Como se explica más adelante, estas reglas son importantes porque imponen obligaciones extensas y onerosas a los contratistas y sus cadenas de suministro. Además, ambas reglas propuestas incluyen una declaración de que el cumplimiento de sus respectivos requisitos es “elegibilidad y material de pago bajo contratos gubernamentales.” Este lenguaje sugiere fuertemente que el gobierno adoptará la posición de que el incumplimiento de estos requisitos puede resultar en responsabilidad bajo la Ley de Reclamaciones Falsas.
Caso FAR 2021-017, Notificación de incidentes y amenazas cibernéticas e intercambio de información
El Caso FAR 2021-2017 proporciona una nueva cláusula FAR, FAR 52.239–ZZ, “Requisitos de respuesta a incidentes y amenazas y informes de incidentes para productos o servicios que incorporan tecnología de la información y las comunicaciones”, que impondrá las siguientes obligaciones importantes a los contratistas y subcontratistas, entre otras. :
Armonización de la notificación de incidentes de seguridad. Según la nueva regla, los contratistas deberán investigar inmediata y exhaustivamente «cualquier indicador de que pueda haber ocurrido un incidente de seguridad» y, dentro de las ocho horas posteriores a la apertura, informe el incidente utilizando el portal de notificación de incidentes de la Agencia de Seguridad de Infraestructura y Seguridad Cibernética (CISA). Los contratistas también están obligados actualizar el envío cada 72 horas a partir de entonces «hasta que el contratista, la agencia y/o cualquier agencia de investigación haya completado todas las actividades de limpieza o recuperación». Cabe señalar que estos requisitos se suman a otros requisitos existentes de notificación de incidentes cibernéticos, como el requisito de notificación de incidentes en un plazo de 72 horas. que involucra información controlada no clasificada contenida en DFARS 252.204-7012.
Acceso a información de contratistas y sistemas de información. Después de un incidente de seguridad, los contratistas deberán tomar ciertas medidas para respaldar la respuesta al incidente. Por ejemplo, los contratistas deberán proporcionar a CISA, la Oficina Federal de Investigaciones (FBI), el Departamento de Justicia (DOJ) y la agencia adjudicadora acceso completo a la información y los sistemas de información aplicables del contratista, así como al personal del contratista. También se requerirá que los contratistas recopilen y almacenen datos e información relacionados con el incidente durante al menos 12 meses en almacenamiento activo, seguidos de seis meses en almacenamiento activo o en frío.
Lista de materiales de software (SBOM). Para cada software informático utilizado en la ejecución de un contrato, los contratistas deberán desarrollar y mantener un SBOM, que se define como «un registro formal que contiene los detalles y las relaciones de la cadena de suministro de varios componentes utilizados en la construcción del software». Los contratistas deberán actualizar el SBOM si el software de la computadora se actualiza durante la ejecución del contrato. Este requisito se aplica independientemente de si ocurre un incidente de seguridad.
Se requerirá FAR 52.239–ZZ en todos los contratos, incluidos aquellos para artículos comerciales y aquellos por debajo del umbral de adquisición simplificada. Los contratistas también deberán aplicar esta cláusula a todos los subcontratistas a lo largo de la cadena de suministro, que incluye tecnologías de la información y la comunicación (TIC). Las TIC se definen en términos generales como tecnología de la información y otros equipos, sistemas, tecnologías o procesos cuya función principal es la creación, manipulación, almacenamiento, visualización, recepción o transmisión de datos e información electrónicos y cualquier contenido relacionado.
FAR 2021-019, Estandarización de requisitos de ciberseguridad para sistemas de información federales no clasificados
La segunda regla propuesta tiene como objetivo estandarizar las políticas, procedimientos y requisitos contractuales de ciberseguridad para los contratistas que desarrollan, implementan, administran o mantienen un Sistema de Información Federal (FIS) no clasificado. Un FIS se define como un sistema de información utilizado o administrado por una agencia, un contratista de la agencia u otra organización en nombre de una agencia.
Esta regla propuesta crea dos nuevas cláusulas FAR: una que se aplica a FIS que no están en la nube, FAR 52.239-YY, Sistemas de información federales que utilizan servicios no en la nube, y otra que se aplica a FIS basados en la nube, FAR 52.239 -XX, Sistemas de información federales. Utilizando los servicios de Cloud Computing, que se resumen a continuación:
LEJOS 52.239-AA, Sistemas de información federales que utilizan servicios distintos de la computación en la nube
- Las agencias: (1) utilizarán la Publicación 199 del Estándar Federal de Procesamiento de Información (FIPS) para categorizar FIS en función de su análisis del impacto de la información procesada, almacenada o transmitida por el sistema; (2) establecer los controles de seguridad y privacidad necesarios para el FIS en el contrato; y (3) abordar la autenticación multifactor, las cuentas administrativas, los carteles de consentimiento, los controles de dispositivos de IoT y los requisitos de evaluación.
- Los contratistas deberán proporcionar a CISA (para agencias civiles) y otras agencias federales designadas acceso completo y oportuno a datos gubernamentales y relacionados con el gobierno, acceso oportuno al personal del contratista involucrado en la ejecución del contrato y específicamente para fines de auditoría, investigación, inspección u otra actividad similar, acceso físico a cualquier instalación de contratista de datos del gobierno, incluidos los metadatos asociados.
- Contratistas: (1) realizar al menos un análisis de amenazas cibernéticas y una evaluación de vulnerabilidades anuales para buscar vulnerabilidades, riesgos e indicadores de compromiso; y (2) realizar una evaluación de seguridad independiente anual de cada FIS. Al finalizar, los contratistas presentarán los resultados de la evaluación, incluidas las mejoras recomendadas o la mitigación de riesgos, al Oficial de Contrataciones.
- Los contratistas deben: (1) desarrollar, revisar y actualizar, según corresponda, un plan de seguridad del sistema para respaldar la autorización de todos los FIS aplicables; y (2) tiene planes de contingencia para todos los sistemas de tecnología de la información de acuerdo con NIST SP 800–34, Guía de planificación de contingencias para sistemas de información federales.
LEJOS 52.239-XX, Sistemas de información federales que utilizan servicios de computación en la nube.
- Las agencias identificarán el nivel de impacto de la publicación FIPS 199 y el nivel de autorización del Programa Federal de Autorización y Gestión de Riesgos (FedRAMP) para todos los servicios en la nube aplicables.
- Los contratistas implementan y mantienen salvaguardas y controles de seguridad y privacidad consistentes con el nivel FedRAMP especificado por la agencia.
- Los contratistas deben participar en actividades de monitoreo continuo y proporcionar resultados de monitoreo continuo según lo requieran las capacidades aprobadas por FedRAMP.
- Los contratistas proporcionarán y eliminarán los datos gubernamentales y los datos relacionados con el gobierno en la forma y formato especificados en el contrato.
Además de los requisitos anteriores, ambas cláusulas del FAR requerirán que los contratistas indemnizar al gobierno contra «cualquier responsabilidad que surja de la ejecución del contrato y de la introducción por parte del contratista de cierta información o material en datos gubernamentales o de la divulgación no autorizada de cierta información o material por parte del contratista». La regla también establece que los contratistas deben aceptar «renunciar a cualquier defensa que pueda ser esgrimida a su favor, incluyendo (sin limitación) la «Defensa del Contratista del Gobierno»». Esta disposición de indemnización puede exponer a los contratistas a un riesgo significativo en caso de una violación de seguridad de datos u otro incidente.
Ambas cláusulas FAR se aplicarán a todos los contratos y subcontratos de dichos servicios, incluidos los contratos por debajo del umbral de adquisición simplificada y los contratos o pedidos de productos o servicios comerciales (incluidos los artículos comerciales terminados).
Se alienta a los contratistas a revisar estas reglas propuestas, evaluar su impacto y comenzar los preparativos para desarrollar nuevas políticas y procedimientos para cumplir con los nuevos requisitos. Los comentarios sobre estas reglas deben enviarse antes del 2 de febrero de 2024.
