پیمانکاران، پیمانکاران فرعی (Subcontractors) و مشاوران پیشنهادات اغلب در مورد تعهدات خود جهت محافظت از اطلاعات قرارداد فدرال (Federal Contract Information – FCI) و اطلاعات کنترل‌شده غیرطبقه‌بندی‌شده (Controlled Unclassified Information – CUI) که در جریان درخواست پیشنهادات (RFP) یا از سوی پیمانکاران دیگر دریافت می‌شود، دچار سردرگمی هستند. این موضوع به‌ویژه در مرحله پیش از امضای قرارداد (Solicitation phase) اهمیت حیاتی دارد.
ابهام در اجرای CMMC
اجرای مدل CMMC (Cybersecurity Maturity Model Certification) در قراردادهای وزارت دفاع (DoD) باعث افزایش ابهامات شده است. بسیاری از پیمانکاران اصلی به‌طور نادرست از پیمانکاران فرعی خود می‌خواهند که پیش از امضای قرارداد، انطباق با استانداردهای CMMC را برای مدیریت FCI و CUI اثبات کنند.
بسیاری از پیمانکاران اصلی، الزامات انطباق (Compliance) را فراتر از آنچه دولت واقعاً تعیین کرده است، بر پیمانکاران فرعی تحمیل می‌کنند. این اقدام ممکن است ناشی از درک نادرست قوانین باشد یا تلاشی عمدی برای اجتناب از مسئولیت در قبال عدم انطباق پیمانکار فرعی.
منبع واقعی تعهدات حفاظتی
باید توجه داشت که هیچ قانون یا مقرراتی وجود ندارد که الزامات حفاظتی FCI یا CUI را مستقیماً بر نهادهای بخش خصوصی اعمال کند. برای مثال، مقررات CUI در 32 CFR Part 2002 تنها مستقیماً بر آژانس‌های شاخه اجرایی دولت اعمال می‌شود، نه بر پیمانکاران خصوصی. پیمانکاران تنها زمانی موظف به محافظت از این اطلاعات هستند که از طریق یک توافق‌نامه مشخص با دولت (مانند بندهای موجود در قرارداد یا قراردادهای پیش از قرارداد) این مسئولیت را پذیرفته باشند.
الزامات حفاظتی CUI یکسان نیستند و بسته به نوع توافق‌نامه تغییر می‌کنند. بندهای قراردادی برای محافظت از FCI و CUI در مقررات اکتساب فدرال (FAR) و مکمل‌های آژانس‌های خاص مانند DFARS استانداردسازی شده‌اند، اما برای CUI هنوز یک بند قراردادی واحد و سراسری در سطح دولت وجود ندارد.
تفاوت‌های کلیدی در مرحله پیش از قرارداد
برای درک صحیح وظایف، باید تفاوت‌های زیر را در نظر گرفت:
- اطلاعات FCI: طبق تعریف FAR 52.204-21(a)، اطلاعات FCI شامل اطلاعاتی است که توسط یا برای دولت تحت یک قرارداد ارائه می‌شود. بنابراین، در مرحله مناقصه (Solicitation phase)، چون هنوز قراردادی منعقد نشده است، اطلاعات موجود در آن مرحله نمی‌تواند FCI محسوب شود.
- اطلاعات CUI: اگر پیمانکار یا پیمانکار فرعی توافق‌نامه رسمی پیش از قرارداد (Pre-contract agreement) با دولت داشته باشد، باید طبق مفاد آن توافق‌نامه از CUI محافظت کند. این توافق‌نامه‌ها ممکن است متفاوت باشند و هر یک باید به دقت بررسی شوند.
منابع رایج سردرگمی و اشتباهات پیمانکاران
برخی از اشتباهات متداول در مدیریت این فرآیند عبارتند از:
- اعمال مستقیم مقررات 32 CFR Part 2002: پیمانکاران نباید این مقررات را مستقیماً بر پیمانکاران فرعی اعمال کنند، زیرا این مقررات مربوط به آژانس‌های دولتی است.
- استفاده از بندهای قراردادهای قبلی: انطباق با یک قرارداد قبلی به معنای انطباق خودکار با الزامات توافق‌نامه‌های جدید نیست. هر توافق‌نامه منحصر به خود است.
- اشتباه گرفتن اطلاعات اختصاصی با CUI: اطلاعات تجاری و اختصاصی (Proprietary information) که پیمانکار برای ارائه پیشنهاد تولید می‌کند، لزوماً CUI نیستند. این اطلاعات باید تحت پوشش قراردادهای عدم افشا (NDA) معمولی قرار گیرند، نه الزامات سنگین CMMC.
- تحمیل الزامات CMMC پیش از قرارداد: CMMC صرفاً یک الزام قراردادی است که پس از امضای قرارداد اجرایی می‌شود. دولت صراحتاً اعلام کرده است که هیچ الزامی برای CMMC جهت بررسی مستندات مناقصه (RFP) وجود ندارد.
توصیه‌های نهایی برای سازمان‌ها
سازمان‌هایی که با اطلاعات حساس سروکار دارند باید برای محافظت از خود اقدامات زیر را انجام دهند:
همیشه توافق‌نامه‌های رسمی دولت را بررسی کنید و از پذیرش الزامات ساختگی که توسط پیمانکاران اصلی ایجاد شده است، خودداری کنید. اگر پیمانکاری الزامات غیرمعمولی را تحمیل می‌کند که با قوانین دولت همخوانی ندارد، این یک موضوع قراردادی خصوصی است و لزوماً به معنای عدم انطباق با قوانین فدرال نیست. با این حال، رعایت اصول اولیه امنیتی و استفاده از NDAها برای اطلاعات اختصاصی، بهترین راه برای کاهش ریسک در این مرحله است.
