กฎข้อเสนอความมั่นคงปลอดภัยไซเบอร์ฉบับใหม่ของ FAR Council และสถานะปัจจุบัน

เมื่อเดือนตุลาคมที่ผ่านมา สภากำกับดูแลการจัดซื้อจัดจ้างของรัฐบาลกลาง (Federal Acquisition Regulatory หรือ FAR Council) ซึ่งเป็นคณะกรรมการระหว่างหน่วยงานที่มีหน้าที่กำหนดนโยบายการจัดซื้อจัดจ้างของรัฐบาลกลาง ได้เสนอร่างกฎระเบียบใหม่ 2 ฉบับ หากร่างดังกล่าวได้รับรองและมีผลบังคับใช้ จะส่งผลกระทบอย่างมีนัยสำคัญต่อวิธีการรายงานและการตอบสนองต่อการโจมตีทางไซเบอร์และเหตุการณ์ด้านความมั่นคงทางไซเบอร์อื่น ๆ ของผู้รับเหมาภาครัฐ

ร่างกฎฉบับแรกคือ Cyber Threat and Incident Reporting and Information Sharing—ซึ่งประกอบด้วยข้อกำหนด FAR 52.239-ZZ และ FAR 52.239-AA—ได้ถูกเสนอภายใต้ FAR Case 2021–017 สำหรับร่างกฎฉบับที่สอง Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems—ซึ่งรวมข้อกำหนด FAR 52.239-XX และ FAR 52.239-YY—ออกภายใต้ FAR Case 2021-019

การประกาศร่างข้อเสนอเหล่านี้เมื่อวันที่ 3 ตุลาคม นำไปสู่ช่วงเวลาแสดงความคิดเห็น 60 วัน ซึ่งเดิมจะสิ้นสุดในวันที่ 4 ธันวาคม 2023 แต่ต่อมาเมื่อวันที่ 1 พฤศจิกายน FAR Council ได้ขยายเวลารับฟังความคิดเห็นสำหรับร่างกฎทั้งสองนี้ไปจนถึงวันที่ 2 กุมภาพันธ์ 2024 หลังจากนั้นยังไม่มีการประกาศอัปเดตอย่างเป็นทางการจาก FAR Council หรือหน่วยงานอื่น ๆ ที่เกี่ยวข้องกับการกำหนด Federal Acquisition Regulation FAR ว่ากฎนี้จะได้รับการรับรองขั้นสุดท้ายหรือมีวันมีผลบังคับใช้เมื่อใด

อย่างไรก็ตาม ด้วยขอบเขตของกฎระเบียบที่เสนอและภาระที่กฎเหล่านี้จะวางไว้กับผู้รับเหมาภาครัฐ ภาคธุรกิจควรตระหนักถึงรายละเอียดของ FAR Case 2021-017 และ 2021-019 อย่างถ่องแท้

อย่างไรก็ตาม ด้วยขอบเขตของกฎระเบียบที่เสนอและภาระที่กฎเหล่านี้จะวางไว้กับผู้รับเหมาภาครัฐ ภาคธุรกิจควรตระหนักถึงรายละเอียดของ FAR Case 2021-017 และ FAR Case 2021-019 อย่างครบถ้วน

คำสั่งฝ่ายบริหารด้านความมั่นคงไซเบอร์ของประธานาธิบดี Biden

ในเดือนพฤษภาคม 2021 ประธานาธิบดี Biden ได้ลงนามในคำสั่งฝ่ายบริหาร (Executive Order) 14028 ชื่อว่า “Improving the Nation’s Cybersecurity” โดยมีวัตถุประสงค์เพื่อยกระดับมาตรการด้านความมั่นคงไซเบอร์เพื่อปกป้องรัฐบาลกลางจากสิ่งที่ทำเนียบขาวเรียกว่า “แคมเปญโจมตีไซเบอร์ที่ต่อเนื่องและซับซ้อนมากขึ้น” คำสั่งดังกล่าวมีขึ้นหลังจากเกิดเหตุโจมตีไซเบอร์ครั้งใหญ่และไม่เคยเกิดขึ้นมาก่อนถึงสองเหตุการณ์ ได้แก่ การแฮก SolarWinds ปี 2020 และเหตุการณ์ข้อมูลรั่วไหลของ Microsoft Exchange ต้นปี 2021 ซึ่งถือเป็นสัญญาณของการเข้าสู่ยุคใหม่ของสงครามไซเบอร์ หลังจากเหตุการณ์เหล่านี้ รัฐบาลสหรัฐจึงเกิดความเร่งด่วนในการสร้างแผนแบบองค์รวมเพื่อเสริมความแข็งแกร่งให้กับระบบข้อมูลของตน

คำสั่งฝ่ายบริหารนี้มีขึ้นหลังจากเกิดเหตุโจมตีไซเบอร์ครั้งใหญ่และไม่เคยเกิดขึ้นมาก่อน ได้แก่ การแฮก SolarWinds ปี 2020 และข้อมูลรั่วไหลของ Microsoft Exchange ในต้นปี 2021

คำสั่งฝ่ายบริหารของ Biden กำหนดให้รัฐบาลกลางต้องใช้ “อำนาจหน้าที่และทรัพยากรทั้งหมดในการปกป้องและรักษาความมั่นคงให้กับระบบคอมพิวเตอร์ ไม่ว่าจะเป็นระบบคลาวด์ ภายในองค์กร หรือแบบผสมผสาน” ข้อกำหนดนี้ระบุเจาะจงถึงความจำเป็นต้องมีระเบียบปฏิบัติสำหรับเหตุการณ์ไซเบอร์ใหม่ ๆ ระหว่างรัฐบาลกับผู้รับเหมาภาครัฐ การปรับปรุงโครงสร้างพื้นฐานด้านความมั่นคงไซเบอร์ผ่านบริการคลาวด์ที่ปลอดภัยและสถาปัตยกรรม zero trust รวมถึงการสร้างมาตรฐานการรับมือภัยคุกคามทางไซเบอร์ข้ามหน่วยงานภาครัฐ

กฎระเบียบฉบับใหม่ที่ FAR Council เสนอเมื่อเดือนตุลาคมที่ผ่านมา ถือเป็นส่วนหนึ่งของความพยายามดำเนินงานตามคำสั่งฝ่ายบริหารดังกล่าว โดยการเสริมสร้างและขยายข้อกำหนดในการรายงานของผู้รับเหมาภาครัฐหลังเกิดเหตุการณ์ไซเบอร์ FAR Council มีเป้าหมายสร้างสภาพแวดล้อมที่เอื้อต่อการตอบสนองของภาครัฐที่คล่องตัวและเชิงรุกต่อการโจมตีไซเบอร์และภัยคุกคามต่อความมั่นคงแห่งชาติ

โดยการเสริมสร้างและขยายข้อกำหนดการรายงานของผู้รับเหมาภาครัฐหลังเกิดเหตุการณ์ไซเบอร์ FAR Council มีเป้าหมายสร้างสภาพแวดล้อมที่เอื้อต่อการตอบสนองของภาครัฐที่คล่องตัวและเชิงรุกต่อการโจมตีไซเบอร์และภัยคุกคามต่อความมั่นคงแห่งชาติ

FAR Case 2021-017 ขอบเขตและข้อกำหนดด้านความมั่นคงไซเบอร์

ร่างกฎฉบับแรกมี 2 ข้อกำหนด ได้แก่ FAR 52.239-ZZ และ FAR 52.239-AA ซึ่งจะกำหนดภาระหน้าที่ใหม่แก่ผู้รับเหมาภาครัฐ ทั้งในฐานะมาตรการตอบสนองต่อเหตุการณ์ไซเบอร์หรือเป็นมาตรการเชิงป้องกันในกรณีที่เกิดเหตุการณ์ดังกล่าว

FAR 52.239-ZZ

ภาษาทางการสำหรับ FAR 52.239-ZZ คือ “Incident and Threat Reporting and Incident Response Requirements for Products or Services Containing Information and Communications Technology.” ข้อนี้มีเป้าหมายอัปเดตและยกระดับพันธะสัญญาในสัญญาระหว่างผู้รับเหมาภาครัฐเกี่ยวกับเหตุการณ์ด้านความปลอดภัย โดยเสนอข้อกำหนดใหม่ทั้งสำหรับการตอบสนองต่อเหตุการณ์ด้านความปลอดภัยอย่างทันท่วงทีและครบถ้วน การร่วมมือกับหน่วยงานรัฐในการสืบสวนเหตุการณ์ และการเก็บรักษาไฟล์ ข้อมูล และเอกสารที่เกี่ยวข้องเพื่อสนับสนุนกระบวนการตอบสนองเหตุการณ์

ตามร่างข้อเสนอ “เหตุการณ์ด้านความมั่นคง” ครอบคลุมมากกว่าการโจมตีไซเบอร์หรือเหตุการณ์ด้านความมั่นคงไซเบอร์เท่านั้น FAR Council ยังใช้คำนี้กับการละเมิดกฎหมาย นโยบาย หรือระเบียบความปลอดภัยทั่วไป ตลอดจนการถ่ายโอนข้อมูลลับหรือข้อมูลที่จำกัดสิทธิ์ (CUI) ไปยังระบบสารสนเทศที่ไม่ได้ระดับความมั่นคงขั้นต่ำที่รัฐบาลกลางกำหนด

• ระยะเวลาในการรายงานเหตุการณ์

FAR 52.239-ZZ ปรับปรุงระยะเวลาที่ผู้รับเหมาภาครัฐต้องรายงานเหตุการณ์ให้กับภาครัฐ โดยกำหนดให้ผู้รับเหมาต้องรายงานเหตุการณ์ รวมถึงข้อมูลที่เกี่ยวข้อง ผ่านพอร์ทัลรายงานเหตุการณ์ของ Cybersecurity and Infrastructure Security Agency (CISA) ภายใน 8 ชั่วโมงหลังตรวจพบครั้งแรก จากนั้นจะต้องอัปเดตข้อมูลทุก 72 ชั่วโมงจนกว่าหน่วยงานรัฐบาลที่เกี่ยวข้องจะดำเนินการสืบสวนเสร็จสิ้น

การรายงานอย่างทันท่วงทีและต่อเนื่องช่วยให้หน่วยงานรัฐและทีมงานสามารถตอบสนองต่อเหตุการณ์ได้อย่างมีประสิทธิภาพสูงสุด ตามที่ร่างกฎระบุไว้ การรายงานอย่างรวดเร็วและการอัปเดตอย่างต่อเนื่องช่วยให้นักสืบสวนสามารถ “วิเคราะห์ข้อมูลอย่างรวดเร็วเพื่อระบุพฤติกรรม การกระทำของผู้ไม่ประสงค์ดี ภัยคุกคาม และสัญญาณของการถูกบุกรุกได้อย่างทันท่วงที”

• การดำเนินการเพิ่มเติมสนับสนุนการตอบสนองเหตุการณ์ของภาครัฐ

นอกเหนือจากรายงานเหตุการณ์ผ่านพอร์ทัล CISA ในระยะเวลาที่กำหนด ผู้รับเหมาภาครัฐจะต้องมีส่วนร่วมในกิจกรรมอื่น ๆ อีกหลายอย่างเพื่อสนับสนุนการตอบสนองภัยคุกคามของภาครัฐ โดยต้องให้ CISA, FBI และ/หรือตัวแทนรัฐที่ว่าจ้าง สิทธิ์เข้าถึงข้อมูล ระบบสารสนเทศ และบุคลากรอย่างครบถ้วนในทันทีหลังเกิดเหตุการณ์

ผู้รับเหมายังต้องเก็บรักษาข้อมูลที่เกี่ยวข้องกับเหตุการณ์ที่รายงานทั้งหมด เช่น ข้อมูลทราฟฟิกเครือข่าย log ของ perimeter defense ข้อมูล telemetry และข้อมูลอื่น ๆ ที่เกี่ยวข้องใน active storage เป็นเวลา 12 เดือน ตามด้วยการเก็บใน active หรือ cold storage อีก 6 เดือน

ข้อกำหนดใหม่นี้ยังกำหนดให้ผู้รับเหมาภาครัฐต้องลงทะเบียนเข้าร่วม Automated Indicator Sharing (AIS) program ของ CISA เพื่อการสื่อสารข้อมูลตัวชี้วัดภัยคุกคามไซเบอร์และมาตรการป้องกัน (ผู้รับเหมาต้องใช้ AIS ไม่ว่าจะเกิดเหตุการณ์หรือไม่ก็ตาม)

• Software Bill of Materials

นอกจากข้อกำหนดการรับมือและรายงานเหตุการณ์ FAR 52.239-ZZ ยังเพิ่มภาระต้องเก็บรักษา software bill of materials (SBOM) ที่ครอบคลุมซอฟต์แวร์ทุกชนิดที่ใช้ในงานภายใต้สัญญากับรัฐบาล โดยอธิบายว่า SBOM เป็น “บันทึกอย่างเป็นทางการที่มีรายละเอียดและความสัมพันธ์ในห่วงโซ่อุปทานของส่วนประกอบต่าง ๆ ในการสร้างซอฟต์แวร์” กระทรวงพาณิชย์ของสหรัฐระบุว่า ข้อมูล SBOM “ช่วยปรับปรุงทั้งการระบุช่องโหว่และความเร็วการตอบสนอง” พร้อมทั้ง “การใช้เพื่อค้นหา วิเคราะห์ช่องโหว่ที่ทราบแล้วและแนวทางแก้ไข เป็นสิ่งสำคัญในการบริหารความเสี่ยง”

ที่สำคัญ ผู้รับเหมาภาครัฐต้องเก็บรักษา SBOM นี้เสมอ แม้ไม่มีเหตุการณ์เกี่ยวกับความปลอดภัยเกิดขึ้น ทั้งยังต้องปรับปรุง SBOM ทุกครั้งที่ซอฟต์แวร์เปลี่ยนแปลงระหว่างปฏิบัติงานตามสัญญา รายละเอียดเกี่ยวกับข้อกำหนด SBOM และการบำรุงรักษาระหว่างดำเนินสัญญารัฐสามารถดูเพิ่มเติมได้ที่เอกสาร Minimum Elements for a Software Bill of Materials ของกระทรวงพาณิชย์สหรัฐ

FAR 52.239-AA

ข้อที่สองใน Case 2021-017, FAR 52.239-AA เป็นข้อกำหนดที่เฉพาะเจาะจง โดยมีชื่อว่า “Security Incident Reporting Representation” กำหนดให้ผู้เสนอราคาทุกรายในการประมูลสัญญารัฐบาลกลางต้องรับรองว่าตนเคยปฏิบัติตาม FAR 52.239-ZZ อย่างเคร่งครัด ทั้งในการรายงานเหตุการณ์ความมั่นคงตามข้อกำหนดสำหรับสัญญาปัจจุบันและที่ผ่านมา “อย่างครบถ้วน ถูกต้อง และเป็นปัจจุบัน”

ข้อกำหนดยังบังคับให้ผู้เสนอราคาเป็นหลักฐานว่าตนได้ถ่ายทอดข้อกำหนดนี้ไปยังผู้รับเหมาช่วงตามสัญญาทั้งหมด โดยกำหนดให้ผู้รับเหมาช่วงต้องรวมเนื้อหาข้อบังคับเดียวกันในสัญญาช่วงทุกฉบับ

FAR Case 2021-019 ขอบเขตและข้อกำหนดด้านความมั่นคงไซเบอร์

FAR Council ได้เสนอร่างข้อกำหนดที่สอง Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems ภายใต้ Case 2021-019 เพื่อสร้างมาตรฐานข้อกำหนดด้านความมั่นคงไซเบอร์ในหน่วยงานรัฐทั้งหมด โดยมุ่งเน้นที่ระบบสารสนเทศไม่ลับ (Federal Information Systems หรือ FIS) ร่างนี้แบ่งออกเป็น 2 ข้อคือ FAR 52.239-XX “Federal Information Systems Using Cloud Computing Services” สำหรับ FIS ที่ใช้คลาวด์ และ FAR 52.239-YY “Federal Information Systems Using Non-Cloud Computing Services” สำหรับ FIS ที่ไม่ใช้ระบบคลาวด์

รัฐบาลนิยาม Federal Information System ว่าเป็น “ระบบสารสนเทศที่ใช้หรือดำเนินการโดยหน่วยงาน ผู้รับเหมาของหน่วยงาน หรือองค์กรอื่น ๆ ในฐานะตัวแทนของหน่วยงาน

FAR 52.239-XX

ข้อกำหนดนี้บังคับให้หน่วยงานภาครัฐต้องประเมินระดับผลกระทบของระบบคลาวด์ของผู้รับเหมาด้วย Federal Information Processing Standard Publication 199 (FIPS-199) และระดับการรับรอง Federal Risk and Authorization Management Program (FedRAMP) ตามข้อเสนอ หน่วยงานต้องตัดสินใจระดับ FIPS-199 จาก “วิเคราะห์ผลกระทบของข้อมูลที่ระบบประมวลผล จัดเก็บ หรือส่งผ่าน” เมื่อกำหนดแล้ว ผู้รับเหมาภาครัฐต้องดำเนินการและบำรุงรักษามาตรการความมั่นคงและความเป็นส่วนตัวที่สอดคล้องกับระดับการรับรอง FedRAMP ที่กำหนด

นอกจากมาตรการเหล่านี้ FAR 52.239-XX กำหนดให้ผู้รับเหมาภาครัฐต้องมีส่วนร่วมในการประเมินตรวจสอบอย่างต่อเนื่องและส่งเอกสารผลตรวจให้ตามที่ระบุใน “FedRAMP Continuous Monitoring Strategy Guide” สุดท้าย ผู้รับเหมาจะต้องปฏิบัติตามข้อกำหนดเฉพาะในสัญญาเกี่ยวกับการให้บริการและการจัดการทำลายข้อมูลของรัฐบาลและข้อมูลที่เกี่ยวข้องกับรัฐบาล

FAR 52.239-YY

ข้อกำหนดสำหรับ FIS ที่ไม่ใช้คลาวด์มีความซับซ้อนมากขึ้นเช่นกัน โดยหน่วยงานและเจ้าหน้าที่จัดซื้อจัดจ้างต้องใช้ FIPS-199 เพื่อประเมินระดับผลกระทบและระบุลงในสัญญา จากนั้นต้องกำหนดมาตรการด้านความปลอดภัยเพิ่มเติม เช่น การยืนยันตัวตนหลายขั้น (multifactor authentication) บัญชีผู้ดูแลระบบ, consent banner, และการควบคุมอุปกรณ์ Internet of Things โดยเจ้าหน้าที่ต้องเลือกมาตรการความปลอดภัยและความเป็นส่วนตัวที่เหมาะสม โดยอ้างอิงจากเอกสารมาตรฐานพิเศษของ National Institute of Standards and Technology ได้แก่ NIST SP 800-53, NIST SP 800–213, NIST SP 800–161 และ NIST SP 800–82

สำหรับข้อกำหนดของสัญญา FIS ที่ไม่ใช้คลาวด์ นอกจากข้อกำหนดความปลอดภัยที่หน่วยงานรัฐต้องรวมในสัญญาแล้ว ยังมีภาระหน้าที่ใหม่ที่สำคัญสำหรับผู้รับเหมาภาครัฐ 2 ประการ คือ ต้องให้ CISA และหน่วยงานรัฐที่เจ้าหน้าที่จัดซื้อระบุ “เข้าถึงข้อมูลที่เกี่ยวข้องกับรัฐบาลและบุคลากรอย่างทันเวลาและครบถ้วน” สำหรับการตรวจสอบ สืบสวน และการตรวจกรณีมีความสำคัญต่อความมั่นคงของข้อมูล ประการถัดไป สำหรับ FIS ที่ถูกประเมินว่าระดับผลกระทบ FIPS-199 เป็น moderate หรือ high ผู้รับเหมาจะต้องจัดทำการประเมินประจำปี 2 ครั้ง ครั้งแรกเป็น internal assessment ที่เน้นการประเมิน “ช่องโหว่ ความเสี่ยง และดัชนีชี้วัดการถูกบุกรุก” และครั้งที่สองเป็นการประเมินโดยบุคคลภายนอกเกี่ยวกับความปลอดภัยของระบบสารสนเทศ โดยผู้รับเหมาจะต้องส่งผลการประเมินประจำปี รวมทั้งแนวทางแก้ไขที่แนะนำ ให้เจ้าหน้าที่จัดซื้อจัดจ้างที่เกี่ยวข้อง

ข้อผูกพันด้านการชดใช้ค่าเสียหาย

แต่ละข้อกำหนด FAR 52.239-XX และ FAR 52.239-YY มีบทบัญญัติบังคับให้ผู้รับเหมาภาครัฐต้องชดใช้ค่าเสียหายให้กับรัฐบาลจากความรับผิดที่เกิดจากการดำเนินงานตามสัญญา ข้อเสนอชี้ว่าความรับผิดนั้นมักเกิดจาก 2 กรณี คือ จากผู้รับเหมาต้องนำข้อมูลหรือสิ่งของเข้าสู่ข้อมูลของรัฐ หรือการเปิดเผยข้อมูลหรือวัสดุที่เป็นความลับโดยไม่ได้รับอนุญาต ข้อเสนอยังบังคับให้ผู้รับเหมาสละ “ข้อโต้แย้งทางกฎหมายทุกประการ ไม่รวมถึง (แต่ไม่จำกัดแต่เพียงเท่านี้) ‘Government Contractors Defense’” ข้อบังคับสละสิทธิ์นี้ทำให้ผู้รับเหมาภาครัฐมีความรับผิดชอบอย่างมาก หากเกิดเหตุการณ์โจมตีไซเบอร์ ข้อมูลรั่วไหล หรือเหตุการณ์ด้านความปลอดภัยอื่น ๆ

การเตรียมตัวสำหรับข้อกำหนดด้านความมั่นคงไซเบอร์ใหม่

ขณะนี้ยังไม่น่าจะมีการกำหนดวันบังคับใช้สำหรับกฎความมั่นคงไซเบอร์ 2 ฉบับนี้โดยทันที หลังจากสิ้นสุดช่วงเปิดรับความคิดเห็นสาธารณะ (ที่ขยายถึง 2 กุมภาพันธ์) หน่วยงานที่เป็นสมาชิก FAR Council และหน่วยงานที่รับผิดชอบกำกับดูแล FAR ต้องใช้เวลาในการทบทวนและวิเคราะห์ความคิดเห็นดังกล่าว หลังจากขั้นตอนดังกล่าว รัฐบาลจึงจะตัดสินใจว่าจะออกกฎฉบับสุดท้ายหรือไม่ หากร่างกฎได้รับรอง จะต้องมีการกำหนดช่วงเวลาอย่างน้อย 60 วันก่อนที่กฎจะมีผลบังคับใช้ (ทั้งนี้ ระยะเวลาดังกล่าวอาจขยายเป็น 120 วันหรือมากกว่านั้นตามความสำคัญของกฎ)

ด้วยความล่าช้าและขั้นตอนต่าง ๆ ในกระบวนการออกกฎระเบียบ ผู้รับเหมาภาครัฐจึงมีเวลาประเมิน FAR Case 2021-017 และ 2021-019 ตลอดจนข้อผูกพันใหม่ที่จะเกิดขึ้นได้อย่างรอบคอบ อย่างไรก็ตาม ธุรกิจที่อยู่ในข่ายต้องปฏิบัติตามข้อเสนอเหล่านี้ควรตระหนักถึงความเป็นไปได้ของการบังคับใช้กฎอย่างจริงจัง จากความถี่เหตุโจมตีไซเบอร์ในช่วงหลังและคำสั่งฝ่ายบริหารของประธานาธิบดี Biden ในปี 2021 จึงไม่มีเหตุผลใดที่จะสงสัยว่าข้อกำหนดใหม่ด้านความมั่นคงไซเบอร์เหล่านี้ หรือข้อกำหนดที่คล้ายกัน จะกลายเป็นข้อบังคับทางกฎหมายในอนาคตอันใกล้

ด้วยความล่าช้าและขั้นตอนต่าง ๆ ในกระบวนการออกกฎระเบียบ ผู้รับเหมาภาครัฐจึงมีเวลาประเมิน FAR Case 2021-017 และ FAR Case 2021-019 รวมถึงข้อผูกพันใหม่ที่อาจเกิดขึ้นจากกฎเหล่านี้ได้