Entendendo NIST SP 800‑171: Fundamentos de Conformidade para Contratados do Governo

Este artigo apareceu originalmente na IndustryWeek. Postagem de blog convidada por Traci Spencer, Gerente de Programa de Subsídios da TechSolve, Inc., parceira regional sudoeste da Ohio MEP, parte da Rede Nacional MEP.

Fabricantes envolvidos em cadeias de suprimentos vinculadas a contratos governamentais podem antecipar que esses contratos tragam receita adicional em níveis que talvez não fossem possíveis de outra forma. No entanto, ser bem-sucedido em obter e manter tal trabalho significa cumprir com o Federal Acquisition Regulation (FAR) e o Defense Federal Acquisition Regulation Supplement (DFARS).

FAR é um conjunto de regulamentações que rege todos os procedimentos de aquisição e contratação associados ao governo dos EUA. DFARS acompanha o FAR como um acréscimo. O Department of Defense (DoD) é o corpo administrativo por trás do DFARS, mas o alcance dos requisitos do DFARS se estende a mais que essa organização.

NIST SP 800-171 é uma Publicação Especial do NIST que fornece requisitos recomendados para proteger a confidencialidade de informações controladas não classificadas (CUI). Contratados de defesa devem implementar os requisitos recomendados contidos no NIST SP 800-171 para demonstrar sua provisão de segurança adequada para proteger as informações de defesa cobertas incluídas em seus contratos de defesa, conforme exigido pela cláusula DFARS 252.204-7012. Se um fabricante faz parte de uma cadeia de suprimentos do DoD, General Services Administration (GSA), NASA ou outras agências federais ou estaduais, a implementação dos requisitos de segurança incluídos no NIST SP 800-171 é obrigatória.

Como Implementar o NIST SP 800-171?

É compreensível que fabricantes se perguntem o que devem fazer para implementar o NIST SP 800-171 e, em última análise, entrar em conformidade com o DFARS, e se existem recursos especializados disponíveis para ajudá-los a alcançar esse marco sem armadilhas evitáveis. A primeira coisa que devem ter em mente é que ser compatível com DFARS provavelmente envolve trabalhar com um consultor de cibersegurança que conheça os requisitos do NIST SP 800-171 por dentro e por fora.

É aconselhável que pequenos fabricantes recorram ao Centro de Parceria de Extensão de Manufatura (MEP) do seu estado. Parte da Rede Nacional MEP, uma organização maior que os conecta ao NIST, os representantes do seu Centro MEP local terão conhecimento prático do NIST SP 800-171 e podem ajudar empresas a se prepararem para conformidade com DFARS. Pode ser um processo curto ou longo, dependendo das complexidades do ambiente operacional e sistemas de informação de uma empresa, mas implementar o NIST SP 800-171 é um processo necessário para uma empresa proteger suas informações.

O que um Plano Bem-Sucedido Envolve?

Fabricantes que querem manter seus contratos DoD, GSA, NASA e outras agências federais e estaduais precisam ter um plano que atenda aos requisitos do NIST SP 800-171. A cláusula de cibersegurança DFARS 252,204-7012 entrou em vigor em 31 de dezembro de 2017, e lida com processamento, armazenamento ou transmissão de CUI que existe em sistemas não federais — como os usados por um contratado do governo.

Um dos primeiros passos que fabricantes devem dar é identificar onde existem lacunas que os impedem de estar em conformidade com DFARS. A partir desse ponto, eles podem determinar como proceder.

Como Fabricantes Devem Começar a Trabalhar Rumo à Conformidade?

A Rede Nacional MEP oferece recursos dedicados para fabricantes que precisam de informações sobre a postura de cibersegurança de uma empresa que podem ajudar empresas a entender o que entrar em conformidade com DFARS realmente significa para eles. Empresas podem ver se a conformidade DFARS se aplica a elas e ver infográficos que recomendam passos a tomar para tornar seus chãos de fábrica mais seguros.

A Rede Nacional MEP também fornece um recurso particular que fabricantes sem dúvida consultarão repetidamente: o NIST Self-Assessment Handbook (NIST Handbook 162). Ele abrange mais de 150 páginas e ajuda leitores a avaliar suas instalações para concluir o quão perto estão de implementar o NIST SP 800-171 para ajudá-los a entender o quão perto estão de ser compatíveis com DFARS. Também ajuda a determinar onde focar esforços ao fazer melhorias para maximizar o impacto de cada dólar gasto em cibersegurança.

Por exemplo, o documento apresenta conteúdo que aconselha como realizar uma avaliação e quais funcionários aplicáveis conversar sobre requisitos de segurança. Fabricantes que lerem o manual notarão que cada pergunta de avaliação tem uma opção de "abordagem alternativa". Refere-se ao fato de que fabricantes podem encontrar alguns requisitos no NIST SP 800-171 que não se aplicam a eles.

Nesse caso, é aceitável usar um método diferente, mas igualmente eficaz, de manter a segurança — desde que os respectivos fabricantes notifiquem as autoridades governamentais corretas sobre as mudanças e obtenham aprovação para elas.

Representantes de fábricas manufatureiras também podem aumentar sua compreensão dos requisitos de conformidade assistindo a um webinar que passa por alguns dos elementos cruciais do manual.

Complexidade Não Deve Ser uma Barreira

Fabricantes podem inicialmente ver os requisitos de cibersegurança para contratos governamentais como muito complicados, especialmente se têm operações pequenas.

No entanto, usando os recursos disponíveis — incluindo Centros MEP locais — permite que fabricantes percebam que é possível entrar em conformidade com DFARS, bem como permanecer em conformidade, implementando os requisitos do NIST SP 800-171 e abrindo possibilidades para receber contratos governamentais financeiramente recompensadores e que impulsionam a reputação.

Um Centro MEP local é um recurso ideal para fabricantes usarem enquanto começam a completar um plano que detalha como implementar os requisitos de cibersegurança do NIST SP 800-171.

Cada Centro MEP tem acesso a recursos de setores público e privado que podem ajudar empresas a entrar em conformidade com mais confiança. Localizações existem em todos os 50 estados e Porto Rico.