:quality(85))
Defense Federal Acquisition Regulation Supplement (DFARS) là bộ quy định và quy tắc quản lý cách Bộ Quốc phòng Hoa Kỳ thực hiện các hoạt động thu mua và mua sắm. Ngoài ra, đây còn là khung pháp lý dành cho các nhà thầu tư nhân hợp tác kinh doanh với cơ quan này. DFARS là phần mở rộng của Federal Acquisition Regulation (FAR) — văn bản điều hành mua sắm cho toàn bộ 15 cơ quan hành pháp lớn — và được quy định tại Chương 2 của Tiêu đề 48 trong Code of Federal Regulations.
Do các hoạt động của Bộ Quốc phòng có tác động lớn đến an ninh quốc gia, nên phần lớn dữ liệu, thông tin và các tài liệu khác được trao đổi giữa cơ quan này và các nhà thầu tư nhân đều có tính chất nhạy cảm cao. DoD sử dụng thuật ngữ covered defense information (CDI) để chỉ nhóm thông tin này, định nghĩa là "thông tin kỹ thuật chưa phân loại nhưng có kiểm soát hoặc các thông tin khác... cần được bảo vệ hoặc kiểm soát phát tán theo luật, quy định và chính sách chung của Chính phủ.”
Trong khoảng một thập kỷ trở lại đây, các nhà thầu quốc phòng tư nhân và những doanh nghiệp khác nằm trong mạng lưới công nghiệp quốc phòng (DIB) của Hoa Kỳ đã phải đối mặt với sự gia tăng đáng lo ngại của các cuộc tấn công mạng và mối đe dọa an ninh mạng khác nhằm xâm nhập vào DIB và đánh cắp thông tin này.
Để đối phó với các rủi ro mới và sự gia tăng của các tác nhân xấu đứng sau đó, Bộ Quốc phòng đã bổ sung một điều khoản mới vào bộ quy tắc mua sắm của mình. Phần mới này, DFARS 252.204-7012, nhằm nâng cao bảo vệ đối với CDI bằng cách yêu cầu các nhà thầu áp dụng bộ kiểm soát an ninh toàn diện. Mục tiêu tổng thể của điều khoản DFARS mới là tiêu chuẩn hóa an ninh mạng trên toàn bộ hệ thống nhà thầu quốc phòng và chống lại làn sóng tội phạm ngày càng tăng tìm cách khai thác các điểm dễ tổn thương trong DIB.
Điều khoản mới này, DFARS 252.204-7012, nhằm nâng cao bảo vệ đối với CDI bằng cách yêu cầu các nhà thầu áp dụng bộ kiểm soát an ninh toàn diện.
DFARS 252.204-7012 và giao thức bảo mật NIST
DFARS 252.204-7012, tên chính thức là Safeguarding Covered Defense Information and Cyber Incident Reporting, đã chính thức có hiệu lực vào đêm Giao thừa năm 2017. Điều khoản này — còn được gọi là một tiểu mục — đã thiết lập một loạt các biện pháp an ninh mạng mới mà tất cả các nhà thầu quốc phòng đều phải tuân thủ. Tiểu mục 252.204-7012 nhằm đảm bảo tất cả thông tin phòng thủ cần bảo vệ đều được bảo vệ khỏi các sự cố rò rỉ dữ liệu, tấn công mạng và các mối đe dọa nghiêm trọng khác thông qua giao thức bảo mật nâng cao.
Các biện pháp trong phạm vi DFARS 252.204-7012 đưa ra nhiều yêu cầu mới, trong đó quan trọng nhất là yêu cầu tất cả nhà thầu tuân thủ bộ kiểm soát an ninh do National Institute of Standards and Technology (NIST) — cơ quan thuộc Bộ Thương mại Hoa Kỳ chuyên thúc đẩy đổi mới và năng lực cạnh tranh của Hoa Kỳ trong lĩnh vực khoa học, công nghệ và kỹ thuật — ban hành. Bộ tiêu chuẩn này được gọi là NIST Special Publication 800-171, hay ngắn gọn là NIST SP 800-171, với 110 kiểm soát an ninh riêng biệt được chia thành 14 nhóm chức năng:
- Access Control (Kiểm soát truy cập - AC)
- Awareness and Training (Nhận thức và đào tạo)
- Audit and Accountability (Kiểm tra và trách nhiệm)
- Configuration Management (Quản lý cấu hình)
- Identification and Authentication (Xác định và xác thực)
- Incident Response (Ứng phó sự cố)
- Maintenance (Bảo trì)
- Media Protection (Bảo vệ dữ liệu truyền thông)
- Personnel Security (An ninh nhân sự)
- Physical Protection (Bảo vệ vật lý)
- Risk Assessment (Đánh giá rủi ro)
- Security Assessment (Đánh giá an ninh)
- System and Communications Protection (Bảo vệ hệ thống và truyền thông)
- System and Information Integrity (Tính toàn vẹn của hệ thống và thông tin)
Do yêu cầu của tiểu mục DFARS 252.204-7012, mọi nhà thầu quốc phòng đều phải tuân thủ NIST SP 800-171 và triển khai hơn 100 biện pháp kiểm soát an ninh khi thực hiện công việc cho Bộ Quốc phòng. Chính phủ liên bang duy trì một CUI Registry (danh mục thông tin chưa phân loại cần kiểm soát) làm nguồn tham khảo chung cho các bên xử lý CDI và CUI. Theo SP 800-171, kho dữ liệu này “liệt kê các nhóm thông tin CUI được phê duyệt cùng mô tả chung, căn cứ áp dụng kiểm soát và quy trình xử lý CUI — bao gồm đánh dấu, bảo vệ, vận chuyển, chia sẻ, tái sử dụng và tiêu hủy thông tin.”
Mọi nhà thầu quốc phòng hiện đều phải tuân thủ NIST SP 800-171 và triển khai hơn 100 biện pháp kiểm soát an ninh khi thực hiện công việc cho Bộ Quốc phòng.
Yêu cầu bổ sung đối với điều khoản DFARS 252.204-7012
Dù yêu cầu quan trọng nhất mà DFARS 252.204-7012 đưa ra là giao thức bảo mật của NIST, điều khoản này còn bao gồm một số nghĩa vụ mới quan trọng khác.
- Yêu cầu đầu tiên liên quan đến việc rà soát và báo cáo các sự cố liên quan đến an ninh mạng. Nếu một công ty tư nhân hợp tác với Bộ Quốc phòng phát hiện sự cố ảnh hưởng đến CDI hoặc hệ thống lưu trữ và bảo vệ CDI, doanh nghiệp này phải nhanh chóng báo cáo sự cố qua các kênh chỉ định của DoD.
- Nhà thầu còn phải tiến hành đánh giá, rà soát toàn diện về sự cố, bao gồm xác định dữ liệu, phần cứng, tài khoản hoặc hệ thống thông tin bị ảnh hưởng.
- Nếu phát hiện các phần mềm độc hại trong sự cố, nhà thầu nên cố gắng cô lập và gửi phần mềm đó đến Cyber Crime Center (DC3) của Bộ Quốc phòng.
- Cuối cùng, doanh nghiệp phải tiếp tục hợp tác với DoD trong quá trình điều tra, bao gồm cung cấp quyền truy cập vào dữ liệu, hệ thống và thiết bị khi được yêu cầu.
DFARS 252.204-7012 yêu cầu tất cả nhà thầu và nhà thầu phụ triển khai các kiểm soát an ninh tương tự và thực hiện nghĩa vụ báo cáo giống nhau khi xử lý CDI. Để thực hiện, điều khoản này cũng yêu cầu các nhà thầu chính truyền đạt (flow down) yêu cầu bảo mật đến mọi nhà thầu phụ bằng cách đưa 252.204-7012 vào các hợp đồng liên quan.
Các điều khoản DFARS mới nhất
Bộ Quốc phòng đã ban hành quy tắc tạm thời DFARS vào mùa thu năm 2020 và có hiệu lực từ ngày 30/11/2020. Quy tắc tạm thời này bổ sung ba điều khoản mới vào phần 252 của DFARS: 252.204-7019, -7020 và -7021. Các tiểu mục này tiếp tục mở rộng các nghĩa vụ đã được nêu trong 252.204-7012 và đồng thời đưa ra những cơ chế minh bạch mới dành cho nhà thầu hợp tác với DoD.
Năm 2019, Defense Contract Management Agency được giao nhiệm vụ chuẩn hóa đánh giá việc thực thi giao thức NIST SP 800-171 (yêu cầu của 252.204-7012) đối với từng nhà thầu. Kết quả là bộ NIST SP 800-171 DoD Assessment Methodology ra đời, đây là lộ trình cụ thể hỗ trợ nhà thầu tự đánh giá mức độ tuân thủ các tiêu chuẩn bảo mật của NIST. Phần đầu của Quy tắc tạm thời, 252.204-7019, hợp thức hóa công cụ DoD Assessment Methodology vào DFARS bằng cách yêu cầu mọi nhà thầu quốc phòng phải tự đánh giá và chấm điểm sự tuân thủ này, đồng thời có nghĩa vụ báo cáo kết quả lên Supplier Performance Risk System (SPRS).
Phần đầu của Quy tắc tạm thời, 252.204-7019, hợp thức hóa công cụ DoD Assessment Methodology vào DFARS và yêu cầu mọi nhà thầu quốc phòng tự đánh giá, chấm điểm sự tuân thủ này, đồng thời có nghĩa vụ báo cáo kết quả lên Supplier Performance Risk System (SPRS).
Tiểu mục 252.204-7020 bổ sung lớp trách nhiệm mới cho nhà thầu về việc tuân thủ giao thức NIST. Quy định này cho phép Bộ Quốc phòng truy cập vào cơ sở, hệ thống và nhân sự của nhà thầu nếu cơ quan này xét thấy cần thiết cho việc tự đánh giá độc lập. Ngoài ra, 252.204-7020 cũng nêu rõ mọi nhà thầu chính phải yêu cầu nhà thầu phụ hoàn thành tự đánh giá về tuân thủ NIST SP 800-171 bằng phương pháp DoD Assessment Methodology và truyền đạt (flow down) toàn bộ điều khoản này trong hợp đồng phụ.
Cuối cùng, điều khoản 252.204-7021 giới thiệu Cybersecurity Maturity Model Certification (CMMC) — khung chuẩn mới đánh giá việc triển khai các biện pháp an ninh mạng và kiểm soát an ninh liên quan của nhà thầu. Do các quy định liên quan đến CMMC tại DoD vẫn đang trong quá trình hoàn thiện, nên tiểu mục này hiện được xem là bước đệm cho tiêu chuẩn bảo mật mạng quan trọng sẽ được áp dụng trong tương lai. Bộ Quốc phòng dự kiến sẽ yêu cầu mọi nhà thầu đều đạt chứng chỉ thông qua CMMC, khả năng từ cuối năm 2024 hoặc đầu năm 2025, và DFARS 7021 sẽ là công cụ thực thi yêu cầu này trong hợp đồng với DoD.
Tầm quan trọng của tuân thủ DFARS 252.204-7012
Các cuộc tấn công mạng và rò rỉ dữ liệu mà chúng gây ra đang là mối đe dọa ngày càng tăng đối với chính phủ Hoa Kỳ, Bộ Quốc phòng và toàn bộ hệ thống DIB. DFARS 252.204-7012 được đưa vào năm 2017 như một biện pháp phòng vệ toàn diện và nghiêm ngặt nhằm đối phó với quy mô và tần suất ngày càng gia tăng của các cuộc tấn công này, và hiện nay gần như toàn bộ nhà thầu quốc phòng đều phải tuân thủ. Điều khoản này buộc doanh nghiệp triển khai bộ kiểm soát an ninh toàn diện, quy trình chuẩn để rà soát và báo cáo sự cố an ninh mạng, phần mềm độc hại cùng quy trình chuẩn truyền đạt yêu cầu bảo vệ CDI cho nhà thầu phụ.
DFARS 252.204-7012 được ban hành năm 2017 như một biện pháp phòng vệ mạnh mẽ và nghiêm ngặt trước quy mô, tần suất của các cuộc tấn công, và hiện nay gần như toàn bộ nhà thầu quốc phòng đều phải tuân thủ điều khoản này.
Hậu quả của việc phớt lờ hoặc xử lý không đầy đủ yêu cầu của DFARS 252.204-7012 là rất nghiêm trọng và tốn kém. Những nhà thầu không triển khai các kiểm soát an ninh của NIST sẽ trở nên dễ bị tội phạm mạng, hacker và các đối tượng xấu khác nhắm tới để đánh cắp dữ liệu nhạy cảm, và có thể sẽ phải chịu chi phí phục hồi đáng kể. Quan trọng hơn, Bộ Quốc phòng cũng đã xây dựng một bộ giải pháp xử lý đối với các nhà thầu không tuân thủ đúng DFARS 252.204-7012 và giao thức bảo mật NIST đi kèm.
Hậu quả của việc phớt lờ hoặc xử lý không đầy đủ DFARS 252.204-7012 là rất nghiêm trọng và tốn kém. Nhà thầu quốc phòng không triển khai các kiểm soát an ninh của NIST sẽ dễ dàng trở thành mục tiêu của tội phạm mạng, hacker và các đối tượng xấu khác, và có thể phải gánh chịu chi phí phục hồi lớn.
Trong bản ghi nhớ năm 2022, Văn phòng Thứ trưởng Bộ Quốc phòng đã làm rõ rằng việc không thực hiện đầy đủ NIST SP 800-171 sẽ bị coi là vi phạm hợp đồng. “Phương án xử lý cho vi phạm này,” bản ghi nhớ tiếp tục, “có thể bao gồm giữ lại các khoản thanh toán tiến độ; không thực hiện các tùy chọn hợp đồng còn lại; hoặc thậm chí chấm dứt hợp đồng một phần hoặc toàn bộ.” Những nhà thầu bỏ qua quy định bảo mật quan trọng này sẽ tự đặt mình vào vị trí rủi ro với chủ đầu tư, có thể mất hợp đồng hiện tại và gặp rào cản lớn trong việc giành được các hợp đồng tiếp theo với Bộ Quốc phòng cũng như chính phủ liên bang.
