NIST SP 800‑171 begrijpen: compliance essentiëls voor overheidscontractanten

Dit artikel verscheen oorspronkelijk op IndustryWeek. Gastblog door Traci Spencer, Grant Program Manager voor TechSolve, Inc., de zuidwestelijke regionale partner van Ohio MEP, onderdeel van het MEP National Network™.

Fabricanten betrokken in toeleveringsketens verbonden aan overheidscontracten kunnen verwachten dat die opdrachten extra omzet opleveren op niveaus die anders misschien niet mogelijk zouden zijn. Echter, succesvol zijn in het krijgen en behouden van zo'n werk betekent voldoen aan de Federal Acquisition Regulation (FAR) en Defense Federal Acquisition Regulation Supplement (DFARS).

FAR is een set regelgeving die alle acquisitie- en contractprocedures beheerst die geassocieerd zijn met de Amerikaanse overheid. DFARS'accompagneert FAR als een aanvulling. Het Department of Defense (DoD) is het administratieve orgaan achter DFARS, maar de reikwijdte van DFARS-vereisten strekt zich verder uit dan die organisatie.

NIST SP 800-171 is een NIST Special Publication die aanbevolen vereisten biedt voor het beschermen van de vertrouwelijkheid van controlled unclassified information (CUI). Defensiecontractanten moeten de aanbevolen vereisten in NIST SP 800-171 implementeren om hun voorziening van adequate beveiliging te demonstreren om de gedekte defensie-informatie in hun defensiecontracten te beschermen, zoals vereist door DFARS clausule 252.204-7012. Als een fabrikant deel uitmaakt van een DoD, General Services Administration (GSA), NASA of andere federale of staatliche agentschappen toeleveringsketen, is de implementatie van de beveiligingsvereisten in NIST SP 800-171 een must.

Hoe Implementeert U NIST SP 800-171?

Het is begrijpelijk dat fabricanten zich afvragen wat ze moeten doen om NIST SP 800-171 te implementeren en uiteindelijk compliant te raken met DFARS, en of er gespecialiseerde bronnen beschikbaar zijn om hen te helpen die mijlpaal te bereiken zonder vermijdbare vallen. Het eerste waar ze rekening mee moeten houden is dat DFARS compliant zijn waarschijnlijk inhoudt dat ze werken met een cybersecurity consultant die de NIST SP 800-171 vereisten uit het duim kent.

Het is raadzaam voor kleine fabricanten om te kijken naar hun staat's Manufacturing Extension Partnership (MEP) Center. Onderdeel van het MEP National Network™, een grotere organisatie die hen verbindt met NIST, zullen de vertegenwoordigers bij uw lokale MEP Center een werkende kennis hebben van NIST SP 800-171 en bedrijven kunnen helpen zich voor te bereiden op DFARS compliance. Het kan een kort of lang proces zijn, afhankelijk van de complexiteit van een bedrijfs operationele omgeving en informatiesystemen, maar het implementeren van NIST SP 800-171 is een noodzakelijk proces voor een bedrijf om zijn informatie te beschermen.

Wat Bevat Een Succesvol Plan?

Fabricanten die hun DoD, GSA, NASA en andere federale en staatscontracten willen behouden, moeten een plan hebben dat aan de vereisten van NIST SP 800-171 voldoet. DFARS cybersecurity clausule 252.204-7012 trad in werking op 31 dec. 2017, en gaat over het verwerken, opslaan of transmitteren van CUI dat bestaat op niet-federale systemen — zoals die gebruikt door een overheidscontractor.

Een van de eerste stappen die fabricanten moeten nemen is om te identificeren waar gaten bestaan die hen verhinderen compliant te zijn met DFARS. Vanaf dat punt kunnen ze bepalen hoe te proceederen.

Hoe Moeten Fabricanten Werken Naar Compliance?

Het MEP National Network biedt toegewijde bronnen voor fabricanten die informatie nodig hebben over een bedrijfs cybersecurity-houding die bedrijven kunnen helpen begrijpen wat DFARS compliant zijn eigenlijk voor hen betekent. Bedrijven kunnen zien of DFARS compliance op hen van toepassing is en infographics bekijken die stappen aanbevelen om hun werkvloeren veiliger te maken.

Het MEP National Network biedt ook een specifieke bron waar fabricanten ongetwijfeld steeds weer naar zullen verwijzen: de NIST Self-Assessment Handbook (NIST Handbook 162). Het beslaat meer dan 150 pagina's en helpt lezers hun faciliteiten te beoordelen om te concluderen hoe ver ze zijn met het implementeren van NIST SP 800-171 om te begrijpen hoe ver ze zijn met DFARS compliant zijn. Het helpt ook bepalen waar de inspanningen gefocust moeten worden bij het maken van verbeteringen om de impact van elke dollar uitgegeven aan cybersecurity te maximaliseren.

Bijvoorbeeld, het document bevat inhoud die adviseert over hoe een assessment uit te voeren en welke toepasselijke werknemers te spreken over beveiligingsvereisten. Fabricanten die het handboek doorlezen zullen merken dat elke assessmentvraag een "alternatieve aanpak" optie heeft. Dit verwijst naar het feit dat fabricanten sommige vereisten in NIST SP 800-171 kunnen vinden die niet op hen van toepassing zijn.

In dat geval is het acceptabel om een andere maar even effectieve methode van beveiliging te gebruiken — mits de respectieve fabricanten de juiste overheidsinstanties op de hoogte stellen over de wijzigingen en goedkeuring krijgen voor ze.

Productiefaciliteitsvertegenwoordigers kunnen hun begrip van compliance-vereisten ook vergroten door een webinar te bekijken die door enkele van de cruciale elementen van het handboek gaat.

Complexiteit Moet Geen Belemmering Zijn

Fabricanten kunnen de cybersecurity-vereisten voor overheidscontracten initieel als te gecompliceerd zien, vooral als ze kleine operaties hebben.

Echter, door de beschikbare bronnen te gebruiken — inclusief lokale MEP Centers — kunnen fabricanten realiseren dat het mogelijk is om DFARS compliant te raken, alsmede compliant te blijven, door de NIST SP 800-171 vereisten te implementeren en mogelijkheden te openen voor het ontvangen van financieel belonende en reputatie-versterkende overheidscontracten.

Een lokaal MEP Center is een ideale bron voor fabricanten om te gebruiken terwijl ze beginnen met het voltooien van een plan dat detailt hoe de NIST SP 800-171 cybersecurity-vereisten geïmplementeerd moeten worden.

Elk MEP Center heeft toegang tot publieke en private sector bronnen die bedrijven kunnen helpen in compliance te komen met meer vertrouwen. Locaties bestaan in alle 50 staten en Puerto Rico.