Suplemento do Regulamento de Aquisição Federal de Defesa (DFARS)

Visão geral do DFARS

Em 21 de outubro de 2016, o DoD (Departamento de Defesa) emitiu sua regra final alterando o Suplemento do Regulamento de Aquisição Federal de Defesa (DFARS) e impondo obrigações de proteção e relatórios de incidentes cibernéticos a empreiteiros de defesa cujos sistemas de informação processam, armazenam ou transmitem informações de defesa cobertas (CDI).

A cláusula final do DFARS 252.204-7012 (Proteção de Informações de Defesa Cobertas e Relatório de Incidentes Cibernéticos) especifica proteções para incluir requisitos de relatórios de incidentes cibernéticos e outras considerações para provedores de serviços em nuvem. De acordo com o DFARS 252.204-7012, todos os contratados do DoD e a base industrial de defesa foram obrigados a cumprir os requisitos do DFARS para segurança adequada 'assim que possível, mas o mais tardar em 31 de dezembro de 2017'.

Microsoft e DFARS

Os serviços de nuvem do Microsoft Government ajudam os clientes de base industrial de defesa e empreiteiros de defesa dos Estados Unidos a atender aos requisitos do DFARS, conforme enumerado nas cláusulas DFARS de 252.204-7012 que se aplicam a provedores de serviços de nuvem. Quando os empreiteiros de defesa são obrigados a cumprir as cláusulas 252.204-7012 do DFARS em contratos, a Microsoft pode dar suporte aos requisitos aplicáveis aos provedores de serviços de nuvem para os serviços de Defesa do Azure Governamental e do Office 365 U.S. Government. Ambos os serviços demonstram suporte para os recursos necessários para que os clientes cumpram as cláusulas DFARS 7012 por meio de seu credenciamento L5 para o Guia de Requisitos de Segurança do Departamento de Defesa.

Plataformas e serviços de nuvem no escopo da Microsoft

Serviços cobertos para o Nível de Impacto 5 do DoD

• Azure e Azure Governamental
• Defesa do Governo dos EUA do Office 365 e do Governo dos EUA do Office 365

Azure, Microsoft Dynamics 365 e DFARS

Para obter mais informações sobre a conformidade do Azure, do Dynamics 365 e de outros serviços online, consulte a oferta do DFARS do Azure.

Office 365 e DFARS

Ambientes do Office 365

O Microsoft Office 365 é uma plataforma em nuvem de hiperescala de vários locatários e uma experiência integrada de aplicativos e serviços disponíveis para clientes em várias regiões no mundo todo. A maioria dos serviços do Office 365 permite que os clientes especifiquem a região onde os dados do cliente estão localizados. A Microsoft pode replicar dados do cliente para outras regiões dentro da mesma área geográfica (por exemplo, os Estados Unidos) para resiliência de dados, mas a Microsoft não replicará dados do cliente fora da área geográfica escolhida.

Essa seção aborda os seguintes ambientes do Office 365:

• Software cliente (Cliente): software cliente comercial em execução em dispositivos do cliente.
• Office 365 (Comercial): o serviço público comercial em nuvem do Office 365 disponível globalmente.
• Nuvem da Comunidade do Office 365 Government (GCC): o serviço em nuvem do Office 365 GCC está disponível para governos federais, estaduais, locais e tribais dos Estados Unidos, assim como prestadores de serviços que armazenam ou processam dados em nome do governo dos EUA.
• Nuvem da Comunidade do Office 365 Government – Alto (GCC High): o serviço em nuvem do Office 365 GCC High foi projetado de acordo com as Diretrizes de Segurança de Nível 4 do Departamento de Defesa (DoD) e suporta informações federais e de defesa rigorosamente regulamentadas. Esse ambiente é usado por agências federais, pela Base Industrial de Defesa (DIBs), e por empreiteiras governamentais.
• Office 365 DoD (DoD): o serviço de nuvem do Office 365 DoD foi projetado de acordo com as Diretrizes de Segurança de Nível 5 das Exigências do DoD e apóia os rígidos regulamentos federais e de defesa. Esse ambiente se destina ao uso exclusivo do Departamento de Defesa dos EUA.

Use esta seção para ajudar a cumprir suas obrigações de conformidade em setores regulamentados e mercados globais. Para descobrir quais serviços estão disponíveis em quais regiões, consulte Informações de disponibilidade internacional e o artigo Onde os dados do seu cliente do Microsoft 365 são armazenados. Para obter mais informações sobre o ambiente de nuvem do Office 365 Government, consulte o artigo Nuvem do Office 365 Government.

Sua organização é totalmente responsável por garantir o cumprimento de todas as leis e regulamentos aplicáveis. As informações fornecidas nesta seção não constituem aconselhamento jurídico e você deve consultar os consultores jurídicos para quaisquer questões relativas à conformidade regulamentar da sua organização.

Aplicabilidade do Office 365 e serviços no escopo

Use a seguinte tabela para determinar a aplicabilidade para seus serviços e assinatura do Office 365:

Auditorias Office 365, relatórios e certificados

• Autorizações de Serviços de Nuvem da Microsoft
• Portal de Confiança do Serviço da Microsoft

Perguntas frequentes

Quais requisitos do DFARS são compatíveis com a Defesa do Governo dos EUA para o Office 365?

A Defesa do Governo dos EUA do Office 365 permite que nossos clientes de base industrial de defesa e empreiteiros de defesa atendam aos requisitos do DFARS descritos nas cláusulas DFARS de 252.204-7012 que se aplicam a provedores de serviços em nuvem.

Um avaliador independente validou que a Defesa do Governo dos EUA do Office 365 dá suporte aos requisitos do DFARS?

Sim, uma organização de avaliação de terceiros atesta que a oferta de serviço em nuvem de Defesa do Governo dos EUA do Office 365 atende aos requisitos aplicáveis da Cláusula DFARS 252.204-7012 (Proteção de Informações Técnicas Não Classificadas e Controladas).

Qual é a relação entre Informações Não Classificadas Controladas (CUI) e informações de defesa cobertas (CDI)?

CUI são informações que requerem controles de proteção ou disseminação de acordo com a lei, regulamentação ou política governamental. O Registro CUI identifica categorias e subcategorias CUI aprovadas.

O CDI é uma informação técnica controlada ou outra informação (conforme descrito no Registro CUI) que requer controles de salvaguarda ou disseminação e é:

• Marcado ou identificado de outra forma no contrato, ordem de tarefa ou ordem de entrega e fornecido ao contratado por ou em nome do DoD em conexão com a execução do contrato.

ou

• Coletado, desenvolvido, recebido, transmitido, usado ou armazenado por ou em nome do contratado em apoio à execução do contrato.

Todos os serviços do Microsoft Office 365 atendem aos requisitos de "segurança adequada" aplicáveis às "informações de defesa cobertas" de acordo com a regulamentação DFARS?

Em outubro de 2016, o Departamento de Defesa (DoD) promulgou uma regra final implementando as cláusulas do Suplemento do Regulamento de Aquisição Federal de Defesa (DFARS) que se aplicam a todos os contratados do DoD que processam, armazenam ou transmitem 'informações de defesa cobertas' por meio de seus sistemas de informação. A regra afirma que tais sistemas devem atender aos requisitos de segurança definidos no NIST SP 800-171, Protegendo Informações Não Classificadas Controladas em sistemas de informação e organizações não federais, ou uma 'medida de segurança alternativa, mas igualmente eficaz' que o oficial de contratação do DoD aprovou. E quando um contratado do DoD usa um provedor de serviços de nuvem externo para processar, armazenar ou transmitir informações de defesa cobertas; esse provedor deve atender aos requisitos de segurança equivalentes à linha de base moderada do FedRAMP.

Os seguintes serviços de nuvem do Microsoft Office 365 têm uma autorização moderada do FedRAMP e são adequados para DFARS: Office 365 U.S. Government e Office 365 U.S. Government Defense.

Além disso, as ofertas da Microsoft fora do limite certificado pelo FedRAMP que os contratados do DoD poderiam usar para processar, armazenar ou transmitir "informações de defesa cobertas" passaram por uma revisão para cumprir o prazo de conformidade de 31 de dezembro de 2017. A Microsoft documentou como esses serviços internos e voltados para o cliente estão em conformidade com o NIST SP 800-171 ou um equivalente de segurança aceitável, para atender às cláusulas relevantes do DFARS.

Use o Gerenciador de Conformidade do Microsoft Purview para avaliar seu risco

O Gerenciador de Conformidade do Microsoft Purview é um recurso no portal do Microsoft Purview para ajudá-lo a entender a postura de conformidade da sua organização e tomar medidas para ajudar a reduzir os riscos. O Gerenciador de Conformidade oferece um modelo premium para criar uma avaliação para essa regulamentação. Encontre o modelo na página modelos de avaliação no Gerenciador de Conformidade. Saiba como criar avaliações no Compliance Manager.

Recursos

• Suplemento do Regulamento de Aquisição Federal de Defesa (DFARS)
• Microsoft Cloud for Government
• Termos dos Serviços Online
• Informações Não Classificadas Controladas (CUI)
• Conformidade na Central de Confiabilidade da Microsoft