O que é o NIST SP 800-171 e quem precisa segui-lo?

Este artigo foi publicado originalmente na IndustryWeek. Postagem de blog de convidado por Traci Spencer, gerente do programa de concessão da TechSolve, Inc., o parceiro regional do sudoeste do Ohio MEP, parte da MEP National Network ^TM .

Os fabricantes envolvidos em cadeias de suprimentos vinculadas a contratos governamentais podem antecipar esses prêmios, trazendo receitas adicionais em níveis que poderiam não ser possíveis de outra forma. No entanto, ter sucesso em obter e manter esse trabalho significa cumprir o Regulamento de Aquisição Federal (FAR) e o Suplemento do Regulamento de Aquisição Federal de Defesa (DFARS).

FAR é um conjunto de regulamentos que rege todas as aquisições e procedimentos de contratação associados ao governo dos EUA. DFARS acompanha FAR como um complemento. O Departamento de Defesa (DoD) é o órgão administrativo por trás do DFARS, mas o alcance dos requisitos do DFARS se estende a mais do que essa organização.

NIST SP 800-171 é uma publicação especial do NIST que fornece os requisitos recomendados para proteger a confidencialidade das informações não classificadas controladas (CUI). Os contratados de defesa devem implementar os requisitos recomendados contidos no NIST SP 800-171 para demonstrar seu fornecimento de segurança adequada para proteger as informações de defesa cobertas incluídas em seus contratos de defesa, conforme exigido pela cláusula DFARS 252.204-7012. Se um fabricante faz parte de um DoD, Administração de Serviços Gerais (GSA), NASA ou outras agências federais ou estaduais da cadeia de abastecimento, a implementação dos requisitos de segurança incluídos no NIST SP 800-171 é uma obrigação.

Como você implementa o NIST SP 800-171?

É compreensível que os fabricantes se perguntem o que devem fazer para implementar o NIST SP 800-171 e, por fim, obter conformidade com o DFARS e se há recursos especializados disponíveis para ajudá-los a atingir esse marco sem armadilhas evitáveis. A primeira coisa que eles devem ter em mente é que estar em conformidade com o DFARS provavelmente envolve trabalhar com um consultor de segurança cibernética que conhece os requisitos do NIST SP 800-171 por dentro e por fora.

É aconselhável que os pequenos fabricantes consultem o Centro de Parceria de Extensão de Fabricação (MEP) de seu estado. Parte da MEP National Network ™, uma organização maior que os conecta ao NIST, os representantes em seu MEP Center local terão um conhecimento prático do NIST SP 800-171 e podem ajudar as empresas a se preparar para a conformidade com o DFARS. Pode ser um processo curto ou longo, dependendo das complexidades do ambiente operacional e dos sistemas de informação de uma empresa, mas implementar o NIST SP 800-171 é um processo necessário para uma empresa proteger suas informações.

O que um plano de sucesso envolve?

Os fabricantes que desejam manter seus contratos com DoD, GSA, NASA e outras agências federais e estaduais precisam ter um plano que atenda aos requisitos do NIST SP 800-171. A cláusula de segurança cibernética do DFARS 252.204-7012 entrou em vigor em 31 de dezembro de 2017 e trata do processamento, armazenamento ou transmissão de CUI que existe em sistemas não federais - como aqueles usados ​​por um contratante do governo.

Um dos primeiros passos que os fabricantes devem tomar é identificar onde existem lacunas que os impedem de estar em conformidade com o DFARS. A partir desse ponto, eles podem determinar como proceder.

Como os fabricantes devem começar a trabalhar para a conformidade?

A Rede Nacional MEP oferece recursos dedicados para fabricantes que precisam de informações sobre a postura de segurança cibernética de uma empresa que pode ajudar as empresas a entender o que a conformidade com DFARS realmente significa para elas. As empresas podem ver se a conformidade com DFARS se aplica a eles e visualizar infográficos que recomendam medidas a serem tomadas para tornar o chão de sua fábrica mais seguro.

A Rede Nacional MEP também fornece um recurso particular que os fabricantes, sem dúvida, irão consultar continuamente:o Manual de Autoavaliação do NIST (Manual do NIST 162). Ele se estende por mais de 150 páginas e ajuda os leitores a avaliar suas instalações para concluir o quão perto estão de implementar o NIST SP 800-171 para ajudá-los a entender o quão perto estão de cumprir o DFARS. Também ajuda a determinar onde concentrar os esforços ao fazer melhorias para maximizar o impacto de cada dólar gasto na segurança cibernética.

Por exemplo, o documento apresenta conteúdo que informa como proceder para realizar uma avaliação e com quais funcionários aplicáveis ​​falar sobre os requisitos de segurança. Os fabricantes que lerem o manual perceberão que cada pergunta da avaliação tem uma opção de "abordagem alternativa". Refere-se ao fato de que os fabricantes podem encontrar alguns requisitos no NIST SP 800-171 que não se aplicam a eles.

Nesse caso, é aceitável usar um método diferente, mas igualmente eficaz, de manter a segurança - desde que os respectivos fabricantes notifiquem as autoridades governamentais corretas sobre as alterações e obtenham a aprovação para elas.

Os representantes da fábrica também podem aumentar sua compreensão dos requisitos de conformidade assistindo a um webinar que aborda alguns dos elementos cruciais do manual.

A complexidade não deve ser uma barreira

Os fabricantes podem inicialmente considerar os requisitos de segurança cibernética para contratos governamentais muito complicados, especialmente se tiverem operações pequenas.

No entanto, o uso dos recursos disponíveis - incluindo Centros MEP locais - permite que os fabricantes percebam que é possível entrar em conformidade com DFARS, bem como ficar em conformidade, implementando os requisitos do NIST SP 800-171 e abrir possibilidades de recebimento financeiramente compensador e contratos governamentais que aumentam a reputação.

Um MEP Center local é um recurso ideal para os fabricantes usarem à medida que começam a concluir um plano que detalha como implementar os requisitos de segurança cibernética do NIST SP 800-171.

Cada MEP Center tem acesso a recursos dos setores público e privado que podem ajudar as empresas a entrar em conformidade com mais confiança. Existem locais em todos os 50 estados e em Porto Rico.