนี้ไว้ในสัญญาย่อย 

FAR Case 2021-019: ขอบเขตและข้อกำหนดด้านไซเบอร์ซีเคียวริตี 

FAR Council ได้ออกข้อเสนอที่สอง เรื่อง Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems ในนาม Case 2021-019 โดยมีวัตถุประสงค์ชัดเจนเพื่อกำหนดข้อกำหนดด้านไซเบอร์ซีเคียวริตีให้เป็นมาตรฐานเดียวกันข้ามหน่วยงาน โดยเน้นที่ระบบสารสนเทศของรัฐบาลกลางประเภทไม่ลับ (FIS) เคสนี้แยกเป็น 2 ข้อสำคัญคือ FAR 52.239-XX “Federal Information Systems Using Cloud Computing Services” สำหรับ FIS ที่อยู่บนคลาวด์ และ FAR 52.239-YY “Federal Information Systems Using Non-Cloud Computing Services” สำหรับ FIS ที่ไม่ใช้ระบบคลาวด์ 

รัฐบาลกลางนิยาม “federal information system” ว่า “ระบบสารสนเทศที่ใช้หรือดำเนินการโดยหน่วยงานรัฐ ผู้รับเหมาของหน่วยงาน หรือองค์กรอื่นในนามของหน่วยงาน”

FAR 52.239-XX 

ข้อบังคับนี้กำหนดให้หน่วยงานต้องประเมินระดับผลกระทบของระบบสารสนเทศแบบคลาวด์ของผู้รับเหมาด้วย Federal Information Processing Standard Publication 199 (FIPS-199) และระดับอนุญาตของ Federal Risk and Authorization Management Program (FedRAMP) โดยการกำหนดระดับ FIPS-199 ต้องอิงจาก “การวิเคราะห์ผลกระทบของข้อมูลที่ถูกประมวลผล จัดเก็บ หรือส่งผ่านระบบ” เมื่อกำหนดระดับเรียบร้อย ผู้รับเหมาภาครัฐต้องนำมาตรการควบคุมความมั่นคงและความเป็นส่วนตัวที่เกี่ยวข้องกับระดับอนุญาต FedRAMP มาใช้งานและดูแลรักษา 

นอกจากมาตรการควบคุมข้างต้น FAR 52.239-XX ยังบังคับให้ผู้รับเหมาภาครัฐเข้าร่วมกิจกรรมมอนิเตอร์อย่างต่อเนื่องและจัดเตรียมรายงานมอนิเตอร์ตามที่ระบุไว้ใน “FedRAMP Continuous Monitoring Strategy Guide.” ตลอดจนปฏิบัติตามข้อกำหนดในสัญญาที่เกี่ยวกับการจัดเก็บและทำลายข้อมูลของรัฐและข้อมูลที่เกี่ยวข้องกับรัฐ 

FAR 52.239-YY 

ข้อกำหนดสำหรับระบบสารสนเทศของรัฐที่ไม่ใช้ระบบคลาวด์นั้นซับซ้อนมากกว่า โดยเช่นเดียวกับ FAR 52.239-XX หน่วยงานต้องใช้ FIPS-199 เพื่อกำหนดระดับผลกระทบ (impact level) และระบุในสัญญา นอกจากนี้ เจ้าหน้าที่จัดซื้อและหน่วยงานต้องกำหนดมาตรการเฉพาะด้านความมั่นคงอื่น ๆ เช่น การยืนยันตัวบุคคลแบบสองปัจจัย (multifactor authentication) การจัดการบัญชีผู้ดูแลระบบ (administrative accounts) การแสดงแบนเนอร์แจ้งเตือนความยินยอม (consent banners) การควบคุมอุปกรณ์ IoT รวมถึงต้องเลือกมาตรการควบคุมความมั่นคงและความเป็นส่วนตัวตามชุดข้อกำหนดพิเศษของ National Institute of Standards and Technology ซึ่งได้แก่ NIST SP 800-53, NIST SP 800–213, NIST SP 800–161 และ NIST SP 800–82 

นอกจากข้อกำหนดด้านความมั่นคงใหม่ในสัญญาสำหรับ FIS ที่ไม่ใช้คลาวด์แล้ว ข้อระเบียบนี้ยังเพิ่มภาระให้กับผู้รับเหมาภาครัฐ 2 ประการ ประการแรก ต้องจัดเตรียม “การเข้าถึงข้อมูลของรัฐ บุคลากรในหน่วยงาน” ให้แก่ CISA และหน่วยงานที่เจ้าหน้าที่จัดซื้อกำหนด อย่างทันท่วงทีและครบถ้วน เพื่อรองรับการตรวจสอบ การสอบสวน และการตรวจประเมินเมื่อมีความจำเป็นต่อความมั่นคงของข้อมูล ประการที่สอง ระบบที่ถูกจัดระดับ FIPS-199 ว่า moderate หรือ high ต้องประเมินระบบ 2 ครั้งต่อปี ได้แก่ การประเมินภายในเพื่อวัด “ช่องโหว่ ความเสี่ยง และตัวชี้วัดการติดแฮ็ก” และการประเมินอิสระด้านความปลอดภัยของระบบโดยบุคคลภายนอก โดยผู้รับเหมาภาครัฐต้องส่งรายงานผลการประเมินประจำปี รวมถึงแนวทางบรรเทา ไปยังเจ้าหน้าที่จัดซื้อ 

ข้อผูกพันการชดใช้ค่าเสียหาย 

แต่ละข้อกล่าวถึง—FAR 52.239-XX และ FAR 52.239-YY—มีข้อกำหนดให้ผู้รับเหมาภาครัฐชดใช้ค่าเสียหายแก่รัฐจากความรับผิดอันเกิดจากการปฏิบัติตามสัญญา โดยข้อเสนอนี้ระบุว่าความรับผิดดังกล่าวจะเกิดขึ้นจากสองสถานการณ์หลัก ได้แก่ การที่ผู้รับเหมานำข้อมูลหรือเนื้อหาเข้าสู่ข้อมูลของรัฐ หรือการเปิดเผยข้อมูลหรือวัสดุที่สำคัญโดยไม่ได้รับอนุญาตที่เกิดจากผู้รับเหมา อีกทั้งยังบังคับให้ผู้รับเหมาสละ “ข้อแก้ต่างทางกฎหมายทั้งปวงที่อาจถูกนำมาใช้เพื่อประโยชน์ของตน รวมถึง (แต่ไม่จำกัดเพียง) ‘Government Contractors Defense’” การสละสิทธินี้สร้างภาระความรับผิดสำคัญต่อผู้รับเหมา หากเกิดเหตุการณ์โจมตีไซเบอร์ การรั่วไหลข้อมูล หรือเหตุการณ์ความมันคงอื่น ๆ 

เตรียมความพร้อมสำหรับข้อกำหนดไซเบอร์ซีเคียวริตีใหม่ 

ดูเหมือนว่าข้อกำหนดไซเบอร์ซีเคียวริตีทั้งสองฉบับนี้ยังไม่มีวันที่มีผลบังคับใช้ในเร็ว ๆ นี้ หลังสิ้นสุดระยะเวลาแสดงความคิดเห็น (ซึ่งขยายถึง 2 กุมภาพันธ์) หน่วยงานในสังกัด FAR Council และผู้มีอำนาจออกระเบียบ FAR จะต้องพิจารณาและวิเคราะห์ความคิดเห็นดังกล่าวก่อน การพิจารณาเสร็จสิ้นจึงจะมีการตัดสินใจว่าจะประกาศใช้กฎข้อสุดท้ายหรือไม่ หากออกกฎสุดท้ายจริง จะเริ่มนับระยะเวลาเตรียมความพร้อมอย่างน้อย 60 วันก่อนที่ระเบียบจะมีผลบังคับใช้ (ขึ้นกับความสำคัญของกฎ ขยายได้ถึง 120 วันหรือมากกว่า)

ด้วยขั้นตอนกระบวนการทางกฎหมายที่ใช้เวลานาน ผู้รับเหมาภาครัฐจึงยังมีเวลาประเมิน FAR Cases 2021-017 และ 2021-019 รวมถึงภาระที่อาจจะเกิดขึ้นจากข้อกำหนดชุดใหม่เหล่านี้ อย่างไรก็ตาม ธุรกิจที่อยู่ภายใต้ข้อเสนอฉบับนี้ควรเตรียมพร้อมรับมืออย่างจริงจัง เนื่องจากในช่วงที่เกิดการโจมตีทางไซเบอร์ที่รุนแรงต่อเนื่องและมีคำสั่งฝ่ายบริหารของประธานาธิบดี Biden เมื่อปี 2021 ไม่มีเหตุผลที่จะสงสัยว่าข้อบังคับใหม่นี้ หรือระเบียบในลักษณะเดียวกัน จะถูกประกาศใช้เป็นกฎหมายกำกับในอนาคตอันใกล้

ด้วยขั้นตอนและระยะเวลาของกระบวนการกำหนดระเบียบ ผู้รับเหมาภาครัฐยังมีเวลาประเมิน FAR Case 2021-017 และ FAR Case 2021-019 รวมถึงภาระหน้าที่ใหม่ที่อาจต้องปฏิบัติตาม