:quality(85))
Tháng 10 năm ngoái, Hội đồng Quy định Mua sắm Liên bang (FAR Council), cơ quan liên ngành chịu trách nhiệm thiết lập chính sách thu mua trên toàn bộ chính phủ liên bang Hoa Kỳ, đã đề xuất hai quy tắc mới. Nếu được hoàn thiện và ban hành, các quy tắc này có thể tác động sâu rộng đến cách các nhà thầu chính phủ liên bang báo cáo và ứng phó với các cuộc tấn công mạng hoặc các sự cố an ninh mạng khác.
Quy tắc đầu tiên được đề xuất, Báo cáo mối đe dọa và sự cố mạng và chia sẻ thông tin—bao gồm các điều khoản FAR 52.239-ZZ và FAR 52.239-AA—được ban hành theo FAR Case 2021–017. Quy tắc thứ hai, Tiêu chuẩn hóa yêu cầu an ninh mạng đối với các hệ thống thông tin liên bang không phân loại—bao gồm FAR 52.239-XX và FAR 52.239-YY—được ban hành theo FAR Case 2021-019.
Việc công bố hai đề xuất này vào ngày 03/10 đã khởi động giai đoạn lấy ý kiến kéo dài 60 ngày, dự kiến kết thúc vào ngày 04/12/2023. Ngày 01/11, FAR Council đã gia hạn giai đoạn lấy ý kiến đối với các quy tắc đề xuất đến ngày 02/02/2024. Kể từ đó, chưa có cập nhật chính thức nào từ FAR Council hoặc bất kỳ cơ quan nào cùng quản lý Quy định Mua sắm Liên bang (FAR) về việc hoàn thiện quy tắc này hoặc ngày có hiệu lực thi hành.
Tuy nhiên, do phạm vi áp dụng của các quy tắc này và mức độ trách nhiệm đáng kể mà chúng đặt lên các nhà thầu liên bang, doanh nghiệp cần phải nắm rõ nội dung cụ thể của FAR Case 2021-017 và 2021-019.
Tuy nhiên, do phạm vi áp dụng của các quy tắc này và mức độ trách nhiệm đáng kể mà chúng đặt lên các nhà thầu liên bang, doanh nghiệp cần phải nắm rõ nội dung cụ thể của FAR Case 2021-017 và 2021-019.
Lệnh Hành pháp về An ninh mạng của Tổng thống Biden
Vào tháng 5/2021, Tổng thống Biden đã ký Lệnh Hành pháp 14028, với tiêu đề rõ ràng “Nâng cao an ninh mạng quốc gia”. Mục tiêu được tuyên bố của lệnh hành pháp này là tăng cường các biện pháp an ninh mạng nhằm bảo vệ chính phủ liên bang trước những cái mà Nhà Trắng mô tả là “chiến dịch tấn công mạng ác ý kiên trì và ngày càng tinh vi”. Chỉ thị này được ban hành ngay sau hai vụ tấn công mạng quy mô lớn và hiếm thấy: vụ tấn công SolarWinds năm 2020 và sự cố rò rỉ dữ liệu Microsoft Exchange đầu năm 2021. Các hành động gián điệp mạng này do các nhóm tin tặc liên quan đến những đối thủ lớn của Hoa Kỳ thực hiện, có thể đánh dấu sự xuất hiện của một kỷ nguyên chiến tranh mạng mới. Sau những sự kiện này, chính phủ Hoa Kỳ càng cảm thấy cấp thiết phải xây dựng một kế hoạch thống nhất, tổng thể để củng cố hệ thống dữ liệu của mình.
Chỉ thị của Tổng thống được ban hành ngay sau hai vụ tấn công mạng quy mô lớn và chưa từng thấy—vụ tấn công SolarWinds năm 2020 và sự cố rò rỉ dữ liệu Microsoft Exchange đầu năm 2021.
Lệnh hành pháp của Tổng thống Biden giao trọng trách cho chính phủ liên bang phải huy động "toàn bộ phạm vi quyền hạn và nguồn lực để bảo vệ và đảm bảo an toàn cho hệ thống máy tính của mình, dù trên nền tảng đám mây, tại chỗ hay mô hình lai". Lệnh này đặc biệt yêu cầu thiết lập các quy trình ứng phó sự cố mạng mới giữa chính phủ và các nhà thầu liên bang, hiện đại hóa hạ tầng an ninh mạng thông qua dịch vụ đám mây an toàn và kiến trúc zero trust, đồng thời tiêu chuẩn hóa phản ứng với các mối đe dọa an ninh mạng trên toàn bộ các cơ quan liên bang, cùng nhiều yêu cầu khác.
Các quy tắc mới được FAR Council đề xuất vào tháng 10 vừa qua là bước tiếp theo nhằm triển khai lệnh hành pháp năm 2021. Bằng cách tăng cường và mở rộng các yêu cầu báo cáo đối với nhà thầu liên bang sau các sự cố mạng, FAR Council hướng tới việc tạo điều kiện cho các phản ứng linh hoạt, chủ động hơn từ phía chính phủ đối với các cuộc tấn công mạng cũng như các mối đe dọa đến an ninh quốc gia.
Bằng cách tăng cường và mở rộng các yêu cầu báo cáo đối với nhà thầu liên bang sau các sự cố mạng, FAR Council hướng tới điều kiện cho các phản ứng linh hoạt, chủ động hơn từ phía chính phủ đối với các cuộc tấn công mạng cũng như các mối đe dọa đến an ninh quốc gia.
FAR Case 2021-017: Phạm vi áp dụng và yêu cầu an ninh mạng
Có hai điều khoản trong quy tắc đầu tiên được đề xuất: FAR 52.239-ZZ và FAR 52.239-AA. Cả hai đều bổ sung các trách nhiệm mới cho nhà thầu liên bang, hoặc là trong phản ứng trực tiếp khi sự cố mạng xảy ra hoặc dưới hình thức các biện pháp phòng ngừa nếu rủi ro phát sinh.
FAR 52.239-ZZ
Ngôn ngữ chính thức của FAR 52.239-ZZ là “Yêu cầu báo cáo sự cố & mối đe dọa và ứng phó sự cố cho sản phẩm hoặc dịch vụ chứa công nghệ thông tin và truyền thông”. FAR 52.239-ZZ nhằm cập nhật và tăng cường nghĩa vụ hợp đồng đối với các nhà thầu liên bang sau khi xảy ra sự cố bảo mật. Quy tắc này đề xuất các yêu cầu mới về ứng phó nhanh chóng và toàn diện với sự cố an ninh; hợp tác với các cơ quan chính phủ trong quá trình điều tra sự cố; và lưu giữ đầy đủ hồ sơ, tài liệu có thể hỗ trợ quá trình ứng phó.
Theo đề xuất, “sự cố bảo mật” bao gồm phạm vi rộng hơn tấn công mạng và sự cố an ninh mạng. FAR Council còn sử dụng thuật ngữ này để chỉ các vi phạm pháp luật, chính sách hoặc quy trình bảo mật nói chung, cũng như việc truyền thông tin mật hoặc thông tin không mật có kiểm soát (CUI) vào bất kỳ hệ thống thông tin nào dưới chuẩn mức độ bảo mật nhà nước cho phép.
Thời gian báo cáo sự cố
FAR 52.239-ZZ cập nhật khoảng thời gian mà nhà thầu có để báo cáo sự cố bảo mật lên chính phủ. Theo quy tắc mới, nhà thầu bắt buộc phải báo cáo các sự cố này kèm các thông tin thích hợp thông qua cổng báo cáo sự cố của Cơ quan An ninh mạng và Hạ tầng (CISA) trong vòng tám giờ kể từ thời điểm phát hiện ban đầu. Ngoài ra, báo cáo phải được cập nhật mỗi 72 giờ cho đến khi tất cả cơ quan chính phủ hoàn tất điều tra.
Báo cáo kịp thời như vậy giúp các cơ quan và đội ngũ chuyên trách của chính phủ có thể triển khai các biện pháp phản ứng động và hiệu quả nhất. Đề xuất này giải thích rằng, việc báo cáo và cập nhật thường xuyên sẽ hỗ trợ quá trình “phân tích dữ liệu nhanh chóng nhằm xác định các hoạt động, hành vi của đối tượng độc hại, mối đe dọa và chỉ báo bị xâm nhập”.
Các hành động khác hỗ trợ chính phủ ứng phó sự cố
Bên cạnh việc báo cáo sự cố qua cổng CISA theo khung thời gian quy định, nhà thầu còn phải tham gia nhiều hoạt động khác giúp chính phủ ứng phó mối đe dọa. Trước hết, các bên liên quan buộc phải cung cấp cho CISA, FBI và/hoặc cơ quan thu mua toàn quyền truy cập vào mọi thông tin, hệ thống thông tin và nhân sự liên quan khi vừa xảy ra sự cố an ninh.
Nhà thầu liên bang cũng chịu trách nhiệm lưu trữ mọi dữ liệu liên quan đến sự cố bảo mật đã báo cáo. Yêu cầu này bao gồm lưu giữ dữ liệu lưu lượng mạng, nhật ký phòng thủ ngoại vi, dữ liệu đo lường và các thông tin liên quan ở lưu trữ chủ động trong 12 tháng, sau đó thêm 6 tháng ở lưu trữ chủ động hoặc lưu trữ lạnh.
Cuối cùng, quy tắc FAR mới sẽ buộc nhà thầu đăng ký tham gia chương trình Chia sẻ chỉ báo tự động (AIS) của CISA nhằm trao đổi các chỉ báo đe dọa mạng và biện pháp phòng ngừa. (Nhà thầu có nghĩa vụ tương tác với nền tảng AIS bất kể có xảy ra sự cố bảo mật hay không.)
Định mức phần mềm (SBOM)
Ngoài các yêu cầu về ứng phó và báo cáo, FAR 52.239-ZZ bổ sung trách nhiệm mới cho nhà thầu liên bang trong việc duy trì một SBOM (software bill of materials—danh mục thành phần phần mềm) cho mọi phần mềm sử dụng khi thực hiện hợp đồng liên bang. Chính phủ định nghĩa SBOM là “bản ghi chính thức chứa chi tiết và mối quan hệ chuỗi cung ứng của các thành phần được sử dụng để xây dựng phần mềm”. Theo Bộ Thương mại, dữ liệu SBOM “cải thiện khả năng nhận diện lỗ hổng cũng như tốc độ ứng phó” và việc “sử dụng để nhận diện, phân tích các lỗ hổng đã biết và phương án giảm thiểu là yếu tố then chốt trong việc quản lý rủi ro”.
Lưu ý rằng nhà thầu phải duy trì SBOM trong mọi trường hợp, bao gồm cả khi không có sự cố bảo mật nào được biết đến. Họ cũng phải cập nhật SBOM nếu và khi phần mềm máy tính sử dụng thay đổi trong quá trình thực hiện hợp đồng. Danh mục đầy đủ hơn về các yêu cầu SBOM và cách duy trì trong quá trình thực hiện hợp đồng liên bang có thể tham khảo từ tài liệu Minimum Elements for a Software Bill of Materials của Bộ Thương mại.
FAR 52.239-AA
Điều khoản thứ hai trong Case 2021-017, FAR 52.239-AA, có phạm vi hạn chế và cụ thể hơn. Được đặt tên là “Chứng nhận báo cáo sự cố bảo mật”, điều khoản này yêu cầu mọi nhà thầu tiềm năng khi chào hàng lên chính phủ liên bang phải chứng nhận mình đã tuân thủ FAR 52.239-ZZ trong quá khứ. Điều này bao gồm việc xác nhận rằng họ đã nộp các báo cáo sự cố bảo mật bắt buộc cho các hợp đồng trước đây, hiện tại một cách “kịp thời, chính xác, đầy đủ”.
Quy tắc này cũng buộc mọi bên chào giá phải xác nhận đã phổ biến quy tắc cho các nhà thầu phụ ở các hợp đồng trước bằng cách yêu cầu mọi nhà thầu phụ cấp dưới ghi nhận quy tắc này trong hợp đồng của họ.
FAR Case 2021-019: Phạm vi áp dụng và yêu cầu an ninh mạng
FAR Council đã ban hành quy tắc thứ hai, Tiêu chuẩn hóa yêu cầu an ninh mạng đối với các hệ thống thông tin liên bang không phân loại, theo Case 2021-019. Mục đích chính của quy tắc này là tiêu chuẩn hóa các yêu cầu an ninh mạng trên các cơ quan liên bang, đặc biệt tập trung vào hệ thống thông tin liên bang không phân loại (FIS). Case 2021-019 được chia thành hai điều khoản với nội dung đã minh bạch ngay từ tên gọi. Đầu tiên là FAR 52.239-XX, “Hệ thống thông tin liên bang sử dụng dịch vụ điện toán đám mây”, bao gồm các FIS trên nền tảng đám mây. Thứ hai là FAR 52.239-YY, “Hệ thống thông tin liên bang sử dụng dịch vụ điện toán phi đám mây”, bao gồm tất cả FIS không sử dụng nền tảng điện toán đám mây.
Chính phủ liên bang định nghĩa hệ thống thông tin liên bang là “hệ thống thông tin do cơ quan nhà nước, nhà thầu của cơ quan hoặc tổ chức khác vận hành thay mặt cơ quan nhà nước”.
FAR 52.239-XX
Điều khoản này yêu cầu các cơ quan xác định mức độ ảnh hưởng của hệ thống thông tin nhà thầu dựa trên tiêu chuẩn FIPS-199 (Federal Information Processing Standard Publication 199) cũng như mức ủy quyền tương ứng của Chương trình Quản lý Rủi ro và Ủy quyền Liên bang (FedRAMP). Theo đề xuất, các cơ quan cần xác định mức FIPS-199 thông qua “phân tích tác động của thông tin được xử lý, lưu trữ hoặc truyền qua hệ thống”. Khi các mức này được xác lập, nhà thầu liên bang sẽ phải triển khai và duy trì các biện pháp an ninh và bảo mật thông tin phù hợp với mức FedRAMP được cấp.
Bên cạnh các tiêu chuẩn bảo mật này, FAR 52.239-XX còn yêu cầu nhà thầu tham gia các hoạt động giám sát liên tục và cung cấp các báo cáo giám sát như hướng dẫn trong “FedRAMP Continuous Monitoring Strategy Guide”. Cuối cùng, nhà thầu phải tuân thủ mọi yêu cầu hợp đồng cụ thể liên quan đến việc cung cấp, xử lý, hoặc tiêu hủy dữ liệu của chính phủ và dữ liệu liên quan đến chính phủ.
FAR 52.239-YY
Yêu cầu của điều khoản dành cho hệ thống thông tin liên bang không sử dụng đám mây có phần phức tạp hơn. Giống như FAR 52.239-XX, các cơ quan có trách nhiệm sử dụng FIPS-199 để xác định mức độ ảnh hưởng phù hợp và ghi nhận mức này trong hợp đồng. Ngoài ra, các cơ quan và cán bộ thu mua còn phải giải quyết một loạt vấn đề an ninh cụ thể khác, như xác thực đa yếu tố, quản trị tài khoản, bảng đồng thuận, kiểm soát thiết bị IoT. Cán bộ thu mua cuối cùng phải chọn một tập hợp biện pháp bảo vệ phù hợp dựa trên các tài liệu chuyên ngành của Viện Tiêu chuẩn và Công nghệ Quốc gia (NIST): NIST SP 800-53, NIST SP 800–213, NIST SP 800–161 và NIST SP 800–82.
Bên cạnh các yêu cầu an ninh mới cần đưa vào hợp đồng FIS không sử dụng đám mây, điều khoản này còn áp dụng hai trách nhiệm quan trọng đối với nhà thầu liên bang. Trước hết, họ phải cung cấp cho CISA và các cơ quan chính phủ khác được cán bộ thu mua chỉ định “quyền truy cập đầy đủ, kịp thời” vào dữ liệu và nhân sự của chính phủ/phối hợp để phục vụ kiểm toán, điều tra, thanh tra khi cần đảm bảo an ninh dữ liệu. Tiếp theo, mọi FIS được xếp hạng ảnh hưởng trung bình hoặc cao theo FIPS-199 phải thực hiện hai đánh giá hàng năm: thứ nhất là tự đánh giá nội bộ tập trung vào “lỗ hổng, rủi ro và chỉ báo bị xâm nhập”; thứ hai là đánh giá bảo mật độc lập do bên thứ ba thực hiện đối với hệ thống thông tin. Nhà thầu phải nộp kết quả các đánh giá này—bao gồm các phương án giảm thiểu được khuyến nghị—cho cán bộ thu mua phụ trách.
Nghĩa vụ bồi thường thiệt hại
Mỗi điều khoản FAR 52.239-XX và FAR 52.239-YY đều bao gồm điều khoản buộc nhà thầu liên bang bồi thường cho chính phủ đối với mọi trách nhiệm phát sinh từ việc thực hiện hợp đồng. Đề xuất quy tắc này cho rằng trách nhiệm chủ yếu phát sinh từ hai tình huống: hoặc do nhà thầu đưa thông tin hoặc dữ liệu vào hệ thống dữ liệu chính phủ, hoặc nhà thầu tiết lộ trái phép thông tin hoặc tài liệu nhạy cảm. Đặc biệt, đề xuất còn yêu cầu nhà thầu từ bỏ “mọi biện hộ có thể sử dụng cho lợi ích của mình, bao gồm (nhưng không giới hạn) ‘Biện hộ của nhà thầu chính phủ’”. Việc từ bỏ này làm tăng đáng kể trách nhiệm của nhà thầu nếu xảy ra tấn công mạng, rò rỉ dữ liệu hoặc sự cố an ninh khác.
Chuẩn bị cho các yêu cầu an ninh mạng mới
Có vẻ như hai quy tắc an ninh mạng này chưa có ngày có hiệu lực trong tương lai gần. Sau giai đoạn lấy ý kiến công khai—đã được gia hạn đến ngày 02/02—các cơ quan thuộc FAR Council và các bên chịu trách nhiệm quản lý FAR cần rà soát, phân tích mọi ý kiến đóng góp. Chỉ sau giai đoạn phân tích này, họ mới quyết định có ban hành quy tắc cuối cùng hay không. Một khi được ban hành, quy tắc cuối cùng sẽ bắt đầu thời gian chờ hiệu lực ít nhất 60 ngày trước khi quy định chính thức có hiệu lực. (Tùy thuộc mức độ quan trọng, thời gian này có thể kéo dài đến 120 ngày hoặc hơn.)
Với quy trình xây dựng quy tắc pháp lý nhiều bước và kéo dài như vậy, các nhà thầu liên bang vẫn có thời gian chuẩn bị, đánh giá Case 2021-017 và 2021-019 cùng hàng loạt nghĩa vụ mới mà các quy tắc này có thể áp đặt. Tuy nhiên, các doanh nghiệp nằm trong phạm vi áp dụng của các quy tắc đề xuất này cần chuẩn bị nghiêm túc cho việc thực thi. Xét đến làn sóng tấn công mạng tàn phá gần đây và lệnh hành pháp năm 2021 của Tổng thống Biden, không có lý do gì để nghi ngờ rằng các quy tắc an ninh mạng mới này—hoặc các quy định tương đương—sẽ trở thành quy định bắt buộc trong thời gian tới.
Với quy trình xây dựng quy tắc pháp lý nhiều bước và kéo dài như vậy, các nhà thầu liên bang vẫn có thời gian chuẩn bị, đánh giá FAR Case 2021-017 và FAR Case 2021-019 cùng hàng loạt nghĩa vụ mới mà các quy tắc này có thể áp đặt.
