DFARS è il Defense Federal Acquisition Regulation Supplement, l'insieme di regole sugli appalti che il Dipartimento della Difesa degli Stati Uniti usa per aggiungere requisiti di cybersecurity e altri requisiti contrattuali ai lavori per la difesa. È importante perché molti obblighi di sicurezza non sono best practice facoltative; sono scritti nei contratti e diventano condizioni vincolanti per i fornitori che gestiscono dati sensibili della difesa.
Nella sicurezza informatica, DFARS è il ponte tra policy e implementazione. Può richiedere ai contraenti di proteggere le Controlled Unclassified Information, segnalare determinati incidenti informatici e trasferire i requisiti di sicurezza ai subappaltatori. DFARS si collega anche a framework come NIST SP 800-171 e CMMC, che forniscono le aspettative tecniche usate per dimostrare la conformità. Nelle difese reali, DFARS guida la raccolta delle prove, il controllo degli accessi, la registrazione dei log e la prontezza alla risposta agli incidenti. Negli attacchi reali, alza la posta: una violazione può comportare non solo la perdita dei dati, ma anche esposizione contrattuale, perdita di business e controllo su whether le salvaguardie richieste fossero in atto.