:quality(85))
Geçtiğimiz Ekim ayında, federal hükümet genelinde tedarik politikalarını belirlemekten sorumlu olan Federal Acquisition Regulatory (FAR) Council, iki yeni kural taslağı önerdi. Nihai hale getirilip yürürlüğe girdiği takdirde, bu kurallar federal yüklenicilerin siber saldırıları ve diğer siber güvenlik olaylarını raporlama ve müdahale etme şekillerini önemli ölçüde etkileyebilir.
İlk önerilen kural olan Cyber Threat and Incident Reporting and Information Sharing—FAR 52.239-ZZ ve FAR 52.239-AA maddelerini içermektedir—FAR Case 2021–017 kapsamında yayınlandı. İkinci kural ise Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems—FAR 52.239-XX ve FAR 52.239-YY maddelerini içermektedir—FAR Case 2021-019 kapsamında yayınlandı.
Bu teklifler 3 Ekim’de yayınlanarak 4 Aralık 2023’te sona erecek 60 günlük bir yorum süreci başlattı. 1 Kasım’da ise FAR Council, önerilen kuralların yorum süresini 2 Şubat 2024’e kadar uzattı. O zamandan beri, FAR Council’dan ya da Federal Acquisition Regulation'ın (Federal Alım Yönetmeliği) birlikte yürütülmesinden sorumlu ajanslardan kuralların kesinleşmesine veya uygulama tarihiyle ilgili resmi bir güncelleme gelmedi.
Bununla birlikte, kuralların kapsamı ve federal yüklenicilere getireceği ciddi sorumluluklar göz önünde bulundurulduğunda, işletmelerin FAR Case 2021-017 ve 2021-019’un tam olarak neleri kapsadığını bilmesinde büyük fayda var.
Bununla birlikte, kuralların kapsamı ve federal yüklenicilere getireceği ciddi sorumluluklar göz önünde bulundurulduğunda, işletmelerin FAR Case 2021-017 ve 2021-019’un tam olarak neleri kapsadığını bilmesinde büyük fayda var.
Başkan Biden’ın Siber Güvenlik Başkanlık Kararnamesi
Mayıs 2021’de Başkan Biden, “Ulusun Siber Güvenliğinin İyileştirilmesi” başlıklı 14028 no’lu Başkanlık Kararnamesini imzaladı. Kararnamenin hedefi, Beyaz Saray’ın “sürekli ve giderek daha sofistike hale gelen zararlı siber saldırı kampanyaları” olarak tanımladığı tehditlere karşı federal hükümetin siber güvenliğini güçlendirmekti. Bu başkanlık talimatı, iki büyük ve çoğunlukla benzeri görülmemiş siber saldırının hemen ardından geldi: 2020’deki SolarWinds saldırısı ve 2021’in başlarında Microsoft Exchange veri ihlali. ABD’nin başlıca rakipleriyle ilişkilendirilen hacker grupları tarafından gerçekleştirilen bu siber casusluk eylemleri, yeni bir siber savaş döneminin başlangıcı olarak kabul edildi. Bu gelişmelerin ardından ABD hükümeti, veri sistemlerini güçlendirmek için kapsamlı ve bütünleşik bir plan geliştirme konusunda giderek artan bir aciliyet hissetti.
Başkanlık talimatı, iki büyük ve çoğunlukla benzeri görülmemiş siber saldırının—2020’deki SolarWinds saldırısı ve 2021 başındaki Microsoft Exchange veri ihlali—hemen ardından geldi.
Başkan Biden’ın kararnamesiyle federal hükümetin, “bilgisayar sistemlerini, bulut tabanlı, şirket içi veya hibrit fark etmeksizin, korumak ve güvence altına almak için tüm yetki ve kaynaklarını seferber etmesi” talimatı verildi. Kararname özel olarak; hükümet ile federal yükleniciler arasında yeni siber olay protokollerinin oluşturulmasını, siber güvenlik altyapısının güvenli bulut servisleri ve sıfır güven mimarisiyle modernize edilmesini ve tüm federal ajanslarda siber güvenlik tehditlerine yanıtların standartlaştırılmasını da öngörüyordu.
FAR Council tarafından geçen Ekim ayında önerilen bu yeni kurallar, 2021 başkanlık kararnamesinin uygulanmasına yönelik çabaların bir devamıdır. Siber olaylar sonrası federal yükleniciler için raporlama gerekliliklerini güçlendiren ve kapsamını genişleten FAR Council, siber saldırılar ve ulusal güvenliğe yönelik diğer tehditlerde daha çevik ve proaktif müdahaleler için uygun koşulları yaratmayı hedeflemektedir.
Siber olaylar sonrası federal yükleniciler için raporlama gerekliliklerini güçlendirip kapsamını genişleten FAR Council, siber saldırılar ve ulusal güvenliğe yönelik diğer tehditlerde devletin daha çevik ve proaktif cevaplar vermesine olanak tanımayı amaçlamaktadır.
FAR Case 2021-017: Kapsam ve Siber Güvenlik Gereklilikleri
İlk teklif edilen kuralda FAR 52.239-ZZ ve FAR 52.239-AA olmak üzere iki madde bulunmakta. Her ikisi de federal yüklenicilere ya bir siber olaya doğrudan cevap olarak ya da böyle bir olay meydana gelirse alınacak önlemler şeklinde yeni sorumluluklar getirmektedir.
FAR 52.239-ZZ
FAR 52.239-ZZ’nin resmi adı “Bilgi ve İletişim Teknolojisi İçeren Ürün veya Hizmetler İçin Olay ve Tehdit Raporlama ile Olay Yanıt Gereklilikleri”dir. FAR 52.239-ZZ, federal yüklenicilere yönelik güvenlik olayları sonrası sözleşmesel yükümlülükleri güncelleyip geliştirmeyi amaçlamaktadır. Bu madde ile güvenlik olaylarına hızlı ve kapsamlı şekilde yanıt verme, bu olayları soruşturan devlet kurumlarıyla iş birliği yapma ve olay yanıt sürecine yardımcı olabilecek her tür dosya, kayıt ve diğer belgeleri muhafaza etme gibi yeni yükümlülükler getirilmektedir.
Teklife göre, “güvenlik olayı” yalnızca siber saldırılar ve diğer siber güvenlik olaylarını kapsamaz. FAR Council, bu terimi ayrıca yasalara, güvenlik politikalarına veya prosedürlerine genel ihlalleri ile sınıflandırılmış veya kontrollü sınıflandırılmamış bilgilerin (CUI) yetkili devlet güvenlik seviyelerinin altındaki herhangi bir bilgi sistemine aktarımını da kapsayacak şekilde kullanmaktadır.
Olay Raporlama Zaman Çizelgesi
FAR 52.239-ZZ, yüklenicilerin güvenlik olaylarını devlete bildirme süresini güncelliyor. Yeni kurala göre, yükleniciler tespit edilen olaylar ve ilgili tüm bilgileri, Siber Güvenlik ve Altyapı Güvenliği Ajansı’nın (CISA) olay raporlama portalı üzerinden olayın ilk fark edilmesinden itibaren sekiz saat içinde bildirmekle yükümlüdür. Ayrıca, bu bildirim, tüm devlet kurumlarının soruşturmayı tamamlamasına kadar her 72 saatte bir güncellenmelidir.
Olayların bu kadar hızlı bildirilmesi, devlet kurumları ve ekiplerinin mümkün olan en etkin ve dinamik yanıtları vermesine olanak tanır. Teklif edilen kuralda belirtildiği üzere, hızlı raporlama ve düzenli güncellemeler, araştırmacıların “kötü niyetli aktörlerin etkinlikleri ve eylemleri ile ihlal göstergelerini hızlıca tanımlayabilmek için hızlı veri analizi” yapmalarını destekler.
Devletin Olay Yanıtını Destekleyici Ek Faaliyetler
CISA portalı üzerinden belirtilen süre zarfında güvenlik olaylarını raporlamanın yanı sıra, yüklenicilerin devletin tehdit yanıtını kolaylaştıracak çeşitli faaliyetlere de katılması gerekmektedir. Öncelikle, ilgili taraflar; CISA, FBI ve/veya sözleşme kurumuna olayın hemen ardından tüm ilgili bilgi, bilgi sistemleri ve personele eksiksiz erişim sağlamak zorundadır.
Federal yüklenicilerin ayrıca bildirilen güvenlik olayıyla ilişkili her tür veriyi de muhafaza etmesi gerekmektedir. Bu kapsamda; ağ trafiği verileri, çevre savunması günlükleri, telemetri ve diğer ilgili veriler 12 ay boyunca aktif depolamada, ardından da ek 6 ay süresince aktif ya da soğuk depolamada saklanmalıdır.
Son olarak, yeni FAR kuralı yüklenicilere, siber tehdit göstergelerini ve önerilen savunma önlemlerini iletmek amacıyla CISA’nın Automated Indicator Sharing (AIS) programına abone olma zorunluluğu getiriyor. (Yüklenicilerin AIS platformuna katılımı, herhangi bir güvenlik olayı yaşanıp yaşanmadığından bağımsız olarak gereklidir.)
Yazılım Malzeme Listesi
Yanıt ve raporlama gerekliliklerinin ötesinde, FAR 52.239-ZZ, federal yüklenicilere, federal sözleşme kapsamında gerçekleştirilen işler için kullanılan tüm yazılımları kapsayan bir yazılım malzeme listesi (SBOM, Software Bill of Materials) hazırlama ve muhafaza etme yükümlülüğü getiriyor. Devlet, SBOM’u “yazılımı oluşturmada kullanılan çeşitli bileşenlerin detay ve tedarik zinciri ilişkilerini içeren resmi kayıt” olarak tanımlamaktadır. Ticaret Bakanlığı’na göre, SBOM verileri “hem zafiyet tespitini hem de yanıt hızını iyileştirir”, ayrıca “bilinen zafiyetleri ve olası önlemleri belirleme ve analiz etmede kullanılması risk yönetiminde kritik öneme sahiptir.”
Önemli olarak, yükleniciler SBOM’ları herhangi bir güvenlik olayı olmasa dahi her durumda korumak zorundadır. Ayrıca, sözleşme kapsamında kullanılan bilgisayar yazılımlarında herhangi bir güncelleme yapıldığında SBOM’larını da bu doğrultuda güncellemeleri gerekmektedir. SBOM’lar ve federal sözleşme süresince bunların nasıl yönetileceğine dair daha detaylı talepler için Ticaret Bakanlığı’nın Minimum Elements for a Software Bill of Materials dokümanına başvurulabilir.
FAR 52.239-AA
Case 2021-017 kapsamındaki ikinci madde olan FAR 52.239-AA ise çok daha sınırlı ve spesifiktir. “Güvenlik Olayı Raporlama Beyanı” başlığını taşıyan bu madde, federal hükümete teklif veren tüm aday yüklenicilerin, geçmişte FAR 52.239-ZZ’ye uyduğunu sertifikalandırmasını şart koşuyor. Bu, geçmiş ve mevcut sözleşmeler kapsamındaki tüm gerekli güvenlik olayı raporlarını “güncel, doğru ve eksiksiz biçimde” sunduklarını beyan etmelerini de içeriyor.
Kural ayrıca tüm teklif sahiplerine, alt yüklenicilerine bu kurala ait maddi gerekliliklerin alt sözleşmelerine aktarıldığına dair onay verme sorumluluğunu da getiriyor.
FAR Case 2021-019: Kapsam ve Siber Güvenlik Gereklilikleri
FAR Council, ikinci önerilen kural olan Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems’ı Case 2021-019 kapsamında yayınladı. Bu kuralın açık hedefi, federal ajanslar genelinde, özellikle sınıflandırılmamış federal bilgi sistemleri (FIS) üzerinde siber güvenlik gerekliliklerini standardize etmektir. Case 2021-019, büyük ölçüde açıklayıcı olan iki maddeye ayrılmıştır. İlki, bulut tabanlı FIS’leri kapsayan FAR 52.239-XX “Federal Information Systems Using Cloud Computing Services”, diğeri ise bulut teknolojisi kullanmayan tüm FIS’leri kapsayan FAR 52.239-YY “Federal Information Systems Using Non-Cloud Computing Services” maddesidir.
Federal hükümet, federal bilgi sistemini “bir ajansın, ajansın bir yüklenicisinin ya da başka bir kuruluşun bir ajans adına kullandığı ya da işlettiği bilgi sistemi” olarak tanımlar.
FAR 52.239-XX
Bu madde, ajanslardan yüklenicilerin bulut tabanlı bilgi sisteminin etki seviyesini Federal Information Processing Standard Publication 199 (FIPS-199) ve buna karşılık gelen Federal Risk and Authorization Management Program (FedRAMP) yetki seviyesi ile belirlemelerini ister. Teklife göre ajanslar, “sistem tarafından işlenen, saklanan veya iletilen bilginin etki analizine” dayalı olarak FIPS-199 etki seviyesi tespitini yapacaktır. Bu seviyeler belirlendikten sonra federal yüklenici, FedRAMP yetki seviyesiyle ilişkili güvenlik ve gizlilik önlemlerini uygulamak ve sürdürmek zorundadır.
Bu güvenlik standartlarının yanı sıra, FAR 52.239-XX yüklenicilerin FedRAMP Continuous Monitoring Strategy Guide’da belirtilen izleme faaliyetlerine katılmasını ve raporlamalarını da öngörmektedir. Ayrıca yüklenicilerin, devlet ve devletle bağlantılı verilere ilişkin sağlama ve yok etme işlemlerine dair tüm sözleşmesel gerekliliklere uymaları zorunludur.
FAR 52.239-YY
Bulut tabanlı olmayan federal bilgi sistemleri için getirilen gereklilikler biraz daha karmaşıktır. FAR 52.239-XX ile benzer şekilde, ajanslar uygun FIPS-199 etki seviyesini belirlemek ve bunu sözleşmede belirtmekle sorumludur. Bu seviyelerin belirlenmesinin yanı sıra, ajanslar ve yetkililer çok faktörlü kimlik doğrulama, yönetici hesapları, onay bantları ve Nesnelerin İnterneti cihaz kontrolleri dâhil olmak üzere birçok özel güvenlik konusunu da ele almalıdır. Yetkililer ayrıca, Ulusal Standartlar ve Teknoloji Enstitüsü tarafından yayımlanan NIST SP 800-53, NIST SP 800–213, NIST SP 800–161 ve NIST SP 800–82 gibi özel yayınlardan uygun güvenlik ve gizlilik önlemlerini seçmekle yükümlüdür.
Bulut olmayan sistemler için yeni güvenlik gerekliliklerinin sözleşmelere dâhil edilmesi dışında, bu madde federal yüklenicilere iki önemli yeni yükümlülük de getirmektedir. Birincisi, CISA ve sözleşme yetkilisince belirlenen diğer devlet kurumlarına, denetim, soruşturma ve incelemelerde “zamanında ve tam erişim” sağlanmalıdır. Ayrıca, orta veya yüksek FIPS-199 etki seviyesine sahip herhangi bir FIS için yılda iki değerlendirme yapılmalıdır. İlki, “zafiyetler, riskler ve ihlal göstergelerini” ölçen dahili bir değerlendirmedir; ikincisi ise bilgi sisteminin güvenliğine ilişkin bağımsız bir incelemedir. Yükleniciler, bu yıllık değerlendirmelerin sonuçlarını ve önerilen önlemleri sözleşme yetkilisine sunmaktan sorumludur.
Tazmin Yükümlülükleri
Her iki madde—FAR 52.239-XX ve FAR 52.239-YY—federal yüklenicilerin, sözleşme performansından kaynaklanacak herhangi bir sorumluluktan devleti tazmin etmesini gerektirir. Teklif edilen kurala göre, bu tür sorumluluklar esasen iki senaryodan doğabilir: ya yüklenicinin devlete ait veriye bilgi veya materyal eklemesi ya da yüklenicinin hassas bilgi veya materyalin yetkisiz ifşa etmesi. Önemli olarak, teklif, yüklenicilerin “kendi yararına ileri sürebileceği tüm savunmaları (sınırlama olmaksızın ‘Government Contractors Defense’ de dâhil olmak üzere) feragat etmesini” gerektirir. Bu zorunlu feragat, bir siber saldırı, veri ihlali ya da başka bir güvenlik olayı yaşanırsa yükleniciler üzerinde önemli bir sorumluluk yaratır.
Yeni Siber Güvenlik Gerekliliklerine Hazırlık
Bu iki siber güvenlik kuralı için yakın vadede bir yürürlük tarihi görünmüyor. Kamuya açık yorum sürecinin—2 Şubat’a kadar uzatılmıştı—tamamlanmasını takiben, FAR Council bünyesindeki ajanslar ve FAR’dan sorumlu diğer kurumlar gelen görüşleri değerlendirecektir. Ancak bu analiz döneminden sonra nihai kuralın yayımlanıp yayımlanmayacağına karar vereceklerdir. Yayımlanırsa, nihai bir kuralın yürürlüğe girmesinden önce en az 60 günlük bir takvim başlar. (Kuralın önemi durumunda bu süre 120 gün veya daha uzun da olabilir.)
Yasal süreçteki aşamalar ve sürenin uzunluğu, federal yüklenicilere FAR Case 2021-017 ve 2021-019 ile gelebilecek yükümlülükleri değerlendirmek için bir miktar hareket alanı tanımaktadır. Ancak bu teklif edilen düzenlemeler kapsamında olan işletmelerin, uygulama olasılığını çok ciddiye alması gerekir. Son dönemdeki yıkıcı siber saldırılar ve Başkan Biden’ın 2021 tarihli başkanlık kararnamesi göz önüne alındığında, bu yeni siber güvenlik yükümlülüklerinin—veya çok benzer hükümlerinin—yakın gelecekte mevzuat haline geleceği kuvvetle muhtemeldir.
Yasal süreçteki aşamalar ve sürenin uzunluğu, federal yüklenicilere FAR Case 2021-017 ve FAR Case 2021-019 ile gelebilecek yükümlülükleri değerlendirmek için bir miktar hareket alanı tanımaktadır.
