米国防契約を締結する際の必須知識：DFARSの概要

米国防契約を締結する際の必須知識：DFARSの概要

DFARSとは

– DFARSとは米国国防総省との取引において、守るべき規則があります。それが「防衛連邦調達規則補足」、英語ではDFARSと略記されるものです。これは、アメリカの連邦政府機関全体で適用される調達規則であるFAR（連邦調達規則）を、国防に関する事項に特化して補足したものです。国防総省と契約を結ぶあらゆる企業や団体は、このDFARSの規則に従うことが必須となります。DFARSが定める規則の中で、特に重要なもののひとつに、情報の保護に関するものがあります。これは、機密情報として指定されてはいないものの、適切に保護する必要がある情報である「管理対象防衛情報」、英語では「Covered Defense Information」を略してCDIと呼ばれます。CDIを扱う契約には、DFARSの規則が適用され、情報漏えいを防ぐためのセキュリティ対策を適切に実施することが求められます。もしも、DFARSの規則に従わずにセキュリティ対策が不十分な場合、国防総省との契約を失ってしまう可能性もあります。そのため、国防総省と契約を結んでいる、あるいは、結ぶ予定のある企業や団体は、DFARSの内容を十分に理解し、必要なセキュリティ対策を講じることが重要となります。

DFARSと連邦調達規則の関係性

– DFARSと連邦調達規則の関係性米国防総省と取引を行う企業は、連邦政府機関として共通のルールである連邦調達規則に加えて、国防総省独自の規則であるDFARSについても理解を深めておく必要があります。連邦調達規則は、すべての連邦政府機関が調達を行う際に遵守すべき、いわば基本的なルールブックです。この規則は、調達プロセスにおける透明性と公平性を確保し、税金の無駄な支出を防ぐことを目的としています。一方DFARSは、この連邦調達規則を土台としつつ、国防総省の特殊なニーズに合わせてより詳細なルールを定めたものです。国防総省は、国家安全保障という重要な任務を担っており、その調達活動には、高度な技術や機密情報の保護など、他の政府機関とは異なる独自の要件が存在します。DFARSは、こうした国防分野特有の事情を考慮し、武器システム、軍事技術、セキュリティ対策などに関する具体的な調達基準を定めることで、国防総省の任務遂行を支えています。つまり、連邦調達規則が一般的な調達ルールを定めているのに対し、DFARSは国防分野における特殊なニーズに対応するためのより詳細なルールを定めていると言えるでしょう。米国防総省と契約を結ぶ企業は、連邦調達規則を満たすことはもちろん、DFARSの要求事項も満たす必要があり、両方の規則を理解した上で、適切な対応を行うことが重要となります。

DFARSの対象となる情報

– DFARSの対象となる情報

DFARS（国防連邦調達規則補遺）は、アメリカの安全保障に関わる全ての情報を対象としているのではありません。機密性の高い特定の種類の情報のみがDFARSの対象となります。

この対象となる情報は「管理対象防衛情報」、英語ではCovered Defense Information、略してCDIと呼ばれます。CDIは、国家の安全保障に影響を与える可能性のある、非常に重要な技術情報や運用情報などを含みます。

CDIは機密情報と同様に、厳重に保護することが求められます。具体的には、不正なアクセス、使用、開示、または破壊からCDIを守るために、適切なセキュリティ対策を講じなければなりません。

これらのセキュリティ対策は、NIST SP800-171などのセキュリティ基準に基づいて実施する必要があります。NIST SP800-171は、アメリカ国立標準技術研究所（NIST）が発行する、非連邦組織における管理対象情報のセキュリティ対策に関するガイドラインです。

つまり、DFARSの対象となる企業は、契約を履行するにあたって、NIST SP800-171の要件を満たすセキュリティ体制を構築し、CDIを適切に保護する責任を負うことになります。

DFARSの重要性

– DFARSの重要性国防契約を締結するあらゆる企業にとって、DFARSへの準拠は必須事項です。DFARSとは、米国防省が定める連邦政府調達規則の補足であり、防衛産業における情報セキュリティの強化を目的としています。DFARSは、米国防総省との契約において極めて重要な役割を担っています。これは、単なる規則集ではなく、国防総省の機密情報や重要システムを様々な脅威から保護するための枠組みと言えるでしょう。 DFARSを遵守することで、契約企業は米国防総省の機密情報や重要システムを適切に保護し、国防総省の任務遂行と国家安全保障に貢献することができます。具体的には、DFARSはサイバーセキュリティに関する包括的な要件を定めており、アクセス制御、ネットワークセキュリティ、インシデント対応など、多岐にわたる分野を網羅しています。近年、サイバー攻撃の脅威はますます高度化しており、防衛産業もその標的となっています。そのため、DFARSの遵守は、国防総省の機密情報を保護し、国家安全保障を維持するために不可欠です。DFARSへの準拠は、企業にとって大きな責任を伴いますが、同時に、信頼できるビジネスパートナーとしての地位を確立する機会でもあります。 DFARSの要件を満たすセキュリティ体制を構築することで、企業は米国防総省からの信頼を獲得し、長期的なビジネス関係を築くことができるでしょう。

DFARS遵守の責任

– DFARS遵守の責任米国防総省と契約を結ぶすべての企業にとって、DFARS(米国防連邦調達規則補足)の遵守は必須です。これは、契約企業だけが負うものではなく、下請け企業も対象となる可能性があります。契約企業は、DFARSの要求事項を正しく理解し、自社の規模や扱う情報の機密性に応じた適切なセキュリティ対策を実施しなければなりません。DFARSで求められるセキュリティ対策は多岐に渡ります。例えば、情報システムへのアクセス制御、情報の暗号化、セキュリティインシデントへの対応などが挙げられます。これらの対策は、単に技術的な対策を導入するだけでなく、従業員へのセキュリティ教育や定期的なセキュリティ監査の実施など、組織全体で取り組む必要があります。DFARSに違反した場合、契約の解除や罰金といった厳しいペナルティが課される可能性があります。最悪の場合、企業の信用を失墜させ、その後の事業活動に大きな影響を及ぼす可能性も孕んでいます。そのため、DFARS遵守は単なる法令遵守ではなく、企業にとって重要な経営課題として捉えるべきです。経営層自らが率先して取り組み、継続的な改善を図ることが重要です。