DFARS คืออะไร ความหมาย การปฏิบัติตามข้อกำหนด และข้อมูลสำคัญ

“โอ้ อีกแล้วเหรอ ตัวย่อ…”

เมื่อพูดถึงข้อกำหนดทางกฎหมาย มักจะพบกับตัวย่อต่าง ๆ เป็นจำนวนมาก ซึ่งไม่ใช่เรื่องง่ายในการจดจำหรือจัดการ RoHS, REACH, DFARS, TSCA… รายชื่อตัวย่อเหล่านี้เพิ่มขึ้นทุกปีเมื่อมีข้อกำหนดใหม่ ๆ ถูกนำมาใช้ 

ในครั้งนี้จะพามาทำความเข้าใจเกี่ยวกับ DFARS ลองดูรายละเอียดไปพร้อมกัน 

DFARS คืออะไร

DFARS เป็นตัวย่อของ Defense Federal Acquisition Regulation Supplement

DFARS หมายถึงชุดข้อกำหนดเพิ่มเติมที่กระทรวงกลาโหมสหรัฐอเมริกา (DoD) กำหนดเพิ่มเติมจาก Federal Acquisition Regulation (FAR) FAR คือข้อกำหนดหลักสำหรับการจัดซื้อจัดจ้างภาครัฐที่ถูกใช้ตั้งแต่ยุค 1980 DFARS ถูกเพิ่มเข้ามาภายหลังเพื่อกำหนดข้อกำหนดโดยเฉพาะเกี่ยวกับการจัดซื้อจัดจ้างที่เกี่ยวข้องกับความมั่นคง กล่าวคือ DFARS กำหนดแนวทางการจัดซื้อสินค้าและบริการทุกประเภทของรัฐบาลสหรัฐฯ เพื่อวัตถุประสงค์ด้านการทหารหรือความมั่นคงของชาติ 

วัตถุประสงค์ของ DFARS

ตามข้อมูลจาก Acquisition.gov วัตถุประสงค์หลักของ DFARS คือเพื่อให้ได้มาซึ่งสินค้าและบริการที่มีคุณภาพ ตอบสนองความต้องการของผู้ใช้งาน พร้อมทั้งยกระดับขีดความสามารถและประสิทธิภาพการดำเนินงาน ในราคาที่เหมาะสมและสมเหตุสมผล นอกจากนี้ DFARS มีไว้เพื่อบริหารจัดการการลงทุนด้านเทคโนโลยี โครงการ และการดูแลผลิตภัณฑ์ที่จำเป็นต่อการบรรลุเป้าหมายยุทธศาสตร์ความมั่นคงของชาติและสนับสนุนกองทัพสหรัฐอเมริกา 

หากย้อนกลับไปยุค 80 จะเห็นถึงจุดเริ่มต้นและเหตุผลในการออกข้อกำหนดนี้ เมื่อวันที่ 1 เมษายน 1981 FAR เข้ามาแทนที่ Federal Procurement Regulation (FSR) โดยมีเป้าหมายเพื่อสร้างข้อบังคับแบบองค์รวมสำหรับการจัดซื้อจัดจ้างภาครัฐ FAR ครอบคลุมตั้งแต่การวางแผนการจัดซื้อ ประเภทสัญญา มาตรฐานความปลอดภัยสิ่งแวดล้อม ทรัพย์สินทางปัญญา ฯลฯ อย่างไรก็ตาม กระทรวงกลาโหมพบว่าการจัดซื้อที่เกี่ยวข้องกับความมั่นคงมีความซับซ้อนเฉพาะ เช่น เทคโนโลยีอ่อนไหวและข้อควรระวังด้านความมั่นคง ดังนั้นจึงก่อกำเนิด DFARS ขึ้น 

ปัจจุบัน DFARS ถูกปรับปรุงอย่างต่อเนื่อง เพื่อให้สอดรับกับความท้าทายใหม่ ๆ ทั้งด้านความมั่นคงไซเบอร์ รวมถึงแนวปฏิบัติด้านความมั่นคงและการจัดซื้อที่เปลี่ยนแปลง Main purpose ประกอบด้วย

• ความมั่นคงของชาติ

• การจัดซื้ออย่างเป็นธรรมและแข่งขันได้

• การสอดคล้องกับนโยบายระดับชาติ

• การประกันคุณภาพและความรับผิดชอบ 

ใครบ้างที่ได้รับผลกระทบจาก DFARS

DFARS ส่งผลกระทบต่อผู้มีส่วนได้ส่วนเสียหลากหลายกลุ่ม ตั้งแต่บริษัทที่ได้รับสัญญาจากกระทรวงกลาโหมสหรัฐฯโดยตรง ไปจนถึงผู้รับเหมาช่วง (subcontractor), หน่วยสนับสนุน Defense contractor เป็นกลุ่มที่ได้รับผลกระทบโดยตรง อาจรวมถึงผู้ผลิตอุปกรณ์ทางทหาร ผู้ให้บริการด้าน IT และอื่น ๆ ซัพพลายเออร์และผู้รับเหมาช่วงยังอาจได้รับผลกระทบหากผู้รับเหมาหลักบังคับใช้เงื่อนไข DFARS บุคคลากรฝ่ายกฎหมายและการปฏิบัติตามข้อกำหนด, ผู้จัดการโครงการ, ผู้ตรวจสอบภายในองค์กรที่ทำสัญญาต่างก็ได้รับอิทธิพลนี้เช่นกัน

นอกจากนี้ DFARS ยังมีผลต่ออุตสาหกรรมหลักต่อไปนี้ด้วย ได้แก่

• อากาศยานและความมั่นคง

• IT และความมั่นคงไซเบอร์

• การผลิตและวิศวกรรม

• ก่อสร้างและโครงสร้างพื้นฐาน

• โลจิสติกส์และการบริหารจัดการห่วงโซ่อุปทาน

• ที่ปรึกษา

DFARS ครอบคลุมสินค้า บริการ และวัสดุอะไรบ้าง

อุปกรณ์ทางทหาร

สินค้าหรือวัสดุที่ใช้ในการผลิตอุปกรณ์ทางทหารอยู่ภายใต้ข้อกำหนดของ DFARS ทั้งสิ้น เช่น ยานยนต์ทางทหาร อาวุธ เครื่องบิน เวชภัณฑ์ อุปกรณ์สื่อสาร ฯลฯ ทุกวัสดุที่เกี่ยวข้องกับการผลิตจะต้องปฏิบัติตามมาตรฐานของ DFARS

ตัวอย่างเช่น DFARS 252.225-7009 กำกับดูแลการจัดซื้อโลหะบางประเภท เพื่อให้มั่นใจว่าได้แหล่งที่มาที่เหมาะสมต่อความมั่นคงของชาติ ซึ่งรวมถึงโลหะเฉพาะทาง เช่น ไททาเนียม แทนทาลัม ทังสเตน และอื่น ๆ อีกตัวอย่างคือ DFARS 252.225-7030 ที่สะท้อนพันธสัญญาของรัฐบาลสหรัฐฯ ในการปกป้องความสมบูรณ์ของห่วงโซ่อุปทานเหล็กขั้นสำคัญในการผลิตด้านความมั่นคง เช่น เหล็กกล้าคาร์บอน เหล็กผสม เหล็กเกราะ รวมถึงการห้ามใช้เหล็กบางชนิดที่ผลิตในต่างประเทศ

เทคโนโลยีและความมั่นคงไซเบอร์

เมื่อพูดถึงอุปกรณ์ทางทหาร หลายท่านจะนึกถึงอาวุธหรือยานยนต์เป็นลำดับแรก อย่างไรก็ตาม เทคโนโลยี ซอฟต์แวร์และความปลอดภัยไซเบอร์ ล้วนเป็นเครื่องมือสำคัญในการรักษาความมั่นคงเช่นกัน และได้รับการควบคุมภายใต้ DFARS โดยข้อกำหนดเหล่านี้จะเน้นด้านความมั่นคงทางไซเบอร์และทรัพย์สินทางปัญญา เพื่อลดความเสี่ยงและรับมือภัยคุกคามไซเบอร์ ไม่ใช่แค่เพียงตัววัสดุหรือชิ้นส่วนที่ใช้ในการผลิต 

เช่น หากบริษัทใดให้บริการโปรแกรมคอมพิวเตอร์หรือบริการความมั่นคงไซเบอร์แก่กองทัพ DFARS จะบังคับให้ปฏิบัติตามมาตรฐานความปลอดภัยเฉพาะ เช่น การปกป้องข้อมูลอ่อนไหว เงื่อนไขเดียวกันนี้ยังครอบคลุมถึงบริษัทโทรคมนาคมที่ให้การสื่อสารกับกระทรวงกลาโหมด้วย

Controlled Unclassified Information (CUI)

ด้านที่เกี่ยวข้องอย่างใกล้ชิดกับความมั่นคงไซเบอร์คือ CUI หรือ Controlled Unclassified Information ซึ่งหมายถึงข้อมูลที่แม้ไม่มีสถานะเป็นลับแต่ต้องได้รับการปกป้อง อาจรวมถึงข้อมูลอ่อนไหวที่เชื่อมโยงกับความมั่นคงของชาติ ความเป็นส่วนตัว หรือประเด็นสำคัญอื่น ๆ 

DFARS มีเงื่อนไขหลายข้อโดยตรงเพื่อปกป้อง Controlled Unclassified Information (CUI) เช่น DFARS 252.204-7012 ที่บังคับให้คู่สัญญาต้องรักษาข้อมูล CUI เมื่อมีการจัดการข้อมูลที่เกี่ยวข้องกับความมั่นคง นอกจากนี้ยังต้องนำมาตรการควบคุมตามที่กำหนดไว้ใน National Institute of Standards and Technology (NIST) Special Publication 800-171 มาใช้ด้วยเมื่อเกี่ยวข้องกับ CUI

การรักษาการปฏิบัติตาม DFARS 

ไม่ว่าองค์กรจะเป็นคู่สัญญาหลัก ผู้รับเหมาช่วง หรือเป็นส่วนหนึ่งในห่วงโซ่อุปทาน การปฏิบัติตาม DFARS เป็นสิ่งสำคัญต่อทั้งความมั่นคงของชาติและความสำเร็จทางธุรกิจ การไม่ปฏิบัติตามอาจนำไปสู่การยกเลิกสัญญา โทษทางการเงินจากรัฐบาล ผลกระทบทางกฎหมาย และเสียชื่อเสียงองค์กร 

แนวทางในการทำให้องค์กรของคุณปฏิบัติตาม DFARS ได้แก่ การประเมินตนเอง การว่าจ้างที่ปรึกษา หรือใช้แพลตฟอร์มบริหารความเสี่ยงห่วงโซ่อุปทานอย่าง Z2Data — ซึ่งก็คือเรา ไม่ว่าองค์กรของคุณจะอยู่ในอุตสาหกรรมใด แพลตฟอร์มที่ยืดหยุ่น ผสานรวม และทำงานร่วมกันได้ของเราสามารถช่วยบรรลุเป้าหมายด้านการปฏิบัติตามข้อกำหนด รวมถึงด้านห่วงโซ่อุปทาน การจัดการความเสี่ยง การดึงข้อมูลเชิงลึกจากซัพพลายเออร์ และอื่น ๆ 

หากยังไม่ได้ใช้แพลตฟอร์มหรือที่ปรึกษา และต้องการประเมินตนเอง จำเป็นต้องศึกษาข้อมูลจาก NIST Special Publication 800-171A: Assessing Security Requirements for Controlled Unclassified Information การประเมินด้วยตนเองมีค่าใช้จ่ายต่ำกว่าก็จริง แต่อาจใช้เวลายาวนานและมีความซับซ้อนมากหากขาดทรัพยากรที่เหมาะสม โดยอาจใช้เวลาตั้งแต่ 6 ถึง 11 เดือนจึงจะปฏิบัติตาม DFARS ได้ครบถ้วน ต้องให้ความสำคัญกับการวางแผน ควบคุม และตรวจสอบการปฏิบัติตามอย่างต่อเนื่องเป็นพิเศษ