Понимание NIST SP 800-171: основы соответствия для государственных подрядчиков

Эта статья изначально появилась на IndustryWeek. Гостевая публикация Трейси Спенсер, менеджера грантовой программы TechSolve, Inc., юго-западного регионального партнера Ohio MEP, входящей в MEP National Network™.

Производители, вовлеченные в цепочки поставок, связанные с государственными контрактами, могут ожидать, что эти награды принесут дополнительную выручку на уровнях, которые могут быть невозможны иначе. Однако успех в получении и удержании такой работы означает соответствие Федеральному регламенту закупок (FAR) и Дополнению к федеральному регламенту закупок оборонки (DFARS).

FAR — набор регуляций, регулирующий все закупки и контрактные процедуры, связанные с американским правительством. DFARS сопровождает FAR как дополнение. Министерство обороны (DoD) — административный орган за DFARS, но охват требований DFARS выходит за рамки этой организации.

NIST SP 800-171 — специальная публикация NIST, предоставляющая рекомендуемые требования для защиты конфиденциальности контролируемой неклассифицированной информации (CUI). Оборонные подрядчики должны внедрить рекомендуемые требования, содержащиеся в NIST SP 800-171, чтобы продемонстрировать свое обеспечение адекватной безопасности для защиты покрытой оборонной информации, включенной в их оборонные контракты, как требуется пунктом DFARS 252.204-7012. Если производитель является частью цепочки поставок DoD, General Services Administration (GSA), NASA или других федеральных или штатных агентств, внедрение требований безопасности, включенных в NIST SP 800-171, обязательно.

Как внедрить NIST SP 800-171?

Понятно, что производители могут задаваться вопросом, что им делать для внедрения NIST SP 800-171 и в конечном счете достичь соответствия DFARS, и есть ли специализированные ресурсы, помогающие им достичь этой вехи без предотвратимых подводных камней. Первое, что они должны держать в уме — что соответствие DFARS вероятно подразумевает работу с кибербезопасным консультантом, знающим требования NIST SP 800-171 назубок.

Советовательно для малых производителей смотреть в сторону Центра Manufacturing Extension Partnership (MEP) своего штата. Часть MEP National Network™, более крупной организации, связывающей их с NIST, представители вашего локального Центра MEP будут иметь рабочие знания NIST SP 800-171 и могут помочь компаниям подготовиться к соответствию DFARS. Это может быть короткий или длинный процесс, в зависимости от сложностей операционной среды и информационных систем компании, но внедрение NIST SP 800-171 — необходимый процесс для компании для защиты своей информации.

Что включает успешный план?

Производители, желающие удержать свои контракты DoD, GSA, NASA и других федеральных и штатных агентств, должны иметь план, соответствующий требованиям NIST SP 800-171. Пункт DFARS по кибербезопасности 252,204-7012 вступил в силу 31 декабря 2017 года и касается обработки, хранения или передачи CUI, существующей на нефедеральных системах — таких как используемые государственным подрядчиком.

Один из первых шагов, которые производители должны предпринять — выявить, где существуют пробелы, предотвращающие их соответствие DFARS. С этой точки они могут определить, как действовать дальше.

Как производителям начать работу над соответствием?

MEP National Network предлагает посвященные ресурсы для производителей, нуждающихся в информации о кибербезопасностной позе компании, которые могут помочь компаниям понять, что соответствие DFARS на самом деле означает для них. Компании могут увидеть, применяется ли DFARS соответствие к ним и просмотреть инфографики, рекомендующие шаги для сделать их заводские полы более безопасными.

MEP National Network также предоставляет конкретный ресурс, на который производители безусловно будут ссылаться снова и снова: NIST Self-Assessment Handbook (NIST Handbook 162). Он охватывает более 150 страниц и помогает читателям оценить свои объекты, чтобы заключить, насколько близки они к внедрению NIST SP 800-171, помогая им понять, насколько близки они к соответствию DFARS. Он также помогает определить, где фокусировать усилия при улучшениях для максимизации влияния каждого потраченного доллара на кибербезопасность.

Например, документ содержит контент, советующий, как провести оценку и с какими применимыми сотрудниками говорить о требованиях безопасности. Производители, прочитавшие руководство, заметят, что каждый оценочный вопрос имеет опцию «альтернативный подход». Это относится к факту, что производители могут найти некоторые требования в NIST SP 800-171, не применимые к ним.

В таком случае приемлемо использовать другой, но равноэффективный метод поддержания безопасности — до тех пор, пока соответствующие производители уведомляют правильные правительственные власти об изменениях и получают одобрение для них.

Представители производственных объектов также могут увеличить понимание требований соответствия, посмотрев вебинар, проходящий через некоторые критические элементы руководства.

Сложность не должна быть барьером

Производители могут изначально рассматривать кибербезопасностные требования для государственных контрактов как слишком сложные, особенно если у них малые операции.

Однако использование доступных ресурсов — включая локальные Центры MEP — позволяет производителям осознать, что возможно достичь соответствия DFARS, а также оставаться в соответствии, внедряя требования NIST SP 800-171 и открывать возможности для получения финансово вознаграждающих и репутационно укрепляющих государственных контрактов.

Локальный Центр MEP — идеальный ресурс для производителей, чтобы использовать при начале завершения плана, детализирующего, как внедрить кибербезопасностные требования NIST SP 800-171.

Каждый Центр MEP имеет доступ к публичным и частным сектору ресурсам, которые могут помочь компаниям войти в соответствие с большей уверенностью. Локации существуют во всех 50 штатах и Пуэрто-Рико.