Wat is de NIST SP 800-171 en wie moet deze volgen?

Dit artikel verscheen oorspronkelijk op IndustryWeek. Gastblogpost door Traci Spencer, Grant Program Manager voor TechSolve, Inc., de regionale partner in het zuidwesten van de Ohio MEP, onderdeel van het MEP National Network ^TM .

Fabrikanten die betrokken zijn bij toeleveringsketens die zijn gekoppeld aan overheidscontracten, kunnen anticiperen op die toekenningen en extra inkomsten opleveren op niveaus die anders misschien niet mogelijk zouden zijn. Succesvol zijn in het verkrijgen en behouden van dergelijk werk, betekent echter dat u moet voldoen aan de Federal Acquisition Regulation (FAR) en de Defense Federal Acquisition Regulation Supplement (DFARS).

FAR is een reeks voorschriften die van toepassing zijn op alle acquisitie- en contractprocedures die verband houden met de Amerikaanse overheid. DFARS vergezelt FAR als aanvulling. Het ministerie van Defensie (DoD) is het bestuursorgaan achter DFARS, maar het bereik van de DFARS-vereisten strekt zich uit tot meer dan die organisatie.

NIST SP 800-171 is een speciale publicatie van NIST die aanbevolen vereisten bevat voor het beschermen van de vertrouwelijkheid van gecontroleerde niet-geclassificeerde informatie (CUI). Defensiecontractanten moeten de aanbevolen vereisten in NIST SP 800-171 implementeren om aan te tonen dat ze voldoende beveiliging bieden om de gedekte defensie-informatie in hun defensiecontracten te beschermen, zoals vereist door DFARS-clausule 252.204-7012. Als een fabrikant deel uitmaakt van een DoD, General Services Administration (GSA), NASA of de toeleveringsketen van andere federale of staatsinstanties, is de implementatie van de beveiligingsvereisten die zijn opgenomen in NIST SP 800-171 een must.

Hoe implementeer je NIST SP 800-171?

Het is begrijpelijk dat fabrikanten zich afvragen wat ze moeten doen om NIST SP 800-171 te implementeren en uiteindelijk te voldoen aan DFARS, en of er gespecialiseerde middelen beschikbaar zijn om hen te helpen die mijlpaal te bereiken zonder vermijdbare valkuilen. Het eerste dat ze in gedachten moeten houden, is dat om DFARS-compatibel te zijn, waarschijnlijk moet worden samengewerkt met een cyberbeveiligingsadviseur die de NIST SP 800-171-vereisten van binnen en van buiten kent.

Het is raadzaam voor kleine fabrikanten om naar het Manufacturing Extension Partnership (MEP) Center van hun staat te kijken. Als onderdeel van het MEP National Network™, een grotere organisatie die hen verbindt met NIST, zullen de vertegenwoordigers van uw lokale MEP-centrum praktische kennis hebben van NIST SP 800-171 en bedrijven kunnen helpen zich voor te bereiden op DFARS-compliance. Het kan een kort of lang proces zijn, afhankelijk van de complexiteit van de bedrijfsomgeving en informatiesystemen van een bedrijf, maar het implementeren van NIST SP 800-171 is een noodzakelijk proces voor een bedrijf om zijn informatie te beschermen.

Wat houdt een succesvol plan in?

Fabrikanten die hun DoD-, GSA-, NASA- en andere federale en staatsagentschapscontracten willen behouden, moeten een plan hebben dat voldoet aan de vereisten van NIST SP 800-171. DFARS-cyberbeveiligingsclausule 252.204-7012 is op 31 december 2017 in werking getreden en heeft betrekking op het verwerken, opslaan of verzenden van CUI die bestaat op niet-federale systemen, zoals die welke worden gebruikt door een overheidscontractant.

Een van de eerste stappen die fabrikanten moeten nemen, is om vast te stellen waar lacunes bestaan ​​die verhinderen dat ze voldoen aan DFARS. Vanaf dat moment kunnen ze bepalen hoe het verder moet.

Hoe moeten fabrikanten gaan werken aan naleving?

Het MEP National Network biedt speciale bronnen voor fabrikanten die informatie nodig hebben over de cyberbeveiligingshouding van een bedrijf, zodat bedrijven kunnen begrijpen wat het voor hen betekent om compliant te zijn met DFARS. Bedrijven kunnen zien of DFARS-compliance op hen van toepassing is en infographics bekijken die stappen aanbevelen om hun fabrieksvloeren veiliger te maken.

Het MEP National Network biedt ook een bepaalde bron waar fabrikanten ongetwijfeld keer op keer naar zullen verwijzen:het NIST-zelfbeoordelingshandboek (NIST-handboek 162). Het beslaat meer dan 150 pagina's en helpt lezers hun faciliteiten te beoordelen om te concluderen hoe dicht ze bij de implementatie van NIST SP 800-171 zijn, om hen te helpen begrijpen hoe dicht ze bij DFARS-compatibel zijn. Het helpt ook te bepalen waar de inspanningen op gericht moeten worden bij het aanbrengen van verbeteringen om de impact van elke dollar die aan cyberbeveiliging wordt besteed te maximaliseren.

Het document bevat bijvoorbeeld content die adviseert hoe je een assessment moet uitvoeren en met welke medewerkers je kunt praten over beveiligingseisen. Fabrikanten die het handboek lezen, zullen opmerken dat elke beoordelingsvraag een "alternatieve benadering"-optie heeft. Het verwijst naar het feit dat fabrikanten bepaalde vereisten in NIST SP 800-171 kunnen aantreffen die niet op hen van toepassing zijn.

In dat geval is het acceptabel om een ​​andere maar even effectieve methode te gebruiken om de beveiliging te handhaven, zolang de respectievelijke fabrikanten de juiste overheidsinstanties op de hoogte stellen van de wijzigingen en goedkeuring krijgen voor deze wijzigingen.

Vertegenwoordigers van fabrieken kunnen hun inzicht in de nalevingsvereisten ook vergroten door een webinar te bekijken waarin enkele van de cruciale elementen van het handboek worden besproken.

Complexiteit mag geen barrière zijn

Fabrikanten vinden de cyberbeveiligingsvereisten voor overheidscontracten in eerste instantie misschien te ingewikkeld, vooral als ze kleine operaties hebben.

Door gebruik te maken van de beschikbare middelen — waaronder lokale MEP-centra — kunnen fabrikanten zich echter realiseren dat het mogelijk is om te voldoen aan DFARS, maar ook om te blijven voldoen, door de NIST SP 800-171-vereisten te implementeren en mogelijkheden te openen voor het ontvangen van financieel lonende en reputatieverhogende overheidscontracten.

Een lokaal MEP-centrum is een ideale bron voor fabrikanten om te gebruiken als ze beginnen met het voltooien van een plan dat beschrijft hoe de NIST SP 800-171 cyberbeveiligingsvereisten moeten worden geïmplementeerd.

Elk MEP-centrum heeft toegang tot bronnen uit de publieke en private sector die bedrijven kunnen helpen om met meer vertrouwen in de naleving te treden. Er zijn locaties in alle 50 staten en Puerto Rico.