:quality(85))
Tháng 10 vừa qua, Hội đồng Quy định Mua sắm Liên bang (FAR Council), cơ quan liên ngành chịu trách nhiệm xây dựng chính sách thu mua trên toàn bộ chính phủ liên bang Hoa Kỳ, đã đề xuất hai quy tắc mới. Nếu được thông qua và có hiệu lực, các quy tắc này có thể tác động đáng kể đến cách các nhà thầu liên bang báo cáo và phản ứng trước các cuộc tấn công mạng và các sự cố an ninh mạng khác.
Quy tắc đầu tiên được đề xuất, Cyber Threat and Incident Reporting and Information Sharing—bao gồm các điều khoản FAR 52.239-ZZ và FAR 52.239-AA—được ban hành theo FAR Case 2021–017. Quy tắc thứ hai, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems—bao gồm FAR 52.239-XX và FAR 52.239-YY—được ban hành theo FAR Case 2021-019.
Việc ban hành các đề xuất này vào ngày 03/10 đã bắt đầu giai đoạn tiếp nhận ý kiến kéo dài 60 ngày, dự kiến kết thúc vào ngày 04/12/2023. Đến ngày 01/11, FAR Council đã gia hạn thời gian lấy ý kiến cho các quy tắc này đến ngày 02/02/2024. Kể từ đó, chưa có cập nhật chính thức nào từ FAR Council hay bất kỳ cơ quan nào cùng quản lý Federal Acquisition Regulation (Quy định Mua sắm Liên bang) về việc hoàn thiện hay xác định ngày có hiệu lực của các quy tắc này.
Tuy nhiên, do phạm vi của các quy tắc này và mức độ trách nhiệm lớn mà chúng sẽ đặt ra cho các nhà thầu liên bang, doanh nghiệp cần nắm rõ chi tiết nội dung của FAR Cases 2021-017 và 2021-019.
Do phạm vi của các quy tắc này và mức độ trách nhiệm lớn mà chúng sẽ đặt ra cho các nhà thầu liên bang, doanh nghiệp cần nắm rõ chi tiết nội dung của FAR Cases 2021-017 và 2021-019.
Lệnh hành pháp về an ninh mạng của Tổng thống Biden
Tháng 5/2021, Tổng thống Biden đã ký Lệnh hành pháp 14028, có tiêu đề rõ ràng là “Nâng cao an ninh mạng quốc gia”. Mục tiêu được nêu ra trong lệnh này là tăng cường các biện pháp bảo mật mạng nhằm bảo vệ chính phủ liên bang trước các “chiến dịch tấn công mạng ác ý liên tục và ngày càng tinh vi”, theo Nhà Trắng. Chỉ đạo của Tổng thống được ban hành sau hai vụ tấn công mạng lớn và hiếm có tiền lệ—vụ tấn công SolarWinds năm 2020 và vụ rò rỉ dữ liệu Microsoft Exchange đầu năm 2021. Các hành vi gián điệp mạng này, do các nhóm hacker liên quan đến các đối thủ lớn của Mỹ thực hiện, được xem là dấu hiệu cho một kỷ nguyên mới của chiến tranh mạng. Sau các sự cố này, chính phủ Hoa Kỳ nhận thấy nhu cầu cấp thiết phải xây dựng một kế hoạch tổng thể, thống nhất để gia cố hệ thống dữ liệu của mình.
Chỉ đạo của Tổng thống được ban hành sau hai vụ tấn công mạng lớn và hiếm có tiền lệ—vụ tấn công SolarWinds năm 2020 và vụ rò rỉ dữ liệu Microsoft Exchange đầu năm 2021.
Lệnh hành pháp của Tổng thống Biden giao cho chính phủ liên bang khai thác “toàn bộ phạm vi thẩm quyền và nguồn lực để bảo vệ và bảo đảm hệ thống máy tính của mình, bất kể đó là hệ thống dựa trên đám mây, tại chỗ hay kết hợp.” Lệnh này đặc biệt yêu cầu xây dựng các quy trình xử lý sự cố mạng mới giữa chính phủ và các nhà thầu liên bang, hiện đại hóa cơ sở hạ tầng an ninh mạng thông qua dịch vụ đám mây an toàn và kiến trúc zero trust, đồng thời chuẩn hóa quy trình phản ứng với các mối đe dọa an ninh mạng trên toàn bộ các cơ quan liên bang, cùng nhiều quy định khác.
Các quy tắc mới do FAR Council đề xuất tháng 10 vừa qua thể hiện nỗ lực tiếp theo trong quá trình triển khai lệnh hành pháp năm 2021. Bằng cách tăng cường và mở rộng các yêu cầu báo cáo của nhà thầu liên bang sau các sự cố mạng, FAR Council kỳ vọng tạo điều kiện để chính phủ phản ứng linh hoạt và chủ động hơn trước các cuộc tấn công mạng cũng như các mối đe dọa khác đối với an ninh quốc gia.
Bằng cách tăng cường và mở rộng các yêu cầu báo cáo của nhà thầu liên bang sau các sự cố mạng, FAR Council kỳ vọng tạo điều kiện để chính phủ phản ứng linh hoạt và chủ động hơn trước các cuộc tấn công mạng cũng như các mối đe dọa khác đối với an ninh quốc gia.
FAR Case 2021-017: Phạm vi và các yêu cầu an ninh mạng
Quy tắc đầu tiên được đề xuất gồm hai điều khoản: FAR 52.239-ZZ và FAR 52.239-AA. Cả hai sẽ đưa ra các trách nhiệm mới cho nhà thầu liên bang, hoặc nhằm ứng phó trực tiếp khi xảy ra sự cố mạng, hoặc dưới hình thức các biện pháp phòng ngừa trong trường hợp xảy ra sự cố.
FAR 52.239-ZZ
Ngôn ngữ chính thức của FAR 52.239-ZZ là “Yêu cầu về báo cáo và ứng phó sự cố, đe dọa đối với sản phẩm hoặc dịch vụ có hàm chứa công nghệ thông tin và truyền thông”. FAR 52.239-ZZ nhằm cập nhật, nâng cao các nghĩa vụ hợp đồng của nhà thầu liên bang sau các sự cố an ninh. Quy tắc này đề xuất các yêu cầu mới về ứng phó sự cố an ninh một cách kịp thời, toàn diện; phối hợp với các cơ quan chính phủ điều tra sự cố; đồng thời lưu trữ đầy đủ các tệp, hồ sơ và tài liệu có thể hỗ trợ cho quá trình ứng phó sự cố.
Theo đề xuất, “sự cố an ninh” không chỉ bao gồm tấn công mạng và các sự cố an ninh mạng khác. FAR Council cũng sử dụng thuật ngữ này để chỉ các vi phạm pháp luật, chính sách an ninh hoặc quy trình bảo mật nói chung, cũng như việc chuyển giao thông tin mật hoặc thông tin không mật được kiểm soát (CUI) sang bất kỳ hệ thống thông tin nào không đáp ứng cấp độ bảo mật được chính phủ phê duyệt.
- Thời gian báo cáo sự cố
FAR 52.239-ZZ cập nhật khung thời gian nhà thầu phải báo cáo sự cố an ninh cho chính phủ. Theo quy tắc mới, nhà thầu có trách nhiệm báo cáo sự cố này cùng mọi thông tin liên quan thông qua cổng báo cáo sự cố của Cơ quan An ninh mạng và An ninh Hạ tầng (CISA) trong vòng tám giờ kể từ thời điểm phát hiện ban đầu. Ngoài ra, báo cáo này phải được cập nhật mỗi 72 giờ cho đến khi tất cả cơ quan liên quan của chính phủ hoàn tất điều tra.
Báo cáo kịp thời như vậy giúp các cơ quan nhà nước can thiệp nhanh và hiệu quả nhất có thể. Như quy tắc đề xuất diễn giải, báo cáo nhanh và cập nhật liên tục hỗ trợ quá trình “phân tích dữ liệu nhanh chóng để nhận diện kịp thời hoạt động và hành động của các đối tượng xấu, mối đe dọa và chỉ dấu xâm nhập”.
- Các hành động hỗ trợ ứng phó sự cố của cơ quan nhà nước
Bên cạnh việc báo cáo sự cố qua cổng thông tin của CISA trong khung thời gian chỉ định, nhà thầu còn phải tham gia nhiều hoạt động khác để hỗ trợ ứng phó sự cố cho chính phủ. Thứ nhất, các bên liên quan phải cung cấp đầy đủ quyền truy cập cho CISA, FBI và/hoặc cơ quan ký hợp đồng vào mọi thông tin, hệ thống thông tin và nhân sự liên quan ngay sau khi xảy ra sự cố an ninh.
Nhà thầu liên bang cũng chịu trách nhiệm lưu giữ mọi dữ liệu liên quan đến sự cố đã báo cáo, bao gồm dữ liệu lưu lượng mạng, nhật ký bảo vệ ngoài biên, dữ liệu telemetry và các thông tin liên quan khác, lưu trữ chủ động trong 12 tháng, sau đó thêm sáu tháng dưới dạng chủ động hoặc lưu trữ lạnh.
Cuối cùng, quy tắc FAR mới này sẽ yêu cầu nhà thầu đăng ký chương trình Automated Indicator Sharing (AIS) của CISA để phục vụ việc truyền đạt chỉ dấu mối đe dọa mạng cũng như biện pháp phòng vệ được khuyến nghị. (Nhà thầu có trách nhiệm sử dụng nền tảng AIS bất kể có xảy ra sự cố an ninh hay không.)
- Định mức nguyên vật liệu phần mềm (SBOM)
Bên cạnh các yêu cầu báo cáo và ứng phó, FAR 52.239-ZZ còn bổ sung nghĩa vụ mới cho nhà thầu liên bang về việc duy trì định mức nguyên vật liệu phần mềm (SBOM) cho mọi phần mềm sử dụng trong quá trình thực hiện hợp đồng liên bang. Chính phủ định nghĩa SBOM là “tài liệu chính thức chứa các thông tin chi tiết về mối quan hệ chuỗi cung ứng của các thành phần phần mềm được dùng để phát triển phần mềm”. Theo Bộ Thương mại Hoa Kỳ, dữ liệu SBOM “cải thiện khả năng nhận diện lỗ hổng bảo mật và tăng tốc độ phản ứng”, và “việc sử dụng SBOM để xác định, phân tích các lỗ hổng đã biết và giải pháp tiềm năng là then chốt trong quản lý rủi ro.”
Đáng chú ý, nhà thầu phải duy trì SBOM trong mọi tình huống, kể cả khi không có sự cố an ninh mạng được biết đến. Ngoài ra, họ còn phải cập nhật SBOM nếu phần mềm máy tính được sử dụng có sự thay đổi trong suốt quá trình thực hiện hợp đồng. Danh sách đầy đủ hơn về các yêu cầu liên quan đến SBOM và quản lý SBOM trong quá trình thực hiện hợp đồng liên bang có thể được tham khảo thông qua tài liệu Minimum Elements for a Software Bill of Materials của Bộ Thương mại.
FAR 52.239-AA
Điều khoản thứ hai trong Case 2021-017, FAR 52.239-AA, có phạm vi chi tiết và cụ thể hơn nhiều. Với tiêu đề “Đại diện về báo cáo sự cố an ninh”, điều khoản này yêu cầu mọi nhà thầu dự định chào giá cho chính phủ liên bang xác nhận rằng họ đã tuân thủ các quy định của FAR 52.239-ZZ trước đây. Điều này bao gồm cam kết rằng họ đã gửi đầy đủ các báo cáo sự cố an ninh bắt buộc trong các hợp đồng trước kia và hiện tại, đảm bảo chính xác, cập nhật và đầy đủ.
Quy tắc này còn yêu cầu các đơn vị chào thầu xác nhận rằng họ đã truyền đạt quy tắc này vào các hợp đồng trước đó bằng việc buộc nhà thầu phụ cấp dưới đưa nội dung quy định vào hợp đồng phụ.
FAR Case 2021-019: Phạm vi và các yêu cầu an ninh mạng
FAR Council đã ban hành quy tắc đề xuất thứ hai, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems, theo Case 2021-019. Mục tiêu trực tiếp của quy tắc này là chuẩn hóa các yêu cầu an ninh mạng trên toàn bộ các cơ quan liên bang, đặc biệt tập trung vào các hệ thống thông tin liên bang chưa được phân loại (FIS). Case 2021-019 được chia làm hai điều khoản phân định rõ ràng. Điều khoản đầu tiên là FAR 52.239-XX, “Federal Information Systems Using Cloud Computing Services,” áp dụng cho các FIS sử dụng nền tảng đám mây. Điều khoản thứ hai là FAR-52.239-YY, “Federal Information Systems Using Non-Cloud Computing Services,” áp dụng cho tất cả các FIS không sử dụng hệ thống điện toán đám mây.
Chính phủ liên bang định nghĩa hệ thống thông tin liên bang là “hệ thống thông tin do một cơ quan, nhà thầu hoặc tổ chức khác vận hành thay mặt cơ quan.”
FAR 52.239-XX
Điều khoản này yêu cầu các cơ quan xác định mức độ tác động của hệ thống thông tin dựa trên nền tảng điện toán đám mây của nhà thầu theo Tiêu chuẩn Công bố Xử lý Thông tin Liên bang 199 (FIPS-199) và mức ủy quyền tương ứng của Chương trình Quản lý Rủi ro và Ủy quyền Liên bang (FedRAMP). Theo quy tắc đề xuất, các cơ quan sẽ cần đưa ra mức độ FIPS-199 dựa trên “phân tích tác động của thông tin được xử lý, lưu trữ hoặc truyền qua hệ thống”. Sau khi các mức độ này được xác lập, nhà thầu liên bang sẽ bắt buộc triển khai và duy trì các biện pháp bảo mật và quyền riêng tư phù hợp với cấp ủy quyền FedRAMP của mình.
Bên cạnh các biện pháp bảo vệ này, FAR 52.239-XX cũng yêu cầu nhà thầu tham gia hoạt động giám sát liên tục và cung cấp các báo cáo giám sát theo quy định tại “FedRAMP Continuous Monitoring Strategy Guide.” Cuối cùng, nhà thầu phải tuân thủ mọi yêu cầu hợp đồng cụ thể liên quan đến cung cấp và xử lý dữ liệu của chính phủ và dữ liệu liên quan tới chính phủ.
FAR 52.239-YY
Các yêu cầu được quy định đối với hệ thống thông tin liên bang không dựa trên nền tảng điện toán đám mây phức tạp hơn. Tương tự FAR 52.239-XX, các cơ quan sẽ phải sử dụng FIPS-199 để xác định mức độ tác động phù hợp và ghi rõ trong hợp đồng. Ngoài ra, các cơ quan và cán bộ ký hợp đồng còn phải xử lý nhiều vấn đề bảo mật chuyên biệt khác như xác thực đa nhân tố, tài khoản quản trị, biểu ngữ đồng ý và kiểm soát thiết bị Internet of Things. Các cán bộ còn phải lựa chọn bộ biện pháp bảo vệ an ninh và quyền riêng tư thích hợp dựa trên loạt tài liệu chuyên đề do Viện Tiêu chuẩn và Công nghệ Quốc gia (NIST) ban hành, bao gồm NIST SP 800-53, NIST SP 800–213, NIST SP 800–161 và NIST SP 800–82.
Bên cạnh các yêu cầu bảo mật mới mà cơ quan phải đưa vào hợp đồng cho các FIS không sử dụng điện toán đám mây, điều khoản này cũng đặt ra hai trách nhiệm mới quan trọng cho nhà thầu liên bang. Thứ nhất, họ phải cung cấp cho CISA và các cơ quan chính phủ khác theo quy định của cán bộ ký hợp đồng “quyền truy cập đầy đủ và kịp thời” vào dữ liệu chính phủ, dữ liệu liên quan đến chính phủ và nhân sự phục vụ mục đích kiểm tra, điều tra, giám sát khi cần thiết nhằm đảm bảo an ninh dữ liệu. Thứ hai, bất kỳ FIS nào được đánh giá ở mức tác động trung bình hoặc cao theo FIPS-199 đều phải thực hiện hai cuộc đánh giá hàng năm. Thứ nhất là đánh giá nội bộ nhằm nhận diện “lỗ hổng, rủi ro và chỉ dấu bị xâm nhập”, và thứ hai phải là đánh giá độc lập về khả năng bảo mật hệ thống thông tin. Nhà thầu có trách nhiệm gửi kết quả đánh giá này—bao gồm cả đề xuất khắc phục—cho cán bộ ký hợp đồng của mình.
Nghĩa vụ bồi thường
Mỗi điều khoản này—FAR 52.239-XX và FAR 52.239-YY—đều bao gồm quy định yêu cầu nhà thầu liên bang phải bồi thường cho chính phủ với mọi trách nhiệm pháp lý phát sinh trong quá trình thực hiện hợp đồng. Đề xuất quy tắc cho rằng các rủi ro trách nhiệm này chủ yếu phát sinh từ hai trường hợp: hoặc từ việc nhà thầu đưa thông tin, dữ liệu vào hệ thống dữ liệu của chính phủ, hoặc từ việc nhà thầu tiết lộ trái phép thông tin nhạy cảm, vật liệu nhạy cảm. Đặc biệt, đề xuất cũng yêu cầu nhà thầu từ bỏ “mọi quyền biện hộ có thể được áp dụng vì lợi ích của họ, bao gồm (nhưng không giới hạn) biện hộ 'Government Contractors Defense'.” Nghĩa vụ từ bỏ này đặt ra trách nhiệm pháp lý quan trọng cho nhà thầu nếu xảy ra tấn công mạng, rò rỉ dữ liệu hoặc sự cố bảo mật khác.
Chuẩn bị cho các yêu cầu an ninh mạng mới
Hiện chưa có dấu hiệu nào cho thấy các quy tắc an ninh mạng này sẽ có hiệu lực trong tương lai gần. Sau thời gian lấy ý kiến cộng đồng—đã được kéo dài tới ngày 02/02—các cơ quan thuộc FAR Council và đơn vị quản lý FAR sẽ phải rà soát, phân tích góp ý. Chỉ sau giai đoạn này, họ mới quyết định có công bố quy tắc cuối cùng hay không. Nếu được ban hành, quy tắc mới sẽ có lịch trình tối thiểu 60 ngày trước khi chính thức có hiệu lực. (Tùy theo độ quan trọng của quy tắc, lịch trình này có thể kéo dài tới 120 ngày hoặc hơn.)
Với quy trình soạn thảo quy phạm pháp luật nhiều bước và kéo dài, các nhà thầu liên bang vẫn còn thời gian để đánh giá chi tiết Cases 2021-017 và 2021-019 cùng loạt nghĩa vụ mới mà các quy tắc này có thể đặt ra về mặt lý thuyết. Tuy nhiên, doanh nghiệp nằm trong phạm vi điều chỉnh của các quy định đề xuất này cần hết sức nghiêm túc xem xét khả năng triển khai các quy tắc này. Trước tình trạng gia tăng các cuộc tấn công mạng nghiêm trọng gần đây cùng lệnh hành pháp năm 2021 của Tổng thống Biden, không có lý do gì để nghi ngờ rằng các quy định an ninh mạng mới—hoặc các quy định tương tự—sớm muộn sẽ trở thành luật quản lý bắt buộc.
Với quy trình soạn thảo quy phạm pháp luật nhiều bước và kéo dài, các nhà thầu liên bang vẫn còn thời gian để đánh giá FAR Case 2021-017 và FAR Case 2021-019 cùng loạt nghĩa vụ mới mà các quy tắc này có thể đặt ra về mặt lý thuyết.
