Nowe zasady cyberochrony dla kontraktorów

Federalni kontraktorzy na progu dużej zmiany

Firmy współpracujące z administracją federalną w Stanach Zjednoczonych mogą wkrótce stanąć przed nowym zestawem obowiązków dotyczących ochrony controlled unclassified information (CUI), czyli informacji wrażliwych, ale niejawnych. Chodzi m.in. o dane osobowe, takie jak numery Social Security, a także informacje, których wyciek mógłby ujawnić słabe punkty infrastruktury krytycznej.

Projekt przepisów jest częścią szerszej przebudowy zasad zamówień publicznych. Jeśli wejdzie w życie w obecnym kształcie, może istotnie zmienić sposób, w jaki kontraktorzy zabezpieczają dane i zgłaszają incydenty.

72 godziny na zgłoszenie incydentu

Najważniejszy element propozycji dotyczy raportowania naruszeń. Zgodnie z projektem, nieuprawniony dostęp do CUI — również wtedy, gdy wynika z cyberataku — miałby być zgłaszany rządowi federalnemu w ciągu 72 godzin od wykrycia.

To istotna zmiana, bo wcześniejsze wersje przepisów przewidywały jeszcze ostrzejszy termin, wynoszący 8 godzin, i obejmowały także samo podejrzenie incydentu. Ostatecznie czas na zgłoszenie wydłużono, ale branża nadal zwraca uwagę, że dla wielu firm będzie to wymagające operacyjnie.

Równolegle termin 72 godzin ma być spójny z nadchodzącymi zasadami raportowania incydentów dla operatorów infrastruktury krytycznej, przygotowywanymi w ramach CIRCIA.

Jednolite standardy ochrony danych

Drugim filarem projektu są wymagania techniczne. Kontraktorzy, którzy przetwarzają CUI, mieliby spełniać minimalne standardy bezpieczeństwa elektronicznego oparte na wytycznych NIST SP 800-171.

To ważne także dlatego, że nowe reguły obejmą szerszą grupę wykonawców niż dotychczas — nie tylko tych współpracujących z resortem obrony, ale też wielu podmiotów obsługujących agencje cywilne. W praktyce oznacza to konieczność uporządkowania polityk bezpieczeństwa, kontroli dostępu, segmentacji sieci i obsługi incydentów.

Projekt zakłada również, że wymagania będą musiały być przekazywane dalej do podwykonawców. Firmy będą więc musiały wiedzieć, jakie dane CUI trafiają do partnerów z łańcucha dostaw i czy są one odpowiednio chronione.

Problem z identyfikacją CUI

W tle pozostaje jeden z najtrudniejszych problemów: samo ustalenie, co dokładnie jest CUI. W praktyce nie zawsze jest to oczywiste, a materiały przekazywane przez urzędy nie są spójnie oznaczane. To od lat utrudnia firmom stosowanie jednolitych zasad ochrony.

Nowe przepisy mają uporządkować ten chaos. Ich sens sprowadza się do tego, by zamiast wielu różnych standardów obowiązywał jeden zestaw zasad dla całego systemu kontraktów federalnych.

Ryzyko kar i False Claims Act

Eksperci zwracają też uwagę na możliwe konsekwencje prawne. Niewywiązywanie się z wymogów cyberbezpieczeństwa może otworzyć drogę do zastosowania False Claims Act, czyli narzędzia, po które rząd USA sięga coraz częściej wobec wykonawców nieprzestrzegających wymaganych zabezpieczeń.

To ważne, bo nowe zasady mogą objąć firmy, które wcześniej nie były pod takim reżimem, zwłaszcza podmioty współpracujące wyłącznie z agencjami cywilnymi.

Co to oznacza dla kontraktorów

Firmy obsługujące rząd federalny powinny już teraz przygotowywać się na bardziej rygorystyczne wymagania. W praktyce chodzi o:

• ustalenie, gdzie w organizacji występuje CUI,
• sprawdzenie, czy obecne zabezpieczenia spełniają oczekiwania NIST SP 800-171,
• przygotowanie procesu raportowania incydentów w ciągu 72 godzin,
• objęcie nadzorem podwykonawców,
• ocenę ryzyka związanego z potencjalną odpowiedzialnością prawną.

Choć część szczegółów nadal może zostać dopracowana, kierunek zmian wydaje się już jasny: federalne kontrakty będą wiązały się z wyraźnie wyższym poziomem odpowiedzialności za cyberbezpieczeństwo.

CISA chce twardych zasad także dla OT

Równolegle w USA rośnie presja, by podobnie uporządkować ochronę operational technology (OT) w agencjach cywilnych. Koalicja branżowa wezwała CISA do wydania obowiązkowej dyrektywy ustanawiającej minimalne wymagania bezpieczeństwa dla OT w instytucjach federalnych.

Chodzi o systemy działające w ponad 8000 obiektów zarządzanych przez General Services Administration — od laboratoriów i szpitali po przejścia graniczne. W takich miejscach OT steruje m.in. HVAC, zasilaniem, kontrolą dostępu, wodą i automatyką budynkową.

Według koalicji potrzebne są przede wszystkim:

• inwentaryzacja zasobów,
• segmentacja sieci,
• kontrola dostępu zdalnego,
• zarządzanie konfiguracją,
• przygotowanie na incydenty,
• sprawdzona zdolność odtwarzania po awarii.

Dlaczego OT jest szczególnie trudne

Eksperci podkreślają, że samo spisanie urządzeń nie wystarczy. W środowiskach przemysłowych i budynkowych ogromnym problemem są przestarzałe firmware, domyślne hasła i trudności z szybkim łataniem podatności.

Dlatego część specjalistów naciska na podejście oparte na segmentacji i containment, czyli ograniczaniu ruchu atakującego po sieci. W wielu przypadkach nie da się bowiem natychmiast zaktualizować urządzeń bez zakłócania działania całego obiektu.

Koalicja argumentuje, że federalna dyrektywa mogłaby nie tylko poprawić bezpieczeństwo urzędów, ale też wyznaczyć praktyczny punkt odniesienia dla całego rynku i dostawców technologii.

Jeden trend: mniej deklaracji, więcej obowiązków

Zarówno nowe reguły dla CUI, jak i nacisk na obowiązkowe standardy dla OT pokazują ten sam kierunek: amerykańskie instytucje publiczne chcą przejść od ogólnych zaleceń do twardych wymagań z jasno określonymi terminami i odpowiedzialnością.

Dla kontraktorów oznacza to mniej miejsca na interpretację, a więcej pracy nad realnym uporządkowaniem bezpieczeństwa — zanim nowe przepisy staną się faktem.